Psicologia e cybersecurity
La psicologia nella sicurezza informatica è una disciplina che si colloca all'intersezione tra sicurezza usabile e cyberpsicologia. Il suo oggetto di studio è l'influenza del comportamento umano, dei bias cognitivi e delle dinamiche sociali sulla sicurezza delle informazioni. A differenza dell'approccio tradizionale alla cybersecurity, incentrato sulle vulnerabilità di hardware e software, questo campo si occupa del "fattore umano" che gli attaccanti sfruttano regolarmente. Le sue basi teoriche risiedono nella psicologia cognitiva e nell'interazione uomo-macchina.
Storia ed evoluzione
La sfida del comportamento umano nell'informatica fu notata già negli anni '60 con mainframe multiutente come il Compatible Time-Sharing System (CTSS). Nel 1966, un errore software sul CTSS fece sì che il file della password principale del sistema venisse visualizzato da ogni utente al momento dell'accesso: uno dei primi incidenti di sicurezza documentati attribuibili a una combinazione di progettazione del sistema e fattori umani.
Questi comportamenti hanno acquisito un significato più ampio negli anni '90, quando Internet è diventato ampiamente accessibile. Incidenti di alto profilo che hanno coinvolto personaggi come Kevin Mitnick hanno dimostrato come la fiducia umana potesse essere sfruttata attraverso l'ingegneria sociale, come ad esempio il pretexting telefonico.
Fattori cognitivi e comportamentali
Gran parte della psicologia della sicurezza informatica si concentra sul processo decisionale in condizioni di stress o incertezza. I ricercatori applicano modelli come la teoria del doppio processo per spiegare perché gli esseri umani cadano vittime di phishing o compromissione delle e-mail aziendali. Gli attaccanti progettano comunicazioni per innescare un pensiero rapido ed emotivo del "Sistema 1", utilizzando urgenza, autorità o panico, che spinge gli utenti a cliccare su un collegamento o a trasferire fondi prima che il loro "Sistema 2" analitico possa valutare la legittimità della situazione.
La ricerca di settore ha costantemente documentato l’efficacia di queste tecniche su larga scala, indicando diversi fenomeni psicologici ricorrenti che influenzano le pratiche di sicurezza quotidiane:
- Bias cognitivi : il bias dell'ottimismo porta gli utenti a credere che sia improbabile che vengano presi di mira dai criminali informatici, con conseguenti pratiche di password deboli o aggiornamenti software procrastinati. L'euristica della disponibilità induce gli individui a concentrarsi su minacce sofisticate e ampiamente pubblicizzate, ignorando rischi comuni e statisticamente probabili come il riutilizzo delle credenziali di accesso.
- Influenza sociale : gli aggressori sfruttano principi di persuasione consolidati, come quelli categorizzati da Robert Cialdini. Impersonare un CEO sfrutta l'innesco psicologico dell'autorità, mentre le truffe di falso supporto tecnico utilizzano la reciprocità (offrendosi di risolvere un problema prima di chiedere le credenziali di rete).
Fattori neurologici e pre-cognitivi
Studi di risonanza magnetica funzionale (fMRI) mostrano che l'attivazione neurale nelle regioni visive e attentive diminuisce con l'esposizione ripetuta allo stesso stimolo, un fenomeno denominato soppressione da ripetizione. Esperimenti longitudinali con fMRI e tracciamento oculare hanno confermato questo effetto nel contesto degli avvisi di sicurezza: i design statici degli avvisi producono un calo dell'attenzione e della compliance dell'utente.
I modelli di elaborazione delle informazioni applicati al phishing indicano che stimoli affettivi, quali urgenza artificiale o paura, aumentano il carico cognitivo e inducono un'elaborazione euristica automatica, riducendo la probabilità di una valutazione analitica e facilitando la compliance con richieste malevole.
Affaticamento da sicurezza e dinamiche organizzative
L'accumulo di queste pressioni ha portato alla cosiddetta “cybersecurity fatigue”, uno stato di esaurimento mentale ed emotivo derivante dalla ripetuta esposizione alle richieste di sicurezza.
