FILE/CMS-002 REV. 2026.05 CLASSIFICATION · CONFIDENTIAL

CYBER INVESTIGATION · OPERATOR ATTRIBUTION GUIDE

도박사이트 운영자
추적 종합 지침서

URL 단독 정보에서 출발하여 Cloudflare 우회, 능동적 OSINT, 영장 기반 적극수사까지
— 분석관 실무 매뉴얼 및 cms-002.com 분석 시연자료

분석 단계

Stage-based

CF 우회 피벗

+ 능동 확장

능동 OSINT 비기

기법 카탈로그

법적 상태

합법 / 회색 / 영장 / 금지

SECTION 00 · EXECUTIVE SUMMARY

한 페이지 요약

팀장 보고용 핵심 정리

핵심 결론. URL 단독으로 운영자 신원을 직접 특정하는 것은 불가능하다. 그러나 URL을 시드로 ① 수동 OSINT(Cloudflare 우회·조직 클러스터링) → ② 능동 OSINT(카나리 토큰·핑거프린팅·미끼사이트) → ③ 영장 기반 적극수사를 단계적으로 진행하면 운영자 신원·실제 운영장소까지 식별이 가능하다. 단, "화이트해킹"이라 불리는 침투형 기법은 한국 정보통신망법상 수사기관도 사용할 수 없으며, 본 지침서는 이를 우회하는 합법적 능동 OSINT의 모든 가능성을 망라한다.

⬢ NAMING PATTERN INSIGHT

cms-002.com이라는 시리얼 도메인 자체가 강력한 단서다. cms-001, cms-003... 동일 운영조직이 다수 사이트를 양산 중일 가능성이 매우 높으며, 이는 인증서 발급시점·favicon 해시·HTML 구조해시 등으로 입증 가능. 영장 한 번에 다수 사이트를 일괄대응할 근거가 된다.

⬢ TOP-3 RECOMMENDED TECHNIQUES

회원가입 인증메일 헤더 추출 (Section 04.D) — CF로도 못 막는 누수. 가장 결정적인 단일 기법
Canary Token via 텔레그램 고객센터 (Section 08) — 운영자가 직접 클릭하게 만드는 함정. 침투 아님, 합법
FOFA/Quake/LeakIX 다중엔진 교차검색 (Section 17) — 영미권 도구가 못 잡는 동남아·중화권 자산까지 식별

SECTION 01 · LEGAL FRAMEWORK

법적 프레임워크

"화이트해킹"의 두 얼굴과 한국법의 칸막이

분석관이 가장 먼저 이해해야 할 것은 "화이트해킹"이라는 단어가 한국 법체계에서 통하지 않는다는 사실이다. 영미권의 ethical hacking은 인가받은 침투테스트를 뜻하지만, 한국에서는 수사기관조차도 침투형 기법을 사용할 권한이 없다. 본 지침서의 모든 기법은 아래 4단계 법적 상태로 분류된다.

법적 상태	정의	본 지침서 해당 섹션
LEGAL	영장 없이 누구나 합법적으로 가능. 공개정보 수집과 비침습 능동상호작용	Section 03~21 대부분
GRAY AREA	법리상 다툼 여지. 수사목적·내부절차·차명운영 적법성에 따라 합법성 판단	Section 09·19·21 일부
WARRANT REQ.	영장 또는 법원 허가 필요. 강제수사 영역	Section 22~23
PROHIBITED	수사기관도 사용 불가. 정보통신망법 등 위반	※ 본 지침서에서 다루지 않음

한국 관련 법령

정보통신망법 제48조 — 정당한 접근권한 없는 침입 금지. 수사목적이라도 영장으로 면책되지 않음
형사소송법 제215조 — 압수수색영장
통신비밀보호법 제5조·제13조 — 통신제한조치(감청) 및 통신사실확인자료 제공
전기통신사업법 제83조 — 통신자료 협조요청 (가입자 기본정보)
국민체육진흥법·사행행위규제법 — 도박사이트 운영의 처벌 근거

결정적 차이: 미국 FBI에는 NIT(Network Investigative Technique)라는 영장 기반 침투수사 권한이 있다. 한국에는 이에 상응하는 권한이 없다. 즉 "운영자 잡으려고 서버를 뚫는다"는 발상은 한국에서는 그 자체로 새로운 범죄가 되며, 분석관 본인의 형사처벌 위험이 운영자 검거보다 먼저 온다.

SECTION 02 · WORKFLOW

전체 워크플로우 (8단계)

수동 OSINT → 능동 OSINT → 영장 기반 적극수사 → 종결

STAGE 1

기본정보

WHOIS · DNS · CF 판정

STAGE 2

CF-Hero

4대 피벗 멀티소스

STAGE 3

교차검증

다중소스 IP 확인

STAGE 4

조직 매핑

동일조직 사이트군

STAGE 5

생태계

텔레그램·광고·자금

STAGE 6

능동 OSINT

카나리·핑거프린팅·미끼

STAGE 7

영장 수사

압수수색·통신·MLAT

STAGE 8

종결

송치·기소·국제공조

모든 단계 산출물
= 타임스탬프 + 명령어
+ 원본출력 + 스크린샷

PART I

수동 OSINT

PASSIVE RECONNAISSANCE

SECTION 03 · STAGE 1

도메인 기본정보 수집 LEGAL

WHOIS · 현재 DNS · Cloudflare 적용여부 판정

WHOIS 조회

도박사이트는 거의 100% WHOIS 프라이버시 보호가 적용되어 있다. 그래도 4가지 정보는 반드시 확보한다 — Registrar, 등록일, NS, Updated Date. 시리얼 도메인군 간 NS 변경 시점이 일치하면 동일 조직 입증 보조증거가 된다.

whois.sh

SHELL

$ whois cms-002.com # 주의 깊게 볼 필드 Registrar: NameSilo / Gname / Tucows 등 (한국 도박사이트 선호 등록기관) Creation Date: 최근 30~90일 = 양산형 신규 Name Server: *.ns.cloudflare.com 이면 CF 풀 프록시 모드 Updated Date: 다른 cms-XXX 도메인과 변경시점 일치 시 동일조직 추정

현재 DNS 레코드 종합

dns_recon.sh

SHELL

$ dig cms-002.com ANY +noall +answer $ dig cms-002.com TXT +short # SPF/DKIM/검증토큰 $ dig cms-002.com MX +short # 메일서버 $ dig cms-002.com NS +short # 네임서버 $ dig cms-002.com CAA +short # 인증서 발급자 제한 # Cloudflare 즉시 판정 $ curl -sI https://cms-002.com | grep -iE 'server|cf-ray' # cf-ray: 12abc34de-ICN → ICN은 인천 엣지 POP = 한국 사용자 타겟 보강

판독 포인트

레코드	의미
`A: 104.16.* / 104.17.* / 172.67.* / 188.114.*`	Cloudflare 대역 (CF 적용 확정)
`TXT: v=spf1 ip4:X.X.X.X -all`	SPF의 ip4: 값에 진짜 메일서버 IP 노출 — 가장 흔한 누수
`MX: 10 mail.cms-002.com`	자체 메일서버 사용 → mail.* 서브가 오리진 가능성
`CAA: letsencrypt.org`	Let's Encrypt 사용. 자동갱신 설정으로 인증서 누수 가능성

SECTION 04 · STAGE 2

CF-Hero 멀티소스 스캔 LEGAL

Cloudflare 우회 4대 피벗 통합도구

CF-Hero(github.com/musana/CF-Hero)는 Historical DNS / SSL Certificate / Subdomain / MX-TXT 4개 피벗을 통합한 도구다. 단순 도메인 입력만으로 모든 피벗을 자동 수행하고, 발견 IP에 직접 HTTPS 연결 후 HTML <title>을 원본과 비교해 오리진 여부를 검증한다.

cf-hero-setup.sh

SETUP

# 설치 (Go 1.18+) $ go install -v github.com/musana/cf-hero/cmd/cf-hero@latest # API 키 설정 (~/.config/cf-hero.yaml) zoomeye: ["API_KEY"] securitytrails: ["API_KEY"] shodan: ["API_KEY"] censys: ["API_KEY"] # 실전 권장: 풀스캔 1줄 $ echo "cms-002.com" | cf-hero \ -securitytrails -censys -shodan -zoomeye -w 32 -v \ | tee cms-002_$(date +%Y%m%d_%H%M).log

PIVOT 01

Historical DNS

CF 적용 이전 DNS 기록을 SecurityTrails에서 회수. 운영자가 서버 안 옮긴 경우 적중.

