Gamification of Phishing Resilience Training

Bc. Marko Ondrejička

Master's thesis

Abstract:

Phishing je závažný problém, ktorý každoročne spôsobuje rozsiahle škody, keďže sa neustále zdokonaľujú techniky útokov a ich odhalenie nie je triviálne. Na zvýšenie miery detekcie phishingových útokov je potrebné, aby s nimi používatelia boli oboznámení a mali s nimi skúsenosti. Pre získanie skúseností s phishingovými útokmi bez rizika odcudzenia dôverných údajov sme vyvinuli webový tréningový nástroj, ktorý pomáha používateľom zlepšiť sa v odhaľovaní phishingových správ. Využitím gamifikácie sme vytvorili hru, v ktorej sa hráč dostáva do role používateľa emailovej schránky, v ktorej prechádza prijaté e-maily. Hráč získa praktické skúsenosti na príkladoch skutočných phishingových správ spolu s vysvetlením, čomu má venovať pozornosť, aby sa ochránil. Nástroj sme vyhodnocovali s odborníkmi CSIRT-MU, ktorí poskytli spätnú väzbu na celú aplikáciu vrátane časti správy údajov, a s dvoma skupinami dobrovoľných účastníkov, ktorí sa zúčastnili len na vyhodnocovaní hernej časti. Počas hodnotenia sme zozbierali kvalitatívnu spätnú väzbu a aplikáciu sme podľa nej upravili. Väčšina účastníkov považovala aplikáciu za jednoduchú a bezpečnú na používanie, ktorá taktiež poskytovala dôveryhodné informácie. Účastníci porozumeli jej účelu a väčšina z nich by preferovala vzdelávací nástroj vo forme hry namiesto bežných kurzov vo verbálnej či textovej podobe.

Abstract:

Phishing is a severe problem that causes serious damage every year because the attack techniques are constantly improving, and it is not trivial to detect them. To increase the detection rate of phishing attacks, users need to be aware of and have experience with them. To gain experience with phishing attacks without the dangers of getting confidential data stolen, we have developed a web-based training tool that helps users to improve at detecting phishing messages. Using a gamification approach, we created a game in which the player impersonates a user who goes through the inbox of received emails. The player gets hands-on experience with examples of real-world phishing messages with an explanation of what to pay attention to in order to protect themselves. We evaluated the tool with CSIRT-MU specialists, who gave feedback on the whole application, including the data management administration part, and two groups of volunteer participants who only took part in evaluating the game part. During the evaluation, we collected qualitative feedback and tweaked the application accordingly. Most participants considered the application straightforward and safe to use, providing credible information. The participants also understood its purpose, and the majority would prefer an educational tool in the form of a game instead of traditional courses in spoken or written form.

Keywords

cybersecurity, education, gamification, phishing, phishing resilience training, usable security, phishing prevention

Language used: English

Date on which the thesis was submitted / produced: 13. 12. 2022

Thesis defence

• Date of defence: 24. 1. 2023
• Supervisor: RNDr. Vít Rusňák, Ph.D.
• Reader: RNDr. Radek Ošlejšek, Ph.D.

Masaryk University

Faculty of Informatics

Master programme / field:
Software systems and services management / Services development management