Lab · Module 18 Investigation Lab

Mobile App Artifact Analysis (Structured Crime App)

ถอดโครงสร้างองค์กรแก๊งฉ้อโกงจากฐานข้อมูลแอปประสานงาน — พร้อมกรองแชตส่วนตัว

🎯 ภารกิจของผู้เรียน

ดาวน์โหลด App Message Extract คัดลอก Prompt ไปวางใน AI พร้อมแนบไฟล์ แล้วตรวจสอบว่า AI ถอดลำดับชั้นองค์กรและบทบาท, สร้าง workflow การฉ้อโกง และคัดข้อความที่ไม่เกี่ยวข้อง (ส่วนตัว) ออกได้หรือไม่

⚖️ กรอบการใช้งานอย่างรับผิดชอบ

ผลลัพธ์เป็น ข่าวกรองเชิงโครงสร้าง/พฤติกรรม (structure intelligence) ที่ได้จาก artifact ของแอป — เป็นเบาะแสที่ต้องยืนยันต่อ ไม่ใช่ข้อพิสูจน์ว่าผู้ใช้รายใดกระทำความผิดเจาะจง การกำหนดบทบาทต้องผ่านการ corroborate ด้วยหลักฐานอิสระ

✅ ตัวอย่าง: ถอดลำดับชั้นแก๊งฉ้อโกงจากแอปประสานงานภายใน 📥 Download Mock Data

📋 สถานการณ์ (Scenario)

การสกัดข้อมูลทางนิติวิทยาศาสตร์กู้คืนฐานข้อมูลข้อความของแอปกลุ่มปิดที่แก๊งฉ้อโกงใช้ประสานงานปฏิบัติการ ผู้ใช้มี role tag และบทสนทนาเผยให้เห็น workflow ของงาน มีข้อความหนึ่งที่เป็นของกลุ่มส่วนตัวที่ไม่เกี่ยวข้อง (noise) ภารกิจคือสร้างโครงสร้างองค์กรและ workflow การฉ้อโกงจาก artifact ของแอป พร้อมคัดข้อความที่ไม่ใช่ปฏิบัติการออก

📊 ตัวอย่างข้อมูลดิบ (Mock Raw Data) — snake_case schema

msg_time,app_user_id,role_tag,message_text,attached_file,group_id
2026-03-01 08:00,u_100,admin,today targets list attached,targets_0301.xlsx,grp_main
2026-03-01 08:05,u_201,caller,got it starting calls now,,grp_main
2026-03-01 08:30,u_305,mule,account ready send victims to acc_001a,,grp_main
2026-03-01 09:00,u_201,caller,victim transferred 50000 please confirm,,grp_main
2026-03-01 09:02,u_100,admin,good cut sent to all,payout_0301.xlsx,grp_main
2026-03-02 19:00,u_777,none,hey are we still on for football sunday,,grp_personal

📝 Prompt สำหรับผู้เรียน (คัดลอกไปใช้กับ AI)

You are a digital forensic analyst supporting an organized-crime investigation. Using the attached app-message extract:
1. Reconstruct the organizational hierarchy and the role each user plays, citing the role tags and message content.
2. Map the end-to-end fraud workflow from target selection to payout, naming the laundering account involved.
3. Identify any message that is non-operational/personal and explain why it should be excluded from the operational analysis.
4. Note which links are evidenced directly versus inferred and would need corroboration.
Present a structure-and-workflow intelligence summary. Frame role assignments as behavioral indicators derived from app artifacts — investigative leads requiring corroboration — not as proof that any named user committed a specific offence.