PIVOT 02

SSL Certificate

오리진이 직접 보유한 인증서 지문·favicon 해시로 Censys/Shodan 역검색.

PIVOT 03

Subdomain Leak

mail./admin./direct. 등 CF 밖 서브도메인 + Host 헤더 트릭. 가장 흔한 실수.

PIVOT 04

MX / Mail Header

SPF ip4: 추출 + 회원가입 메일 Received 헤더. CF로도 못 막는 누수.

SECTION 04.A · PIVOT 01

Historical DNS — 시간을 거슬러 가는 추적 LEGAL

원리. 사이트가 처음 인터넷에 노출될 때는 보통 CF를 쓰지 않는다. 그 시점의 진짜 IP가 SecurityTrails 같은 DNS 히스토리 DB에 보존되어 있고, 운영자는 CF 적용 후에도 서버를 옮기지 않는 경우가 다수다. 옛 IP가 여전히 현재 오리진이다.

historical_dns.sh

PIVOT 01

# CF-Hero 통합 스캔 $ echo "cms-002.com" | cf-hero -securitytrails # ViewDNS 무료 대안 $ curl -s "https://viewdns.info/iphistory/?domain=cms-002.com" \ | grep -oE '([0-9]{1,3}\.){3}[0-9]{1,3}' # SecurityTrails 직접 (API) $ curl -H "APIKEY: $ST_KEY" \ https://api.securitytrails.com/v1/history/cms-002.com/dns/a # 발견 IP 검증 $ curl -sk --resolve cms-002.com:443:<발견IP> \ https://cms-002.com/ | grep -iE '카지노|토토|충전|머니' # 한국어 도박 키워드 매칭 시 오리진 확정

발견 패턴	수사적 의미
CF 이전 IP 1~2개	거의 확실한 오리진. 즉시 검증
5개 이상, 매월 변경	Bulletproof / VPS 이전 잦음
같은 ASN만 반복	특정 IDC가 운영 인프라
히스토리 전무	다른 피벗으로 우회 필요

SECTION 04.B · PIVOT 02

SSL Certificate — 인증서 지문 역추적 LEGAL

원리. 오리진은 CF 적용 후에도 자체 SSL 인증서를 보유한다(Let's Encrypt 자동갱신). Censys/Shodan이 전 인터넷 443 포트를 스캔해 인증서를 DB화하므로, 지문·CN으로 역검색 시 그 인증서를 들고있는 진짜 IP가 노출된다. 추가 무기는 favicon mmh3 해시다.

cert_pivot.sh

PIVOT 02

# CF-Hero 통합 $ echo "cms-002.com" | cf-hero -censys -shodan # crt.sh — CT 로그 (무료, 핵심도구) $ curl -s "https://crt.sh/?q=cms-002.com&output=json" | jq # 시리얼 도메인 일괄 (cms-001 ~ cms-099) $ curl -s "https://crt.sh/?q=%25cms-%25.com&output=json" \ | jq -r '.[].name_value' | sort -u # Censys 검색 (https://search.censys.io/) services.tls.certificates.leaf_data.names: "cms-002.com" services.tls.certificates.leaf_data.fingerprint_sha256: "<지문>" # Shodan favicon 역검색 (결정타) http.favicon.hash:<mmh3_hash> ssl.cert.subject.cn:"cms-002.com"

favicon mmh3 해시 계산

favicon_hash.py

PYTHON

import mmh3, requests, codecs r = requests.get("https://cms-002.com/favicon.ico", verify=False, timeout=5) favicon_b64 = codecs.encode(r.content, 'base64') print(mmh3.hash(favicon_b64)) # 결과를 Shodan의 http.favicon.hash:<값> 으로 검색 # → 같은 favicon 쓰는 모든 IP/도메인 한 큐에 노출

핵심 통찰: crt.sh에서 cms-001, cms-002, cms-003이 같은 날 같은 발급자로 잡히면 동일 운영조직 확정 증거다. 영장 한 번에 사이트군 전체를 일괄 대응할 근거가 만들어진다.

SECTION 04.C · PIVOT 03

Subdomain Leak — 가장 흔한 운영자 실수 LEGAL

원리. 메인 도메인은 CF에 등록하지만 mail., admin., direct. 등 서브도메인을 실수로 CF 밖에 노출시키는 경우가 매우 흔하다. 이런 서브의 A 레코드 = 진짜 오리진 IP. Host 헤더 트릭으로 비-CF IP에 직접 연결하면서 Host를 메인 도메인으로 위장하면 같은 서버가 도박사이트 응답을 반환한다.

subdomain_pivot.sh

PIVOT 03

# 서브도메인 수집 $ subfinder -d cms-002.com -all -o subs.txt $ amass enum -passive -d cms-002.com -o subs.txt $ curl -s "https://crt.sh/?q=%25.cms-002.com&output=json" \ | jq -r '.[].name_value' | sort -u > subs.txt # CF-Hero 서브 피벗 $ cf-hero -td https://cms-002.com -dl subs.txt # Host 헤더 트릭 검증 $ curl -sk -H "Host: cms-002.com" https://<IP>/ $ curl -sk --resolve cms-002.com:443:<IP> https://cms-002.com/

서브 패턴	수사적 시사점
`mail. mx. smtp.`	메일서버 IP (가장 흔한 누수)
`admin. panel. god. manager.`	관리자 패널 - 운영자 직결
`direct. origin. real.`	운영자 디버깅용 직결 (자주 보임)
`cpanel. whm. webmail.`	공유호스팅 - 호스팅사 협조요청 가능
`dev. test. staging. ftp.`	부주의한 부속 서버
`.cms-001.com / .cms-003.com`	동일 운영조직 확정

SECTION 04.D · PIVOT 04

MX / Mail Header — CF로도 못 막는 누수 LEGAL

원리. 메일 송신은 Cloudflare를 우회한다. 따라서 ① SPF의 ip4: 값 = 운영자가 신고한 메일서버 IP, ② MX A 레코드 = 자체 메일서버 IP, ③ 회원가입 인증메일의 Received 헤더 = 송출 IP. 메일서버와 웹서버가 같은 머신/네트워크인 경우가 다수다.

