프로모션 어뷰징: 쿠폰 및 추천 사기를 탐지하고 막는 방법

프로모션 어뷰징은 한 명의 운영자가 여러 신규 고객인 척하며 쿠폰, 추천 보너스, 가입 크레딧을 챙기는 행위입니다. 가짜 계정도 결국 네트워크 주소에서 접속해야 하므로 혜택 사용 단계에서 잡을 수 있고, 그 주소의 유형이 혜택을 인정할지, 보류할지, 추가 인증을 요구할지, 거절할지를 결정합니다. 이 글에서는 수법이 어떻게 작동하는지, 2026-10-23에 조회한 실제 사용 주소 네 건에 대해 우리가 내릴 대응, IP 위험 점수와 allow부터 block까지의 구간을 이루는 신호, 그리고 IP 계층이 맹점을 갖는 지점을 다룹니다.

프로모션 어뷰징에 해당하는 것

이 용어는 서로 다른 여섯 가지 수법을 포괄하며, 각각 다른 대응이 필요합니다.

OWASP는 Automated Threats 프로젝트에서 자동화된 유형을 분류해 두었습니다. OAT-002 Token Cracking은 "쿠폰 번호, 바우처 코드, 할인 토큰 등의 대량 열거"이고, OAT-019 Account Creation은 "이후의 악용을 위해 여러 계정을 만드는 것"입니다. 표의 여섯 가지 수법 중 다섯 가지가 이 두 가지 기본 동작 위에서 이루어집니다. 중복 적용은 신원이 아니라 체크아웃 로직을 악용하므로 예외입니다.

쿠폰 및 추천 사기가 지금 확산되는 이유

쿠폰 및 추천 사기가 확산되는 이유는 손실 규모가 이제 수십억 달러에 이르고, 도구가 서비스 형태로 판매되기 때문입니다.

금액은 심각합니다. Juniper Research는 디지털 상품 사기가 2025년 104억 달러에서 2030년 270억 달러로, 162% 증가할 것으로 전망하며, 프로모션 어뷰징을 합성 신원, 우호적 사기와 함께 세 가지 핵심 동인 중 하나로 꼽습니다(Juniper Research, 2025년 12월). 잃은 1달러는 1달러 이상의 비용이기도 합니다. LexisNexis True Cost of Fraud 조사에 따르면 인건비와 간접비까지 포함하면 미국 소매 및 전자상거래 가맹점의 평균 비용은 사기 1달러당 4.61달러입니다(LexisNexis Risk Solutions, 2025년 4월).

도구도 산업화되었습니다. 계정 생성 봇, 안티 디텍트 브라우저, 이메일 별칭, 임대 프록시 풀 덕분에 한 명의 운영자가 여러 고객인 척할 수 있습니다.

수법의 내부: 한 명의 운영자가 여러 신규 고객이 되는 방법

모든 수법은 같은 결말로 끝납니다. 계정은 많지만 운영자는 한 명이고, 그 아래에는 공유된 인프라가 있습니다. 공개된 두 사례가 양 끝단을 보여 줍니다.

신원 도용 쪽 끝단. 2021년 5월 매사추세츠주 연방검찰은 2019년 1월부터 최소 2021년 4월까지 이어진 수법으로 19명을 기소했습니다. 이들은 2,000건이 넘는 도용된 신원으로 승차 공유 및 배달 앱의 기사 계정을 개설하고, "유일한 목적"이 다른 가짜 계정을 추천하는 것인 가짜 계정을 만들었으며, 수익을 부풀리기 위해 "자동화 봇과 GPS 위조 기술"을 사용했습니다(NBC Boston, 2021년 5월). 2022년에 피고인 두 명이 통신 사기 공모 및 가중 신원 도용 혐의를 인정했습니다. 이와 별개로 샌디에이고에서 기소된 5인 기사 계정 조직 사건은 주모자에 대한 선고로 마무리되었습니다.

