광고 사기란? 유형, 탐지 및 예방

서론: 디지털 기만의 산업화

한때 측정 가능하고 책임을 물을 수 있는 마케팅의 정점으로 불리던 디지털 광고 생태계는 지금 인터넷 경제의 토대 자체를 위협하는 무결성 위기에 포위되어 있습니다. 더 이상 “사기”가 배너 광고를 클릭하는 스크립트를 쓰는 외로운 해커를 뜻하던 시대가 아닙니다. 오늘날 광고 사기는 산업화된 글로벌 기업형 사업으로, 고빈도 거래 회사의 정교함과 역외 금융의 불투명성을 갖추고 운영됩니다. 합법적인 상거래에서 수십억 달러를 빨아들이고, 데이터를 왜곡하고, 신뢰를 갉아먹고, 조직 범죄에 자금을 대는 기생 경제입니다.

광고주와 마케팅 리더에게 이 위협의 영향은 당장의 미디어 예산 손실을 훨씬 넘어섭니다. 광고 사기는 데이터 공급망의 근본적인 오염입니다. 전환 데이터, 클릭률(CTR), 어트리뷰션 모델이 사람이 아닌 트래픽으로 오염되면 전략적 의사 결정 과정에 결함이 생깁니다. 알고리즘은 사람의 의도가 아니라 봇의 행동에 맞춰 최적화되고, 이는 비효율의 피드백 루프를 만들어 브랜드 자산을 훼손하고 시장 현실을 왜곡합니다.

측정된 재무적 영향은 엄청납니다. MediaPost가 보도한 업계 분석에 따르면 2025년 무효 트래픽은 유료 클릭의 8.51%를 차지했고, 전 세계에서 낭비된 광고비는 약 630억 달러로 추정됩니다. 같은 시기 자동화된 봇은 전체 웹 트래픽의 53% 선을 넘어섰습니다(Imperva, 2026). 이는 단순히 디지털 지출 증가를 반영한 것이 아니라, 사기범이 쓰는 적대적 전술이 근본적으로 진화했음을 뜻합니다. 2025년을 지나 2026년으로 가면서 환경은 단순한 봇넷에서 주거용 프록시, 머신러닝, 행동 모방을 활용해 탐지를 피하는 정교한 AI 기반 작전으로 이동하고 있습니다. 커넥티드 TV(CTV)와 모바일 우선 환경의 부상은 새로운 악용의 영역을 열었고, 1,000회 노출당 비용(CPM)이 높은 인벤토리는 가장 정교한 무효 트래픽(SIVT) 작전을 끌어들입니다.

이 보고서는 이 지뢰밭을 헤쳐 나가야 하는 전략 기획자를 위해 광고 사기 환경을 빠짐없이 분석합니다. 광범위한 광고 사기와 구체적인 부정 클릭 메커니즘 사이의 미묘한 기술적 차이를 해부하고, 업계가 이를 억제하려 애쓰는 이유를 뒷받침하는 게임 이론적 경제 모델을 살펴보며, AI 기반 기만의 시대에 탐지와 완화에 필요한 포렌식 방법론을 상세히 다룹니다.

위협 환경의 정의: 광고 사기와 부정 클릭

무효 트래픽에 대한 전략적 방어의 중대한 실패 요인은 “광고 사기”와 “부정 클릭”을 혼동하는 것입니다. 업계의 일상적인 담론에서는 흔히 같은 뜻으로 쓰이지만, 이 두 용어는 무효 트래픽(IVT) 분류 체계 안에서 서로 다른 범주를 가리키며, 각각 고유한 기술적 특징, 수익화 목표, 마케팅 분석에 미치는 영향이 있습니다. 효과적인 격차 분석과 적절한 대응책 배치를 위해서는 정확한 의미적, 기술적 구분이 필요합니다.

광고 사기: 인벤토리 조작을 아우르는 포괄 개념

광고 사기는 광고가 의도한 오디언스에게 제대로 전달되는 것이나 그 광고가 제대로 측정되는 것을 막는 모든 의도적인 활동을 포괄적으로 분류한 개념입니다. 입찰 요청과 노출 렌더링부터 클릭과 클릭 이후 어트리뷰션에 이르기까지 광고의 전체 수명 주기를 아우르는 넓은 포괄 용어입니다. 광고 사기의 주된 목적은 흔히 인벤토리 자체를 수익화하는 것입니다.

