IP 차단 목록이 부정 클릭의 절반을 놓치는 이유

할 수 있는 일은 모두 하셨습니다. 검색어와 애널리틱스에서 의심스러운 IP 주소를 추려 제외 목록에 추가했고, Google의 500개 상한에 부딪히기도 했는데, 쓸모없는 클릭과 가짜 리드는 계속 들어왔습니다. 광고주의 실수가 아닙니다. 이유는 주거용 프록시입니다. 주거용 프록시는 ISP가 할당한 실제 가정용 IP 주소로 부정 클릭을 보내므로 최고의 고객과 구분되지 않고, 정적 차단 목록으로는 보이지 않습니다. IP 차단은 여전히 필요하지만 이제는 문제의 절반만 잡아냅니다. 이 가이드에서는 작동 방식, 차단 목록이 구조적으로 불리한 이유, 기기 및 행동 기반 탐지가 더하는 것을 설명합니다.

지난달에 만든 차단 목록은 이미 낡았습니다

2026년의 두 가지 사실이 문제 전체를 보여 줍니다. 첫째, Imperva의 2026 악성 봇 보고서에 따르면 자동화된 트래픽이 이제 전체 웹 트래픽에서 차지하는 비중은 53%, 사람은 47%로 줄었습니다. 둘째, 이 악성 트래픽 중 상당하고 늘어나는 비중이 더 이상 알아보고 차단할 수 있는 데이터 센터에서 오지 않습니다. 실제 사용자와 똑같아 보이는 가정용 연결에서 옵니다.

대부분의 광고주가 어렵게 깨닫는 사실은 이렇습니다. 불량 IP 목록은 이미 이동한 표적의 스냅샷입니다. 주소를 찾아 제외했을 때쯤이면 부정 행위자는 다른 주소로 옮겨 가 있습니다. 해결책은 더 큰 목록이 아니라 다른 계층의 탐지입니다.

주거용 프록시란 무엇인가

주거용 프록시는 실제 일반 사용자의 인터넷 연결을 통해 트래픽을 보냅니다. 출구 IP는 호스팅 업체가 아니라 일반 광대역이나 모바일 회선을 쓰는 가정 또는 소규모 사업장의 것입니다. 운영자들은 사용자의 대역폭을 몰래 재판매하는 무료 모바일 앱, 브라우저 확장 프로그램, “무료” VPN에 SDK를 심어 이런 네트워크를 구축하며, 의미 있는 동의 없이 이루어지는 경우가 많습니다.

이 점이 핵심입니다. 부정 클릭이 주거용 프록시를 거쳐 나오면 실제 가정용 연결의 신뢰할 만한 IP 평판을 달고 도착합니다. 데이터 센터가 아니므로 어떤 데이터 센터 차단 목록에도 나타나지 않습니다. 그렇다고 무조건 차단하는 것도 위험합니다. 같은 IP 대역 뒤에는 여러분이 원하는 실제 고객이 있기 때문입니다. 데이터 센터와 VPN 트래픽은 상대적으로 점수를 매기기 쉽지만, 주거용 프록시 트래픽은 그런 검사를 피하도록 특별히 설계되었습니다.

2026년의 증거: Google의 IPIDEA 해체

이론이 아닙니다. 2026년 1월 29일 Google 위협 인텔리전스 그룹은 세계 최대 규모의 주거용 프록시 네트워크 중 하나인 IPIDEA를 무력화했다고 발표했습니다. 핵심은 규모입니다. 이 네트워크는 Android 앱 600개 이상에 숨겨진 SDK를 기반으로 했고, 약 7,400대의 서버와 3,000개가 넘는 고유한 Windows 파일 해시가 뒷받침했으며, 독립적인 것처럼 보이는 13개의 프록시/VPN 브랜드로 판매되었습니다. 그달 7일 동안에만 Google은 550개가 넘는 서로 다른 위협 그룹이 IPIDEA 출구 노드를 사용하는 것을 관측했습니다.

이 트래픽이 왜 막기 어려운지에 대한 Google의 설명은 IP 차단에 대한 고발장처럼 읽힙니다. “전 세계의 다양한 소비자 기기를 거쳐 트래픽을 보내면, 공격자는 이런 IP 주소를 가로채 악성 활동을 숨길 수 있습니다.” 출구 노드가 서로 겹치기 때문에 출처를 특정하는 일 자체가 어렵습니다.

