프록시의 종류: 데이터센터, ISP, 주거용, 모바일 프록시 비교

"프록시"는 적어도 네 가지 일을 하나의 단어로 부르는 말입니다. 스크레이퍼 트래픽을 중계하는 임대 클라우드 서버와 크리덴셜 스터핑 시도를 중계하는 낯선 사람의 스마트 TV는 둘 다 프록시이지만, 공격자가 치르는 비용도 다르고, 차단했을 때 숨어 있는 부수적 피해의 크기도 다르며, 여러분에게 필요한 대응도 다릅니다. 이 글은 중요한 두 가지 축에 따른 실무용 분류이며, 2026년 10월 20일에 실행한 실제 조회 결과를 함께 담았습니다.

첫 번째 축: 출구 IP는 어디서 오는가

출처 축은 판단을 바꿉니다. 레지스트리에서 주소가 어떻게 보이는지, 그리고 차단했을 때 얼마나 많은 무고한 사람이 영향을 받는지를 정하기 때문입니다.

데이터센터 프록시

출구는 클라우드나 호스팅 업체의 서버입니다. 주소는 ASN이 호스팅으로 분류된 공간에 있고, 그 네트워크는 애초에 소비자 트래픽을 실어 나르도록 만들어진 곳이 아닙니다.

데이터센터 프록시는 저렴하고 빠르며 큰 블록 단위로 판매되기 때문에 가장 쉽게 눈에 띕니다. 데이터센터 또는 호스팅 대역에서 들어오는 소비자 로그인이나 결제는 다시 확인해 볼 가치가 있습니다. 실제 고객이 클라우드 서버에서 쇼핑하는 일은 드물기 때문입니다. 우리의 호스팅 검사는 엄선한 853개의 호스팅 ASN과 AWS, Google Cloud, Azure를 포함한 10개 클라우드 제공업체의 공개 대역을 활용합니다.

정직하게 짚어야 할 예외는 업무용 트래픽입니다. 기업 VPN 출구, 보안 게이트웨이, 엔터프라이즈 SASE 제품은 정당하게 호스팅 공간에서 나갑니다. 이것은 B2B 제품에서 실제로 존재하는 오탐 유형이며, 아래 조회에서 보듯 호스팅 주소만으로는 block이 아니라 allow 구간의 점수가 나오는 이유입니다.

ISP 프록시(고정 주거용)

ISP 프록시는 대부분의 사람이 들어 보지 못한 하이브리드입니다. IP 주소는 소비자 ISP에 등록되어 있지만, 그 주소에서 응답하는 기계는 데이터센터에 있습니다. 운영자는 소비자 ISP 주소 공간을 확보하거나 임대해 호스팅 인프라에서 광고합니다.

결과는 의도된 모순입니다. 데이터센터의 속도와 가동 시간에 소비자 ISP의 WHOIS 기록을 입은 셈입니다. 레지스트리만 읽는 검사는 케이블 회사로 보고 지나갑니다. 실제로 도움이 되는 증거는 행동에서 나옵니다. 주소에서 응답하는 프록시 또는 VPN 프로토콜, 또는 모든 호스트가 서버처럼 동작하는 대역입니다. 그래서 프록시 탐지는 하나의 레지스트리 필드를 믿지 않고 여러 독립적인 신호를 겹쳐 사용합니다. 한계는 열려 있는 서비스가 없는 조용한 ISP 프록시가 레지스트리가 말하는 그대로 보인다는 점입니다.

주거용 프록시

출구는 실제 가정의 실제 소비자 회선입니다. 주소는 정상 ISP 소속이고, 그럴듯한 교외 지역으로 지리 위치가 잡히며, 고객과 똑같아 보입니다. 실제로 고객이기 때문입니다. 다른 사람의 고객입니다.

주거용 프록시는 비싸고, 보통 주소 단위가 아니라 대역폭 단위로 판매되며, 호스팅 신호를 무력화하기 때문에 본격적인 악용의 기본 도구입니다. GeoIPHub는 주거용 프록시를 탐지하지 않습니다. IP 계층에서는 프록시 트래픽을 중계하는 가정 회선과 같은 회선에서 영화를 스트리밍하는 모습이 똑같아 보입니다. 도움이 되는 것은 IP 주변의 모든 것이며, 트래픽에 주거용 프록시가 이렇게 많이 나타나는 이유와 사기 대응 플레이북에서 자세히 다룹니다.

