소셜네트워크 분석을 통한 사이버금융범죄 수사활용사례(2-모드 중심으로) (A Case of Cyber Financial Cr ime Investigation Through Social Network Analysis (2-Mode Concepts))

서지정보

· 발행기관 : 한국디지털포렌식학회
· 수록지 정보 : 디지털포렌식연구 / 14권 / 4호 / 449 ~ 465페이지
· 저자명 : 김현철, 윤지원

초록

본 연구는 사이버금융범죄 중 조건만남(출장마사지) 사기 사건을 사례로 수사단서가 되는 인터넷뱅킹 로그자료와 메신저 접속로그자료를 분석 자료로 사용하였다. 이 단서들은 일반적으로 대량의 데이터가 수집·보관되기 때문에 소셜네트워크 분석원리를 활용하여 분석하는 것이 효율적이므로 그 중 2-모드 네트워크 분석원리를 활용하였다.
2-모드 데이터에서 분석하고자 하는 개체를 중심으로 2-모드 데이터를 1-모드 데이터로 변환하여 분석하였다. 주요 결과로는 첫째, 인터넷뱅킹 로그자료를 통해 계좌와 IP 간의 관계를 계좌 중심의 1-모드 데이터로 변환하여 분석하였으며, 범행에 직접사용 된 계좌에 접속한 IP 와 이 IP로 접속한 또 다른 계좌를 파악하는 데 효과적이었으며, 범인들이 사용하는 다른 계좌를 파악할 수 있었다. 둘째, 메신저로그자료를 이용하여 메신저 계정과 IP 간의 관계를 메신저 계정 관점에서 1-모드 데이터로 변환하여 분석하였을 경우 직접적으로 범행에 사용된 메신저 계정을 통해 범죄집단에서 사용하는 또 다른 계정을 구분해 낼 수 있었다. 셋째, 위 인터넷뱅킹 로그자료와 메신저 접속로그자료를 통합하여 IP 간의 관계를 IP 중심으로 1-모드 데이터로 변환하여 분석하였으며, 이를 통해 범죄조직에서 사용한 IP들이 동일대역(D클래스나 C클래스) 의 IP인 것으로 다수 확인되었다.
본 연구는 사이버금융범죄의 수사단서 중 대량의 데이터인 인터넷뱅킹 로그와 메신저 접속로그 자료를 각 단서의 관점에서 분석하였다. 이와 같이 본 논문은 다양한 단서들 간의 관계를 통해 의미 있는 단서를 도출해 낼 수 있다는 점을 제시하였다.

영어초록

This study used Internet banking log data and messenger access log data, which are investigation clues, as an actual case of compensated dating (on-site massage) fraud among cyber financial crimes. Since these clues are generally collected and stored in a large amount of data, it is efficient to analyze them using the principles of social network analysis, so the two-mode network analysis principle was used.
The 2-mode data was converted into 1-mode data and analyzed focusing on the object to be analyzed. There are three main analysis results. First, through Internet banking log data, the correlation between banking account and IP was converted into banking-account-centered 1-mode data and analyzed. This was effective in identifying the IP connected to the banking account directly used in the crime and other banking accounts connected with this IP. Other banking accounts used by the criminals were identified. Second, using messenger access log data, the correlation between messenger account and IP was converted into messenger-account-centered 1-mode data and analyzed. In this case, other accounts used by the criminal group were identified through the messenger account directly used for the crime. Third, by integrating the above mentioned Internet banking log data and messenger access log data, the correlation between IPs was converted into IP-centered 1-mode data and analyzed. It was confirmed that many of the IPs used by the criminal organization were in the same band (D-class or C-class).
This study analyzed Internet banking logs and messenger access logs, which are large amounts of data among investigation clues for cyber financial crimes, from the perspective of each clues. As such, this paper has suggested that meaningful clues can be derived through the correlation between various clues.

참고자료

· 없음