부정 클릭에 관한 글은 대부분 유료 검색에 집중합니다. 유료 검색에서는 낭비된 클릭 한 번이 클릭당 비용을 발생시키고 스마트 자동 입찰을 오염시킵니다. 모바일 사용자 확보에는 별도의 사기 경제가 있으며, 작동 방식이 다릅니다.
앱 설치 캠페인에서 광고주는 설치당 비용을 지불하고, 어트리뷰션 제공업체가 각 설치의 실적을 어느 출처에 인정할지 결정합니다. 이 과금 구조는 분명한 유인을 만듭니다. 사기꾼이 어트리뷰션 시스템에 자신이 설치를 가져왔다고 믿게 만들 수 있다면, 실제로 한 일이 없어도 대가를 받습니다. 그 결과 설치를 아예 조작하거나, 어차피 일어났을 설치의 실적을 가로채도록 설계된 일련의 수법이 생겨났습니다.
이 가이드에서는 가장 중요한 네 가지 수법, 각 수법이 데이터에 남기는 흔적, 그리고 탐지가 어떻게 이루어지는지 설명합니다.
앱 설치 사기가 별도의 범주인 이유
유료 검색 사기는 클릭을 낭비시킵니다. 앱 설치 사기는 어트리뷰션을 오염시킵니다.
이 차이가 중요한 이유는 피해가 두 번 누적되기 때문입니다. 먼저 가짜이거나 가로채인 설치에 대가를 지불합니다. 그다음, 어트리뷰션 데이터가 엉뚱한 출처에 실적을 인정하게 되어 다음 예산이 실제 사용자를 데려오는 채널이 아니라 사기꾼에게 흘러갑니다. 깨끗한 어트리뷰션은 모든 사용자 확보 의사결정의 토대이며, 이 수법들은 그 토대를 직접 공격합니다.
아래 네 가지 수법은 실제 설치의 실적을 가로채는 것부터 아무것도 없는 상태에서 설치를 날조하는 것까지 폭이 넓습니다.
클릭 인젝션: 마지막 순간에 실적을 가로채다
클릭 인젝션은 어트리뷰션 탈취입니다. 가짜 설치를 만들어 내지 않고, 실제 설치의 실적을 훔칩니다.
기기에 이미 설치된 악성 앱이 다른 앱이 설치되고 있다는 신호를 감지합니다. 설치가 진행 중임을 알아차리는 순간 가짜 클릭을 발생시키고, 설치가 완료되면 어트리뷰션 시스템은 그 가짜 클릭을 마지막 접점으로 보고 사기꾼에게 대가를 지급합니다. 실제 설치는 어차피 일어날 일이었습니다. 사기꾼은 결승선에 끼어들었을 뿐입니다.
- 흔적은 시간에 남습니다. 실제 클릭은 사용자가 앱을 내려받아 열어야 하므로 설치가 끝나기 훨씬 전에 일어납니다. 주입된 클릭은 마지막 순간에 발생하므로 클릭 투 인스톨 시간이 비정상적으로 짧습니다.
- 단서는 분포입니다. 정상적인 출처는 클릭 투 인스톨 시간이 자연스럽게 퍼져 있습니다. 매우 짧은 시간이 대부분을 차지하는 출처는 인젝션을 의심할 만합니다.
- 피해는 잘못된 어트리뷰션입니다. 자연 유입이나 다른 유료 출처에 돌아가야 할 예산이 대신 인젝터에게 흘러갑니다.
그래서 클릭 투 인스톨 시간은 모바일 사기 탐지에서 가장 중요한 신호 중 하나입니다. 설치가 말이 안 될 만큼 짧은 시간에 몰려 있는 출처는 사용자를 데려오는 것이 아니라 가로채고 있는 것입니다.
클릭 플러딩: 클릭을 뿌려 자연 설치를 노리다
클릭 스패밍이라고도 불리는 클릭 플러딩은 물량 싸움입니다. 사기꾼은 실제 사용자가 누르지 않은 클릭을 대량으로 보고하고, 일부 사용자가 자연스럽게 앱을 설치하면 그 실적을 마지막 클릭 기준으로 가져가길 기대합니다.
인젝션보다 조잡하지만 규모가 크면 효과적입니다. 자연 설치는 끊임없이 일어나기 때문입니다. 가짜 클릭을 충분히 발생시켜 두면, 자연 유입 사용자가 설치하는 시점에 그중 하나가 가장 최근 접점이 되고 어트리뷰션 시스템은 대가를 지급합니다.
- 흔적은 길고 평평한 클릭 투 인스톨 시간입니다. 클릭이 무작위이고 실제 설치와 무관하므로, 클릭과 설치 사이의 시간이 매우 길고 넓게 퍼지는 경우가 많습니다.
- 단서는 전환율입니다. 플러딩이 일어난 출처는 클릭 수가 엄청난 데 비해 클릭 투 인스톨 전환율이 극히 낮습니다. 거의 모든 클릭이 실제 클릭이 아니기 때문입니다.
