다중 계정 탐지: 한 사람이 쉰 명이 되는 방법

신규 가입 5만 건은 성장 차트이지 인원수가 아닙니다. 모든 플랫폼의 "사용자" 가운데 일부는 이름만 바꿔 쓴 소수의 같은 운영자이고, 그 계정들은 하나씩 따로 검사하면 모두 멀쩡해 보입니다. 이것이 다중 계정의 본질적 특성입니다. 사기가 계정 수준에서는 보이지 않는 것은 사기의 단위가 계정이 아니라 운영자이기 때문입니다. 이 탐지 가이드는 중복 계정을 누가 왜 운영하는지, 한 사람을 쉰 명처럼 보이게 하는 도구 모음, 그리고 조직을 다시 한 명의 행위자로 합치는 신호를 다룹니다. 대부분은 IP 위험 점수와 그 위험 구간을 이루는 것과 같은 증거인 네트워크 계층에 있습니다.

하나의 행동, 다섯 개의 이름

커뮤니티마다 같은 행위를 다른 이름으로 부르는데, 탐지 관련 문헌이 이 다섯 가지 용어에 걸쳐 흩어져 있으므로 알아 둘 만합니다.

동기는 거의 어디서나 돈과 연결됩니다. 프로모션 및 쿠폰 악용 탐지에서 다룬 혜택을 반복해서 챙기기, 차단과 속도 제한 우회, 리뷰와 투표 부풀리기, 마켓플레이스에서의 자기 거래(자기에게서 구매하고 자기를 평가), 그리고 에어드롭 같은 신원당 보상 가로채기가 있으며, 에어드롭에서는 한 명의 운영자가 하나의 배포 대상에 수만 개의 지갑 "신원"을 내세운 사례도 있습니다.

도구 모음: 한 사람이 쉰 명이 되는 방법

OWASP는 이 산업화된 형태를 OAT-019 Account Creation, 즉 "이후의 오용을 위한" 계정 대량 생성으로 분류하며, 이를 뒷받침하는 도구는 저렴하고 합법적으로 구입할 수 있습니다.

• 이메일 별칭과 일회용 받은편지함. 플러스 주소 지정, 점 트릭, 임시 도메인이 있으면 어떤 규모로도 "고유한" 이메일을 공짜로 만들 수 있습니다.
• 폰 팜과 VoIP 번호. SMS 인증은 코드당 몇 센트짜리 과속 방지턱일 뿐입니다.
• 안티디텍트 브라우저와 디바이스 팜. 프로필별 핑거프린트 위조로 각 계정이 서로 다른 하드웨어로 보이며, 디바이스 핑거프린팅에 IP 인텔리전스가 함께 필요한 이유 중 하나입니다.
• 프록시와 VPN 순환. 계정마다 자기만의 출구 IP를 받습니다. 조직이 허술하면 데이터센터, 공을 들이면 주거용입니다(주거용 프록시가 악성 트래픽을 지배하는 이유 참조).

이로 인해 가능해지는 규모는 공개된 기록입니다. Meta는 분기당 약 10억 개의 가짜 Facebook 계정에 조치를 취하고 있다고 보고하며, 2025년 4분기에만 11억 개였고 대부분은 생성 몇 분 안에 차단되었습니다(Meta 커뮤니티 규정 집행 보고서). 가짜 계정 생성은 어디서도 예외적인 사례가 아니라 제조업입니다.

계정별 검사가 계속 놓치는 이유

가입 시점 검사는 계정을 하나씩 확인하는데, 하나씩 보면 계정은 깨끗합니다. 유효한 이메일, 인증된 전화번호, 그럴듯한 이름, 작동하는 카드가 있습니다. 다중 계정은 계정들 사이의 관계에서만 드러나며, 운영자들이 그 관계를 끊는 데 서툴다는 것은 입증되어 있습니다.

