모바일 프록시 탐지 방법: 4G/5G IP가 기본 IP 검사를 통과하는 이유

데이터센터 프록시는 첫 번째 물결이었고 가장 잡기 쉽습니다. 소비자는 클라우드 ASN에서 접속하지 않기 때문이며, 이는 데이터센터 IP 주소란 무엇인가에서 다룬 바 있습니다. 주거용 프록시는 두 번째 물결로, 가정용 ISP 주소의 신뢰를 빌려 쓰기 때문에 이제 실제 트래픽에 대거 섞여 들어옵니다.

모바일 프록시는 세 번째 물결이며, VPN 및 프록시 탐지의 모든 계층에 대해 난이도를 다시 한 번 끌어올립니다. 주거용 IP는 적어도 한 가구의 회선을 가리킵니다. 반면 모바일 IP는 캐리어급 NAT 덕분에 무리를 가리키며, 그 무리 속에 숨은 사기 요청은 다른 모든 사람과 똑같아 보입니다.

모바일 프록시란 무엇입니까?

모바일 프록시는 이동통신망 위에 놓인 중계기이며, 네 가지 주요 프록시 유형 중 가장 비쌉니다. 운영자는 SIM 카드가 들어 있는 기기(휴대폰, USB 모뎀, 또는 수백 개의 모뎀 랙)를 제어하고, 이를 통해 트래픽을 전달할 권리를 판매합니다. 고객의 요청은 통신사의 IP 대역에서 인터넷으로 나가며, 통신사의 ASN과 mobile이라는 연결 유형이 붙습니다.

판매되는 상품은 대역폭이 아닙니다. 신뢰의 상속입니다. 모든 IP를 정상 고객이 공유하기 때문에 사기 대응팀이 감히 차단 망치를 휘두르지 못하는, 대형 이동통신사 주소 공간의 통계적 평판을 사는 것입니다.

IP는 어디에서 오는가

모바일 프록시 네트워크는 세 가지 방식으로 공급원을 확보하며, 아래로 갈수록 더 질이 나쁩니다.

• SIM 팜. SIM 카드를 교체하는 4G/5G 모뎀 랙을 프록시 인프라로 의도적으로 운영합니다. 운영자는 비행기 모드를 켰다 끄거나 네트워크에 재접속하는 방식으로 IP 교체를 강제합니다.
• 앱에 내장된 프록시 SDK. 무료 앱이 사용자의 모바일 대역폭을 몰래 재판매하는 SDK를 내장하여 수익을 냅니다. 보안 연구자들은 이러한 SDK가 일반 소비자용 앱과 스마트 TV 소프트웨어에까지 들어 있어 평범한 기기를 출구 노드로 바꾸고 있음을 문서화했습니다.
• 악성코드를 통한 편입. 감염된 휴대폰이 소유자가 전혀 모르는 사이에 프록시 풀로 징집됩니다. 주거용 프록시 시장의 상당 부분을 공급하는 것과 같은 패턴입니다.

두 번째와 세 번째 경로는 "모바일 프록시 IP"가 매우 자주 실제 사람의 휴대폰이라는 뜻이며, 그래서 IP 자체가 최종 판정이 될 수 없습니다.

모바일 vs 주거용 vs 데이터센터 프록시

비용은 신뢰를 따라갑니다. 공격자는 주거용이나 데이터센터 출구가 이미 걸러지는 대상, 즉 고가치 가입, 한정판 판매, 은행 플로우, 광고 검증 같은 곳에만 모바일 프리미엄을 지불합니다. 모바일 프록시 트래픽이 보인다면, 귀사의 사이트에 그 프리미엄을 낼 만한 무언가가 있다는 뜻입니다.

모바일 프록시를 차단하기 어려운 이유

네 가지 특성이 겹쳐 탐지 문제를 만듭니다.

