WO2014208937A1 - 이미지 비교를 통한 피싱 사이트 탐지 방법 및 장치 - Google Patents

이미지 비교를 통한 피싱 사이트 탐지 방법 및 장치 Download PDF

Info

Publication number
WO2014208937A1
WO2014208937A1 PCT/KR2014/005469 KR2014005469W WO2014208937A1 WO 2014208937 A1 WO2014208937 A1 WO 2014208937A1 KR 2014005469 W KR2014005469 W KR 2014005469W WO 2014208937 A1 WO2014208937 A1 WO 2014208937A1
Authority
WO
WIPO (PCT)
Prior art keywords
phishing
site
information
detection
comparison
Prior art date
Application number
PCT/KR2014/005469
Other languages
English (en)
French (fr)
Inventor
문성건
김기영
Original Assignee
주식회사 안랩
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 안랩 filed Critical 주식회사 안랩
Publication of WO2014208937A1 publication Critical patent/WO2014208937A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems

Definitions

  • the present invention relates to a method and apparatus for phishing site detection. More specifically, the present invention relates to an apparatus and method for detecting a phishing site through image comparison that determines and alerts a phishing concern site based on image information extracted from a detection target site.
  • the communication terminal device applying the mobile operating system provides various information processing services to the user by executing various applications based on the mobile operating system.
  • the communication terminal device applying the mobile operating system includes a browser as an application program, and executes the browser to communicate with the Internet web site based on the URL, thereby providing information of various web sites to the user.
  • the communication terminal device applying the mobile operating system frequently executes an application program and attempts a communication connection based on a URL introduced when performing a text message reception, a multimedia message reception, an email reception, or a content transaction.
  • the communication connection based on the received URL does not check whether the connection target site is harmful, there may be a case where the communication connection is directly connected to a harmful site such as a phishing site, a domestic or foreign obscene site, a meandering site, and the like.
  • a personalized multimedia data combining an acoustic melody and a visual image is transmitted to a normal site, thereby preventing a phishing site from imitating personalized multimedia data of a normal site. To distinguish between normal and phishing sites.
  • a phishing concern site is determined and alerted according to image information extracted from a detection target site, so that a phishing site can be detected or a connection can be prevented even without cooperation with a subject who operates the detection target site.
  • a phishing site detection method by comparing the image, loading the phishing detection criteria information for the detection of the phishing site, and the comparison target image information from the detection target site based on the phishing detection criteria information Extracting and comparing the extracted target image information with reference image information of the protection site included in the phishing detection reference information, and determining the detection target site as a phishing concern site based on the comparison result. Alerting the phishing site detection result.
  • the detection target site is determined based on a step of acquiring connection location information of a site requested to be accessed, loading a previously stored detection reference site list, and comparing the connection location information with the detection reference site list. It may further comprise the step.
  • the phishing detection reference information may further include information on a comparison method between the reference image information and the comparison target image information.
  • the plurality of protected sites each have the respective phishing detection reference information, and the phishing detection reference information includes image extraction range information for extracting reference image information and the comparison target image information of the protection site. can do.
  • the phishing detection reference information may further include a similarity reference value for determining the phishing concern site, and the extracting may be performed repeatedly within an image extraction range based on the image extraction range information.
  • the extracting of the image information and the comparing may include calculating the error value several times by comparing the plurality of comparison target image information and the reference image information according to the comparison method information.
  • the alerting step may determine the phishing concern site according to a comparison result between the smallest minimum error value and the similarity reference value among the calculated error values.
  • the reference image information of the protected site can be collected by extracting the overlapping image information when displaying a plurality of pages constituting the protected site sequentially on the same screen.
  • a phishing site detection apparatus by comparing the image, the detection information providing unit for providing phishing detection criteria information for the detection of the phishing site, and comparing from the detection target site based on the phishing detection criteria information
  • An image comparison unit which extracts target image information, and compares the extracted comparison target image information with reference image information of a protection site included in the phishing detection reference information, and the detection target site is phishing fear based on the comparison result If it is determined that the site may include a phishing alarm unit for alerting the phishing site detection results.
  • the target determination unit for acquiring the access position information of the site requested to access load the previously stored detection reference site list, and determines the detection target site according to the result of comparing the access position information and the detection reference site list It may further include.
  • the phishing detection reference information may further include information on a comparison method between the reference image information and the comparison target image information.
  • the plurality of protected sites each have the respective phishing detection reference information, and the phishing detection reference information includes image extraction range information for extracting reference image information and the comparison target image information of the protection site. can do.
  • the phishing detection reference information may further include a similarity reference value for determining the phishing concern site, and the image comparison unit repeatedly extracts the comparison target image within the image extraction range based on the image extraction range information.
  • the plurality of comparison target image information may be extracted, and the error value may be calculated several times by comparing the plurality of comparison target image information and the reference image information according to the comparison scheme information.
  • the phishing alarm unit may determine the phishing concern site according to a comparison result between the smallest minimum error value and the similarity reference value among the calculated error values.
  • the reference image information of the protected site can be collected by extracting the overlapping image information when displaying a plurality of pages constituting the protected site sequentially on the same screen.
  • a phishing concern site is determined and alerted according to image information extracted from a detection target site, so that a phishing site can be detected or a connection can be prevented even without cooperation with a subject who operates the detection target site.
  • FIG. 1 is a network diagram of a phishing site access prevention system to which a phishing site detection apparatus according to an exemplary embodiment of the present invention is applied.
  • FIG. 2 is a detailed block diagram of a phishing site detection apparatus according to an embodiment of the present invention.
  • FIG. 3 is a flowchart illustrating a phishing site detection method according to an embodiment of the present invention.
  • 4A to 4D are exemplary diagrams of a connection screen for explaining a process of extracting reference image information from a protected site.
  • FIG. 5 is a block diagram of a connection screen in which sections for comparing images are divided by a phishing site detection method according to an exemplary embodiment of the present invention.
  • FIG. 6 is a graph for explaining a process of comparing an error and a similarity reference value which are a result of image comparison when determining a phishing concern site by a phishing site detection method according to an exemplary embodiment of the present invention.
  • FIG. 1 is a network diagram of a phishing site access prevention system to which a phishing site detection apparatus according to an exemplary embodiment of the present invention is applied.
  • the phishing site access prevention system includes a communication terminal device 10 equipped with a phishing site detection device 100, a communication network 20, site operation servers 31 and 33, a phishing site detection server 200, and the like. It includes.
  • the communication terminal device 10 is a smart device that is equipped with a mobile operating system, such as Android, i-OS, Windows Mobile, etc., and can access various sites through the communication network 20.
  • a mobile operating system such as Android, i-OS, Windows Mobile, etc.
  • it can be implemented by a smartphone, a tablet PC, or the like.
  • the site operation servers 31 and 33 are the subjects who operate the site that can provide various information and images to the communication terminal device 10 connected through the communication network 20.
  • a phishing site disguised as a financial institution may be operated to induce connection of the communication terminal device 10.
  • stating # 1 and #N in the site management servers 31 and 33 indicates that several site management servers may be operated in addition to the two shown.
  • the phishing site detection apparatus 100 determines and alerts a phishing concern site according to a comparison result of the comparison target image information and the reference image information extracted from the detection target site operated by the site operation servers 31 and 33. Detailed components of the phishing site detection apparatus 100 will be described with reference to FIG. 2.
  • the phishing site detection server 200 is a reference image for use in phishing detection targeting a protected site to be protected from phishing among sites operated by the site operation server 31 or 33 or other site operation servers. Information is collected and the collected reference image information is provided to the phishing site detection apparatus 100 mounted in the communication terminal device 10.
  • FIG. 2 is a detailed block diagram of a phishing site detection apparatus according to an embodiment of the present invention.
  • the phishing site detection apparatus 100 includes a detection information providing unit 110, an object discriminating unit 120, an image comparing unit 130, a phishing alerting unit 140, and the like.
  • Detection information providing unit 110 provides the phishing detection reference information for the detection of the phishing site.
  • the target determination unit 120 obtains access location information of a site requested to be accessed, loads a previously stored detection reference site list, and determines a detection target site according to a result of comparing the access location information with the detection reference site list.
  • the image comparator 130 extracts the comparison target image information from the detection target site based on the phishing detection reference information, and compares the extracted comparison target image information with the reference image information of the protection site included in the phishing detection reference information. Calculate the value.
  • each of the plurality of protected sites has individual phishing detection criteria information
  • the phishing detection criteria information includes image extraction range information for extracting comparison target image information of the detection target site, and comparison method of reference image information and comparison target image information. Information, similarity thresholds for identifying phishing concerns sites, and the like. Therefore, the image comparison unit 130 may calculate the error by comparing the reference image information and the comparison target image information according to the comparison method information included in the phishing detection reference information.
  • the image comparison unit 130 may extract a plurality of comparison target image information by repeatedly extracting the comparison target image within the image extraction range by the image extraction range information included in the phishing detection reference information, phishing
  • the error value may be calculated several times by comparing the plurality of comparison target image information and the reference image information according to the comparison method information included in the detection reference information.
  • the phishing alarm unit 140 alerts the phishing site detection result when the detection target site is determined to be a phishing concern site based on the result of the image comparison by the image comparing unit 130.
  • the phishing alert 140 may determine a phishing concern site according to a result of comparing the error calculated by the image comparator 130 and the similarity reference value included in the phishing detection reference information.
  • the phishing alert 140 may determine a phishing concern site according to a comparison result between the smallest minimum error value and the similarity reference value among the error values calculated by the image comparator 130.
  • FIG. 3 is a flowchart illustrating a phishing site detection method according to an embodiment of the present invention.
  • the phishing site detection method of the present invention collects reference image information of a protection site to be protected from phishing behavior, and extracts reference image information, image extraction range information for extracting comparison target image information of a detection target site, and reference And storing the phishing detection reference information including the comparison method information between the image information and the comparison target image information, the similarity reference value for determining the phishing concern site, and the like (S301 and S303).