Alert fatigue
Un esempio è l'affaticamento da avvisi, che si manifesta sia tra gli utenti finali che tra gli analisti dei centri operativi di sicurezza ( SOC ). L'esposizione continua agli avvisi del browser o ai pop-up antivirus, in particolare quelli che sono falsi positivi, condiziona gli utenti ad abituarsi agli avvisi e a ignorarli automaticamente senza leggerne il contenuto. La portata di questo problema è significativa nelle aziende: i team SOC nelle grandi organizzazioni ricevono migliaia di avvisi ogni giorno e gli analisti trascorrono oltre il 25% del loro tempo a gestire falsi positivi, il che significa che gli indicatori realmente dannosi sono nascosti nel rumore.
Password fatigue
Allo stesso modo, la "password fatigue" è la sensazione provata da molte persone che sono costrette a ricordare un numero eccessivo di password nell'ambito della loro routine quotidiana, come ad esempio per accedere a un computer al lavoro. Gli utenti affrontano il carico di memoria apportando modifiche prevedibili e iterative alle proprie password (ad esempio, aggiornando "Password01!" in "Password02!"), il che ne riduce la sicurezza.
Compliance budget
Beautement, Sasse e Wonham hanno introdotto il concetto di "budget di conformità" attraverso una ricerca sul campo condotta presso due importanti organizzazioni commerciali. Hanno definito il budget di conformità come la disponibilità di un individuo a compiere sforzi supplementari per conformarsi alle policy di sicurezza senza trarne alcun beneficio personale diretto. La "soglia di conformità" implicita segna il punto specifico in cui l'individuo non è più disposto o in grado di conformarsi.
I ricercatori hanno osservato che le policy di sicurezza comportano un costo nascosto che compete direttamente con la produttività. Il budget limitato di un dipendente per la conformità viene velocemente esaurito dagli aspetti negativi delle attività di sicurezza, in particolare il "fattore fastidio" (processi macchinosi e articolati in più fasi), la ripetitività delle attività, la percezione di inutilità e la mancanza di un chiaro valore per il dipendente. Una volta superata la soglia di conformità, i dipendenti ricorrono a soluzioni alternative non sicure, come l'invio di documenti sensibili tramite e-mail ad account personali per evitare sistemi di trasferimento file lenti e sicuri.
Per gestire efficacemente il budget per la conformità e prevenire queste soluzioni alternative non sicure, lo studio individua cinque aree specifiche che le organizzazioni possono sfruttare per influenzare il comportamento degli utenti:
- Migliorare la progettazione del sistema per ridurre il costo percepito della conformità;
- Promuovere una cultura della sicurezza solidale;
- Migliorare la consapevolezza e l'istruzione mirate;
- Implementare un monitoraggio appropriato;
- Stabilire sanzioni chiare per aumentare la percezione della necessità di conformità.
Note
- ↑ Ross Anderson, Security Engineering: A Guide to Building Dependable Distributed Systems, 3rd, Wiley, 2020, ISBN 978-1119642787.
- ↑ Adams, Users Are Not the Enemy, in Communications of the ACM, vol. 42, 1999, pp. 40–46, DOI:10.1145/322796.322806.
- ↑ Ferreira, Usable Security: A Systematic Literature Review, in Information, vol. 14, 2023, pp. 641, DOI:10.3390/info14120641.
- ↑ Corbató, On Building Systems That Will Fail, in Communications of the ACM, vol. 34, 1991, DOI:10.1145/114669.114686.
- ↑ Kevin Mitnick e William Simon, The Art of Deception: Controlling the Human Element of Security, Wiley, 2002, ISBN 978-0471237129.
- ↑ Vishwanath, Why do people get phished? Testing individual differences in phishing vulnerability within an integrated, information processing model, in Decision Support Systems, vol. 51, 2011, DOI:10.1016/j.dss.2011.03.002.
- ↑ (EN) Grant Ho, Asaf Cidon e Lior Gavish, Detecting and Characterizing Lateral Phishing at Scale, 2019, pp. 1273–1290. URL consultato il 23 aprile 2026.
- ↑ 2025 Data Breach Investigations Report (DBIR), su verizon.com, Verizon Business, 2025. URL consultato l'8 marzo 2026.
- ↑ Pattinson, Why do some people manage phishing e-mails better than others?, in Information Management & Computer Security, vol. 20, 2012, pp. 18–28, DOI:10.1108/09685221211219173.
