Digitale overbelasting kan de waakzaamheid verminderen en manipulatie vergemakkelijken, volgens een analyse gewijd aan technostress en cognitieve soevereiniteit, ondertekend door Eric Farro, expert bij Orange Group, en overgenomen door ZATAZ. Technostress, dat wil zeggen de stress gerelateerd aan het intensieve gebruik van digitale tools, sluit zo aan bij de menselijke factoren die social engineering, die erop gericht is een persoon tot specifiek gedrag te bewegen, uitbuit om een riskante beslissing uit te lokken.
Overbelasting bereidt de grond voor manipulatie
Een melding onderbreekt een zoekopdracht, een andere dwingt tot het wisselen van applicatie, een bericht eist een onmiddellijk antwoord en een technische waarschuwing wacht op bevestiging. Elk van deze verzoeken kan gerechtvaardigd lijken. Hun opeenstapeling fragmentariseert echter het redeneren en bemoeilijkt het stellen van prioriteiten.
Eric Farro beschrijft een onevenwicht tussen de menselijke cognitieve capaciteiten en informatie-omgevingen die hun gebruikers voortdurend aanspreken. Het werkgeheugen, dat tijdelijk de informatie vasthoudt die nodig is voor een taak, kan een beperkte hoeveelheid elementen bevatten. De aandacht selecteert welke worden verwerkt. Wanneer de eisen deze middelen overschrijden, kan het begrip van de situatie verslechteren.
Deze limiet raakt direct het gebied van social engineering. De cybercrimineel probeert informatie te verkrijgen, het openen van een document, het accepteren van een verbinding of het uitvoeren van een handeling. Om dit te bereiken kan hij een beroep doen op vermoeidheid, urgentie en de moeilijkheid om meerdere elementen tegelijk te verifiëren. Het benaderingskanaal blijft een e-mail, een telefoontje, een bericht of een fysieke interactie, terwijl de overbelasting de voorwaarden schept waarin het voorwendsel effectiever wordt.
De analyse geeft een illustratief scenario als voorbeeld: een persoon ontvangt verschillende als prioritair voorgestelde verzoeken, waarna een gesprekspartner die zich voordoet als IT-ondersteuning voorstelt om ‘het probleem op te lossen’. De belofte om weer normaal te kunnen functioneren kan een overhaaste goedkeuring in de hand werken. Dit geval beschrijft een mogelijk mechanisme en komt niet overeen met een in de analyse gerapporteerd incident.
Preventie gaat dus ook over de organisatie van het werk. Een verificatieprocedure moet tijdens een drukke periode uitvoerbaar blijven, want als elke controle een onevenredige moeilijkheid toevoegt, neemt de verleiding om de route af te korten toe. Interfaces, goedkeuringscircuits en het beheer van onderbrekingen dragen zo bij aan de weerbaarheid tegen manipulaties.
Automatisering verplaatst de druk en de risico’s
Autonome agents, systemen die zelfstandig bepaalde handelingen kunnen uitvoeren, kunnen een deel van het werk overnemen. De mens wordt dan supervisor van beslissingen of acties waarvan hij niet langer alle stappen noodzakelijkerwijs volgt. Eric Farro benadrukt dat deze ontwikkeling de cognitieve belasting transformeert zonder te garanderen dat deze afneemt.
De supervisor moet de resultaten begrijpen, anomalieën herkennen en weten wanneer hij moet ingrijpen. Een doorgaans betrouwbare automatisering kan echter de actieve waakzaamheid verminderen. Wanneer een ongebruikelijke gebeurtenis zich voordoet, moet snel de context worden gereconstrueerd en onder druk worden beslist, een situatie waarin een kwaadwillende gesprekspartner een defect van de tool, een dringende uitzondering of een als onmisbaar gepresenteerde goedkeuring zou kunnen aanvoeren.
Sommige technologieën proberen ook vermoeidheid of mentale belasting in te schatten. De analyse noemt met name pupillometrie (meting van variaties in de pupilgrootte), hartslagvariabiliteit, elektrodermale activiteit (variaties in de geleiding van de huid) en bepaalde kenmerken van het toetsaanslaggedrag. Het beoogde doel is om de ondersteuning aan te passen, door informatie te vereenvoudigen, de verdeling van de controle te wijzigen of een systeem in een veilige modus te plaatsen. Een vraag rijst onmiddellijk: wie kan toegang krijgen tot deze schattingen van kwetsbaarheid, en voor welke doeleinden?
Eric Farro beschrijft ook een theoretisch risico voor bewaakcentra. Een actor die zowel de stroom van waarschuwingen als de inschatting van de cognitieve staat van analisten controleert, zou op het juiste moment een overbelasting kunnen proberen te veroorzaken. De bescherming heeft dus betrekking op de verzamelde gegevens, de geproduceerde inferenties en de acties die daaruit kunnen voortvloeien. Lokale verwerking, beperking van centralisatie en scheiding van gebruik behoren tot de onderzochte pistes.
