LabHub

블로그

모던 OSINT (오픈 소스 인텔리전스) 도구 2026 완벽 가이드 - Maltego · Spiderfoot HX · Recon-ng · theHarvester · OSINT Industries · Trace Labs · Bellingcat · Lampyre · Aleph Project · TheHive 심층 분석

2026-05-16 · 38 분 읽기 · #osint#maltego#spiderfoot#recon-ng#theharvester#osint-industries#trace-labs#bellingcat#lampyre#aleph-project#thehive

한국어English日本語

들어가며 — 2026년 5월, OSINT는 "전 직군 공용 스킬"이 됐다

5년 전만 해도 OSINT(Open Source Intelligence)는 정보 기관, 일부 탐사 보도, 일부 보안 팀의 전유물에 가까웠다. 2026년 5월 현재, 그 경계는 거의 사라졌다. 탐사 저널리즘(Bellingcat, OCCRP, 한국의 뉴스타파, 일본의 OCCRP Japan), 위협 인텔리전스(Recorded Future, Mandiant, Group-IB), DD(due diligence)(Sayari, Kharon, Castellum.AI), 실종자 수색(Trace Labs CTF 포맷), AML/제재, 사기 조사, 소셜 미디어 모니터링까지 OSINT 워크플로가 모두 비슷한 도구 스택을 공유한다.

이 글은 마케팅 매트릭스가 아니라 "지금 이 시점에 어떤 도구가 어떤 자리에 들어가는가"를 정직하게 짚는다. Maltego 4.6의 변화, Spiderfoot HX SaaS 라인업, Recon-ng 6.x, theHarvester의 한계, OSINT Industries · Epieos · Pimeyes 같은 상용 집계 플랫폼, GeoSpy AI 같은 AI 지리 위치 모델, OCCRP의 Aleph Project, Trace Labs CTF, 그리고 EU AI Act 이후의 얼굴 인식 규제까지 함께 다룬다.

OSINT 2026 풍경 — 누가, 어떤 케이스에 OSINT를 쓰는가

2026년 5월 기준 OSINT 사용자는 크게 6 그룹으로 나뉜다.

  1. 탐사 저널리즘: Bellingcat, OCCRP, ICIJ, ProPublica, 뉴스타파. MH17, 시리아 화학 무기, 우크라이나 전쟁, 파나마/판도라/플루토 페이퍼.
  2. 위협 인텔리전스(CTI): Mandiant, Recorded Future, Microsoft Threat Intelligence Center(MSTIC), Group-IB. 도메인·IOC·인프라 추적.
  3. 금융·제재 컴플라이언스: Sayari, Kharon, Castellum.AI, Refinitiv World-Check, Dow Jones Risk. UBO(ultimate beneficial owner), 제재 우회 조사.
  4. 실종자·인신매매 대응: Trace Labs CTF, NCMEC, Polaris Project. 시민 OSINT 자원봉사자 동원.
  5. 법 집행·정부: Europol, Interpol, NIS(국가정보원), JPCERT/CC, NICT NICTER, 공안조사청. 합법적 정보 수집 한도 내.
  6. 사설 조사·소셜 미디어 모니터링: Mintel, Kroll, K2 Integrity, Hill & Knowlton. M&A 사전 조사, 평판 모니터링.

워크플로는 다르지만 도구 스택은 90% 겹친다. 링크 분석(Maltego/Aleph), 자동 정찰(Spiderfoot/Recon-ng), 사람 추적(Sherlock/Epieos), 인프라 조회(Shodan/Censys), 유출 DB(HIBP/DeHashed), 지리 위치(GeoSpy/Mapillary), 다크웹(Tor/Ahmia) 이 7개 카테고리가 표준 레이어다.

링크 분석 — Maltego, Lampyre, i2 Analyst's Notebook, Cytoscape, Aleph

링크 분석은 OSINT의 시그니처 시각화다. "엔티티(노드)와 관계(엣지)"로 데이터를 그래프화해 패턴을 본다.

Maltego의 기본 흐름은 다음과 같다.