프로그래매틱 생태계에서 광고 사기는 자주 노출 계층(CPM 모델)을 노립니다. 사기범은 가짜 웹사이트를 만들거나, 도메인을 위조하거나, 멀웨어로 사용자 기기의 백그라운드에서 광고를 불러옵니다. 목표는 수요 측 플랫폼(DSP)이 프리미엄 퍼블리셔의 사이트에서 합법적인 사용자가 광고를 봤다고 믿게 만드는 것입니다. 여기에는 노출 세탁, 픽셀 스터핑, 동영상 광고 사기처럼 상호작용이 반드시 필요하지는 않은 방식이 포함되며, 서버가 단지 “렌더링” 이벤트를 기록하는 것만으로 수익이 발생합니다.

전략가에게 광고 사기는 도달 범위와 브랜드 안전성의 문제입니다. 유효 CPM(eCPM)을 희석하고, 브랜드 가치와 맞지 않을 수 있는 환경에 브랜드를 노출합니다. 퍼널 상단을 부풀려 인지도 캠페인이 실제보다 더 성공한 것처럼 보이게 하면서, 브랜딩 이니셔티브의 KPI로 자주 쓰이는 가시성 지표를 동시에 떨어뜨립니다.

부정 클릭: 상호작용 기반 공격 경로

부정 클릭은 오로지 참여를 조작하는 데 초점을 맞춘, 광고 사기의 구체적이고 공격적인 하위 분야입니다. 광고주의 예산을 고갈시키거나(재정 소진) 광고를 게재하는 퍼블리셔의 수익을 부풀리려는(수익 창출) 구체적인 의도로 클릭당 지불(PPC) 광고에 가짜 클릭을 만들어 내는 것을 말합니다.

일반적인 노출 사기와 달리 부정 클릭은 마케팅 스택의 성과 계층을 공격합니다. 검색 엔진 마케팅(SEM), 소셜 미디어 광고, 지급이 사용자 행동(CPC 또는 CPA)과 연결된 제휴 네트워크를 노립니다. 부정 클릭은 클릭률(CTR)과 클릭당 비용(CPC) 같은 성과 지표를 적극적으로 왜곡하기 때문에 특히 해롭습니다. Google Ads 같은 검색 생태계에서는 무효 클릭 비율이 높으면 처음에는 CTR이 부풀려져 품질평가점수가 일시적으로 오를 수도 있습니다. 그러나 이후 전환 신호가 없거나 봇이 즉시 이탈하는 “포고스티킹” 행동이 나타나면 결국 알고리즘에 낮은 관련성을 알리게 되어 광고주의 장기적인 입지를 해칩니다.

부정 클릭은 노출 사기보다 높은 수준의 기술적 상호작용을 요구합니다. 가해자는 광고를 불러오는 데 그치지 않고 마우스 클릭, 터치 이벤트, 탭 같은 사용자 상호작용 이벤트를 시뮬레이션해야 합니다. 그러려면 비상호작용 노출을 찾는 초보적인 필터를 우회할 수 있는 더 정교한 스크립트나 사람이 직접 클릭하는 클릭 팜이 필요합니다.

비교 분석: 광고 사기와 부정 클릭

다음 분석은 겹치는 이 두 개념 사이의 기술적, 재무적, 운영상의 차이를 설명하고, 어떤 공격 경로가 특정 캠페인 목표를 위협하는지 파악하는 틀을 제공합니다.

무효 트래픽(IVT)의 분류 체계: 규제 프레임워크

사기에 맞선 싸움을 표준화하고 벤더, 퍼블리셔, 광고주에게 공통 언어를 제공하기 위해 미디어 평가 위원회(MRC)와 인터랙티브 광고 협회(IAB)는 엄격한 분류 체계를 마련했습니다. 이 프레임워크는 무효 트래픽을 식별하는 데 필요한 탐지의 정교함에 따라 분류합니다. 이 이분법을 이해하는 것은 검증 벤더의 역량을 평가하고 표준 플랫폼 방어의 한계를 이해하는 데 필수적입니다.

일반 무효 트래픽(GIVT)

GIVT는 알려진 비인간 출처에서 생성되며 대체로 해가 없거나 일상적인 필터링 방법으로 쉽게 식별할 수 있는 트래픽을 말합니다. 사기 탐지의 “손쉬운 대상”으로, 본격적인 분석을 시작하기 전에 걸러 내야 하는 노이즈입니다.

