[论文解读] Identifying Compromised Accounts on Social Media Using Statistical Text Analysis

Dominic Seyler, Lunan Li+1 more|arXiv (Cornell University)|Apr 19, 2018

Spam and Phishing Detection参考文献 17被引用 7

一句话总结

本文提出了一种统计文本分析框架，通过识别合法用户与恶意行为者之间的语言偏差，检测被入侵的社交媒体账户。基于1.29亿条推文的Twitter语料库，利用语言建模与监督学习，该方法通过测量用户与发垃圾信息者语言模型之间的相似性，实现了出色的检测性能。

ABSTRACT

Compromised social media accounts are legitimate user accounts that have been hijacked by a third (malicious) party and can cause various kinds of damage. Early detection of such compromised accounts is very important in order to control the damage. In this work we propose a novel general framework for discovering compromised accounts by utilizing statistical text analysis. The framework is built on the observation that users will use language that is measurably different from the language that a hacker (or spammer) would use, when the account is compromised. We use the framework to develop specific algorithms based on language modeling and use the similarity of language models of users and spammers as features in a supervised learning setup to identify compromised accounts. Evaluation results on a large Twitter corpus of over 129 million tweets show promising results of the proposed approach.

研究动机与目标

• 应对日益增长的账户被劫持威胁，此类账户可能传播虚假信息和垃圾信息。
• 尽早识别被入侵账户，以限制恶意活动造成的损害。
• 开发一种可泛化的框架，通过语言模式而非行为启发式方法检测账户被入侵。
• 利用统计语言建模区分真实用户语言与黑客或发垃圾信息者语言。

提出的方法

• 该框架基于用户和已知发垃圾信息者账户的推文内容，为个体用户和发垃圾信息者账户构建语言模型。
• 使用统计距离度量方法计算用户语言模型与参考发垃圾信息者语言模型之间的相似性。
• 相似性得分作为监督机器学习流程中的关键特征，用于将账户分类为被入侵或未被入侵。
• 该方法在包含超过1.29亿条推文的大规模Twitter语料库上进行训练和评估。
• 使用带标签数据的监督学习，基于语言差异优化检测性能。
• 该方法具有可泛化性，不依赖于特定账户元数据或行为模式。

实验结果

研究问题

• RQ1 合法用户与发垃圾信息者之间的语言差异是否能可靠地指示账户被入侵？
• RQ2 语言模型相似性在区分被入侵账户与正常账户方面有多有效？
• RQ3 统计文本分析框架能否在社交媒体的多样化用户群体中实现泛化？
• RQ4 仅使用推文中的文本特征，能够实现多高的检测准确率？

主要发现

• 所提出的框架在包含超过1.29亿条推文的大规模Twitter数据集上实现了出色的检测性能。
• 用户与发垃圾信息者之间的语言模型相似性，是识别被入侵账户的强有力判别特征。
• 该方法仅基于文本内容即可成功检测被入侵账户，无需依赖行为或元数据信号。
• 由于依赖统计语言建模，该框架在多样化用户群体中表现出良好的泛化能力。
• 结果表明，与用户正常写作风格的语义偏差是账户被劫持的可靠指标。