CGNAT는 IP를 한 명의 사용자가 아니라 무리로 만듭니다. 통신사는 공인 IPv4 주소 하나당 수백에서 수천 명의 가입자를 둡니다. 그 IP에 붙이는 평판은 무리를 설명하고, 그 IP에 적용하는 차단은 무리 전체를 때립니다. 이는 실제 고객을 차단하지 않고 익명화된 트래픽 탐지하기에서 분석한 오탐의 함정과 같습니다. 다만 통신사 네트워크에서는 예외적인 경우가 아니라 기본 조건입니다.

IP 교체가 평판보다 빠릅니다. 비행기 모드를 껐다 켜는 휴대폰은 몇 초 만에 새로운 통신사 IP를 받습니다. IP가 차단 목록에 오를 때쯤 프록시는 이미 다른 곳으로 옮겨 갔고, 그 등재는 이제 그 주소를 물려받은 죄 없는 가입자를 가리킵니다. 오래된 증거는 증거가 없는 것보다 나쁩니다.

신뢰가 진짜라는 점이 문제입니다. ASN은 실제로 대형 통신사 소유입니다. 연결 유형도 실제로 mobile입니다. 잡아낼 위조 헤더가 없으며, 네트워크 수준의 모든 속성이 진짜입니다. 거짓인 것은 오직 세션을 누가 조작하고 있는가뿐입니다.

지리적 위치가 흐려집니다. 모바일 트래픽은 종종 단말에서 멀리 떨어진 통신사 게이트웨이를 통해 나가므로, 보강 증거가 가장 필요한 바로 그 지점에서 도시 수준의 위치 정보가 가장 약합니다. 이 한계는 IP 지리적 위치는 실제로 얼마나 정확한가에서 정량화했습니다.

모바일 프록시 트래픽을 실제로 잡아내는 신호

정직한 벤더라면 단일 조회로 마법 같은 is_mobile_proxy: true를 내어 주지 않습니다. IP가 진짜 통신사 대역일 때 네트워크 계층만으로는 특정 세션이 프록시를 거쳤음을 증명할 수 없습니다. 네트워크 계층이 할 수 있는 일은 맥락을 정확하게 확정하여 나머지 신호가 무게를 싣게 하는 것입니다. 이는 VPN과 데이터센터 프록시에 대해 사용하는 것과 같은 계층형 접근이며, 통신사 대역에 맞게 조정한 것입니다.

• 먼저 네트워크를 분류합니다. ASN과 연결 유형은 이것이 가정용 ISP도 데이터센터도 아닌 통신사 X의 모바일 대역임을 알려 줍니다. 이 하나의 분류가 나머지 모든 것에 어떤 규칙을 적용할지 결정합니다.
• CGNAT를 명시적으로 존중합니다. CGNAT 플래그는 "이 IP가 나쁜 짓을 했다"를 "이 게이트웨이 뒤의 누군가가 나쁜 짓을 했다"로 바꿔 줍니다. 훨씬 약한 진술이므로 점수를 급등시키지 말고 상한을 두어야 합니다.
• 악용 증거는 최신성으로 가중합니다. 교체되는 통신사 IP에서 지난달의 차단 목록 등재는 잡음이고, 지난 한 시간 사이의 허니팟 활동은 신호입니다. 등재 여부보다 타임스탬프가 더 중요합니다.
• IP가 아니라 세션을 셉니다. 모바일 프록시는 IP를 기준으로 한 속도 제한 규칙을 무력화하므로, 카운터를 IP 교체 후에도 유지되는 대상, 즉 계정, 기기, 결제 수단, 세션별 행동 리듬으로 옮기십시오.
• 주장을 교차 검증합니다. 세션의 시간대와 언어 대 IP 지리적 위치, 연속된 로그인 사이의 불가능한 이동, 데스크톱 브라우저 핑거프린트를 사용하는 "모바일" IP 등입니다. 각각의 불일치는 작지만, 합치면 프록시와 그가 숨은 무리를 구분해 줍니다.

