Cosa mostrano 48 esperimenti sul campo su personalità e phishing

Nel 2019 Teodor Sommestad e Henrik Karlzén, dell’Agenzia svedese per la ricerca sulla difesa (FOI), hanno raccolto 48 lavori con esperimenti sul campo sugli attacchi di phishing.

Il loro studio è stato una meta-analisi centrata sulla suscettibilità all’attacco, ovvero la probabilità che una persona cada in un phishing, e sui fattori che la modificano. In tutti quegli esperimenti le persone hanno ricevuto un’email di phishing simulata senza sapere di partecipare a uno studio, quindi ciò che si è misurato è stato il click reale o la password consegnata davvero.

Gli autori hanno aggregato le percentuali di persone che ci sono cascate, in media il 21%, e i test statistici su tre gruppi di variabili. Riguardavano la persona che riceveva l’email (età, genere, personalità, esperienza informatica, formazione), il messaggio (urgenza, minaccia di perdita, richiamo all’autorità) e la situazione in cui arrivava.

La conclusione principale è che la persona ha pesato meno di quanto si aspettassero gli stessi ricercatori. I tratti di personalità e le caratteristiche demografiche hanno dato risultati deboli o incoerenti da uno studio all’altro, con una capacità predittiva limitata. Il design dell’attacco e la formazione, invece, hanno mostrato un’influenza più chiara sulla percentuale di persone che ci cascano.

Perché la personalità non predice chi cade nel phishing?

Il phishing è soprattutto un’interazione tra una persona, un messaggio e un contesto concreto. La personalità è relativamente stabile, mentre la decisione di fare click avviene in un momento preciso, con un certo carico di lavoro, una certa fretta e un’email che coincide o meno con un’attività attesa.

La revisione ha rilevato che tratti come la gradevolezza, l’estroversione, la coscienziosità o la tendenza a fidarsi degli altri davano risultati deboli o contraddittori tra gli studi. Sui cinque grandi tratti di personalità ci sono stati venti test, e tredici non hanno trovato alcuna relazione. Alcuni lavori trovavano un’associazione e altri no, quindi non era possibile affermare che quei tratti predicessero in modo affidabile la suscettibilità al phishing. Gli autori riassumono quella relazione come «limitata e debole».

Un modo semplice per capirlo è pensare a una persona molto prudente che cade in un’email molto credibile, ricevuta in un momento di stress, e a una impulsiva che riconosce senza fatica un messaggio mal progettato. La personalità, da sola, spiega poco di ciò che succede in ognuno di questi casi.

Una delle letture più interessanti che lascia lo studio è che non emerge una «vittima tipo» del phishing. La vulnerabilità sembra dipendere dalla combinazione tra la persona, il contesto e la qualità dell’inganno, e quella combinazione è proprio ciò che si è misurato meno. Dei 140 test statistici raccolti dalla revisione, 116 analizzavano la persona che riceveva l’email, 16 il messaggio e uno solo la situazione in cui arrivava.

Perché alcuni studi trovano tratti associati al click?

Un singolo studio di solito lavora con un campione concreto, un tipo specifico di campagna di phishing e un contesto determinato. In quelle condizioni può trovare che un tratto come la fiducia o la gradevolezza sia associato a una maggiore probabilità di fare click. Quando si confrontano molti studi insieme, quelle associazioni non sempre si ripetono, e ciò che emerge in una ricerca può scomparire in un’altra condotta con una popolazione diversa o con un altro approccio.

È plausibile, per esempio, che una persona con una forte tendenza a fidarsi sia più vulnerabile davanti a un’email che sembra arrivare da un collega. Se lo studio successivo usa un messaggio basato sull’urgenza o sulla paura, quella stessa caratteristica può smettere di pesare. L’effetto osservato dipende allora dal tipo di inganno e dalla leva di persuasione che il messaggio attiva.

Una revisione sistematica pubblicata nel 2025 da López-Aguilar e colleghi mostra questo schema su 26 studi. Ha trovato tendenze, come l’estroversione associata a una maggiore vulnerabilità in dodici studi e la coscienziosità a una minore in sette, ma solo dieci di quegli studi hanno misurato il comportamento reale e gli autori non hanno potuto combinare i risultati in una meta-analisi perché ognuno misurava la personalità e il phishing a modo suo.

Molti degli studi esaminati da Sommestad e Karlzén avevano inoltre problemi di campionamento e di controllo, come riconoscono gli stessi autori, e la loro revisione conta quanti test sono risultati significativi senza combinare le dimensioni dell’effetto. Non ho trovato nessuna meta-analisi successiva che combini le dimensioni dell’effetto tra personalità e phishing. La conclusione prudente è quindi che la personalità ha una capacità predittiva debole e incoerente rispetto ad altri fattori, anche se non nulla.

Che cosa cambia, allora, la probabilità di cadere nel phishing?

Le variabili con un effetto chiaro riguardavano il messaggio e l’ambiente di chi lo riceve. Negli stessi 48 esperimenti, i sistemi tecnici di avviso, la personalizzazione dell’email, la formazione e l’uso di tattiche di inganno consolidate hanno modificato la percentuale di persone che ci sono cascate. Il tipo di truffa ha mostrato le differenze maggiori, con alcuni tipi molto più efficaci di altri.

Questo risultato ribalta la domanda che di solito si pone un programma. La variabile con più peso diventa cosa è arrivato alla persona e in quali condizioni, che è proprio ciò che la ricerca ha studiato pochissimo. È la stessa confusione che compare quando un elenco di «recidivi» somma in un solo numero ciò che ha fatto ogni persona e quanto era difficile l’email che le è toccata.

Cosa significa per un programma di Cybersecurity awareness?

Significa che una personalizzazione supportata dalle evidenze parte dal comportamento osservato, come i contenuti che ogni persona ha completato, ciò che ha fatto davanti a una simulazione o ciò che ha segnalato.

In Smart Path, il formato di SMARTFENSE che crea un programma diverso per ogni persona, il percorso si costruisce con i criteri definiti dal team e con ciò che quella persona ha già completato, il tempo che ha a disposizione e il momento in cui è entrata nell’organizzazione. Nessuno di questi criteri è un tratto di personalità.

La ricerca ha chiesto 116 volte chi cade nel phishing e una sola volta in quale situazione. La seconda domanda aspetta ancora il suo turno.