• 알려진 크롤러: 이 범주에는 검색 엔진 봇(예: Googlebot, Bingbot)과 인덱싱과 모니터링에 쓰이는 상용 크롤러가 포함됩니다. 이러한 에이전트는 보통 User-Agent 문자열로 스스로를 밝히므로 필터링하기 쉽습니다
• 데이터 센터 트래픽: 주거용 ISP가 아닌 호스팅 제공업체(예: AWS, Azure, Google Cloud)에 속한 IP 주소에서 발생하는 트래픽입니다. 사람이 데이터 센터 서버에서 웹을 탐색하는 일은 드물기 때문에 이 트래픽은 자동으로 비인간으로 분류됩니다. 그러나 SIVT 부분에서 살펴보듯이, 정교한 사기범은 데이터 센터 트래픽을 주거용 트래픽으로 위장하는 방법을 개발했습니다
• 불규칙 패턴: GIVT에는 정확히 사람이 낼 수 없는 간격(예: 정확히 1.0초마다)으로 클릭을 실행하거나 기본적인 휴리스틱 필터에 걸리는 명백히 기계적인 행동을 보이는 단순 스크립트도 포함됩니다

정교한 무효 트래픽(SIVT)

SIVT는 적대적 최전선이며 고위 전략가의 주된 관심사입니다. 탐지하기 어렵고 식별하려면 고급 분석, 다중 지점 교차 확인, 사람의 개입이 필요한 트래픽으로 정의됩니다. SIVT는 의도적으로 기만적이며, 표준 필터를 우회하고 합법적인 오디언스 데이터로 “통과”하도록 사람의 행동을 흉내 내게 설계되어 있습니다.

• 주거용 프록시: 사기범은 눈치채지 못하는 주거용 사용자의 기기(흔히 멀웨어나 의심스러운 VPN 앱을 통해)를 거쳐 봇 트래픽을 보내 트래픽의 출처를 숨깁니다. 그러면 요청이 합법적인 주거용 ISP 연결(예: Verizon Fios, Comcast Xfinity)에서 온 것처럼 보여, GIVT를 잡는 데 쓰이는 표준 “데이터 센터” 차단 목록을 우회합니다
• 기기 스푸핑: User-Agent 문자열과 TCP/IP 스택 지문을 조작해 서버 측 스크립트가 특정 모바일 기기(예: iOS 17.4가 실행되는 iPhone 15 Pro)처럼 보이게 하는 것입니다. 사기범은 기기 지문 기술을 속이기 위해 실제 기기의 헤더와 특성을 공들여 에뮬레이션합니다
• 행동 모방: 3ve 작전에서 보인 것 같은 고급 봇은 마우스 움직임, 다양한 스크롤 속도, 페이지 “체류 시간”을 시뮬레이션합니다. 비선형적으로 사이트를 탐색하고, 콘텐츠를 “읽는” 것처럼 멈추고, 페이지 요소와 상호작용하도록 프로그래밍되어 있어 행동 생체인식 센서를 속이는 “참여” 신호를 만들어 냅니다
• 난독화된 멀웨어: 모바일 앱이나 브라우저 확장 프로그램에 심어진 악성 코드가 사용자 모르게 백그라운드에서 광고를 주입하거나 클릭을 발생시킵니다. 이 트래픽은 기술적으로 실제 기기에서 생성되므로, 같은 기기에서 일어나는 사용자의 정상적인 활동과 구별하기가 극히 어렵습니다

조작의 메커니즘: 상세 유형

광고 사기의 실행은 다양한 기술적 수단에 의존합니다. 이러한 공격 경로는 사용자의 기기에서 거래소 경매에 이르기까지 애드테크 스택 내의 서로 다른 취약점을 공격합니다. 이러한 공격의 구체적인 작동 방식을 이해하는 것은 마케팅 전략 중 어느 부분이 가장 취약한지 파악하는 데 중요합니다.

노출 기반 사기 메커니즘

픽셀 스터핑과 광고 스태킹

오가닉 트래픽을 여러 번 수익화하거나 가시성 없이 노출을 만들어 내는 데 쓰이는 기법입니다. CPM 모델의 “볼 수 있는 기회” 약속에 대한 근본적인 배신입니다.

픽셀 스터핑: 이 시나리오에서 사기범은 1x1 픽셀 iframe 안에 광고를 넣습니다. 광고는 기술적으로 “로드”되어 광고 서버에 노출 비콘을 보내지만 사람의 눈에는 보이지 않습니다. 광고주는 볼 수 있는 기회가 전혀 없었던 노출에 비용을 지불합니다. 웹페이지 하나에 이런 1x1 픽셀이 수십 개 들어갈 수 있어, 퍼블리셔는 방문자 한 명을 동시에 수십 번 수익화할 수 있습니다.

광고 스태킹: CSS z-index 조작으로 하나의 광고 슬롯에 여러 광고를 겹쳐 쌓는 방식입니다. 사용자에게는 맨 위의 광고만 보이지만, 사기범은 페이지가 스택의 모든 광고에 대해 노출을 보고하도록 스크립트를 짭니다. 일부 부정 클릭 변종에서는 맨 위 광고의 클릭 한 번이 겹쳐진 모든 광고의 클릭으로 동시에 기록되도록 설계해, 사용자 행동 하나로 여러 광고주를 속입니다.

