💻 computer science

Forensic Schema for Psychological Manipulation in Cyber Fraud: LLM-Driven Victim Reports Analysis

이 논문은 사이버 사기에서의 심리적 조작 기법을 포착하기 위해 설계된 포렌식 스키마를 소개하며, 피해자 보고서에 대한 거대언어모델(LLM) 기반 분석이 사기 유형 전반에 걸쳐 뚜렷한 조작 프로필을 안정적으로 식별할 수 있음을 입증하는 동시에, 더 실행 가능한 증거 세부 사항을 수집하기 위한 AI 지원 접수 프로세스의 결정적인 필요성을 강조한다.

원저자: Zikai Alex Wen, Corrazon Ogot, Juan Li, Yan Bai

게시일 2026-07-10

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Zikai Alex Wen, Corrazon Ogot, Juan Li, Yan Bai

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

사이버 사기를 거대한 산업화된 공장이라고 상상해 보십시오. 사기꾼들은 단순히 문을 두드리는 것이 아니라, 정교하고 심리적인 함정을 설계합니다. 오랫동안 수사관들은 이러한 범죄를 기록할 때, 마치 깨진 창문을 보고 작성하는 경찰 보고서처럼 '무엇'을 도난당했는지, '언제' 발생했는지, 그리고 돈이 '어떻게' 이동했는지만을 기록하는 체크리스트를 사용해 왔습니다. 하지만 이 방식은 피해자가 열쇠를 건네주도록 유도하기 위해 사기꾼들이 사용한 구체적인 속임수, 즉 '마음의 게임(mind game)'이 어떻게 이루어졌는지는 완전히 간과했습니다.

이 논문은 새로운 '포렌식 스키마(forensic schema)'를 소개합니다. 이는 기본적으로 그러한 마음의 게임을 잡아내기 위해 설계된 매우 상세한 탐정의 수첩과 같습니다. 연구진은 35개의 질문으로 구성된 툴을 만들었으며, 이는 네 가지 섹션으로 나뉩니다. 첫 두 섹션은 기존의 방식인 기초 정보(누가, 언제, 어디서)를 다룹니다. 세 번째 섹션이 바로 새로운 핵심인 '마법'입니다. 여기에는 경찰관을 사칭하거나, 가짜 긴박함을 조성하거나, 신뢰를 쌓기 위해 '러브 밤(love bombing)'을 사용하는 것과 같은 심리적 조작 전술을 포착하기 위해 설계된 11개의 질문이 포함되어 있습니다. 네 번째 섹션은 크립토(가상자산) 시대를 위한 새로운 추가 사항으로, 지갑 주소와 같은 구체적인 블록체인 세부 정보를 요구합니다.

이 새로운 수첩을 테스트하기 위해 연구팀은 인터넷 전반에 퍼져 있는 1만 994건의 피해 보고서를 입력값으로 넣었습니다. 그들은 모든 보고서를 일일이 손으로 읽는 대신, 강력한 AI(대규모 언어 모델)를 지치지 않는 주니어 탐정처럼 활용하여 이야기를 스캔하고 항목을 체크했습니다. AI가 단순히 추측하는 것이 아님을 확인하기 위해, 두 명의 전문가가 샘플 작업물을 이중으로 검증했습니다. 결과는 어떠했을까요? AI와 인간은 약 69%의 확률로 정답에 일치했으며, 이는 두 명의 인간이 서로 일치하는 비율과 맞먹는 수준입니다. 이는 AI가 수천 건의 사례를 분류하는 데 충분히 신뢰할 만하다는 것을 시사합니다.

중요한 발견: 사기꾼들에게는 '지문'이 있다
가장 흥고한 발견은 서로 다른 유형의 사기가 뚜렷한 '심리적 지문'을 가지고 있다는 점입니다. 이는 무작위적인 속임수의 혼합이 아닙니다. 각 사기 유형은 특정한 레시피를 사용합니다.

