IP·기기 지문 중복은 왜 1차 관찰 기준이 되나

업계에서 통용되는 리퍼럴 부정행위 탐지의 출발점은 동일 IP 주소에서 여러 계정이 반복적으로 가입되는 패턴을 추적하는 것입니다. 자기 자신을 스스로 추천하는 셀프 리퍼럴이 가장 흔하게 남기는 흔적이 바로 이 IP 중복이기 때문입니다. 다만 카페·회사·학교처럼 여러 사람이 같은 공용 IP를 쓰는 환경도 있어서, IP 중복 하나만으로 곧바로 부정으로 단정하면 정상 이용자를 잘못 걸러내는 오탐이 발생합니다.

관찰 기준을 세울 때는 이 두 상황을 구분하는 보조 지표가 함께 필요합니다. 예를 들어 같은 IP에서 짧은 시간 안에 몰아서 가입이 일어나는지, 아니면 몇 주에 걸쳐 자연스럽게 흩어져 있는지를 보면 조직적 가입과 우연한 공용 IP 사용을 어느 정도 구분할 수 있습니다.

이 한계를 보완하기 위해 IP뿐 아니라 기기 고유 식별값(디바이스 핑거프린트)까지 함께 보는 방식이 병행됩니다. 같은 스마트폰에서 앱을 지웠다 다시 설치하며 여러 계정을 만드는 패턴은 IP는 물론 기기 지문까지 일치하기 때문에, 공용 IP 환경의 정상 이용자보다 훨씬 높은 확률로 부정행위로 판별할 수 있습니다.

일회용 이메일·가상 번호는 왜 위험 신호인가

정상적인 신규 가입자라면 실제로 사용하는 이메일이나 전화번호로 가입하는 것이 자연스럽습니다. 반면 부정 수취를 노리는 계정은 일회용(임시) 이메일 주소나 가상 전화번호 서비스를 활용해 실명 인증 없이 계정을 반복해서 만들어내는 경우가 많습니다. 이런 이메일·번호는 도메인이나 발급 패턴에서 일반 통신사·메일 서비스와 구분되는 특징을 보이는 경우가 많아, 가입 단계에서 이를 차단하는 필터를 두는 것이 리퍼럴 부정행위 탐지 시스템의 기본 구성 요소로 꼽힙니다.

다만 이런 필터도 완벽하지는 않습니다. 일회용 이메일 서비스는 계속 새로운 도메인을 만들어내기 때문에 필터 목록을 정기적으로 갱신하지 않으면 무력화되기 쉽고, 반대로 필터를 너무 넓게 잡으면 실제로 특정 이메일 서비스를 정상적으로 쓰는 이용자까지 차단할 위험이 있습니다.

계정 사이클링은 왜 시계열로 봐야 잡히나

가입 시점 한 번만 검증하는 방식으로는 계정을 만들고 보상을 받은 뒤 삭제하고 다시 만드는 '계정 사이클링'을 잡아낼 수 없습니다. 이 수법은 각 계정이 존재하는 짧은 기간 동안에는 정상 계정과 구별되는 특징이 거의 없기 때문에, 특정 시점의 스냅샷이 아니라 일정 기간 동안 누적된 가입·탈퇴·보상 수취 이력을 시계열로 이어 붙여 봐야 패턴이 드러납니다. 동일한 기기·결제수단·주소지가 짧은 간격으로 반복해서 나타난다면 계정 사이클링을 의심할 근거가 됩니다.

추천 링크의 2차 유통도 관찰 대상이다

추천인 코드나 링크 자체가 중고 거래 플랫폼이나 온라인 커뮤니티에서 매매되는 경우도 관찰해야 할 이상 패턴입니다. 이 경우 링크를 산 사람은 추천인과 아무 사회적 관계가 없는 낯선 이용자이면서도, 시스템상으로는 정상적인 '지인 추천'으로 기록됩니다. 특정 추천 코드로 유입된 신규 유저들 사이에 지리적·시간적 공통점이 없고 서로 접점이 없어 보이는데도 전환 패턴만 유사하다면, 링크가 공개적으로 유통되고 있을 가능성을 점검할 필요가 있습니다.

이런 2차 유통은 추천인 본인이 직접 만든 게 아니라, 리워드 앱이나 쿠폰 커뮤니티에서 "추천 코드 공유합니다, 서로 이득 보세요" 형태로 대량으로 퍼지면서 일어나는 경우가 흔합니다. 한 개의 추천 코드로 짧은 기간에 비정상적으로 많은 신규 가입이 몰리는 것 자체가 1차 신호가 되고, 그 신규 가입자들의 이후 이용 행태(재방문율, 결제 전환율)가 유독 낮게 나타난다면 2차 유통 정황을 뒷받침하는 근거가 됩니다.

신호를 조합해야 오탐을 줄일 수 있는 이유

IP 중복, 일회용 이메일, 계정 사이클링, 링크 2차 유통까지 각각의 신호는 그 자체로는 확정적인 증거가 되지 못합니다. 공용 와이파이를 쓰는 사무실 동료가 우연히 같은 시기에 가입할 수도 있고, 특정 이메일 서비스를 정상적으로 쓰는 이용자가 필터에 걸릴 수도 있기 때문입니다. 그래서 하나의 신호만으로 즉시 리워드를 회수하거나 계정을 정지하는 대신, 여러 신호가 동시에 겹칠 때 위험도 점수를 높여 사람이 검토하는 단계로 넘기는 방식이 업계에서 널리 쓰입니다.

위험도 점수 방식은 오탐으로 인한 피해(정상 이용자의 리워드가 부당하게 보류되는 상황)를 줄이는 동시에, 명백한 부정행위는 신속하게 걸러내는 절충안 역할을 합니다. 위험도가 낮은 구간은 자동으로 정상 처리하고, 중간 구간만 사람이 검토하며, 명백히 높은 구간만 즉시 차단하는 3단계 설계가 자동화와 오탐 방지 사이의 균형을 잡는 현실적인 방법으로 꼽힙니다. 이 신호 조합 설계는 다음 레슨에서 다룰 신규성·중복·취소·환불 데이터를 함께 보는 방식과도 이어집니다.