도메인 스푸핑

도메인 스푸핑은 사기범이 저품질 인벤토리를 고급 프리미엄 인벤토리인 것처럼 내세우는 차익 거래 전술입니다. 입찰 요청 데이터와 실제 렌더링 환경 사이의 불일치를 악용합니다.

메커니즘: 사기범은 저가치 사이트(예: 불법 복제 콘텐츠, 혐오 표현, 무작위로 생성한 텍스트가 있는 사이트)를 운영하면서, 광고 거래소에 보내는 입찰 요청을 수정해 URL이 nytimes.com이나 cnn.com 같은 프리미엄 퍼블리셔라고 주장합니다.

영향: 광고주는 신뢰할 수 있는 사이트에서 프리미엄 오디언스에 접근한다고 믿고 높은 CPM으로 입찰합니다. 실제로는 브랜드 안전성이 없는 저가치 사이트에 광고가 표시됩니다. 예산 낭비뿐 아니라 브랜드가 불법 콘텐츠에 자금을 대는 것처럼 보이는 심각한 평판 위험이 따릅니다. ads.txt(Authorized Digital Sellers)의 도입은 이 공격 경로에 대한 업계의 직접적인 대응이었으며, 퍼블리셔가 자신의 인벤토리를 판매할 권한이 있는 주체를 공개적으로 선언할 수 있게 했습니다.

상호작용 기반 사기 메커니즘

클릭 인젝션 (모바일)

클릭 인젝션은 운영 체제의 브로드캐스트 리시버가 가진 특정 기능을 악용하는, Android 생태계에서 흔한 정교한 모바일 사기입니다.

메커니즘: 사용자가 백그라운드에서 실행되는 권한을 요청하는 악성 앱(흔히 손전등, 계산기, 파일 관리자 같은 유틸리티)을 설치합니다. 이 앱은 기기에 새 앱이 설치되고 있음을 알리는 시스템 신호인 “설치 브로드캐스트”를 감시합니다. 사용자가 Play 스토어에서 합법적인 앱(예: Uber나 Spotify)을 다운로드하면 악성 앱이 설치 과정을 감지합니다.

어트리뷰션 탈취: 설치가 끝나기 직전에 악성 앱은 모바일 측정 파트너(MMP)에 합성 클릭을 보냅니다. 어트리뷰션 모델은 흔히 “라스트 클릭” 방식으로 작동하므로, 어트리뷰션 제공업체는 설치 직전에 악성 앱에서 클릭이 온 것으로 인식합니다. 그 결과 오가닉 설치가 사기범의 실적으로 귀속되고, 사기범은 자신이 유치하지 않은 사용자에 대해 설치당 비용(CPI)을 지급받습니다.

클릭 스패밍 / 클릭 플러딩

백그라운드에서 방대한 양의 가짜 클릭을 만들어 어트리뷰션 모델에 통계적 공격을 가하는 기법입니다.

메커니즘: 사기성 앱이 사용자가 앱을 쓰는 동안 광고가 표시되지 않는데도 백그라운드에서 수천 개 광고에 대한 클릭 보고를 보냅니다. 사용자의 의도와 상관없이 이뤄집니다.

통계적 베팅: 사기범은 확률에 거는 것입니다. 자신이 통제하는 모든 사용자에 대해 인기 앱(예: 쇼핑 앱, 여행 앱)의 클릭을 발생시키면, 그 사용자가 나중에 오가닉으로 그 앱이나 웹사이트를 방문할 통계적 가능성이 있습니다. 오가닉 방문이 일어나면 사기범은 사용자 기기의 이력을 가짜 참여 신호로 도배해 두었기 때문에 “라스트 클릭” 어트리뷰션을 자기 것이라고 주장합니다.

클릭 팜

많은 사기 형태가 자동화되어 있지만, 클릭 팜은 생체 인식 탐지를 무력화하기 위해 “사람”이라는 요소를 도입합니다.

운영: 저임금 노동자 집단을 고용해 광고를 수동으로 클릭하고, 동영상을 시청하고, 앱을 설치하게 합니다. 이러한 팜은 기기 랙이 늘어선 물리적 장소일 수도 있고 원격 근무자의 분산 네트워크일 수도 있습니다.

회피: 클릭이 실제 화면 위의 실제 손가락으로 만들어지는 진짜 사람에게서 나오기 때문에, 기계적인 마우스 움직임이나 완벽한 타이밍을 찾는 많은 “봇 탐지” 확인을 통과합니다. 그래도 이 트래픽은 사기입니다. 실제로 구매하거나 참여하려는 의도가 없고, 오직 대가를 받으려고 클릭을 만들어 내는 것이 목적이기 때문입니다.

