Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Phishing i oszustwa e-mailowe od lat należą do najczęściej wykorzystywanych metod ataku w cyberprzestępczości. W tradycyjnym modelu obrony podejrzana wiadomość jest wykrywana, blokowana lub usuwana, a incydent kończy się na etapie filtracji. ScamBuster proponuje odmienne podejście: zamiast jedynie zatrzymać wiadomość, system wykorzystuje sztuczną inteligencję do prowadzenia kontrolowanego dialogu z oszustem i pozyskiwania informacji o jego zapleczu operacyjnym.
To podejście wpisuje się w nurt aktywnej obrony, w której celem nie jest wyłącznie redukcja ryzyka tu i teraz, ale także budowanie wiedzy o infrastrukturze, technikach i mechanizmach monetyzacji stosowanych przez przestępców.
W skrócie
ScamBuster to otwartoźródłowy system oparty na AI, zaprojektowany do odpowiadania wyłącznie na przychodzące wiadomości phishingowe. Narzędzie podszywa się pod wiarygodną ofiarę i prowadzi rozmowę tak, aby skłonić oszusta do ujawnienia przydatnych danych operacyjnych.
- działa w modelu inbound-only i nie inicjuje kontaktu samodzielnie,
- wykorzystuje persony dopasowane do różnych scenariuszy oszustw,
- pozyskuje wskaźniki takie jak IBAN-y, domeny płatnicze i numery telefonów,
- porządkuje dane jako ustrukturyzowany threat intelligence,
- eksportuje wyniki do formatów STIX 2.1 i MISP.
Projekt ma zostać udostępniony publicznie na licencji MIT, co może zwiększyć jego znaczenie w środowiskach SOC, CTI i DFIR.
Kontekst / historia
Koncepcję ScamBuster opracował Laurent Giovannoni, principal software engineer w Filigran, w ramach pracy dyplomowej realizowanej podczas studiów na École Polytechnique. Według opisu projekt działa produkcyjnie od listopada 2025 roku, a jego formalna prezentacja ma nastąpić podczas Black Hat USA 2026 w Las Vegas.
Geneza rozwiązania jest praktyczna. Nawet jeśli jedna osoba rozpozna próbę oszustwa i usunie wiadomość, ta sama kampania może nadal skutecznie atakować inne ofiary. Z perspektywy obronnej oznacza to utratę potencjalnie cennych danych o przeciwniku. ScamBuster ma zamieniać pojedynczy incydent e-mailowy w źródło informacji o szerszej działalności przestępczej.
Analiza techniczna
Podstawą architektury ScamBuster jest zasada inbound-only. System nie rozpoczyna żadnej komunikacji z własnej inicjatywy i odpowiada wyłącznie na wiadomości, które już trafiły do organizacji. To ważne ograniczenie bezpieczeństwa, ponieważ redukuje ryzyko niekontrolowanych działań wychodzących i ułatwia zachowanie zgodności operacyjnej.
Po wykryciu wiadomości uznanej za próbę oszustwa rozwiązanie przypisuje odpowiednią personę i rozpoczyna dialog. Persony mają imitować profile prawdopodobnych ofiar, takich jak senior, mały przedsiębiorca, zapracowany menedżer czy podróżny. Celem nie jest prowadzenie przypadkowej rozmowy, lecz takie sterowanie konwersacją, aby oszust ujawnił informacje przydatne z punktu widzenia analizy zagrożeń.
Pod warstwą aplikacyjną działa zestaw agentów opartych na dużych modelach językowych. Odpowiadają one za prowadzenie rozmowy, ocenę wartości pozyskanych danych oraz ich zapis w formie ustrukturyzowanych wskaźników. System analizuje także skuteczność konkretnych person i schematów dialogu, aby poprawiać wyniki kolejnych interakcji.
Największa wartość operacyjna pojawia się na etapie, gdy oszust przechodzi do próby wyłudzenia płatności. W tym momencie ScamBuster może pozyskać numery rachunków, dane instytucji finansowych, domeny wykorzystywane do płatności, prefiksy numerów telefonów oraz szczegóły dotyczące przepływu środków. Dane te mogą następnie zostać skorelowane, co pozwala łączyć pozornie odrębne kampanie w jeden profil działalności przestępczej.
