Kiire, epävarmuus ja pelko siitä, että oma työ näyttää huonolta muiden silmissä, voivat vaikuttaa ratkaisevasti siihen, klikkaako työntekijä huijausviestiä. Aalto-yliopiston tutkimuksessa huomio kohdistui teknisten merkkien sijasta tunteisiin.
Aalto-yliopiston tutkimus tuo uuden näkökulman tietojenkalasteluun: huijauslinkkiä ei välttämättä klikata siksi, ettei käyttäjä osaisi tunnistaa vaaran merkkejä, vaan siksi, että tilanteessa syntyvät tunteet ohjaavat toimintaa.
Tilaa Posi TV – tuellasi riippumaton suomalainen uutisointi jatkuu myös tulevaisuudessa.
Aalto-yliopiston mukaan epävarmuus, ahdistus ja pelko kasvojen menettämisestä voivat saada ihmisen toimimaan nopeasti, vaikka jokin viestissä herättäisi epäilyksiä.
Tutkimukseen osallistui 41 vapaaehtoista. Heille rakennettiin kuvitteellinen toimistotilanne, jossa heidän piti hoitaa poissa olevan kollegan työtehtäviä. Osallistujat eivät tienneet, että kokeessa tutkittiin tietojenkalastelua.
Työn aikana he saivat sähköpostin, joka näytti liittyvän keskeneräiseen tehtävään. Todellisuudessa linkki vei tutkijoiden rakentamalle kalastelusivulle.
Pelko virheestä ajoi osan klikkaamaan
Yli puolet osallistujista tunnisti huijausyrityksen eikä klikannut linkkiä. Osa kuitenkin avasi sen, vaikka vain muutama syötti tietojaan huijaussivulle.
Tutkijoiden mukaan klikkaamisen taustalla oli usein tunne siitä, että viesti liittyi aidosti työtehtävään tai aiemmin tehtyyn virheeseen.
LUE MYÖS: Norjassa maahanmuuttajille ilmaiset ampumaharjoitukset – järjestäjä tarjoaa aseetkin
Osallistujien mielessä pyöri esimerkiksi kysymyksiä siitä, oliko jokin tehtävä jäänyt kesken, suuttuisiko esihenkilö tai mitä kollegat ajattelisivat, jos työ ei valmistuisi.
Väitöskirjatutkija Raphael Weidhaasin mukaan tällaiset ahdistuksen, huolen ja hermostuneisuuden tunteet voivat heikentää kykyä pysähtyä arvioimaan, onko viesti aito.
Klikkaamisen jälkeen osa osallistujista puolestaan koki häpeää, pettymystä ja syyllisyyttä.
Nykyinen tietoturvakoulutus voi jopa pahentaa ongelmaa
Tutkimus nostaa kritiikkiä myös organisaatioiden tavallisia tietoturvakoulutuksia kohtaan.
Työntekijöille lähetetään usein simuloituja kalasteluviestejä, joiden tarkoituksena on testata heidän valppauttaan. Jos työntekijä klikkaa linkkiä, hänelle voidaan näyttää opetusmateriaalia tai kertoa virheestä.
Weidhaasin mukaan tällainen toimintatapa voi kuitenkin synnyttää juuri niitä tunteita, jotka tekevät ihmisistä haavoittuvampia.
Pelko epäonnistumisesta, häpeä tai huoli seurauksista eivät välttämättä auta oppimaan parempaa toimintatapaa.
Tutkijat ehdottavatkin enemmän yhteisöllisiä harjoituksia, joissa työntekijät analysoivat esimerkiksi aitoja kalasteluviestejä yhdessä IT-asiantuntijan kanssa.
Tavoitteena olisi vahvistaa tunnetta siitä, että epäilyttävän viestin voi ottaa puheeksi ilman pelkoa nolostumisesta tai rangaistuksesta.
Vaisto voi olla ensimmäinen varoitusmerkki
Tutkimuksessa selvisi myös, mikä auttoi osallistujia välttämään huijauksen.
Moni kertoi yksinkertaisesti vaistonneensa, että viestissä oli jotain outoa. Tämän jälkeen he tarkistivat esimerkiksi lähettäjän osoitteen tai muita tunnettuja huijausviestin merkkejä.
Tilaa Posi TV – tuellasi riippumaton suomalainen uutisointi jatkuu myös tulevaisuudessa.
Tutkijoiden mukaan aiemmin opitut tunnistustaidot lisäsivät tällöin turvallisuuden ja hallinnan tunnetta.
Tutkimuksen johtopäätös ei siis ole, etteikö teknisiä tunnistuskeinoja kannattaisi opettaa. Niiden rinnalle pitäisi kuitenkin tuoda parempi ymmärrys siitä, miten kiire, sosiaalinen paine ja muut tunteet vaikuttavat päätöksentekoon juuri huijausviestin vastaanottamisen hetkellä.
Tutkimuksessa olivat mukana Aalto-yliopiston apulaisprofessori Verena Distler, väitöskirjatutkija Raphael Weidhaas sekä CISPA Helmholtz Center for Information Security -tutkimuslaitoksen tutkijatohtori Alexandra von Preuschen.
