Wykorzystanie emocji: emocje negatywne

Drugą, równie skuteczną, grupą wiadomości wykorzystywanych w atakach phishingowych, są te, które bazują na silnych negatywnych emocjach, takich jak strach, poczucie winy, wstyd czy obawa przed poważnymi i natychmiastowymi konsekwencjami natury prawnej, finansowej czy wizerunkowej.

Tego typu komunikaty często podszywają się pod oficjalne instytucje państwowe (urzędy skarbowe, policja, prokuratura), banki, firmy windykacyjne czy nawet popularne firmy kurierskie. Wiadomości te umiejętnie wykorzystują autorytet tych podmiotów, aby wzbudzić poczucie zagrożenia i konieczności pilnego działania. Na te metody są szczególnie narażeni mieszkańcy krajów i regionów, gdzie panuje historycznie lub kulturowo niski poziom zaufania do organów państwowych lub gdzie częste zmiany w prawie generują dużą niepewność regulacyjną i strach przed biurokratycznymi pomyłkami.

Kiedy więc ofiara otrzymuje wiadomość, która sugeruje konieczność natychmiastowego uniknięcia kary, postępowania prawnego lub innej dotkliwej sankcji, wywołuje to u niej reakcję natychmiastową i silnie emocjonalną. Przykładowe nagłówki to: „Zapłać 'zaległe’ 10 euro, zanim zgłosimy to jako przestępstwo wyłudzenia” (często z fałszywym powołaniem się na niski próg kwoty), „Ostatnie wezwanie do zapłaty mandatu z wyznaczoną datą 24h” lub „Twoje konto zostało tymczasowo zablokowane z powodu podejrzanej aktywności – odblokuj natychmiast, klikając poniższy link” (często podszywając się pod bank).

Tego rodzaju presja psychologiczna działa błyskawicznie. Adresat wiadomości zaczyna odczuwać silny niepokój, stres i poczucie winy lub wstydu (szczególnie, gdy treść sugeruje kompromitację). W efekcie, pojawia się nieodparta chęć jak najszybszego rozwiązania problemu, aby uniknąć większych tarapatów, skomplikowanej biurokracji, utraty wizerunku czy eskalacji kosztów. Lęk przed utratą pieniędzy, reputacji, czy nieprzyjemnościami prawnymi jest w tym momencie silniejszy niż racjonalna, krytyczna analiza treści wiadomości i jej źródła. W pośpiechu i pod wpływem emocji, ofiara jest skłonna kliknąć w złośliwy link, pobrać zainfekowany załącznik lub podać swoje poufne dane, tracąc zdolność do weryfikacji.