- 피해는 빼앗긴 자연 유입입니다. 무료로 일어났을 설치를 플러딩이 유료 설치로 바꿔 놓습니다.
클릭 플러딩과 클릭 인젝션은 타이밍 분포의 양 끝에 있으며, 그래서 클릭 투 인스톨 시간 분포를 살펴보면 두 가지를 모두 잡아낼 수 있습니다.
SDK 스푸핑: 아무것도 없는 곳에서 설치를 만들어 내다
SDK 스푸핑은 가장 기술적이면서 가장 위험한 수법입니다. 실제 기기가 앱을 설치할 필요가 전혀 없기 때문입니다.
공격자는 앱과 어트리뷰션 제공업체 사이의 통신을 위조해, 일어나지 않은 설치와 앱 내 이벤트를 보고하는 신호를 만들어 냅니다. 잘 만들면 겉보기에 정상적인 설치 기록이 생성되므로, 타이밍 기반 공격보다 발견하기 어렵습니다.
이를 막으려면 앱과 어트리뷰션 시스템 사이의 무결성 통제가 필요합니다. 예를 들어 공격자가 재생하거나 위조할 수 없는 서명 및 검증된 통신이 그렇습니다. 이런 통제가 약하거나 없으면 스푸핑된 설치가 깨끗한 모습으로 유입될 수 있습니다. 캠페인 설정뿐 아니라 어트리뷰션 연동 자체의 보안도 모바일 사기 방어의 일부인 이유입니다.
설치 가로채기와 그 밖의 유형
설치 가로채기는 인젝션과 가까운 사촌입니다. 악성 앱이 진행 중인 정상 설치에 간섭해 어트리뷰션을 자신에게 돌리며, 이번에도 사용자가 이미 설치하려던 앱의 실적을 가로챕니다.
이와 함께 모바일 사기 환경에는 실제 또는 에뮬레이션된 기기를 대규모로 돌리는 기기 팜, 참여도 높은 사용자를 흉내 내도록 설계된 봇 기반 앱 내 이벤트, 진짜 관심 없이 설치만 만들어 내는 인센티브형 트래픽이 포함됩니다. 공통점은 다른 모든 광고 사기와 같습니다. 대가를 받을 만큼 오래 실제 사용자처럼 보이는 자동화입니다. 자동화된 트래픽이 이제 웹에서 사람보다 많아진 만큼, 이런 가짜 사용자의 정교함도 계속 높아지고 있습니다.
탐지는 실제로 어떻게 이루어지는가
검색 캠페인에서 반복 IP를 알아보듯 눈으로 모바일 사기를 가려낼 수는 없습니다. 탐지는 통계적이며, 몇 가지 신호에 의존합니다.
| 신호 | 드러나는 것 | 잡아내는 사기 유형 |
|---|---|---|
| 클릭 투 인스톨 시간 | 클릭과 설치 사이의 비정상적으로 짧거나 긴 간격 | 클릭 인젝션과 클릭 플러딩 |
| 설치 속도와 규모 | 실제 수요와 맞지 않는 부자연스러운 급증 또는 규모 | 플러딩, 기기 팜, 스푸핑 |
| 기기 및 IP 패턴 | 반복되는 기기, 에뮬레이터, 데이터 센터 네트워크 | 기기 팜과 봇 기반 설치 |
| 통신 무결성 | 위조되거나 재생된 어트리뷰션 신호 | SDK 스푸핑 |
| 설치 후 참여도 | 실제 앱 내 활동이 전혀 생기지 않는 설치 | 대부분의 사기 유형 (사후 확인) |
가장 강력한 방어는 어느 한 가지에 의존하지 않고 이들을 결합하는 것입니다. 타이밍 분포는 어트리뷰션 탈취범을, 무결성 통제는 스푸핑을 잡아내고, 설치 후 참여도는 겉보기엔 괜찮았지만 끝내 사용자가 되지 않은 설치를 드러내는 최후의 보루입니다. 유료 검색을 보호하는 것과 같은 다중 신호 원칙이 여기에도 적용됩니다. 신호 하나는 증거가 아니지만, 서로 독립적인 여러 신호가 같은 방향을 가리키면 증거가 됩니다.
결론
앱 설치 사기는 클릭만이 아니라 어트리뷰션을 공격한다는 점에서 별도의 분야입니다. 클릭 인젝션과 설치 가로채기는 실제 설치의 실적을 가로채고, 클릭 플러딩은 클릭을 뿌려 자연 설치를 노리며, SDK 스푸핑은 아무것도 없는 곳에서 설치를 날조합니다. 각 수법은 주로 타이밍, 규모, 기기 패턴, 설치 후 행동에 흔적을 남깁니다. 사용자 확보 예산을 보호하려면 이 신호들을 함께 살피고, 어트리뷰션 연동의 무결성을 사후 과제가 아닌 사기 방어의 일부로 다뤄야 합니다.
