Mokan pelko saa klikkaamaan kalasteluviestiä – tutkijat selvittivät huijausten aiheuttamia tunteita

Saatamme klikata tietoja kalastelevaa linkkiä, koska pelkäämme, että viestin sivuuttamisesta tulee moitteita. Tämä selvisi Aalto-yliopiston tutkimuksessa, joka selvitti työpaikkaa jäljitelleessä koetilanteessa, millaisia tunnereaktioita huijausyritykset aiheuttavat ja miten tunteet ohjaavat toimintaa. 

Kalasteluhyökkäysten tekijät osaavat hyödyntää esimerkiksi vastaanottajan kiirettä ja stressiä. Apulaisprofessori Verena Distlerin mukaan tiedämme kuitenkin vielä melko vähän siitä, millaisia psykologisia prosesseja kalastelun kohteessa tapahtuu. 

”Tutkimuksemme on ensimmäisiä yrityksiä ymmärtää syvällisemmin tunteita kalasteluyrityksen hetkellä. Jos ymmärrämme näitä psykologisia prosesseja, voimme paremmin estää huijauksia”, Distler sanoo. 

Distlerin lisäksi tutkimuksessa olivat mukana väitöskirjatukija Raphael Weidhaas Aalto-yliopistosta sekä tutkijatohtori Alexandra von Preuschen CISPA Helmholtz Center for Information Security -tutkimuslaitoksesta.

Koe kuvitteellisessa toimistossa

Kokeelliseen tutkimukseen osallistui 41 vapaaehtoista. Toimistotilannetta jäljittelevässä kokeessa osallistujien piti hoitaa poissaolevan kollegan tehtäviä mahdollisimman hyvin. Osallistujat eivät tienneet, että tutkimus liittyi kalasteluviesteihin. 

Työn lomassa osallistujat saivat sähköpostin, joka näytti liittyvän työtehtäviin, mutta viestin linkki vei tutkijoiden luomalle tietojenkalastelusivulle. Viesti oli mahdollista tunnistaa kalasteluksi esimerkiksi lähettäjän nimestä tai osoitteesta. Tutkijat käyttivät houkuttelussa maltillisia sanamuotoja, kuten ”ole hyvä ja täytä tiedot” tai ”tehtäväsi on lähes valmis”, mikä sai viestit näyttämään aidoilta ja työtehtäviin liittyviltä.

Yli puolet tunnisti kalasteluyrityksen eikä klikannut. Osa klikkasi viestiä, mutta vain muutama täytti tietonsa huijaussivulle. Osa ei huomannut huijausyritystä mutta ei myöskään klikannut linkkiä. 

Heti kokeen jälkeen tutkijat selvittivät kalasteluyrityksen aiheuttamia tunnereaktioita kyselyin ja haastatteluin.

Kasvojen menetys epäilytti

Tutkimuksessa selvisi, että koehenkilöt klikkasivat kalasteluviestiä, jos he kokivat sen uskottavasti liittyvän työhön tai keskeneräiseen tehtävään. Osallistujat klikkasivat myös epävarmuuden vuoksi: teinkö aiemmin virheen, joka pitää nyt korjata? Suuttuuko pomoni, jos en klikkaa? Mitä kollegat ajattelevat, jos en saa tehtävää valmiiksi? 

”Tällaiset ahdistuksen, huolen ja hermostuneisuuden tunteet eivät siinä hetkessä auta ongelmanratkaisussa eli tunnistamaan huijauksia”, kertoo väitöskirjatutkija Raphael Weidhaas.

Huijauslinkkiä klikanneet tunsivat jälkikäteen häpeää, pettymystä ja syyllisyyttä.

”Meidät yllätti, että vaikka osallistujat tiesivät ’työn’ kuuluvan tutkimukseen, klikkaajat pelkäsivät silti menettävänsä kasvonsa työtovereidensa silmissä, jos eivät hoitaisi huijausviestin pyytämää tehtävää ripeästi”, Weidhaas sanoo.

Weidhaasin mukaan ihmisiä pitäisi ennemmin rohkaista ilmaisemaan huolensa oudoista viesteistä. 

”Kalastelun onnistumista voisi estää jo se, että henkilö pyytäisi kollegaa katsomaan, vaikuttaako sähköposti aidolta.”

Tutkimus antoi myös tietoa siitä, miksi ihmiset eivät klikkaa epäilyttäviä linkkejä. Moni kalasteluyrityksen tunnistanut kertoi, että huijausviesti oli keskeyttänyt heidän työnsä, mikä herätti epäilykset.

”Monet kertoivat vaistonneensa, että sähköpostissa oli jotain outoa. Sitten he sovelsivat aiemmin oppimiaan tunnistamiskeinoja, kuten tarkistivat lähettäjän osoitteen. He kertoivat, että nämä taidot saivat heidät tuntemaan olonsa turvalliseksi ja kykeneviksi selviytymään tilanteesta”, Weidhaas sanoo.

Parempia koulutuksia

Weidhaasin mukaan nykyiset keinot opettaa tunnistamaan kalasteluyrityksiä saattavat olla jopa haitallisia. Organisaatioissa tavallisia ovat esimerkiksi verkkokurssit, valistuskampanjat ja simuloidut huijausviestit.

”Työntekijöille voidaan lähettää tekaistuja kalasteluviestejä, ja jos he klikkaavat linkkiä, heille esitetään opetusmateriaalia. Tällaiset kampanjat voivat kuitenkin aiheuttaa häpeää ja pelkoa seurauksista”, Weidhaas sanoo.

Weidhaasin mukaan opimme paremmin myönteisten kuin kielteisten tunteiden kautta. Tietoiskujen ei kannattaisi jättää kenellekään kurjaa oloa. 

“Koulutuksissa voisi esimerkiksi käyttää aitoja kalasteluviestejä, joita organisaatioon on tullut, sillä niitä on usein vaikein havaita. Työntekijät voisivat yhdessä IT-asiantuntijan kanssa analysoida viestejä ja keskustella huolista yhdessä.”

Hyvä koulutuskokemus voi herättää positiivisia tunteita, kuten ylpeyttä ja luottamusta, jotka tukisivat tunnistustaitojen kehittymistä.

Tutkimus julkaistiin Symposium on Usable Privacy and Security (SOUPS 2026) -konferenssissa elokuussa 2026.