산업화된 사이버 범죄 사례 연구: Methbot과 3ve

위협의 규모를 온전히 이해하려면 현대 광고 사기의 시대를 규정한 대표적인 작전들을 살펴봐야 합니다. 이는 사소한 사기가 아니라 방어 환경을 근본적으로 바꾼 대규모 조직적 사이버 작전이었습니다.

Methbot 작전 (2016년)

Methbot은 광고 사기 산업화의 분수령입니다. 러시아 사이버 범죄 조직이 운영했으며, 고가치 동영상 광고 시장을 노려 정점에는 하루 300만~500만 달러의 수익을 올렸습니다.

기술 아키텍처: 감염된 가정용 컴퓨터(신뢰하기 어렵고 가동 시간이 들쭉날쭉한)에 의존한 이전 봇넷과 달리, Methbot은 데이터 센터(주로 댈러스와 암스테르담)에 있는 2,000대가 넘는 전용 서버로 구성된 맞춤형 인프라를 활용했습니다. 덕분에 막대한 대역폭과 연산 능력을 확보했습니다.

기만: 트래픽이 데이터 센터에서 온다는 사실을 숨기기 위해 운영자들은 IP 등록 정보를 위조해 데이터 센터 IP 블록이 Verizon이나 Comcast 같은 주거용 ISP 소유인 것처럼 보이게 했습니다. Node.js 기반의 맞춤형 브라우저 엔진으로 JavaScript를 실행해, 위조된 프리미엄 도메인 6,000개 이상에서 동영상 시청과 상호작용을 시뮬레이션했습니다.

영향: Methbot은 사기범이 사용자, 네트워크, 브라우저, 퍼블리셔라는 환경 전체를 산업적 규모로 위조할 수 있음을 증명했습니다.

3ve 봇넷 (2018년)

Methbot이 폭로된 뒤 사기범은 진화했습니다. 3ve(“이브”라고 발음) 작전은 회복 탄력성과 하이브리드 아키텍처로의 전환을 보여 주었습니다.

하이브리드 모델: 3ve는 Methbot의 데이터 센터 방식에 대규모 주거용 봇넷(감염된 PC 170만 대 이상)을 결합했습니다. Kovter와 Boaxxe 같은 멀웨어 계열을 이용해 실제 사용자 기기를 장악했습니다.

정교함: 실제 주거용 IP를 거쳐 트래픽을 보냄으로써 3ve는 Methbot을 막았던 IP 필터링 방어를 무력화했습니다. 멀웨어는 흔히 피해자의 기기에서 숨겨진 Chromium 브라우저 인스턴스를 실행해, 사용자의 실제 탐색과 구별할 수 없는 트래픽을 만들어 냈습니다.

규모: 정점에 3ve는 하루 30억 건이 넘는 입찰 요청을 만들어 냈습니다. 결국 Google, White Ops(현 HUMAN), FBI가 참여한 역사적인 연합에 의해 해체되었고 여러 운영자가 기소되었습니다. 3ve 사례는 순수한 기술적 방어만으로는 부족하며, 사기 인프라를 무너뜨리려면 법적, 업계 간 협력이 필요하다는 점을 보여 주었습니다.

광고 사기의 경제학: 인센티브와 게임 이론

업계가 탐지에 막대한 투자를 하는데도 광고 사기가 왜 지속되는지 이해하려면 그 밑에 있는 경제적 인센티브와 게임 이론적 역학을 분석해야 합니다. 사기가 지속되는 것은 단순한 기술적 실패가 아니라 시장의 실패입니다.

“레몬 문제”와 정보 비대칭

디지털 광고 시장은 George Akerlof의 유명한 “레몬 시장”과 비슷한 심각한 정보 비대칭에 시달립니다. 광고주는 구매 전에 합법적인(고품질) 노출과 사기성(저품질) 노출을 완벽하게 구별할 수 없습니다.

시장에 미치는 결과: 이러한 불확실성은 모든 인벤토리의 가치를 떨어뜨립니다. 구매자는 사기 확률에 대비해 입찰가를 낮추고, 모든 노출에 더 적게 지불합니다. 그러나 고품질 퍼블리셔는 자신의 오디언스가 순수하다는 것을 실시간으로 쉽게 증명할 수 없으므로, 저비용 사기 공급과 가격으로 경쟁할 수밖에 없습니다.