스푸핑(Spoofing) 사기(은행이나 정부를 사칭): 거의 항상 '권위(Authority)'(공직자 사칭)를 사용하며, '공포(Fear)'만을 단독으로 사용하는 경우는 드뭅니다.
섹스토션(Sextortion, 성착취 협박) 사기: 이와는 정반대로, '공포'(폭로 위협)에 크게 의존하지만, 거의 절대 공직자를 사칭하지 않습니다.
크립토 투자 사기: 가장 복잡한 유형으로, 사건당 평균 3.6개의 다양한 조작 전술을 사용합니다. 이들은 '프리텍스트(Pretext)'(가짜 웹사이트나 문서)와 '일관성(Consistency)'(이미 결제한 후 더 많은 돈을 요구하는 행위)을 즐겨 사용합니다.

데이터는 이러한 패턴이 실제적이며 통계적으로 강력하다는 것을 보여줍니다. 예를 들어, '프리텍스트'(가짜 문서)와 크립토 사기 사이의 연결 고리는 매우 강력하여, 돈의 흐름이 비슷하더라도 조사관들이 일반적인 투자 사기와 크립토 사기를 구분할 수 있게 돕는 고유한 서명 역할을 합니다.

잃어버린 퍼즐 조각들
그러나 이 논문은 한 가지 좌절스러운 격차를 발견했습니다. AI가 속임수가 사용되었다는 사실을 포착하는 데는 뛰어났지만, 피해자의 이야기에는 범인을 실제로 잡는 데 필요한 '세부 정보'가 부족했습니다.

'빈약한' 증거: AI가 '공포'를 사용했다거나 '긴박함'을 조성했다고 표시했을 때, 피해자의 이야기는 종종 "그들이 나를 협박했다"라고만 되어 있을 뿐, 정확히 무엇을 말했는지 혹은 어떤 기한을 설정했는지에 대한 내용이 없었습니다. 이는 문이 걷어차였다는 것은 알지만, 어떤 장화를 신은 사람이 구멍을 냈는지는 모르는 것과 같습니다.
크립토 블랙아웃(Crypto Blackout): 이것이 가장 큰 구멍이었습니다. 1,172건의 보고서가 가상자산과 관련되어 있었음에도 불구하고, 피해자들은 블록체인에서 돈의 흐름을 추적하는 데 필요한 '열쇠'를 거의 제공하지 않았습니다. 거래 해시(고유 ID)를 포함한 경우는 단 6.2%였고, 지갑 주소를 제공한 경우는 21.5%에 불 불과했습니다. 이러한 정보가 없다면, 조사관들이 사용하는 '블록체인 추적' 도구들은 번호판 없는 자동차를 주차장에서 찾으려는 것과 같습니다.

이것이 의미하는 바 (그리고 의미하지 않는 것)
이 논문은 해결책이 단순히 오래된 보고서를 더 잘 분석하는 것이 아니라, 애초에 이야기를 '수집하는 방식'을 바꾸는 것이라고 제안합니다. 피해자의 이야기를 듣고, 알고 있는 패턴에 기반하여 실시간으로 스마트한 후속 질문을 던지는 AI 기반의 접수 양식을 상상해 보십시오. 만약 AI가 "가짜 투자"에 관한 이야기를 듣는다면, 즉시 "웹사이트 URL이 있습니까?" 또는 "그들이 제시한 정확한 마감 기한은 언제입니까?"라고 물을 수 있을 것입니다.

저자들은 이것이 완성된 제품이 아니라 더 나은 시스템을 위한 하나의 '제안'임을 주의 깊게 밝히고 있습니다. 그들은 패턴이 존재하며 AI가 이를 찾아낼 수 있다는 것을 증명했지만, 동시에 현재의 '가공되지 않은 데이터'가 너무 모호하여 완전히 유용하게 쓰이기 어렵다는 점도 보여주었습니다. 해결책은 오늘날의 사기를 해결하는 마법 지팡이가 아닙니다. 그것은 모호한 이야기를 실행 가능한 증거로 바꾸는, 더 똑똑한 방식으로 내일의 피해자와 대화하기 위한 청사진입니다.

