2026년 주거용 프록시 사기: 가장 신뢰하던 IP가 가장 위험해진 이유

사기 대응 팀은 10년 동안 한 가지 규칙을 잘 다루게 되었습니다. 데이터센터 IP는 신뢰하지 않는다는 규칙입니다. 클라우드 대역에 플래그를 달고 호스팅 ASN을 차단하면 자동화 트래픽 대부분이 사라졌습니다.

공격자는 이를 알아챘고, 그래서 고객의 거실로 들어왔습니다.

주거용 프록시는 공격자의 트래픽을 실제 가정의 인터넷 회선으로 보냅니다. 프록시 SDK가 들어 있는 "무료" 앱을 실행 중인 휴대폰, 감염된 공유기, 또는 몇 달러를 받고 대역폭을 판 개인 PC가 그 예입니다. 로그인 페이지에 도착한 요청에는 일반 소비자용 ISP를 쓰는 어느 가정의 IP가 실려 있고, 도시도 맞고 네트워크 유형도 맞습니다. 기존의 신뢰 신호는 모두 사람인 고객이라고 말하는데, 그래서 주거용 출구는 VPN과 프록시 탐지가 작동하는 방식에서 가장 까다로운 계층입니다. 그러나 그 뒤의 세션은 전혀 그렇지 않습니다.

2026년 수치는 무시하기 어렵습니다

이것은 더 이상 틈새 기법이 아닙니다. 최근 연구를 보면 위협 수준이 한 단계 올라간 것처럼 읽힙니다.

• 월 5,000억 건 이상의 쿼리. Infoblox의 고객 네트워크 분석에 따르면, 주거용 프록시 제공업체 도메인으로 향하는 DNS 트래픽은 2025년 1월 월 약 4,000억 건에서 2026년 4월 5,000억 건을 넘어 약 25% 증가했으며, 여기에는 AI 관련 스크레이핑이 상당히 기여했습니다.
• 조직의 94%가 사고에서 익명화 인프라를 보고합니다. 2026년 5월의 업계 조사에서는 거의 모든 최신 공격이 VPN이나 주거용 프록시를 쓰는 것으로 나타났고, 사고가 터지기 전에 이 문제를 이해하고 있던 조직은 30%에 불과했습니다.
• 풀은 서로 겹치고 시간 단위로 바뀝니다. 하나의 주거용 IP가 여러 프록시 풀에 동시에 속해 있다가 몇 시간 안에 빠질 수 있으므로, 정적 차단 목록은 배포되는 순간 이미 낡았습니다. 어떤 단일 목록도 따라가지 못하는 이유입니다. GeoIPHub는 30개 이상의 소스를 일정에 따라 갱신합니다(위협 피드는 6시간마다, VPN 및 프록시 프로브는 최대 12시간마다). 다만 이 소스 중 어느 것도 주거용 프록시 풀을 매핑하지는 않습니다.
• 국가 기관도 구입합니다. 2026년 1월, Google 위협 인텔리전스 그룹은 IPIDEA를 무력화했습니다. 가장 큰 주거용 프록시 네트워크 중 하나로, 일일 활성 프록시 IP가 900만~1,100만 개에 달했고 국가 지원 조직을 포함한 550개가 넘는 위협 그룹이 이를 사용했습니다.
• "사람" 트래픽이 사람이 아닙니다. GreyNoise는 센서에 접근하는 IP의 10개 중 4개 가까이가 주거용 주소라고 보고합니다. 감염된 가정용 장비가 다른 사람의 일을 대신 하고 있는 것입니다.

기존 IP 검사가 주거용 프록시를 놓치는 이유

고전적인 IP 평판 체계(지리 위치 데이터베이스, 데이터센터 ASN 목록, 차단 목록 피드의 조합)는 세 가지 구조적 이유로 주거용 프록시 앞에서 실패합니다.

1. 신뢰 휴리스틱이 뒤집혀 있습니다. 기존 점수 방식은 소비자용 ISP 대역을 정의상 저위험으로 취급합니다. 주거용 프록시는 바로 그 가정을 무기로 삼습니다. 공격자의 트래픽이 Comcast, Vodafone, Deutsche Telekom의 평판을 그대로 물려받는 것입니다. 그 IP는 실제로 주거용이며 플래그가 거짓말을 하는 것이 아닙니다. 빠져 있는 것은 두 번째 사실, 즉 이 주거용 IP가 지금 임대 중이라는 점입니다.

2. 변동 속도가 정적 목록을 앞지릅니다. 가정용 IP는 몇 시간 동안 프록시 풀에 쓰이다가 다시 가족의 넷플릭스만 나르는 상태로 돌아갈 수 있습니다. 어제의 관측을 토대로 만든 차단 목록은 양쪽으로 동시에 틀립니다. 오늘 아침 풀에 들어온 IP는 놓치고, 지난주에 공유기가 풀에서 빠진 가족은 계속 불이익을 받습니다. 프록시 IP가 네트워크 간에 많이 공유되고 풀이 계속 교체되는 상황에서는 목록 형태의 답은 도착하는 순간 낡아 있습니다.

