후보 생성 및 Re-Ranking을 통한 피싱 타겟 브랜드 식별 프레임워크 = A Phishing Target Brand Identification Framework with Candidate Generation and Re-Ranking

국문 초록 (Abstract)

최근 피싱 환경은 Phishing-as-a-Service（PhaaS） 그룹의 피싱 키트 배포와 LLM을 활용한 생성 방법으로 인해 피싱 콘텐츠의 대량 생성 및 자동화가 가능해지고 있다. 공격자는 사용자의 신뢰를 확보하기 위해 정상 브랜드의 브랜드명, 로고, 웹페이지 디자인을 도용하고, 이를 통해 자격증명 입력 유도 및 개인정보 탈취, 악성 파일 다운로드, 다른 악성 웹페이지로의 리디렉션 등의 행위를 수행한다. 이러한, 브랜드를 사칭하는 피싱 웹페이지를 탐지하기 위해 정상 웹페이지와의 시각적 유사성이 활용되며, 탐지 이전 피싱 웹페이지가 어떤 브랜드를 사칭하는지 식별하기 위해 브랜드 식별 절차가 선행된다.
브랜드 로고는 피싱 웹페이지 내에서 브랜드 의도를 나타내는 핵심적인 요소이며, 이러한 로고를 사용하는 기존 시각적 유사성 기반 피싱 탐지기법은 입력 웹페이지의 스크린샷으로부터 로고를 탐지하고, crop한 로고의 특징을 정상 브랜드 로고로 구성된 참조리스트와 유사성 계산을 통해 타겟 브랜드를 예측한다. 그러나 이러한 방식은 로고 디텍터가 피싱 웹페이지 내에서 브랜드 의도가 없는 일반 이미지, 광고 내 포함된 로고, Single Sign-On（SSO） 로고 또는 타 브랜드 로고를 crop하는 경우 브랜드 식별에 실패할 수 있다. 또한, 로고가 올바르게 crop되어도, 해당 로고 특징이 참조리스트 내 정상 로고와 유사성이 높지 않은 경우, 정상 브랜드 로고 유형이 참조리스트에 없는 경우 피싱 웹페이지가 타겟으로 하는 브랜드를 다른 브랜드로 예측할 수 있다. 특히, 공격자는 피싱 웹페이지 생성 시, 의도적으로 정상 브랜드 로고를 조작하거나 제거할 수 있으며, 브랜드 로고를 활용하는 대신, HyperText Markup Language（HTML）을 통해 브랜드 의도를 표현하는 방식을 통해 로고 기반의 브랜드 식별을 우회한다.
따라서, 본 연구에서는 기존 브랜드 식별 과정에서 발생하는 피싱 웹페이지의 로고 탐지, 브랜드 예측 실패 문제를 개선하기 위해 웹페이지 내 다수의 로고를 crop하여 피싱 웹페이지가 타겟으로 하는 로고를 식별하도록 한다. 또한, 변조된 로고가 사용된 피싱 웹페이지 및 로고가 제거된 피싱 웹페이지에서 브랜드 의도를 추출하기 위해 Optical Character Recognition（OCR）과 HTML을 추가로 활용한다.
제안하는 접근법은 로고 기반의 시각적 유사성 점수와 스크린샷 및 HTML로부터 추출한 브랜드 의도를 후보로 생성하고, 이를 XGBRanker에 입력하여 후보 브랜드에 순위 점수를 부여한다. 이후, 후보 브랜드의 재순위화를 통해 피싱 웹페이지의 브랜드를 식별한다.
제안하는 방법은 최신 데이터셋, 평가를 위한 데이터셋에서 베이스라인 모델과 브랜드 식별률을 비교한다. 실험 결과, 최신 데이터셋에서 11.34%, 평가를 위한 데이터셋에서 7.36% 성능 향상을 보여 제안하는 방법이 기존 로고 기반 브랜드 식별을 개선할 수 있음을 확인하였다.
본 연구의 결과는 향후 피싱 탐지모델의 브랜드 식별 방법으로 활용이 가능하다. 특히, 피싱 대응 관점에서 신규 생성된 도메인의 웹페이지가 피싱인지 아닌지 판단하기 이전에 브랜드를 식별하는 단계에서 활용이 가능하다.