  • the method may further include obtaining access location information of the requested site, loading a previously stored detection reference site list, and determining a detection target site based on a result of comparing the access location information with the detection reference site list (S305 to S313). It further includes.
  • the step of loading the phishing detection criteria information for the detection of the phishing site (S315), extracting the comparison target image information from the detection target site based on the phishing detection criteria information (S317), the comparison extracted from the detection target site Comparing the target image information and the reference image information of the protection site included in the phishing detection reference information (S319).
  • the method may further include alerting phishing site detection results (S321 to S325) when the detection target site is determined to be a phishing concern site according to the comparison result of the comparison target image information and the reference image information.
  • the phishing site detection method according to an embodiment of the present invention can be fully understood from the following description with reference to FIGS. 1 to 6.
  • FIGS. 1 to 6 a phishing site detection apparatus according to an embodiment of the present invention will be described in detail for determining and alerting a phishing concern site in a phishing site access prevention system.
  • the phishing site detection server 200 collects reference image information of a protection site to be protected from phishing activity. To this end, the phishing site detection server 200 accesses a site to be protected from phishing among the sites operated by the site management servers 31 and 33 or other site management servers, and includes a plurality of pages constituting the site. Browse. Then, the superimposed image information included in each page is extracted from the images included in the viewed pages, and the extracted superimposed image information is collected as reference image information of the corresponding site (S301).
  • FIG. 4A to 4D when “ http://shop.ahnlab.com ” is a protected site, the main page of FIG. 4A is first viewed, and subpage 1 of FIG. 4B and subpage 2 of FIG. 4C are also shown. Browse sequentially. Then, when the plurality of pages are sequentially displayed on the same screen, FIG. 4D, which is overlapping image information, is collected as reference image information of the corresponding protection site. Typically, most sites contain image information, such as a logo, in a position where they do not change from page to page, and the phishing site borrows the image as it is, causing users to be mistaken for a normal site. With this in mind, in the embodiment of the present invention, the reference image information of the protected site is collected and used to detect a phishing concern site.
  • the phishing site detection server 200 collects reference image information of the protection site and provides it to the communication terminal device 10, and the detection information providing unit 110 of the phishing site detection device 100 mounted on the communication terminal device 10 is provided. ) Stores the phishing detection reference information including the reference image information (S303).
  • the phishing detection reference information stored by the detection information providing unit 110 may further include image extraction range information of the detection target site, image comparison method information, and similarity reference values for determining phishing concern sites. Individual information included in the phishing detection criteria information will be described in place below.
  • the phishing site detection apparatus 100 may operate in a standalone manner that is operated in a state in which the detection criteria information is stored in advance without receiving phishing detection criteria information from the phishing site detection server 200. .
  • the target determination unit 120 of the phishing site detection device 100 Acquiring access location information of the access request site (S309), loads a previously stored detection reference site list (S311), and determines a detection target site according to a result of comparing the access location information and the detection reference site list (S313). ).
  • the detection criteria site list may include access location information of a normal site or a phishing site. For example, it is not necessary to again determine whether the site is determined to be a phishing site by a phishing site detection process that has already been performed or is determined as a phishing site. That is, the target determination unit 120 may determine the detection target site only for sites having access location information not included in the detection reference site list.
  • the access location information may use URL information or IP address information corresponding thereto.
  • the image comparison unit 130 of the phishing site detection apparatus 100 loads the phishing detection reference information from the detection information providing unit 110 (S315).
  • the image comparison unit 130 extracts comparison target image information having the same size as the reference image information at a predetermined position in the screen of the detection target site according to the image extraction range information included in the phishing detection reference information (S317).
  • An error is calculated by comparing the comparison target image information extracted from the detection target site with the reference image information (S319).
  • the image information extraction and error calculation process is repeatedly performed within the image extraction range included in the phishing detection reference information. For example, an error may be calculated by comparing with reference image information while changing an image extraction position by a predetermined number of pixels.
  • the image comparison unit 130 provides the phishing alarm unit 140 with the smallest minimum error value among the error values calculated several times.
  • the image comparison unit 130 extracts the image information for image comparison in a specific section of the access screen based on the image extraction range information included in the phishing detection reference information, so that the image comparator 130 is used as a whole.
  • the error calculation process can be completed more quickly. For example, if the screen section 401 is included in the phishing detection reference information as the image extraction range information among the plurality of screen sections 401 to 406 constituting the access screen 400 illustrated in FIG. 5, the image comparison unit 130 may be used. Rather than extracting the comparison target image information for the entirety of the connection screen 400, the comparison target image information is extracted for only the screen section 401 of the connection screen 400. As a result, compared to when the image information is extracted for the entire access screen 400, the image information extraction and comparison process can be completed in a shorter time by using relatively little calculation process.
  • the comparison method information included in the phishing detection reference information is used when the image comparison unit 130 compares the comparison target image information extracted from the detection target site with the reference image information.
  • the image comparator 130 compares images by adding up color difference values in units of pixels based on comparison method information included in phishing detection criteria information, or compares histograms indicating color distributions of horizontal and vertical axes. The image may be compared in a manner described above (S321).
  • the image comparator 130 calculates an error with the sparse reference image information by first changing the image extraction position by a plurality of preset pixel units in order to shorten the image comparison time, and the error value is greater than the preset value.
  • An error with reference image information may be calculated while changing the image extraction position by one pixel only in a low region.
  • the phishing alarm unit 140 of the phishing site detection apparatus 100 determines whether the detection target site is a phishing concern site according to the result of the image comparison by the image comparison unit 130.
  • the phishing alert 140 may determine a phishing concern site according to a comparison result of the minimum error value calculated by the image comparator 130 and the similarity reference value included in the phishing detection reference information.
  • the minimum error value calculated according to the image comparison of the sites A, B, and C which are the detection target sites is compared with the similarity reference value preset in the phishing detection reference information, and is lower than the similarity reference value.
  • a site having an error value can be determined as a phishing concern site (S323).
  • the phishing alert 140 outputs a phishing site detection result through a screen or a sound to alert the user or transmit the phishing site detection result to the communication terminal device 10 to output a phishing site detection result.
  • the communication terminal device 10 can be prevented from connecting to the phishing site (S325).
  • the phishing site detection server 200 collects reference image information for the protected site and provides the communication terminal device 10 to the communication terminal device 10, the phishing site detection device 100 is a phishing concern site. The case where the alarm is determined by directly determining has been described.
  • the phishing site detection apparatus 100 obtains the connection location information of the detection target site to which the connection is attempted by the communication terminal device 10 and provides the phishing site detection server 200 to the phishing site detection server 200 After determining the phishing concern site by using the detection target site, the determination result may be provided to the communication terminal device 10.
  • Combinations of each block of the accompanying block diagram and each step of the flowchart may be performed by computer program instructions.
  • These computer program instructions may be mounted on a processor of a general purpose computer, special purpose computer, or other programmable data processing equipment such that instructions executed through the processor of the computer or other programmable data processing equipment may not be included in each block or flowchart of the block diagram. It will create means for performing the functions described in each step.
  • These computer program instructions may be stored in a computer usable or computer readable memory that can be directed to a computer or other programmable data processing equipment to implement functionality in a particular manner, and thus the computer usable or computer readable memory.
  • instructions stored in may produce an article of manufacture containing instruction means for performing the functions described in each block or flowchart of each step of the block diagram.
  • Computer program instructions may also be mounted on a computer or other programmable data processing equipment, such that a series of operating steps may be performed on the computer or other programmable data processing equipment to create a computer-implemented process to create a computer or other programmable data. Instructions that perform processing equipment may also provide steps for performing the functions described in each block of the block diagram and in each step of the flowchart.
  • each block or step may represent a portion of a module, segment or code that includes one or more executable instructions for executing a specified logical function (s).
  • a specified logical function s.
  • the functions noted in the blocks or steps may occur out of order.
  • the two blocks or steps shown in succession may in fact be executed substantially concurrently or the blocks or steps may sometimes be performed in the reverse order, depending on the functionality involved.
  • Combinations of each block of the block diagrams and respective steps of the flowcharts attached to the present invention may be performed by computer program instructions.
  • These computer program instructions may be mounted on a processor of a general purpose computer, special purpose computer, or other programmable data processing equipment such that instructions executed through the processor of the computer or other programmable data processing equipment may not be included in each block or flowchart of the block diagram. It will create means for performing the functions described in each step.
  • These computer program instructions may be stored in a computer usable or computer readable memory that can be directed to a computer or other programmable data processing equipment to implement functionality in a particular manner, and thus the computer usable or computer readable memory.
  • instructions stored in may produce an article of manufacture containing instruction means for performing the functions described in each block or flowchart of each step of the block diagram.
  • Computer program instructions may also be mounted on a computer or other programmable data processing equipment, such that a series of operating steps may be performed on the computer or other programmable data processing equipment to create a computer-implemented process to create a computer or other programmable data. Instructions that perform processing equipment may also provide steps for performing the functions described in each block of the block diagram and in each step of the flowchart.
  • each block or step may represent a portion of a module, segment or code that includes one or more executable instructions for executing a specified logical function (s).
  • a specified logical function s.
  • the functions noted in the blocks or steps may occur out of order.
  • the two blocks or steps shown in succession may in fact be executed substantially concurrently or the blocks or steps may sometimes be performed in the reverse order, depending on the functionality involved.

