Development of a Quishing Simulation Testbed for Training and Awareness Assessment in Educational Institutions

Abstract

This independent study aims to 1) develop a simulation testbed for Quishing attacks within an educational institution, 2) simulate QR Code Phishing attack scenarios via email, 3) study user behaviors, and 4) evaluate the effect of cybersecurity awareness training on user behaviors. This study employed an experimental research design, utilizing a system developed on a Virtual Private Server (VPS) integrated with the GoPhish platform. The sample consisted of 28 personnel from the educational institution, divided into an onsite training group (18 participants) and a self-learning group (10 participants). Data collection instruments included a knowledge assessment quiz and a 3-phase attack simulation: T1 (pre-training), T2, and T3 (short-term and long-term post-training). The results revealed that the developed testbed could simulate scenarios realistically and securely. Regarding behavioral outcomes in the T1 pre-training phase, the overall sample exhibited a scan and data submission (victimization) rate of 10.71%, with an incident reporting rate of only 7.14%. Following the training, the theoretical knowledge test indicated that there was no significant difference in the average knowledge scores between the onsite and self-learning groups were significantly different at the .05 level (p = .277). However, regarding practical behaviors in the T2 and T3 phases, the victimization rate for both groups completely decreased to 0.00%. This finding demonstrates that both training modalities were equally highly effective in deterring risky behaviors. Nevertheless, the incident reporting rate remained constant at 7.14%. In conclusion, integrating attack simulations into training programs can concretely elevate cybersecurity awareness. The researcher recommends that educational institutions continuously utilize this testbed for behavioral risk assessment, coupled with adopting passwordless authentication (FIDO2) and fostering a sustainable culture of cybersecurity incident reporting.

การค้นคว้าอิสระฉบับนี้มีวัตถุประสงค์เพื่อ 1) พัฒนาสภาพแวดล้อมทดสอบสำหรับ จำลองการโจมตีแบบ Quishing ภายในสถาบันการศึกษา 2) จำลองสถานการณ์การโจมตีแบบ QR Code Phishing ผ่านช่องทางอีเมล 3) ศึกษาพฤติกรรมของผู้ใช้งาน และ 4) ประเมินผล ของการฝึกอบรมความตระหนักรู้ด้านความมั่นคงปลอดภัยไซเบอร์ต่อพฤติกรรมของผู้ใช้ การศึกษาครั้งนี้เป็นการวิจัยเชิงทดลอง (Experimental Research) โดยพัฒนาระบบบนเซิร์ฟเวอร์เสมือน (VPS) ร่วมกับแพลตฟอร์ม GoPhish ประชากรกลุ่มตัวอย่างคือบุคลากร ในสถาบันการศึกษาจำนวน 28 คน แบ่งเป็นกลุ่มที่ได้รับการฝึกอบรมแบบพบหน้า (Onsite) จำนวน 18 คน และกลุ่มการเรียนรู้ด้วยตนเอง (Self-learning) จำนวน 10 คน เครื่องมือที่ใช้ ในการเก็บข้อมูลประกอบด้วย การจำลองสถานการณ์โจมตี 3 ระยะ ได้แก่ T1 (ก่อนอบรม), T2 และ T3 (หลังอบรมระยะสั้นและระยะยาว) และแบบทดสอบประเมินความรู้ ผลการวิจัยพบว่า สภาพแวดล้อมทดสอบที่พัฒนาขึ้นสามารถจำลองสถานการณ์ ได้อย่างสมจริงและปลอดภัย ในด้านพฤติกรรมระยะ T1 ก่อนการฝึกอบรม ภาพรวมของประชากรมีอัตราการสแกนและกรอกข้อมูล (ตกเป็นเหยื่อ) ร้อยละ 10.71 และมีอัตราการรายงานเหตุการณ์ผิดปกติ (Reporting) เพียงร้อยละ 7.14 ภายหลังการฝึกอบรม ผลการทดสอบความรู้เชิงทฤษฎีพบว่าคะแนนความรู้เฉลี่ยของกลุ่ม Onsite และกลุ่ม Self-learning ไม่มีความแตกต่างกัน อย่างมีนัยสำคัญทางสถิติที่ระดับ .05 (p = .277) อย่างไรก็ตาม ในด้านพฤติกรรมเชิงปฏิบัติระยะ T2 และ T3 พบว่าอัตราการตกเป็นเหยื่อของประชากรทั้งสองกลุ่มลดลงสู่ระดับร้อยละ 0.00 อย่างสมบูรณ์ ซึ่งสะท้อนให้เห็นว่ารูปแบบการฝึกอบรมทั้งสองประเภทมีประสิทธิภาพสูงทัดเทียมกันในการยับยั้งพฤติกรรมความเสี่ยง ทว่าอัตราการรายงานเหตุการณ์ยังคงที่อยู่ที่ ร้อยละ 7.14 สรุปได้ว่าการบูรณาการการจำลองสถานการณ์เข้ากับการฝึกอบรมสามารถยกระดับความตระหนักรู้ได้อย่างเป็นรูปธรรม ผู้วิจัยมีข้อเสนอแนะให้สถาบันการศึกษานำระบบทดสอบนี้ ไปใช้ประเมินความเสี่ยงอย่างต่อเนื่อง ควบคู่กับการยกระดับมาตรการยืนยันตัวตนแบบไร้รหัสผ่าน (FIDO2) และส่งเสริมวัฒนธรรมการรายงานเหตุการณ์ด้านความมั่นคงปลอดภัยให้เกิดขึ้นอย่างยั่งยืน