Cyber attacks such as phishing, IRS scams, etc., still are successful in fooling Internet users. Users are the last line of defense against these attacks since attackers seem to always find a way to bypass security systems. Understanding users' reason about the scams and frauds can help security providers to improve users security hygiene practices. In this work, we study the users' reasoning and the effectiveness of several variables within the context of the company representative fraud. Some of the variables that we study are: 1) the effect of using LinkedIn as a medium for delivering the phishing message instead of using email, 2) the effectiveness of natural language generation techniques in generating phishing emails, and 3) how some simple customizations, e.g., adding sender's contact info to the email, affect participants perception. The results obtained from the within-subject study show that participants are not prepared even for a well-known attack - company representative fraud. Findings include: approximately 65% mean detection rate and insights into how the success rate changes with the facade and correspondent (sender/receiver) information. A significant finding is that a smaller set of well-chosen strategies is better than a large `mess' of strategies. We also find significant differences in how males and females approach the same company representative fraud. Insights from our work could help defenders in developing better strategies to evaluate their defenses and in devising better training strategies.

中文翻译：

---

少即是多：利用社会信任来提高欺骗攻击的有效性

网络钓鱼、IRS 诈骗等网络攻击仍然成功地欺骗了互联网用户。用户是抵御这些攻击的最后一道防线，因为攻击者似乎总能找到绕过安全系统的方法。了解用户关于诈骗和欺诈的原因可以帮助安全提供商改善用户的安全卫生习惯。在这项工作中，我们在公司代表欺诈的背景下研究了用户的推理和几个变量的有效性。我们研究的一些变量是：1) 使用 LinkedIn 作为传递网络钓鱼消息的媒介而不是使用电子邮件的效果，2) 自然语言生成技术在生成网络钓鱼电子邮件方面的有效性，以及 3) 一些简单的定制如何，例如，将发件人的联系信息添加到电子邮件中，影响参与者的认知。从受试者内部研究中获得的结果表明，即使是众所周知的攻击——公司代表欺诈，参与者也没有做好准备。调查结果包括：大约 65% 的平均检测率以及成功率如何随外观和通信者（发送者/接收者）信息变化的见解。一个重要的发现是，一组较小的精心选择的策略比一大堆“混乱”的策略要好。我们还发现男性和女性处理同一公司代表欺诈的方式存在显着差异。我们工作的见解可以帮助防御者制定更好的策略来评估他们的防御并设计更好的训练策略。从受试者内部研究中获得的结果表明，即使是众所周知的攻击——公司代表欺诈，参与者也没有做好准备。调查结果包括：大约 65% 的平均检测率以及成功率如何随外观和通信者（发送者/接收者）信息变化的见解。一个重要的发现是，一组较小的精心选择的策略比一大堆“混乱”的策略要好。我们还发现男性和女性处理同一公司代表欺诈的方式存在显着差异。我们工作的见解可以帮助防御者制定更好的策略来评估他们的防御并设计更好的训练策略。从受试者内部研究中获得的结果表明，即使是众所周知的攻击——公司代表欺诈，参与者也没有做好准备。调查结果包括：大约 65% 的平均检测率以及成功率如何随外观和通信者（发送者/接收者）信息变化的见解。一个重要的发现是，一组较小的精心选择的策略比一大堆“混乱”的策略要好。我们还发现男性和女性处理同一公司代表欺诈的方式存在显着差异。我们工作的见解可以帮助防御者制定更好的策略来评估他们的防御并设计更好的训练策略。大约 65% 的平均检测率和洞察成功率如何随外观和通信者（发送者/接收者）信息而变化。一个重要的发现是，一组较小的精心选择的策略比一大堆“混乱”的策略要好。我们还发现男性和女性处理同一公司代表欺诈的方式存在显着差异。我们工作的见解可以帮助防御者制定更好的策略来评估他们的防御并设计更好的训练策略。大约 65% 的平均检测率和洞察成功率如何随外观和通信者（发送者/接收者）信息而变化。一个重要的发现是，一组较小的精心选择的策略比一大堆“混乱”的策略要好。我们还发现男性和女性处理同一公司代表欺诈的方式存在显着差异。我们工作的见解可以帮助防御者制定更好的策略来评估他们的防御并设计更好的训练策略。