Why People Click, lessons from qualitative research

Valeur des informations & solidité de l’argumentation

La valeur des informations est élevée : les intervenants présentent des données originales et de grande ampleur, issues de leur propre plateforme et d’une analyse indépendante. Ils apportent des nuances importantes, comme la distinction entre cliquer et signaler, et remettent en question certaines idées reçues (ex. l’efficacité des formations annuelles). L’argumentation est solide, appuyée par des statistiques et des références à des études (ex. Ho et al., UCSD). Ils reconnaissent les limites de leurs données et adoptent une démarche scientifique rigoureuse, notamment en testant des hypothèses et en discutant des biais potentiels.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est bonne : les intervenants citent des études académiques et présentent des données chiffrées. Ils sont transparents sur les méthodes (analyse bayésienne) et les limites. Les sources mentionnées incluent des liens vers des organisations et des projets pertinents (HC2P, Beauceron, etc.). L’adéquation entre le titre et le contenu est bonne, bien que le titre soit un peu générique. La qualité des sources est correcte, mais certaines références ne sont pas détaillées (ex. études citées sans URL).

Le titre reflète bien le contenu : l'essentiel de la présentation porte sur les raisons pour lesquelles les utilisateurs cliquent sur des simulations de phishing, appuyé par des données qualitatives et quantitatives.

8/10

Présentation basée sur des données réelles de grande ampleur (170 000 personnes, 15 millions de simulations) et une analyse statistique bayésienne, avec une discussion critique des limites et des biais. Les intervenants sont reconnus dans le domaine et adoptent une démarche scientifique transparente.

• 00:00Welcome & Introductions
• 03:49What “cyber” really means: cybernetics, humans–technology–control
• 06:03Why humans matter in cyber defence
• 07:53Phishing 101
• 09:29Do phishing simulations work?
• 13:04Beauceron dataset: 1,300 orgs, 170k people, 15M simulations
• 14:02Training decay over time
• 21:31When people click
• 23:43Security fatigue
• 25:12Attitudes & risk
• 28:56Over‑trusting security tools doubles risk
• 30:49“Aggressive mimicry”
• 33:09Emotions & clicks
• 38:36Monday morning myth?
• 40:53Teach in the moment
• 41:13Why people clicked
• 42:39Habits, vigilance & better training design
• 42:54“Phishing tests = fire drills?”
• 45:03Q&A begins
• 45:24Q1: Why people still click after training
• 50:37Q2: Attitudes/beliefs that increase phishing vulnerability
• 53:06Q3: Fear‑based vs. empowerment‑based awareness campaigns
• 56:21Closing remarks

• Cybercrimeology podcast — Podcast animé par Michael Joyce, mentionné comme source d'information sur la cybercriminalité.
• Human-Centric Cybersecurity Partnership (HC2P) — Organisation dirigée par Michael Joyce, partenaire de recherche.
• Canada's Smart Cybersecurity Network (SERENE-RISC) — Réseau de mobilisation des connaissances en cybersécurité, mentionné par Michael Joyce.
• Laboratoire de prévention de la cybercriminalité — Laboratoire de recherche où Michael Joyce est doctorant.
• Canadian Institute for Cybersecurity (CIC) — Institut organisateur de la conférence.

• Étude de l'Université de Californie à San Diego (UCSD) — Étude citée par David Shipley, montrant que certaines méthodes de formation ne réduisent pas le taux de clic.

• cyberdailyreport.com
• www.linkedin.com
• youtu.be