Economics of Malware: Security Decisions, Incentives and Externalities

Malicious software, or malware for short, has become a critical security threat to all who rely on the Internet for their daily business, whether they are large organisations or home users. While originating in criminal behaviour, the magnitude and impact of the malware threat are also influenced by the decisions and behaviour of legitimate market players such as Internet Service Providers (ISPs), software vendors, e-commerce companies, hardware manufacturers, registrars and, last but not least, end users. This working paper reports on qualitative empirical research into the incentives of market players when dealing with malware. The results indicate a number of market-based incentive mechanisms that contribute to enhanced security but also other instances in which decentralised actions may lead to sub-optimal outcomes - i.e. where significant externalities emerge. Economie du “Malware” : décisions de sécurité, incitations et externalités Les logiciels malveillants, ou "malware", sont devenus une menace sérieuse pour tout ceux dont les activités quotidiennes reposent sur l‘utilisation d‘Internet, qu‘il s‘agisse de grandes organisations ou de particuliers. Bien qu‘elle trouve sa source dans un comportement criminel, l‘étendue et les conséquences de cette menace sont également influencées par les décisions et les comportements d‘acteurs légitimes du marché tels que les fournisseurs d‘accès Internet, vendeurs de logiciels, entreprises de commerce électronique, fabricants de matériel informatique et registres, sans oublier les utilisateurs finals. Ce document reflète le contenu d‘une recherche qualitative et empirique concernant les incitations des acteurs du marché lorsqu‘ils sont confrontés au malware. Les résultats indiquent qu‘il existe des incitations fondées sur le marché qui contribuent à augmenter la sécurité mais également des cas dans lesquels des actions décentralisées peuvent conduire à des résultats sous-optimaux, i.e. où des externalités significatives émergent.