Google의 무효 트래픽 가이드에는 자동 클릭 도구, 로봇, 스파이더, 크롤러, 우발적 클릭, 그 밖에 진정한 사용자 관심을 반영하지 않는 활동이 포함됩니다. Google은 탐지한 무효 활동을 필터링하지만, 광고주도 클릭 이후의 행동, 리드 품질, 반복되는 의심스러운 패턴을 직접 점검해야 합니다. Google의 무효 트래픽과 무효 클릭 가이드를 참고하세요.
부정 클릭이란 무엇인지 이해하는 것이 첫걸음입니다. 봇 위험을 줄이려면 어떤 신호가 강하고 어떤 신호가 노이즈이며 오탐을 어떻게 피할지도 알아야 합니다.
단일 신호 탐지가 실패하는 이유
팀이 단서 하나를 판결처럼 취급하면 봇 탐지는 실패합니다.
예를 들면 다음과 같습니다.
- VPN 클릭은 개인정보를 중시하는 잠재 고객일 수 있습니다
- 짧은 세션은 봇일 수도, 부실한 랜딩 페이지일 수도, 잘못된 검색어일 수도 있습니다
- 반복되는 IP는 경쟁사일 수도, 사무실 네트워크나 모바일 통신사일 수도 있습니다
- 데이터 센터 IP는 리드 확보 캠페인에서는 의심스럽지만 일부 B2B 도구에서는 예상할 수 있습니다
- 가짜처럼 보이는 리드는 사기일 수도, 단순히 양식 유효성 검사가 부실한 것일 수도 있습니다
좋은 탐지는 이렇게 묻습니다. 기기, 네트워크, 행동, 전환 품질 신호가 서로 일치하는가?
봇 트래픽과 불량 트래픽
가치가 낮은 클릭이 모두 봇은 아닙니다. 일부 낭비는 타겟팅, 광고 소재, 랜딩 페이지 불일치에서 비롯됩니다.
| 트래픽 유형 | 의미 | 가장 좋은 첫 대응 |
|---|---|---|
| 봇 트래픽 | 자동화되었거나 사람이 아닌 활동 | 기기, 행동, 네트워크, 타이밍 분석 |
| 부정 클릭 | 지출을 낭비하거나 보고 수치를 조작하려는 무효 유료 클릭 | 증거 기반 차단 및 보고 |
| 저의도 트래픽 | 구매 의도가 약한 실제 사람 | 제외 키워드, 잠재고객 정리, 랜딩 페이지 정렬 |
| 우발적 클릭 | 의도치 않은 탭이나 클릭, 주로 광범위한 게재위치에서 발생 | 게재위치 제외 및 광고 소재 검토 |
| 가짜 리드 | 실제 잠재 고객을 나타내지 않는 양식 제출 | 리드 검증 및 적격 전환 가져오기 |
이 구분이 중요한 이유는 해결책이 달라지기 때문입니다. 봇 문제에는 탐지와 차단이 필요합니다. 의도가 낮은 검색 문제에는 캠페인 위생 관리가 필요합니다. 가짜 리드 문제에는 전환 품질 정리가 필요합니다.
핵심 봇 탐지 기법
효과적인 봇 탐지에는 여러 계층이 함께 작동해야 합니다. 단일 기법으로 모든 봇을 잡을 수는 없지만, 결합하면 다층 보호가 만들어집니다.
기법 1: 기기 지문
기기 지문은 수십 가지 기기 특성으로 고유 식별자를 만들어, IP 주소를 바꾸더라도 같은 하드웨어나 소프트웨어 구성을 쓰는 봇을 잡아냅니다.
지문이 수집하는 항목:
- 브라우저 종류, 버전, 설치된 플러그인
- 화면 해상도와 색 심도
- 시간대와 언어 설정
- 캔버스 지문(브라우저가 그래픽을 렌더링하는 방식)
- WebGL 렌더러 정보
- 오디오 컨텍스트 지문
- 글꼴 열거
- 하드웨어 동시성(CPU 코어 수)
- 기기 메모리
- 터치 지원 여부와 기능
봇을 탐지하는 방법:
정상 사용자는 일관되고 현실적인 지문을 가집니다. 봇은 흔히 다음과 같은 특징을 보입니다.