기술 요약: 사이버 사기 내 심리적 조작에 관한 포렌식 스키마

문제 정의
기존의 사이버 범죄 분류 스키마 및 포렌식 프레임워크는 연락처 메타데이터와 금융 거래 세부 정보를 주로 포착하며, 가해자가 사용하는 심리적 조작 기법을 체계적으로 분류하는 데 실패하고 있다. 결과적으로, 핵심적인 범행 수법(modus operandi) 요소들이 비구조화된 피해자 진술 속에 묻혀 있어, 독립된 불만 사례들을 조직적 범죄 집단과 연결(교차 사례 연계)하는 데 어려움을 겪고 있다. 또한, 설득 이론(예: Cialdini의 원칙)은 학술 문헌에는 존재하지만, 증거 차원, 조사 워크플로우 또는 기소 요구 사항과의 매핑이 결여되어 포렌식 적용과 단절되어 있다는 문제가 있다. 두 번째 격차는 조직적 범죄 집단이 암호화폐에 의존하는 비중이 증가하고 있다는 점이며, 현재의 프레임워크는 블록체인 특화 증거(예: 지갑 주소, 트랜잭션 해시)를 위한 구조화된 필드가 부족하여 조사에 병목 현상을 일으키고 있다.

방법론
저자들은 설득 이론과 포렌식 조사를 연결하기 위해 설계된 4개 카테고리와 35개 질문으로 구성된 새로운 포렌식 스키마를 제안한다. 이 스키마는 삼진법 답변 형식(Yes/No/Unknown)을 활용한다:

카테고리 1 (표준 포렌식 메타데이터): 기존 스키마에서 추출한 연락 및 금융 메타데이터를 다루는 16개 질문.
카테고리 2 (전통적 금융 흐름): 은행 참여 여부에 관한 3개 질문.
카테고리 3 (심리적 조작 지표): 새로운 기여 요소로서 11개 질문으로 구성된다. 이는 심리적 전술(Cialdini의 원칙, 전망 이론, 정교화 가능성 모델 기반)을 답변 가능한 포렌식 질문으로 변환한 것이다. 여기에는 9가지 설득 기반 지표(예: 권위, 공포, 호감, 프리텍스트/사전 설정)와 2가지 포렌식 확장 항목(커뮤니케이션 이동, 결제 후 행동 변화)이 포함된다.
카테고리 4 (암호화폐 증거): 블록체인 식별자를 포착하기 위해 FBI IC3 접수 필드를 모델로 한 5개 질문.

이 스키마는 7가지 사기 유형을 아우르는 8개의 공개 데이터 소스(미국 소비자 보호 추적기 및 학술 데이터셋 포함)로부터 수집된 10,994건의 피해 보고서 코퍼스에 적용되었다.

어노테이션 전략
필요한 추론 수준에 따라 각 질문을 추출 방법에 할당하는 하이브리드 어노테이션 방법론이 채택되었다:

티어 1 (구조화된 필드 조회): 채워진 구조화된 필드로부터의 결정론적 추출.
티어 2 (필드 조회 + 서사 보완): 필드를 먼저 확인한 후, 필드가 비어 있는 경우 LLM을 사용하여 텍스트에서 추출.
티어 3 (서사 추출): 구조화된 필드가 없는 질문에 대한 자유 텍스트 서사에서의 직접 추출.
티어 4 (의미론적 해석): 설득 전술 식별을 위한 추론적 추론이 필요한 카테고리 3 전체.

LLM(Claude Haiku 4.5)이 티어 2~4를 위해 사용되었다. 어노테이션 품질은 두 명의 인간 전문가가 라벨링한 228개 사례의 층화된 하위 집합을 통해 검증되었다. 연구에서는 인간 간 일치도와 LLM-인간 일치도를 측정하기 위해 Cohen's $\kappa$ 를 측정하였다.

