AI Powered Image Analysis for Phishing Detection

Título: Análise de Imagem Impulsionada por IA para Detecção de Phishing

1. Problema e Motivação

O phishing evoluiu de ataques baseados em texto e URL para imitação visual sofisticada. Os atacantes agora copiam logotipos, esquemas de cores e estruturas de layout de sites legítimos para enganar os usuários e evadir sistemas de detecção tradicionais baseados em análise de texto ou domínio.

• Limitações das abordagens atuais: A maioria dos estudos existentes foca excessivamente na métrica de "acurácia" em conjuntos de dados balanceados, negligenciando a otimização de limiares de decisão (thresholds) e a análise de precisão, recall e F1-score. Isso torna difícil avaliar a viabilidade real de implantação, especialmente em cenários com dados desbalanceados (muitos sites legítimos vs. poucos de phishing).
• Desafios: A dependência de conjuntos de dados desatualizados, a falta de diversidade de marcas e a incapacidade de generalizar para ataques "zero-day" (novos) com alterações visuais dinâmicas.

2. Metodologia

O estudo propõe um framework end-to-end para detecção de phishing baseada em capturas de tela (screenshots) de páginas web, utilizando aprendizado profundo (Deep Learning). O processo é dividido em cinco etapas:

• Coleta de Dados:
  • Criação de um conjunto de dados personalizado e atualizado usando o framework de automação Playwright para capturar screenshots de feeds de URLs do OpenPhish.
  • Integração com o conjunto de dados PhishIRIS para aumentar a diversidade.
  • Total: 28.876 screenshots rotuladas (equilibradas entre legítimas e phishing).
• Pré-processamento:
  • Redimensionamento para 224x224 pixels.
  • Limpeza de duplicatas e imagens corrompidas.
  • Aumento de Dados (Data Augmentation): Flips horizontais, mudanças de brilho, blur gaussiano e cropping aleatório para melhorar a robustez.
  • Divisão: 80% Treino, 10% Validação, 10% Teste.
• Seleção de Modelos:
  • Foram comparados dois modelos de visão computacional com pesos pré-treinados no ImageNet (Transfer Learning):
    1. ConvNeXt-Tiny: Uma arquitetura CNN moderna focada em extração de características locais (logotipos, detalhes de layout).
    2. Vision Transformer (ViT-Base): Focado em modelagem de contexto global e dependências de longo alcance através de mecanismos de atenção.
• Treinamento e Otimização:
  • Uso de Binary Cross-Entropy como função de perda e otimizador Adam.
  • Otimização de Limiar (Threshold Tuning): Em vez de usar um limiar padrão (0.5), o estudo testou múltiplos limiares (de 0.1 a 0.9) para encontrar o ponto de operação ideal que equilibra precisão e recall, simulando condições reais de implantação.

3. Principais Contribuições

1. Metodologia de Avaliação Sensível ao Limiar: Foco na análise de precisão, recall e F1-score em diferentes limiares de decisão, em vez de apenas reportar a acurácia, fornecendo uma visão mais realista do desempenho em produção.
2. Comparação Arquitetural Direta: Análise lado a lado de uma arquitetura baseada em CNN (ConvNeXt-Tiny) e uma baseada em Transformer (ViT-Base) sob as mesmas condições experimentais, revelando trade-offs entre eficiência computacional e modelagem de contexto.
3. Framework End-to-End: Um pipeline completo que inclui coleta de dados automatizada, pré-processamento, treinamento e avaliação, com ênfase na reprodutibilidade.
4. Recurso de Dados: Compromisso de liberar o conjunto de dados curado (screenshots) para a comunidade acadêmica, permitindo benchmarks futuros e reprodução dos resultados.

4. Resultados e Análise

Os experimentos demonstraram que o ConvNeXt-Tiny superou o ViT-Base em todos os aspectos críticos para a detecção de phishing:

• Desempenho no Limiar Otimizado (0.8):
  • ConvNeXt-Tiny: Alcançou Precisão de 99,7%, Recall de 98,4% e F1-Score de 99,2%.
  • ViT-Base: Alcançou Precisão de 92,0%, Recall de 88,0% e F1-Score de 90,0%.
• Estabilidade e Robustez: O ConvNeXt-Tiny mostrou uma transição mais gradual entre precisão e recall à medida que o limiar variava, indicando maior estabilidade em diferentes condições operacionais. O ViT-Base foi mais sensível às mudanças de limiar.
• Eficiência Computacional: O ConvNeXt-Tiny, sendo menor e baseado em convoluções, exige menos recursos computacionais e tem um custo de inferência menor, tornando-o mais adequado para implantação em tempo real em navegadores ou sistemas de segurança.
• Interpretação: O sucesso do modelo CNN sugere que, para a detecção de phishing visual, a extração de características locais (como a detecção precisa de logotipos falsos e pequenas inconsistências de layout) é mais eficaz do que a modelagem de contexto global do Transformer, pelo menos com os tamanhos de dados atuais.

5. Significado e Conclusão

Este trabalho destaca que a otimização de limiares é crucial para a aplicação prática de modelos de IA em cibersegurança. Um modelo com alta acurácia teórica pode falhar na prática se não for ajustado para controlar falsos positivos (bloquear sites legítimos) ou falsos negativos (deixar passar phishing).

A conclusão principal é que, apesar do avanço dos Transformers, modelos baseados em CNN (como o ConvNeXt-Tiny) continuam sendo superiores para a detecção de phishing baseada em imagem devido à sua eficiência, estabilidade e capacidade de capturar detalhes visuais críticos com menor custo computacional. O estudo oferece um guia prático para a implantação de sistemas de detecção que equilibram segurança e experiência do usuário, e estabelece uma base para pesquisas futuras que integrem esses modelos com novos conjuntos de dados dinâmicos.