기술 요약: TeleHunt – 텔레그램 내 효율적인 사이버 범죄 커뮤니티 발견을 위한 프레임워크 및 도구

1. 문제 정의

텔레그램은 익명성, 낮은 진입 장벽, 그리고 불법 품목 배포에 적합한 인프라 덕분에 사이버 범죄 활동의 주요 협력 허브가 되었습니다. 기존의 다크웹 포럼과 달리, 텔레그램 커뮤니티는 일시적이며 메시지 기반 광고에 크게 의존하고, 다양한 접근 제어(공개, 비공개 또는 검증된 방식)를 활용합니다.

텔레그램의 사이버 범죄를 탐지하기 위한 기존 도구들이 존재하지만, 이들은 주로 콘텐츠 분류와 생태계 특성 파악에 집중되어 있습니다. 다양한 탐사 전략이 성능에 어떻게 영향을 미치는지, 특히 시드 의존적 측정 편향(seed-dependent measurement bias) 측면에서의 연구에는 큰 공백이 존재합니다. 실무자들은 시드 소스, 포인터 유형, 트래버스(traversal) 구성이 사이버 범죄 커뮤니티 발견에 어떤 영향을 미치는지에 대한 체계적인 프레임워크가 없기 때문에, 효율적인 수집 노력을 어떻게 구조화해야 하는지에 대한 근거 기반의 가이드를 얻지 못하고 있습니다.

2. 방법론: TeleHunt 프레임워크

저자들은 반복적인 스노볼링(snowballing)을 통해 사이버 범죄 커뮤니티 발견을 자동화하도록 설계된 모듈형, 언어 모델 기반 파이프라인인 TeleHunt를 개발했습니다. 이 방법론은 세 단계로 구성됩니다.

A. 프레임워크 설계 및 구성

TeleHunt는 초기 시드와 사용자 정의 구성을 바탕으로 발견 과정을 자동화합니다. 시스템은 텔레그램 API를 통해 커뮤니티를 스크레이핑하고, 메시지를 분류하며, 포인터를 추출하고, 반복적으로 확장합니다. 구성 공간은 네 가지 구성 요소(표 1)로 정의됩니다:

1. 시드 소스(Seed Source): 다크웹(D) 대 오픈 웹(O).
2. 포인터 유형(Pointer Type): 핸들(H), 초대 링크(L), 또는 전달(F).
3. 문맥 필터링(Contextual Filtering): 범죄 전용(C) 대 양측 문맥 모두(B).
4. 확장(Expansion): 추가 샷(X) 대 추가 샷 없음(N).

B. 구현 파이프라인

파이프라인은 (시간적 드리프트를 제한하기 위해 최대 3회 반복하는) 반복 루프로 작동합니다:

• 데이터 수집: 30일간의 텍스트 메시지와 메타데이터를 스크레이핑합니다. 메시지가 30개 미만인 커뮤니티는 휴면 상태로 간주하여 제외합니다.
• 분류:
  • 메시지 레벨: 두 개의 미세 조정된 RoBERTa-Large 모델을 사용합니다. 하나는 이진 사이버 범죄 분류기이며, 다른 하나는 6개 클래스 시장 세그먼트 분류기(사이버 공격, 디지털 인프라, 디지털 해적질, 사기 도구, 개인 데이터, 튜토리얼)입니다. 두 모델 모두 검증 F1 점수가 0.95를 상회합니다.
  • 커뮤니티 레벨: 메시지 레이블을 집계합니다. 사이버 범죄 메시지가 70% 이상인 커뮤니티를 "가치 있는(valuable)" 것으로 표시합니다. 지배적인 시장 세그먼트는 다수결 원칙에 따라 할당됩니다. 접근 유형(공개/비공개/검증됨)은 스크레이핑 시점에 추론됩니다.
• 포인터 추출 및 필터링: 핸들, 링크, 전달 메시지를 추출합니다.
  • 노이즈 감소: 핸들은 그룹으로부터 추출될 경우 노이즈가 높기 때문에(커뮤니티가 아닌 개별 사용자로 연결됨) 제외합니다.
  • 문맥 창(Context Window): 최대 11개의 메시지(포인터 메시지, 이전 메시지, 답글)로 구성된 창을 분류합니다. 문맥 메시지의 50% 이상이 사이버 범죄로 레이블링된 경우에만 포인터를 유지합니다.
• 검증: 분류 타당성을 확인하기 위해 시드 기원당 100개의 층화 표본에 대해 인간 검증을 수행합니다.

C. 평가 지표

프레임워크는 세 가지 차원에서 발견 전략을 평가합니다:

1. 효율성: 발견율(Discovery Rate), 수율(Yield, 포인터당 가치 있는 커뮤니티 수), 정밀도(Precision), 노이즈(실패한 포인터)로 측정됩니다.
2. 접근성: 접근 유형(공개, 비공개, 검증됨)의 분포와 도달 가능한 시장 세그먼트를 측정합니다.
3. 재발견(Rediscovery): 생태계 포화도를 평가하기 위해 중복되는 커뮤니티를 다시 만나는 비율을 측정합니다.

3. 주요 기여

본 논문은 세 가지 주요 기여를 제시합니다:

1. TeleHunt 파이프라인: 확장 가능한 발견을 위해 스크레이핑, 포인터 추출, 문맥 필터링, 시장 세그먼트 레이블링을 통합한 구성 가능한 LLM 지원 프레임워크를 제공합니다.
2. 체계적 평가: 사이버 범죄 커뮤니티 발견 전략을 비교하는 최초의 재현 가능한 연구로서, 효과적인 CTI 헌팅 기법을 식별하고 텔레그램 사이버 범죄 생태계의 접근성에 대한 경험적 평가를 제공합니다.
3. 레이블링된 데이터셋: 6,022개의 커뮤니티(3,471개가 사이버 범죄로 분류됨)를 포함하며, 2,392,741명의 사용자로부터 추출된 172,385,463개의 메시지를 담고 있습니다. 데이터는 시장 세그먼트, 커뮤니티 유형, 규모 및 시간적 속성이 주석 처리되어 있습니다.

