scambuster

자동화된 스캠베이팅 허니팟 및 위협 인텔리전스 플랫폼

대부분의 보안 프로그램은 차단하고 잊어버립니다. 메일은 사라지고, 공격자의 인프라와 자금 경로는 관찰되지 않은 채로 남습니다. ScamBuster는 대신 교전합니다. 인바운드 전용이며 정책에 따라 운영되면서, 주고받은 내용을 IOC, 행위자 프로필, 태깅된 전술로 전환합니다 (이유).

ScamBuster는 Black Hat USA 2026의 Human Factor 트랙에서 발표되었습니다.

사용해 보기

호스팅 데모 -- demo.scambuster.ai, 로그인 [email protected] / Un1que$trongPassword2024.

로컬 데모 -- make demo-up 실행 후 http://localhost:3002 접속: API 키, 계정, 메일함 모두 필요 없음 (가이드).

작동 방식

에이전트	역할
ScamClassifier	사기 유형 분류(13종), 언어 감지
IocExtractor	문맥과 함께 36가지 IOC 유형 추출
Generator	페르소나 기반 답장 작성
Validator	안전 및 품질 게이트(PolicyGuard + LLM)
ConversationDirector	스레드를 읽고 각 턴을 조율
Orchestrator	파이프라인 실행, 비용 및 트레이스 추적
InjectionDetector	2계층 프롬프트 인젝션 분석
TtpExtractor	사기범 전술 태깅, 폐쇄형 분류 체계

페르소나 선택은 적응형입니다. UCB1을 사용하는 엡실론-그리디 방식으로 어떤 페르소나가 사기 유형별로 가장 많은 성과를 내는지 학습합니다.

설계상 다국어 지원: 탐지 규칙과 페르소나 프롬프트에는 의도적으로 비영어 콘텐츠가 포함되어 있어, 사기범에게 그들의 언어로 답변합니다 (세부 사항).

생성되는 결과물

• 대화별 STIX 2.1 번들 -- indicators, threat-actor, sightings, observed-data, attack-patterns, relationships
• 델타 동기화를 지원하는 TAXII 2.1 서버
• MISP Event JSON 내보내기
• CEF, ECS 또는 JSON 형식의 SIEM 내보내기, 파일 또는 syslog

벤더별 커넥터가 아닌 표준을 사용합니다. OpenCTI에 대해 엔드투엔드로 검증됨 (무엇이 어디에 저장되는지); 나머지 세 가지는 동일한 표준을 따르지만 실제 환경에서 테스트되지는 않았습니다.

각 대화는 하나의 threat-actor를 생성합니다:

{
  "type": "threat-actor",
  "name": "ScamBuster Actor - INVESTMENT #02114290",
  "sophistication": "minimal",
  "goals": ["financial-theft"],
  "primary_motivation": "personal-gain",
  "threat_actor_types": ["criminal"],
  "description": "Criminal actor operating investment scam."
}

액터는 ATT&CK 매핑, 모든 IOC에 대한 indicates 관계, 그리고 심리 프로파일을 포함합니다(프로파일링, TTP, API).

빠른 시작

git clone https://github.com/laugiov/scambuster.git
cd scambuster
cp .env.dist .env    # edit it first, see below
make quickstart      # build, start, migrate, seed, JWT keys, n8n

실제 사용 전에 .env에 다음 4가지를 채우세요:

변수	할 일
LLM_API_KEY	OpenAI 키 (LLM_PROVIDER=mock이면 키 불필요)
HONEYPOT_IMAP_USER	허니팟 메일함 (IMAP, 사기 메일 수신)
HONEYPOT_IMAP_PASSWORD	앱 비밀번호, 계정 비밀번호 아님
MAILER_DSN	회신용 SMTP, @는 %40으로 작성

플레이스홀더로 남겨두면 데모 모드로 부팅되며 그 사실을 알려줍니다. 빠른 시작 · 데모 · AI 설치 · 프로덕션 · 아키텍처 · 로드맵 · 전체 문서.

제한 사항

• 이메일 전용, 수신 전용. SMS, 채팅, 음성은 지원하지 않으며 먼저 연락하지 않습니다.
• 통제 수단이 아님. 아무것도 차단하거나 필터링하지 않으며 메일 보안을 대체하지 않습니다.
• 검증된 내보내기 경로는 하나. OpenCTI이며, TAXII, MISP, SIEM은 실제 환경에서 테스트되지 않았습니다.
• TTP 모듈에 대한 공개 지표 없음 -- 평가 기간 이후에 추가되었으며, 정밀도는 운영자 주도의 감사를 기다리고 있습니다.
• 읽기 전용 검토. TTP 큐는 분류 전용이며, 캠페인 귀속은 수동으로 유지됩니다.
• 출력은 모델에 의존. Mock 응답은 합성이며, 페르소나와 규칙은 조정하는 시드 데이터이고, 데모 데이터는 시드된 것이지 실제 출력이 아닙니다.
• 단일 호스트, 위험은 사용자 부담. 한 머신에서 Docker Compose로 실행되며 HA는 없습니다. 현지 법적 적법성은 직접 확인해야 합니다.

보안 및 윤리

ScamBuster는 방어적 연구 도구이며 공격 무기가 아닙니다.

• 수신 전용: 사기꾼이 먼저 접촉한 후에만 대응
• 무단 접근 없음: 공격자 시스템에 절대 접근하지 않음
• 콘텐츠 필터링: PolicyGuard가 위협, 불법 콘텐츠, 실제 PII를 차단
• 속도 제한: 대화, 메시지, LLM 호출에 대한 엄격한 제한
• 킬 스위치: 워크플로, API, 데이터베이스 또는 인프라 수준에서 중단
• GDPR: 데이터 최소화, 보존 정책, 저장 시 암호화

책임 있는 사용은 운영자의 책임입니다. 운영하는 지역에서 배포가 합법적인지 확인하고, 수신 전용으로 유지하며, 절대 연락을 시작하거나 개인을 표적으로 삼거나 괴롭히거나 신상 정보를 공개하는 데 사용하지 마세요. 배포 전에 **면책 조항 및 책임 있는 사용**을 읽으세요.

추가: 보안 및 가드레일, SECURITY.md.

라이선스

코드 MIT; 문서 및 데이터셋 CC BY-NC-SA 4.0.

기여

CONTRIBUTING.md, Discussions 및 Issues를 참조하세요.

연락처

Laurent Giovannoni -- scambuster.ai · LinkedIn · SECURITY.md.