순수한 다중 계정 쪽 끝단. 토큰 에어드롭은 자격이 있는 지갑마다 지급하므로, 파머들은 신원 대신 지갑을 대량으로 만듭니다. 2024년 6월 에어드롭 이후 zkSync는 더 공격적으로 걸러내면 "많은 정상 사용자를 잘못 표시할 수 있다"며 시빌 필터링 방식을 옹호했습니다(Cointelegraph, 2024년 6월). 모든 프로모션 팀이 마주하는 것과 같은 상충 관계입니다. 필터를 조이면 파머를 더 잡지만 실제 고객도 더 거절하게 됩니다.

두 사례에는 같은 약점이 있습니다. 가짜 신원은 저렴하고 이메일은 무료이지만, 모든 계정은 여전히 어딘가에서 접속합니다. 깨끗하고 서로 다른 소비자 네트워크 위치는 조직이 필요할 때 만들어 낼 수 없는 유일한 자원이므로 인프라를 재사용하게 되고, 그 재사용은 로그에 드러납니다.

2026-10-23에 본 사용 IP 네 건

같은 프로모션이라도 주소 유형 네 가지에는 서로 다른 대응 네 가지가 필요하며, 그중 두 경우에서는 위험 점수 자체의 recommended_action이 프로모션 판단과 일치하지 않습니다. 2026-10-23 05:03:02부터 05:03:17 UTC 사이에 쿠폰 또는 추천 엔드포인트에서 볼 수 있는 유형별로 공개 주소 네 개를 키 없이 조회했습니다. 이 주소들이 실제 혜택 사용 요청을 보낸 것은 아닙니다. 각 출처 유형을 대표할 뿐입니다.

두 가지 불일치가 핵심입니다. Linode 서버는 10점에 allow입니다. 평범한 클라우드 서버는 사기가 아니기 때문입니다. API, 연동, 모니터링은 하루 종일 클라우드에서 실행됩니다. 하지만 첫 주문 쿠폰을 서버 랙에서 받아 갈 정당한 이유는 없습니다. Mullvad 출구는 100점에 block입니다. API가 Mullvad의 자체 서버 목록과 대조해 WireGuard 서버로 표시된 것을 확인했기 때문입니다. 그러나 2026년 8월 미국 성인 1,008명을 조사한 Security.org의 2026 VPN 보고서에서는 42%가 VPN을 사용한다고 나타났으므로, VPN을 통한 혜택 사용은 실제 고객인 경우가 많습니다. 카드 또는 SMS 확인은 그 고객에게는 몇 초의 수고이지만, 조직에게는 계정마다 결제 카드 한 장이나 전화번호 하나의 비용이 듭니다.

다음은 호스팅 주소의 조회 결과를 줄인 것입니다(저장된 PTR은 실제 역방향 DNS와 일치하지 않아 제외했습니다).

따라서 규칙은 detection.is_hosting과 asn.connection_type을 직접 읽어야 합니다. block을 기다리는 규칙은 이 쿠폰을 지급해 버리기 때문입니다. 이 글의 이전 버전에서는 DigitalOcean 드롭릿 104.248.50.21을 사용했습니다. 2026-10-23에 이 주소는 datacenter_ip와 쿠폰과 무관한 역방향 DNS 신호인 fcrdns_mismatch로 12점을 받아서 샘플을 바꿨습니다.

릴레이 출구는 정반대의 경우입니다.

is_proxy와 is_vpn은 false이고 is_relay만 true입니다. iCloud+ Private Relay를 켠 Apple 사용자이며, 릴레이를 통한 단일 혜택 사용은 고객입니다. Tor 출구 노드는 anonymity_level: "high"와 Spamhaus ZEN 등재 기록을 갖고 있어, 그곳에서 혜택을 거절해도 손실이 거의 없습니다.

공유 주소에는 차단이 아니라 이상 빈도 규칙을 적용합니다

GeoIPHub에서는 설계상 점수만으로 공유 주소를 차단할 수 없습니다. 통신사급 NAT 주소는 review 구간 안의 50점으로, iCloud Private Relay 주소는 step_up 구간 안의 60점으로 제한됩니다. 둘 중 어느 쪽이든 차단하면 그 뒤에 있는 실제 고객을 모두 차단하게 됩니다. 따라서 그곳에 숨은 조직은 점수가 아니라 횟수 집계로 잡아야 합니다.

