기기 지문이란 무엇인가요?

기기 지문(device fingerprinting)은 기기의 하드웨어, 브라우저, 구성에 대한 수십 가지의 작고 무해해 보이는 특성을 수집한 다음, 이를 하나로 결합해 거의 고유한 식별자를 만들어 개별 기기를 식별하는 기술입니다. 기기에 저장되는 파일이라 쉽게 삭제되는 쿠키와 달리, 기기 지문은 기기 자체에서 추론됩니다. 따라서 방문자가 쿠키를 지우거나, 시크릿 모드로 전환하거나, IP 주소를 바꾸더라도 다시 찾아온 방문자를 알아볼 수 있습니다.

광고주에게는 바로 이러한 지속성 때문에 기기 지문이 현대적인 부정 클릭과 광고 사기 방어의 핵심이 되었습니다. 봇, 경쟁사, 클릭 팜은 서로 무관한 새 방문자처럼 보이는 데 의존합니다. 기기 지문은 반복되는 활동을 동일한 기기로 연결해 그 위장을 벗겨냅니다.

기기 지문의 작동 방식

사용자가 페이지를 불러오면 작은 JavaScript가 브라우저가 노출하는 속성을 조용히 조회합니다. 화면 크기, 설치된 글꼴, 그래픽 하드웨어, 시간대, 언어 등입니다. 각 속성은 그 자체로는 흔하며 수천 명이 공유합니다. 그러나 수십 가지 신호를 결합해 해시하면, 결과로 나온 지문은 통계적으로 압도적 다수의 기기에서 고유합니다. EFF의 Panopticlick 연구(Eckersley, “How Unique Is Your Web Browser?”, 2010)에서 테스트한 브라우저의 83.6%가 고유한 지문을 가졌으며, 네트워크 신호와 행동 신호를 더하면 그림은 더욱 선명해집니다.

이 과정 전체는 방문자가 페이지 로딩을 마치기도 전에 밀리초 단위로 눈에 보이지 않게 실행됩니다. 그래서 사후 보고가 아니라 실시간 부정 행위 점수 산정에 실용적으로 쓸 수 있습니다.

기기 지문을 구성하는 요소

지문 생성 엔진은 기기와 브라우저 스택의 여러 계층에서 신호를 수집합니다.

하드웨어 신호

• 화면 해상도와 색 심도
• CPU 코어 수와 아키텍처
• WebGL로 노출되는 GPU 렌더러
• 사용 가능한 메모리와 기기 유형(데스크톱, 모바일, 태블릿)

브라우저 및 소프트웨어 신호

• 사용자 에이전트 문자열, 브라우저 버전, 운영체제
• 설치된 플러그인과 지원되는 미디어 유형
• 시간대, 언어, 로케일 설정
• 추적 방지(Do Not Track) 설정과 쿠키 지원 여부

고급 암호학적 신호

• 캔버스 지문: 숨겨진 그래픽을 그릴 때 나타나는 미세한 렌더링 차이
• 오디오 컨텍스트 지문: 기기가 생성된 음파를 처리하는 방식
• 글꼴 열거와 렌더링 특성
• 실제 네트워크를 드러내는 WebRTC 및 IP 유출 신호

기기 지문과 쿠키 비교

쿠키는 선언된 신원입니다. 사이트가 설정하고 브라우저가 저장하기로 동의한 값입니다. 삭제하거나 차단하거나 위조하기가 아주 쉬워서 사기꾼들이 좋아합니다. 기기 지문은 도출된 신원입니다. 기기에 무언가를 저장하는 데 의존하지 않으므로 쿠키 삭제, 비공개 브라우징, 세션 초기화 후에도 유지됩니다. 쿠키가 단계적으로 폐지되고 개인정보 보호 통제가 엄격해지는 시대에, 기기 지문은(책임 있게 사용하고 익명화한다면) 개인정보를 저장하지 않고도 반복적인 부정 행위자를 알아볼 수 있는 지속적인 방법을 부정 행위 대응 팀에 제공합니다.

기기 지문이 부정 클릭 방지에 중요한 이유

IP 주소만으로는 약한 신호입니다. 사기꾼은 수천 개의 주거용 프록시와 모바일 IP를 돌려 가며 사용합니다. 기기 지문은 이 잡음을 걷어내고, 방지 엔진이 정말 중요한 질문에 답할 수 있게 해 줍니다.

• 오늘 이미 우리 광고를 14번 클릭한 기기와 같은 기기인가?
• “서로 다른” 방문자 수십 명이 사실은 자동화를 실행하는 한 대의 기기인가?
• 이 지문이 공유 차단 목록에 있는 알려진 봇 또는 클릭 팜 기기와 일치하는가?
• 정상 트래픽인가, 아니면 새 위장을 걸친 무효 트래픽인가?

