[论文解读] Why Johnny can't rely on anti-phishing educational interventions to protect himself against contemporary phishing attacks?

Matheesha Fernando, Nalin Asanka Gamagedara Arachchilage|arXiv (Cornell University)|Apr 28, 2020

Spam and Phishing Detection参考文献 18被引用 4

一句话总结

本文研究了当前反钓鱼教育干预措施对现代钓鱼技术的有效性，揭示出过时的教学内容——尤其是聚焦于基于IP的URL混淆——无法应对新兴的攻击方法。研究发现，当代钓鱼攻击中使用的两种新型混淆技术（punycode 和 homoglyphs）在现有教育材料中均缺失，尽管已开展教育努力，但仍削弱了用户防护。

ABSTRACT

Phishing is a way of stealing people's sensitive information such as username, password and banking details by disguising as a legitimate entity (i.e. email, website). Anti-phishing education considered to be vital in strengthening "human", the weakest link in information security. Previous research in anti-phishing education focuses on improving educational interventions to better interact the end user. However, one can argue that existing anti-phishing educational interventions are limited in success due to their outdated teaching content incorporated. Furthermore, teaching outdated anti-phishing techniques might not help combat contemporary phishing attacks. Therefore, this research focuses on investigating the obfuscation techniques of phishing URLs used in anti-phishing education against the contemporary phishing attacks reported in PhishTank.com. Our results showed that URL obfuscation with IP address has become insignificant and it revealed two emerging URL obfuscation techniques, that attackers use lately, haven't been incorporated into existing anti-phishing educational interventions.

研究动机与目标

• 评估现有反钓鱼教育干预措施对当前钓鱼攻击技术的相关性。
• 识别当代钓鱼攻击中使用的新兴URL混淆技术。
• 评估现有教育内容是否涵盖这些新型混淆方法。
• 突出现代钓鱼战术与传统反钓鱼培训之间的差距。
• 倡导更新教育课程，纳入新兴的钓鱼技术。

提出的方法

• 分析了指定URL来源中报告的当代钓鱼URL数据集。
• 识别并分类了现代钓鱼攻击中使用的URL混淆技术。
• 将这些混淆技术与现有反钓鱼教育干预内容进行对比。
• 评估现有教育材料与现实世界钓鱼战术之间的契合度。
• 重点识别教育内容中缺失或过时的教学要点，特别是关于URL结构和混淆技术的部分。
• 采用定性与比较分析方法，评估教育内容对当前威胁的相关性。

实验结果

研究问题

• RQ1 当前的反钓鱼教育干预措施对现代钓鱼攻击是否有效？
• RQ2 当代钓鱼攻击中主要使用的URL混淆技术有哪些？
• RQ3 现有反钓鱼教育材料在多大程度上涵盖了这些新兴混淆技术？
• RQ4 为何传统反钓鱼教育项目无法有效保护用户免受现代钓鱼威胁？
• RQ5 当前教育内容中缺失了哪些具体的混淆技术？

主要发现

• 在混淆URL中使用IP地址在现代钓鱼攻击中已基本不再重要。
• 两种新兴的混淆技术——punycode 和 homoglyphs——尚未被纳入现有的反钓鱼教育干预措施中。
• 钓鱼攻击越来越多地使用视觉和技术性混淆手段，绕过传统用户意识培训。
• 现有教育内容仍集中于过时的技术，例如识别基于IP的URL，而这些技术如今已不再普遍。
• 当前教育内容与现实世界钓鱼战术之间的差距，削弱了反钓鱼培训的有效性。
• 迫切需要更新反钓鱼教育，将现代混淆方法（如 homoglyphs 和 punycode）纳入教学，以提升用户应对能力。