OSINT로 단독 행위자 테러 위협을 식별하는 방법

서구에서 단독 행위자 테러가 더 두드러지고 있습니다. 2025년 lone wolf 및 청소년 테러 보고서에서 Institute for Economics & Peace는 2024년까지 5년간 서구 국가에서 치명적인 테러 공격의 93%가 단독 행위자에 의해 수행되었다고 보고했습니다. 보고서는 때로는 극단주의 공동체의 영향을 받지만 그룹이 공격을 지휘하지 않는, 스스로 행동하는 개인으로의 변화를 설명합니다.

이 변화는 탐지를 어렵게 만듭니다. MI5는 테러 집단이 아닌 개인이 시작한 공격은 식별하기 더 어려울 수 있다고 설명합니다. 영국의 Lessons for Prevent 검토 또한 독립적으로 급진화하는 사람들의 온라인 행동을 탐지하고 해석하기가 점점 더 어려워진다고 경고합니다. 조직화된 그룹을 중심으로 한 방법으로는 이 위협을 완전히 다루기 어렵습니다.

그럼에도 공개 정보는 수사관에게 출발점을 제공할 수 있습니다.

2018년, 공개 소셜 미디어 게시물은 이후 시나고그 공격 계획을 인정한 오하이주 남성에 대한 수사관들의 주의를 끄는 데 도움이 되었습니다. 미국 법무부의 Damon Joseph 사건 관련 보도에 따르면, 해당 게시물에는 무기 사진과 ISIS를 지지하는 메시지가 포함되어 있었습니다. 이후 FBI 조사를 통해 공격 계획이 입증되었고, Joseph은 실행에 앞서 체포되었습니다. 그는 2021년 20년형을 선고받았습니다.

이 구분은 중요합니다. 공개 게시물은 조사 단서를 제공했습니다. 잠복 대화와 추가 조사가 공개 자료만으로는 확립할 수 없었던 사실을 확립했습니다.

이것이 공개 출처 정보(OSINT)가 단독 행위자 테러 예방에서 맡는 역할입니다. OSINT는 우려스러운 커뮤니케이션을 드러내고, 그 배후에 누가 있는지 밝히며, 행동이 시간에 따라 어떻게 변하는지 보여 줄 수 있습니다. 이러한 발견은 조사나 개입을 결정하는 데 근거가 될 수 있습니다.

OSINT는 신념, 성격 특성, 소셜 미디어 관심사 목록만으로 미래의 테러리스트를 신뢰할 만하게 식별할 수는 없습니다.

보안 팀에게 유용한 질문은 구체적입니다. 이용 가능한 증거는 해당 인물의 폭력으로의 이동에 대해 무엇을 시사하며, 지금 누가 그 정보를 필요로 하는가?

단독 행위자 테러란 무엇인가?

단독 행위자 테러는 일반적으로 테러 조직의 직접적 지휘 없이 개인이 계획하고 실행하는 이념 동기의 폭력을 가리킵니다. 연구 정의는 특히 외부 지원과 2인범 사례를 둘러싸고 다양합니다. FBI의 단독 가해자 테러 연구는 단체의 지시와 무관하게 저질러진 공격을 검토했습니다.

익숙한 용어 “lone wolf(고독한 늑대)”는 오해를 불러일으킬 수 있습니다. 혼자 행동한다는 것이 혼자 신념을 형성했거나 사회적 연결이 없다는 뜻은 아닙니다.

Jonathan Kenyon, Christopher Baker-Beall, Jens Binder의 체계적 문헌 고찰은 109개 출처를 다루며, 다른 극단주의자 및 더 넓은 운동과의 연계를 반복되는 주제로 확인했습니다. 또한 가해자 간 상당한 차이와 사회적 고립 및 동기에 대한 연구 간 불일치도 발견했습니다.

OSINT 조사관에게 이는 공식적인 셀이 없더라도 관계가 중요할 수 있음을 의미합니다. 공개 상호작용은 영향이나 조장을 설명하는 데 도움이 될 수 있습니다. 그러나 그것만으로는 공동 의도나 범죄 연루가 입증되지는 않습니다.

