[논문 리뷰] Revisiting Email Spoofing Attacks

Hang Hu, Gang Wang|arXiv (Cornell University)|2018. 01. 02.

Spam and Phishing Detection참고 문헌 45인용 수 6

한 줄 요약

이 연구는 913명의 참가자들을 대상으로 한 엔드 투 엔드 측정 및 사용자 연구를 통해 35개 주요 이메일 제공업체의 이메일 위조 방어 조치를 평가한다. 대부분의 제공업체가 위조된 이메일에 대해 사용자에게 경고하지 못하고 있으며, 특히 모바일 환경에서 그러한 문제가 심각하다. 이는 위조 탐지 프로토콜가 존재하지만도 말이다. 비록 시각적 보안 신호가 위험한 행동을 줄이는 데 기여하지만, 이는 일관성 없이 적용되며 실제 피싱 시나리오에서는 종종 효과가 떨어진다.

ABSTRACT

The email system is the central battleground against phishing and social engineering attacks, and yet email providers still face key challenges to authenticate incoming emails. As a result, attackers can apply spoofing techniques to impersonate a trusted entity to conduct highly deceptive phishing attacks. In this work, we study email spoofing to answer three key questions: (1) How do email providers detect and handle forged emails? (2) Under what conditions can forged emails penetrate the defense to reach user inbox? (3) Once the forged email gets in, how email providers warn users? Is the warning truly effective? We answer these questions through end-to-end measurements on 35 popular email providers (used by billions of users), and extensive user studies (N = 913) that consist of both simulated and real-world phishing experiments. We have four key findings. First, most popular email providers have the necessary protocols to detect spoofing, but still allow forged emails to get into user inbox (e.g., Yahoo Mail, iCloud, Gmail). Second, once a forged email gets in, most email providers have no warnings for users, particularly on mobile email apps. Some providers (e.g., Gmail Inbox) even have misleading UIs that make the forged email look authentic. Third, a few email providers (9/35) have implemented visual security cues for unverified emails, which demonstrate a positive impact to reduce risky user actions. Comparing simulated experiments with realistic phishing tests, we observe that the impact of security cue is less significant when users are caught off guard in the real-world setting.

연구 동기 및 목표

• 이메일 제공업체가 위조된 이메일을 어떻게 탐지하고 처리하는지, 특히 SPF/DKIM/DMARC가 올바르게 구현되지 않은 경우를 중심으로 조사한다.
• 위조된 이메일이 필터를 우회하여 사용자 수신함에 도달할 수 있는 조건을 규명한다.
• 피싱 공격 중 사용자 위험을 줄이는 데 시각적 보안 신호의 효과를 평가한다.
• 통제된 실험 기반 사용자 연구와 실제 피싱 실험 간의 행동 차이를 평가하기 위해 비교 분석한다.

제안 방법

• 위조된 발신자 도메인을 사용하여 35개 주요 공용 이메일 제공업체에서 엔드 투 엔드 위조 공격 실험을 수행하여 수신함 배달 및 경고 메커니즘을 테스트한다.
• 2017년 1월과 10월에 Alexa의 상위 100만 개 도메인에서 SPF(45.0%) 및 DMARC(4.6%)의 도입률을 측정한다.
• 모의 피싱 시나리오를 포함한 통제된 사용자 연구(N=913)를 수행하여 사용자가 보안 신호에 어떻게 반응하는지 평가한다.
• 모의 실험의 결과를 검증하기 위해 실제 세계의 피싱 테스트를 수행하여 현실적인 압박 상황에서 사용자 행동을 분석한다.
• 프로필 사진 및 발신자 이름 카드와 같은 UI 디자인 패턴을 분석하여, 이러한 요소들이 위조 공격의 정당성과 신뢰성을 높이는 데 악용될 수 있는지 확인한다.
• 역할 수행 실험과 실시간 피싱 테스트를 결합한 하이브리드 방법론을 사용하여 인위적 조건과 실제 조건에서의 사용자 행동을 비교 분석한다.

실험 결과

연구 질문

• RQ1 주요 이메일 제공업체는 위조된 이메일을 어떻게 탐지하고 처리하는가? 특히 발신자 인증이 실패한 경우에 대해.
• RQ2 SPF/DKIM/DMARC 검사에 실패했음에도 불구하고 위조된 이메일이 사용자 수신함에 도달할 수 있는 조건은 무엇인가?
• RQ3 피싱 공격 중 사용자 위험 행동을 줄이는 데 시각적 보안 신호의 효과는 어느 정도인가?
• RQ4 모의(역할 수행) 실험과 실제 피싱 실험 간의 사용자 행동은 어떻게 다를까?
• RQ5 UI 디자인 선택 사항(예: 프로필 사진, 발신자 이름)이 의도치 않게 위조 공격을 지원하는 정도는 어느 정도인가?

주요 결과

• Gmail, Yahoo Mail, iCloud를 포함한 35개 이메일 제공업체 중 33개는 신원 인증에 실패했음에도 불구하고 특정 조건에서 위조된 이메일을 사용자 수신함에 도달하게 허용한다.
• 35개 제공업체 중 오직 9개만이 확인되지 않은 발신자에게 시각적 보안 신호를 구현하고 있으며, 이 중에서도 오직 4개만이 모바일 앱에서 일관된 신호를 제공한다.
• 많은 제공업체가 기존 연락처를 위조할 경우 내부 데이터베이스에서 발신자 프로필 사진이나 이름을 표시하여 위조된 이메일의 신뢰성과 정당성을 높이는 데 악용된다.
• 보안 신호는 통제된 시뮬레이션 실험에서는 위험한 사용자 행동을 줄이는 데 효과가 있지만, 실제 피싱 환경에서는 그 영향력이 크게 떨어진다.
• Gmail과 같은 일부 제공업체는 웹에서는 빨간 물음표를 표시하지만 모바일에서는 표시하지 않아, 모바일 플랫폼에서 사용자 보호 기능이 약화된다.
• 이 연구는 현재 사용자 수준의 보호 조치가 부족함을 확인한다. 대부분의 사용자는 특히 모바일 기기에서 위조된 이메일을 인지하지 못하고 있다.