Usare l'IA per combattere gli attacchi di phishing

Gli attacchi di Phishing stanno diventando un problema sempre più grande nel mondo digitale. Hanno lo scopo di ingannare le persone per far loro rivelare informazioni sensibili, come password o numeri di carte di credito, fingendosi fonti affidabili. Riconoscere questi tentativi di phishing può essere difficile, soprattutto perché gli attaccanti cambiano costantemente le loro strategie. I metodi tradizionali spesso si basano su elenchi noti di siti ingannevoli, ma queste liste possono perdere minacce nuove. Per affrontare questo problema, i ricercatori stanno esplorando modi per usare tecnologie avanzate, come i modelli di linguaggio di grandi dimensioni (LLM), per migliorare la rilevazione delle pagine web di phishing.

#La Sfida della Rilevazione del Phishing

Rilevare le pagine web di phishing è complesso per diversi motivi. Innanzitutto, gli attaccanti spesso creano pagine web che sembrano molto simili a siti noti e legittimi. Questa somiglianza aiuta a ingannare gli utenti facendogli credere di trovarsi su un sito fidato. Di conseguenza, i metodi di rilevazione convenzionali che si concentrano esclusivamente sull'aspetto di un sito possono avere difficoltà a tenere il passo.

Molte soluzioni attuali utilizzano algoritmi di apprendimento automatico (ML) per identificare siti di phishing basandosi sulle loro caratteristiche. Ad esempio, alcuni modelli sono addestrati per riconoscere i loghi e i temi di marchi popolari. Tuttavia, questi modelli richiedono molti dati e aggiornamenti costanti man mano che emergono nuove tecniche di phishing.

#Approcci Tradizionali

La maggior parte delle soluzioni esistenti utilizza un metodo chiamato "rilevazione basata sul marchio". Questo significa che cercano pagine web che cercano di imitare gli stili visivi di marchi noti. Questi sistemi analizzano immagini e testi sulle pagine web per identificare possibili minacce.

Anche se la rilevazione basata sul marchio ha i suoi meriti, ha anche degli svantaggi significativi. I modelli richiedono addestramento su set di dati ampi di esempi etichettati, il che può essere lungo e costoso. Inoltre, necessitano di un elenco costantemente aggiornato di marchi fidati, che può essere difficile da mantenere. Qui entrano in gioco gli LLM.

#Cosa Sono i Modelli di Linguaggio di Grandi Dimensioni?

I modelli di linguaggio di grandi dimensioni sono sistemi di AI avanzati addestrati su enormi quantità di dati testuali provenienti da internet. Possono comprendere e generare testi simili a quelli umani basandosi sui modelli che apprendono da questi dati. Sviluppi recenti hanno portato a LLM multimodali, che possono analizzare non solo testi ma anche immagini. Questa capacità li rende particolarmente utili per rilevare pagine web di phishing, poiché possono valutare vari aspetti di una pagina web, come elementi visivi, temi e contenuto scritto.

#Panoramica dello Studio

Questo studio valuta quanto bene gli LLM multimodali possono rilevare le pagine web di phishing. L'obiettivo è vedere se questi modelli possono identificare efficacemente i tentativi di phishing analizzando sia gli elementi visivi del marchio che il nome di dominio di una pagina web. È proposto un sistema in due fasi, dove la prima fase si concentra sull'identificazione del marchio e la seconda fase verifica se il nome di dominio corrisponde al marchio identificato.

#Raccolta dei Dati

Per testare l'efficacia del modello, è stato creato un nuovo set di dati contenente sia pagine web di phishing che legittime. I ricercatori hanno raccolto dati per tre mesi, esplorando migliaia di siti web per raccogliere esempi di entrambi i tipi. Hanno assicurato che i dati fossero completi filtrando i siti non validi e etichettando manualmente i marchi per accuratezza.

#Design del Sistema

Il sistema di rilevazione basato su LLM opera in due fasi principali:

1. Identificazione del Marchio: Il primo passo prevede l'analisi degli elementi visivi della pagina web (come loghi) e del testo (dal contenuto HTML) per identificare il marchio che sta cercando di imitare.

2. Verifica del Dominio: Una volta identificato il marchio, il sistema lo confronta con il nome di dominio nell'URL. Se i due non corrispondono, la pagina web è probabilmente un tentativo di phishing.

