기술 요약: 머신러닝을 통한 QR 코드 분석 기반 퀴싱(Quishing) 공격 탐지

문제 정의

디지털 상호작용에서 QR 코드의 확산은 "퀴싱(Quishing, QR 코드 기반 피싱)"이라 불리는 중대한 사이버 보안 위협 요소를 도입했습니다. 가시적인 URL에 의존하는 전통적인 피싱과 달리, 퀴싱은 QR 코드의 불투명한 특성을 악용하여 사용자가 스캔 전 유해성을 판단하는 것을 방근합니다. 기존의 탐지 방식은 주로 페이로드(예: URL 추출 및 검사)를 분석하는 데 집중되어 있으나, 이러한 접근 방식은 다음과 같은 결정적인 한계를 지닙니다:

1. 보안 위험: 위협을 식별하기 전에 페이로드를 해결(Resolve)하여 분석하는 과정에서 사용자와 보안 시스템이 악성 콘텐츠에 의도치 않게 노출될 수 있습니다.
2. 제한된 범위: 기존 탐지 기술은 URL 인코딩된 QR 코드에 국한되는 경우가 많습니다. 그러나 QR 코드는 URL 중심의 방어 체계를 우회할 수 있는 다양한 데이터 유형(Wi-Fi 자격 증명, 결제 정보, 앱 딥링크 등)을 인코딩할 수 있습니다.
3. 난독화: 공격자들은 탐지를 피하기 위해 URL 단축 서비스 및 리다이렉션을 빈번하게 사용하여 페이로드 기반 분석을 복잡하게 만듭니다.

현재 페이로드를 추출하기 전 단계에서 QR 코드의 보안성을 평가할 수 있는 프레임워크는 명확히 부재한 상태입니다.

방법론

본 연구는 페이로드를 추출하거나 디코딩할 필요 없이, QR 코드의 시각적 구조와 픽셀 패턴을 직접 분석하여 퀴싱 공격을 탐지하는 새로운 머신러닝 프레임워크를 제안합니다.

데이터셋 구축

공개된 퀴싱 데이터셋의 부재를 인지하여, 저자들은 PhishStorm 데이터셋에서 파생된 맞춤형 데이터셋을 구축했습니다:

• 출처: 10,000개의 URL (정상 5,000개, 피싱 5,000개).
• 생성: 페이로드로 인한 구조적 변이를 격리하기 위해 제어된 균일한 파라미터를 사용하여 Python qrcode 라이브러리로 QR 코드를 생성했습니다:
  • 버전(Version): 일관된 69×69 픽셀 매트릭스를 생성하기 위해 버전 13으로 고정.
  • 오류 정정(Error Correction): 'low'(15% 허용 오차)로 설정.
  • 박스 크기(Box Size): 1 픽셀.
  • 테두리(Border): 0 픽셀.
• 근거: 실제 환경의 QR 코드는 외관이 다양하지만, 스타일적 커스터마이징과 같은 혼란 변수를 배제하고 타당성의 기초를 확립하기 위해 이 제어된 설정을 선택했습니다. 해당 데이터셋은 GitHub에 공개되어 있습니다.

특징 공학 및 모델

• 입력 표현: 각 69×69 QR 코드 이미지는 모든 픽셀이 개별 특징(Feature) 역할을 하는 균일한 배열로 평탄화(Flattened)되었습니다.
• 알고리즘: 다음 6가지 머신러닝 모델을 평가했습니다:
  • 로지스틱 회귀 (Logistic Regression)
  • 의사 결정 나무 (Decision Trees)
  • 랜덤 포레스트 (Random Forest)
  • 나이브 베이즈 (Naïve Bayes)
  • LightGBM
  • XGBoost
• 학습: 모델은 80/20 분할(학습/테스트)로 학습되었으며, 하이퍼파라미터 튜닝을 위해 10-겹 교차 검증(10-fold cross-validation)을 수행했습니다.
• 특징 선택(Feature Selection): 2차 실험에서는 비정보적 픽셀을 식별하여 특징 공간을 줄이면서도 성능을 유지하거나 개선하는 것을 목표로 특징 중요도를 식별하는 과정을 포함했습니다.