• IPv4: 한 프로모션의 사용 횟수를 /24당 시간당으로 집계합니다. 우리가 제안하는 출발점은 업계에서 측정한 비율이 아니라 3회입니다. 한 /24에서 네 번째 이후의 사용은 검토를 위해 보류하고, 이후 여러분의 결과를 바탕으로 숫자를 조정하십시오.
• IPv6: 전체 주소가 아니라 /64 단위로 집계합니다. 보통 가입자 한 명이 /64 전체를 보유하므로 그 안에서 주소를 바꾸는 것은 비용이 들지 않습니다. 전체 주소를 기준으로 삼으면 한 명의 행위자가 수천 명으로 보입니다. 가정과 사업장은 /56이나 /48을 보유하는 경우가 많으므로, 하나의 할당 범위에서 새로운 /64가 계속 나타나면 그 단위로 넓히십시오(/64 단위 IPv6 속도 제한 및 차단 참조).
• 릴레이와 CGNAT: 같은 카운터를 유지하되 임계값을 높입니다. 릴레이 출구 하나나 통신사 주소 하나가 정당하게 많은 고객을 담당하기 때문입니다.

프로모션 어뷰징을 드러내는 IP 신호

프로모션 어뷰징을 드러내는 IP 신호는 세 가지입니다. "서로 다른" 고객들의 공유 출처, 호스팅 출처, 그리고 혜택 사용 단계에 집중된 익명화입니다. 각각 계정별 검사가 놓치는 조직적 연계를 보여 줍니다.

"서로 다른" 고객들의 공유 출처. 하나의 주소, /24, /64에서 많은 신규 계정이 한 프로모션을 사용하는 것이 가장 직설적인 신호이며, 위의 이상 빈도 규칙이 이를 판단으로 바꿔 줍니다.

소비자가 있어야 할 곳의 호스팅 대역. 실제 신규 고객은 가정용 광대역과 모바일 회선에서 혜택을 사용합니다. 클라우드 인스턴스, VPS 업체, 호스팅 ASN 같은 데이터센터 IP 대역에서의 사용은 아니라고 입증되기 전까지 스크립트입니다. GeoIPHub는 엄선한 호스팅 ASN 853개와 클라우드 업체 10곳의 공식 대역을 기반으로 호스팅을 분류하므로, 프로모션 자격에 대해 가장 저렴한 1차 필터가 됩니다.

혜택 사용 단계에 집중된 익명화. 일반 탐색 중의 VPN 및 Tor 플래그는 약한 증거입니다. 같은 플래그가 추천 제출과 코드 사용에서 급증하면 이야기가 다릅니다. 운영자가 공유 출처 검사를 피하려고 출구 지점을 바꾸고 있는 것입니다.

공유 IP는 정상이므로 더 자세히 살펴볼 이유로만 취급하십시오. Cloudflare는 중앙값 봇 비율이 4.8%와 4.7%로 거의 같은데도 CGNAT IP가 다른 IP보다 속도 제한을 세 배 더 자주 받는다는 것을 확인했습니다(Cloudflare, 2025년 10월). CGNAT 플래그는 대응을 증폭시킬 것이 아니라 완화해야 합니다.

IP 계층이 보지 못하는 곳: 가정용 프록시와 클릭 팜

IP 조회로는 가정용 프록시를 거치거나 실제 가정 또는 모바일 회선에 연결된 클릭 팜 휴대전화에서 들어오는 혜택 사용을 볼 수 없습니다. 이런 연결은 소비자 ISP 주소에서 오며, 이는 실제 신규 고객의 모습과 정확히 같습니다. GeoIPHub는 가정용 프록시를 탐지하지 않습니다. 가정용 ISP 주소는 오히려 점수를 20 낮추는 가정용 ISP 신호를 받을 수도 있습니다.

가정용 출구를 임대하는 조직은 네트워크 검사를 피하려고 비용을 지불한 것이므로, 증거는 다른 곳에서 가져와야 합니다.