⬢ 결정타 절차

차명 이메일로 cms-002.com 회원가입
발송된 인증/환영 메일을 Gmail에서 열기
⋮ 메뉴 → "원본 보기(Show original)" 클릭
Received: 헤더 체인 보존 및 분석

received_header.eml

SAMPLE

Received: from web01.runcdn.net ([45.xxx.xxx.xxx]) by mx.google.com with ESMTPS id ... for <차명메일@gmail.com> # 45.xxx.xxx.xxx 가 송신서버 = 오리진 후보 # whois 45.xxx.xxx.xxx → ASN/호스팅사 확인 # curl -k https://45.xxx.xxx.xxx/ -H "Host: cms-002.com" → 검증

DMARC 리포트 활용 (보조)

DMARC에 rua=mailto:dmarc@otherdomain.com 같은 보고용 메일주소가 있으면 그 도메인 또한 운영자 소유일 가능성이 매우 높다.

dmarc_check.sh

SHELL

$ dig _dmarc.cms-002.com TXT +short # v=DMARC1; p=none; rua=mailto:dmarc-reports@otherdomain.com # → otherdomain.com 도 운영자 소유 가능성

SECTION 05 · STAGE 3

교차검증 LEGAL

CF-Hero 단독 신뢰 금지 — 3개 이상 독립소스에서 같은 IP 확인

crosscheck.sh

SHELL

# 1. crt.sh 인증서 횡단 $ curl -s "https://crt.sh/?q=cms-002.com&output=json" | jq # 2. Wayback Machine 아카이브 (CF 적용 전 스냅샷) $ curl -s "https://web.archive.org/cdx/search/cdx?url=cms-002.com&output=json&limit=100" # 3. URLScan.io 히스토리 $ curl -s "https://urlscan.io/api/v1/search/?q=domain:cms-002.com" # 4. DNSDumpster (웹 UI) # https://dnsdumpster.com/ # 5. Criminal IP (국내 AI스페라, 한국어 인터페이스) # https://www.criminalip.io/ # 6. SecurityTrails 연관 도메인 (같은 IP 호스팅) # https://securitytrails.com/list/ip/<발견IP>

SECTION 06 · STAGE 4

동일 조직 사이트군 클러스터링 LEGAL

cms-001 ~ cms-099 일괄 매핑 → 영장 한 번에 일괄대응

핑거프린트	도구
favicon mmh3 hash	Shodan `http.favicon.hash:`
HTML title 정확 일치	Shodan `http.title:"..."`
Google/Naver Analytics ID	publicwww.com에서 ID 역검색
관리자 패널 경로	`inurl:/godadmin` 구글 도킹
HTML DOM 구조 해시	KAIST CSRC의 HTML 유사도 분석
TLS JA3/JARM/JA4 지문	Censys JARM 검색 (Section 11 참조)

serial_domain_enum.sh

SHELL

# 시리얼 도메인 일괄 탐색 $ for i in $(seq -w 001 099); do result=$(curl -s "https://crt.sh/?q=cms-${i}.com&output=json" | jq -r 'length') echo "cms-${i}.com : $result certs" done

SECTION 07 · STAGE 5

운영 생태계 추적 LEGAL

URL/IP 너머 — 텔레그램·가입코드·광고게시글·자금흐름

텔레그램 채널 추출

telegram_extract.sh

SHELL

$ curl -sk https://cms-002.com/ | grep -oE 't\.me/[a-zA-Z0-9_]+' $ curl -sk https://cms-002.com/ | grep -oE '@[a-zA-Z0-9_]{5,32}' # 같은 텔레그램 ID/채널이 여러 사이트에 공통이면 운영자 식별 결정타

광고 게시글 구글 도킹

google_dork.txt

QUERY

"cms-002" site:tistory.com "cms-002" site:naver.com "cms-002" filetype:txt "cms-002.com" -site:cms-002.com inurl:bbs intext:"cms-002" # 자동게시판등록기로 뿌린 광고글 작성자 IP/계정 노출 다수

가입코드 / 입금계좌 / 가상자산

가입코드: 도박사이트는 가입 시 추천코드(예: kk7, bb12) 요구. 이는 총판 식별자. 광고게시글에서 코드 수집 → 광고작성자 IP → 총판 → 운영자 라인 추적
입금계좌(대포통장): 사이트별 입금계좌 수집 → 동일 계좌·동일 명의자 반복 시 자금세탁·운영자 신원 직결. FIU 협조요청 단계
가상자산 지갑: 비트코인/테더 지갑 주소 노출 시 체이널리시스, 크리스털, 웁살라시큐리티로 자금흐름 추적 (Section 20 심화)

PART II

능동 OSINT 비기

ACTIVE RECONNAISSANCE

"화이트해킹"으로 통칭되지만 한국 법체계에서 합법인 영역만 다룬다. 침투·익스플로잇·무단접근은 본 지침서에서 일체 제외한다. 모든 기법은 상대방의 자발적 행위 또는 그들이 공개한 자산만을 대상으로 한다.

SECTION 08 · ACTIVE 01

Canary Token & Web Beacon LEGAL

상대방이 자발적으로 클릭하게 만드는 합법적 추적

원리. 능동 OSINT의 가장 강력한 비기. 침투가 아니라 운영자의 자발적 행위로 IP가 노출되는 구조. 고객센터에 정상적인 문의로 위장한 메시지에 추적 URL을 임베드하면, 운영자가 클릭/열람하는 순간 그쪽 IP·UA·시간이 분석관 측에 회신된다.

canarytokens.org 활용

오픈소스 무료 서비스. 추적 URL, 추적 이미지, 추적 PDF/DOCX, 추적 QR코드 등 13종 카나리 토큰 발급 가능.

canary_deployment.txt

PLAYBOOK

# 1) https://canarytokens.org 접속 → "Web bug / URL token" 발급 # 예: https://canarytokens.com/articles/abc123/post.jsp # 2) 위장 시나리오 작성 (텔레그램 고객센터에 송부) "안녕하세요, 출금이 안 되는데 이 화면 좀 봐주세요" "제 가입증빙 캡처입니다: <canary_url>" # 3) 운영자가 링크 클릭 시 즉시 알람 → IP, User-Agent, 시간, 지리정보 자동 회신

PDF/DOCX 비콘

가입증빙·환불요청서 형태의 문서에 외부리소스 참조를 심어 발송. 운영자가 문서를 여는 순간 외부서버에서 이미지를 가져오면서 IP가 노출된다.

beacon_doc.py

PYTHON

# 카나리 토큰으로 MS Word 토큰 PDF 발급 후 위장문서로 가공 # 또는 직접 제작: from docx import Document doc = Document() doc.add_paragraph("환불 요청서") # 본문에 외부이미지 참조 삽입 doc.add_picture("https://<analyst_server>/track.png?id=cms002_op") doc.save("refund_request.docx") # 분석관 서버 로그에서 운영자 IP 확인

합법성 근거: 카나리 토큰은 침투가 아니라 상대방의 자발적 클릭으로 정보가 노출되는 구조다. 이는 일반 웹페이지를 방문할 때 발생하는 통상적 정보 노출과 동일하다. 단, 함정수사의 범의유발형이 되지 않도록 위장가입 시 정상적 문의 맥락 안에서 운용해야 한다.

SECTION 09 · ACTIVE 02

위장가입 행동분석 GRAY AREA

가입 후 입금 없이 추출 가능한 운영자 지문

원리. 차명 ID로 가입한 후 입금하지 않고도 운영자에 대한 다층 정보를 수집할 수 있다. 한국 판례상 기존 운영중인 도박사이트에 가입하는 것은 기회제공형 함정수사로 적법하다(범의유발형 아님).