Abstract

본 발명은 이미지 비교를 통한 피싱 사이트 탐지 방법 및 장치에 관한 것이다. 이에 따른 피싱 사이트 탐지 방법은 피싱 사이트의 탐지를 위한 피싱 탐지 기준 정보를 로드하는 단계와, 피싱 탐지 기준 정보에 의거하여 탐지 대상 사이트로부터 비교 대상 이미지 정보를 추출하는 단계와, 추출된 비교 대상 이미지 정보와 피싱 탐지 기준 정보에 포함된 보호 사이트의 기준 이미지 정보를 비교하는 단계와, 비교의 결과에 따라 탐지 대상 사이트가 피싱 우려 사이트로 판별되면 피싱 사이트 탐지 결과를 경보하는 단계를 포함하며, 탐지 대상 사이트를 운용하는 주체와의 협업이 없어도 피싱 사이트를 탐지하거나 접속을 방지할 수 있도록 하고, 탐지 대상 사이트를 이용하는 통신 단말 장치의 단독적인 처리로도 피싱 사이트의 접속을 탐지하거나 방지할 수 있는 이점이 있다.

Description

이미지 비교를 통한 피싱 사이트 탐지 방법 및 장치
본 발명은 피싱(phishing) 사이트 탐지 방법 및 장치에 관한 것이다. 더 구체적으로는, 탐지 대상 사이트로부터 추출한 이미지 정보에 따라 피싱 우려 사이트를 판별하여 경보하는 이미지 비교를 통한 피싱 사이트 탐지 장치 및 방법에 관한 것이다.
최근에 안드로이드(Android), i-OS(Operating System), 윈도우 모바일(windows mobile) 등의 모바일 운영체제를 적용하여 스마트 폰 기능을 수행하는 통신 단말 장치의 보급이 활성화되었다.
이와 같은 모바일 운영체제를 적용한 통신 단말 장치에서는 해당 모바일 운영체제를 기반으로 다양한 응용 프로그램(application)을 실행하여 사용자에게 다양한 정보 처리 서비스를 제공한다.
그리고, 모바일 운영체제를 적용한 통신 단말 장치에는 응용 프로그램으로서 브라우저(browser)를 구비하고, 해당 브라우저를 실행하여서 URL에 의거하여 인터넷 웹 사이트에 통신 접속함으로써, 다양한 웹 사이트의 정보를 사용자에게 제공한다.
이러한 모바일 운영체제를 적용한 통신 단말 장치는 응용 프로그램을 실행하여 문자메시지 수신, 멀티미디어메시지 수신, 이메일 수신, 콘텐츠 거래 등의 수행 시에 유입된 URL에 의거하여 통신 접속을 시도하는 일이 빈번하다.
하지만, 이처럼 수신된 URL에 의거한 통신 접속은 접속 대상 사이트의 유해 여부를 확인하지 않고 있기 때문에 피싱 사이트, 국내외 음란 사이트, 사행성 사이트 등과 같은 유해 사이트에 그대로 통신 접속하게 되는 경우가 발생할 수 있다.
이 중에서도 특히 피싱 사이트의 접속은 금융 범죄로 이어지는 경우가 다반사이기 때문에 사회 문제화되고 있다. 예컨대, 문자메시지에 금융기관으로 위장한 피싱 사이트로의 접속을 유도하는 URL 정보가 포함된 경우에 통신 단말 장치가 URL 정보에 따라 피싱 사이트에 쉽게 접속될 수 있으며, 이러한 피싱 사이트의 안내에 따라 비정상적인 송금이 이루어지는 금융 범죄가 발생된다.
종래 기술에 따른 피싱 사이트 접속 방지방법을 살펴보면, 정상 사이트에 청각적인 멜로디와 시각적인 이미지를 결합한 개인화 멀티미디어 데이터가 송출되도록 하여, 피싱 사이트가 정상 사이트의 개인화 멀티미디어 데이터를 모방하지 못하도록 하고, 이를 통해 사용자가 정상 사이트와 피싱 사이트를 구분할 수 있도록 한다.
그러나, 이러한 종래 기술은 정상 사이트를 운용하는 사이트 운용 서버 등이 개인화 멀티미디어 데이터를 반드시 수신 및 재생하여야만 한다. 즉, 정상 사이트를 운용하는 주체와의 협업을 통해서만 피싱 사이트의 접속을 방지할 수 있는 문제점이 있었다. 따라서, 사이트를 이용하는 통신 단말 장치의 단독적인 처리로는 피싱 사이트의 접속을 탐지하거나 방지할 수가 없었다.
본 발명의 실시예는, 탐지 대상 사이트로부터 추출한 이미지 정보에 따라 피싱 우려 사이트를 판별하여 경보함으로써, 탐지 대상 사이트를 운용하는 주체와의 협업이 없어도 피싱 사이트를 탐지하거나 접속을 방지할 수 있도록 한다.
본 발명의 해결하고자 하는 과제는 이상에서 언급한 것으로 제한되지 않으며, 언급되지 않은 또 다른 해결하고자 하는 과제는 아래의 기재로부터 본 발명이 속하는 통상의 지식을 가진 자에게 명확하게 이해될 수 있을 것이다.
본 발명의 일 관점에 따르면, 이미지 비교를 통한 피싱 사이트 탐지 방법은, 피싱 사이트의 탐지를 위한 피싱 탐지 기준 정보를 로드하는 단계와, 상기 피싱 탐지 기준 정보에 의거하여 탐지 대상 사이트로부터 비교 대상 이미지 정보를 추출하는 단계와, 추출된 상기 비교 대상 이미지 정보와 상기 피싱 탐지 기준 정보에 포함된 보호 사이트의 기준 이미지 정보를 비교하는 단계와, 상기 비교의 결과에 따라 상기 탐지 대상 사이트가 피싱 우려 사이트로 판별되면 피싱 사이트 탐지 결과를 경보하는 단계를 포함할 수 있다.
여기서, 접속 요청된 사이트의 접속 위치 정보를 획득하는 단계와, 기 저장된 탐지 기준 사이트 리스트를 로드하는 단계와, 상기 접속 위치 정보와 상기 탐지 기준 사이트 리스트를 비교한 결과에 따라 상기 탐지 대상 사이트를 판별하는 단계를 더 포함할 수 있다.
또한, 상기 피싱 탐지 기준 정보는, 상기 기준 이미지 정보와 상기 비교 대상 이미지 정보의 비교 방식 정보를 더 포함할 수 있다.
또한, 복수의 상기 보호 사이트는, 각각 개별의 상기 피싱 탐지 기준 정보를 가지며, 상기 피싱 탐지 기준 정보는, 상기 보호 사이트의 기준 이미지 정보 및 상기 비교 대상 이미지 정보를 추출하기 위한 이미지 추출 범위 정보를 포함할 수 있다.
또한, 상기 피싱 탐지 기준 정보는, 상기 피싱 우려 사이트의 판별을 위한 유사도 기준치를 포함하며, 상기 추출하는 단계는, 상기 이미지 추출 범위 정보에 의한 이미지 추출 범위 내에서 반복적으로 수행하여 복수의 상기 비교 대상 이미지 정보를 추출하고, 상기 비교하는 단계는, 상기 비교 방식 정보에 따라 상기 복수의 비교 대상 이미지 정보와 상기 기준 이미지 정보를 비교하여 오차 값을 여러 회에 걸쳐서 산출할 수 있다.
또한, 상기 경보하는 단계는, 산출된 상기 오차 값 중에서 가장 작은 최소 오차 값과 상기 유사도 기준치와의 비교 결과에 따라 상기 피싱 우려 사이트를 판별할 수 있다.
또한, 상기 보호 사이트의 기준 이미지 정보는, 상기 보호 사이트를 구성하는 복수의 페이지를 동일한 화면 상에 순차로 표시할 때에 중첩하는 이미지 정보를 사전에 추출하여 수집할 수 있다.
본 발명의 다른 관점에 따르면, 이미지 비교를 통한 피싱 사이트 탐지 장치는, 피싱 사이트의 탐지를 위한 피싱 탐지 기준 정보를 제공하는 탐지 정보 제공부와, 상기 피싱 탐지 기준 정보에 의거하여 탐지 대상 사이트로부터 비교 대상 이미지 정보를 추출하며, 추출된 상기 비교 대상 이미지 정보와 상기 피싱 탐지 기준 정보에 포함된 보호 사이트의 기준 이미지 정보를 비교하는 이미지 비교부와, 상기 비교의 결과에 따라 상기 탐지 대상 사이트가 피싱 우려 사이트로 판별되면 피싱 사이트 탐지 결과를 경보하는 피싱 경보부를 포함할 수 있다.
여기서, 접속 요청된 사이트의 접속 위치 정보를 획득하고, 기 저장된 탐지 기준 사이트 리스트를 로드하며, 상기 접속 위치 정보와 상기 탐지 기준 사이트 리스트를 비교한 결과에 따라 상기 탐지 대상 사이트를 판별하는 대상 판별부를 더 포함할 수 있다.
또한, 상기 피싱 탐지 기준 정보는, 상기 기준 이미지 정보와 상기 비교 대상 이미지 정보의 비교 방식 정보를 더 포함할 수 있다.
또한, 복수의 상기 보호 사이트는, 각각 개별의 상기 피싱 탐지 기준 정보를 가지며, 상기 피싱 탐지 기준 정보는, 상기 보호 사이트의 기준 이미지 정보 및 상기 비교 대상 이미지 정보를 추출하기 위한 이미지 추출 범위 정보를 포함할 수 있다.
