[논문 리뷰] Generative Models for Spear Phishing Posts on Social Media

John Seymour, Philip Tully|arXiv (Cornell University)|2018. 02. 14.

Spam and Phishing Detection참고 문헌 5인용 수 7

한 줄 요약

이 논문은 대상의 소셜 미디어 콘텐츠를 활용하여 신뢰할 만하고 클릭률이 높은 메시지를 만드는 LSTM 기반의 생성 모델을 제안한다. 이 시스템은 대상의 타임라인에서 주제를 동적으로 시딩하고 피크 활동 시간대에 게시물을 스케줄링하여 30–66%의 클릭률을 달성한다. 이는 이전 이메일 피싱 공격의 성공률을 삼배로 뛰어넘는 성과이다.

ABSTRACT

Historically, machine learning in computer security has prioritized defense: think intrusion detection systems, malware classification, and botnet traffic identification. Offense can benefit from data just as well. Social networks, with their access to extensive personal data, bot-friendly APIs, colloquial syntax, and prevalence of shortened links, are the perfect venues for spreading machine-generated malicious content. We aim to discover what capabilities an adversary might utilize in such a domain. We present a long short-term memory (LSTM) neural network that learns to socially engineer specific users into clicking on deceptive URLs. The model is trained with word vector representations of social media posts, and in order to make a click-through more likely, it is dynamically seeded with topics extracted from the target's timeline. We augment the model with clustering to triage high value targets based on their level of social engagement, and measure success of the LSTM's phishing expedition using click-rates of IP-tracked links. We achieve state of the art success rates, tripling those of historic email attack campaigns, and outperform humans manually performing the same task.

연구 동기 및 목표

• 기계 학습이 사이버 공격에서 공격적으로 활용될 수 있는 방법을 조사하는 것, 특히 소셜 미디어에서 개인화된 스피어 피싱을 자동화하는 데 초점한다.
• 공개된 소셜 미디어 데이터를 사용해 개인 대상에 맞춘 메시지를 타이밍에 맞게 조정하는 자동화된 사회 공학 도구의 격차를 메우는 것.
• 대규모 공격의 확장성과 스피어 피싱의 정밀성을 융합하여 전통적인 피싱 캠페인의 낮은 성공률을 향상시키는 것.
• 실제 소셜 미디어 환경에서 기계가 생성한 피싱 콘텐츠의 효과성을 인간이 운영하는 캠페인과 비교 평가하는 것.
• 소셜 미디어의 비공식적 언어, 약어 링크, 공개 데이터가 자동화된 고영향력 공격에 적합한 환경임을 입증하는 것.

제안 방법

• 대상의 소셜 미디어 게시물의 단어 벡터 표현을 기반으로 LSTM 신경망을 훈련시어 개인화된 피싱 메시지를 생성한다.
• 대상의 소셜 미디어 타임라인에서 추출한 주제로 LSTM를 동적으로 시딩하여 메시지의 관련성과 위조되지 않은 느낌을 높인다.
• 참여도 지표, 팔로워 상호작용, 프로필 설정을 기반으로 KMeans 클러스터링(k=3)을 사용해 고가치 대상을 선별한다.
• 대상의 이력적 게시 시간 분포 히스토그램 분석을 통해 피크 활동 시간대에 피싱 게시물을 스케줄링한다.
• 클릭 수를 IP 추적 링크를 통해 추적하기 위해, 대상의 사용자명을 파rameter로 포함한 시뮬레이션된 피싱 URL을 사용한다 (예: https://www.google.com/?screen_name=[TARGET]).
• 가짜이지만 현실적인 프로필 데이터와 정상적인 상호작용을 가진 소셜 미디어 계정을 활용해 신뢰도를 높이고 탐지 회피를 도모한다.

실험 결과

연구 질문

• RQ1 기계 학습이 전통적인 피싱 캠페인보다 훨씬 높은 클릭률을 달성할 수 있는 사회 공학적 소셜 미디어 게시물을 생성할 수 있는가?
• RQ2 대상의 소셜 미디어 콘텐츠를 기반으로 한 개인화가 소셜 미디어 피싱 공격의 성공률을 얼마나 향상시키는가?
• RQ3 자동화된 기계 학습 시스템의 성능이 인간이 동일한 스피어 피싱 작업을 수행할 때 대비 처리량과 클릭률 측면에서 어떻게 다른가?
• RQ4 피크 활동 시간대에 게시물을 스케줄링하는 것이 자동화된 피싱 메시지의 효과성 향상에 어떤 역할을 하는가?
• RQ5 소셜 미디어 플랫폼의 특성—비공식적 언어, 약어 링크, 공개 데이터 노출—등이 자동화된 피싱의 가능성과 성공에 어떤 영향을 미치는가?

주요 결과

• 자동화된 시스템은 30%에서 66%의 클릭률을 달성했으며, 이는 이전 이메일 피싱 캠페인의 평균 성공률 5–14%를 크게 뛰어넘는 성과이다.
• 이 시스템은 분당 6.85개의 게시물을 처리했고, 인간의 1.075개 대비 뚜렷한 효율성 우위를 보였다.
• 두 시간 이내로 시스템은 최대 275명의 클릭을 기록했고, 인간 경쟁자 대비 49명에 그쳐, 더 높은 확장성과 효과성을 입증했다.
• 피크 활동 시간대에 게시물을 스케줄링하는 것이 핵심이었으며, 이 기능을 제거하면 클릭률이 극적으로 감소해 시간대 설정이 성공의 핵심 요소임을 입증했다.
• 클릭의 30%는 t.co 참조자에서 유래했으며 인간의 상호작용임을 시사했고, 36%는 봇 기반일 가능성 낮은 고유한 국가에서 발생해 상호작용의 진정성을 강화했다.
• 모델이 생성한 메시지가 동일한 작업에서 인간이 생성한 메시지보다 더 효과적이었으며, 사회 공학에서 데이터 기반 개인화 자동화의 우수성을 입증했다.