디바이스 핑거프린팅과 IP 인텔리전스: 둘 다 필요한 이유

사기 방지 및 신뢰 팀은 같은 논쟁을 계속 반복합니다. 디바이스 핑거프린팅과 IP 인텔리전스 중 어느 쪽을 도입해야 하느냐는 것입니다. 이는 잘못된 질문입니다. 대규모 사이트의 실제 트래픽에서는 핑거프린트의 약 3분의 1만 고유했고, 며칠 만에 변하며, 안티 디텍트 브라우저는 이를 통째로 위조합니다. 반면 IP는 첫 번째 패킷과 함께 서버 측에서, API와 봇 트래픽을 포함한 모든 요청에서 도착하며, 0에서 100까지의 IP 위험 점수로 요약됩니다. 아래에서는 각 계층이 무엇을 보는지, 어디에서 실패하는지, 어떻게 결합할지 설명합니다.

디바이스 핑거프린트란 정확히 무엇인가

디바이스 핑거프린트는 브라우저가 기꺼이 노출하는 속성들의 해시입니다. 스크립트는 사용자 에이전트, 화면, 설치된 글꼴, 언어, 시간대, 하드웨어 힌트를 읽고, 특정 GPU와 드라이버가 숨겨진 canvas, WebGL 장면, 오디오 버퍼를 렌더링할 때 나타나는 미묘한 차이도 읽습니다. 이를 모두 해시하면 쿠키를 지우거나 시크릿 창을 열어도 유지되는 식별자가 만들어집니다. 기기에 저장되는 것이 아니라 기기 자체에서 도출되기 때문입니다.

덕분에 핑거프린팅에는 세 가지 확실한 강점이 있습니다.

• 세션, 로그인, 쿠키 삭제를 넘어 다시 방문한 브라우저를 알아봅니다.
• 계정을 공유 기기에 연결합니다. 이는 다중 계정 탐지의 핵심 키입니다.
• 자동화를 드러내는 내부 불일치를 포착합니다. iPhone이라고 주장하면서 데스크톱 GPU 문자열을 가진 사용자 에이전트, 불가능한 화면 크기의 헤드리스 브라우저, 요청마다 바뀌는 핑거프린트 등이 그 예입니다.

이런 용도로 쓰면 강력한 신호입니다. 문제는 팀이 핑거프린트를 확률이 아니라 신원으로 취급하기 시작할 때 생깁니다.

핑거프린팅의 솔직한 한계 세 가지

핑거프린팅은 세 가지 방식으로 실패합니다. 규모가 커지면 충돌하고, 시간이 지나면 변하며, 사기 도구와 브라우저와 규제 당국의 공격을 받습니다.

규모가 커지면 유명한 연구들이 시사한 것보다 훨씬 덜 고유합니다. 프라이버시에 민감한 지원자를 대상으로 한 초기 연구에서는 브라우저의 80% 이상이 고유하게 식별 가능하다고 보고했습니다. 연구자들이 프랑스 상위 15개 웹사이트 중 한 곳의 핑거프린트 2,067,942건을 분석했을 때, 즉 프라이버시 테스트를 일부러 찾아온 사람들이 아니라 평범한 트래픽을 분석했을 때는 33.6%만 고유했고 모바일에서는 18.5%로 떨어졌습니다(Hiding in the Crowd, WWW 2018). 수백만 명이 같은 기본 글꼴을 가진 같은 휴대폰 모델을 사용하므로, 실제 트래픽에서는 대부분의 핑거프린트가 충돌합니다.

변합니다. 브라우저는 스스로 업데이트되고, 글꼴이 설치되며, 모니터가 연결됩니다. 1,905개 브라우저 인스턴스에서 수집한 98,598건의 핑거프린트를 바탕으로 한 FP-STALKER 연구는 핑거프린트가 "몇 시간에서 며칠 단위로" 자주 바뀐다는 것을 발견했습니다(FP-STALKER, IEEE S&P 2018). 그래도 저자들의 연결 방식으로는 브라우저를 평균 54.48일 동안 추적했고, 26%는 100일 넘게 추적했습니다. 인상적인 연구이면서 동시에 경고이기도 합니다. 단순히 해시를 비교하는 시스템은 같은 고객을 며칠 만에 낯선 사람으로 봅니다.