#Fase Uno: Identificazione del Marchio

In questa fase, il sistema utilizza vari input dal sito web per inferire il marchio rappresentato. Ciò può includere immagini dal sito, testo HTML e altri elementi visibili. Il modello è progettato per restituire non solo il marchio identificato, ma anche prove a sostegno della sua decisione.

#Fase Due: Verifica del Dominio

Dopo aver identificato il marchio, la seconda fase verifica se il nome di dominio corrisponde a quel marchio. Questo passo è cruciale perché anche se una pagina sembra appartenere a un marchio fidato, potrebbe in realtà essere ospitata su un dominio diverso, suggerendo un potenziale phishing.

#Valutazione del Sistema

Per valutare l'efficacia di questo sistema basato su LLM, i ricercatori hanno eseguito una serie di test usando vari modelli per vedere quanto bene potessero rilevare gli attacchi di phishing. Si sono concentrati su diversi parametri chiave:

• Precisione: Misura quanto è accurata la rilevazione.
• Richiamo: Misura quante pagine di phishing reali sono state identificate.
• F1-Score: Un equilibrio tra precisione e richiamo.

I test hanno coinvolto l'analisi dell'impatto dell'uso di diversi input dati, come solo immagini, solo testo o una combinazione di entrambi.

#Risultati

I risultati indicano che il sistema basato su LLM funziona incredibilmente bene nell'identificare i tentativi di phishing. Utilizzando sia screenshot che testo HTML, il sistema ha raggiunto alti tassi di precisione e richiamo, superando i metodi di rilevazione tradizionali.

In particolare, due modelli, GPT-4 e Claude, hanno mostrato prestazioni superiori rispetto agli altri. Sono riusciti non solo a identificare con precisione le pagine di phishing, ma hanno anche fornito spiegazioni chiare per le loro decisioni. Questa interpretabilità è cruciale per utenti e sviluppatori per capire perché una pagina è stata segnalata come malevola.

#Confronti con Metodi Esistenti

Rispetto a sistemi consolidati come VisualPhishNet, la rilevazione di phishing basata su LLM ha mostrato un tasso di rilevazione molto più alto. I metodi tradizionali hanno faticato con tecniche di phishing più recenti, mentre gli LLM sono stati in grado di sfruttare la loro comprensione del linguaggio e del contenuto per adattarsi a questi cambiamenti in modo più efficace.

#Costi ed Efficienza

L'uso degli LLM solleva anche domande riguardo ai costi operativi. Lo studio ha esaminato quanto costa eseguire questi modelli in base alla quantità di dati elaborati. I risultati suggeriscono che, mentre i costi possono variare, i benefici di una maggiore accuratezza nella rilevazione possono superare le spese coinvolte nell'uso di questi modelli avanzati.

#Sfide Affrontate

Nonostante i risultati promettenti, lo studio ha evidenziato anche diverse sfide:

• Attacchi Avversi: C'è il rischio che gli attaccanti possano manipolare gli input per ingannare gli LLM facendoli sbagliare. La ricerca ha considerato varie tecniche che potrebbero potenzialmente sfuggire alla rilevazione, anche se gli LLM hanno mostrato robustezza contro molti di questi metodi.

• Aggiornamenti Continui: Proprio come i modelli tradizionali, gli LLM richiedono aggiornamenti costanti ai loro dati di addestramento per rimanere rilevanti contro le tecniche di phishing in evoluzione.

• Accessibilità dei Modelli: La disponibilità degli LLM per gli attaccanti potrebbe portare allo sviluppo di pagine di phishing su misura progettate specificamente per superare questi nuovi sistemi.

#Conclusione

Questo studio dimostra l'efficacia dell'uso di LLM multimodali per la rilevazione del phishing. Impiegando un approccio in due fasi che esamina sia gli elementi visivi che il contenuto testuale delle pagine web, il sistema può identificare in modo più accurato i tentativi di phishing. I risultati mostrano che gli LLM offrono non solo alti tassi di rilevazione, ma forniscono anche utili approfondimenti sui loro processi decisionali.

Lo sviluppo continuo di questi modelli offre grandi promesse per migliorare la sicurezza online e proteggere gli utenti contro gli attacchi di phishing. Con il continuo avanzamento della tecnologia, adattarsi alle nuove tattiche adottate dai criminali informatici sarà cruciale per mantenere difese efficaci. La ricerca futura si concentrerà sul miglioramento di questi modelli e sull'affrontare le loro debolezze per rafforzare ulteriormente le misure di sicurezza.