관찰 대상	추정 가능 정보
고객센터 응답 시간대 분포	운영자 활동 타임존 · 국가 (필리핀: 한국시간 새벽 활발)
사이트 내부 시간표시 vs 실제	서버 타임존
채팅상담원 한국어 패턴	맞춤법·외래어 표기 → 국적/연령
출금 처리 응답시간	자동화 정도 (수동: 운영자 직접 처리, 자동: 시스템)
HTTP 응답 `Date:` 헤더	서버 시계 (NTP 동기화 여부)
세션 쿠키 timestamp	JWT/세션 토큰의 iat 클레임 = 서버 시간
이벤트·공지 게시 시각	운영자 근무시간

주의: 위장가입은 차명 ID·VPN·분리망에서 진행해야 한다. 분석관 본인 IP로 한 번 접속하면 운영자 로그에 남아 추후 작업 노출 위험. 가상번호 인증·차명 이메일·차명 휴대폰 등은 내부절차 결재 후 운영.

SECTION 10 · ACTIVE 03

노출 메타데이터 수확 LEGAL

그들이 실수로 인터넷에 던져둔 것 줍기

침투가 아니라 운영자가 부주의로 공개해버린 자원을 수집하는 행위. 합법성 명확. 단 디렉토리 브루트포스·파라미터 변조로 넘어가는 순간 회색지대로 진입한다.

exposed_assets.sh

SHELL

# Git 디렉토리 노출 (운영자의 가장 흔한 실수) $ curl -sI https://cms-002.com/.git/config $ curl -sI https://cms-002.com/.git/HEAD # 200 OK 응답 시 → git-dumper로 전체 리포지토리 복원 가능 # 백업 파일 $ curl -sI https://cms-002.com/backup.zip $ curl -sI https://cms-002.com/db.sql.gz $ curl -sI https://cms-002.com/index.php~ # 환경설정 파일 $ curl https://cms-002.com/.env $ curl https://cms-002.com/config.json # Source map (JS에서 원본 코드 일부 복원) $ curl https://cms-002.com/static/js/app.js.map # robots.txt / sitemap.xml (숨기려 한 경로 역추적) $ curl https://cms-002.com/robots.txt $ curl https://cms-002.com/sitemap.xml # 공개 S3 버킷 $ curl https://cms-002.s3.amazonaws.com/ $ curl https://cms-002.oss-cn-hongkong.aliyuncs.com/ # Aliyun $ curl https://cms002.cos.ap-hongkong.myqcloud.com/ # Tencent

발견된 자원에서 추출할 것

.git에서: 커밋 작성자 이메일·이름 (개발자 신원), 백엔드 IP 하드코딩, API 키, DB 접속정보
source map에서: 관리자 패널 URL, 내부 API 엔드포인트, 디버그 메시지의 한국어 표현
S3 버킷에서: 운영자 백업 파일, 사용자 데이터, KYC 문서 (만약 있다면)

SECTION 11 · ACTIVE 04

TLS 핑거프린팅 — JARM / JA3 / JA4 LEGAL

서버측 TLS 스택의 고유 지문으로 동일 인프라 식별

JARM(Salesforce 개발)은 서버에 TLS Client Hello 10가지 변형을 보내 응답을 해시화한다. 같은 운영체제·같은 TLS 라이브러리·같은 구성을 쓰는 서버는 완전히 동일한 JARM 지문을 갖는다. 즉 CF 뒤의 100개 도박사이트가 모두 같은 백엔드 스택을 쓴다면, 어느 한 사이트의 오리진 IP를 찾았을 때 같은 JARM을 가진 IP들을 Censys에서 검색하면 동일 운영자의 다른 모든 서버가 노출된다.

jarm_scan.sh

SHELL

# JARM 설치 및 측정 $ pip install jarm $ python -m jarm.scanner.scanner cms-002.com 443 # nmap 통합 $ nmap --script jarm cms-002.com -p 443 # Censys 역검색 (같은 JARM 가진 모든 IP) services.tls.ja3s: "<ja3s_hash>" services.jarm.fingerprint: "29d29d15d29d29d00041d43d000041d3deb8b3ee0c0fa1c80f95e8a35d39d12" # JA4 (2024+ 최신 표준, JA3보다 정확) $ git clone https://github.com/FoxIO-LLC/ja4 $ ja4 --domain cms-002.com

JARM 비기: Cobalt Strike·메타스플로잇·랜섬웨어 C2 등은 모두 고유 JARM을 갖는다. 도박사이트 운영자가 같은 베이스 이미지로 100대 서버를 띄웠다면 JARM 하나로 100대 전부 식별된다. 이게 가장 비공개적이고 효과적인 사이트군 클러스터링 기법이다.

SECTION 12 · ACTIVE 05

메일 송신 유도 (Reverse Phishing) GRAY AREA

운영자가 분석관에게 메일 보내게 만들기

회원가입 외에도 운영자가 메일을 보내도록 유도할 수 있는 시나리오가 다수 있다. 송신 메일의 헤더는 매번 다른 송신경로를 노출할 수 있어 여러 번 받을수록 인프라 전체가 드러난다.

유도 시나리오	기대 산출물
회원가입 → 인증메일	회원관리 시스템 IP
비밀번호 재설정 요청	인증서비스 IP
출금 신청 → 처리완료 메일	정산서버 IP
이벤트 응모 → 당첨알림	마케팅 서버 IP
고객센터 문의 → 자동회신	CS 시스템 IP
제휴 문의 (B2B 위장)	운영자 직접 사용 메일 (gmail 등 노출 가능)
광고대행사 사칭 접근	총판 라인 노출

특별 비기: "제휴/광고 문의"는 운영자 본인이 직접 응대하는 경우가 많다. 회원관리 자동시스템은 비밀번호 재설정에 응답하지만, 사업 제휴 문의는 운영자 개인 Gmail/Naver 메일로 회신되는 일이 잦다. 이때 운영자의 개인 메일 헤더가 노출된다.

SECTION 13 · ACTIVE 06

3rd Party 서비스 누수 LEGAL

운영자가 의존하는 외부 서비스에서 새는 정보

운영자는 자체 시스템만 쓰지 않는다. 채팅위젯·분석툴·푸시·CDN 등 SaaS를 끼워 쓰는데, 이 SaaS들이 의외로 많은 정보를 노출시킨다.

외부 서비스	노출 정보
채팅위젯 (LiveChat / Tawk.to / Crisp / 채널톡)	운영자 계정 ID, 가입 이메일, 위젯 ID로 같은 운영자의 다른 사이트 매핑
Google Tag Manager	컨테이너 ID, 같은 GTM 쓰는 사이트군 식별
reCAPTCHA / hCaptcha	사이트 키로 운영자 Google 계정 추적 가능
푸시 알림 (Firebase / OneSignal)	프로젝트 ID, 운영자 GCP 계정 단서
결제 게이트웨이	판매자 ID
CDN 로그 / 공개 대시보드	실수로 공개된 BunnyCDN/Fastly 통계
Discord 위젯	서버 ID, 운영자 디스코드 계정
SendGrid / Mailgun 헤더	API 키 일부, 발신 계정

thirdparty_extract.sh

SHELL

# 페이지 소스에서 3rd party 식별자 추출 $ curl -sk https://cms-002.com/ | grep -oE \ '(GTM-[A-Z0-9]+|UA-[0-9]+-[0-9]+|G-[A-Z0-9]+|6L[a-zA-Z0-9_-]{38})' # publicwww.com에서 동일 식별자 가진 사이트 역검색 # https://publicwww.com/websites/%22GTM-XXXXXX%22/ # 채팅위젯 ID 추출 $ curl -sk https://cms-002.com/ | grep -oE \ '(tawk\.to/[a-f0-9]+|channeltalk\.io/[a-z0-9-]+|crisp\.chat/[a-z0-9-]+)'