세 방향에서 공격받습니다. 사기 조직은 의도적으로 위조합니다. 계정 양산 조직의 표준 도구인 안티 디텍트 브라우저는 프로필마다 내부적으로 일관된 새 핑거프린트를 생성합니다. 브라우저는 일부러 품질을 떨어뜨립니다. Safari는 canvas와 웹 오디오 같은 API에서 알려진 핑거프린팅 스크립트가 읽을 수 있는 정보를 제한하고, Firefox는 같은 신호 중 상당수를 흐리게 만드는 핑거프린팅 보호 기능을 제공합니다. 그리고 규제 당국은 이를 추적으로 봅니다. EU 제29조 작업반은 의견서 9/2014에서 ePrivacy의 동의 요건이 디바이스 핑거프린팅에도 적용된다고 결론지었습니다. 2024년 12월 19일 영국 ICO는 광고용 핑거프린팅을 허용하려는 Google의 움직임을 "무책임하다"고 평가했습니다. 보안과 사기 방지는 광고보다 법적 근거가 탄탄하지만, 위험은 실재합니다.

이 중 어느 것도 핑거프린팅을 쓸모없게 만들지는 않습니다. 다만 그것을 확인하거나 반박해 줄 독립적인 두 번째 계층이 필요한 확률적 입력 중 하나로 만들 뿐입니다.

핑거프린트가 볼 수 없는 것을 IP 인텔리전스는 본다

IP 인텔리전스는 요청이 거쳐 온 네트워크를 설명하며, JavaScript가 실행되기 전에 그렇게 합니다. 주소는 API 호출, 웹훅, 핑거프린팅 코드를 실행하지 않는 헤드리스 스크립트를 포함한 모든 요청의 첫 번째 패킷과 함께 도착합니다. 보강된 IP 데이터는 브라우저가 자기 자신에 대해서는 결코 답할 수 없는 질문에 답합니다(필드별 설명은 IP 인텔리전스란 무엇인가에 있습니다).

• 어떤 종류의 네트워크인가? asn.connection_type은 주거용 및 모바일 접속을 데이터센터 또는 호스팅과 구분합니다. 클라우드 인스턴스에서 들어온 일반 소비자 결제는 아니라고 입증되기 전까지는 스크립트이며, 이는 어떤 핑거프린트도 알려 줄 수 없습니다.
• 연결이 익명화되어 있는가? detection.is_vpn, is_proxy, is_tor, is_relay와 anonymity_level입니다. 동작 원리는 VPN 및 프록시 탐지 작동 방식에서 다룹니다.
• 누가 그 네트워크를 운영하는가? ASN과 조직입니다. 이를 통해 "한 호스팅 업체에서 온 신규 계정 40개"가 눈에 보이게 됩니다.
• 어디에 있으며, 다른 모든 정보와 일치하는가? geo_confidence가 포함된 국가와 도시, 그리고 알려진 경우 IANA timezone입니다.
• 이 주소에 이력이 있는가? 스팸, 스캐닝, 봇넷 플래그와 threat.dnsbl_sources의 DNS 차단 목록 등재 여부입니다.
• 공유 주소인가? threat.is_cgnat은 하나의 주소가 사실상 수천 명인 캐리어급 NAT를 표시하며, 이런 주소의 점수는 50으로 제한됩니다.

가장 중요한 특성은 두 가지입니다. IP 인텔리전스는 서버 측이며 보편적입니다. 핑거프린팅이 볼 수 없는 트래픽까지 다룹니다. 그리고 클라이언트에서 위조하기 어렵습니다. 요청은 어딘가에서 와야 하고, 데이터센터나 알려진 VPN 서버는 그대로 드러납니다. 한 가지 주의할 점은 사용자 쪽에 있습니다. 위조 가능한 전달 헤더가 아니라, 신뢰하는 프록시 체인에서 얻은 실제 클라이언트 IP를 평가하십시오.