Istotnym elementem projektu jest eksport wyników do standardów STIX 2.1 oraz MISP. Dzięki temu zebrane informacje mogą zostać łatwo wykorzystane w istniejących procesach threat intelligence, automatyzacji SOC, systemach SIEM i platformach współdzielenia wskaźników.
Według opisu ScamBuster pozostaje agnostyczny względem dostawcy modelu AI. Oznacza to możliwość użycia zarówno modeli komercyjnych, jak i otwartych, o ile organizacja zapewni odpowiednią integrację. W prezentowanym wariancie wykorzystano niewielki model komercyjny, aby utrzymać niski koszt operacyjny.
Konsekwencje / ryzyko
Z perspektywy obrony ScamBuster zwiększa wartość analityczną incydentów phishingowych. Zamiast traktować wiadomość jako pojedynczy artefakt do usunięcia, organizacja może budować szerszy obraz infrastruktury przeciwnika, jego kanałów komunikacji i mechanizmów monetyzacji. To szczególnie istotne dla zespołów CTI, SOC, DFIR oraz organów ścigania.
Korzyści te nie eliminują jednak ryzyk. Automatyczna interakcja z napastnikiem wymaga ścisłych ograniczeń technicznych, proceduralnych i prawnych. Konieczne jest kontrolowanie zakresu odpowiedzi, retencji danych, zasad ich dalszego udostępniania oraz zgodności z przepisami dotyczącymi prywatności i przechowywania korespondencji.
Dodatkowym wyzwaniem są ograniczenia samych modeli językowych. System może popełniać błędy kontekstowe, generować odpowiedzi wykraczające poza założoną politykę albo ujawniać więcej informacji, niż organizacja planowała. W dłuższej perspektywie należy także brać pod uwagę adaptację przeciwników, którzy mogą zacząć testować, czy rozmawiają z człowiekiem czy zautomatyzowanym systemem.
Rekomendacje
Organizacje rozważające wdrożenie podobnego rozwiązania powinny rozpocząć od ustanowienia jasnego modelu governance. Należy zdefiniować odpowiedzialność za uruchamianie interakcji, dopuszczalny czas prowadzenia rozmów, zakres gromadzonych danych oraz warunki eskalacji do analityków lub organów ścigania.
- uruchamiać system w silnie odseparowanym środowisku,
- wymuszać zasadę inbound-only na poziomie architektury,
- odciąć warstwę konwersacyjną od wrażliwych danych wewnętrznych,
- logować pełny przebieg interakcji do celów audytowych,
- automatycznie ekstrahować IOC i IOA oraz korelować je z istniejącymi źródłami CTI,
- integrować eksport danych ze standardami STIX, MISP, SIEM i TIP.
Od strony operacyjnej warto wdrożyć przegląd jakości odpowiedzi modelu, testy red-teamowe pod kątem prompt injection i nadużyć kontekstowych, a także proces ręcznej eskalacji dla przypadków ujawniających nowe TTP przeciwnika. Niezbędna pozostaje również analiza wymogów prawnych związanych z przetwarzaniem danych osobowych i przechowywaniem korespondencji.
Podsumowanie
ScamBuster pokazuje, że phishing może być traktowany nie tylko jako zagrożenie do zablokowania, ale także jako źródło danych wywiadowczych o przeciwniku. Największą wartością rozwiązania jest zdolność do pozyskiwania i strukturyzowania informacji o infrastrukturze finansowej oraz komunikacyjnej oszustów e-mailowych.
Jednocześnie skuteczne użycie takiego systemu wymaga dojrzałej architektury bezpieczeństwa, nadzoru operacyjnego i zgodności prawnej. Jeśli te warunki zostaną spełnione, podobne narzędzia mogą stać się ważnym uzupełnieniem nowoczesnej obrony przed phishingiem.