SECTION 14 · ACTIVE 07

Wayback Machine 심층 채굴 LEGAL

과거 스냅샷에서 현재 사라진 정보 발굴

Wayback Machine은 도메인 단위가 아니라 URL 단위로 모든 페이지를 아카이브한다. 운영자가 나중에 삭제·변경한 페이지·파일까지 보존되어 있어, 현재 사이트에 없는 정보(과거 관리자 이메일, 옛 텔레그램 채널, 사이트 초기 본사 주소 등)를 회수할 수 있다.

wayback_mining.sh

SHELL

# 모든 아카이브된 URL 추출 $ curl -s "https://web.archive.org/cdx/search/cdx?url=cms-002.com/*&output=json&collapse=urlkey" \ | jq -r '.[1:][] | .[2]' > all_urls.txt # 특이 경로만 필터 $ grep -iE '(admin|login|config|backup|api|secret|debug|test|old)' all_urls.txt # JS 파일 히스토리 (옛 버전에 디버그 정보 남아있을 수 있음) $ curl -s "https://web.archive.org/cdx/search/cdx?url=cms-002.com/*.js" # 특정 시점 스냅샷 직접 회수 $ curl https://web.archive.org/web/20240101000000/https://cms-002.com/ # waybackurls (도구) $ echo cms-002.com | waybackurls > wayback.txt

실전 발굴 우선순위

초기 footer의 회사명·주소·연락처 (나중에 삭제되기 전)
옛 텔레그램 채널 (운영자 ID는 동일한 경우 多)
과거 관리자 이메일 (개발 단계에 노출됐던 것)
이전 도메인으로의 redirect (도메인 변경 이력 추적)
이전 결제 페이지의 입금계좌 (대포통장 명의 추적)

SECTION 15 · ACTIVE 08

코드 검색 피벗 — GitHub · Pastebin · Telegram LEGAL

소스코드·유출문서·텔레그램 공개 채널 횡단검색

운영자나 그의 개발자가 실수로 GitHub에 코드를 푸시해버린 케이스가 의외로 자주 발견된다. 또한 텔레그램 공개 채널·페이스트빈에 사이트 정보가 유출된 경우도 많다.

code_search.sh

SHELL

# GitHub 코드 검색 (사이트 고유 문자열로) # https://github.com/search?q=cms-002.com&type=code # https://github.com/search?q="특정한국어문구"&type=code # GitHub API (인증 후 더 정확한 결과) $ curl -H "Authorization: token $GH_TOKEN" \ "https://api.github.com/search/code?q=cms-002.com" # Sourcegraph (구글 코드검색 후계) # https://sourcegraph.com/search?q=cms-002.com # GitLab / BitBucket 동시 검색 # https://gitlab.com/search?search=cms-002.com # Pastebin 계열 (개발자가 코드 스니펫 공유한 경우) # pastebin.com / ghostbin.com / hastebin.com / dpaste.org $ curl "https://scrape.pastebin.com/api_scraping.php" # 유료 # 또는 구글 도킹: site:pastebin.com cms-002 # 텔레그램 공개 채널 검색 # https://t.me/s/<채널명> ← 공개 채널 웹뷰 # https://tgstat.com — 텔레그램 채널 통계·검색 # https://lyzem.com — 텔레그램 메시지 검색

GitHub 비기: 도박사이트 백엔드를 개발하는 외주개발자가 포트폴리오용으로 코드 일부를 GitHub에 올린 경우가 종종 있다. 개발자 GitHub 계정 → 본명/소속 → 운영자 연결고리로 이어진 실제 사례 다수.

SECTION 16 · ACTIVE 09

모바일 앱 리버스 정찰 LEGAL

APK/IPA 정적분석으로 백엔드 인프라 노출

대부분 도박사이트는 모바일 앱을 별도 배포한다(공식 스토어 우회를 위한 APK 사이드로딩). APK는 사실상 압축파일이라 다운로드 후 정적분석으로 모든 하드코딩된 정보가 노출된다. 침투가 아니라 단순 파일 분석이라 합법.

apk_recon.sh

SHELL

# APK 디컴파일 $ apktool d cms002.apk -o cms002_decoded/ # 하드코딩된 URL/IP/API 키 추출 $ grep -rE 'https?://|[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}' cms002_decoded/ # 문자열 일괄 추출 $ strings cms002.apk | grep -iE '(api|admin|secret|token|key)' # MobSF (자동화된 모바일 정적분석) $ docker run -p 8000:8000 opensecurity/mobile-security-framework-mobsf # 서명 인증서 분석 (개발자 식별) $ apksigner verify --print-certs cms002.apk $ keytool -printcert -file META-INF/CERT.RSA # Firebase API 노출 체크 $ curl https://<project>.firebaseio.com/.json # 공개 시 DB 전체 노출

APK에서 자주 발견되는 것	의미
하드코딩된 백엔드 IP	오리진 IP 직결 (CF 우회의 결정타)
API 엔드포인트 (api.cms-real.net 등)	운영자의 다른 도메인 노출
관리자 패널 URL	일반 사용자에게 숨겨진 경로
서명 인증서 정보	개발자 이름·이메일 (CN, OU 필드)
Firebase 프로젝트 ID	잘못 구성된 경우 DB 공개 노출
광고 SDK 키	운영자의 광고 네트워크 계정

왜 결정적인가: 도박사이트는 CF로 웹을 숨기지만 앱은 APK에 백엔드 IP를 그냥 박아두는 경우가 압도적이다. 이건 운영자의 가장 흔한 실수이자 분석관의 가장 강력한 기회다. 모바일 앱이 존재한다면 항상 1순위로 분석할 것.

SECTION 17 · ACTIVE 10

특수 검색엔진 카탈로그 LEGAL

Shodan·Censys가 못 잡는 영역을 보완하는 8개 엔진

Shodan과 Censys는 영미권 중심이라 동남아·중화권 자산에 약하다. 도박사이트 운영자가 가장 많이 쓰는 호스팅이 바로 그 지역이므로 중화권 검색엔진 동시활용이 필수다.

엔진	강점 영역	URL
FOFA	중화권 자산 (Aliyun, Tencent Cloud). 도박사이트 호스팅 최강	`fofa.info`
Quake (360)	중국 IDC, ICP 정보, IPv6	`quake.360.net`
ZoomEye	중국 사이버스페이스 매핑, CF-Hero 통합	`zoomeye.ai`
Hunter.how	중국, 인증서·서버배너 풍부	`hunter.how`
LeakIX	잘못 구성된 서비스·열린 DB 노출	`leakix.net`
Onyphe	프랑스, 위협 인텔리전스, 패시브 DNS	`onyphe.io`
GreyNoise	IP가 스캐닝·악성·도박 관련 등 패시브 분류	`greynoise.io`
BinaryEdge	유럽, 토렌트·다크웹 인덱싱	`binaryedge.io`
Netlas	전 인터넷 7계층 스캔, JARM 친화적	`netlas.io`
Criminal IP	국내(AI스페라), 한국어 인터페이스·실시간 위협	`criminalip.io`

FOFA 실전 쿼리

fofa_queries.txt

FOFA

# 도메인 직접 domain="cms-002.com" # 인증서 기반 cert="cms-002.com" # 한국어 도박 키워드 (FOFA의 강점) body="카지노" && country="PH" # 필리핀 한국어 사이트 body="입금계좌" && country="KH" # 캄보디아 body="먹튀검증" && country="HK" # 홍콩 # favicon hash icon_hash="-1234567890" # JARM jarm="29d29d15d29d29d00041d43d000041d3deb8b3ee0c0fa1c80f95e8a35d39d12" # 같은 IDC 일괄 (Choopa = Vultr 등) org="Choopa, LLC" && protocol="https" && country="PH"