모바일 프록시

출구는 실제 통신사의 실제 이동통신 회선입니다. 가장 어려운 경우이며, 어려움은 보이지 않는다는 점보다 부수적 피해에 있습니다.

모바일 네트워크는 통신사급 NAT(RFC 6888, 2013년 4월) 뒤에 있으므로 공인 주소 하나가 서로 무관한 많은 가입자를 동시에 대표할 수 있습니다. 주소를 차단하면 그들 모두를 차단하게 됩니다. IP 조회로는 주소가 모바일 통신사 소속이라는 것은 알 수 있지만, 그 뒤의 휴대폰 중 하나가 회선을 팔고 있는지는 알 수 없습니다. 올바른 대응은 거부가 아니라 인증이며, 필드 수준의 자세한 내용은 모바일 프록시 탐지 방법에 있습니다.

네 가지 비교

마지막 두 열을 함께 읽으세요. 데이터센터 프록시는 쉽게 보이고 안전하게 차단할 수 있습니다. 모바일 주소는 통신사 소속임을 쉽게 알 수 있지만 차단하면 위험합니다. 주거용 출구는 보기도 어렵고 차단하기도 곤란합니다. "is_proxy" 불리언 하나는 이 모든 것을 뭉뚱그리기 때문에, 대응은 프록시 종류에 따라 정해야 합니다.

임대 서버는 allow, 프로브로 확인된 VPN은 block

호스팅 주소 하나만으로는 block에 이르지 않고, 확인된 VPN 핸드셰이크는 이릅니다. 2026년 10월 20일 UTC 04:34에 45.33.32.156을, 04:35에 185.213.155.73을 키 없이 curl로 조회했습니다. 첫 번째는 Linode에 있는 Nmap의 공개 테스트 서버 scanme.nmap.org이며 프록시가 아닙니다. 아무 일도 하기 전의 임대 서버가 어떻게 보이는지를 보여 줍니다. 두 번째는 프랑크푸르트의 Mullvad VPN 서버입니다. 값은 손대지 않고 줄여서 보여 드립니다.

두 주소 모두 호스팅 ASN에 있는 임대 서버이며 둘 다 is_hosting: true를 반환합니다. Linode 서버는 거기서 끝납니다. 방법은 datacenter_ip 하나, 점수 10, allow입니다. 서버를 임대하는 것은 사기가 아니기 때문입니다. Mullvad 서버에는 사유가 세 가지 더 붙습니다. Mullvad가 직접 공개한 서버 목록에 있고(known_vpn_server, 제공업체 자체 목록과 일치할 때의 값인 vpn_confidence: 95), 그 목록이 이 서버를 WireGuard 서버로 표시하며(wireguard_open), 호스팅 신호와 VPN 신호가 결합됩니다(datacenter_with_vpn_proxy). 점수는 100에 이르고 block이 됩니다.

네 가지 조치는 고정된 구간에 대응하므로 어떤 점수든 같은 방식으로 읽을 수 있습니다.

사용자를 숨기지만 네 가지 종류에는 속하지 않는 주소 두 가지

Tor 출구와 Apple의 iCloud Private Relay도 그 뒤의 사람을 숨기며 프록시 논의에 자주 등장합니다. 같은 세션에서 조회해 보았습니다.

릴레이는 요금을 내는 Apple 고객을 위한 것이고, 점수는 릴레이 주소를 60으로 제한하므로 block에 이르지 않습니다. Tor 출구는 Tor Project가 공개한 출구 목록에서 오며, 이 목록은 매일 불러옵니다. 이 행에는 한 가지 단서가 있습니다. 해당 주소의 실시간 역방향 DNS는 오늘 정상적으로 확인되는데도 no_ptr_datacenter가 작동했습니다. 저장된 PTR 기록의 공백 때문이며 이미 기록해 두었습니다. Tor는 IP로 Tor 트래픽 탐지하기에서 따로 다룹니다.

두 번째 축: 프록시는 어떻게 통신하는가

프로토콜 축은 프록시가 어떤 트래픽을 실을 수 있는지를 결정하며, 출구가 어디에 있는지와는 독립적입니다. "프록시 종류"를 다룬 많은 글이 "HTTP 프록시"와 "주거용 프록시"를 대안인 것처럼 나열합니다. 이 둘은 서로 다른 질문에 대한 답입니다. 주거용 프록시도 어떤 프로토콜로 통신하고, SOCKS5는 네 가지 출처 어디에서든 실행될 수 있는 프로토콜입니다.