활동을 안정적인 기기 신원에 연결함으로써, 기기 지문은 실제 고객을 막을 위험이 있는 무차별적인 IP 일괄 차단 대신 기기별로 정밀한 제외를 가능하게 합니다.

기기 지문과 행동 분석의 결합: 진짜 강점

대부분의 가이드가 놓치는 부분입니다. 지문은 어떤 기기가 있는지는 알려 주지만, 그 기기가 무엇을 하고 있는지는 알려 주지 않습니다. 정교한 봇과 부정 행위 조직은 이제 지문을 위조하거나 무작위로 바꿔 완전히 새로운 사용자처럼 보이려 합니다. 그래서 ClickFortify는 기기 지문에만 의존하지 않고 행동 분석과 함께 사용합니다.

행동 분석은 클릭 이후 방문자가 어떻게 상호작용하는지 살핍니다. 마우스 움직임과 가속도, 스크롤 깊이, 체류 시간, 탐색 흐름, 입력 리듬, 그리고 참여가 실제 사람의 의도와 일치하는지를 봅니다. 기기가 완전히 평범한 지문을 보이더라도, 마우스 움직임 없이 300밀리초 만에 도착해 전환하거나, 수백 개 세션에서 똑같은 경로를 반복하거나, 사람의 손으로는 만들 수 없는 이벤트를 발생시키면 행동이 정체를 드러냅니다.

두 신호를 결합하는 것이 탐지를 견고하게 만듭니다. 지문은 신원과 지속성을 제공하고, 행동은 의도와 진정성을 제공합니다. 둘이 함께하면 어느 한 신호만으로는 놓칠 부정 행위, 즉 봇 같은 행동을 보이는 위조된 기기와, 기기를 공유하면서 비정상적으로 행동하는 사람 클릭 팜을 잡아냅니다.

ClickFortify의 기기 지문 활용 방식

ClickFortify는 모든 유료 클릭을 100개 이상의 기기, 네트워크, 행동 데이터 포인트로 점수화합니다. 기기 지문은 각 상호작용을 하나의 기기에 고정하고, 행동 신호는 참여가 진짜인지 보여 주며, Google Ads에서는 ClickFortify가 플래그된 IP를 제외 목록에 자동으로 추가합니다. 그 결과 더 깨끗한 트래픽, 스마트 자동 입찰을 위한 더 깨끗한 전환 데이터, 모든 결정의 사유를 기록한 클릭 로그를 얻게 됩니다. 전체 탐지 구성은 기능 페이지에서 확인하실 수 있습니다.

개인정보 보호와 한계

부정 행위 방지를 위한 책임 있는 기기 지문 사용은 개인정보 보호를 우선합니다. 익명화된 기기 시그니처를 오직 악용을 탐지하는 데에만 사용하고 개인에 대한 광고 프로필을 만들지 않으며, GDPR과 CCPA를 준수하도록 설계됩니다. 다만 완벽하지는 않습니다. 개인정보 보호에 중점을 둔 브라우저와 지문 차단 확장 프로그램은 신호를 흐릿하게 하거나 무작위로 바꿀 수 있습니다. 바로 그 때문에 기기 지문은 만능 해결책이 아니라, 행동 분석과 네트워크 인텔리전스로 보강되는 다층 방어 체계의 한 계층이어야 합니다.

기기 지문 사용은 합법인가요?

네, 비례적이고 투명하게 사용한다면 합법입니다. GDPR과 CCPA 같은 개인정보 보호 규정은 기기 지문을 전면 금지하지 않습니다. 대신 데이터를 어떻게 수집하는지, 무엇에 사용하는지, 사용자에게 알리는지를 규율합니다. 익명화된 기기 시그니처를 오직 부정 행위를 탐지하고 광고 예산을 보호하는 데에만 사용하는 것은, 민감한 개인정보가 아닌 기술적 신호를 처리하고 쇼핑객을 프로파일링하는 것이 아니라 악용을 막기 위해 존재하므로 정당한 이익으로 널리 인정됩니다. 핵심은 개인정보 처리방침에 고지하고, 데이터를 최소화하고, 부정 행위 신호를 행동 기반 광고 타겟팅에 절대 전용하지 않는 것입니다. ClickFortify는 이 원칙을 바탕으로 만들어져, 방문자의 개인정보를 존중하면서도 탐지의 효과를 유지합니다.

핵심 요약

• 기기 지문은 하드웨어와 브라우저 신호를 결합해 쿠키 없이 기기를 식별합니다.
• 쿠키 삭제, 시크릿 세션, IP 교체 후에도 유지되어 반복되는 부정 행위를 드러냅니다.
• 단독으로 쓰면 위조될 수 있지만, 행동 분석과 함께 쓰면 회피하기가 훨씬 어려워집니다.
• ClickFortify는 두 가지를 결합해 모든 유료 클릭에 점수를 매기고 Google Ads에서 봇, 클릭 팜, 무효 트래픽을 제외합니다.