Les faux messages de sécurité sont plus crédibles que les véritables avertissements

Des chercheurs de l’université de Cambridge révèlent pourquoi les gens croient aux messages de sécurité malveillants et falsifiés et ignorent les véritables avertissements. Voici les résultats de leurs recherches

 

Surcharge des messages d’avertissement

Plusieurs études antérieures qui prouvent que les utilisateurs choisissent d’ignorer les avertissements de sécurité, du fait qu’ils sont déjà envahis par messages de prévention.

 

Les messages d’avertissement sont persuasifs

Les études se sont également penchées sur des recherches antérieures portant sur la psychologie de la persuasion, à la recherche de facteurs qui influencent la prise de décision. Voici les déterminants qui en ressortent :
— Influence de l’autorité : Les avertissements sont plus efficaces lorsque les victimes potentielles pensent qu’ils proviennent d’une source fiable.
— Influence sociale : Les individus se conformeront s’ils pensent que d’autres membres de leur communauté se conforment également.
— Préférences en matière de risque : Les gens ont généralement tendance à agir de manière irrationnelle dans des conditions risquées.

 

Utiliser ce qui fonctionne pour les cyberattaquants

Afin de savoir à quoi les utilisateurs vont prêter attention, une enquête avec des avertissements jouant sur différentes émotions a été lancée. Cela dans le but de découvrir quels avertissements auraient un impact. Ainsi, les messages d’avertissements utilisés dans l’enquête ont été répartis selon les types suivants :
— Groupe de contrôle : Avertissements anti-malware qui sont actuellement utilisés dans Google Chrome.
— Autorité : Le site que vous alliez visiter a été signalé et confirmé par notre équipe de sécurité comme contenant des logiciels malveillants.
— Influence sociale : Le site que vous alliez visiter contient des logiciels qui peuvent endommager votre ordinateur. Les arnaqueurs qui exploitent ce site sont connus pour opérer sur des personnes de votre région. Certains de vos amis ont peut-être déjà été victimes d’une escroquerie. Veuillez ne pas continuer à visiter ce site.
— Menace concrète : Il a été confirmé que le site que vous allez visiter contient des logiciels qui présentent un risque important pour vous. Il tentera d’infecter votre ordinateur avec un logiciel malveillant conçu pour voler les données de votre compte bancaire et de votre carte de crédit afin de vous escroquer.
— Vague menace : Nous avons bloqué votre accès à cette page. Cette page est susceptible de contenir des logiciels qui peuvent endommager votre ordinateur. Veuillez fermer cet onglet et continuer ailleurs.

 

Les gens réagissent à des messages clairs et autoritaires

Les chercheurs étaient surpris du fait que les signaux sociaux n’ont pas eu l’impact qu’ils attendaient. Les avertissements qui ont le mieux fonctionné étaient spécifiques et concrets. Par exemple, des messages déclarant que l’ordinateur sera infecté par un logiciel malveillant ou qu’un certain site web malveillant volera les informations financières de l’utilisateur :
— Le texte de l’avertissement doit comprendre une description claire et non technique des conséquences négatives possibles.
— L’avertissement doit être un message direct et éclairé émanant d’une autorité.
— Le recours à la coercition (par opposition à la persuasion) doit être réduit au minimum, car il est susceptible d’être contre-productif.