3. AI 트래픽이 이 문제를 주류로 만들었습니다. 에이전트형 브라우저, 스크레이핑 파이프라인, 자동화 프레임워크는 이제 주거용 출구를 기본값으로 거칩니다. 사람처럼 보이는 가장 저렴한 방법이기 때문입니다. HUMAN Security 2026 벤치마크는 AI 에이전트 트래픽이 분기마다 상업적 워크플로에 더 깊이 스며들고 있음을 추적합니다. 봇 방어가 자동화는 AWS에서 온다고 가정한다면, 이미 지난 시대를 감사하고 있는 셈입니다. IP 주소로 봇을 탐지하는 방법 가이드에서는 IP 계층이 무엇을 잡아내는지, 그리고 임대된 가정용 IP가 왜 그 범위 밖에 있는지 정리했습니다.

목록만으로 부족할 때의 주거용 프록시 탐지

2026년에 실제로 통하는 주거용 프록시 탐지는 증거에 기반하고 최신성을 고려합니다. "이 IP가 목록에 있는가?"라고 묻는 대신 "지금 이 IP에 대해 실시간 증거는 무엇을 말하는가?"를 묻습니다. 이것이 일반적인 모델입니다. GeoIPHub는 탐지 방법론에 문서화된 대로 아래 항목 중 첫 번째를 제외한 나머지 세 가지를 실행합니다.

• 프록시 네트워크 매핑: IP가 어떤 주거용 풀에 속해 있는지, 그리고 결정적으로 그곳에서 마지막으로 관측된 시점이 언제인지 추적합니다.
• ASN 및 연결 유형의 실체: 네트워크의 실제 분류와 동작을 모르면 주거용 플래그는 아무 의미가 없습니다.
• 능동 검증: 물려받은 레이블이 아니라 프로토콜 프로브와 포트 증거를 사용하며, 모든 플래그에는 detection_methods가 붙습니다.
• 교차 확인 기반 점수 산정: 약한 신호 하나는 약한 신호로 남고, 0~100 위험 점수는 독립된 증거가 일치할 때만 올라갑니다.

프록시 풀을 직접 매핑하는 시스템에서는 주거용 프록시 플래그와 그 마지막 관측 시점 및 신뢰도가 결정적인 신호입니다. 21시간 전에 높은 신뢰도로 프록시 풀에서 관측된 IP는 증거가 6개월 전 것뿐인 IP와 전혀 다른 대응을 받아야 합니다. GeoIPHub는 프록시 풀을 직접 관측하지 않습니다. is_residential_proxy는 ASN에 기반한 대략적인 추정이므로, 실제로는 위의 교차 확인 증거와 자체 세션 신호에 무게를 두게 됩니다.

실제 조회가 알려 줄 수 있는 것과 없는 것

실제 조회는 주소가 어떤 종류의 네트워크에 있는지, 어떤 신호가 작동했는지를 알려 주지만, 가정용 IP가 지금 임대되고 있는지는 알려 줄 수 없습니다. 게시글을 위해 가정 IP를 조회하지는 않으므로, 여기서는 가장 근접한 정직한 사례를 소개합니다. Cloudflare 네트워크의 iCloud Private Relay 출구인 104.28.46.99이며, 2026-10-05에 실행한 실제 조회에서 일부만 발췌했습니다(대역이 바뀌면 결과도 달라집니다).

조회 결과는 릴레이를 지목하고(relay_provider, 방법 relay_ip) 점수 9, allow를 매깁니다. 프라이버시 릴레이는 공격자가 아니라 평범한 Apple 사용자를 숨겨 주기 때문입니다. 이것이 IP 데이터가 잘하는 종류의 사실, 즉 누가 해당 대역을 운영하고 용도가 무엇인가입니다. is_residential_proxy: false라는 줄은 아무것의 증거도 아닙니다. 이것은 ASN에 기반한 대략적인 추정이고, 소비자용 ISP의 임대된 가정용 IP도 대부분 false로 읽힐 것입니다. 그래서 주거용 프록시 질문은 풀 매핑 데이터나 자체 세션 신호로 답해야 합니다. 가정용 IP를 돌려 쓰는 스크레이퍼에 대해서는 요청 패턴으로 웹 스크레이핑 탐지하기 가이드에서 IP가 바뀌어도 남는 페이지 순서와 타이밍 신호를 볼 수 있습니다.

