充斥著西非財富荒誕故事的預付費詐騙電郵長久以來一直是個笑柄,因此人們自然假設寄件者無能。然而這類郵件持續存在,促使微軟研究院的 Cormac Herley 提問:這種荒謬性是否正是設計的一部分。

Herley 將詐騙者選擇聯絡對象的決策視為分類問題,並以 ROC 經濟學加以分析。每個被聯絡卻從不付款的人都是一個偽陽性:耗費心力、提高風險,卻毫無回報。由於真正的受害者只占收件者極小比例,受害者密度下降 10 倍可能導致找到的受害者數量下降 1000 倍——而在極低密度下,只有能以極高準確度區分可行與不可行使用者的攻擊者才能獲利,這是一個進退兩難的困境。

明顯造假的電郵透過讓受害者自我識別來化解這個困境。一則嚇退所有人、只留下最容易上當者的訊息,能讓最有希望的目標自我篩選,使真陽性與偽陽性的比例朝有利於詐騙者的方向傾斜;篩選發生在收件者一端,因此寄件者從不需要花費心力過濾任何一封回覆。荒謬的故事是刻意設計的功能,而非缺陷。

荒謬性正是讓目標自我篩選的篩選機制

受害者密度低,使每個偽陽性成為主要成本

荒謬的提案讓非受害者無需寄件者費力便自動拒絕

只有最容易上當者會回覆,因此攻擊者從不需要審查聯絡對象

自我篩選在任何互動開始之前就已完成過濾

當只有極小比例的人會說「是」時,不要擴大漏斗——而要讓錯誤的受眾自我排斥。防禦者應縮小可行受害者的池子:教育與預設設定勝過更聰明的過濾器。

Herley 的分析在 WEIS 2012 上發表,成為解釋 419 電郵為何看起來荒謬的標準答案。多年後它仍在流傳:在 2016 年 12 月一則關於欺騙性介面的 Hacker News 討論串中,留言者逐字引用該論文,作為垃圾郵件寄件者為何從不清理其明顯破綻的解釋,而微軟研究院至今仍託管該出版品。

追溯依據

參考來源

  1. Why Do Nigerian Scammers Say They are From Nigeria? Microsoft Research · microsoft.com
  2. Dark Patterns – User Interfaces Designed to Trick People [video] Hacker News · news.ycombinator.com ·