다국어 초록 (Multilingual Abstract)

In recent phishing environments, the distribution of phishing kits by Phishing-as-a-Service （PhaaS） groups and the use of LLM-based generation methods have enabled the large-scale generation and automation of phishing content. To gain user trust, attackers abuse the brand names, logos, and webpage designs of legitimate brands to induce credential input, steal personal information, induce malicious file downloads, and redirect users to other malicious webpages. To detect these phishing webpages impersonating brands, visual similarity to legitimate webpages is used, and brand identification is performed prior to phishing detection to determine which brand the phishing webpage is impersonating.
The brand logo is a key element indicating brand intent within a phishing webpage. Among visual similarity-based phishing detection techniques, logo-based approaches detect logos from screenshots of input webpages and predict the target brand by comparing features extracted from the cropped logo with those of legitimate brand logos in a reference list.
However, these approaches may fail to identify the brand if the logo detector crops generic images, advertisement logos, Single Sign-On （SSO） logos, or logos unrelated to the phishing intent within the phishing webpage. Furthermore, even if a logo is cropped correctly, if the logo features are not sufficiently similar to the legitimate logo in the reference list, or if the corresponding legitimate logo type is absent from the reference list, the target brand may be incorrectly predicted as a different brand. In particular, attackers may intentionally manipulate or remove legitimate brand logos when creating phishing webpages and bypass logo-based brand identification by expressing brand intent through HyperText Markup Language （HTML） instead of using existing brand logos.
Therefore, to address logo detection and brand prediction failures in phishing webpages that occur during the existing brand identification process, this study crops multiple logos within the webpage to identify the brand targeted by the phishing webpage. Additionally, Optical Character Recognition （OCR） and HTML are used to extract brand intent from phishing webpages that use modified logos or remove logos entirely.
The proposed approach generates candidate brands based on logo-based visual similarity scores and brand intent extracted from screenshots and HTML, and inputs them into XGBRanker to assign ranking scores to the candidate brands. Subsequently, the brand of the phishing webpage is identified by re-ranking the candidate brands.
The proposed method compares brand identification rates with a baseline model on a recent dataset and an evaluation dataset. Experimental results show improvements of 11.34% on the recent dataset and 7.36% on the evaluation dataset, indicating that the proposed method can improve existing logo-based brand identification.
The results of this study can be used as a brand identification method for future phishing detection models. In particular, from the perspective of phishing response, the proposed method can be applied at the stage of identifying the brand before determining whether a webpage on a newly created domain is phishing or not.

목차 (Table of Contents)

• Ⅰ. 서론 1
• 1.1 연구 배경 1
• 1.2 연구의 필요성 3
• Ⅱ. 배경지식 및 관련 연구 9
• 2.1 배경 지식 9
• 2.1.1 피싱 웹페이지의 브랜드 의도 9
• 2.1.2 브랜드 식별 절차 10
• 2.1.3 로고 변형 및 조작, 제거 12
• 2.1.4 XGBRanker 13
• 2.2 관련 연구 14
• 2.2.1 브랜드 식별 관련 연구 14
• 2.2.2 브랜드 식별 성능 저하 사례 연구 16
• Ⅲ. 프레임워크 설계 18
• 3.1 환경 구성 18
• 3.1.1 베이스라인 모델 18
• 3.1.2 A.K.A 19
• 3.1.3 데이터셋 구축 20
• 3.2 Multi-crop 기반 브랜드 식별 21
• 3.3 OCR 기반 브랜드 의도 추출 22
• 3.4 HTML 기반 브랜드 의도 추출 24
• 3.5 피싱 타겟 브랜드 식별 프레임워크 26
• Ⅳ. 실험 및 성능 평가 28
• 4.1 실험 환경 구성 28
• 4.2 실험 설정 28
• 4.3 실험 결과 29
• 4.3.1 Multi-crop(M) 30
• 4.3.2 OCR(O) 31
• 4.3.3 HTML(H) 32
• 4.3.4. MOH 33
• 4.3.5. 정상 웹페이지 대상 평가 35
• 4.3.6. 브랜드 식별 지연시간 평가 36
• Ⅴ. 결론 및 향후 계획 38
• 참고 문헌 41