IP 인텔리전스 단독으로는 할 수 없는 것

같은 CGNAT 주소, 사무실 게이트웨이, 캠퍼스 네트워크 뒤에 있는 두 고객은 IP 주소만으로는 구분할 수 없습니다. 같은 노트북이 집 Wi-Fi에서 휴대폰 핫스팟으로 옮겨 가면 알아보지 못하며, 모바일 주소는 끊임없이 바뀝니다.

가장 어려운 빈틈은 주거용 프록시입니다. 실제 가정 회선의 출구를 임대하는 사기 조직의 트래픽은 평범한 가정 사용자처럼 보이며, IP 데이터로는 대부분 이를 볼 수 없습니다. 저희는 주거용 프록시를 탐지하지 않으며, 어떤 IP 조회도 이에 대한 유일한 방어책이 되어서는 안 됩니다. 바로 여기가 핑거프린트가 제 몫을 하는 지점입니다. 같은 안티 디텍트 프로필이 여러 "가정" 주소에 걸쳐 다시 나타나는 것은 네트워크 패턴이 아니라 기기 계층의 패턴입니다. 따라서 IP 인텔리전스만으로는 "이것이 지난주에 신뢰했던 그 기기인가?"라는 질문에 답할 수 없으며, 핑거프린팅은 바로 그 질문에 답하기 위해 존재합니다.

질문별로 보기: 어느 계층이 답하는가

각 계층은 다른 계층이 답할 수 없는 질문에 답하며, 아래 표가 그 구분을 분명히 보여 줍니다.

열을 함께 읽어 보십시오. 한 계층이 "아니요"라고 답하는 거의 모든 행에서 다른 계층은 "예"라고 답합니다.

같은 신뢰 핑거프린트, 두 네트워크: 2026년 10월 20일에 확인한 내용

네트워크 계층은 하나의 신뢰 핑거프린트를 어디에서 도착하느냐에 따라 block 또는 allow로 바꿉니다. 몇 달간 신뢰해 온 브라우저가 아래 주소 각각에서 한 번씩 접속한다고 상상해 보십시오. 저희는 2026년 10월 20일 04:34 UTC에 iCloud Private Relay 출구 104.28.46.99를, 04:35 UTC에 Mullvad 서버 185.213.155.73을 API 키 없이 조회했습니다. 결과는 대역이 바뀌면 달라집니다.

프랑크푸르트의 Mullvad 서버는 다음과 같이 반환되었으며, 값은 그대로 두고 일부만 생략했습니다.

Cloudflare 네트워크의 릴레이 출구는 다음과 같이 반환되었습니다.

Mullvad 주소는 최고점인 100점이며, detection_methods가 그 이유를 알려 줍니다. 이 주소는 Mullvad가 직접 공개한 서버 목록에 있고, vpn_provider: "Mullvad"와 vpn_confidence: 95가 여기서 나옵니다. 그 목록은 이 주소를 WireGuard 서버로 표시합니다. 신뢰하는 핑거프린트가 이곳에서 도착했다면 "익명화된 네트워크 위의 알려진 기기"라는 모순이므로, 기기 이력이 깨끗하더라도 추가 인증(step up)을 요구하십시오. Private Relay 주소는 relay_ip가 유일한 방법으로 9점입니다. Apple의 릴레이는 프록시가 아니라 소비자용 프라이버시 기능이며, 점수는 릴레이 주소를 60으로 제한하므로 Private Relay IP는 block에 도달할 수 없습니다. 그 뒤에 있는 오래 신뢰해 온 핑거프린트는 트래픽 중에서도 가장 안전한 편입니다.

같은 실행에서 얻은 조회 두 건을 더하면 전체 그림이 완성됩니다.