악순환: 이 경쟁은 합법적인 인벤토리를 시장에서 밀어내거나, 퍼블리셔가 캠페인 전달 목표를 맞추기 위해 “트래픽 소싱”(저렴한 트래픽 구매)에 나서게 만들 수 있는데, 그 트래픽 자체가 봇 트래픽으로 오염된 경우가 많습니다. 그 결과 품질은 저평가되고 값싼 규모에 대한 수요 때문에 사기가 조장되는 퇴보한 생태계가 됩니다.

게임 이론: 플랫폼의 딜레마

Wilbur와 Zhu(2009)의 연구는 게임 이론을 검색 엔진과 광고주의 관계에 적용해 복잡한 인센티브 구조를 보여 줍니다.

균형: 완전 정보가 있는 2차 가격 경매(second-price auction)에서 광고주가 클릭의 x%가 사기라는 것을 안다면, 합리적으로 정확히 x%만큼 입찰가를 낮춥니다. 이 이론적 균형에서 검색 엔진의 수익은 중립으로 유지됩니다. 더 많은 클릭에 대해 대가를 받지만 클릭당 가격이 비례해서 낮아지기 때문입니다.

묵인할 인센티브: 그러나 이 연구는 사기 비율에 불확실성이 있거나 경매의 경쟁이 덜하면, 플랫폼이 어느 정도의 미탐지 사기로부터 경제적으로 이익을 볼 수 있다고 시사합니다. 이는 탐지 비용이 광고주 신뢰 저하로 인한 수익 손실을 초과하는 경우 플랫폼(대리인)이 사기를 완전히 없앨 동기가 약해지는 주인-대리인 갈등을 낳습니다. 플랫폼은 사기 클릭에서 나오는 단기 수익과 광고주 이탈이라는 장기 위험 사이에서 균형을 잡아야 합니다.

제휴 사기와 어트리뷰션의 허점

제휴 마케팅은 성과 기반(CPA)으로 운영되므로 이론상 광고주의 위험이 줄어듭니다. 그러나 이 모델은 “어트리뷰션 사기”에 대한 강력한 유인을 만듭니다.

메커니즘: 제휴사는 전환에 대해서만 대가를 받기 때문에, 쿠키 스터핑이나 클릭 인젝션으로 어차피 일어날 오가닉 전환의 공로를 가로챌 유인이 큽니다.

경제적 손실: 광고주는 이중 손실을 입습니다. 이미 확보했던 고객에 대해 수수료를 내고, 데이터는 제휴 채널이 매우 효과적이라고 잘못 시사합니다. 이는 향후 예산을 사기 채널에 잘못 배분하게 만들어 비효율을 더 키웁니다.

광고주 입장에서는 제휴 마케팅에서 부정 클릭을 막는 방법을 참고하세요.

기술적 탐지와 포렌식 분석

최신 광고 사기를 탐지하려면 단순한 차단 목록(IP 차단)을 넘어 확률적 모델링과 행동 생체인식으로 나아가야 합니다. 방어는 공격만큼 정교해야 합니다.

결정론적 탐지와 확률적 탐지

결정론적 탐지(시그니처 기반): 알려진 “불량” 신호의 데이터베이스에 의존합니다. 첫 번째 방어선입니다.

• IP 차단 목록: 알려진 데이터 센터, VPN 출구 노드, 봇넷 명령 및 제어(C2) 서버의 실시간 목록을 유지합니다
• User-Agent 차단 목록: 오래되었거나, 형식이 잘못되었거나, 알려진 봇 user-agent 문자열을 차단합니다

한계: 이 방식은 사후 대응적입니다. 이미 식별되어 지문이 확보된 사기만 막을 수 있습니다. SIVT는 IP를 바꾸고 User-Agent를 위조해 이를 쉽게 우회합니다.

확률적 탐지(행동 기반): 머신러닝으로 트래픽 패턴의 이상 징후를 식별합니다.

• 엔트로피 분석: 실제 사람의 행동은 수학적으로 “지저분”합니다. 사람은 마우스를 곡선으로 움직이고, 스크롤 속도가 일정하지 않으며, 사이트 체류 시간이 불규칙합니다. 봇은 너무 완벽하거나(직선 마우스 움직임), 예측 가능한 알고리즘 방식으로 너무 무작위적인 경우가 많습니다. 엔트로피가 높으면 사람, 엔트로피가 낮거나 패턴이 반복되면 자동화를 시사합니다
• 설치까지 걸린 시간(CTIT) 분석: 모바일 앱 설치 캠페인에서 CTIT가 불가능할 만큼 짧으면(예: 10초 미만) 클릭 인젝션(다운로드가 시작된 뒤에 클릭이 발생)을 뜻합니다. 반대로 CTIT가 믿기지 않을 만큼 길고(예: 24시간 이상) 분포가 평탄하면 클릭 스패밍을 시사합니다. 정상적인 분포는 보통 알아볼 수 있는 곡선(파레토 분포)을 따릅니다. (클릭 인젝션부터 SDK 스푸핑까지, 모바일 앱 광고 사기의 작동 방식을 참고하세요.)