또한, 상기 피싱 탐지 기준 정보는, 상기 피싱 우려 사이트의 판별을 위한 유사도 기준치를 포함하며, 상기 이미지 비교부는, 상기 이미지 추출 범위 정보에 의한 이미지 추출 범위 내에서 상기 비교 대상 이미지의 추출을 반복적으로 수행하여 복수의 상기 비교 대상 이미지 정보를 추출하고, 상기 비교 방식 정보에 따라 상기 복수의 비교 대상 이미지 정보와 상기 기준 이미지 정보를 비교하여 오차 값을 여러 회에 걸쳐서 산출할 수 있다.
또한, 상기 피싱 경보부는, 산출된 상기 오차 값 중에서 가장 작은 최소 오차 값과 상기 유사도 기준치와의 비교 결과에 따라 상기 피싱 우려 사이트를 판별할 수 있다.
또한, 상기 보호 사이트의 기준 이미지 정보는, 상기 보호 사이트를 구성하는 복수의 페이지를 동일한 화면 상에 순차로 표시할 때에 중첩하는 이미지 정보를 사전에 추출하여 수집할 수 있다.
본 발명의 실시예에 따르면, 탐지 대상 사이트로부터 추출한 이미지 정보에 따라 피싱 우려 사이트를 판별하여 경보함으로써, 탐지 대상 사이트를 운용하는 주체와의 협업이 없어도 피싱 사이트를 탐지하거나 접속을 방지할 수 있도록 한다.
따라서, 탐지 대상 사이트를 이용하는 통신 단말 장치의 단독적인 처리로도 피싱 사이트의 접속을 탐지하거나 방지할 수 있는 효과가 있다.
도 1은 본 발명의 실시예에 따른 피싱 사이트 탐지 장치를 적용한 피싱 사이트 접속 방지 시스템의 네트워크 구성도이다.
도 2는 본 발명의 실시예에 따른 피싱 사이트 탐지 장치의 세부적인 블록 구성도이다.
도 3은 본 발명의 실시예에 따른 피싱 사이트 탐지 방법을 설명하기 위한 흐름도이다.
도 4a 내지 도 4d는 보호 사이트로부터 기준 이미지 정보를 추출하는 과정을 설명하기 위한 접속 화면의 예시도들이다.
도 5는 본 발명의 실시예에 따른 피싱 사이트 탐지 방법에 의하여 이미지를 비교할 구획을 구분하여 나타낸 접속 화면의 구획도이다.
도 6은 본 발명의 실시예에 따른 피싱 사이트 탐지 방법에 의하여 피싱 우려 사이트를 판별할 때에 이미지 비교의 결과값인 오차와 유사도 기준치를 비교하는 과정을 설명하기 위한 그래프이다.
본 발명의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 그러나 본 발명은 이하에서 개시되는 실시예들에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 수 있으며, 단지 본 실시예들은 본 발명의 개시가 완전하도록 하고, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 발명의 범주를 완전하게 알려주기 위해 제공되는 것이며, 본 발명은 청구항의 범주에 의해 정의될 뿐이다. 명세서 전체에 걸쳐 동일 참조 부호는 동일 구성 요소를 지칭한다.
본 발명의 실시예들을 설명함에 있어서 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다. 그리고 후술되는 용어들은 본 발명의 실시예에서의 기능을 고려하여 정의된 용어들로서 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다. 그러므로 그 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 할 것이다.
도 1은 본 발명의 실시예에 따른 피싱 사이트 탐지 장치를 적용한 피싱 사이트 접속 방지 시스템의 네트워크 구성도이다.
이에 나타낸 바와 같이 피싱 사이트 접속 방지 시스템은, 피싱 사이트 탐지 장치(100)를 탑재하는 통신 단말 장치(10), 통신망(20), 사이트 운용 서버(31, 33), 피싱 사이트 탐지 서버(200) 등을 포함한다.
통신 단말 장치(10)는 안드로이드, i-OS, 윈도우 모바일 등의 모바일 운영체제가 탑재되어 통신망(20)을 통해 각종 사이트에 접속할 수 있는 스마트 기기이다. 예컨대, 스마트폰, 태블릿 PC 등으로 구현할 수 있다.
사이트 운용 서버(31, 33)는 통신망(20)을 통해 접속된 통신 단말 장치(10)에게 각종 정보 및 이미지를 제공할 수 있는 사이트를 운용하는 주체이다. 이러한 사이트 운용 서버(31, 33)가 악의적으로 운용될 경우에는 금융기관 등으로 위장한 피싱 사이트를 운용하여 통신 단말 장치(10)의 접속을 유도할 수 있다. 여기서, 사이트 운용 서버(31, 33)에 #1, #N을 병기한 것은 도시된 2개 이외에도 여러 개의 사이트 운용 서버들이 운용될 수 있음을 나타낸 것이다.
피싱 사이트 탐지 장치(100)는 사이트 운용 서버(31, 33)에 의해 운용되는 탐지 대상 사이트로부터 추출한 비교 대상 이미지 정보와 기준 이미지 정보의 비교 결과에 따라 피싱 우려 사이트를 판별하여 경보한다. 이러한 피싱 사이트 탐지 장치(100)의 세부적인 구성요소에 대해서는 도 2를 참조하여 설명하기로 한다.
피싱 사이트 탐지 서버(200)는 사이트 운용 서버(31, 33) 또는 여타의 사이트 운용 서버에 의해 운용되는 사이트들 중에서 피싱 행위로부터 보호하고자 하는 보호 사이트를 대상으로 하여 피싱 탐지를 위해 이용하기 위한 기준 이미지 정보를 수집하며, 수집된 기준 이미지 정보를 통신 단말 장치(10)에 탑재된 피싱 사이트 탐지 장치(100)에게 제공한다.
도 2는 본 발명의 실시예에 따른 피싱 사이트 탐지 장치의 세부적인 블록 구성도이다.
이에 나타낸 바와 같이 피싱 사이트 탐지 장치(100)는, 탐지 정보 제공부(110), 대상 판별부(120), 이미지 비교부(130), 피싱 경보부(140) 등을 포함한다.
탐지 정보 제공부(110)는 피싱 사이트의 탐지를 위한 피싱 탐지 기준 정보를 제공한다.
대상 판별부(120)는 접속 요청된 사이트의 접속 위치 정보를 획득하고, 기 저장된 탐지 기준 사이트 리스트를 로드하며, 접속 위치 정보와 탐지 기준 사이트 리스트를 비교한 결과에 따라 탐지 대상 사이트를 판별한다.
이미지 비교부(130)는 피싱 탐지 기준 정보에 의거하여 탐지 대상 사이트로부터 비교 대상 이미지 정보를 추출하며, 추출된 비교 대상 이미지 정보와 피싱 탐지 기준 정보에 포함된 보호 사이트의 기준 이미지 정보를 비교하여 오차 값을 산출한다.
여기서, 복수의 보호 사이트는 각각 개별의 피싱 탐지 기준 정보를 가지며, 피싱 탐지 기준 정보는 탐지 대상 사이트의 비교 대상 이미지 정보를 추출하기 위한 이미지 추출 범위 정보, 기준 이미지 정보와 비교 대상 이미지 정보의 비교 방식 정보, 피싱 우려 사이트의 판별을 위한 유사도 기준치 등을 포함한다. 따라서, 이미지 비교부(130)는 기준 이미지 정보와 비교 대상 이미지 정보를 피싱 탐지 기준 정보에 포함된 비교 방식 정보에 따라 비교하여 오차를 산출할 수 있다.
또한, 이미지 비교부(130)는 피싱 탐지 기준 정보에 포함된 이미지 추출 범위 정보에 의한 이미지 추출 범위 내에서 비교 대상 이미지의 추출을 반복적으로 수행하여 복수의 비교 대상 이미지 정보를 추출할 수 있으며, 피싱 탐지 기준 정보에 포함된 비교 방식 정보에 따라 복수의 비교 대상 이미지 정보와 기준 이미지 정보를 비교하여 오차 값을 여러 회에 걸쳐서 산출할 수 있다.
피싱 경보부(140)는 이미지 비교부(130)에 의한 이미지 비교의 결과에 따라 탐지 대상 사이트가 피싱 우려 사이트로 판별되면 피싱 사이트 탐지 결과를 경보한다. 이러한 피싱 경보부(140)는 이미지 비교부(130)에 의해 산출된 오차와 피싱 탐지 기준 정보에 포함된 유사도 기준치의 비교 결과에 따라 피싱 우려 사이트를 판별할 수 있다. 이러한 피싱 경보부(140)는 이미지 비교부(130)에 의해 산출된 오차 값 중에서 가장 작은 최소 오차 값과 유사도 기준치와의 비교 결과에 따라 피싱 우려 사이트를 판별할 수 있다.
도 3은 본 발명의 실시예에 따른 피싱 사이트 탐지 방법을 설명하기 위한 흐름도이다.
이에 나타낸 바와 같이 본 발명의 피싱 사이트 탐지 방법은, 피싱 행위로부터 보호하고자 하는 보호 사이트의 기준 이미지 정보를 수집하여 기준 이미지 정보, 탐지 대상 사이트의 비교 대상 이미지 정보를 추출하기 위한 이미지 추출 범위 정보, 기준 이미지 정보와 비교 대상 이미지 정보의 비교 방식 정보, 피싱 우려 사이트의 판별을 위한 유사도 기준치 등을 포함하는 피싱 탐지 기준 정보를 저장하는 단계(S301, S303)를 포함한다.