일반 클라우드 서버가 10점이라는 점은 유용한 상기 사항입니다. 호스팅 자체가 사기는 아닙니다. 클라우드 서버에서 도착한 신뢰 핑거프린트에는 차단이 아니라 질문이 필요합니다.

시간대 확인에는 두 가지 세부 사항이 중요합니다. Mullvad 서버는 Europe/Berlin을 보고하므로, 그 주소에서 브라우저 시계가 뉴욕으로 설정되어 있다면 명백한 모순입니다. Linode 서버의 geo.timezone은 "none"으로 반환되었으므로, 그 주소에서는 시간대 비교에 비교할 대상이 없습니다. 또한 릴레이 출구는 앙골라 루안다로 지리적 위치가 잡히지만, 10월 12일에 확인했을 때 Apple 자체의 출구 목록은 그 대역을 잠비아 루사카로 표시했습니다. 브라우저 시계가 릴레이 위치와 다른 것은 예상되는 일이므로 프록시의 증거로 세어서는 안 됩니다.

네트워크 판정은 만료되므로 조회 시각을 저장하십시오

IP 판정은 한 시점에 측정한 값이며, 저희 샘플이 이를 직접 증명했습니다. 이 글의 이전 버전은 VPN 예시로 102.129.235.17을 사용했습니다. 2026년 10월 5일과 10월 16일에 이 주소는 known_vpn_server, openvpn_open, ipsec_open과 함께 fraud_score 92, block을 반환했습니다. 10월 20일 04:34와 04:35 UTC에는 fraud_score 0, allow, is_vpn: false, 빈 detection_methods를 반환했습니다. 이 주소가 VPN 네트워크를 떠났는지, 저희 스캔이 더 이상 이 주소를 보지 못하게 된 것인지는 확인하지 못했습니다.

어느 쪽이든 조회 시각, 점수, 방법을 핑거프린트 ID와 함께 저장하고, 지난달의 판정을 믿지 말고 다음 민감한 작업에서 IP를 다시 평가하십시오. 핑거프린트는 며칠 안에 변하며, 이 IP의 판정은 나흘 만에 block에서 allow로 뒤집혔습니다.

함께 쓰는 방법: 결합하기

두 계층을 함께 운영하면 서로 불일치하는 지점에서 효과가 나타나며, 여섯 가지 규칙이 이를 의사결정으로 바꿔 줍니다.

모순을 찾으십시오. 몇 달간 신뢰해 온 핑거프린트가 갑자기 다른 대륙의 데이터센터 VPN을 통해 도착하면, 세션 하이재킹이거나 계정 공유이거나 봇 앞에 놓인 프록시입니다. 어제 신뢰하는 기기가 사용한 같은 가정용 IP에서 완전히 새로운 핑거프린트가 나타나면 거의 항상 가정 내 새 휴대폰입니다. 같은 핑거프린트가 한 시간 안에 두 IP 사이에서 불가능한 이동을 보이면 탈취된 세션이거나 임대한 출구입니다.

브라우저의 시계를 네트워크의 시계와 비교하십시오. 핑거프린트는 브라우저 시간대를, IP 인텔리전스는 네트워크의 시간대를 보고합니다. Europe/Berlin IP에서 뉴욕 시간이 보이는 것은 가장 오래된 프록시의 단서 중 하나이며, 문자열 하나만 비교하면 됩니다. timezone이 "none"이거나 주소가 릴레이인 경우에는 이 검사를 건너뛰십시오.

네트워크를 이용해 핑거프린트 충돌을 해소하십시오. 동일한 핑거프린트 두 개(같은 휴대폰, 같은 OS, 같은 기본 설정)라도 IP가 서로 다른 도시의 서로 다른 가정용 네트워크에 있다면 서로 다른 사람입니다. 반면 "바뀐" 핑거프린트가 같은 IPv6 /64와 ASN에서 계속 도착한다면 브라우저를 업데이트한 같은 사람일 가능성이 높습니다.

