Detecting Quishing Attacks with Machine Learning Techniques Through QR Code Analysis
Questo articolo propone un nuovo framework di machine learning che rileva gli attacchi di quishing analizzando direttamente i pattern strutturali e dei pixel del codice QR senza estrarne il contenuto incorporato, ottenendo un'elevata accuratezza con XGBoost e dimostrando che le sole caratteristiche visive possono identificare efficacemente i rischi di phishing.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immagina il mondo digitale come una città frenetica dove le informazioni viaggiano su piccole autostrade invisibili. Per anni, la polizia di questa città — gli esperti di cybersecurity — è stata molto brava a individuare i cattivi leggendo le targhe sulle auto (gli URL o indirizzi web) prima che entrassero nel quartiere. Ma recentemente, è arrivato un nuovo tipo di ladro. Invece di guidare un'auto con una targa visibile, stanno distribuendo misteriosi adesivi quadrati bianchi e neri chiamati codici QR. Non puoi leggere cosa c'è dentro l'adesivo solo guardandolo; devi scansionarlo con il tuo telefono per vedere dove conduce. Questo è il mondo del "Quishing" (phishing tramite QR code). Il problema è che nel momento in cui scansioni l'adesivo e il tuo telefono apre il link, il ladro ti ha già ingannato. I vecchi metodi della polizia non possono aiutare perché non possono leggere la targa finché non è troppo tardi. Così, gli scienziati si pongono una grande domanda: possiamo individuare un adesivo falso solo guardando il pattern di quadratini bianchi e neri sull'adesivo stesso, senza nemmeno aprirlo per vedere cosa c'è dentro?
Questo è esattamente ciò che Fouad Trad e Ali Chehab si sono prefissati di fare nel loro nuovo studio. Hanno deciso di smettere di cercare di leggere il messaggio segreto all'interno del codice QR e di trattare invece il codice QR come un'opera d'arte. Si sono chiesti: "I falsi adesivi sembrano diversi da quelli veri, anche se non sappiamo cosa dicono?". Per scoprirlo, hanno costruito un enorme campo di addestramento. Hanno creato un dataset di 10.000 codici QR — 5.000 da siti web sicuri e 5.000 da siti web di phishing (truffa) noti. Si sono assicurati che tutti questi codici avessero la stessa dimensione, stampandoli tutti su identici quadrati di 69 per 69 pixel, in modo che l'unica differenza fosse il pattern dei puntini.
Poi, hanno insegnato a un team di detective digitali (modelli di machine learning) a guardare questi quadrati. Non hanno usato telecamere sofisticate di deep learning; al contrario, hanno usato strumenti investigativi classici come Decision Trees, Random Forests e XGBoost. Hanno chiesto a questi modelli di guardare i minuscoli pixel bianchi e neri e indovinare: "Questo è un adesivo sicuro o una trappola?". I risultati sono stati entusiasmanti. Il miglior detective, un modello chiamato XGBoost, è stato in grado di distinguere la differenza con un alto livello di confidenza, ottenendo un AUC di 0,9106. Questo punteggio suggerisce che guardare la forma e il pattern del codice QR è un modo molto efficace per individuare un falso, anche senza sapere cosa contenga il codice.
Ma i ricercatori non si sono fermati qui. Volevano sapere perché i modelli fossero così bravi. Hanno esaminato la "feature importance", che è come chiedere al detective: "Quale parte dell'adesivo ti ha fatto pensare che fosse falso?". Hanno scoperto qualcosa di sorprendente: la maggior parte dell'adesivo non contava affatto. Grandi porzioni della griglia bianca e nera sono state ignorate dai modelli. È risultato che solo specifiche, minuscole regioni del codice QR contenevano gli indizi. Gettando via le parti inutili dell'immagine e mantenendo solo i pixel importanti, hanno reso i detective ancora più acuti. Il modello LightGBM, utilizzando questo elenco ridotto di indizi, ha migliorato il suo punteggio portandolo a 0,9133.
Il documento esclude esplicitamente l'idea che sia necessario decodificare il codice QR per trovare la minaccia. Gli autori sostengono che cercare di leggere l'URL per primo è pericoloso perché potrebbe esporre l'utente a malware prima ancora che la minaccia venga identificata. Notano anche che il loro lavoro attuale è limitato ai codici QR che contengono link web (URL). Ammettono di non aver testato questo metodo su codici QR che fanno altre cose, come connettersi al Wi-Fi o inviare messaggi di testo, perché non hanno ancora un dataset per quelli. Tuttavia, suggeriscono che, poiché il loro metodo analizza la struttura piuttosto che il contenuto, potrebbe funzionare anche per quegli altri tipi di codici, ma questa rimane una questione per la ricerca futura.
In breve, questo studio suggerisce che possiamo costruire uno scudo di "pre-scansione". Invece di aspettare per vedere dove conduce un codice QR, possiamo guardare il codice stesso e dire: "Quel pattern sembra sospetto; non scansionarlo". Sebbene gli autori siano cauti nell'affermare che questo sia una base per il lavoro futuro e non una soluzione perfetta e finita, i loro risultati dimostrano che analizzare la struttura visiva di un codice QR è un modo potente e promettente per rendere più sicura la nostra città digitale da questi subdoli adesivi.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.