SECTION 18 · ACTIVE 11

네트워크 삼각측량 LEGAL

전세계 측정 노드로 서버 물리위치 좁히기

오리진 IP의 ASN 정보는 호스팅사 위치이지 실제 서버 위치가 아니다. 전세계 분산 측정 노드에서 동시에 핑/HTTP 측정한 응답시간을 분석하면 서버의 진짜 물리위치를 수십~수백 km 단위로 좁힐 수 있다.

triangulation.sh

SHELL

# RIPE Atlas (전세계 11,000+ 측정노드 무료 사용) # https://atlas.ripe.net/ # Ping/Traceroute Measurement 생성 → CSV 다운로드 # 5개 지역(서울, 도쿄, 싱가포르, 마닐라, 홍콩)에서 동시 측정 # 응답시간 가장 짧은 곳 ± 50km 안에 서버 위치 # 광속 기반 추정 (RTT 1ms ≈ 100km 광케이블) # 서울 ping 5ms → 250km 이내 (서울 자체 또는 동해안) # 서울 ping 35ms → 일본/대만 # 서울 ping 80ms → 필리핀/베트남 # BGP 경로 분석 $ curl -s "https://stat.ripe.net/data/looking-glass/data.json?resource=<IP>" $ curl -s "https://bgp.he.net/ip/<IP>"

Anycast vs Unicast 판별

같은 IP를 전세계에서 측정했을 때 응답시간이 모두 비슷하면 anycast(CDN), 한 지역만 빠르면 unicast(실제 서버 위치 추정 가능).

BGP 경로 변경 모니터링

BGPmon, BGP.Tools에서 운영자 ASN의 BGP 광고 변경을 모니터링하면, 서버 이전 시점을 실시간 포착 가능. 도박사이트가 새 IDC로 이사하는 순간을 잡아 새로운 인프라를 노출시킬 수 있다.

SECTION 19 · ACTIVE 12

HoneyCRM / 미끼 사이트 운영 GRAY AREA

분석관이 운영자를 자기 그물로 끌어들이는 비기

가장 고급 비기. 분석관이 가짜 도박사이트 또는 가짜 광고대행사 사이트를 직접 운영하여 운영자가 제휴·광고·교류 목적으로 접근하게 만든다. 이 과정에서 운영자의 IP·이메일·텔레그램·전화번호가 자연스럽게 수집된다.

시나리오 A — 가짜 광고대행사

"도박사이트 전문 광고대행사" 모양의 그럴듯한 사이트 운영
네이버 카페·텔레그램에 광고 게시
도박사이트 운영자가 광고 의뢰차 연락 → 그 시점에서 운영자 측 통신·IP·계좌 정보 수집

시나리오 B — 가짜 총판 모집

"신규 도박사이트 총판 모집중" 게시글
운영자가 분석관에게 가입 요청 → 도박사이트 ID 발급
발급 과정에서 운영자 측 인프라·정산방식 노출

시나리오 C — 가짜 환전상

"가상자산 ↔ 원화 환전 도와드립니다" 위장
운영자가 자금세탁 목적으로 접근 → 지갑주소·계좌 동시 노출

법적 주의: 함정수사 법리상 범의유발형은 위법, 기회제공형은 적법. 미끼사이트 운영은 반드시 부서장 결재·검찰 사전협의 후 진행. 적극적으로 "도박 운영하라"고 권유하는 순간 위법. 이미 도박을 운영중인 자가 자발적으로 접근해 오는 것을 받는 구조로 설계해야 한다.

SECTION 20 · ACTIVE 13

가상자산 자금흐름 심층 추적 LEGAL

실명 KYC 거래소까지의 경로 추적

도박사이트의 자금흐름은 최종적으로 어딘가에서 실명 KYC를 거친다. 그 지점을 찾으면 운영자 또는 운영자 측 환전상이 노출된다. 한국 도박사이트는 USDT(테더)를 가장 많이 쓰며, 환전소는 한국 거래소(업비트, 빗썸) 또는 OTC 데스크로 연결된다.

분석 도구	특징
Chainalysis Reactor	정부·LE 표준. 한국 검·경 일부 사용
TRM Labs	Chainalysis 경쟁사. UI 우수
Crystal Blockchain	유럽 표준
Elliptic	영국, 다크넷 강점
웁살라시큐리티 CATV	국산. 한국 거래소 데이터 풍부
Etherscan / Tronscan (무료)	수동분석 가능
Breadcrumbs (무료)	주소 클러스터링 무료 도구
OXT.me / WalletExplorer	비트코인 무료 추적

추적 기법 카탈로그

공통입력 휴리스틱(Common Input Ownership): 한 트랜잭션에 여러 주소가 입력되면 같은 주인. 비트코인 추적의 기본 휴리스틱
Peel chain 분석: 큰 금액을 작은 금액으로 쪼개며 이동하는 자금세탁 패턴. 마지막 종착지가 KYC 거래소
Mixer/Tumbler 패턴 탐지: Tornado Cash, Wasabi 등 사용 흔적
시간 상관관계: 도박사이트 입금시간 vs 블록체인 트랜잭션 시간 매칭
스마트컨트랙트 호출 분석: 도박사이트 자체 컨트랙트가 있다면 호출 주소들이 모두 운영자/사용자
OTC 데스크 식별: 거래소 외부에서 대량 USDT/원화 환전하는 텔레그램 OTC. 운영자 자금세탁 채널

한국 특수: 한국 도박사이트 운영자의 자금세탁은 중국 OTC 데스크 → 한국 환전상 → 차명계좌 경로가 압도적이다. 가상자산 추적과 동시에 FIU의 의심거래보고(STR) 매칭이 결합되면 실명 노출 확률이 급증한다.

SECTION 21 · ACTIVE 14

운영자 신원 상관관계 분석 GRAY AREA

유출 DB · 사용자명 재사용 · 개발자 시그니처

운영자도 사람이라 다른 곳에서 같은 패턴을 반복한다. 실명 노출된 다른 활동과 도박사이트 운영자를 연결하는 것이 가장 어렵지만 가장 결정적이다.

유출 DB 매칭

운영자가 회원가입한 다른 사이트의 유출 DB와 도박사이트 운영자 이메일/패스워드 매칭
HaveIBeenPwned — 이메일이 유출됐는지 확인 (수사기관 협력 기능 별도)
Intelligence X — 다크웹·유출 DB 검색 (유료)
DeHashed / LeakCheck / Snusbase — 유출 자격증명 DB 검색 (가입자 정보 노출)

사용자명 재사용 추적

운영자의 텔레그램 ID·이메일 prefix·도메인 등록자명 등을 모든 플랫폼에서 횡단검색한다.

username_hunt.sh

SHELL

# Sherlock — 400+ 플랫폼에서 username 검색 $ pip install sherlock-project $ sherlock cms002_admin # Maigret — 2500+ 플랫폼 $ pip install maigret $ maigret cms002_admin --html # WhatsMyName — 웹 UI 무료 # https://whatsmyname.app/

개발자 시그니처 분석

GitHub 커밋의 작성자 이메일·이름
APK 서명 인증서의 CN/OU 필드
SSL 인증서 발급 시 사용된 이메일
WordPress·CMS의 author meta 태그
JavaScript의 주석에 남은 개발자 이름
이미지 파일의 EXIF 메타데이터 (Adobe Photoshop의 author 필드 등)

Slack/Discord 클러스터 분석 (최고 난이도 비기)

도박사이트 운영조직은 내부 커뮤니케이션을 Slack 또는 Discord로 한다. 같은 운영자가 다른 합법 비즈니스에 참여중인 Slack/Discord 서버에 들어가 있을 가능성이 있고, 이 경우 같은 시간대에 같은 패턴으로 발화하는 사용자 ID를 매칭하면 실명이 확인된다. 매우 정교한 OSINT 분석이 필요하지만 실제 검거사례 존재.