그리고, 접속 요청된 사이트의 접속 위치 정보를 획득하고, 기 저장된 탐지 기준 사이트 리스트를 로드하며, 접속 위치 정보와 탐지 기준 사이트 리스트를 비교한 결과에 따라 탐지 대상 사이트를 판별하는 단계(S305 내지 S313)를 더 포함한다.
아울러, 피싱 사이트의 탐지를 위한 피싱 탐지 기준 정보를 로드하는 단계(S315), 피싱 탐지 기준 정보에 의거하여 탐지 대상 사이트로부터 비교 대상 이미지 정보를 추출하는 단계(S317), 탐지 대상 사이트로부터 추출된 비교 대상 이미지 정보와 피싱 탐지 기준 정보에 포함된 보호 사이트의 기준 이미지 정보를 비교하는 단계(S319)를 더 포함한다.
또한, 비교 대상 이미지 정보와 기준 이미지 정보의 비교의 결과에 따라 탐지 대상 사이트가 피싱 우려 사이트로 판별되면 피싱 사이트 탐지 결과를 경보하는 단계(S321 내지 S325)를 더 포함한다.
본 발명의 실시예에 따른 피싱 사이트 탐지 방법은 도 1 내지 도 6를 참조하는 아래의 설명으로부터 충분히 이해할 수 있다.
이하, 도 1 내지 도 6를 참조하여 본 발명의 실시예에 따른 피싱 사이트 탐지 장치가 피싱 사이트 접속 방지 시스템에서 피싱 우려 사이트를 판별하여 경보하는 과정에 대해 자세히 살펴보기로 한다.
먼저, 피싱 사이트 탐지 서버(200)는 피싱 행위로부터 보호하고자 하는 보호 사이트의 기준 이미지 정보를 수집한다. 이를 위해 피싱 사이트 탐지 서버(200)는 사이트 운용 서버(31, 33)나 여타의 사이트 운용 서버에 의해 운용되는 사이트들 중에서 피싱 행위로부터 보호하고자 하는 사이트에 접속하며, 해당 사이트를 구성하는 복수의 페이지를 열람한다. 그리고, 열람한 페이지들에 포함된 이미지들 중에서 각 페이지들에 모두 포함된 중첩 이미지 정보를 추출하며, 추출된 중첩 이미지 정보를 해당 사이트의 기준 이미지 정보로서 수집한다(S301).
도 4a 내지 도 4d를 참조하면, “http://shop.ahnlab.com”이 보호 사이트일 경우에 먼저 도 4a의 메인 페이지를 열람하고, 도 4b의 서브 페이지1 및 도 4c의 서브 페이지2도 순차적으로 열람한다. 그리고, 이러한 복수의 페이지들을 동일한 화면 상에 순차로 표시할 때에 중첩하는 이미지 정보인 도 4d를 해당하는 보호 사이트의 기준 이미지 정보로서 수집한다. 통상적으로 대부분의 사이트들은 페이지마다 변하지 않고 중첩되는 위치에 로고 등과 같은 이미지 정보를 포함하며, 피싱 사이트는 이러한 이미지를 그대로 차용하여 사용자들로 하여금 정상 사이트로 착각하게끔 한다. 이에 착안하여, 본 발명의 실시예에서는 보호 사이트의 기준 이미지 정보를 수집하여 이를 피싱 우려 사이트를 탐지하는 데에 활용한다.
피싱 사이트 탐지 서버(200)가 보호 사이트의 기준 이미지 정보를 수집하여 통신 단말 장치(10)에게 제공하며, 통신 단말 장치(10)에 탑재된 피싱 사이트 탐지 장치(100)의 탐지 정보 제공부(110)는 기준 이미지 정보가 포함된 피싱 탐지 기준 정보를 저장한다(S303).
여기서, 탐지 정보 제공부(110)에 의해 저장되는 피싱 탐지 기준 정보에는 탐지 대상 사이트의 이미지 추출 범위 정보, 이미지 비교 방식 정보, 피싱 우려 사이트의 판별을 위한 유사도 기준치 등을 더 포함한다. 이러한 피싱 탐지 기준 정보에 포함되는 개별의 정보들에 대해서는 아래의 적소에서 설명하기로 한다.
그리고, 피싱 사이트 탐지 장치(100)는 피싱 사이트 탐지 서버(200)로부터 피싱 탐지 기준 정보를 제공받지 않고 처음부터 탐지 기준 정보를 사전 저장한 상태에서 운용되는 스탠드 얼론(standalone) 방식으로 동작할 수도 있다.
피싱 사이트 탐지 장치(100)에 의해 피싱 사이트 탐지(S305)가 시작된 상태에서 통신 단말 장치(10)에 의해 사이트 접속이 시도(S307)되면 피싱 사이트 탐지 장치(100)의 대상 판별부(120)가 접속 요청된 사이트의 접속 위치 정보를 획득하고(S309), 기 저장된 탐지 기준 사이트 리스트를 로드하며(S311), 접속 위치 정보와 탐지 기준 사이트 리스트를 비교한 결과에 따라 탐지 대상 사이트를 판별한다(S313).
여기서, 탐지 기준 사이트 리스트에는 정상 사이트 또는 피싱 사이트의 접속 위치 정보가 포함될 수 있다. 예컨대, 이미 수행된 피싱 사이트 탐지 과정에 의해 정상 사이트로 판별되었거나 피싱 사이트로 판별된 사이트에 대해서는 또 다시 피싱 우려 사이트인지를 판별할 필요가 없다. 즉, 대상 판별부(120)는 탐지 기준 사이트 리스트에 포함되지 않은 접속 위치 정보를 가지는 사이트에 대해서만 탐지 대상 사이트로 판별할 수 있다. 여기서, 접속 위치 정보는 URL 정보 또는 이에 대응하는 IP 주소 정보를 이용할 수 있다.
대상 판별부(120)에 의해 탐지 대상 사이트로 판별되면 피싱 사이트 탐지 장치(100)의 이미지 비교부(130)는 탐지 정보 제공부(110)로부터 피싱 탐지 기준 정보를 로드한다(S315).
이어서, 이미지 비교부(130)는 피싱 탐지 기준 정보에 포함된 이미지 추출 범위 정보에 따라 탐지 대상 사이트의 화면 중 소정의 위치에서 기준 이미지 정보와 동일한 크기의 비교 대상 이미지 정보를 추출하며(S317), 탐지 대상 사이트로부터 추출된 비교 대상 이미지 정보와 기준 이미지 정보를 비교하여 오차를 산출한다(S319). 이러한 이미지 정보 추출 및 오차 산출 과정은 피싱 탐지 기준 정보에 포함된 이미지 추출 범위 내에서 반복적으로 수행된다. 예컨대, 설정된 개수의 픽셀 단위로 이미지 추출 위치를 변경하면서 기준 이미지 정보와 비교하여 오차를 산출할 수 있다. 그리고, 이미지 비교부(130)는 여러 회에 걸쳐서 산출한 오차 값 중에서 가장 작은 최소 오차 값을 피싱 경보부(140)에게 제공한다.
이 때, 이미지 비교부(130)는 피싱 탐지 기준 정보에 포함된 이미지 추출 범위 정보에 의거하여 접속 화면의 특정 구획에서 이미지 비교를 위한 이미지 정보를 추출하기 때문에 접속 화면의 전체를 대상으로 할 때보다 더 신속하게 오차 산출 과정을 끝낼 수 있다. 예컨대, 도 5에 예시한 접속 화면(400)을 구성하는 복수의 화면 구획(401 내지 406) 중에서 화면 구획(401)이 이미지 추출 범위 정보로서 피싱 탐지 기준 정보에 포함되어 있으면 이미지 비교부(130)는 접속 화면(400)의 전체를 대상으로 하여 비교 대상 이미지 정보를 추출하지 않고, 접속 화면(400)의 화면 구획(401)만을 대상으로 하여 비교 대상 이미지 정보를 추출한다. 이에, 접속 화면(400)의 전체를 대상으로 하여 이미지 정보를 추출할 때와 비교하면 상대적으로 적은 연산 처리에 의해 더 빠른 시간 내에 이미지 정보 추출 및 비교 과정을 끝낼 수 있다.
아울러, 피싱 탐지 기준 정보에 포함된 비교 방식 정보는 이미지 비교부(130)가 탐지 대상 사이트로부터 추출된 비교 대상 이미지 정보와 기준 이미지 정보를 비교할 때에 이용하게 된다. 예컨대, 이미지 비교부(130)는 피싱 탐지 기준 정보에 포함된 비교 방식 정보에 의거하여 픽셀 단위의 색상 차이값을 합산하여 비교하는 방식으로 이미지를 비교하거나 가로축과 세로축의 색상 분포를 나타내는 히스토그램을 비교하는 방식으로 이미지를 비교할 수 있다(S321).
여기서, 이미지 비교부(130)는 이미지 비교 시간을 단축하기 위해 처음에는 기 설정된 복수의 픽셀 단위로 이미지 추출 위치를 변경하여 띄엄띄엄 기준 이미지 정보와의 오차를 계산하며, 오차 값이 기 설정된 값보다 낮은 영역에서만 한 픽셀 단위로 이미지 추출 위치를 변경하면서 기준 이미지 정보와의 오차를 계산할 수도 있다.
