שיטות לזיהוי מתקפות פישינג

תוכן עניינים

מבוא 1
מהות הפישינג ומניעי התוקפים 2
תהליך מתקפת פישינג 2
סוגים של מתקפות פישינג 3
זיהוי עמודי פישינג באמצעות מערכת ‎DeltaPhish‎ 6
הרקע לפיתוח ‎DeltaPhish‎ 6
גישות לזיהוי עמודי פישינג 7
מבנה מערכת ‎DeltaPhish‎ 8
סיווג השוני בין דפים לפי שיטות שונות 9
הניסוי במערכת ‎DeltaPhish‎ 14
מסקנות ומגבלות של ‎DeltaPhish‎ 16
זיהוי פישינג בהודעות דואר אלקטרוני באמצעות מערכת ‎D‎-‎Fence‎ 17
הרקע לפיתוח ‎D‎-‎Fence‎ 17
מבנה מערכת ‎D‎-‎Fence‎ 18
בדיקת ביצועים 22
זיהוי פישינג בהודעות דואר אלקטרוני באמצעות שדה ‎Message‎-‎ID‎ 24
הרקע לזיהוי מבוסס ‎Message‎-‎ID‎ 24
מבנה המערכת 25
ניסויים ומסקנות 26
זיהוי פישינג בהודעות דואר אלקטרוני באמצעות מערכת ‎SAFE‎-‎PC‎ 29
הרקע לפיתוח ‎SAFE‎-‎PC‎ 29
מבנה מערכת ‎SAFE‎-‎PC‎ 29
ניסויים במערכת ‎SAFE‎-‎PC‎ 32
מסקנות ומגבלות של ‎SAFE‎-‎PC‎ 34
סיכום 35
ביבליוגרפיה 36

מבוא

מתקפות פישינג הן אחת מצורות התקיפה הנפוצות והעמידות ביותר במרחב המקוון. בשונה ממתקפות המנצלות פגם טכני במערכת, הפישינג מכוון אל המשתמש עצמו ומנצל אמון, תחושת דחיפות וחוסר תשומת לב, ולכן הוא מתואר בספרות כמתקפה מבוססת משמעות, שמטרתה להטעות את תפיסת המשתמש ולא לפרוץ מנגנון הגנה (‎Khonji‎ ‎et‎ ‎al‎., ‎2013‎). המונח נטבע באמצע שנות התשעים, ומאז התרחבה התופעה ממתקפות על חשבונות דואר אלקטרוני אל מגוון רחב של ערוצים: דואר אלקטרוני, הודעות טקסט, שיחות טלפון, רשתות חברתיות ועמודי אינטרנט מזויפים (‎Aleroud‎ & ‎Zhou‎, ‎2017‎; ‎Alkhalil‎ ‎et‎ ‎al‎., ‎2021‎).

חשיבותו של הנושא נובעת משילוב של היקף ושל נזק. מתקפת פישינג מוצלחת אחת מספיקה כדי למסור לתוקף פרטי גישה לחשבון בנק, לתיבת דואר ארגונית או לרשת פנימית שלמה, ומכאן ואילך הפגיעה מתרחבת הרבה מעבר לקורבן הראשון. מכאן שמערכות ההגנה נדרשות לזהות את המתקפה לפני שהמשתמש מגיב לה, ובה בעת לשמור על שיעור נמוך של התרעות שווא, שכן חסימה שגויה של דואר לגיטימי פוגעת בשימושיות המערכת ומובילה לכך שהמשתמשים יתעלמו מהתרעותיה (‎Lee‎ ‎et‎ ‎al‎., ‎2021‎). האתגר החריף בשנים האחרונות עם כניסתם של מודלי שפה גדולים, המאפשרים לייצר הודעות פישינג משכנעות, מותאמות אישית ונקיות משגיאות בהיקף גדול ובעלות נמוכה (‎Qi‎ ‎et‎ ‎al‎., ‎2025‎).

בספרות המחקרית התפתחו ארבעה קווי זיהוי מרכזיים: ניתוח כתובות ‎URL‎ ומבנה של עמודי אינטרנט (‎Kritika‎, ‎2024‎), ניתוח מבנה ההודעה ושדות הכותרת שלה, ניתוח תוכן לשוני באמצעות עיבוד שפה טבעית, וניתוח חזותי של צילומי מסך של עמודים חשודים (‎Khonji‎ ‎et‎ ‎al‎., ‎2013‎; ‎Aleroud‎ & ‎Zhou‎, ‎2017‎). בשנים האחרונות נבחנת גם האפשרות להעביר את משימת ההכרעה עצמה למודל שפה גדול, המנתח את ההודעה בהקשרה ומנמק את החלטתו (‎Koide‎ ‎et‎ ‎al‎., ‎2026‎), ולצדה האפשרות להשתמש במודלים כאלה כדי לייצר דוגמאות אימון חדשות עבור מסווגים קיימים (‎Han‎ ‎et‎ ‎al‎., ‎2025‎).

מטרת עבודה זו היא להציג ולבחון ארבע שיטות לזיהוי מתקפות פישינג, שכל אחת מהן מייצגת גישה טכנולוגית אחרת ונשענת על מקור מידע אחר בתוך המתקפה: המערכת ‎DeltaPhish‎, המשווה עמוד חשוד לדף הבית של האתר שבו הוא מתארח (‎Corona‎ ‎et‎ ‎al‎., ‎2017‎); המערכת ‎D‎-‎Fence‎, המנתחת במקביל את מבנה ההודעה, את הטקסט שלה ואת הקישורים שבה (‎Lee‎ ‎et‎ ‎al‎., ‎2021‎); שיטת ‎Phish‎-‎IDetector‎, המזהה פישינג מתוך שדה ה-‎Message‎-‎ID‎ בכותרת ההודעה (‎Verma‎ & ‎Rai‎, ‎2015‎); והמערכת ‎SAFE‎-‎PC‎, המתמקדת בתבניות לשוניות ובמילים נרדפות בגוף ההודעה (‎Gutierrez‎ ‎et‎ ‎al‎., ‎2018‎). השאלה המנחה היא אילו מאפיינים של ההודעה או של העמוד מספקים אות זיהוי אמין, ומהן מגבלותיה של כל גישה מול תוקף שמנסה לחמוק ממנה.

העבודה בנויה מחמישה פרקים ופרק מסכם. הפרק הנוכחי מציג רקע על תופעת הפישינג, על תהליך המתקפה ועל סוגי המתקפות הנפוצים. הפרק השני עוסק במערכת ‎DeltaPhish‎ ובזיהוי עמודי פישינג באתרים שנפרצו. הפרק השלישי בוחן את המערכת ‎D‎-‎Fence‎ ואת שילוב המודולים שבה. הפרק הרביעי מוקדש לזיהוי פישינג על בסיס שדה ה-‎Message‎-‎ID‎. הפרק החמישי מציג את המערכת ‎SAFE‎-‎PC‎ ואת התמודדותה עם שינויים לשוניים בהודעות. הפרק המסכם משווה בין ארבע הגישות ומצביע על כיווני המשך לנוכח כניסתם של מודלי שפה גדולים לתחום.