- ↑ Christopher Hadnagy, Social Engineering: The Art of Human Hacking, Wiley, 2010, ISBN 978-0470639535.
- ↑ K. Grill-Spector, R. Henson e A. Martin, Repetition and the brain: neural models of stimulus-specific effects, in Trends in Cognitive Sciences, vol. 10, n. 1, 2006, pp. 14–23, DOI:10.1016/j.tics.2005.11.006.
- ↑ Anthony Vance, Jeffrey L. Jenkins, Bonnie Brinton Anderson, Daniel K. Bjornn e C. Brock Kirwan, Tuning Out Security Warnings: A Longitudinal Examination of Habituation Through fMRI, Eye Tracking, and Field Experiments, in MIS Quarterly, vol. 42, n. 2, 2018, pp. 355–380, DOI:10.25300/MISQ/2018/14124.
- ↑ I. Ismail, N. A. Bakar e Z. A. Zukarnain, Harnessing the Challenges and Solutions to Improve Security Warnings: A Review, in Sensors, vol. 21, n. 22, 2021, pp. 7607, DOI:10.3390/s21227607.
- ↑ R. T. Wright, S. L. Johnson e B. Kitchens, Phishing Susceptibility in Context: A Multilevel Information Processing Perspective on Deception Detection, in MIS Quarterly, vol. 47, n. 2, 2023, pp. 803–832, DOI:10.25300/MISQ/2022/16625.
- ↑ C. A. Tian, M. L. Jensen, G. J. Bott e X. R. Luo, The influence of affective processing on phishing susceptibility, in European Journal of Information Systems, vol. 34, n. 3, 2024, pp. 460–474, DOI:10.1080/0960085X.2024.2351442.
- ↑ Stanton, Security Fatigue, in IT Professional, vol. 18, 2016, pp. 26–32, DOI:10.1109/MITP.2016.84.
- ↑ Reeves, Encouraging Employee Engagement With Cybersecurity: How to Tackle Cyber Fatigue, in SAGE Open, vol. 11, 2021, DOI:10.1177/21582440211000049.
- ↑ Devdatta Akhawe e Adrienne Porter Felt, Alice in Warningland: A Large-Scale Field Study of Browser Security Warning Effectiveness, 22nd USENIX Security Symposium, 2013.
- ↑ Alert Fatigue in Security Operations Centres: Research Challenges and Opportunities, in ACM Computing Surveys, 2025, DOI:10.1145/3723158.
- ↑ Dinei Florencio e Cormac Herley, A Large-Scale Study of Web Password Habits, Proceedings of the 16th International Conference on World Wide Web (WWW), 2007, DOI:10.1145/1242572.1242661.
- 1 2 3 Beautement, The compliance budget: managing security behaviour in organisations, in Proceedings of the 2008 New Security Paradigms Workshop, 2008, pp. 47–58, DOI:10.1145/1595676.1595684.
Bibliografia
Ulteriori letture
- (EN) Ross Anderson, Security Engineering: A Guide to Building Dependable Distributed Systems, 3rd, Wiley, 2020, ISBN 978-1119642787.
- (EN) Lorrie Faith Cranor e Simson Garfinkel, Security and Usability: Designing Secure Systems that People Can Use, O'Reilly Media, 2005, ISBN 978-0596008277.
- (EN) Bruce Schneier, Secrets and Lies: Digital Security in a Networked World, Wiley, 2015, ISBN 978-1119092438.
- (EN) Tarnveer Singh e Sarah Y. Zheng, The Psychology of Cybersecurity: Hacking and the Human Mind, Routledge, 2026, ISBN 978-1041005704.
- (EN) Dustin S. Sachs, Behavioral Insights in Cybersecurity: A Guide to Digital Human Factors, CRC Press, 2025, ISBN 978-1032998268.
- (EN) Lee Hadlington e Chloe Ryding, Human Factors and Cybersecurity: The Psychology of Online Safety and Security, Routledge, 2025, ISBN 978-1032831985.
Voci correlate
Collegamenti esterni
- Laboratorio di sicurezza e privacy usabile CyLab, su cups.cs.cmu.edu. — Carnegie Mellon University
- Simposio USENIX sulla privacy e la sicurezza utilizzabili (SOUPS), su usenix.org.
- Programma di sicurezza informatica utilizzabile del NIST, su nist.gov.