결과는 불리언이 아니라 가중 점수에 담아야 하며, 이는 가중 위험 점수 사유의 기반이 되는 접근 방식입니다.

IP가 아니라 행동별로 정책을 정하십시오

모든 모바일 IP는 공유되므로 탐지만큼 대응도 중요합니다. 강제 차단은 통신사 대역에서 언제나 틀린 수입니다. 사기는 다른 IP로 옮겨 가고, 실제 고객만 계속 차단된 채 남습니다.

실용적인 패턴은 IP 위험 점수 임계값 정하기와 같은 틀의 행동별 임계값에 통신사 맥락을 더하는 것입니다. 위험이 낮은 모바일 트래픽은 그대로 통과시키고, 점수가 높을 때는 실제 가입자라면 몇 초 안에 통과할 수 있는 추가 인증(OTP, 이메일 확인, 챌린지)으로 대응하며, 차단은 최근의 IP 특정 악용 증거가 세션 수준의 이상 징후와 겹치는 요청에만 남겨 두십시오.

GeoIPHub로 모바일 프록시 트래픽 탐지하기

GeoIPHub는 모바일 프록시 판단에 필요한 통신사 맥락을 한 번의 조회로 반환하며, 블랙박스 플래그가 아니라 각 판정의 근거와 함께 제공합니다.

통신사 IP에 대해 응답의 관련 부분은 다음과 같습니다. 실제 가입자 주소는 공개하지 않으므로 이것은 실제 조회가 아닌 예시 값의 샘플입니다(ASN과 MCC/MNC는 문서화 및 테스트용으로 예약된 코드입니다). 필드 이름과 구조는 실제 API와 일치합니다.

통신사 트래픽에서 중요한 항목은 다음과 같습니다.

• asn.asn_type, asn.connection_type, detection.is_mobile 은 네트워크(이동통신사, 주거용 광대역, 데이터센터)를 분류하고, asn.carrier, asn.mcc, asn.mnc 는 운영자를 식별하므로 규칙이 올바른 맥락에서 작동합니다.
• threat.is_cgnat 은 캐리어급 NAT 대역을 표시하며, scoring.fraud_score 는 이 대역에서 의도적으로 상한이 적용됩니다. 공유 게이트웨이가 전용 악성 인프라처럼 점수화되는 일이 없으므로, 이것이 기본 제공되는 오탐 방지 장치입니다.
• threat.is_abusive 와 threat.threat_types 는 현재 위협 피드에 해당 주소가 등재되어 있는지 알려 줍니다. 교체되는 통신사 IP에서는 등재를 그 뒤에 있는 사람에 대한 증거가 아니라 세션의 맥락으로 취급하십시오.
• detection.is_vpn, detection.is_proxy, detection.is_tor 는 "모바일" 트래픽이 실제로는 알려진 익명화 서비스를 통해 나가는 경우를 잡아냅니다(능동 프로빙으로 검증하는 VPN 및 프록시 탐지 참조).

가입 없이 무료 IP 조회 도구에서 어떤 IP든 시험해 볼 수 있으며, 무료 API 키를 발급받아 API 문서를 따라 연동할 수 있습니다. 모든 필드는 무료를 포함한 모든 플랜에서 제공됩니다. 하루 1,500건의 요청이 가능하며 필드별 유료 제한은 없습니다.

모바일 프록시가 IP 중심 방어를 이기는 이유는 IP가 실제로 죄가 없기 때문입니다. 그 IP는 통신사와 그 이용자 무리의 것입니다. 반면 계층형 방어에는 집니다. 통신사 네트워크를 정확하게 분류하고, CGNAT를 존중하고, 증거를 최신성으로 가중하고, 카운터를 IP 교체 후에도 남는 대상으로 옮기고, 높은 위험에는 차단이 아니라 마찰로 대응하십시오. 그렇게 하면 사기범이 4G 출구에 지불한 프리미엄은 더 이상 아무것도 사 주지 못합니다.

자주 묻는 질문

모바일 프록시란 무엇입니까?