머신러닝과 적대적 AI

고급 탐지 시스템은 지도 학습과 비지도 학습 모델로 트래픽을 분류합니다. 그러나 이로 인해 적대적 머신러닝이라는 군비 경쟁이 벌어졌습니다.

군비 경쟁: 사기범은 이제 자체 ML 모델로 봇을 훈련시켜 탐지 분류기를 무력화합니다. “생성적 적대 신경망”(GAN)으로 잠재적인 사기 패턴을 시뮬레이션하고 방어 시스템을 상대로 테스트합니다.

방어 측 대응: 탐지 벤더도 이제 같은 GAN으로 새로운 사기 변종을 시뮬레이션하고, 사기가 실제로 나타나기도 전에 그에 대비해 탐지기를 훈련시켜야 합니다. 이러한 예측 방어는 AI가 생성한 SIVT보다 앞서 나가는 데 매우 중요합니다.

그래프 기반 탐지: 기기, IP, 쿠키 사이의 관계를 지도화하는 방식입니다. 하나의 기기 ID가 한 시간 동안 500개의 서로 다른 IP와 연결되어 있거나, 기기 클러스터가 항상 함께 이동하며 같은 사이트를 같은 순서로 방문하면, 개별 행동이 합법적으로 보여도 그래프 분석은 이를 봇넷으로 표시합니다.

미래의 최전선: 2025년과 그 이후의 새로운 위협

업계가 전통적인 웹에서 방어를 강화함에 따라 사기는 규제가 덜한 새로운 환경으로 이동합니다. 고위 전략가는 이런 새로운 공격 경로를 내다봐야 합니다.

커넥티드 TV(CTV) 사기

CTV는 높은 CPM(흔히 20~30달러)과 웹에 비해 성숙한 측정 표준이 없다는 점 때문에 현재 사기범에게 가장 수익성이 높은 표적입니다.

SSAI 스푸핑: 서버 측 광고 삽입(SSAI)은 서버에서 광고를 동영상 스트림에 이어 붙여 매끄러운 TV 같은 경험을 제공하기 위한 기술입니다. 사기범은 CTV 기기를 흉내 내는 프록시 서버를 설치해 광고를 요청하고, 화면에 동영상을 전혀 전달하지 않은 채 “시청됨”으로 보고합니다. 보안 연구자들이 밝혀낸 여러 대규모 SSAI 스푸핑 수법이 이러한 진화의 대표적인 사례입니다.

유령 앱: 사기범은 프리미엄 콘텐츠 채널이라고 주장하지만 실제로는 백그라운드(흔히 화면 보호기나 유틸리티로 위장)에서 실행되는 Roku와 FireTV 앱을 만듭니다. 이런 앱은 TV가 유휴 상태인 동안 광고 노출을 만들어, 시청자가 몇 시간씩 콘텐츠를 보는 것처럼 시뮬레이션합니다.

AI 생성 사기 (MFA 사이트)

생성형 AI는 사기범이 한계비용 0으로 “광고용 제작”(MFA) 웹사이트를 만들 수 있게 합니다.

위협: 이런 사이트는 오직 키워드 차익 거래와 광고 게재만을 위해 설계된 AI 작성 콘텐츠로 채워집니다. 클릭 유도 콘텐츠를 통해 실제 사람이 방문할 수도 있어 항상 엄밀히 “무효” 트래픽은 아니지만, 생태계에서 막대한 가치를 빼내 갑니다. 캠페인 성과를 떨어뜨리고 주의력 예산을 낭비하는 저품질 게재위치를 제공합니다. AI는 키워드 필터를 통과할 만큼만 일관성이 있을 뿐 사용자에게는 아무 가치도 없는 “슬롭” 콘텐츠를 만드는 데에도 쓰이고 있습니다.

“신뢰 부족”과 폐쇄형 플랫폼

사기가 계속되자 광고주들은 더 안전하다고 인식하는 “폐쇄형 플랫폼”(Google, Meta, Amazon)으로 향합니다. 그러나 보고서에 따르면 이런 플랫폼도 예외가 아니며, 제3자 감사가 불가능하다는 이유로 가려진 상당한 무효 트래픽 비율이 있는 경우가 많습니다. 이러한 지출 집중은 시장의 다양성을 줄이지만, 독립 퍼블리셔가 살아남으려면 더 엄격한 기준을 채택하도록 압박합니다. 추세는 “양분된” 웹으로 향하고 있습니다. 로그인한 사용자와 프리미엄 퍼블리셔로 이뤄진 안전하고 인증된 계층, 그리고 점점 더 유해하게 여겨지는 오픈 웹 인벤토리의 “무법지대”입니다.

