[논문 리뷰] Personalized Security Indicators to Detect Application Phishing Attacks in Mobile Platforms

Claudio Marforio, Ramya Jayaram Masti외 3명|arXiv (Cornell University)|2015. 02. 24.

Spam and Phishing Detection참고 문헌 31인용 수 28

한 줄 요약

이 논문은 모바일 애플리케이션 피싱 공격에 대비한 효과적이고 저비용의 개인화된 보안 지표를 제안한다. 대규모 사용자 연구를 통해 개인화된 지표를 사용하는 사용자들이 그렇지 않은 사용자들보다 피싱 공격을 훨씬 더 잘 탐지하는 것으로 나타났으며, 이는 이전에 이들의 비효율성에 대한 가정을 뒤집는 결과이다. 악성 소프트웨어가 존재하는 조건에서도 강화된 보안 설정 프로토콜이 이 솔루션의 효과를 더욱 높인다.

ABSTRACT

Phishing in mobile applications is a relevant threat with successful attacks reported in the wild. In such attacks, malicious mobile applications masquerade as legitimate ones to steal user credentials. In this paper we categorize application phishing attacks in mobile platforms and possible countermeasures. We show that personalized security indicators can help users to detect phishing attacks and have very little deployment cost. Personalized security indicators, however, rely on the user alertness to detect phishing attacks. Previous work in the context of website phishing has shown that users tend to ignore the absence of security indicators and fall victim of the attacker. Consequently, the research community has deemed personalized security indicators as an ineffective phishing detection mechanism. We evaluate personalized security indicators as a phishing detection solution in the context of mobile applications. We conducted a large-scale user study where a significant amount of participants that used personalized security indicators were able to detect phishing. All participants that did not use indicators could not detect the attack and entered their credentials to a phishing application. We found the difference in the attack detection ratio to be statistically significant. Personalized security indicators can, therefore, help phishing detection in mobile applications and their reputation as an anti-phishing mechanism should be reconsidered. We also propose a novel protocol to setup personalized security indicators under a strong adversarial model and provide details on its performance and usability.

연구 동기 및 목표

• 개인화된 보안 지표가 모바일 애플리케이션 피싱 공격을 탐지하는 데 얼마나 효과적인지 평가하는 것.
• 이전 연구의 한계를 해결하기 위해, 웹 기반 시나리오가 아닌 실제 모바일 환경에서 지표를 테스트하는 것.
• 모바일 기기에서 악성 소프트웨어가 존재하는 상황에서도 개인화된 지표를 안전하게 설정할 수 있는 보안 프로토콜을 설계하고 구현하는 것.
• 모바일 플랫폼에서 개인화된 지표가 피싱 방지 수단으로서의 평판을 재평가하는 것.

제안 방법

• 모바일 애플리케이션 피싱 공격 유형을 분류하고 대응 조치를 평가하여, 개인화된 지표를 저비용 구현 솔루션으로 선정하는 것.
• 맞춤형 뱅킹 앱을 사용해 221명의 참가자를 대상으로 한 대규모 사용자 연구를 수행하여 피싱 공격 시뮬레이션을 실시하는 것.
• '처음 사용 시 신뢰' 가정에 의존하지 않는 새로운 보안 설정 프로토콜을 설계하여, 악성 소프트웨어가 존재하는 상황에서도 안전한 지표 등록을 가능하게 하는 것.
• Android 플랫폼에 프로토콜을 구현하고, 30명의 참가자를 대상으로 한 소규모 사용자 연구를 통해 성능과 사용성 평가를 수행하는 것.
• 개인화된 지표를 사용하는 사용자와 사용하지 않는 사용자 간의 피싱 탐지율을 통계적 분석을 통해 비교하는 것.
• 보안 설정 프로토콜을 모바일 애플리케이션에 통합하여 피싱 공격에 대한 지속적인 보호를 보장하는 것.

실험 결과

연구 질문

• RQ1 실제 환경에서 개인화된 보안 지표가 모바일 애플리케이션 피싱 공격을 효과적으로 탐지하는 데 도움이 될 수 있는가?
• RQ2 개인화된 지표를 사용하는 사용자와 사용하지 않는 사용자 간의 피싱 공격 탐지 행동은 어떻게 비교되는가?
• RQ3 악성 소프트웨어가 존재하는 상황에서도 지표 자체의 피싱을 방지할 수 있는 보안 설정 프로토콜을 설계할 수 있는가?
• RQ4 제안된 보안 설정 프로토콜이 모바일 기기에서 사용성과 성능에 어떤 영향을 미치는가?
• RQ5 개인화된 지표가 없는 경우에 비해, 개인화된 지표의 존재가 피싱 탐지율을 유의미하게 향상시키는가?

주요 결과

• 221명의 참가자를 대상으로 한 대규모 사용자 연구에서, 개인화된 보안 지표를 사용한 사용자 중 90%가 피싱 공격을 성공적으로 탐지했다.
• 개인화된 지표를 사용하지 않은 모든 참가자들이 피싱 공격을 탐지하지 못했으며, 악성 애플리케이션에 자격 정보를 입력했다.
• 개인화된 지표를 사용하는 사용자와 사용하지 않는 사용자 간의 피싱 탐지율 차이는 통계적으로 유의미했으며, 개인화된 지표의 효과성을 뒷받침했다.
• 제안된 보안 설정 프로토콜은 '처음 사용 시 신뢰' 가정을 제거함으로써, 기기 내 악성 소프트웨어가 존재하는 상황에서도 개인화된 지표를 안전하게 등록할 수 있도록 했다.
• 30명의 참가자를 대상으로 한 소규모 사용성 연구에서, 설정 프로토콜이 평균적인 모바일 사용자에게도 간편하고 사용하기 쉬운 것으로 나타났다.
• 연구 결과는 연구 공동체에서 널리 공유된 견해인 '개인화된 보안 지표는 피싱 탐지에 효과가 없다'는 견해를 뒤집는다.