通过网站取证分析揭露更广泛的诈骗网络
涉及诈骗和网络欺诈的网站很少完全孤立运作。即使网站背后的运营者试图隐藏身份，其技术基础设施、历史记录以及与其他在线服务的联系也能提供宝贵的调查线索。
免责声明: 本案例研究基于真实案例。 Cybertrace 调查仍在进行中。但是，为了保护机密调查信息和消息来源，姓名、域名和识别细节均已更改。
在最近的 Cybertrace 在调查过程中，我们的调查人员检查了一个与支付相关的网站，该网站涉嫌与一个更广泛的国际投资诈骗网络有关联。
这项调查表明，网站取证分析的作用远不止于识别域名注册者。通过检查历史基础设施、关联域名、子域名、网站界面和其他技术指标，调查人员有时可以发现一些从公开网站上无法直接观察到的关联。
调查
Cybertrace 此前曾掌握与国际投资诈骗活动相关的支付处理基础设施的情报。
该情报是通过技术分析、开源情报 (OSINT)和在调查海外诈骗活动期间获得的人力情报(线人)相结合的方式收集的。
在进一步分析过程中， Cybertrace 发现一个服务器环境被众多高风险支付相关网站和服务使用。
然而，不同网站使用相同的IP地址这一事实，并不足以证明它们由同一人拥有或运营。该IP地址与内容分发网络（CDN）相关联，这意味着互不相关的网站可能共享同一基础设施。这种区别至关重要。
网站取证调查通常涉及识别技术关联，但调查人员还必须确定这些关联是否真正重要，还是仅仅是常用托管、安全或技术提供商所致。在此，专业知识至关重要，可以避免错误地将实体关联起来，或弥补信息和证据方面的缺口，否则这些缺口将永远无法解决。
超越 IP 地址的视角
Cybertrace 因此，我们还考察了其他技术指标。
历史分析发现，该基础设施关联着许多与支付相关的子域名。进一步调查发现，多个网站之间存在相似之处，包括结构相似的商户、管理、账户和支付子域名。
这些网站的页面模板和界面也基本相似。
综合这些指标来看，许多原本各自独立运营的服务可能通过同一个底层平台、后端环境或服务提供商连接起来。历史记录尤其有用。
一些网站随后迁移到了不同的托管环境，这意味着它们当前的技术配置不再反映出之前的关系。历史基础设施分析可以揭示这一点。 Cybertrace 识别出仅凭调查时网站的状态难以发现的关联。
识别更广泛的网站网络
调查还发现，与被调查网站相关的域名网络范围更广。
此前，一些使用相同品牌名称不同变体的域名曾重定向至主网站或与其存在其他关联。这表明该网站并非独立运行，而是隶属于一个更广泛的在线生态系统。此类分析在诈骗调查中尤为重要。
诈骗团伙通常运营多个网站、品牌和域名。随着投诉增多或监管机构的关注，网站可能会被替换、重定向或弃用。因此，仅凭一个网站只能了解部分情况。
历史领域和基础设施研究可以揭示早期的网站、相关服务和技术关系，即使在面向公众的网站发生变化之后，这些关系仍然具有相关性。
将技术证据与情报相结合
随后将技术发现与情报进行了比较。 Cybertrace 是从海外诈骗呼叫中心内部的渠道独立获取的。
这些消息来源指出，一个与正在调查的基础设施在技术上相连的网站被用于诈骗投资活动和相关的支付处理安排。这提供了重要的补充证据。
技术上的相似性可以表明网站之间存在某种关联，但并不一定能解释这些网站的使用方式。在本调查中，有关部分基础设施运行情况的独立情报强化了技术发现的重要性。
不同证据来源的汇聚最终为评估被调查网站与更广泛的支付处理网络之间的关系提供了比任何单一技术指标本身所能提供的更强有力的基础。
调查结果
Cybertrace 发现了重要的间接证据，将受调查的网站与一个更广泛的支付处理网络联系起来，该网络与国际投资欺诈有关。
调查发现存在基础设施重叠、商家和管理系统相似、相关域名网络以及实质上相似的网站界面。
它还发现与网络诈骗活动相关的其他支付处理机构所使用的技术存在关联。
重要的， Cybertrace 做了 不会 由此得出结论：共享的基础设施证明了共同所有权。
现有证据表明该网站与更广泛的网络之间存在技术联系，但尚未证实二者存在共同所有权或运营控制权。需要从相关服务提供商处获取更多信息，才能确定控制特定基础设施的实体身份。
这种区别在任何法医调查中都至关重要。
网站取证的目的并非仅仅是寻找技术上的相似之处并断言两个网站存在关联。调查人员必须考虑每项指标的强度、是否存在其他解释，以及是否有独立证据支持相同的结论。
本案表明了什么
这项调查表明，网站取证分析可以发现通过常规网站搜索可能无法发现的信息。
通过结合当前和历史基础设施分析、领域研究、子域名识别、技术比较、开源情报和其他调查情报，有可能发现更广泛的相关网站和服务网络。
这些发现有助于发现新的调查线索，建立在线实体之间的关系，并确定可以从托管公司、技术提供商、注册商或其他第三方获得更多信息。
网站取证调查并非总能确定网站背后的运营者。然而，当多个独立的证据来源汇聚在一起时，就能显著增进我们对网站运作方式以及可能与之相关的人员或事物的了解。