1. New Graph 생성
2. Domain entity 드래그 → 도메인 입력 (예: example.com)
3. 우클릭 → Run Transform → "To DNS Name [Robtex]" 실행
4. 새로 나타난 노드들에 대해 추가 transform 체이닝
5. Layout > Block Layout 또는 Hierarchical 로 정리
6. Notes/Bookmarks 로 가설 기록
7. Maltego Graph (.mtgx) 형식으로 저장

Maltego는 강력하지만 학습 곡선이 가파르고, Community 라이선스로는 사실상 학습용에 머문다. 실전 OSINT의 입문은 Maltego보다는 Spiderfoot에서 시작하는 것이 더 빠르다는 게 2026년 다수 의견이다.

자동 정찰 — Spiderfoot HX, Recon-ng, theHarvester, OSRFramework

자동 정찰(automated reconnaissance) 도구는 "타겟 하나(도메인, 이메일, 사람 이름)를 받아 가능한 모든 OSINT 소스를 자동으로 조회"하는 카테고리다.

theHarvester의 전형적 사용은 다음과 같다.

theHarvester -d example.com -l 500 -b bing,duckduckgo,crtsh

Spiderfoot CE는 셀프 호스팅이고, HTTP 서버로 뜬 다음 웹 UI로 조작한다.

git clone https://github.com/smicallef/spiderfoot
cd spiderfoot
pip3 install -r requirements.txt
python3 sf.py -l 127.0.0.1:5001

Recon-ng는 인터랙티브 CLI다.

[recon-ng][default] > marketplace install all
[recon-ng][default] > workspaces create demo
[recon-ng][demo] > modules load recon/domains-hosts/hackertarget
[recon-ng][demo][hackertarget] > options set SOURCE example.com
[recon-ng][demo][hackertarget] > run

자동 정찰 도구의 공통 단점은 "API 키와 비용"이다. Shodan, Censys, SecurityTrails 같은 API는 무료 티어가 매우 제한적이라, 진지하게 쓰려면 결국 유료 키가 필요하다.

사람·계정 조사 — Sherlock, Maigret, WhatsMyName, OSINT Industries, Epieos

사람을 추적할 때 가장 처음 하는 일은 "이 사용자 이름이 어떤 사이트에 등록돼 있는가"를 확인하는 일이다.

Sherlock 사용은 매우 단순하다.

pip install sherlock-project
sherlock johndoe

OSINT Industries는 CLI/API와 웹 콘솔 모두 있고, 결과는 JSON으로 받아 Maltego/Aleph로 가져갈 수 있다.

이 카테고리에서 가장 큰 이슈는 개인정보 보호와 스토킹 우려다. 같은 도구가 스토커웨어로 쓰일 수 있어서, 사용 기록·동의·합법적 목적이 확인되지 않으면 도구가 차단되거나 계정이 정지되는 흐름이 강해지고 있다.

이미지·역검색 — Yandex, Bing, Google Lens, TinEye, Pimeyes, FaceCheck.ID

이미지 OSINT는 2026년 가장 빠르게 변하는 카테고리다.

OSINT 워크플로에서는 한 장의 이미지를 항상 3개 엔진(Google Lens, Yandex, Bing) 이상에 동시에 던지는 것이 정석이다. "Yandex에서만 매칭, Google에서는 매칭 안 됨" 같은 패턴이 자주 나오기 때문이다.

지리 위치(Geolocation) — SunCalc, GeoGuessr 기법, Mapillary, GeoSpy AI

영상이나 사진이 "어디에서 찍혔는가"를 추정하는 작업은 OSINT의 꽃이다.

지리 위치는 도구 자체보다 방법론이 80%를 결정한다. Bellingcat의 표준 워크플로는 (1) 지형 단서(산·하천·해안선) → (2) 인공물(건물·간판·도로) → (3) 그림자/태양 → (4) 차량/식생 → (5) 마지막 검증으로 Street View/Mapillary cross-check다.

소셜 미디어 OSINT — X, Telegram, Discord, Reddit, Mastodon, LinkedIn

플랫폼별로 OSINT 친화도가 매우 다르다.

플랫폼 OSINT의 공통 트렌드는 "API 가격이 올라가고, 비공식 스크래핑이 어려워진다"이다. 결과적으로 OSINT Industries 같은 상용 집계 서비스에 비용이 모이는 흐름이다.

도메인·인프라 — Shodan, Censys, SecurityTrails, DomainTools, VirusTotal

위협 인텔리전스·CTI 영역의 표준 도구 군이다.