연구가 뒷받침하는 것과 그렇지 않은 것

연구는 맥락 속에서 행동을 검토하는 것을 뒷받침합니다. 보편적인 테러리스트 프로필이나 자동 예측 점수는 뒷받침하지 않습니다.

여러 연구가 이 구분을 설명하는 데 도움이 됩니다.

이들은 서로 다른 모집단입니다. 일부는 차단된 음모를, 일부는 완료된 공격을, 일부는 더 넓은 극단주의 범죄를 포함합니다. 이들의 백분율을 합쳐 공격자 중 몇 명이 온라인에서 탐지될 수 있는지에 대한 단일 추정치로 만들어서는 안 됩니다.

예를 들어, FBI는 사례의 25%에서 다른 사람이 가해자의 조사, 계획 또는 준비에 대해 알고 있었다고 밝혔습니다. 이는 신고 기회가 있었음을 시사합니다. 동일한 정보가 공개적으로 게시되었거나 OSINT 플랫폼으로 발견 가능했다는 뜻은 아닙니다.

사건을 재구성하는 것과 사전에 인식하는 것 사이에도 차이가 있습니다. 공격 후 연구자는 누구의 이력을 검토해야 하는지 알고 있습니다. 공격 전 조사관은 관련 정보를 훨씬 더 많은 모호한 자료에서 구분해야 합니다.

체계적 문헌 고찰은 이 증거 문제를 강조합니다. 문헌의 상당 부분은 기술적이거나 2차 출처에 의존하거나 소규모 표본을 사용합니다. 이러한 연구는 조사관을 위한 질문을 식별하는 데 도움이 됩니다. 유사한 행동을 보이는 모든 사람이 공격할 가능성이 높다고 입증할 수는 없습니다.

온라인 급진화는 공격 준비와 같지 않다

2022년 영국 법무부 연구는 유죄 가해자 표본 내에서 주로 온라인에서 급진화한 사람들이 비폭력 범죄 및 온라인 환경에 국한된 범죄를 저지를 가능성이 가장 높았다고 밝혔습니다.

이 발견이 온라인 극단주의를 무해하게 만들지는 않습니다. 분석관이 노출, 옹호, 의도, 준비를 구분해야 하는 이유를 보여 줍니다. 이 연구는 유죄 가해자를 대상으로 하므로, 일반 인터넷 사용자가 폭력적이 될 확률도 알려 주지는 않습니다.

증오 자료를 공유하는 계정과 특정인을 해치겠다는 구체적 의사를 전달하는 계정은 서로 다른 조사 질문을 제기합니다. 이를 동등하게 취급하면 긴급한 주의가 필요한 사례가 가려질 수 있습니다.

정확도 백분율이 오해를 불러일 수 있는 이유

가상의 스크리닝 시스템이 10만 개 계정을 검토하고, 그중 10개가 실제 공격 계획자라고 가정해 봅시다. 시스템이 10명 중 9명을 식별하지만 나머지 계정의 1%를 잘못 표시한다고 가정하면, 9건의 참 경보와 함께 약 1,000건의 오경보가 발생합니다.

이 수치는 테러리스트 유병률이나 어떤 제품의 성능에 대한 추정이 아니라 설명을 위한 예시입니다. 희귀 사건이 어려운 스크리닝 문제를 만드는 이유를 보여 줍니다. 높은 정확도 주장에는 명확한 정의, 관련 검사 모집단, 놓친 사례와 오경보에 대한 정보가 필요합니다. 알려진 공격자 중 행동이 얼마나 자주 나타났는지만으로는 이 중 어느 것도 추론할 수 없습니다.

OSINT가 드러내는 데 도움이 되는 경고 행동은 무엇인가?

행동 위협 평가는 사람이 무엇을 하고 있는지, 행동이 어떻게 변하고 있는지, 맥락에서 그것이 무엇을 의미하는지를 검토합니다.

Meloy 및 동료가 개발한 경고 행동 프레임워크는 집착, 가해자와의 동일시, 폭력 준비, 누설(leakage), 직접 전달된 위협 등의 패턴을 설명합니다. 이러한 개념은 전문적 평가에 정보를 제공합니다. 아래 예시는 검토를 위한 질문이며, 테러리스트를 진단하는 체크리스트가 아닙니다.