HTTP 프록시는 HTTP를 이해합니다. 클라이언트가 완전한 요청을 프록시에 보내면 프록시는 이를 읽고, 캐시하고, 헤더를 다시 쓰고, 필터링할 수 있습니다. 허술한 프록시는 스스로를 알리는 Via와 X-Forwarded-For 헤더를 붙입니다.

HTTPS 터널은 CONNECT 메서드(RFC 9110)를 사용하며, 프록시에게 원시 TCP 터널을 열고 해석을 멈추라고 요청합니다. 프록시는 파이프가 되고 TLS는 그 안을 통해 종단 간으로 실행되므로, 프록시는 목적지는 보지만 내용은 보지 못합니다.

SOCKS5(RFC 1928, 1996년 3월)는 애플리케이션 계층 아래에 있습니다. TCP를 중계하고, 이전 버전과 달리 UDP도 중계하며, 인증, 도메인 이름, IPv6를 지원합니다. 페이로드를 검사하지 않고 헤더도 추가하지 않습니다.

공격자는 조용하다는 이유로 SOCKS5를 좋아합니다. 방어자도 이를 테스트할 수 있습니다. 우리 스캐너는 SOCKS5, SOCKS4, HTTP CONNECT, OpenVPN을 포함한 8개 VPN 및 프록시 프로토콜에 대해 실제 프로토콜 핸드셰이크로 25개 포트를 프로빙합니다. 프로브 단계는 최대 12시간마다 실행되며 이전의 적중 결과는 7일이 지나면 다시 확인합니다. WireGuard 프로브는 없습니다. Mullvad 조회의 wireguard_open은 해당 서버를 WireGuard로 표시한 Mullvad 자체 서버 목록에서 나온 것입니다. 스윕은 호스팅 네트워크와 VPN 제공업체의 서버 대역을 훑고, 공개 프록시 피드에 올라온 주소도 확인합니다. 소비자 ISP 공간은 훑지 않으므로, 가정으로 등록된 주소의 ISP 프록시는 공개 피드가 먼저 지목한 경우에만 프로브 결과를 얻습니다.

한계는 물리적입니다. 프로브는 인바운드 연결을 받는 프록시만 확인할 수 있습니다. 앱을 통해 주거용 네트워크에 등록된 휴대폰이나 TV 박스는 가정의 공유기 뒤에 있으므로, 바깥에서 보내는 프로브는 대화할 상대가 없습니다.

포워드, 리버스, 투명

포워드 프록시는 클라이언트를 대신해 동작하며 이 글의 주제입니다. 리버스 프록시는 모든 CDN과 로드 밸런서처럼 서버를 대신해 동작합니다. 투명 프록시는 호텔 캡티브 포털처럼 클라이언트 설정 없이 트래픽을 가로챕니다. 사기와 관련이 있는 것은 포워드 유형뿐입니다.

주거용 프록시의 공급원은 실제로 어디인가

주거용 프록시 네트워크에는 실제 가정이 필요한데, 실제 가정이 자발적으로 나서는 경우는 드뭅니다. "주거용 프록시를 그냥 차단하라"는 지시가 순진한 이유입니다.

첫 본격적인 학술 연구인 Resident Evil(IEEE Symposium on Security and Privacy, 2019)은 이런 서비스에 잠입해 230개국 이상, 52,000개가 넘는 ISP에서 약 600만 개의 주거용 프록시 IP를 탐지했습니다. 제공업체는 자발적 참여자라고 주장하지만, 상당수는 IoT 기기를 포함해 감염된 것으로 보이는 호스트에서 동작하고 있었습니다.

FBI는 2026년 3월 12일의 공공 서비스 공지에서 모집 경로를 밝혔습니다. 다섯 가지를 지목합니다. 프록시 서비스가 앱 개발자에게 비용을 주고 넣게 하는 SDK, 약관 속에 가입이 묻혀 있는 무료 VPN, 감염된 IoT 기기, 무료 게임과 불법 복제 미디어에 숨은 악성코드, 대역폭에 대가를 지급하는 패시브 인컴 앱입니다. 기기 목록은 두 번 읽어 볼 만합니다. TV 스트리밍 기기, 스트리밍 스틱, 안드로이드 TV 박스, 디지털 액자, 스마트폰, 태블릿, 공유기, 디지털 프로젝터, 애프터마켓 차량 인포테인먼트 시스템이 포함됩니다.