- 불가능한 조합(데스크톱 화면에 모바일 사용자 에이전트)
- 있어야 할 브라우저 기능의 누락
- ‘서로 다른’ 사용자 간에 동일한 지문
- 세션 도중 바뀌는 지문
- 헤드리스 브라우저 시그니처(Puppeteer, Playwright)
- 자동화 프레임워크의 흔적
탐지 예시:
Fingerprint Analysis:
- User Agent: Chrome 120 on Windows 11
- Screen Resolution: 800x600 (unusual for modern desktop)
- WebGL Renderer: ANGLE (Google Inc.); indicates headless browser
- Canvas Hash: Matches 847 other "users" this week
- Result: HIGH PROBABILITY BOT
한계:
정교한 봇은 지문을 무작위로 바꾸거나 실제 브라우저 인스턴스를 사용할 수 있습니다. 지문은 전체 판단이 아니라 하나의 계층으로 취급하세요.
기법 2: 행동 분석
행동 분석은 방문자가 페이지와 상호작용하는 방식을 살펴, 지문이 놓칠 수 있는 사람답지 않은 패턴을 찾아냅니다.
마우스 움직임 분석:
사람은 자연스러운 마우스 움직임 패턴을 보입니다.
- 목표 지점 사이의 곡선 경로(직선이 아님)
- 가변 속도(가속과 감속)
- 미세 보정과 오버슈트
- 읽거나 결정하는 동안의 멈춤
- 자연스러운 떨림과 부정확성
봇은 대체로 다음과 같은 특징을 보입니다.
- 요소 사이를 완벽한 직선으로 이동
- 일정한 속도의 움직임
- 수학적으로 정확한 클릭
- 망설임이나 읽는 시간이 없음
- 사람으로는 불가능한 반응 속도(100ms 미만 응답)
스크롤 동작 분석:
사람의 스크롤 패턴에는 다음이 포함됩니다.
- 콘텐츠 밀도에 따라 달라지는 스크롤 속도
- 흥미로운 콘텐츠에서의 멈춤
- 다시 읽기 위한 뒤로 스크롤
- 터치 기기의 관성 스크롤
- 페이지 끝에서의 자연스러운 감속
봇의 스크롤은 흔히 다음과 같은 특징을 보입니다.
- 일정한 스크롤 속도
- 콘텐츠에 따른 멈춤이 없음
- 페이지 하단으로 즉시 스크롤
- 픽셀 단위로 정확한 거리의 스크롤
- 세션 간 변화가 없음
클릭 타이밍 분석:
사람에게는 인지 처리 시간이 필요합니다.
- 페이지 로드부터 첫 상호작용까지 최소 250~500ms
- 페이지 복잡도에 따른 가변 지연
- 중요한 결정일수록 더 긴 시간
- 반복 행동에서의 자연스러운 편차
봇은 흔히 다음과 같은 특징을 보입니다.
- 페이지 로드 후 수 밀리초 이내의 클릭
- 세션 간 동일한 타이밍 패턴
- 수학적으로 정확한 간격
- 복잡도와 응답 시간 사이에 상관관계가 없음
세션 흐름 분석:
정상 사용자는 논리적인 세션 흐름을 따릅니다.
- CTA를 클릭하기 전에 읽기
- 조사를 위해 여러 페이지 방문
- 이전 페이지로 돌아가기
- 자연스러운 세션 지속 시간(2~15분)
- 논리적인 탐색 패턴
봇 세션은 흔히 다음과 같은 특징을 보입니다.
- 읽지 않고 즉시 CTA 클릭
- 단일 페이지 방문
- 재방문 없음
- 극도로 짧은 세션(10초 미만)
- 무작위이거나 비논리적인 탐색
기법 3: IP 인텔리전스와 평판
정교한 봇이 주거용 프록시를 사용하더라도, IP 분석은 여전히 상당한 사기를 잡아내고 가치 있는 신호를 제공합니다.
IP 평판 데이터베이스:
- 알려진 데이터 센터 IP 대역
- VPN 및 프록시 서비스 출구 노드
- Tor 네트워크 출구 노드
- 이전에 확인된 사기 출처
- 호스팅 제공업체 IP 대역
지리적 위치 일관성:
- IP 위치와 기기 시간대 불일치
- 불가능한 이동(몇 분 안에 여러 국가에서 발생한 클릭)
- IP 위치와 언어 설정 불일치
- 연결 유형 이상(모바일 IP에 데스크톱 행동)
네트워크 분석:
- ASN(자율 시스템 번호) 평판
- ISP 분류(주거용, 업무용, 호스팅)
- 연결 속도와 예상 행동 비교
- 단일 기업 IP에서 다수 사용자 접속(정상)과 주거용 IP(의심) 비교
탐지 예시:
IP Analysis:
- IP Address: 45.33.32.156
- ASN: AS14061 (DigitalOcean)
- Type: Data Center / Hosting
- Reputation Score: 12/100 (High Risk)
- Previous fraud flags: repeated in past 30 days
- Result: high-risk source for review or blocking
기법 4: 머신러닝 분류
최신 봇 탐지는 수백만 건의 사람 및 봇 세션으로 학습한 머신러닝 모델을 활용합니다.