모바일 프록시는 다른 사람의 인터넷 트래픽을 실제 이동통신망에 연결된 기기(스마트폰, USB 동글, 또는 SIM 카드 랙)를 거쳐 전달하므로, 트래픽이 진짜 4G/5G 통신사 IP로 웹에 나가게 됩니다. 이를 받는 웹사이트에는 일반 사용자가 휴대폰으로 둘러보는 요청처럼 보이며, 사기 조직이 데이터센터나 주거용 프록시보다 모바일 프록시에 더 높은 비용을 지불하는 이유가 바로 여기에 있습니다.

모바일 프록시가 주거용 프록시보다 탐지하기 어려운 이유는 무엇입니까?

통신사 네트워크는 캐리어급 NAT(CGNAT)를 사용하여 공인 IP 하나당 수백에서 수천 명의 실제 가입자를 두고 주소를 계속 재할당합니다. 주거용 프록시는 적어도 한 가구의 회선에 대응되지만, 모바일 프록시는 정상적인 휴대폰 사용자 무리에게 동시에 서비스되는 IP 안에 숨습니다. IP에 붙은 평판은 몇 분 만에 의미를 잃고, 그 IP를 차단하면 같은 게이트웨이 뒤의 모든 사람이 피해를 봅니다.

모바일 프록시를 IP 주소로 차단할 수 있습니까?

안전하게는 불가능합니다. CGNAT 때문에 모바일 IP를 강제로 차단하면 그 게이트웨이를 공유하는 실제 고객을 포함한 모든 가입자가 차단됩니다. 실용적인 방법은 차단 대신 위험 점수화입니다. 통신사 IP를 공유 인프라로 취급하고, 오래된 등재 기록보다 최근 악용 증거에 가중치를 두며, 점수가 높을 때는 거부 대신 추가 인증(이메일, OTP, 챌린지)으로 대응하십시오.

모바일 프록시와 CGNAT의 차이는 무엇입니까?

CGNAT는 정상적인 통신사 인프라입니다. IPv4 주소가 부족하기 때문에 이동통신사가 하나의 공인 IP를 많은 가입자가 나눠 쓰게 하는 것입니다. 모바일 프록시는 이 인프라를 악용하는 것으로, 통신사 네트워크 안의 기기가 제3자의 트래픽을 중계하여 공유 IP라는 위장막을 얻습니다. 모든 모바일 프록시는 CGNAT의 덕을 보지만 CGNAT 트래픽의 압도적 다수는 휴대폰을 쓰는 평범한 사람들이므로, CGNAT만으로는 절대 사기 신호로 취급해서는 안 됩니다.

사기범은 모바일 프록시 IP를 어떻게 확보합니까?

주요 공급 경로는 세 가지입니다. SIM 팜(프록시 인프라로 의도적으로 운영되는 모뎀과 SIM 카드 랙), 무료 앱에 내장되어 사용자의 대역폭을 몰래 재판매하는 프록시 SDK(보안 연구자들이 이러한 SDK가 일반 소비자용 앱과 스마트 TV 소프트웨어에까지 들어 있음을 문서화했습니다), 그리고 소유자 모르게 감염된 휴대폰을 프록시 네트워크에 편입시키는 악성코드입니다.

GeoIPHub는 모바일 프록시 트래픽 탐지에 어떻게 도움이 됩니까?

GeoIPHub는 모바일 프록시 판단에 필요한 네트워크 맥락을 한 번의 조회로 반환합니다. ASN과 그 분류, 연결 유형(데이터센터, 주거용, 모바일), 캐리어급 NAT 대역을 나타내는 is_cgnat 플래그, MCC와 MNC 코드를 포함한 통신사 이름, 현재 위협 피드 플래그, 그리고 CGNAT 대역에서는 의도적으로 상한을 둔 0-100 위험 점수입니다. 따라서 공유 통신사 IP가 전용 악성 인프라처럼 점수화되는 일이 없습니다.