다음으로, 피싱 사이트 탐지 장치(100)의 피싱 경보부(140)는 이미지 비교부(130)에 의한 이미지 비교의 결과에 따라 탐지 대상 사이트가 피싱 우려 사이트인지를 판별한다. 여기서, 피싱 경보부(140)는 이미지 비교부(130)에 의해 산출된 최소 오차 값과 피싱 탐지 기준 정보에 포함된 유사도 기준치의 비교 결과에 따라 피싱 우려 사이트를 판별할 수 있다.
예컨대, 도 6에 나타낸 그래프와 같이 탐지 대상 사이트인 A 사이트, B 사이트 및 C 사이트의 이미지 비교에 따라 산출된 최소 오차 값과 피싱 탐지 기준 정보에 기 설정된 유사도 기준치를 비교하며, 유사도 기준치보다 더 낮은 오차 값을 가지는 A 사이트를 피싱 우려 사이트로 판별할 수 있다(S323).
아울러, 피싱 경보부(140)는 피싱 사이트 탐지 결과를 화면이나 음향 등을 통해 출력하여 사용자에게 경보하거나 통신 단말 장치(10)에게 전달하여 피싱 사이트 탐지 결과를 출력할 수 있도록 한다. 이에 따라, 통신 단말 장치(10)가 피싱 사이트에 접속하는 것을 방지할 수 있다(S325).
한편, 도 1 내지 도 3의 예시에서는 피싱 사이트 탐지 서버(200)가 보호 사이트를 대상으로 하여 기준 이미지 정보를 수집하여 통신 단말 장치(10)에게 제공하면 피싱 사이트 탐지 장치(100)가 피싱 우려 사이트를 직접 판별하여 경보하는 경우를 설명하였다. 이외에도, 피싱 사이트 탐지 장치(100)가 통신 단말 장치(10)에 의해 접속이 시도되는 탐지 대상 사이트의 접속 위치 정보를 획득하여 피싱 사이트 탐지 서버(200)에게 제공하면 피싱 사이트 탐지 서버(200)가 탐지 대상 사이트를 대상으로 하여 피싱 우려 사이트를 판별한 후에 그 판별 결과를 통신 단말 장치(10)에게 제공하도록 구현할 수도 있다.
첨부된 블록도의 각 블록과 흐름도의 각 단계의 조합들은 컴퓨터 프로그램 인스트럭션들에 의해 수행될 수도 있다. 이들 컴퓨터 프로그램 인스트럭션들은 범용 컴퓨터, 특수용 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비의 프로세서에 탑재될 수 있으므로, 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비의 프로세서를 통해 수행되는 그 인스트럭션들이 블록도의 각 블록 또는 흐름도의 각 단계에서 설명된 기능들을 수행하는 수단을 생성하게 된다. 이들 컴퓨터 프로그램 인스트럭션들은 특정 방식으로 기능을 구현하기 위해 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비를 지향할 수 있는 컴퓨터 이용 가능 또는 컴퓨터 판독 가능 메모리에 저장되는 것도 가능하므로, 그 컴퓨터 이용가능 또는 컴퓨터 판독 가능 메모리에 저장된 인스트럭션들은 블록도의 각 블록 또는 흐름도 각 단계에서 설명된 기능을 수행하는 인스트럭션 수단을 내포하는 제조 품목을 생산하는 것도 가능하다. 컴퓨터 프로그램 인스트럭션들은 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비 상에 탑재되는 것도 가능하므로, 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비 상에서 일련의 동작 단계들이 수행되어 컴퓨터로 실행되는 프로세스를 생성해서 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비를 수행하는 인스트럭션들은 블록도의 각 블록 및 흐름도의 각 단계에서 설명된 기능들을 실행하기 위한 단계들을 제공하는 것도 가능하다.
또한, 각 블록 또는 각 단계는 특정된 논리적 기능(들)을 실행하기 위한 하나 이상의 실행 가능한 인스트럭션들을 포함하는 모듈, 세그먼트 또는 코드의 일부를 나타낼 수 있다. 또, 몇 가지 대체 실시예들에서는 블록들 또는 단계들에서 언급된 기능들이 순서를 벗어나서 발생하는 것도 가능함을 주목해야 한다. 예컨대, 잇달아 도시되어 있는 두 개의 블록들 또는 단계들은 사실 실질적으로 동시에 수행되는 것도 가능하고 또는 그 블록들 또는 단계들이 때때로 해당하는 기능에 따라 역순으로 수행되는 것도 가능하다.
이상의 설명은 본 발명의 기술 사상을 예시적으로 설명한 것에 불과한 것으로서, 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자라면 본 발명의 본질적인 특성에서 벗어나지 않는 범위에서 다양한 수정 및 변형이 가능할 것이다. 따라서, 본 발명에 개시된 실시예들은 본 발명의 기술 사상을 한정하기 위한 것이 아니라 설명하기 위한 것이고, 이러한 실시예에 의하여 본 발명의 기술 사상의 범위가 한정되는 것은 아니다. 본 발명의 보호 범위는 아래의 청구범위에 의하여 해석되어야 하며, 그와 동등한 범위 내에 있는 모든 기술사상은 본 발명의 권리범위에 포함되는 것으로 해석되어야 할 것이다.
본 발명에 첨부된 블록도의 각 블록과 흐름도의 각 단계의 조합들은 컴퓨터 프로그램 인스트럭션들에 의해 수행될 수도 있다. 이들 컴퓨터 프로그램 인스트럭션들은 범용 컴퓨터, 특수용 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비의 프로세서에 탑재될 수 있으므로, 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비의 프로세서를 통해 수행되는 그 인스트럭션들이 블록도의 각 블록 또는 흐름도의 각 단계에서 설명된 기능들을 수행하는 수단을 생성하게 된다. 이들 컴퓨터 프로그램 인스트럭션들은 특정 방식으로 기능을 구현하기 위해 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비를 지향할 수 있는 컴퓨터 이용 가능 또는 컴퓨터 판독 가능 메모리에 저장되는 것도 가능하므로, 그 컴퓨터 이용가능 또는 컴퓨터 판독 가능 메모리에 저장된 인스트럭션들은 블록도의 각 블록 또는 흐름도 각 단계에서 설명된 기능을 수행하는 인스트럭션 수단을 내포하는 제조 품목을 생산하는 것도 가능하다. 컴퓨터 프로그램 인스트럭션들은 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비 상에 탑재되는 것도 가능하므로, 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비 상에서 일련의 동작 단계들이 수행되어 컴퓨터로 실행되는 프로세스를 생성해서 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비를 수행하는 인스트럭션들은 블록도의 각 블록 및 흐름도의 각 단계에서 설명된 기능들을 실행하기 위한 단계들을 제공하는 것도 가능하다.
또한, 각 블록 또는 각 단계는 특정된 논리적 기능(들)을 실행하기 위한 하나 이상의 실행 가능한 인스트럭션들을 포함하는 모듈, 세그먼트 또는 코드의 일부를 나타낼 수 있다. 또, 몇 가지 대체 실시예들에서는 블록들 또는 단계들에서 언급된 기능들이 순서를 벗어나서 발생하는 것도 가능함을 주목해야 한다. 예컨대, 잇달아 도시되어 있는 두 개의 블록들 또는 단계들은 사실 실질적으로 동시에 수행되는 것도 가능하고 또는 그 블록들 또는 단계들이 때때로 해당하는 기능에 따라 역순으로 수행되는 것도 가능하다.
이상의 설명은 본 발명의 기술 사상을 예시적으로 설명한 것에 불과한 것으로서, 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자라면 본 발명의 본질적인 특성에서 벗어나지 않는 범위에서 다양한 수정 및 변형이 가능할 것이다. 따라서, 본 발명에 개시된 실시예들은 본 발명의 기술 사상을 한정하기 위한 것이 아니라 설명하기 위한 것이고, 이러한 실시예에 의하여 본 발명의 기술 사상의 범위가 한정되는 것은 아니다. 본 발명의 보호 범위는 아래의 청구범위에 의하여 해석되어야 하며, 그와 동등한 범위 내에 있는 모든 기술사상은 본 발명의 권리범위에 포함되는 것으로 해석되어야 할 것이다.