가장 강력한 증거는 위키백과의 검증된 차단 우회 쌍 8,551개를 다룬 WWW 2022 연구(Characterizing, Detecting, and Predicting Online Ban Evasion)에서 나왔습니다. 우회자들은 새 사용자 이름과 누그러뜨린 표현으로 다르게 보이려 적극적으로 노력했지만, 측정 가능한 수준으로 여전히 자기 자신이었습니다. 새 계정은 같은 문서를 편집했고(겹침 정도가 무관한 쌍의 0.0001에 비해 0.12), 비슷한 어휘를 재사용했으며, 행동만으로 차단된 원 계정과 평균 역순위(MRR) 0.969로 대응될 수 있었습니다. 이는 거의 완벽한 재식별입니다. 차단 시점의 탐지는 AUC 0.902에 도달했습니다. 사람들은 식별자는 바꾸지만 습관은 바꾸지 않습니다.

이 발견은 일반화됩니다. 이메일을 바꾸는 조직은 서브넷을 바꾸는 것을 잊고, 프록시를 순환시키는 조직은 활동 시간대가 똑같으며, 핑거프린트를 위조하는 조직은 모든 계정을 한 지갑으로 충전합니다. 조직적 연계는 새어 나옵니다. 여러분이 할 일은 그것이 새어 나오는 표면을 기록해 두는 것입니다.

조직을 무너뜨리는 네트워크 신호

신원 필드는 위조하기 가장 쉽고 네트워크상의 위치는 위조하기 가장 어렵습니다. IP 위험 점수 산정이 다중 계정 탐지의 중심에 있는 이유입니다.

올바른 키로 본 공유 출처. 하나의 IPv4 주소에서 여러 계정이 가입하거나 활동하는 것은 전형적인 단서이지만, IPv6에서는 /64 프리픽스를 키로 삼아야 합니다. 가입자 한 명이 프리픽스 전체를 통제하며 계정마다 새 주소를 공짜로 만들어 낼 수 있기 때문입니다(/64 프리픽스 기준 IPv6 속도 제한). IPv4 주소는 절대 재사용하지 않을 조직도 /64는 기꺼이 재사용합니다.

비소비자 인프라에서 하는 소비자 행동. 실제 사용자는 주거용과 모바일 연결에서 가입하고, 계정 공장은 클라우드 인스턴스와 VPS 대역에서 돌아갑니다. "독립적인" 계정 묶음이 데이터센터 IP 공간이나 단일 호스팅 ASN에서 발생한다면 그것은 인물 목록 스프레드시트를 가진 스크립트입니다.

배치 속성으로서의 익명화. 사용자 한 명이 VPN을 쓰는 것은 평범한 일이며, 개인정보 보호 도구는 대중화되었습니다. 신규 코호트 계정 마흔 개가 모두 VPN이나 프록시 출구를 통해, 특히 같은 공급자의 풀을 통해 들어온다면 그것은 조직적 연계의 서명입니다. 이 플래그는 집계했을 때, 그리고 등록, 보너스 청구, 투표, 리뷰 같은 민감한 순간에 가장 중요합니다.

주거용 프록시 풀. 공을 들이는 조직은 주거용 출구를 임대하여 각 계정이 그럴듯한 가정용 IP로 들어오게 합니다. 이는 네트워크 출처를 숨기므로, IP가 깨끗해 보일 때는 다른 묶음 키(기기, 결제, 시간대)가 비중을 감당해야 합니다.

상관된 시간대와 불가능한 지리. 발맞추어 깨어나고, 활동하고, 잠드는 계정이나, 쉰 명의 사용자라고 주장하면서 어쩐지 함께 도시를 옮겨 다니는 계정은 다른 식별자가 모두 달라도 시간대와 지리적 위치로 묶입니다.

정직함을 유지하게 하는 주의점. 통신사급 NAT는 수백, 수천 명의 실제 가입자를 하나의 주소 뒤에 둡니다. Cloudflare는 봇 비율이 비슷한데도 CGNAT IP가 비교 가능한 트래픽보다 약 3배 더 자주 속도 제한을 받는다고 측정했습니다(Cloudflare). 가정, 기숙사, 사무실은 정당하게 IP를 공유하며, 인터넷 사용자의 약 네 명 중 한 명이 VPN을 사용합니다(Security.org). 공유되었거나 익명화된 출처는 묶음 키일 뿐 판결이 아닙니다.