Shodan CLI 사용은 다음과 같다.

pip install shodan
shodan init <YOUR_API_KEY>
shodan search 'product:nginx country:KR port:443' --limit 20
shodan host 1.2.3.4

이 카테고리의 가장 큰 변화는 PassiveTotal의 Microsoft 흡수다. 독립 SaaS였던 시절보다 가격 정책과 라이선스가 엄격해지면서, 중소 조사 기관은 Censys + URLscan + VirusTotal 조합으로 대체하는 흐름이 늘었다.

유출·해킹 데이터베이스 — HaveIBeenPwned, DeHashed, Intelligence X, LeakIX

유출 데이터(breach data) 영역은 가장 윤리적·법적 논란이 큰 카테고리다.

이 카테고리는 국가별 법령이 매우 다르다. EU GDPR, 한국 개인정보보호법, 일본 개인정보보호법에 따라 유출 데이터의 다운로드/보유/사용은 합법성을 별도로 검토해야 한다.

문서·다크웹 — TOR Browser, Ahmia, OnionScan, Dark.Fail

다크웹(Tor onion services) OSINT는 별도 전문 영역이다.

다크웹 OSINT의 90%는 "범죄 포럼·텔레그램 채널"이지 onion 서비스 자체가 아니다. 2020년대 후반부터 다크웹의 거래·범죄 활동은 텔레그램·Discord로 이주한 비중이 크다.

시각 조사 기법 — Bellingcat 방법론과 Forensic Architecture

도구만큼이나 중요한 게 방법론이다. 2026년 시점 시각 조사(visual investigation)의 표준은 다음 두 그룹이 만든다.

Bellingcat 표준 시각 조사 워크플로는 (1) 원본 영상 메타데이터 검증 → (2) 키프레임 추출 → (3) 지리 위치 추정 → (4) 시간 추정(그림자, 날씨) → (5) Street View/Mapillary cross-check → (6) Twitter/Telegram 동시 시간 게시물 cross-check → (7) 가설 기록과 반박 가능성 검토다.

한국 OSINT 생태계 — KISIA, NIS, 금융정보분석원

한국 OSINT 생태계는 비교적 작지만 빠르게 성장 중이다.

한국에서 OSINT는 개인정보보호법의 영향을 강하게 받는다. 사용자 이름, 이메일, 전화번호의 수집·보관·이용은 모두 정보 주체 동의 또는 법령상 근거가 필요하다. 정당한 취재나 학술 목적은 예외이지만 경계가 모호하다.

일본 OSINT 생태계 — NICT NICTER, JPCERT/CC, 공안조사청

일본 OSINT 생태계는 정부 주도 + 학계 비중이 한국보다 크다.

일본에서 OSINT는 個人情報保護法 (개인정보보호법)의 영향을 받는다. 한국·EU만큼 엄격하지는 않지만 2022 년 개정 이후 cross-border 데이터 전송과 동의 요건이 강화됐다.

CTF·교육 — Trace Labs CTF, OSINT Dojo, HackTheBox

OSINT 학습은 책보다 실전이 빠르다. 2026년 표준 학습 경로는 다음과 같다.

학습 순서는 (1) OSINT Dojo 입문 → (2) Cyber Detective CTF → (3) Trace Labs CTF 참여 → (4) HackTheBox/TryHackMe OSINT 룸 → (5) 자체 케이스 스터디(Bellingcat 워크북 따라하기) 순이 가장 흔하다.

법·윤리 — GDPR, EU AI Act, 한국·일본 개인정보보호법

OSINT의 법·윤리 측면은 2024-2026년에 가장 빠르게 변했다.

OSINT 실무자가 사용하는 표준 점검 항목은 (1) 합법적 근거 확인 → (2) 데이터 최소화 → (3) 익명성/비식별성 평가 → (4) 보관 기간 명시 → (5) 결과의 출처·시각·신뢰도 기록 → (6) 제3자 공개 시 위험 평가다.

AI 증강 — Claude/ChatGPT, LangChain + Maltego Transform, GeoSpy AI

2025-2026년 OSINT의 가장 큰 변화는 LLM 증강이다.

다만 LLM은 할루시네이션 위험이 있어서, OSINT 영역에서는 "LLM이 추출한 엔티티는 인간 검증을 반드시 거친다"가 철칙으로 자리 잡았다.

TheHive / MISP — 협업 사고 대응 플랫폼

OSINT 결과를 팀에서 공유·추적하려면 협업 플랫폼이 필요하다.