독립 연구자들도 악성 트래픽 중 가정용 ISP의 비중을 계속 측정하고 있습니다. Imperva는 2024년 보고서에서 악성 봇 트래픽의 약 4분의 1이 가정용 ISP에서 나온다고 추정했고, 2025년에는 봇 공격의 21%가 주거용 프록시를 사용한다고 밝혔습니다. IPIDEA 규모의 해체가 있었어도 남아 있는 풀은 너무 크고(실제 사용자와 구분하기도 어려워서) 어떤 정적 제외 목록도 따라갈 수 없습니다.

정적 차단 목록이 구조적으로 불리한 이유

IP 목록으로는 이 싸움에서 이길 수 없는 구체적인 이유가 세 가지 있습니다.

• 순환. 주거용 프록시 네트워크는 수백만 개의 서로 다른 출구 IP를 돌려 씁니다. 불량 주소를 하나씩 나열하는 방어는 수학적으로 끝낼 수 없는 게임을 하고 있는 것입니다.
• Google의 엄격한 상한. Google Ads에서는 캠페인당 최대 IP 주소 500개를 제외할 수 있으며, 주소의 모든 버전(IPv4와 IPv6 모두)을 등록해야 합니다. 수백만 개의 순환 IP를 상대로 500개 슬롯은 승부가 되지 않습니다.
• 적용 범위의 공백. 같은 Google 문서에 따르면 캠페인 수준의 IP 제외는 “동영상 캠페인, 호텔 캠페인, 앱 캠페인, 실적 최대화 캠페인, 스마트 디스플레이 캠페인에서는 사용할 수 없습니다.” 계정 수준 제외는 실적 최대화 캠페인에 적용되지만, 같은 캠페인당 제한과 같은 순환 문제에 여전히 묶여 있습니다.

참고로 Google의 무효 트래픽 필터링은 데이터 센터 트래픽을 선별 대상 범주로 명시합니다. 주거용 프록시는 트래픽이 그렇게 보이지 않도록 하려고 존재합니다.

GIVT와 SIVT: 왜 “절반에 불과한지” 보여 주는 기준

광고 업계에는 이미 이를 설명하는 용어가 있습니다. IAB와 미디어 평가 위원회(MRC)는 무효 트래픽을 두 단계로 구분합니다. 일반 무효 트래픽 (GIVT)은 “일상적이고 목록 기반의 필터링 방식으로 식별되는” 유형으로, 알려진 봇, 크롤러, 불량 IP 목록이 여기에 해당합니다. 정교한 무효 트래픽 (SIVT)은 “탐지하기가 더 어렵고” “고급 분석, 다중 지점 교차 검증, 상당한 사람의 개입”이 필요합니다.

주거용 프록시와 악성코드 기반 부정 클릭은 정의상 SIVT입니다. 차단 목록은 이 기준의 표현 그대로 목록 기반 필터링 방식, 즉 GIVT 도구입니다. 가장 중요한 절반의 문제에는 범주부터 맞지 않는 도구입니다. 이것이 IP 차단이 무효 트래픽의 일부만 잡아내는 이유에 대한 업계 표준의 정확한 설명입니다. 그 일부가 얼마나 큰지 참고하자면, Pixalate의 2025년 1분기 벤치마크는 무효 트래픽 비율을 데스크톱과 모바일 웹에서 18%, 모바일 앱에서 31%로 집계했습니다.

차단 목록이 놓치는 전환의 사각지대

클릭이 필터링되더라도 두 번째 실패가 있습니다. Google은 클릭이 무효로 판단되어 제거되더라도 해당 클릭에 귀속된 전환은 제거되지 않을 수 있다고 안내합니다. 그래서 부정한 행동이 클릭 필터링을 통과해 전환 데이터에 남을 수 있고, 거기서 스마트 자동 입찰과 실적 최대화 캠페인에 입력되어 쓸모없는 결과를 만드는 바로 그 잠재고객과 게재위치를 쫓느라 더 많은 예산을 쓰도록 알고리즘을 학습시킵니다. IP 수준의 방어는 이 문제에 아무 도움이 되지 않습니다. 완전히 별개의 계층입니다.

기기 및 행동 기반 탐지가 더하는 나머지 절반

IP를 믿을 수 없다면 대신 행위자를 탐지합니다. 순환하는 주거용 IP에서도 살아남는 계층은 세 가지입니다.