주요 결과

RQ1 (포렌식 연관성): 11개 심리적 조작 지표 모두가 사기 유형과 통계적으로 유의미한 연관성을 보였다 ( $p < 0.001$ ). 주요 사기 유형별로 뚜렷한 조작 프로필이 식별되었다. 예를 들어, "스푸핑(Spoofing)"은 권위 주장에 크게 의존한 반면, "섹스토션(Sextortion)"은 공포와 일관성에 의존했다. "암호화폐 투자 사기"는 가장 높은 전술 밀도(평균 사례당 3.6개)를 보였으며, 조작된 신뢰 구축(Pretext)과 결제 후 잠적에 크게 의존했다. Cramér's $V$ 값은 최대 0.790에 달하여 강한 효과 크기를 나타냈다.
RQ2 (포렌식 정보 병목 현상): LLM은 전술의 존재를 신뢰성 있게 탐지했으나(평균 LLM-인간 $\kappa = 0.69$ $κ = 0.69$ , 인간-인간 $\kappa = 0.68$ $κ = 0.68$ 과 유사), "포렌식 세부 정보 격차"가 확인되었다.
- 증거의 빈약함: 많은 지표(예: Pretext, 공포, 긴급성)에서 피해자 서사는 구체적인 실행 세부 정보(예: 특정 URL, 기관명, 정확한 마감 기한)가 부족한 일반적인 설명만을 제공했다. "Pretext" 탐지 건 중 구체적인 세부 정보를 포함한 경우는 11.4%에 불과했다.
- 정보의 천장: 피해자들은 알고 있는 전술을 자발적으로 보고하지 않는 경우가 많았다(예: 암호화폐 사기에서의 '사회적 증거'는 관련 사례의 14.9%에서만 탐지되었고, 로맨스 스캠에서의 '호감'은 4.9%에서만 탐지됨). 이는 정보가 기억에는 존재하지만 서사에는 누락되어 있음을 시사한다.
- 암호화폐 격차: 암호화폐가 관련된 사례가 10.7%임에도 불구하고, 핵심적인 온체인 식별자는 거의 나타나지 않았다. 암호화폐 관련 사례 중 트랜잭션 해시를 포함한 경우는 6.2%, 지갑 주소를 제공한 경우는 21.5%에 불과하여 블록체인 추적 기술의 적용을 심각하게 제한했다.

의의 및 주장
본 논문은 세 가지 주요 기여를 주장한다:

가교 역할을 하는 스키마: 심리적 조작을 위한 구조화된 분류 체계(카테고리 3)와 암호화폐 증거(카테고리 4)를 제공함으로써, 설득 이론과 포렌식 조사를 통합하는 최초의 포렌식 스키마를 제공한다.
프로필의 경험적 검증: 조작 프로필이 사기 유형에 따라 통계적으로 구별됨을 입증하여, 자동화된 사기 유형 분류를 위해 전통적인 기술적/금융적 특징을 보완할 수 있는 행동적 특징 공간을 구축한다.
세부 정보 격차의 식별: AI가 무엇이 일어났는지는 탐지할 수 있지만, 피해자 서사에는 조사에 필요한 구체적인 내용이 부족하다는 점을 강조한다. 저자들은 이 격차를 해소하는 가장 직접적인 방법은 AI 보조 피해 접수 시스템이며, 이를 통해 스키마에 기반한 후속 질문을 던져(예: 특정 지갑 주소나 플랫폼 이름을 묻는 등) 보고 과정 중에 누락된 세부 정보를 동적으로 이끌어내야 한다고 주장한다.

저자들은 자신들의 티어별 어노테이션 전략을 위협 인텔리전스나 남용 신고와 같은 다른 포렌식 텍스트 도메인에서 구조화된 지표를 추출하기 위한 재사용 가능한 템플릿으로 제시한다. 결론적으로, 스키마가 탐지를 가능하게 하더라도, 운영상의 영향력은 현재 피해 보고서에서 누락된 실행 가능한 세부 정보를 포착하기 위해 진화하는 접수 메커니즘에 달려 있다고 밝힌다.

유사한 논문