왜 절대 임계치로 시작하면 안 되나

"동일 IP에서 시간당 몇 회 이상이면 부정"처럼 일반 임계치를 먼저 정하는 방식이 오탐의 가장 큰 원인입니다. 매체·업종·트래픽 규모에 따라 정상 범위가 다르고, 매체사의 실제 탐지 임계치는 비공개이기 때문입니다. 공유기 뒤 다수 사용자, 기업 네트워크, 모바일 캐리어 NAT처럼 정상 트래픽이 한 IP로 모이는 구조도 흔합니다.

그래서 기준은 자사 데이터에서 만듭니다. 최소 4주 연속 데이터로 캠페인별·시간대별 기준선을 잡고, 설정은 한 번에 한 항목만 바꾸며, 비교는 같은 요일끼리 합니다. 트래픽이 적은 계정은 4주로도 판단이 어려우므로 기간을 늘리거나 판단을 보류합니다. 이 기준선이 통계적 유의성을 보장하지 않는다는 점도 문서에 적어두는 편이 정확합니다.

신호를 몇 개나 조합해야 하나

단일 신호는 거의 항상 오탐을 만듭니다. 클릭 급증만 보면 프로모션이 잡히고, 세션 시간만 보면 느린 회선이 잡힙니다. 최소 두 개 이상의 서로 다른 층위 신호가 같은 방향일 때만 경보가 울리도록 설계하는 편이 낫습니다. 예를 들어 특정 대역 클릭 비중 상승과 해당 대역의 전환율 급락이 동시에 나타나는 경우입니다.

탐지 범위의 한계도 조합 설계에 반영해야 합니다. IAB·MRC 기준으로 무효 트래픽은 표준 목록으로 걸러지는 GIVT와 사람으로 위장한 SIVT로 나뉘는데, GA4가 기본 적용하는 봇 제외 필터는 IAB 목록과 구글 자체 조사를 결합해 User-Agent를 대조하는 방식이라 GIVT 층에 가깝고 정교한 봇은 통과시킵니다. 이 필터는 끌 수 없고 얼마나 걸러졌는지도 확인할 수 없습니다. 따라서 GA4 지표만으로 조합을 만들면 잡히는 유형이 편중됩니다.

이미 처리된 트래픽을 왜 먼저 빼야 하나

경보가 자꾸 울리는데 매체에 문의하면 "이미 처리됨"이라는 답만 온다면, 파이프라인 설계가 잘못된 것입니다. 구글 애즈는 무효 클릭으로 확인된 클릭을 보고서와 결제 금액에서 자동으로 필터링해 비용이 청구되지 않게 하고, 이미 청구된 건도 사후 크레딧으로 반영합니다. 무효 활동 크레딧 보고서는 캠페인·네트워크별 크레딧 내역과 관련 클릭 수를 함께 보여줍니다.

그래서 모니터링 파이프라인의 첫 단계는 이 크레딧 처리분을 차감하는 것입니다. 차감 후에도 설명되지 않는 잔여분에만 경보를 겁니다. 이 한 단계만 추가해도 경보 건수가 크게 줄고, 남은 경보의 신뢰도가 올라갑니다.

경보 문구를 어떻게 써야 사람이 움직이나

경보가 판정문처럼 쓰이면 두 가지 문제가 생깁니다. 받는 사람이 확인 없이 조치하거나, 반대로 과장이라고 느껴 무시합니다. 경보는 판단이 아니라 확인 요청으로 씁니다. 관측된 사실, 비교 기준, 확인할 화면, 확인 마감 시각 네 가지를 담습니다.

예를 들어 "A캠페인 특정 대역 클릭 비중이 4주 기준선 대비 상승, 같은 요일 대비 비교, 무효 활동 크레딧 보고서와 검색어 보고서 확인 요망, 오늘 18시까지"처럼 씁니다. 확인할 화면을 지정하는 것이 핵심입니다. 검색어 보고서는 실제 사용자가 검색해 광고가 노출된 검색어를 보여주므로, 급증이 부정 트래픽이 아니라 새로운 검색어 유입 때문인지 바로 갈립니다.

자동 차단을 어디까지 허용하나

차단 자동화는 경보 자동화와 분리해야 합니다. 자동 차단은 오탐일 때 되돌리기 어려운 손실을 만들기 때문입니다. 정상 고객이 몰린 IP 대역을 막으면 전환이 통째로 사라지고, 그 사실을 며칠 뒤에야 알게 됩니다.

서버 단에서 봇 점수 기반 규칙을 쓰는 경우도 마찬가지입니다. Cloudflare Bot Management는 모든 요청에 1~99 사이 봇 점수를 매기고 이 점수를 WAF 커스텀 규칙의 조건으로 쓸 수 있게 하며, 검증된 크롤러 여부도 별도 변수로 제공합니다. 다만 이 기능은 엔터프라이즈 요금제 부가 기능이라 모든 사업자가 쓸 수 있는 수단은 아니고, 점수 임계값을 낮게 잡으면 정상 사용자까지 챌린지를 받습니다. 도입한다면 처음에는 차단이 아니라 로그 기록 모드로 며칠 돌려 분포를 본 뒤에 규칙을 조이는 순서가 안전합니다.

오탐률을 어떻게 관리하나

오탐률을 재려면 경보마다 결론을 남겨야 합니다. 경보 ID, 발생일, 확인 결과(정상·부정 의심·판단 보류), 후속 조치 네 칸이면 충분합니다. 한 달 뒤 이 표를 보면 어떤 신호가 헛돌고 있는지 드러납니다. 헛도는 신호는 조합에서 빼거나 임계값을 조정합니다.

여기서 주의할 것은 경보를 줄이는 것 자체를 목표로 삼지 않는 것입니다. 임계값을 계속 올리면 경보는 사라지지만 놓치는 사건도 함께 늘어납니다. 목표는 '확인해서 실제로 조치로 이어진 비율'을 올리는 것이고, 그 비율이 낮으면 임계값이 아니라 신호 조합을 손봐야 합니다.