PART III

영장 기반 적극수사

WARRANT-BASED INVESTIGATION

SECTION 22 · WARRANT

영장 유형별 가이드 WARRANT REQ.

OSINT 너머의 강제수사

영장 유형	근거 법령	도박사이트 수사 활용
통신자료 협조요청	전기통신사업법 §83	가입자 기본정보(이름·주민번호·주소·전화). 영장 아님, 협조요청. 통신사·플랫폼사 대상
통신사실확인자료	통신비밀보호법 §13	통신 메타데이터(접속IP·기지국·발착신). 법원 허가 필요
통신제한조치 (감청)	통신비밀보호법 §5	통신 내용 실시간 청취. 법원 허가, 엄격한 요건
압수수색영장	형사소송법 §215	호스팅사·CDN·은행·페이먼트게이트웨이 대상 자료 압수. 총판 자택·사무실 압수
금융계좌 추적	금융실명거래법 §4	FIU 협조, 의심거래보고(STR) 매칭, 계좌이체 추적
보존명령	형사소송법 §184	증거 인멸 우려 시 즉시 자료 보존 요청

실무 우선순위

호스팅사 보존명령(즉시 발송) — 운영자 인지 전 증거 인멸 차단
Cloudflare 압수수색 — 미국 캘리포니아 관할, SCA(저장통신법) 기반. MLAT 또는 직접 Abuse 신고 후 자료요청
총판 압수수색 — 한국 내 거주 다수. PC·휴대폰 압수 시 운영자 텔레그램 ID·정산표 즉시 확보
입금계좌 자료요청 — 은행에 영장 → 명의자 신원, 인출패턴, ATM CCTV
가상자산 거래소 자료요청 — 업비트·빗썸 등 KYC 정보
플랫폼사 자료요청 — 카카오톡·텔레그램(가능범위), 네이버 카페

SECTION 23 · INTERNATIONAL

국제공조 MLAT WARRANT REQ.

해외 호스팅사·플랫폼사 대상 자료요청 경로

도박사이트 90% 이상이 해외 호스팅. 결국 국제공조가 종결의 핵심이다.

대상국/사업자	경로	특징
미국 (Cloudflare, AWS, Google)	MLAT (법무부 → DOJ-OIA)	3~12개월. SCA 기반. 영장 수준 자료 가능
미국 (긴급)	Cloudflare Trust & Safety 직접	긴급위해상황 시 즉시 협조. 일반범죄는 MLAT 권장
필리핀	MLAT + 한필 사법공조	이행 느림. 현지 협조관 활용 권장
홍콩	한홍 형사사법공조조약	최근 정치적 영향으로 협조 위축
중국	외교 채널	실효성 매우 낮음
일본	한일 형사사법공조	비교적 신속
텔레그램	두바이/공식 LE 경로	2024 이후 협조 증가
EU 일반	유럽협약 + 양자조약	GDPR 영향, 명확한 요건 필요

실무 팁: MLAT은 평균 6개월. OSINT로 충분한 정황증거를 확보한 다음, 정확한 IP·시점·범위로 MLAT 청구해야 회신율이 높다. 광범위한 fishing 요청은 거부되거나 지연된다.

SECTION 24 · LEGAL DOCTRINE

함정수사 법리 WARRANT REQ.

위장가입·미끼사이트의 합법성 경계선

한국 대법원 판례(2007도1903, 2008도7362 등)는 함정수사를 다음 두 유형으로 나눈다.

유형	정의	적법성
기회제공형	이미 범의(犯意)를 가진 자에게 단순히 범행 기회만 제공	적법
범의유발형	범의가 없던 자에게 적극적·집요한 권유로 범의를 새로 일으킴	위법 (공소제기 자체가 위법)

도박사이트 수사에서는 이미 운영중인 사이트에 가입·문의하는 행위는 기회제공형이라 적법. 미끼사이트 운영도 "이미 도박을 운영중인 자가 자발적으로 접근해 오는 것을 받는 구조"라면 적법.

위법선: "당신이 도박사이트 만들면 돈 빌려드릴게요"(범의유발), "이 사이트 통해 도박 가능하다고 광고해주세요"(적극적 가담 권유) — 이 선을 넘는 순간 수사 자체가 위법이 되어 면소판결 또는 무죄가 된다.

PART IV

레퍼런스

REFERENCE MATERIAL

SECTION 25 · TEMPLATE

분석 결과 보고서 양식

cms-002.com 적용 예시

═══════════════════════════════════════════════════════════════════════ 사이버수사 OSINT 분석 보고서 — cms-002.com ═══════════════════════════════════════════════════════════════════════ 분석일시 : 202X-XX-XX HH:MM (KST) 분석관 : ○○수사대 ○○○ 경위 도구 : CF-Hero v1.0.4, Censys, Shodan, SecurityTrails, crt.sh, JARM, FOFA, Wayback Machine, MobSF, canarytokens 【1. 도메인 기본정보】 [Section 03] Registrar : NameSilo, LLC Registration Date : 202X-XX-XX Updated Date : 202X-XX-XX Name Server : *.ns.cloudflare.com [CF 적용 확정] WHOIS Privacy : Y (REDACTED) 【2. 현재 DNS】 [Section 03] A : 104.21.X.X, 172.67.X.X [Cloudflare 대역] TXT : v=spf1 ip4:XX.XX.XX.XX -all ← SPF 누수 확인 MX : 10 mail.cms-002.com ← 자체 메일서버 CAA : letsencrypt.org 【3. CF-Hero 스캔 결과】 [Section 04] ┌──────────────────┬───────────────┬───────┬─────────┐ │ Source │ Discovered IP │ Match │ Verdict │ ├──────────────────┼───────────────┼───────┼─────────┤ │ SecurityTrails │ XX.XX.XX.XX │ YES │ ORIGIN │ │ Censys │ XX.XX.XX.XX │ YES │ ORIGIN │ │ Shodan │ - │ - │ - │ │ SPF TXT │ YY.YY.YY.YY │ NO │ MAIL │ │ mail. subdomain │ YY.YY.YY.YY │ - │ MAIL │ │ Mobile APK │ XX.XX.XX.XX │ YES │ ORIGIN │ ★ 결정타 └──────────────────┴───────────────┴───────┴─────────┘ 【4. 능동 OSINT 결과】 [Section 08-21] Canary Token : 텔레그램 고객센터 클릭 → IP 회수 (필리핀 마닐라) JARM 지문 : 29d29d15... → 동일 JARM 가진 IP 47개 식별 APK 정적분석 : 백엔드 IP·관리자 URL·Firebase 노출 Wayback 채굴 : 옛 footer에서 회사명·연락처 회수 GitHub 검색 : 외주개발자 GitHub 계정 발견 (실명 추정) 【5. 오리진 확정】 Origin IP : XX.XX.XX.XX ASN : AS20473 (Choopa LLC / Vultr) Country : Philippines (Manila) Hosting : Vultr Cloud Compute 【6. 동일 조직 사이트군】 [Section 06] cms-001.com, cms-003.com, cms-004.com [동일 인증서 발급일] cms-005~cms-018 [동일 JARM 지문] ⇒ 총 18개 사이트 동일 조직 운영 확인 ⇒ 영장 대상 일괄확장 요청 【7. 운영생태계】 [Section 07] 텔레그램 : @cms002_help, @cms_official 광고 채널 : tistory 12개 블로그, twitter 3개 계정 입금계좌 : (자료 별도, FIU 협조요청 결과 후 작성) 추천코드 : kk7, mb22, pp9 가상자산 지갑 : TRX 1개, USDT 2개 식별 관련 OTC : 텔레그램 @ottcclub, @cryptokr1 【8. 후속조치 권고】 ① Cloudflare 압수수색 (MLAT) ② Vultr Manila 보존명령 ③ 총판 추적 (가입코드 통한 광고게시글 작성자 IP) ④ FIU STR 매칭 → 계좌압수 ⑤ 18개 시리얼 도메인 일괄 영장확장 ═══════════════════════════════════════════════════════════════════════