주요 결과

본 연구는 직접적인 QR 코드 분석이 퀴싱 탐지를 위한 실행 가능하고 효과적인 방법임을 입증합니다.

모델 성능 (실험 1)

• 최우수 모델: 트리 기반 앙상블 모델(XGBoost, LightGBM, Random Forest)이 다른 모델들을 크게 앞질렀습니다.
• 최적의 모델: LightGBM이 초기 테스트 단계에서 0.9106의 가장 높은 AUC를 달 기록했으며, XGBoost(0.9083)와 Random Forest(0.8908)가 그 뒤를 이었습니다.
• 기준점(Baseline): 나이브 베이즈는 초기에 낮은 성능(AUC 0.6531)을 보였으며, 이는 특징 최적화 없이는 작업의 난이도가 높음을 시사합니다.

특징 중요도 및 선택 (실험 2 & 3)

• 시각적 패턴: 특징 중요도 맵을 통해 분류 결정이 전체 QR 구조가 아닌 특정 픽셀의 부분 집합에 의존한다는 것을 확인했습니다. QR 코드의 넓은 영역은 예측에 거의 기여하지 않았습니다.
• 성능 향상: 특징 중요도 분석을 기반으로 비정보적 픽셀을 제거함으로써:
  • LightGBM은 (Random Forest가 선택한 특징을 사용하여) 최고 0.9133의 AUC를 달성했습니다.
  • 나이브 베이즈는 (LightGBM이 선택한 특징을 사용할 때) AUC가 0.6531에서 0.8010으로 급격히 상승했습니다.
  • 이는 축소된 고품질의 특징 집합이 모델의 효율성과 정확성을 높인다는 것을 확인시켜 줍니다.

기여도

본 논문은 네 가지 주요 기여를 명시합니다:

1. 새로운 프레임워크: 임베디드된 콘텐츠를 추출하지 않고 QR 코드의 구조와 픽셀 패턴을 분석하는 최초의 퀴싱 탐지용 ML 프레임워크를 제안했습니다.
2. 데이터셋 구축: 향후 연구를 가능하게 하기 위해 라벨링된 피싱 및 정상 QR 코드 데이터셋을 생성하여 공개했습니다.
3. 모델 평가: QR 중심 탐지를 위한 베이스라인을 구축하기 위해 다수의 ML 알고리즘을 체계적으로 평가했습니다.
4. 특징 분석: 특정 시각적 패턴이 피싱 위험과 강하게 상관관계가 있음을 식별하고, 특징 선택이 탐지 성능을 향상시킨다는 것을 입증했습니다.

의의 및 주장

저자들은 본 연구를 **스캔 전 퀴싱 완화(Pre-scan quishing mitigation)**를 향한 기초적인 단계로 규정합니다. 본 연구의 의의는 다음과 같습니다:

• 선제적 방어: 페이로드를 해결할 필요가 없으므로, 위협이 확인되기 전에 사용자와 시스템이 악성 콘텐츠와 상호작용하는 것을 방지합니다.
• 콘텐츠 불가지론(Content Agnosticism): 이 방법은 URL뿐만 아니라 QR 코드에 인코딩된 모든 데이터 유형에 이론적으로 적용 가능하며, 현재의 URL 중심 방어 체계의 간극을 메웁니다.
• 실행 가능성: AUC > 0.91이라는 결과는 구조 및 픽셀 수준의 분석이 전통적인 페이로드 분석의 유효한 대안임을 입증합니다.

본 논문은 현재 데이터셋이 URL 유래 QR 코드에 국한되어 있다는 점을 인정하며 범위를 겸허히 제한하고 있으며, 비-URL 페이로드(예: Wi-Fi 자격 증명)에 대한 접근법을 검증하고 실세계의 변동성(조명, 왜곡, 적대적 섭동 등)에 대한 견고성을 테스트하기 위해 향후 연구가 필요함을 밝히고 있습니다. 저자들은 해석 가능성을 보장하기 위해 딥러닝 모델(CNN, ViT)을 사용하지 않았으나, 이들이 향후 연구의 유망한 방향임을 강조합니다.