해를 가하려는 의도를 시사하는 커뮤니케이션

위협 평가에서 누설(leakage)는 대상이 아닌 다른 사람에게 대상에 해를 가하려는 의도를 전달하는 것을 가리킵니다. 글, 대화, 이미지 또는 기타 커뮤니케이션에 나타날 수 있습니다. 의도된 피해자에게 직접 전달된 위협과는 구별됩니다.

조사관은 무엇이 전달되었는지, 누가 작성했는지, 날짜, 주변 맥락이 겉보기 의미를 뒷받침하는지를 확립해야 합니다. 인용, 다른 사람의 위협에 대한 보도, 의도의 원문 진술은 서로 다른 종류의 증거입니다.

Menna Rose와 John Morrison의 연구는 미국 ISIS 영감 단독 행위자 사례 31건에서 누설을 검토했습니다. 좁은 표본과 소급적 법원 기록은 발견을 얼마나 넓게 적용할 수 있는지 제한합니다. 저자들은 핵심 문제도 인식합니다. 누설하는 모든 사람이 공격으로 이어지는 것은 아니며, 모든 공격자가 누설하는 것도 아닙니다.

사례 교훈: 2019년 Poway 시나고그 공격에서 가해자는 Lori Gilbert-Kaye를 살해하고 3명을 부상시키기 직전에 선언문을 게시했습니다. 이는 공개 커뮤니케이션이었지만, 늦은 시점은 이 사례가 조기 경고에 대해 무엇을 보여 줄 수 있는지 제한합니다. 공격 후 온라인에서 문서를 찾았다고 해서 사전에 대응할 실질적 기회가 있었다는 것이 입증되지는 않습니다.

대상이나 폭력적 역할에 대한 점증적 집착

집착(fixation)은 점점 더 강해지는 몰두를 포함합니다. 동일시(identification)는 폭력적 역할의 채택이나 이전 가해자와의 정렬을 다룹니다. 동일시에 관한 연구에는 이전 가해자를 모방하거나 능가하려는 욕구가 고려되는 행동 중 하나로 포함됩니다.

OSINT는 분석관이 공개 커뮤니케이션이 일반적 불만에서 특정 대상에 대한 지속적 주의, 또는 폭력을 저질러야 하는 사람으로 자신을 내세우는 방향으로 변했는지 검토하는 데 도움이 될 수 있습니다.

맥락은 여전히 필수입니다. 정치적 이슈를 반복적으로 논하는 것은 폭력적 집착과 같지 않습니다. 저널리즘, 연구, 비판에서 가해자를 언급하는 것은 가해자를 모방하려는 증거가 아닙니다.

분석관의 과제는 해석을 사실로 바꾸지 않고 관찰된 변화와 그를 뒷받침하는 증거를 기술하는 것입니다.

폭력으로의 이동에 대한 증거

준비는 적대적 진술을 행동과 연결할 수 있기 때문에 중요합니다. 준비를 주장하는 공개 진술은 검증할 단서입니다. 주장된 행동이 실제로 일어났다는 증거는 아닙니다.

TRAP-18 연구는 상대적으로 즉각적인 경고 행동과 더 먼 배경 특성을 구분합니다. 이는 공개 스크리닝 퀴즈가 아니라 구조화된 전문적 판단 접근법입니다. 2016년 연구는 알려진 결과를 사용했으며 사후 편향, 관찰 편향, 일부 변수와 정의 간 불완전한 대응을 인정했습니다.

OSINT 팀에게 실무적 함의는 증거를 정확히 기술하는 것입니다. “계정이 공격 의도를 주장한다”는 것과 “해당 인물이 공격을 준비 중임이 독립적으로 확인되었다”는 것은 다릅니다. 둘 다 조치를 필요로 할 수 있지만, 교환 가능한 발견은 아닙니다.

즉각적 해로에 대한 신뢰할 만한 우려를 에스컬레이션하기 전에 사건의 모든 요소가 확인되기를 기다려서는 안 됩니다.