• 계정 그래프의 이상 빈도. IP와 관계없이 몇 시간 안에 한 추천인에게 크레딧이 적립된 다수의 피추천인.
• 디바이스 중복. 주소가 달라도 디바이스 핑거프린트를 공유하는 계정.
• 결제 및 연락처 중복. 여러 "신규" 고객 뒤에 있는 카드 한 장, 은행 계좌 하나, 전화번호 하나.
• 코호트 품질. 두 번째 구매를 하지 않는 혜택 사용자.

임대한 가정용 출구가 왜 판단하기 가장 어려운 출처인지는 가정용 프록시 사기와 신뢰받던 IP가 이제 위험한 이유를 참조하십시오. 이 문제의 일반적인 형태는 다중 계정 탐지에서 한 사용자가 어떻게 쉰 명이 되는지 다룹니다.

이번 주에 적용할 수 있는 탐지 플레이북

탐지는 세 가지 이벤트를 점수화하고, 혜택에 대해 조치하며, 계정이 아니라 조직을 검토할 때 효과적입니다.

1. 이벤트 하나가 아니라 세 가지를 계측하십시오. 가입, 추천 제출, 혜택 사용 시점에 IP와 그 신호를 기록합니다. 대부분의 팀은 가입만 점수화하지만(가짜 가입을 막는 방법에서 그 검사를 다룹니다), 어뷰징은 혜택 사용 단계에 집중됩니다.
2. 추천인과 피추천인을 모두 점수화하십시오. 자기 추천 고리에서는 양쪽이 같은 운영자입니다. 모집한 계정이 한 /24, 한 ASN, 한 VPN 업체에 몰려 있는 추천인은 조직 스스로가 남긴 장부입니다.
3. 프로모션별로 /24와 /64 단위의 이상 빈도를 실행하십시오. 위에서 설명한 대로 전체가 아니라 캠페인별로 집계합니다.
4. 구매가 아니라 프로모션 자격을 통제하십시오. 혜택 사용 시점의 호스팅 출처, Tor 출구 노드, 알려진 어뷰징 이력은 정가 판매는 진행하면서 할인을 보류하게 해야 합니다. 이렇게 하면 지원 문의를 만들지 않고 이익을 없앨 수 있습니다.
5. 중간 구간은 검증으로 보내십시오. 26~75점이거나 점수와 무관하게 VPN 플래그가 있으면 카드, 전화, 챌린지 단계를 요구할 만합니다. 행동별 위험 점수 임계값과 같은 논리입니다.
6. 계정이 아니라 클러스터를 검토하십시오. IP, 프리픽스, 디바이스를 공유하는 그룹을 대기열에 올려 조직을 한 번에 판단합니다. IP 주소를 단계별로 조사하기는 클러스터에 조치하기 전에 주소 하나의 증거를 읽는 방법을 보여 줍니다.
7. 코호트 품질을 측정하십시오. 캠페인별로 혜택 사용에서 두 번째 구매까지의 전환을 추적합니다. 혜택 사용자가 다시 돌아오지 않는 프로모션은 예산이 어디로 갔는지 보여 줍니다.

혜택 사용 검사를 가장 먼저 연결하십시오

쿠폰 및 추천 어뷰징은 마케팅 예산을 겨냥한 다중 계정 행위입니다. 혜택 사용 시점의 조회 한 번으로 시작하십시오. is_hosting, is_vpn, is_relay, is_tor, scoring.detection_methods를 읽어 인정, 보류, 단계 상향, 거절에 대응시키고 프리픽스별 카운터를 추가하면 됩니다. 무료 플랜은 모든 필드를 포함해 하루 1,500회 조회를 제공하며, IP 위험 점수 검사기에서는 코드 없이 주소 하나에 대한 같은 점수와 근거를 확인할 수 있습니다. 점수가 어떻게 구성되는지는 사기 방지 개요에서 설명합니다.

