AI Powered Image Analysis for Phishing Detection

Titolo: Analisi delle Immagini Guidata dall'AI per il Rilevamento del Phishing

1. Il Problema

Il phishing moderno si è evoluto da semplici truffe testuali o basate su URL a sofisticate imitazioni visive. Gli attaccanti copiano loghi, schemi di colori e strutture di layout dei siti legittimi per ingannare gli utenti e bypassare i sistemi di rilevamento tradizionali basati su testo o dominio.

• Limiti degli approcci attuali: I metodi basati su NLP (elaborazione del linguaggio naturale) o analisi strutturale degli URL falliscono quando il contenuto malevolo è incorporato in immagini o quando il testo è offuscato.
• Carenze nella letteratura esistente: La maggior parte degli studi precedenti si concentra esclusivamente sull'accuratezza (accuracy), trascurando metriche critiche come precisione, recall e F1-score. Inoltre, raramente analizzano l'impatto delle diverse soglie decisionali (thresholds), rendendo difficile valutare le prestazioni in scenari reali dove i dati sono sbilanciati (molte più pagine legittime che di phishing).
• Sfide operative: I modelli esistenti spesso faticano a generalizzare su nuove marche o loghi modificati (attacchi zero-day) e mancano di un'analisi robusta del compromesso tra falsi positivi e falsi negativi.

2. Metodologia

Gli autori hanno sviluppato un framework end-to-end per il rilevamento del phishing basato su screenshot di pagine web, confrontando due architetture di visione artificiale moderne: ConvNeXt-Tiny (basata su CNN) e Vision Transformer ViT-Base (basata su Transformer).

Il processo è suddiviso in cinque fasi:

1. Raccolta Dati: È stato creato un dataset bilanciato e aggiornato raccogliendo 28.876 screenshot (18.432 da OpenPhish tramite automazione browser e 10.444 dal dataset PhishIRIS).
2. Preprocessing e Feature Engineering: Le immagini sono state ridimensionate a 224x224 pixel, pulite da duplicati e corruzioni, e sottoposte ad augmentation (rotture casuali, cambi di luminosità, sfocatura gaussiana) per aumentare la diversità. Il dataset è stato diviso in 80% training, 10% validation e 10% testing.
3. Selezione e Inizializzazione del Modello: Sono stati utilizzati due modelli pre-addestrati su ImageNet (Transfer Learning):
   • ConvNeXt-Tiny: Ottimizzato per l'estrazione di caratteristiche locali (loghi, layout).
   • ViT-Base: Utilizza l'attenzione self-attention per modellare le dipendenze contestuali globali.
4. Addestramento e Validazione: I modelli sono stati addestrati con Binary Cross-Entropy e ottimizzatore Adam. È stata eseguita un'ottimizzazione delle iperparametri e un monitoraggio dell'overfitting.
5. Valutazione delle Prestazioni: A differenza degli studi tradizionali, l'analisi si è concentrata sull'ottimizzazione della soglia decisionale. Sono stati testati diversi valori di soglia (da 0.1 a 0.9) per identificare il punto di funzionamento ottimale che bilancia precisione e recall, calcolando le metriche F1-score.

3. Contributi Chiave

• Valutazione Consapevole delle Soglie (Threshold-Aware): Il contributo principale è una metodologia che non si limita all'accuratezza, ma analizza sistematicamente come le prestazioni (Precisione, Recall, F1-score) variano al variare della soglia decisionale, fornendo indicazioni pratiche per il deployment reale.
• Confronto Architettonico Diretto: Un'analisi comparativa rigorosa tra un modello CNN moderno (ConvNeXt) e un modello Transformer (ViT) nello stesso ambiente sperimentale, evidenziando i compromessi tra estrazione di caratteristiche locali e modellazione del contesto globale.
• Framework End-to-End Riproducibile: Sviluppo di un pipeline completo che include la raccolta dati automatizzata, il preprocessing e l'addestramento.
• Open Data: L'intenzione di rilasciare il dataset curato utilizzato nello studio per favorire la riproducibilità e la ricerca futura.

4. Risultati

L'analisi empirica ha mostrato risultati significativi, in particolare riguardo all'efficienza e alla stabilità:

• Prestazioni di ConvNeXt-Tiny:

  • Ha ottenuto le prestazioni migliori complessive.
  • Alla soglia ottimizzata di 0.8, ha raggiunto una Precisione del 99.7%, un Recall del 98.4% e un F1-score del 99.2%.
  • Il modello ha dimostrato una stabilità superiore: le variazioni di precisione e recall sono state graduali al variare della soglia, rendendolo meno sensibile a piccoli spostamenti del confine decisionale.
  • È computazionalmente più efficiente grazie alla sua architettura convoluzionale più leggera.

• Prestazioni di ViT-Base:

  • Ha mostrato prestazioni inferiori rispetto a ConvNeXt, con un F1-score massimo di 0.900 (Precisione 92.0%, Recall 88.0%) alla stessa soglia.
  • Il Recall più basso indica che il modello ha mancato un numero maggiore di siti di phishing rispetto a ConvNeXt.
  • Ha mostrato una maggiore sensibilità alle variazioni della soglia e un costo computazionale di inferenza più elevato.

• Confronto: ConvNeXt-Tiny offre un equilibrio migliore tra rilevamento efficace e controllo dei falsi allarmi, rendendolo più adatto per scenari di produzione reali rispetto a ViT-Base in questo contesto specifico.

5. Significato e Impatto

Questo studio è significativo perché sposta il focus della ricerca sul phishing da metriche teoriche (accuratezza) a metriche operative (F1-score e ottimizzazione delle soglie).

• Implicazioni Pratiche: Dimostra che i modelli basati su CNN, come ConvNeXt, rimangono superiori ai Transformer per il rilevamento visivo del phishing quando si considerano sia l'efficienza computazionale che la capacità di catturare dettagli locali critici (come i loghi contraffatti).
• Deploy Reale: L'approccio "threshold-aware" permette agli amministratori di sistema di adattare il modello alle esigenze specifiche: privilegiare il recall in ambienti ad alta sicurezza (per non perdere nessun attacco) o la precisione in ambienti user-facing (per evitare di bloccare siti legittimi).
• Futuro della Ricerca: Il lavoro sottolinea la necessità di dataset diversificati e aggiornati per affrontare le minacce zero-day e suggerisce che l'ibridazione di architetture CNN e Transformer potrebbe essere la direzione futura per migliorare ulteriormente la robustezza.

In sintesi, il paper fornisce una guida pratica e basata sui dati per implementare sistemi di rilevamento del phishing visivo affidabili, evidenziando come l'ottimizzazione delle soglie sia cruciale tanto quanto la scelta del modello stesso.