지도 학습 모델:
알려진 사람과 봇 트래픽의 레이블이 지정된 데이터셋으로 학습합니다.
- 특징 조합을 위한 랜덤 포레스트 분류기
- 복잡한 패턴 인식을 위한 그래디언트 부스팅
- 행동 시퀀스 분석을 위한 신경망
- 여러 모델을 결합한 앙상블 방법
사용하는 특징:
- 기기 지문 특성(50개 이상의 특징)
- 행동 지표(마우스, 스크롤, 클릭 패턴)
- 세션 특성(지속 시간, 페이지 수, 상호작용)
- 네트워크 특징(IP 평판, 연결 유형)
- 시간 특징(시간대, 요일 패턴)
- 과거 패턴(이 지문이나 IP가 이전에 확인된 적이 있는가?)
실시간 점수 산정:
각 클릭에는 사기 확률 점수가 매겨집니다.
Fraud Score: 0.87 (High Probability Bot)
Contributing Factors:
- Behavioral anomaly score: 0.92
- Device fingerprint risk: 0.78
- IP reputation: 0.45
- Session pattern match: 0.91
Decision: BLOCK
기법 5: JavaScript 챌린지와 작업 증명
JavaScript 실행과 연산 작업을 요구하면 페이지를 렌더링하지 못하는 기본적인 봇을 걸러낼 수 있습니다.
JavaScript 실행 테스트:
- JavaScript가 실제로 실행되는지 확인(주장만 하는 것이 아님)
- 브라우저 API 사용 가능 여부 테스트
- 타이밍 기반 챌린지 실행
- DOM 조작 능력 확인
작업 증명 챌린지:
의심스러운 트래픽에는 연산 작업을 요구합니다.
- 해시 계산 챌린지
- 실제 브라우저가 필요한 퍼즐 풀기
- 위험도가 높은 방문자를 위한 CAPTCHA
- 사람은 자동으로 통과하는 보이지 않는 챌린지
구현 시 고려 사항:
챌린지는 정상 사용자에게 보이지 않아야 합니다. 마찰이 생기면 전환이 줄어듭니다. 가장 좋은 구현은 다음과 같습니다.
- 백그라운드에서 조용히 실행
- 사용자 상호작용 전에 완료
- 위험도가 가장 높은 방문자에게만 CAPTCHA 표시
- 가능하면 보이지 않는 검증 사용
고급 탐지 전략
세션 간 분석
개별 세션은 정상으로 보일 수 있습니다. 여러 세션에 걸쳐 패턴이 드러납니다.
- 여러 IP에서 나타나는 동일한 지문
- ‘서로 다른’ 사용자 간의 유사한 행동 패턴
- 조직적인 공격을 시사하는 협조된 타이밍
- 세션 간 지리적 불가능성
- 개별적으로는 임곗값 미만이지만 일관되게 나타나는 사기 신호
허니팟 기법
사람은 절대 상호작용하지 않지만 봇은 상호작용하는 숨겨진 요소입니다.
- 보이지 않는 양식 입력란(CSS로 숨김)
- 화면 밖에 있는 링크
- 유혹적인 이름의 숨겨진 버튼
- 가짜 전환 엔드포인트
허니팟과의 모든 상호작용은 강력한 위험 신호이지만, 자동 차단에 사용하기 전에 해당 입력란이 어떻게 구현되었는지 검토하세요.
트래픽 패턴 분석
트래픽 패턴을 종합적으로 분석하면 조직적인 공격이 드러납니다.
- 캠페인 변경 없이 갑자기 늘어나는 트래픽
- 평소와 다른 지역에서 유입되는 트래픽
- 비정상적인 기기 유형 분포
- 타겟 고객과 맞지 않는 시간대 패턴
Google Ads를 위한 봇 탐지 구현
계층 1: 클릭 전 보호
클릭하기 전에 알려진 악성 행위자를 차단합니다.
- Google Ads의 IP 제외 목록
- 사기 비율이 높은 지역에 대한 지역 제외
- 의심스러운 범주를 제외하는 기기 타겟팅
- 사기성 웹사이트에 대한 게재위치 제외
Google Ads는 캠페인당 IP 제외를 500개로 제한합니다. ClickFortify가 이를 자동으로 관리합니다.