Claims (14)

  1. 피싱 사이트의 탐지를 위한 피싱 탐지 기준 정보를 로드하는 단계와,
    상기 피싱 탐지 기준 정보에 의거하여 탐지 대상 사이트로부터 비교 대상 이미지 정보를 추출하는 단계와,
    추출된 상기 비교 대상 이미지 정보와 상기 피싱 탐지 기준 정보에 포함된 보호 사이트의 기준 이미지 정보를 비교하는 단계와,
    상기 비교의 결과에 따라 상기 탐지 대상 사이트가 피싱 우려 사이트로 판별되면 피싱 사이트 탐지 결과를 경보하는 단계
    를 포함하는 이미지 비교를 통한 피싱 사이트 탐지 방법.
  2. 제 1 항에 있어서,
    접속 요청된 사이트의 접속 위치 정보를 획득하는 단계와,
    기 저장된 탐지 기준 사이트 리스트를 로드하는 단계와,
    상기 접속 위치 정보와 상기 탐지 기준 사이트 리스트를 비교한 결과에 따라 상기 탐지 대상 사이트를 판별하는 단계
    를 더 포함하는 이미지 비교를 통한 피싱 사이트 탐지 방법.
  3. 제 1 항에 있어서,
    상기 피싱 탐지 기준 정보는, 상기 기준 이미지 정보와 상기 비교 대상 이미지 정보의 비교 방식 정보를 더 포함하는
    이미지 비교를 통한 피싱 사이트 탐지 방법.
  4. 제 3 항에 있어서,
    복수의 상기 보호 사이트는, 각각 개별의 상기 피싱 탐지 기준 정보를 가지며,
    상기 피싱 탐지 기준 정보는, 상기 보호 사이트의 기준 이미지 정보 및 상기 비교 대상 이미지 정보를 추출하기 위한 이미지 추출 범위 정보를 포함하는
    이미지 비교를 통한 피싱 사이트 탐지 방법.
  5. 제 4 항에 있어서,
    상기 피싱 탐지 기준 정보는, 상기 피싱 우려 사이트의 판별을 위한 유사도 기준치를 포함하며,
    상기 추출하는 단계는, 상기 이미지 추출 범위 정보에 의한 이미지 추출 범위 내에서 반복적으로 수행하여 복수의 상기 비교 대상 이미지 정보를 추출하며,
    상기 비교하는 단계는, 상기 비교 방식 정보에 따라 상기 복수의 비교 대상 이미지 정보와 상기 기준 이미지 정보를 비교하여 오차 값을 여러 회에 걸쳐서 산출하는
    이미지 비교를 통한 피싱 사이트 탐지 방법.
  6. 제 5 항에 있어서,
    상기 경보하는 단계는, 산출된 상기 오차 값 중에서 가장 작은 최소 오차 값과 상기 유사도 기준치와의 비교 결과에 따라 상기 피싱 우려 사이트를 판별하는
    이미지 비교를 통한 피싱 사이트 탐지 방법.
  7. 제 1 항에 있어서,
    상기 보호 사이트의 기준 이미지 정보는, 상기 보호 사이트를 구성하는 복수의 페이지를 동일한 화면 상에 순차로 표시할 때에 중첩하는 이미지 정보를 사전에 추출하여 수집하는
    이미지 비교를 통한 피싱 사이트 탐지 방법.
  8. 피싱 사이트의 탐지를 위한 피싱 탐지 기준 정보를 제공하는 탐지 정보 제공부와,
    상기 피싱 탐지 기준 정보에 의거하여 탐지 대상 사이트로부터 비교 대상 이미지 정보를 추출하며, 추출된 상기 비교 대상 이미지 정보와 상기 피싱 탐지 기준 정보에 포함된 보호 사이트의 기준 이미지 정보를 비교하는 이미지 비교부와,
    상기 비교의 결과에 따라 상기 탐지 대상 사이트가 피싱 우려 사이트로 판별되면 피싱 사이트 탐지 결과를 경보하는 피싱 경보부
    를 포함하는 이미지 비교를 통한 피싱 사이트 탐지 장치.
  9. 제 8 항에 있어서,
    접속 요청된 사이트의 접속 위치 정보를 획득하고, 기 저장된 탐지 기준 사이트 리스트를 로드하며, 상기 접속 위치 정보와 상기 탐지 기준 사이트 리스트를 비교한 결과에 따라 상기 탐지 대상 사이트를 판별하는 대상 판별부
    를 더 포함하는 이미지 비교를 통한 피싱 사이트 탐지 장치.
  10. 제 8 항에 있어서,
    상기 피싱 탐지 기준 정보는, 상기 기준 이미지 정보와 상기 비교 대상 이미지 정보의 비교 방식 정보를 더 포함하는
    이미지 비교를 통한 피싱 사이트 탐지 장치.
  11. 제 10 항에 있어서,
    복수의 상기 보호 사이트는, 각각 개별의 상기 피싱 탐지 기준 정보를 가지며,
    상기 피싱 탐지 기준 정보는, 상기 보호 사이트의 기준 이미지 정보 및 상기 비교 대상 이미지 정보를 추출하기 위한 이미지 추출 범위 정보를 포함하는
    이미지 비교를 통한 피싱 사이트 탐지 장치.
  12. 제 11 항에 있어서,
    상기 피싱 탐지 기준 정보는, 상기 피싱 우려 사이트의 판별을 위한 유사도 기준치를 포함하며,
    상기 이미지 비교부는, 상기 이미지 추출 범위 정보에 의한 이미지 추출 범위 내에서 상기 비교 대상 이미지의 추출을 반복적으로 수행하여 복수의 상기 비교 대상 이미지 정보를 추출하며, 상기 비교 방식 정보에 따라 상기 복수의 비교 대상 이미지 정보와 상기 기준 이미지 정보를 비교하여 오차 값을 여러 회에 걸쳐서 산출하는
    이미지 비교를 통한 피싱 사이트 탐지 장치.
  13. 제 12 항에 있어서,
    상기 피싱 경보부는, 산출된 상기 오차 값 중에서 가장 작은 최소 오차 값과 상기 유사도 기준치와의 비교 결과에 따라 상기 피싱 우려 사이트를 판별하는
    이미지 비교를 통한 피싱 사이트 탐지 장치.
  14. 제 8 항에 있어서,
    상기 보호 사이트의 기준 이미지 정보는, 상기 보호 사이트를 구성하는 복수의 페이지를 동일한 화면 상에 순차로 표시할 때에 중첩하는 이미지 정보를 사전에 추출하여 수집하는
    이미지 비교를 통한 피싱 사이트 탐지 장치.
PCT/KR2014/005469 2013-06-25 2014-06-20 이미지 비교를 통한 피싱 사이트 탐지 방법 및 장치 WO2014208937A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020130073106A KR101473671B1 (ko) 2013-06-25 2013-06-25 이미지 비교를 통한 피싱 사이트 탐지 방법 및 장치
KR10-2013-0073106 2013-06-25