전략적 완화: 방어 프레임워크

광고주에게 방어는 기술 구현, 공급망 위생, 전략적 감독을 결합한 계층적 접근을 요구합니다. 도구의 스위치를 켜는 것만으로는 충분하지 않습니다. 사기에 강한 스택을 설계해야 합니다.

직접 캠페인에 적용할 수 있는 간단한 버전은 퍼포먼스 마케팅팀을 위한 광고 사기 예방 체크리스트를 활용하세요.

공급 경로 최적화(SPO)

광고주는 퍼블리셔까지의 거리를 줄이고 불투명한 중개자를 없애야 합니다.

• ads.txt와 app-ads.txt 적용: DSP가 퍼블리셔의 ads.txt 파일이 승인한 인벤토리만 구매하도록 엄격하게 적용하세요. 판매자가 유효한지 확인해 도메인 스푸핑을 막습니다
• sellers.json 감사: 거래소 파트너의 sellers.json 파일을 정기적으로 감사해 중개자가 퍼블리셔와의 관계를 투명하게 밝히는지 확인하세요
• 파트너 통합: 구매 경로에 있는 거래소와 SSP의 수를 줄이세요. 파트너가 적을수록 사기가 숨을 수 있는 어두운 구석이 줄어듭니다

방어적 보정과 제외

• 동적 제외 목록: SIVT에 대해 IP 차단은 한계가 있지만, 게재위치 URL에 대한 동적 제외 목록을 유지하는 것은 매우 중요합니다. 여기에는 알려진 MFA 사이트와 사기 비율이 높은 앱의 차단이 포함됩니다
• 제외 키워드: 검색 캠페인에서는 공격적인 제외 키워드 목록이 봇이 검색량을 만들려고 노리는 관련 없는 검색어에 광고가 표시되는 것을 막습니다. 넓은 검색어를 검색하는, 전환하지 않는 봇 트래픽이 예산을 고갈시키는 것을 방지합니다

지표의 전환: 규모에서 주목도로

광고 사기에 맞선 궁극적인 방어는 봇이 쉽게 위조할 수 있는 지표(노출, 클릭)에 맞춘 최적화를 멈추고, 봇이 흉내 내기 어려운 지표에 맞춰 최적화하는 것입니다.

• 주목도 지표: 실제 시선 추적이나 능동적 주목도를 측정하는 벤더를 도입하세요. 봇은 노출 비콘을 보낼 수는 있어도 진짜 사람의 주목도 신호를 만들어 낼 수는 없습니다
• 비즈니스 성과: 최적화 목표를 퍼널 하단으로 옮기세요. CPA보다 유효한 리드(CRM에서 검증된)나 실제 구매(ROAS)를 목표로 최적화하세요. 전환 사기도 존재하지만, 사기범이 실행하기에는 단순한 부정 클릭보다 비용이 기하급수적으로 높고 어렵습니다

결론

광고 사기는 디지털 광고 시스템의 결함이 아니라 합법적인 시장과 보조를 맞춰 진화하는 기생 경제입니다. 단순한 GIVT에서 복잡한 AI 기반 SIVT로의 전환은 업계가 검증에 접근하는 방식에 패러다임 전환을 요구합니다. 더 이상 광고 네트워크가 제공하는 기본적인 “사기 필터”에만 의존하는 것으로는 충분하지 않습니다. 계층형 방어 전략에는 사기의 기술적 메커니즘에 대한 포렌식 수준의 이해(부정 클릭의 구체적 위협과 노출 세탁이라는 더 넓은 위험의 구분)와 공급망 내 모든 파트너의 경제적 인센티브를 기꺼이 감사하는 자세가 필요합니다.

2026년으로 향하면서 전투는 “AI 대 AI”의 역학으로 규정될 것이며, 적대적 머신러닝이 사기 생성 알고리즘과 탐지 알고리즘을 실시간으로 맞붙게 할 것입니다. 전략가에게 유일하게 실행 가능한 길은 경계, 투명성, 허울뿐인 지표보다 검증 가능한 비즈니스 성과에 대한 끈질긴 집중입니다. “신뢰하되 검증하라”의 시대는 끝났습니다. 산업화된 광고 사기 앞에서 새로운 격언은 “먼저 검증하고, 그다음에 신뢰하라”여야 합니다.