경고성 게시물 폴더보다 타임라인이 더 유용하다

스크린샷 모음은 우려스러운 자료가 존재함을 보여 줄 수 있습니다. 타임라인은 검토자가 순서, 변화, 각 단계에서 알 수 있었던 것을 이해하는 데 도움이 됩니다.

관련 항목마다 겉보기 게시 시각과 수집 시각을 구분하십시오. 원본 콘텐츠인지, 재게시인지, 이전 사건에 대한 후속 기술인지, 미검증 귀속인지 식별하십시오. 모순되는 증거는 뒷받침 자료와 함께 보관하십시오.

이러한 구분은 Christchurch 사건에서 큰 차이를 만듭니다.

2020년 왕실 위원회 집행 요약은 공격 8분 전 의회 서비스 등에 발송된 이메일을 공공 기관에 제공된 공격을 직접 언급한 유일한 정보로 설명했습니다. 우연을 제외하고는 탐지가 어려웠을 것이라고 결론지었습니다.

이후 연구는 그 그림의 일부에 이의를 제기했습니다. 2026년 6월 연구 보도에서 오클랜드 대학교 연구자 Chris Wilson과 Michal Dziwulski는 이전에 발견되지 않았던 수백 개의 포럼 게시물을 가해자에게 귀속했으며, 여기에는 폭력에 관한 이전 진술도 포함되어 있다고 보고했습니다. 그들은 이러한 것이 탐지 가능성을 만들었지만, 연구가 사후 분석에 의존했다는 점을 인정했습니다.

이는 서로 다른 조사에서 나온 별개의 발견입니다. 이후 귀속은 위원회의 원래 증거의 일부로 조용히 취급하지 말고 연구자들의 발견으로 제시해야 합니다.

이 사례는 OSINT 평가가 네 가지를 구분해야 하는 이유를 보여 줍니다. 정보가 존재한 시점, 접근 가능했는지, 특정 인물과 연결된 시점, 대응할 수 있는 누군가가 받은 시점. 이 사건들은 서로 멀리 떨어져 있을 수 있습니다.

결론을 내리기 전에 신원과 관계를 검증하십시오

경고성 계정은 아직 검증된 신원이 아닙니다. 그래프 연결은 아직 공모의 증거가 아닙니다.

조사관은 두 계정이 같은 사람에게 속한다고 믿는 이유와 그 결론을 반박할 수 있는 것을 기록해야 합니다. 공유 표시 이름은 약한 증거입니다. 여러 독립적으로 상호 보강된 세부 사항이 더 강한 평가를 뒷받침할 수 있습니다. 동일한 미검증 주장의 복사본은 독립적 상호 보강이 아닙니다.

링크 분석은 관계의 성격을 명시할 때 유용합니다. 계정이 다른 계정을 팔로우하거나, 답글을 달거나, 자료를 공유하거나, 플랫폼 밖에서 문서화된 연결이 있을 수 있습니다. 각 관계는 다른 의미를 갖습니다.

그래프와 보고서에 이러한 구분을 유지하십시오. 팔로워 네트워크의 모든 사람을 용의 가해자의 동료로 변환하지 마십시오.

출처 비판은 귀속만큼 중요합니다. Wilson과 Dziwulski의 2025년 연구는 Christchurch 가해자의 공개 내러티브와 그에게 귀속된 포럼 게시물을 비교했습니다. 연구자들은 중요한 불일치를 발견했으며, 선언문이 의도적인 선전 목적을 수행했다고 주장했습니다.

조사관에게 교훈은 가해자 진술을 상호 보강이 필요한 주장으로 평가하는 것입니다. 동기, 관계, 이력에 대한 그들의 설명이 조사의 기본 설명이 되어서는 안 됩니다.

평가 뒤에 있는 증거를 보존하십시오

공개 자료는 변경되거나 사라질 수 있습니다. 유용한 발견은 다른 분석관이 실제로 관찰된 것을 검토할 수 있을 만큼의 맥락이 필요합니다.