운영자를 겨냥하는 다중 계정 탐지 플레이북

1. 가입 시점과 민감한 행동 시점에 묶음 키를 기록하십시오. IP와 /64 프리픽스, ASN과 연결 유형, 익명화 플래그, 기기 핑거프린트, 결제 수단입니다. 다중 계정은 등록 때보다 보너스 청구, 투표, 출금 때 확인되는 경우가 더 많습니다.
2. 그래프를 만들고 읽으십시오. 독립적인 키를 둘 이상 공유하는 계정을 연결합니다. 키 하나의 공유는 일상입니다(CGNAT, 한 가정). 네트워크와 결제, 네트워크와 기기처럼 독립적인 겹침 계열이 둘 이상이면 조직 가설을 살펴볼 만합니다.
3. 계정이 아니라 묶음을 판정하십시오. 계정 쉰 개를 하나씩 검토하면 조사 쉰 건의 비용이 들고 핵심을 놓칩니다. 묶음을 공유 키를 맨 위에 둔 하나의 사건으로 대기열에 올리십시오.
4. 단계적으로 대응하십시오. 의심 묶음에는 혜택 보류, 추천 보상 한도 설정, 투표와 리뷰 제한, 출금 지연을 적용합니다. 일괄 차단은 교차 확인된 조직에 남겨 두십시오. 위험 점수에 쓰는 것과 같은 임계값 원칙이 묶음 조치에도 적용됩니다.
5. 소급하여 훑으십시오. 조직은 나중에 실행하는 검사가 아니라 가입 시점에 실행한 검사에 맞춰 최적화합니다. 누적된 로그에 대한 주기적 재군집화는 에어드롭 시빌 추적이 배포 후 수백만을 회수한 방법이며, 깨끗하게 들어온 조직을 잡는 방법이기도 합니다.
6. 재범자를 주시하십시오. 차단 우회는 원한을 품은 다중 계정이며, 위 연구는 우회자가 더 위장하고 돌아오지만 여전히 연결 가능하다고 말합니다. 신규 가입을 최근 차단된 계정의 키와 비교하는 일을 상시 작업으로 두십시오.

깨끗한 점수도 묶음 키가 될 수 있습니다

계정 하나의 위험 점수는 "이 계정이 위험한가?"에 답하지만, 다중 계정에는 "이것을 또 누가 공유하는가?"에 답하는 필드가 필요합니다. 2026-10-05에 공개 인프라 IP 두 개, DigitalOcean 드롭릿과 Mullvad VPN 서버를 조회했습니다(대역이 이동하면 결과도 바뀝니다).

드롭릿은 recommended_action: "allow"와 함께 15점을 받으며, 단독으로는 그래야 합니다. 호스팅만으로는 사기가 아닙니다. 그러나 조직에게는 asn.asn 14061과 connection_type: "datacenter"가 유용한 부분입니다. 단일 호스팅 ASN을 공유하는 마흔 건의 "소비자" 가입은 계정 단위로는 점수가 잡아내도록 설계되지 않은 공장의 서명이기 때문입니다. Mullvad 서버는 100점, block이지만 묶음에서 중요한 필드는 detection.vpn_provider: "Mullvad"이며, 이것이 "같은 VPN 풀"을 group-by로 바꿔 줍니다. Mullvad 사용자 한 명은 여전히 개인정보를 중시하는 고객일 뿐이므로, 그 block은 두 번째 계정의 증거가 아니라 행동별 임계값 결정으로 취급하십시오.

IP 조회 한 번으로 얻는 묶음 키

위의 묶음 키는 IP당 조회 한 번으로 모두 반환됩니다. asn, asn_type, connection_type은 주거용 및 모바일 소비자와 데이터센터 및 호스팅 출처를 구분합니다. 탐지 블록은 VPN, 프록시, Tor, 릴레이 출구를 proxy_type, anonymity_level로 표시하고, 상용 공급자가 식별되면 vpn_provider 이름까지 제공하므로 "계정 마흔 개, VPN 풀 하나"는 직감이 아니라 쿼리가 됩니다. is_cgnat는 공유 통신사 주소를 표시하여 가정이 조직으로 취급되는 일을 막고, 설명 가능한 0-100 위험 점수는 recommended_action과 작동한 정확한 신호(혐의를 벗겨 주는 신호 포함)와 함께 도착합니다. 모든 필드는 무료 플랜에서 하루 1,500회 조회로 제공되며, 대부분의 플랫폼에서 모든 가입과 민감한 행동을 점수화하기에 충분합니다. 먼저 응답 형태를 보려면 API 키 없이 어떤 IP든 조회할 수 있습니다.

