ScamBuster

Plateforme automatisée de honeypot de scambaiting et de renseignement sur les menaces

Tableau de bord des opérations ScamBuster

La plupart des programmes de sécurité bloquent puis oublient : le courrier part, l'infrastructure de l'attaquant et les circuits financiers restent inobservés. ScamBuster, lui, engage la conversation, en entrée uniquement et dans le respect des politiques, transformant l'échange en IOC, en profils d'acteurs et en tactiques étiquetées (pourquoi).

ScamBuster a été présenté à Black Hat USA 2026 dans la track Human Factor.

Essayez-le

Démo hébergée -- demo.scambuster.ai, identifiants [email protected] / Un1que$trongPassword2024.

Démo locale -- make demo-up, puis http://localhost:3002 : aucune clé API, aucun compte, aucune boîte mail (guide).

Comment ça fonctionne

Agent	Rôle
ScamClassifier	Catégorise l'arnaque (13 types), détecte la langue
IocExtractor	Extrait 36 types d'IOC avec leur contexte
Generator	Rédige la réponse guidée par la persona
Validator	Garde-fou de sûreté et de qualité (PolicyGuard + LLM)
ConversationDirector	Lit le fil de discussion, oriente chaque tour
Orchestrator	Exécute le pipeline, suit les coûts et les traces
InjectionDetector	Analyse de l'injection de prompt en deux couches
TtpExtractor	Étiquette les tactiques de l'escroc, taxonomie fermée

Le choix de la persona est adaptatif : epsilon-greedy avec UCB1 apprend quelle persona produit le plus de résultats selon le type d'arnaque.

Multilingue par conception : les règles de détection et les prompts de persona contiennent volontairement du contenu non anglophone, afin de répondre aux escrocs dans leur propre langue (détails).

Ce qu'il produit

Bundle STIX 2.1 par conversation -- indicators, threat-actor, sightings, observed-data, attack-patterns, relationships
Serveur TAXII 2.1 avec synchronisation delta
Export MISP Event JSON
Export SIEM en CEF, ECS ou JSON, vers fichier ou syslog

Des standards, pas des connecteurs propres à chaque fournisseur. Vérifié de bout en bout avec OpenCTI (ce qui arrive où) ; les trois autres suivent les mêmes standards, non testés en conditions réelles.

Chaque conversation produit un threat-actor :

{
  "type": "threat-actor",
  "name": "ScamBuster Actor - INVESTMENT #02114290",
  "sophistication": "minimal",
  "goals": ["financial-theft"],
  "primary_motivation": "personal-gain",
  "threat_actor_types": ["criminal"],
  "description": "Criminal actor operating investment scam."
}

Les acteurs portent un mapping ATT&CK, des relations indicates vers chaque IOC, et un profil psychologique (profiling, TTPs, API).

Démarrage rapide

git clone https://github.com/laugiov/scambuster.git
cd scambuster
cp .env.dist .env    # edit it first, see below
make quickstart      # build, start, migrate, seed, JWT keys, n8n

Renseignez ces 4 variables dans .env avant toute utilisation réelle :

Variable	Ce qu'il faut faire
`LLM_API_KEY`	Clé OpenAI (ou `LLM_PROVIDER=mock`, sans clé)
`HONEYPOT_IMAP_USER`	Boîte aux lettres honeypot (IMAP, reçoit les arnaques)
`HONEYPOT_IMAP_PASSWORD`	Mot de passe d'application, pas le mot de passe du compte
`MAILER_DSN`	SMTP pour les réponses, `@` écrit sous la forme `%40`

Laissées en tant que valeurs de substitution, l'outil démarre en mode démo et l'indique. Quickstart · démo · installation IA · production · architecture · feuille de route · toute la documentation.

Limitations

E-mail uniquement, entrant uniquement. Pas de SMS, de chat ni de voix ; il ne prend jamais l'initiative du contact.
Ce n'est pas un dispositif de contrôle. Il ne bloque et ne filtre rien ; il ne remplace pas la sécurité de la messagerie.
Un seul chemin d'export vérifié. OpenCTI ; TAXII, MISP et SIEM ne sont pas testés en conditions réelles.
Aucune métrique publiée pour le module TTP -- il est postérieur à la fenêtre d'évaluation ; sa précision reste à établir par un audit mené par un opérateur.
Revue en lecture seule. La file TTP ne sert qu'au tri ; l'attribution des campagnes reste manuelle.
La sortie dépend du modèle. Les réponses mock sont synthétiques ; les personas et les règles sont des données de départ à ajuster ; les données de démo sont préchargées, pas issues d'une sortie réelle.
Un seul hôte, à vos risques. Docker Compose sur une seule machine, sans haute disponibilité ; il vous appartient d'établir la légalité locale.

Sécurité et éthique

ScamBuster est un outil de recherche défensive, pas une arme offensive.

Entrant uniquement : n'interagit qu'après la prise de contact par l'escroc
Aucun accès non autorisé : n'accède jamais aux systèmes de l'attaquant
Filtrage de contenu : PolicyGuard bloque les menaces, les contenus illégaux et les données personnelles réelles
Limitation de débit : limites strictes sur les conversations, les messages et les appels LLM
Interrupteur d'arrêt : arrêt au niveau du workflow, de l'API, de la base de données ou de l'infrastructure
RGPD : minimisation des données, politiques de conservation, chiffrement au repos

L'usage responsable relève de la responsabilité de l'opérateur. Vérifiez que votre déploiement est légal là où vous opérez, maintenez-le en mode entrant uniquement, et ne l'utilisez jamais pour initier un contact, cibler des individus, harceler ou divulguer des informations personnelles. Lisez la Clause de non-responsabilité et usage responsable avant de déployer.

Pour en savoir plus : Sécurité et garde-fous, SECURITY.md.

scambuster

Populaires