Publications (1)

Publication Number Publication Date
WO2014208937A1 true WO2014208937A1 (ko) 2014-12-31

Family

ID=52142214

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2014/005469 WO2014208937A1 (ko) 2013-06-25 2014-06-20 이미지 비교를 통한 피싱 사이트 탐지 방법 및 장치

Country Status (2)

Country Link
KR (1) KR101473671B1 (ko)
WO (1) WO2014208937A1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019067993A1 (en) * 2017-10-01 2019-04-04 Fireeye, Inc. DETECTION OF STRIKING ATTACK

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101723646B1 (ko) * 2015-12-31 2017-04-06 네이버 주식회사 웹사이트 분석 장치, 방법, 및 컴퓨터 프로그램
KR102580011B1 (ko) * 2021-03-17 2023-09-19 주식회사 에스투더블유 전자 상거래에서의 이상거래 추적 방법 및 시스템
KR102561010B1 (ko) * 2021-11-23 2023-07-28 (주)닥터소프트 이미지 분석에 기초한 클라우드 서비스 사용 탐지 방법 및 이를 수행하는 서버

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100844195B1 (ko) * 2007-02-28 2008-07-04 (주)민인포 그래픽 오티피를 이용한 사용자 인증 방법
KR100956452B1 (ko) * 2008-07-16 2010-05-06 인하대학교 산학협력단 피싱공격 방지 방법
KR101000575B1 (ko) * 2009-03-29 2010-12-14 인하대학교 산학협력단 합성 이미지 기반 인증 프로토콜

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100844195B1 (ko) * 2007-02-28 2008-07-04 (주)민인포 그래픽 오티피를 이용한 사용자 인증 방법
KR100956452B1 (ko) * 2008-07-16 2010-05-06 인하대학교 산학협력단 피싱공격 방지 방법
KR101000575B1 (ko) * 2009-03-29 2010-12-14 인하대학교 산학협력단 합성 이미지 기반 인증 프로토콜

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019067993A1 (en) * 2017-10-01 2019-04-04 Fireeye, Inc. DETECTION OF STRIKING ATTACK
US10805346B2 (en) 2017-10-01 2020-10-13 Fireeye, Inc. Phishing attack detection

Also Published As

Publication number Publication date
KR101473671B1 (ko) 2014-12-17

Similar Documents

Publication Publication Date Title
US11128662B2 (en) Method, client, and server for preventing web page hijacking
CN109815818B (zh) 目标人物追踪方法、系统及相关装置
US10176654B2 (en) Suspicious person detection system, suspicious person detection method
WO2016003084A1 (en) Method and apparatus of notifying of smishing
WO2014208937A1 (ko) 이미지 비교를 통한 피싱 사이트 탐지 방법 및 장치
KR20170024777A (ko) 스미싱 메시지 판별장치 및 스미싱 메시지 판별방법
US20150026813A1 (en) Method and system for detecting network link
CN107948199B (zh) 一种对终端共享接入进行快速检测的方法及装置
WO2012036449A2 (en) Method and apparatus for managing data
JP2021051781A (ja) イベント監視システム、イベント監視方法、およびプログラム
JP2015002477A (ja) 情報処理装置、情報処理システムおよび情報処理方法
CN104125215A (zh) 网站域名劫持检测方法和系统
CN105530319A (zh) 排队状态信息的检测方法和系统及具有该系统的服务器端
WO2014168408A1 (ko) 클라우드 기반 악성코드 진단 장치, 시스템 및 방법
CN105427507B (zh) 火灾监测方法及装置
CN106919690B (zh) 一种信息的屏蔽方法、装置及电子设备
CN115563600A (zh) 数据审核方法和装置、电子设备及存储介质
KR20190066218A (ko) 유해물 관리 방법, 이를 실행하는 컴퓨팅 장치 및 컴퓨터 프로그램
CN110490106B (zh) 信息管理方法及相关设备
CN109360023A (zh) 用于模块的有效执行的方法和设备
CN113411332B (zh) 一种cors漏洞检测方法、装置、设备及介质
CN102870111A (zh) 用于确定分析历史记录的方法和装置
CN109982243A (zh) 人物跟踪方法、装置、电子设备及存储介质
CN110334763B (zh) 模型数据文件生成、图像识别方法、装置、设备及介质
WO2015076497A1 (ko) 웹개체를 이용한 공유단말 검출 방법 및 그 장치

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14816788

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14816788

Country of ref document: EP

Kind code of ref document: A1