1. 기기 지문. 기기에 아무것도 저장하지 않고 하드웨어, 소프트웨어, 네트워크 속성으로 조합한 파생 식별자로, 쿠키를 삭제하거나 시크릿 모드를 쓰거나 완전히 새로운 IP로 바꿔도 같은 방문자를 다시 식별합니다. 차단 목록에 절대 나타나지 않을 순환 주거용 IP로 부정 클릭이 들어올 때, ClickFortify(클릭포티파이)는 IP 평판뿐 아니라 기기 및 행동 신호로도 점수를 매기므로 IP가 바뀐 뒤에도 같은 행위자를 잡아냅니다. 기기 지문 방식은 쿠키 삭제 후에도 유지되는 식별자를 만들어, 수백 개의 서로 다른 주거용 출구 IP에 걸쳐 부정 방문자를 다시 식별합니다.

2. 행동 신호. 실제 사람은 마우스를 움직이고, 스크롤하고, 망설이고, 어수선하게 사람답게 탐색합니다. 자동화된 클라이언트는 그렇지 않으며, Selenium, Puppeteer, Playwright 같은 헤드리스 브라우저 도구는 탐지 가능한 자동화 지문을 남깁니다. 클릭 후 행동(체류 시간, 스크롤 깊이, 탐색 흐름, 그리고 이런 자동화의 단서)을 분석해서, ClickFortify는 IP 평판 검사는 통과하지만 봇처럼 행동하는 클릭을 표시합니다.

3. 교차 신호 검증. 가장 강력한 단서는 모순에서 나옵니다. 데이터 센터급 기기 지문을 가진 주거용 IP, IP의 위치 정보와 맞지 않는 브라우저 시간대나 언어, 다른 나라를 거친 프록시 경로를 드러내는 지연 시간과 타이밍 같은 것들입니다. ClickFortify는 IP와 기기, 위치의 일관성 신호를 교차 검증하므로, 불일치하는 세션은 신뢰받지 않고 드러납니다. 프록시, 데이터 센터, VPN 탐지도 여기서 여전히 중요합니다. 그 자체로 판정을 내리는 것이 아니라 여러 가중 입력값 중 하나로 쓰입니다.

ClickFortify가 Google, 실적 최대화 캠페인, Meta 전반에서 방어를 겹치는 방식

이 계층들을 엮는 것이 실제 작업이며, 각 플랫폼의 제약을 존중해야 합니다.

• Google 검색 및 디스플레이. ClickFortify는 확인된 부정 IP를 실시간으로 자동 제외하고, 캠페인당 IP 500개라는 Google의 상한 안에서 제외 목록을 동적으로 관리하므로, 한정된 목록이 낡은 주소에 낭비되고 새 주소는 차단되지 않는 일이 없습니다.
• 실적 최대화 캠페인. 캠페인 수준 제외는 실적 최대화 캠페인에 적용되지 않으므로, ClickFortify는 계정 수준 제외와 플랫폼 밖의 행동 기반 탐지를 함께 적용해 실적 최대화 캠페인 지출이 프록시 트래픽에 무방비로 노출되지 않게 합니다.
• 전환과 스마트 자동 입찰. 필터링된 클릭이 오염 전환을 남길 수 있으므로, ClickFortify는 전환 및 CAPI 수준 필터링을 더해 부정 클릭에서 비롯된 전환이 스마트 자동 입찰에 쓸모없는 트래픽을 쫓도록 학습시키지 못하게 합니다.
• Meta. 클라이언트 IP를 아예 제외할 수 없는 곳에서는, ClickFortify가 부정 클릭이 감지된 광고 세트에서 Audience Network를 자동으로 끌 수 있고(광고 계정별 옵트인), 차단한 게재자를 Meta의 차단 목록에 반영하며, CAPI로 전송하는 전환을 필터링해 기본 IP 제어가 없는 플랫폼까지 행동 기반 보호를 확장합니다.

핵심 정리

IP 제외는 유지하세요. 필수적인 첫 번째 계층이며, 업계 표준이 GIVT라고 부르는 단순한 목록 기반 트래픽을 막아 줍니다. 하지만 IP 제외가 할 수 없는 일을 이해해야 합니다. 부정 클릭 중 비용이 크고 끈질긴 절반은 이제 어떤 목록보다 빠르게 순환하는 실제 주거용 연결을 타고 들어오며, 데이터 센터 검사를 빠져나가고, 클릭이 잡히더라도 전환 데이터를 오염시킵니다. 그 절반을 잡으려면 주소가 아니라 행위자를 기기와 행동으로 식별해야 합니다. 검색, 실적 최대화 캠페인, Meta 전반에 일관되게 적용되는 이런 계층형 접근이, 일주일이면 낡아 버리는 차단 목록과 다음 IP가 어디서 나오든 부정 클릭을 따라가는 보호의 차이입니다.