무엇보다 먼저 묶음 로그를 구축하십시오

다중 계정은 대시보드에서는 별개로 보이는 여러 사기의 밑바탕에 있는 엔진입니다. 앞서 설명한 쿠폰과 추천 보상 챙기기를 가능하게 하고, 계정 탈취와 크리덴셜 스터핑 뒤의 인물 교체를 공급하며, VPN 및 프록시 탐지의 작동 방식에서 다룬 익명화 트래픽 속에 숨어 있습니다. 묶음 로그를 먼저 구축하십시오. 플랫폼이 "이 계정이 위험한가?"가 아니라 "이 사람이 내 사용자 중 몇 명인가?"를 물을 수 있게 되는 순간 이 모든 방어가 더 날카로워집니다.

자주 묻는 질문

다중 계정이란 무엇인가요?

다중 계정은 사용자당 계정 하나를 전제로 하는 플랫폼에서 한 사람 또는 한 집단이 여러 계정을 운영하는 것입니다. 커뮤니티에 따라 소크퍼핏(포럼과 위키), 스머핑(경쟁 게임), 그놈잉(베팅과 iGaming), 시빌 공격(암호화폐와 웹3)이라고 부릅니다. 동기는 가입 보너스와 추천 보상 챙기기부터 차단 우회, 리뷰와 투표 조작, 마켓플레이스 평가 세탁까지 다양합니다.

웹사이트는 같은 사람의 여러 계정을 어떻게 탐지하나요?

플랫폼은 계정들이 공유할 수밖에 없는 것들을 상관 분석합니다. 네트워크 출처(같은 IP 주소 또는 IPv6 /64 프리픽스, 같은 VPN 또는 프록시 출구 풀), 기기 및 브라우저 핑거프린트, 결제 수단, 연락처와 그 별칭, 같은 활동 시간대나 동일한 상호작용 순서 같은 행동 패턴이 그것입니다. 단일 신호로는 결론을 낼 수 없으므로, 이런 키 여러 개를 공유하는 계정을 묶어 그 묶음을 하나의 사건으로 검토하는 방식으로 탐지가 이루어집니다.

VPN을 쓰면 다중 계정을 숨길 수 있나요?

단순한 동일 IP 검사는 무력화하지만 그 자체로 하나의 신호가 생깁니다. 상용 VPN과 프록시 출구는 그렇다고 식별할 수 있으므로, '무관한' 신규 계정 여러 개가 모두 익명화 인프라를 통해 들어오는 것 자체가 조직적 연계의 지표입니다. 차단 우회 연구에서도 운영자는 행동으로 연결될 수 있음이 드러났습니다. 위키백과 차단 우회 쌍 8,551개를 분석한 연구에서, 우회 계정은 편집 패턴만으로 차단된 원 계정과 거의 완벽한 정확도로 대응되었습니다.

다중 계정은 불법인가요?

대개는 범죄가 아니라 정지 조치로 처리되는 이용약관 위반입니다. 신원 도용, 문서 위조, 기망으로 금전을 취득하려는 계획과 결합되면 형사 영역으로 넘어갑니다. 미국 검찰은 추천 보너스를 챙기려고 계정을 대량 생성한 조직에 통신 사기와 가중 신원 도용 혐의를 적용한 적이 있습니다. iGaming 같은 규제 산업에서는 중복 계정이 운영자에게 컴플라이언스 위험을 초래하기도 합니다.

공유 네트워크를 처벌하지 않으면서 다중 계정을 막으려면 어떻게 해야 하나요?

공유 IP만을 증거로 취급하지 마십시오. 통신사급 NAT, 캠퍼스 네트워크, 사무실, 가정에서는 정당하게 많은 실제 사용자가 하나의 주소 뒤에 있습니다. 조치 전에 CGNAT 플래그와 연결 유형을 확인하고, 독립적인 신호 계열(네트워크, 기기, 결제, 행동)에 걸친 교차 확인을 요구하며, 단계적으로 대응하십시오. 의심 묶음에는 혜택을 보류하고 권한을 제한하되, 계정 차단은 교차 확인된 조직에만 적용합니다.