4. 결과

A. 기법의 유의성 (RQ0)

Beta 회귀 분석을 통해, 연구는 포인터 유형이 발견 수율의 가장 지배적인 요인임을 확인했습니다.

• 링크의 중요성: 초대 링크를 포함하는 구성(L, HL, HLF)은 베이스라인에 비해 수율에서 통계적으로 유의미한 개선을 보였습니다. 링크 단독(L) 및 혼합 형식(HL, HLF)이 가장 강력한 동인이었습니다.
• 핸들 및 전달: 핸들이나 전달 메시지만 사용하는 것은 베이스라인과 유의미한 차이가 없었습니다.
• 문맥 및 시드: 오픈 웹 시드는 다크웹 시드보다 이차적인 이득을 제공했습니다. 범죄 문맥 필터링은 완만한 이득을 주었습니다. "추가 샷(extra shot)" 확장은 감지할 수 있는 효과가 없었습니다.
• 노이즈 요인: 링크는 유효하지 않은 포인터의 발생 확률을 약 90% 감소시킵니다. 포인터의 연령(age)은 중요한 요소입니다. 포인터가 오래될수록 노이즈는 주당 약 50%씩 증가합니다. 그러나 범죄 문맥에서 공유된 포인터는 동일한 연령의 비범죄 포인터보다 실패율이 약 14% 낮아 더 오래 지속됩니다.

B. 발견 효율성 (RQ1)

• 시드 소스: 오픈 웹 구성은 모든 포인터 유형에서 다크웹 대응군보다 일관되게 우수한 성능을 보였으며, 발견율이 3~24% 더 높았습니다.
• 포인터 유형: 링크 기반 전략(예: O-L-C-N)은 가장 높은 수율(0.40)과 발견율(0.52)을 달 기록했으며, 핸들 전용 전략을 크게 앞질렀습니다.
• 정밀도: 모든 전략에서 정밀도가 70~82%로 높게 유지되어, 새로 발견된 대부분의 커뮤니티가 실제로 가치 있음을 입증했습니다.
• 노이즈: 특히 만료된 링크로 인해 링크 기반 전략에서 노이즈 수준이 상당했습니다(종종 >40%). 다크웹 시드는 더 휘발적인 생태계를 반영하여 전반적으로 더 높은 노이즈를 보였습니다.

C. 접근성 (RQ2)

• 접근 모델: 모든 구성에서 공개 커뮤니티가 지배적이었습니다(해결된 커뮤니티의 7397%). 비공개 커뮤니티는 링크가 보조된 오픈 웹 결과의 2022%를 차지했으며, 검증된 커뮤니티는 3.6% 미만이었습니다.
• 시장 세그먼트: **사기 도구(Fraud Tools)**와 **사이버 공격(Cyberattacks)**이 발견 흐름을 지배했으며, 세그먼트 간 전환을 위한 구조적 허브 역할을 했습니다. 디지털 인프라, 개인 데이터, 디지털 해적질과 같은 세그먼트는 빈도가 낮았고 연결성도 떨어졌습니다.
• 전략의 영향: 링크 기반 전략은 핸들/전달 전용 접근 방식에 비해 훨씬 더 넓은 세그 segment 다양성을 노출했습니다.

D. 재발견 (RQ3)

• 포화도: 재발견 비율은 일반적으로 낮았습니다. 오픈 웹 시드는 최소한의 중복(≈0.00–0.01)을 보였습니다.
• 다크 웹 포화도: 다크웹 시드는 약간 더 높은 중복성(0.02–0.03)을 보였으며, 세 번째 반복 시 중복도가 높아지는 경향을 보여, 다크웹 시드의 경우 확장된 탐사 하에 포화가 시작될 수 있음을 시사했습니다. 반면 오픈 웹 시드는 계속해서 외부 확장을 이어갔습니다.

5. 의의 및 주장

본 논문은 TeleHunt가 텔레그램 내 사이버 범죄 커뮤니티 발견 전략을 평가하는 최초의 체계적인 프레임워크라고 주장합니다. 그 의의는 다음과 같습니다:

• 특성 파악을 넘어: 고정된 컬렉션을 특성화하는 기존 연구(예: DarkGram)와 달리, TeleHunt는 발견 전략이 결과에 어떻게 영향을 미치는지 평가합니다.
• 실행 가능한 인텔리전스: 대규모 수집이 가능하지만, 효율성을 위해서는 특정 구성(특히 링크 중심 전략)이 필요함을 입증했습니다.
• 생태계 통찰: 텔레그램 사이버 범죄 생태계는 발견하기 매우 쉽고 상대적으로 문턱이 낮으며, 행위자들이 느슨하게 연결된 많은 채널에 분산되어 있는 파편화된 구조를 가지고 있음을 보여줍니다.
• 데이터 가용성: 대규모 레이블링된 데이터셋의 공개는 지하 경제의 구조와 진화에 대한 추가 연구를 가능하게 합니다.

저자들은 자신들의 결과가 시드 선택과 크롤러의 가시성에 따라 달라질 수 있으며, 텔레그램 사이버 범죄 생태계 전체에 대한 완전한 특성화를 의미하는 것은 아니라는 신중한 입장을 유지합니다. 또한 생태계가 지속적으로 진화하고 있으므로 지속적인 종단적 모니터링이 필요함을 강조합니다.