계층 2: 실시간 탐지
모든 클릭을 발생하는 순간 분석합니다.
- 정상 사용자를 느리게 하지 않는 빠른 탐지 판단
- 여러 탐지 기법을 병렬로 실행
- 확신도가 높은 반복 패턴에 대한 자동 조치
- 정상 사용자에 미치는 지연 영향 최소화
계층 3: 클릭 후 검증
초기 선별을 통과한 클릭에는 다음을 적용합니다.
- 랜딩 페이지에서의 행동 분석
- JavaScript 검증
- 이상 징후에 대한 세션 모니터링
- 전환 검증
계층 4: 피드백 루프
탐지 결과를 활용해 보호를 개선합니다.
- IP 제외 목록 업데이트
- 새로운 사기 패턴으로 ML 모델 재학습
- 오탐률에 따라 탐지 임곗값 조정
- 환급을 위해 확인된 사기를 Google에 신고
탐지 효과 측정
핵심 지표
- 탐지율: 알려진 사기 중 포착한 비율
- 오탐률: 잘못 차단된 정상 사용자
- 탐지까지 걸리는 시간: 새로운 사기 패턴을 얼마나 빨리 식별하는지
- 비용 절감: 사기로부터 보호한 예산
- 품질평가점수 개선: 사기가 줄면 품질평가점수가 오릅니다
보호 기능 테스트
- 플랫폼 약관을 위반하지 않는 선에서 알려진 의심 패턴 검토
- 보호 전후의 전환율 비교
- 오탐 여부를 확인하기 위해 차단된 트래픽 분석
- 시간에 따른 품질평가점수 변화 추적
ClickFortify의 접근 방식
ClickFortify는 이 모든 탐지 기법을 하나로 통합해 보호합니다.
다층 탐지:
- 50개 이상의 신호를 활용한 기기 지문
- 실시간 행동 분석
- 여러 출처의 IP 평판 점수
- 머신러닝 분류
- 세션 간 패턴 인식
자동화된 대응:
- 예산에 영향을 주기 전에 실시간 차단
- IP 제외 목록 자동 관리
- 즉각적인 업데이트를 위한 Google Ads API 연동
- 환급 요청을 위한 사기 신고
지속적인 개선:
- 최신 사기 패턴으로 모델 재학습
- 봇이 진화함에 따라 새로운 탐지 기법 도입
- 트래픽 패턴에 맞춘 맞춤 규칙
- 위협을 모니터링하는 전담 사기 연구팀
오탐 관리
봇 탐지는 실제 잠재 고객에게 불이익을 주지 않으면서 캠페인을 보호해야 합니다. 자동화가 공격적으로 바뀌기 전에 관리 장치를 마련하세요.
- 내부 팀, 대행사, 신뢰할 수 있는 고객 네트워크에는 허용 목록 사용
- 새로운 출처를 차단하기 전에 여러 신호 요구
- 중간 위험도 세션을 위한 검토 대기열 생성
- 차단된 트래픽을 CRM 결과 및 영업팀 피드백과 비교
- 캠페인마다 위험 프로필이 다르면 캠페인 수준 규칙을 분리해서 유지
- 중요한 규칙을 추가한 이유와 검토해야 할 시점을 문서화
목표는 차단한 클릭 수를 가장 크게 보여 주는 것이 아닙니다. 실제 수요를 지키면서 예산을 보호하는 것입니다.
결론: 심층 방어
단일 봇 탐지 기법만으로는 충분하지 않습니다. 현대의 사기에 맞서려면 다음을 결합한 다층 방어가 필요합니다.
- 기기 지문으로 의심스러운 구성 식별
- 행동 분석으로 정교한 모방 포착
- IP 인텔리전스로 알려진 악성 행위자 차단
- 머신러닝으로 새롭게 나타나는 패턴 식별
- 지속적인 적응으로 진화하는 봇에 대응
봇 패턴은 계속 변하므로 탐지도 정기적으로 검토해야 합니다. 구성은 현실적으로 유지하세요. 의심스러운 행동을 탐지하고, 후속 성과를 검증하고, 증거가 바뀌면 규칙을 조정하세요.
부정 클릭이 품질평가점수에 미치는 영향을 이해하면 효과적인 탐지가 왜 중요한지 알 수 있습니다. 사기는 예산을 낭비하는 데서 그치지 않고 계정 전체에 피해를 키웁니다.