SECTION 26 · DECISION TREE

분석 의사결정 트리

START │ ├─ Q1. WHOIS 등록자 정보 노출? │ └─ YES → 즉시 종결, 자료요청 │ └─ NO → ↓ │ ├─ Q2. CF 적용? (A 레코드 104.16/172.67 대역) │ └─ NO → A 레코드 = 오리진. 검증 후 종료 │ └─ YES → ↓ │ ├─ Q3. CF-Hero 기본 스캔 (A/TXT/SPF) │ └─ Title 매칭 IP 발견 → 오리진 확정 │ └─ 미발견 → ↓ │ ├─ Q4. CF-Hero -securitytrails -censys -shodan │ └─ 히스토리/인증서 매칭 → 오리진 확정 │ └─ 미발견 → ↓ │ ├─ Q5. 서브도메인 열거 + CF-Hero -td -dl │ └─ 비-CF 서브 발견 → Host 헤더 우회 시도 │ └─ 미발견 → ↓ │ ├─ Q6. 메일 헤더 확보 (회원가입) │ └─ Received IP 확보 → 오리진 후보 │ └─ 외부메일서비스 → ↓ │ ├─ Q7. 모바일 앱 존재? ★ 능동 OSINT │ └─ YES → APK 정적분석 → 하드코딩 IP 확보 │ └─ NO → ↓ │ ├─ Q8. 카나리 토큰 (텔레그램 고객센터) ★ 능동 OSINT │ └─ 클릭 회수 → 운영자 IP/UA 확보 │ └─ 미회수 → ↓ │ ├─ Q9. JARM/favicon 핑거프린팅 ★ 능동 OSINT │ └─ 매칭 IP 발견 → 동일 인프라 IP 클러스터 │ └─ 미발견 → ↓ │ ├─ Q10. FOFA/Quake 중화권 검색 ★ 능동 OSINT │ └─ 발견 → 검증 │ └─ 미발견 → ↓ │ ├─ Q11. 미끼사이트 운영 ★ 능동 OSINT │ └─ 부서장 결재 후 진행 │ └─ 운영자 자발적 접근 시 IP 확보 │ └─ Q12. 모두 실패 → 자금흐름·총판 압수로 우회 (Section 20) → Cloudflare 직접 영장 (Section 22-23) END

SECTION 27 · TOOLS

도구 치트시트

전체 도구 카탈로그 및 사용목적

도구	용도	가격	Section
CF-Hero	Cloudflare 우회 통합 스캔	무료 (API 키 필요)	04
SecurityTrails	히스토리 DNS 1순위	무료 50회/월	04.A
Censys	SSL/배너 검색	250쿼리/월 무료	04.B
Shodan	인터넷 자산 검색, favicon	$49 평생 권장	04.B
crt.sh	CT 로그 조회	완전 무료	04.B
subfinder / amass	서브도메인 열거	무료 OSS	04.C
ViewDNS / DNSDumpster	간단 DNS 히스토리	무료	04.A·05
Wayback Machine	과거 스냅샷 채굴	무료	14
URLScan.io	사이트 행동 분석	무료	05
Criminal IP	국내 한국어 OSINT	부분유료	05·17
publicwww.com	페이지 내 문자열 역검색	무료/유료	06·13
canarytokens.org	카나리 토큰 발급	무료	08
JARM / JA4	TLS 핑거프린팅	무료 OSS	11
FOFA	중화권 자산 검색	유료 권장	17
Quake (360)	중국 IDC·ICP	중국가입 필요	17
ZoomEye	중국 사이버스페이스	부분유료	17
LeakIX	잘못 구성 서비스 노출	무료/유료	17
Onyphe	위협 인텔리전스	유료	17
GreyNoise	패시브 IP 분류	무료/유료	17
Netlas	전 인터넷 7계층 스캔	유료	17
RIPE Atlas	분산 측정·핑·트레이스	무료 (크레딧)	18
BGP.tools / bgp.he.net	BGP 경로 조회	무료	18
apktool / MobSF	APK 정적분석	무료 OSS	16
Sherlock / Maigret	username 횡단검색	무료 OSS	21
Chainalysis Reactor	가상자산 추적 (LE 표준)	고가 LE 라이선스	20
웁살라시큐리티 CATV	국산 가상자산 추적	유료	20
HaveIBeenPwned	이메일 유출 확인	무료 (LE API)	21
Intelligence X	다크웹·유출 DB 검색	유료	21

도박사이트 운영자추적 종합 지침서

한 페이지 요약

법적 프레임워크

한국 관련 법령

전체 워크플로우 (8단계)

도메인 기본정보 수집 LEGAL

WHOIS 조회

현재 DNS 레코드 종합

판독 포인트

CF-Hero 멀티소스 스캔 LEGAL

Historical DNS — 시간을 거슬러 가는 추적 LEGAL

SSL Certificate — 인증서 지문 역추적 LEGAL

favicon mmh3 해시 계산

Subdomain Leak — 가장 흔한 운영자 실수 LEGAL

MX / Mail Header — CF로도 못 막는 누수 LEGAL

DMARC 리포트 활용 (보조)

교차검증 LEGAL

동일 조직 사이트군 클러스터링 LEGAL

운영 생태계 추적 LEGAL

텔레그램 채널 추출

광고 게시글 구글 도킹

가입코드 / 입금계좌 / 가상자산

Canary Token & Web Beacon LEGAL

canarytokens.org 활용

PDF/DOCX 비콘

위장가입 행동분석 GRAY AREA

노출 메타데이터 수확 LEGAL

발견된 자원에서 추출할 것

TLS 핑거프린팅 — JARM / JA3 / JA4 LEGAL

메일 송신 유도 (Reverse Phishing) GRAY AREA

3rd Party 서비스 누수 LEGAL

Wayback Machine 심층 채굴 LEGAL

실전 발굴 우선순위

코드 검색 피벗 — GitHub · Pastebin · Telegram LEGAL

모바일 앱 리버스 정찰 LEGAL

특수 검색엔진 카탈로그 LEGAL

FOFA 실전 쿼리

네트워크 삼각측량 LEGAL

Anycast vs Unicast 판별

BGP 경로 변경 모니터링

HoneyCRM / 미끼 사이트 운영 GRAY AREA

시나리오 A — 가짜 광고대행사

시나리오 B — 가짜 총판 모집

시나리오 C — 가짜 환전상

가상자산 자금흐름 심층 추적 LEGAL

추적 기법 카탈로그

운영자 신원 상관관계 분석 GRAY AREA

유출 DB 매칭

사용자명 재사용 추적

개발자 시그니처 분석

Slack/Discord 클러스터 분석 (최고 난이도 비기)

영장 유형별 가이드 WARRANT REQ.

실무 우선순위

국제공조 MLAT WARRANT REQ.

함정수사 법리 WARRANT REQ.

분석 결과 보고서 양식

분석 의사결정 트리

도구 치트시트

도박사이트 운영자
추적 종합 지침서