آیا آموزش نشانه‌های صوتی گفتار به شنوندگان، تشخیص فیشینگ صوتی و رفتار تصمیم‌گیری آنان را بهبود می‌بخشد؟

Host: سلام و به پادکست A.I.S. Insights خوش آمدید، پادکستی با پشتیبانی Living Knowledge. من آنا آیوی سامرز هستم و امروز به بررسی یک مطالعه علمی جدید می‌پردازیم که با عنوان «آموزش عروض گفتار برای کاهش آسیب‌پذیری در برابر فیشینگ صوتی» ارائه شده است. این مطالعه توسط بنجامین آمپل و جوزف باکمن انجام شده و برای کنفرانس بین‌المللی سیستم‌های اطلاعاتی یعنی ICIS در سال ۲۰۲۶ آماده شده است. با من در استودیو، الکس ایان سادرلند، تحلیل‌گر ما حضور دارد. الکس، این مطالعه به طور مشخص چه حوزه‌ای را بررسی می‌کند؟
Expert: درود آنا. این مطالعه یک آزمایش مقدماتی تصادفی‌شده را اجرا می‌کند که هدف آن ارزیابی نوعی آموزش مبتنی بر صوت است. در این آموزش به شنوندگان نشانه‌های نوایی یا همان عروض گفتار، مانند آهنگ ناموزون و لحن رباتیک، یاد داده می‌شود تا بتوانند حملات فیشینگ صوتی یا همان ویشینگ را شناسایی کنند. این مطالعه بیست و هفت شرکت‌کننده در رده سنی هجده تا بیست و چهار سال را در سه گروه آموزشی صوت هوش مصنوعی، صوت انسانی و فقط متن بررسی کرده است.
Host: فیشینگ صوتی یا ویشینگ این روزها به یک نگرانی بزرگ امنیتی تبدیل شده است. این مطالعه دقیقاً چه مشکلی را در سازمان‌ها شناسایی کرده است؟
Expert: مشکل اصلی این است که حملات فیشینگ صوتی اکنون به طور فزاینده‌ای از شبیه‌سازی صدا و صداهای هوش مصنوعی استفاده می‌کنند. با این وجود، بیشتر برنامه‌های آگاهی‌بخشی امنیتی در سازمان‌ها هنوز به طور محدود روی ایمیل و پیام‌های متنی تمرکز دارند. علاوه بر این، مدیران امنیت سایبری ارزیابی دقیقی ندارند که آیا آموزش‌های صوتی واقعاً توانایی تشخیص کارکنان را بالا می‌برد یا فقط آستانه تصمیم‌گیری آن‌ها را برای مشکوک شدن به همه تماس‌ها تغییر می‌دهد.
Host: برای پاسخ به این پرسش، پژوهشگران مطالعه را چگونه طراحی کردند؟
Expert: پژوهشگران از یک طرح پیش‌آزمون و پس‌آزمون استفاده کردند. شرکت‌کنندگان نمونه‌های صوتی را می‌شنیدند و باید تماس‌های عادی را از تماس‌های فیشینگ تشخیص می‌دادند. تحلیل داده‌ها بر اساس «نظریه کشف سیگنال» انجام شد که اجازه می‌دهد حساسیت واقعی تفکیک داده‌ها از تمایل ذهنی افراد برای گزارش جدا شود. در کنار آن، معیارهای پیمایشی مثل باورهای امنیتی و سطح اعتماد به توضیحات نیز سنجیده شد.
Host: نتایج چه چیزی را نشان دادند؟ آیا آموزش‌ها دقت تشخیص را افزایش داد؟
Expert: داده‌ها نشان می‌دهند که حساسیت و دقت تشخیص در مجموع از پیش‌آزمون تا پس‌آزمون در هر سه گروه تغییر معناداری نکرد و پایدار ماند. اما یک تغییر معنادار در آستانه تصمیم‌گیری مشاهده شد؛ معیار آستانه از منفی صفر ممیز صد و چهل و نه به مثبت صفر ممیز صد و هفتاد و نه تغییر یافت. این یعنی شرکت‌کنندگان پس از آموزش بسیار محافظه‌کارانه‌تر عمل کردند و تماس‌های کمتری را به عنوان فیشینگ علامت زدند. این موضوع هشدارهای کاذب را کاهش داد، اما به بهای نادیده گرفتن حملات واقعی بیشتر تمام شد.
Host: این یک نکته بسیار جالب است. آیا یافته‌های دیگری هم در این بررسی مقدماتی وجود داشت؟
Expert: بله، کالیبراسیون فراشناختی افراد به طور معناداری بهبود یافت؛ به این معنی که شرکت‌کنندگان آگاهی بهتری پیدا کردند از اینکه در چه زمان‌هایی ارزیابی‌هایشان دقیق است. همچنین در پرسشنامه‌ها، افزایش بزرگی در آسیب‌پذیری درک‌شده و افزایشی متوسط در کارآمدی پاسخ دیده شد. در گروه صوت هوش مصنوعی، که شامل ده شرکت‌کننده بود، داده‌های همبستگی نشان داد که اعتماد بیشتر به توضیحات هوش مصنوعی با بهبود حساسیت و خودکارآمدی همراه بوده است. البته باید یادآوری کنم که تفاوت‌های کلی بین سه گروه در این نمونه کوچک از نظر آماری غیرمعنادار بود.
Host: از دیدگاه عملیاتی و کسب‌وکار، مدیران فناوری و امنیت چه استفاده‌ای می‌توانند از نتایج این مطالعه ببرند؟
Expert: نکته کلیدی برای مدیران این است که سنجش اثربخشی آموزش نباید صرفاً بر اساس نرخ گزارش باشد. تغییر در نرخ گزارش می‌تواند ناشی از محافظه‌کارتر شدن رفتار پرسنل باشد نه افزایش مهارت واقعی. سازمان‌ها باید بدانند که آگاهی دادن در خصوص نشانه‌های نوایی هوش مصنوعی ممکن است حس آسیب‌پذیری کارکنان را بالا ببرد، اما آموزش واقعی نیازمند تمرین‌های دقیق‌تر است تا حساسیت واقعی کشف تهدید ارتقا یابد. همچنین، استفاده از توضیحات قابل‌اعتماد سیستم‌های هوش مصنوعی می‌تواند به افزایش خودکارآمدی کارمندان کمک کند.
Host: نکات بسیار مهم و کاربردی برای ارزیابی برنامه‌های آموزشی امنیت سایبری ارائه شد. الکس، از تحلیل دقیقت ممنونم.
Expert: خواهش می‌کنم، آنا.
Host: از شما شنوندگان گرامی پادکست A.I.S. Insights نیز برای همراهی سپاسگزاریم. تا قسمت آینده، خدانگهدار.