실제 고객을 해치지 않는 대응 플레이북

주거용 IP는 다시 정상 가정으로 돌아오므로, 올바른 대응은 이분법이 아니라 단계적이어야 합니다. 아래 표의 프록시 행은 프록시 풀을 직접 매핑하는 데이터 소스를 전제로 합니다. GeoIPHub는 그런 소스가 아니므로, 우리 API만 쓴다면 해당 행에는 실시간 입력이 없고 fraud_score와 자체 세션 신호에 의존해야 합니다.

중요한 순간(가입, 로그인, 결제, 출금)에 이 검사를 연결하면 GET 요청 한 번으로 밀리초 안에 판정을 받을 수 있습니다. 무료 VPN 및 프록시 탐지 테스트에서 내 트래픽이 어떻게 점수화되는지 직접 확인하거나, IP 위험 점수 검사기로 아무 주소나 조회해 보세요.

주거용 탐지는 목록이 아니라 실시간이어야 합니다

2010년대의 저렴하고 뻔한 사기 인프라인 데이터센터 대역과 플래그가 달린 VPN 엔드포인트는 이제 미끼입니다. 진짜 활동은 위험 관리 체계가 신뢰하도록 학습된 거실 IP를 지나는 월 5,000억 건의 쿼리로 옮겨 갔습니다. 탐지가 불가능해진 것이 아니라 실시간이 된 것입니다. 정적인 답은 몇 시간이면 낡으므로, 지속 가능한 유일한 방어는 증거를 계속 다시 검증하고 모든 플래그 뒤의 근거를 보여 주는 인텔리전스입니다.

GeoIPHub가 맡는 부분은 범주 이름이 암시하는 것보다 좁습니다. VPN 및 프록시 탐지는 능동 프로빙으로 VPN과 프록시 엔드포인트를 검증하고 조회마다 작동한 방법을 나열하는 반면, is_residential_proxy는 교차 확인이 필요한 대략적인 ASN 기반 추정으로 남습니다. 전체 응답 문서는 하루 1,500회 조회까지 무료입니다.

자주 묻는 질문

주거용 프록시란 무엇인가요?

주거용 프록시는 다른 사람의 트래픽을 실제 가정의 인터넷 회선을 거쳐 보냅니다. 보통 무료 앱에 포함된 SDK, 감염된 공유기, 또는 유료 '대역폭 공유' 프로그램을 통해 이루어집니다. 서버에서 보면 일반 소비자용 ISP를 쓰는 평범한 고객의 요청처럼 보이며, 사기범이 비용을 내고 이를 쓰는 이유가 바로 여기에 있습니다.

차단 목록으로는 왜 주거용 프록시를 잡지 못하나요?

주거용 프록시 IP는 끊임없이 바뀝니다. 가정용 IP가 프록시 풀에 몇 시간만 있다가 다음 날 빠지는 경우가 많고, 상당수는 여러 프록시 네트워크에 동시에 공유됩니다. 정적 차단 목록이 배포될 즈음에는 항목 대부분이 이미 낡았고 실제 풀은 교체된 뒤입니다. 탐지는 목록 기반이 아니라 지속적이며 최신성을 고려해야 합니다.

주거용 프록시로 표시된 IP를 모두 차단해도 되나요?

대개는 하드 차단하지 말고 추가 인증을 요구하세요. 프록시 세션이 끝난 지 한 시간 뒤에는 같은 가정용 IP를 정상 고객이 쓸 수 있고, CGNAT 대역에서는 많은 사용자가 하나의 주소 뒤에 있습니다. 플래그를 최신성(last_seen), 전체 위험 점수와 함께 사용하세요. 위험이 중간이면 단계적 인증(step-up)을 요구하고, 확신이 높을 때만 차단합니다.

GeoIPHub는 주거용 프록시를 직접 탐지하나요?

아니요. GeoIPHub의 is_residential_proxy는 ASN 데이터에서 추정한 대략적인 값이며 프록시 네트워크 소속을 직접 관측한 결과가 아니므로, 하나의 입력값으로만 취급하세요. 조회가 추가로 알려 주는 것은 주변 증거입니다. ASN 및 연결 유형 분류, 능동 프로토콜 프로빙, 악용 이력, 그리고 작동한 detection_methods를 확인할 수 있어 IP가 왜 그 점수를 받았는지 알 수 있습니다.

AI 에이전트와 스크레이퍼도 정말 주거용 프록시를 쓰나요?

많이 씁니다. 2025년과 2026년에 주거용 프록시 트래픽이 늘어난 데는 요청 제한과 차단을 피하려고 사람처럼 보이는 출구 IP가 필요한 AI 관련 스크레이핑과 에이전트 자동화가 큰 몫을 했습니다. 봇 방어가 자동화는 데이터센터에서 온다고 가정한다면, 가정용 IP를 쓰는 AI 트래픽은 그대로 통과합니다.