이 카테고리는 OSINT의 결과를 "단발성 분석"에서 "조직 자산"으로 격상시키는 핵심이다. 개인 조사로 끝나는 경우는 협업 플랫폼이 과해 보이지만, 팀 OSINT는 거의 항상 MISP 또는 OpenCTI를 깐다.

워크플로 표준화 — 7단계 OSINT 사이클

2026년 시점 시민 OSINT/CTI 영역의 표준 워크플로는 7단계로 정리된다.

  1. 목표 정의(planning): 무엇을, 왜, 누구를 위해 조사하는가. 윤리적·법적 근거 확인.
  2. 수집(collection): passive(공개 소스 조회) 우선. active(상호작용 발생) 단계는 최소화.
  3. 처리(processing): 비정형 데이터 정제. PDF/이미지/HTML에서 IOC·엔티티 추출.
  4. 분석(analysis): 그래프화·시각화·시간선 작성. Maltego/Aleph/Cytoscape.
  5. 검증(verification): 출처 다중화, cross-check, 반박 가능성 검토. Bellingcat 표준.
  6. 보고(reporting): 가설·증거·신뢰도를 함께 기록. 출처와 시각을 첨부.
  7. 사후 관리(retention): 데이터 최소화·보관 기간·삭제·접근 권한 관리.

이 사이클은 정부 IC(Intelligence Community)의 OSINT 사이클을 시민 OSINT 맥락으로 옮긴 것이며, 2020년대 후반 다수 OSINT 트레이닝 프로그램의 공식 커리큘럼이 됐다.

도구 선택 가이드 — 어떤 조합으로 시작할까

처음 OSINT를 시작할 때 추천 순서는 다음과 같다.

  1. 시작은 무료 도구: Sherlock, theHarvester, Spiderfoot CE, Maigret, Cytoscape. 일주일이면 한 번씩 돌려 본다.
  2. 검색·역검색: Yandex, Google Lens, TinEye를 즐겨찾기. 모든 OSINT 케이스에서 이미지 역검색은 5분 안에 끝낸다.
  3. 인프라: Shodan(학생 라이선스), Censys 무료 티어, URLscan, VirusTotal. 도메인·IP 조사의 1차 도구.
  4. 사람·계정: OSINT Industries는 비용이 크다. 처음에는 Epieos + Sherlock + Maigret로 충분.
  5. 유출 DB: HIBP는 무료/합법. DeHashed/Intelligence X는 합법성 검토 후.
  6. 링크 분석: Maltego Community는 학습용. 진지하게 쓸 때만 Professional 또는 Aleph.
  7. 자동 정찰: Spiderfoot CE를 셀프 호스팅. Recon-ng는 CLI 친화적이면 추가.
  8. CTF: OSINT Dojo → Cyber Detective → Trace Labs CTF 순.
  9. 협업: 1인 작업이면 노트만. 팀이라면 TheHive + MISP.
  10. AI 증강: Claude/ChatGPT를 비정형 텍스트 triage에. 결과는 인간 검증 필수.

가장 큰 함정은 "처음부터 모든 도구를 깔려는 욕심"이다. 한 카테고리(예: 사람 조사)에 1주일 집중하는 학습 패턴이 가장 빨리 늘게 한다.

마치며 — 2026년 5월, OSINT는 "민주화됐지만 책임도 커졌다"

이 글의 결론은 두 가지다. 첫째, OSINT는 5년 전과 비교 불가할 정도로 민주화됐다. 무료 도구와 LLM 증강으로 시민·기자·조사관 누구나 진지한 조사를 수행할 수 있다. 둘째, 책임도 그만큼 커졌다. EU AI Act, GDPR, 한국·일본 개인정보보호법, 스토커웨어 우려가 동시에 압박해서 "무엇이든 검색해 본다"는 시절은 끝났다.

도구 선택보다 중요한 건 방법론이다. Bellingcat 워크북 1-2 챕터를 따라 손으로 한 번 따라 해 보는 게, OSINT 도구 30 종을 깔아 두는 것보다 훨씬 가치가 크다. 어떤 도구든 "출처, 시각, 신뢰도"의 3 종 메타데이터 없이 결과를 기록하지 말자. 이 한 가지 습관만 지키면 OSINT의 90%는 해결된다.

References

댓글

아직 댓글이 없습니다.

로그인하면 댓글을 쓸 수 있습니다