AI Powered Image Analysis for Phishing Detection

1. Problématique

Les attaques de phishing (hameçonnage) ont évolué pour contourner les systèmes de détection traditionnels basés sur l'analyse textuelle ou les URLs. Les attaquants utilisent désormais une imitation visuelle sophistiquée (logos copiés, mises en page similaires, schémas de couleurs identiques) pour tromper les utilisateurs et éviter les filtres.

Les défis majeurs identifiés dans la littérature actuelle sont :

• Dépendance aux métriques d'exactitude (Accuracy) : La plupart des études se concentrent uniquement sur le taux d'exactitude, ce qui est trompeur sur des jeux de données déséquilibrés (où les sites légitimes sont bien plus nombreux que les sites de phishing).
• Manque d'analyse des seuils de décision : Peu de modèles évaluent comment leur performance (précision, rappel) varie selon le seuil de décision, ce qui est crucial pour un déploiement réel où l'équilibre entre faux positifs et faux négatifs doit être géré.
• Limites de la généralisation : Les modèles existants peinent souvent à détecter de nouvelles marques ou des logos modifiés (attaques zero-day) en raison d'un manque de diversité dans les jeux de données d'entraînement.

2. Méthodologie

L'étude propose un cadre de travail complet (end-to-end) pour la détection de phishing basée sur des captures d'écran de pages web.

• Collecte et Construction du Jeu de Données :

  • Création d'un jeu de données équilibré et à jour contenant 28 876 captures d'écran.
  • Sources : 18 432 images collectées automatiquement via Playwright à partir de flux OpenPhish, complétées par 10 444 images du jeu de données PhishIRIS.
  • Prétraitement : Redimensionnement à 224x224 pixels, suppression des doublons, et augmentation des données (flips, changements de luminosité, flou gaussien, recadrage).
  • Division : 80 % pour l'entraînement, 10 % pour la validation, 10 % pour le test.

• Sélection des Modèles :
  Deux architectures de vision par ordinateur ont été comparées dans le même cadre expérimental :

  1. ConvNeXt-Tiny : Un modèle CNN moderne optimisé pour l'efficacité et la reconnaissance de caractéristiques locales (logos, détails de mise en page).
  2. Vision Transformer (ViT-Base) : Un modèle basé sur l'attention qui capture les dépendances contextuelles globales de la structure de la page.
  • Les deux modèles utilisent le Transfer Learning avec des poids pré-entraînés sur ImageNet.

• Entraînement et Optimisation :

  • Utilisation de la fonction de perte Binary Cross-Entropy et de l'optimiseur Adam.
  • Optimisation des seuils (Threshold Tuning) : Contrairement à l'approche standard (seuil de 0,5), l'étude teste systématiquement différents seuils de décision pour identifier le point de fonctionnement optimal maximisant le score F1 tout en contrôlant les faux positifs.

• Évaluation :

  • Les performances sont mesurées non pas par l'exactitude, mais par la Précision, le Rappel et le Score F1.

3. Contributions Clés

1. Méthodologie d'évaluation consciente du seuil : Introduction d'une approche qui optimise les métriques (Précision, Rappel, F1) pour des conditions de déploiement réel, plutôt que de se fier uniquement à l'exactitude globale.
2. Analyse comparative architecturale : Une comparaison directe entre un modèle CNN (ConvNeXt-Tiny) et un modèle Transformer (ViT-Base) pour la détection visuelle de phishing, mettant en lumière les compromis entre efficacité computationnelle et modélisation contextuelle.
3. Cadre de détection complet : Présentation d'un pipeline reproductible allant de la collecte de données à l'analyse des seuils.
4. Partage des données : Engagement à publier le jeu de données curaté pour favoriser la reproductibilité et la recherche future.

4. Résultats

Les expériences ont été menées sur le jeu de données mixte avec une optimisation des seuils.

• Performance de ConvNeXt-Tiny :

  • A obtenu les meilleures performances globales.
  • Seuil optimal : 0,8.
  • Métriques au seuil optimal : Précision = 99,7 %, Rappel = 98,4 %, Score F1 = 99,2 %.
  • Le modèle montre une grande stabilité : les variations de précision et de rappel sont progressives lors du changement de seuil, ce qui le rend robuste pour le déploiement.

• Performance de ViT-Base :

  • Bien que performant, il a obtenu un score F1 maximal inférieur (90,0 % au seuil de 0,8).
  • Métriques au seuil optimal : Précision = 92,0 %, Rappel = 88,0 %.
  • Le modèle présente un rappel plus faible, indiquant qu'il rate plus d'instances de phishing que ConvNeXt-Tiny. Il est également plus sensible aux changements de seuil et plus coûteux en termes de calcul.

• Efficacité : ConvNeXt-Tiny est nettement plus léger et moins coûteux en calcul (inférence plus rapide) grâce à sa conception convolutionnelle, le rendant plus adapté aux systèmes en temps réel.

5. Signification et Conclusion

Cette étude démontre que pour la détection de phishing basée sur l'image, les modèles convolutionnels modernes (comme ConvNeXt-Tiny) surpassent actuellement les architectures basées sur les Transformers (ViT) en termes d'équilibre entre précision, rappel et efficacité computationnelle, surtout lorsque des jeux de données de taille modérée sont utilisés.

L'apport le plus significatif réside dans la démonstration que l'optimisation du seuil de décision est critique. Un modèle avec une haute exactitude peut être inutile en production s'il génère trop de faux positifs ou de faux négatifs. En ajustant le seuil à 0,8, l'équipe a trouvé un point de fonctionnement idéal qui maximise la détection des menaces tout en minimisant les blocages de sites légitimes.

Enfin, la disponibilité future du jeu de données et la méthodologie transparente offrent une base solide pour le développement de systèmes de cybersécurité plus robustes capables de contrer les attaques visuelles évolutives.