각 계층이 상대의 사각지대 트래픽을 보완하게 하십시오. JavaScript가 실행되는 곳에서는 브라우저 세션을 핑거프린팅하고, 모든 트래픽의 IP를 평가하십시오.

두 가지로 독립적으로 클러스터링하십시오. 다중 계정과 프로모션 악용에서 공유 핑거프린트와 공유 네트워크는 서로 독립적인 두 가지 증거입니다. 공유 키가 하나면 가정이거나 CGNAT 블록이고, 독립적인 공유 키가 둘이면 검토할 만한 조직 가설입니다.

점수를 매기고, 추가 인증을 요구하십시오. 핑거프린트는 연속성 신호("알려진 기기"는 위험을 낮추고 "알려진 불량 기기"는 높임)로, IP는 맥락으로 반영하십시오. 그런 다음 작업별 위험 점수 임계값에서처럼 점수가 이미 사용하는 네 구간에 따라 조치하십시오. 25 이하는 allow, 50까지는 review, 75까지는 step_up, 75 초과는 block입니다. 모순이 review에 해당하여 분석가가 직접 살펴봐야 할 때는 IP 주소를 조사하는 방법의 사건별 절차를 따르십시오.

구현 체크리스트

여섯 단계의 구현으로 이 규칙들을 실제로 작동하는 결합으로 만들 수 있습니다.

1. 로그인, 가입, 결제, 출금 시점에 핑거프린트를 수집하고 그 ID를 요청과 함께 기록합니다.
2. 서버 측에서 실제 클라이언트 IP를 조회하고 detection 플래그, ASN, geo.timezone, is_cgnat, fraud_score, detection_methods를 보관합니다.
3. 오늘의 쌍을 지난달의 쌍과 비교할 수 있도록, 둘을 타임스탬프와 함께 세션 및 계정에 저장합니다.
4. 모순 규칙을 먼저 작성합니다. VPN, Tor, 데이터센터 네트워크 위의 알려진 기기, 시간대 불일치, 불가능한 이동, 신뢰하는 네트워크 위의 새 기기 등입니다.
5. CGNAT와 모바일 통신사 주소에서는 가중치를 낮춥니다. 익숙한 네트워크에서 핑거프린트가 바뀐 것만으로는 위험 신호가 아닙니다.
6. 핑거프린팅을 하는 이유를 문서화하고, 서비스 대상 지역의 동의 요건을 확인합니다.

단일 조회로 얻는 IP 쪽 정보

IP 쪽에 필요한 모든 정보는 GET 요청 한 번으로 반환되며, 설명 가능한 0에서 100까지의 위험 점수는 recommended_action과 발동된 방법을 함께 제공합니다. 또한 면책 신호도 적용합니다. 주거용 ISP는 17점, 검증된 크롤러는 28.5점을 감점합니다. 모든 필드는 하루 1,500회 조회의 무료 플랜에서 사용할 수 있으며, 핑거프린트 테이블과 결합하는 코드를 작성하기 전에 API 키 없이 아무 IP나 조회해 볼 수 있습니다.

어느 계층을 살지 묻지 마십시오

이 조합은 다중 계정 조직부터 쿠폰 악용까지 이 클러스터 전반에 나타나며, 실제 고객을 차단하지 않고 익명화된 트래픽을 탐지하는 방법이기도 합니다. Private Relay 뒤에서 9점인 신뢰 핑거프린트는 VPN에서 100점인 새 핑거프린트보다 가볍게 다루어야 하기 때문입니다. 각 점수의 근거를 보면 어떤 네트워크 신호가 점수를 움직였는지 알 수 있습니다. 그러니 계층을 고르지 마십시오. 어떤 질문에 답이 필요한지 물어보면, 둘 다 필요하다는 것을 알게 될 것입니다.

자주 묻는 질문

디바이스 핑거프린팅이란 무엇인가요?