Berkeley Protocol on Digital Open Source Investigations는 UN 인권 사무소와 UC Berkeley Human Rights Center가 개발했으며, 디지털 정보의 수집, 보존, 검증, 분석을 위한 기반을 제공합니다. 원래 초점은 국제 형사, 인도주의, 인권 조사입니다. 기본 원칙은 여기서도 유용합니다.

위협 평가 기록을 위해 다음을 보존하십시오.

1. 출처 URL 및 이용 가능한 계정 또는 게시물 식별자.
2. 원본 콘텐츠와 관련 주변 대화.
3. 알려진 경우 시간대를 포함한 게시 및 수집 시각.
4. 수집 방법이 기록된 이용 가능한 미디어 및 메타데이터.
5. 분석관의 해석, 신뢰도, 미해결 질문.

관찰과 결론을 분리하십시오. 번역이나 AI가 게시물 해석에 도움을 주었다면 원문을 보관하고 검토를 위해 보조 해석임을 표시하십시오. 검토자는 출처의 말과 분석관의 설명을 구분할 수 있어야 합니다.

보존은 검증을 지원합니다. 게시물이 진실이라는 것, 계정 귀속이 올바르다는 것, 결론이 자료에서 도출된다는 것을 입증하지는 않습니다.

OSINT 발견을 대응으로 전환하십시오

다음 결정의 책임자가 없으면 경보의 가치는 제한적입니다.

미국 특수요원국의 행동 위협 평가 부서 관련 지침은 식별과 개입을 더 넓은 폭력 예방 과정 안에 둡니다. 목적은 팀이 우려를 평가하고 시간에 따라 관리하도록 돕는 것입니다.

OSINT 발견을 받는 조직에게 유용한 인수인계는 다섯 가지 질문에 답합니다.

긴급 위협은 신속히 응급 서비스 또는 책임 보안 당국에 전달되어야 합니다. 덜 즉각적인 우려도 지정 검토자와 후속 조치가 필요합니다. 적절한 대응은 사실과 팀의 역할에 따라 보호 조치, 법 집행, 자격을 갖춘 지원 서비스를 포함할 수 있습니다.

Toledo 사례는 이러한 업무 분담을 보여 줍니다. 공개 정보가 조사를 시작했습니다. 문서화된 조사에는 이후 잠복 활동과 체포가 포함되었습니다. 전체 결과를 OSINT 탐지 성공으로 기술하는 것은 부정확합니다. 공개 출처는 더 큰 조사 과정을 지원했습니다.

AI와 OSINT 플랫폼이 도움이 되는 지점

소프트웨어는 팀이 대량의 자료를 정리하고, 단서를 개발하고, 시간에 따른 활동을 비교하고, 뒷받침 증거를 보관하는 데 도움이 될 수 있습니다. 그 가치는 해당 산출물의 품질과 검토 가능성으로 판단해야 합니다.

이 사용 사례에서 플랫폼이 분석관이 구체적 질문에 답하도록 돕는지 평가하십시오.

1. 요약에서 기본 출처로 돌아갈 수 있는가?
2. 주장된 신원과 검증된 신원을 구분할 수 있는가?
3. 시간에 따라 무엇이 변했는지 볼 수 있는가?
4. 링크 차트의 각 관계가 무엇을 나타내는지 설명할 수 있는가?
5. 다른 검토자가 증거를 검사하고 내 결론에 이의를 제기할 수 있는가?

AI 생성 요약과 분류도 이러한 검사의 대상이어야 합니다. 뒷받침 증거 없는 위험 라벨은 우려를 설명하거나 대응을 안내하는 데 거의 도움이 되지 않습니다.

Intrace가 이 업무를 지원하는 방법

Intrace의 조사 스위트는 Search, Graph, Social Vault를 공유 엔터티와 증거로 연결합니다. 이는 초기 단서에서 관계 분석, 계정 검토, 출처 참조가 있는 보고서로 이어지는 진행을 지원합니다.

Graph는 조사관이 사람, 계정, 위치, 기록 간 연결을 검토하는 데 도움이 됩니다. 타임라인 뷰는 활동이 어떻게 전개되었는지 검토를 지원합니다. 분석관은 관련 엔터티를 확장하고 각 연결의 의미를 확인하면서 네트워크의 일부를 검토할 수 있습니다.