같은 신호가 인접한 문도 지킵니다. 익명화 계층은 VPN과 프록시 탐지의 작동 방식에, 계정 보안은 계정 탈취와 크리덴셜 스터핑 탐지에, 오탐을 다루는 원칙은 실제 고객을 차단하지 않고 익명화 트래픽 탐지하기에 있습니다. 혜택 사용 검사를 가장 먼저 연결하십시오. 현상금 프로그램을 다시 성장 예산으로 되돌리는 가장 저렴한 지점입니다.

자주 묻는 질문

프로모션 어뷰징이란 무엇입니까?

프로모션 어뷰징(promotion abuse)은 신규 고객 쿠폰, 추천 보너스, 가입 크레딧, 로열티 포인트, 무료 체험처럼 마케팅을 위해 제공한 혜택을 원래 대상이 아닌 사람들이 악용하는 행위입니다. 첫 주문 할인을 다시 받으려고 고객이 이메일 주소를 하나 더 만드는 수준부터, 추천 및 보너스 예산을 소진시키려고 수천 개의 가짜 계정을 운영하는 조직적 집단까지 범위가 넓습니다.

프로모션 코드 어뷰징은 불법입니까?

범죄라기보다 이용 약관 위반인 경우가 많으며, 그래서 플랫폼은 대부분 탐지와 계정 정지로 대응합니다. 신원 도용, 문서 위조, 대규모의 조직적 기만이 얽히면 형사 사건이 됩니다. 2021년 미국 매사추세츠주 연방검찰은 2,000건이 넘는 도용된 신원을 사용해 승차 공유 및 배달 기사 계정을 만들고, 오로지 다른 가짜 계정을 추천하기 위한 가짜 계정까지 만든 사건으로 19명을 기소했습니다. 피고인 두 명은 2022년에 통신 사기 공모 및 가중 신원 도용 혐의를 인정했습니다.

사람들은 추천 프로그램을 어떻게 악용합니까?

핵심 수법은 다중 계정을 이용한 자기 추천입니다. 같은 운영자가 추천인과 '신규 고객'을 모두 통제하므로, 가짜 가입 하나하나가 보너스를 지급하게 만듭니다. 조직은 이메일 별칭, 안티 디텍트 브라우저, 디바이스 팜, VPN, 임대한 가정용 프록시로 이를 확장합니다. IP 조회로는 가정용 프록시 출구와 실제 가정 사용자를 구분할 수 없으므로, 이런 계정은 이상 빈도, 디바이스, 결제 정보의 중복으로 잡아내야 합니다.

어떤 IP 신호가 프로모션 어뷰징을 나타냅니까?

가장 강력한 네트워크 신호는 '서로 다른' 여러 신규 계정이 하나의 IPv4 /24 또는 하나의 IPv6 /64 프리픽스에서 같은 프로모션을 사용하는 경우, 소비자 트래픽이 가정이나 모바일 회선에서 와야 하는데 호스팅 대역에서 사용이 일어나는 경우, 그리고 VPN이나 Tor 플래그가 혜택 사용 단계에 집중되는 경우입니다. 각각 맥락이 필요합니다. 통신사급 NAT와 iCloud Private Relay는 실제 사용자 다수를 하나의 주소 뒤에 모으므로 GeoIPHub는 CGNAT 점수를 50, 릴레이 점수를 60으로 제한하며, 이런 주소는 차단이 아니라 이상 빈도 규칙으로 처리합니다.

실제 고객을 차단하지 않고 프로모션 어뷰징을 막으려면 어떻게 합니까?

계정이 아니라 프로모션 자격에 대해 조치하십시오. 위험 신호가 발생하면 가입이나 판매를 거부하는 대신 할인과 보너스를 보류하거나 지급하지 않습니다. 저위험 사용은 그대로 인정하고, 호스팅 출처의 사용은 검토를 위해 보류하며, VPN을 통한 사용은 결제 또는 전화 확인으로 단계를 높이고, Tor 출구 노드에서는 혜택을 거절합니다. 추천인과 피추천인을 모두 점수화하고, 공유 주소는 차단이 아니라 프리픽스별 이상 빈도 제한으로 처리하십시오.