디바이스 핑거프린팅(흔히 브라우저 핑거프린팅)은 브라우저가 노출하는 수십 가지 속성을 수집해 하나의 식별자로 해시하는 기법입니다. 사용자 에이전트, 화면 크기, 설치된 글꼴, 시간대, 언어, 하드웨어 정보, 그리고 기기가 canvas, WebGL, 오디오를 렌더링하는 방식 등이 그 속성입니다. 쿠키가 필요 없으므로 세션이 달라져도 다시 방문한 브라우저를 알아볼 수 있고, 여러 계정을 하나의 기기에 연결할 수 있습니다. 클라이언트 측에서 실행되기 때문에 스크립트가 실행되는 트래픽만 볼 수 있습니다.

디바이스 핑거프린팅은 정확한가요?

초기 연구가 시사한 것보다는 정확도가 낮습니다. 프랑스 상위 15개 웹사이트 중 한 곳에서 수집한 핑거프린트 2,067,942건을 분석한 2018년 연구에서는 고유한 것이 33.6%에 불과했고 모바일에서는 18.5%였습니다. 프라이버시에 민감한 지원자를 대상으로 한 이전 연구에서는 80% 이상이었던 것과 대조적입니다. 핑거프린트는 또한 변합니다. FP-STALKER 연구에 따르면 몇 시간에서 며칠 단위로 바뀌지만, 그 연구의 연결 방식은 그래도 브라우저를 평균 54.48일 동안 추적했습니다. 핑거프린트는 안정적인 신원이 아니라 확률적인 인식 신호로 취급해야 합니다.

IP 인텔리전스가 디바이스 핑거프린팅을 대체할 수 있나요?

아니요, 반대의 경우도 마찬가지입니다. IP 인텔리전스는 네트워크를 봅니다. 연결 유형, 호스팅 또는 가정용 출처, VPN, 프록시, Tor, 릴레이 사용 여부, ASN, 지리적 위치, 악용 이력 등입니다. 서버 측에서 첫 번째 요청부터 작동하며, 스크립트가 실행되지 않는 API 트래픽에서도 작동합니다. 하지만 하나의 캐리어급 NAT 주소 뒤에 있는 두 가정을 구분할 수 없고, 주거용 프록시를 거친 트래픽은 평범한 가정 사용자처럼 보입니다. 핑거프린팅이 이런 빈틈을 메우고, IP 인텔리전스는 핑거프린팅의 사각지대를 메웁니다.

디바이스 핑거프린트와 IP 신호를 결합하는 가장 좋은 방법은 무엇인가요?

핑거프린트는 연속성 신호(이 브라우저를 본 적이 있는가?)로, IP는 맥락 및 위험 신호(어떤 네트워크에 있고 익명화되어 있는가?)로 취급한 다음 모순을 찾으십시오. 알려진 핑거프린트가 다른 대륙의 데이터센터 VPN에서 접속하면 하이재킹이나 프록시 패턴이고, 신뢰하는 같은 가정용 IP에서 새로운 핑거프린트가 나타나면 대개 가정 내 새 기기입니다. 브라우저가 보고하는 시간대를 IP의 시간대와 비교하고, 다중 계정을 추적할 때는 둘을 독립적인 클러스터링 키로 사용하십시오.

디바이스 핑거프린팅은 합법인가요?

EU와 영국에서는 추적으로 규제됩니다. 제29조 작업반은 의견서 9/2014에서, 사용자 기기의 정보에 접근할 때 동의를 요구하는 ePrivacy 지침의 규칙이 핑거프린팅에도 적용된다고 결론지었으며, 사용자가 요청한 서비스를 제공하는 데 반드시 필요한 경우에 한해 좁은 예외를 두었습니다. 사기 방지는 광고보다 근거가 탄탄하지만 규정 준수 위험은 실재합니다. 2024년 12월 19일 영국 ICO는 광고용 핑거프린팅을 허용한 Google의 결정을 '무책임하다'고 평가했습니다. 핑거프린팅은 의도를 갖고 수행하고, 목적을 문서화하며, 관할 지역에 대해 법률 자문을 받으십시오.