Social Vault는 계정 콘텐츠, 상호작용, 시간에 따른 활동 검토를 지원합니다. 위협 조사에서의 역할은 분석관이 우려 항목 뒤의 이력을 검사하고 관련 자료를 맥락에서 검토하도록 돕는 것입니다.

Intrace의 증거 보존 기능은 수집한 게시물, 미디어, 메타데이터를 타임스탬프와 출처 귀속과 함께 보관합니다. 사례 구성과 공유 증거는 원본 콘텐츠가 삭제된 후에도 검토자가 동일한 기록에서 작업하도록 돕습니다.

이러한 기능은 조사와 문서화를 지원합니다. 의도, 긴급성, 개입에 대한 결정은 책임 있는 전문가에게 남습니다. 이 글에서 논의한 연구는 Intrace나 다른 어떤 제품도 테러 예측기로 검증하지 않습니다.

OSINT와 단독 행위자 위협에 관한 흔한 질문

OSINT는 공격 전 lone-wolf 테러리스트를 탐지할 수 있는가?

Toledo 조사가 보여 주듯, 평가와 개입으로 이어지는 정보를 드러낼 수 있습니다. 조기 탐지를 보장할 수는 없습니다. 공개 증거는 모호하거나, 잘못 귀속되거나, 이용 불가능하거나, 너무 늦게 발견될 수 있습니다. 유용한 평가는 이러한 한계를 드러냅니다.

극단주의 콘텐츠를 소비한다고 누군가 폭력적이 되는가?

아닙니다. 콘텐츠 소비만으로는 의도나 준비가 입증되지 않습니다. 테러리스트 인터넷 사용에 관한 연구는 사람들이 온라인 정보로 무엇을 하고 그것이 더 넓은 행동과 어떻게 관련되는지 검토하는 것을 뒷받침합니다. 콘텐츠 시청에서 공격 실행으로 이어지는 단순 인과 규칙을 제공하지는 않습니다.

조사관은 명시적 위협을 기다려야 하는가?

아닙니다. TRAP-18 연구는 직접 전달된 위협이 많은 사례에서 없었다고 밝혔습니다. 대상에게 향한 위협이 없더라도 우려스러운 패턴은 전문적 검토를 정당화할 수 있습니다. 마찬가지로 명시적 위협도 맥락과 검증이 필요합니다. 과제는 특정 문구를 기다리기보다 이용 가능한 증거를 평가하고 비례적으로 대응하는 것입니다.

단독 행위자 테러리스트의 인구통계 또는 정신 건강 프로필이 있는가?

FBI는 단일 인구통계 프로필이 없다고 강조합니다. 종교, 민족, 정치적 정체성, 정신 건강 라벨만으로는 해당 인물이 폭력을 의도한다고 입증할 수 없습니다. 행동과 구체적 상황을 평가하십시오. 지원 필요와 위협적 행위는 서로 다른 질문이며, 각각 다른 전문가가 필요할 수 있습니다.

예방에 유용한 OSINT 보고서란 무엇인가?

우려를 식별하고, 뒷받침 증거를 보여 주며, 불확실성을 명시하고, 대응 책임자에게 전달합니다. 더 많이 수집했다고 자동으로 더 나은 평가가 되지는 않습니다. 보고서는 증거가 당면한 결정에 무엇을 의미하는지 설명해야 합니다.

사람들이 행동할 수 있을 만큼 일찍 우려를 식별하십시오

단독 행위자 위협 평가에서 OSINT의 가장 강력한 활용은 문서화된 추론 사슬입니다. 우려, 신중히 평가된 신원, 타임라인, 상호 보강 출처, 명확한 인수인계.

이 접근은 조사관에게 질문하고, 갱신하고, 행동할 수 있는 무언가를 제공합니다. 증거가 다른 방향을 가리킬 때 초기 의심을 수정하기도 쉽습니다.

이 과정을 지원하는 방법을 평가하는 팀은 링크 분석, 소셜 계정 조사, 증거 보존을 위해 Intrace의 조사 기능을 살펴보십시오.