scambuster

Honeypot automatizzato per scambaiting e piattaforma di threat intelligence

La maggior parte dei programmi di sicurezza blocca e dimentica: la posta se ne va, l'infrastruttura dell'attaccante e i canali del denaro restano inosservati. ScamBuster invece interagisce, solo in entrata e nel rispetto delle policy, trasformando lo scambio in IOC, profili degli attori e tattiche etichettate (perché).

ScamBuster è stato presentato al Black Hat USA 2026 nella track Human Factor.

Provalo

Demo ospitata -- demo.scambuster.ai, login [email protected] / Un1que$trongPassword2024.

Demo locale -- make demo-up, poi http://localhost:3002: nessuna API key, nessun account, nessuna casella di posta (guida).

Come funziona

Agente	Ruolo
ScamClassifier	Classifica la truffa (13 tipi), rileva la lingua
IocExtractor	Estrae 36 tipi di IOC con contesto
Generator	Scrive la risposta guidata dalla persona
Validator	Controllo di sicurezza e qualità (PolicyGuard + LLM)
ConversationDirector	Legge la conversazione, guida ogni turno
Orchestrator	Esegue la pipeline, traccia costi e trace
InjectionDetector	Analisi del prompt injection su due livelli
TtpExtractor	Etichetta le tattiche del truffatore, tassonomia chiusa

La scelta della persona è adattiva: epsilon-greedy con UCB1 apprende quale persona produce i risultati migliori per ciascun tipo di truffa.

Multilingue per progettazione: le regole di rilevamento e i prompt delle persona contengono di proposito contenuti in lingue diverse dall'inglese, così risponde ai truffatori nella loro lingua (dettagli).

Cosa produce

• Bundle STIX 2.1 per conversazione -- indicator, threat-actor, sightings, observed-data, attack-patterns, relazioni
• Server TAXII 2.1 con sincronizzazione delta
• Esportazione MISP Event JSON
• Esportazione SIEM in CEF, ECS o JSON, su file o syslog

Standard, non connettori specifici per fornitore. Verificato end to end con OpenCTI (cosa arriva dove); gli altri tre seguono gli stessi standard, non testati dal vivo.

Ogni conversazione produce un threat-actor:

{
  "type": "threat-actor",
  "name": "ScamBuster Actor - INVESTMENT #02114290",
  "sophistication": "minimal",
  "goals": ["financial-theft"],
  "primary_motivation": "personal-gain",
  "threat_actor_types": ["criminal"],
  "description": "Criminal actor operating investment scam."
}

Gli attori includono la mappatura ATT&CK, relazioni indicates verso ogni IOC e un profilo psicologico (profiling, TTPs, API).

Avvio rapido

git clone https://github.com/laugiov/scambuster.git
cd scambuster
cp .env.dist .env    # edit it first, see below
make quickstart      # build, start, migrate, seed, JWT keys, n8n

Compila queste 4 variabili in .env prima dell'uso reale:

Variabile	Cosa fare
LLM_API_KEY	Chiave OpenAI (oppure LLM_PROVIDER=mock, senza chiave)
HONEYPOT_IMAP_USER	Casella honeypot (IMAP, riceve le truffe)
HONEYPOT_IMAP_PASSWORD	Password per app, non la password dell'account
MAILER_DSN	SMTP per le risposte, @ scritto come %40

Lasciate come segnaposto, si avvia in modalità demo e lo segnala. Quickstart · demo · installazione AI · produzione · architettura · roadmap · tutti i documenti.

Limitazioni

• Solo email, solo in ingresso. Nessun SMS, chat o voce; non scrive mai per primo.
• Non è un controllo. Non blocca né filtra nulla; non sostituisce la sicurezza della posta.
• Un solo percorso di esportazione verificato. OpenCTI; TAXII, MISP e SIEM non sono testati dal vivo.
• Nessuna metrica pubblicata per il modulo TTP -- è successivo alla finestra di valutazione; la precisione attende un audit condotto dall'operatore.
• Revisione in sola lettura. La coda TTP è solo per il triage; l'attribuzione delle campagne resta manuale.
• L'output dipende dal modello. Le risposte mock sono sintetiche; le persona e le regole sono dati di partenza da calibrare; i dati demo sono precaricati, non output reali.
• Un solo host, rischio a tuo carico. Docker Compose su una singola macchina, nessuna HA; la legalità locale spetta a te stabilirla.

Sicurezza ed etica

ScamBuster è uno strumento di ricerca difensivo, non un'arma offensiva.

• Solo in ingresso: interagisce solo dopo che il truffatore ha preso contatto
• Nessun accesso non autorizzato: non accede mai ai sistemi dell'attaccante
• Filtro dei contenuti: PolicyGuard blocca minacce, contenuti illegali, PII reali
• Limitazione della frequenza: limiti rigidi su conversazioni, messaggi e chiamate LLM
• Kill switch: arresto a livello di workflow, API, database o infrastruttura
• GDPR: minimizzazione dei dati, politiche di conservazione, cifratura a riposo

L'uso responsabile è responsabilità dell'operatore. Verifica che il tuo deployment sia legale dove operi, mantienilo solo in ingresso e non usarlo mai per avviare contatti, prendere di mira individui, molestare o fare doxing. Leggi il Disclaimer & Responsible Use prima di effettuare il deployment.

Altro: Sicurezza e guardrail, SECURITY.md.

Licenza

Codice MIT; documentazione e dataset CC BY-NC-SA 4.0.

Contribuire

Vedi CONTRIBUTING.md, Discussions e Issues.

Contatti

Laurent Giovannoni -- scambuster.ai · LinkedIn · SECURITY.md.