트러블슈팅: 특정 앱 네트워크 지면에서 설치 수(Install)는 폭발하는데 실행 후 즉각 이탈(Fraud 의심 가짜 유저) 시 게재위치 앱 차단(Blacklist)

정상적인 캠페인 최적화라면 설치 수가 늘어날 때 초기 리텐션이나 최소한 첫 실행 완료율은 크게 나빠지지 않는 게 일반적입니다. 그런데 특정 게재위치(placement)에서 설치 수가 갑자기 폭증하면서 동시에 앱 실행 직후 이탈률이 치솟는다면, 이는 실제 관심 있는 유저가 늘어난 게 아니라 사기 트래픽이 유입됐다는 강한 신호입니다. 진짜 유저라면 앱을 설치한 뒤 최소한의 탐색 행동(튜토리얼 진입, 화면 이동)을 보이는 경우가 많지만, 사기 트래픽은 설치라는 이벤트 자체만 발생시키고 실제 사용 행동으로 이어지지 않는 경우가 대부분입니다.

가장 흔한 사기 유형 중 하나가 디바이스ID 리셋 사기(기기 팜)입니다. 사기 조직이 수많은 실제 기기(또는 에뮬레이터)를 모아놓고, 각 기기의 광고 식별값(GAID·IDFA)을 계속 초기화해 매번 "이전에 본 적 없는 새 유저"처럼 보이게 만드는 방식입니다. 이렇게 하면 같은 기기로 같은 앱을 반복 설치해도 매번 신규 설치로 집계되면서 광고 네트워크가 수수료를 받는 구조가 만들어집니다. AppsFlyer는 이 유형의 사기가 전체 앱 설치 사기의 절반 이상을 차지하며, 이로 인한 광고주 피해 규모를 연 11억~13억 달러 수준으로 추정한다고 공식 발표한 바 있습니다. 규모 자체가 작은 리스크가 아니라는 뜻이므로, 특정 지면의 이상 신호를 가볍게 넘기지 않는 태도가 필요합니다.

가장 먼저 확인할 지표는 설치 대비 첫 실행(세션 시작) 비율, 그리고 설치 후 24시간 이내 완전 이탈률입니다. 특정 게재위치에서만 이 두 지표가 평소 평균과 크게 벗어난다면 그 지면을 우선 의심 대상으로 좁힐 수 있습니다. 추가로 확인할 것은 설치 시간 분포입니다. 정상 트래픽은 유저의 실제 생활 패턴에 따라 시간대별로 설치가 자연스럽게 분산되지만, 사기 트래픽은 짧은 시간에 몰려서 발생하거나 일정한 간격으로 기계적인 패턴을 보이는 경우가 많습니다. MMP의 사기방지 리포트(예: AppsFlyer Protect360)는 이런 패턴을 자동으로 탐지해 의심 지면을 플래그로 표시해주므로, 수동으로 하나하나 지표를 뜯어보기 전에 이 리포트부터 확인하는 게 효율적입니다.

Protect360 같은 사기방지 솔루션은 특정 매체(광고 네트워크·사이트ID)가 사기로 판정되면, 이후 해당 소스에서 발생하는 클릭과 설치를 자동으로 차단하는 방식으로 동작합니다. 근시일 실시간 탐지로 사기성 설치를 걸러내는 동시에, 진화하는 의심 행동 패턴을 계속 플래그로 표시해 새로운 사기 유형에도 대응합니다. 다만 이 자동 차단이 지나치게 공격적으로 설정되면 정상 트래픽까지 함께 걸러내는 부작용(오탐)이 생길 수 있어, 차단 규칙을 처음부터 극단적으로 좁게 잡기보다는 데이터를 관찰하면서 점진적으로 조정하는 접근이 안전합니다.

특정 게재위치를 블랙리스트에 올려 차단했다고 해서 사기가 완전히 사라지는 건 아닙니다. 사기 조직은 차단을 우회하기 위해 새로운 사이트ID나 앱 지면으로 계속 옮겨가는 경향이 있어, 블랙리스트는 한 번 등록으로 끝나는 작업이 아니라 주기적으로 점검하고 갱신해야 하는 운영 업무에 가깝습니다. 최소 주 단위로 게재위치별 이상 지표를 리뷰하고, 새로 나타난 의심 지면을 즉시 블랙리스트에 추가하는 루틴을 만들어두는 것이 장기적으로 광고비 낭비를 줄이는 방법입니다.

의심 지면을 자체적으로 블랙리스트에 올리는 것과 별개로, 해당 게재위치가 속한 애드네트워크(AppLovin·Unity·ironSource) 담당팀에도 데이터를 공유하며 문제를 제기하는 절차가 필요합니다. 네트워크 입장에서도 사기 트래픽이 섞여 있으면 장기적으로 매체 신뢰도가 떨어지기 때문에, 구체적인 지면 ID와 이상 지표(설치 대비 첫 실행 비율, 시간 분포)를 근거로 제시하면 해당 지면을 자체적으로 조사하거나 인벤토리에서 제외하는 조치를 취하는 경우가 많습니다. 단순히 "성과가 나쁘다"는 정성적 항의보다, MMP 리포트에서 뽑은 구체적 수치와 지면 ID를 첨부해 제기하는 편이 네트워크 쪽 대응 속도를 높입니다. 이런 이슈 제기 이력을 별도로 기록해두면, 같은 네트워크에서 유사한 패턴이 반복될 때 과거 사례와 비교해 판단 속도를 높일 수 있습니다.

• 설치 대비 첫 실행 비율이 평소 평균보다 눈에 띄게 낮은 지면이 있는가
• 설치 시간이 부자연스럽게 몰려 있거나 일정한 간격으로 발생하는가
• MMP 사기방지 리포트에서 해당 지면이 의심 플래그로 표시됐는가
• 블랙리스트 등록 후에도 유사 패턴이 다른 지면에서 반복되는가