[논문 리뷰] Dark Patterns in the Interaction with Cookie Banners

Philip Hausner, Michael Gertz|arXiv (Cornell University)|2021. 03. 27.

Advanced Malware Detection Techniques참고 문헌 9인용 수 10

한 줄 요약

이 논문은 쿠키 배너에서 사용자에게 쿠키 수락을 유도하는 시각적 조작을 자동으로 탐지하기 위한 기계학습 기반 접근법을 제시한다. HTML, CSS 및 텍스트 특징을 사용하여 '수락' 및 '거부' 버튼을 식별하고, 시각적 설계가 수락을 유리하게 만들 경우를 경고함으로써 독일 웹사이트 2,800개 이상에서 높은 정확도로 탐지하였다.

ABSTRACT

Dark patterns are interface designs that nudge users towards behavior that is against their best interests. Since humans are often not even aware that they are influenced by these malicious patterns, research has to identify ways to protect web users against them. One approach to this is the automatic detection of dark patterns which enables the development of tools that are able to protect users by proactively warning them in cases where they face a dark pattern. In this paper, we present ongoing work in the direction of automatic detection of dark patterns, and outline an example to detect malicious patterns within the domain of cookie banners.

연구 동기 및 목표

• 쿠키 배너에서 사용자 동의를 조작하는 기만적인 UI 패턴의 증가를 다루기 위해.
• 사용자 프라이버시를 보호하기 위해 쿠키 배너의 시각적 및 텍스트 기반 악성 패턴을 자동으로 식별하는 시스템을 개발하기 위해.
• 불확실한 케이스를 인간 검토를 위해 우선순위 정렬하기 위해 활성 학습을 활용하여 수동 레이블링 의존도를 줄이기 위해.
• 사용자에게 웹 인터페이스에서 조작적인 설계 패턴을 경고함으로써 사전적 프라이버시 보호를 가능하게 하기 위해.
• 미래 연구를 위해 쿠키 배너를 초월한 악성 패턴의 확장 가능한 탐지 기반을 마련하기 위해.

제안 방법

• 이 방법은 '수락' 또는 '거부'와 같은 키워드를 가진 저수준 요소를 식별함으로써 쿠키 배너를 하향식으로 탐지한다.
• 클릭 가능한 요소에서 HTML 태그, 텍스트 내용 및 CSS 스타일(예: 색상, 글꼴 두께)을 추출하여 시각적 및 의미적 차이를 분석한다.
• 버튼의 텍스트 특징을 NLP 기법을 사용해 군집화하여 유사한 버튼 유형을 그룹화한 후, 핵심 케이스는 수동 재레이블링을 실시한다.
• 텍스트 및 시각적 특징을 통합한 기반으로 서포트 벡터 분류기를 학습시어 '수락' 및 '거부' 버튼을 구분한다.
• 시각적으로 '수락'과 '거부' 버튼이 다를 경우, 이는 잠재적인 악성 패턴을 시사하므로 이를 경고한다.
• 프레임워크는 DOM을 정적 구조로 간주하고, 텍스트 길이 등의 히وري스틱을 사용하여 다수의 후보 중 가장 가능성이 높은 쿠키 배너를 선택한다.

실험 결과

연구 질문

• RQ1 웹 요소의 구조적 및 스타일적 특징을 사용하여 쿠키 배너의 악성 패턴을 자동으로 탐지할 수 있는가?
• RQ2 쿠키 배너에서 '수락'과 '거부' 버튼 간의 시각적 차이가 얼마나 조작적인 설계를 나타내는가?
• RQ3 텍스트 및 CSS 특징을 기반으로 학습된 기계학습 모델이 다양한 웹사이트에서 쿠키 배너의 버튼 유형을 신뢰성 있게 분류할 수 있는가?
• RQ4 제안된 방법이 실제 쿠키 배너에서 시각적 조작을 탐지하는 데 얼마나 효과적인가?
• RQ5 정적 분석은 동적 또는 행동 기반 악성 패턴을 탐지하는 데 어떤 한계를 갖는가?

주요 결과

• 시스템은 앨렉사 기준 상위 100만 개 웹사이트 데이터셋을 활용하여 독일 도메인(.de)을 가진 웹사이트 2,800개의 쿠키 배너를 성공적으로 추출하고 분석하였다.
• 탐지된 배너의 80% 이상에서 '수락'과 '거부' 버튼 간 시각적 차이가 확인되었으며, 특히 '수락' 옵션이 대조 색상으로 강조된 경우가 많았다.
• ‘거부’를 위해 더 많은 클릭이 필요하거나, 더 시각적으로 덜 두드러지는 경우가 발견되어 강제 행동 및 인터페이스 간섭을 시사하였다.
• 활동 학습의 활용으로 예측의 불확실성이 높은 케이스에 집중함으로써 수동 레이블링 노력이 감소하고, 레이블링 효율성이 향상되었다.
• 히وري스틱과 군집화를 활용하여 다양한 웹사이트에서 배너 후보를 탐지하는 데 있어 프레임워크의 강건성이 입증되었다.
• 이 접근법은 정적 분석에 국한되어 있으며, 아직 동적 상호작용이나 다중 페이지 사용자 행동을 모델링하지 못한다.