이것이 도달하는 규모는 문서로 확인됩니다. 2024년 5월 29일 미국 법무부가 발표한 작전으로 해체된 911 S5 봇넷은 미국의 613,841개를 포함해 1,900만 개가 넘는 고유 IP 주소와 연관되어 있었습니다.

따라서 주거용 프록시가 로그인 페이지에 도달했을 때 그 주소는 대개 아무것도 모르는 사람의 것입니다. 이것이 가정용 주소를 영구 차단하는 데 반대하고 실제 고객을 차단하지 않고 익명화된 트래픽을 처리해야 하는 논거입니다.

나쁜 주소 목록이 주거용 공급을 이기지 못하는 이유

차단 목록은 나쁜 주소가 다시 돌아온다고 가정하지만, 주거용 공급은 돌아오기 전에 이미 바뀝니다. 최근 두 가지 측정이 이를 보여 줍니다.

GreyNoise는 2025년 11월 29일부터 2026년 2월 27일까지 약 40억 세션을 분석해, 네트워크 엣지를 노린 고유 IP의 39%가 가정용 인터넷 회선에서 왔지만 이 주소들이 만든 세션은 22%였다고 보고했습니다. 이 격차가 핵심입니다. 주거용 IP의 78%는 90일 동안 한두 세션에만 나타났습니다. 평판 목록은 두 번째 요청 전에 사라지는 주소에 플래그를 달 수 없습니다.

규모도 같은 방향을 가리킵니다. Infoblox는 2026년 6월 9일, 주거용 프록시 도메인으로 향하는 월간 DNS 쿼리가 거의 4,000억 건에서 5,000억 건을 넘어 약 25% 증가했다고 보고했습니다. 또한 자사 Threat Defense Cloud 고객의 65% 이상이 주거용 프록시 네트워크와 연결된 도메인을 조회한 것으로 나타났습니다.

IP 인텔리전스는 주소가 무엇인지, 즉 호스팅, VPN, Tor, 릴레이, 통신사에 대해서는 여전히 유효합니다. 나쁜 가정용 주소의 정적 목록은 그렇지 않습니다.

주거용 및 모바일 프록시에 대해 IP 계층이 보여 줄 수 있는 것과 없는 것

IP 계층은 주소를 네트워크 유형에 배치할 수 있습니다. 그 네트워크의 기기가 무엇을 하는지는 볼 수 없습니다. 가장 어려운 두 유형에 대해 활용할 수 있는 사실은 짧은 목록으로 남습니다.

• 가정용 ISP 주소는 프록시 증거를 갖기 전까지는 의심을 받지 않습니다. 주거용 역방향 DNS로 알아본 가정 회선은 ISP로 17점, 역방향 DNS로 16점이 감점됩니다. 같은 주소가 프록시, VPN, Tor 증거를 갖게 되면 ISP 할인은 21.25점을 더하는 residential_with_threat 사유로 대체됩니다.
• 모바일 통신사 주소는 할인 폭이 더 작습니다. 모바일 통신사 주소는 12점이 감점되고, 모바일 풀처럼 보이는 역방향 DNS는 7점이 감점됩니다.
• 공유 주소에는 상한이 있습니다. 자체 프록시, VPN, Tor, 봇넷 또는 악용 증거가 없는 통신사급 NAT 주소는 50을 넘을 수 없으므로, IP만으로는 기껏해야 review에 이릅니다.
• 열린 프록시 포트는 증거이지만 여기서는 얻기 어렵습니다. 우리 프로브는 SOCKS5, SOCKS4, HTTP CONNECT를 다루지만, 가정으로 등록된 주소에는 공개 프록시 피드가 그 주소를 올린 경우에만 닿습니다. 그 주소의 리스너는 어떤 주거용 프록시 네트워크에 대해서도 아무것도 알려 주지 않습니다.

나머지는 모두 여러분 쪽에서 나와야 합니다. 계정별 요청 빈도, 오래된 계정의 새 기기, 세션과 어긋나는 결제 국가 같은 것입니다. 의심스러운 주소 하나를 처음부터 끝까지 추적하려면 사건별 IP 조사 절차를 따르세요.

프록시 종류에 맞춰 대응하기

이 분류의 이점은 하나의 뭉툭한 규칙 대신 단계적인 대응을 할 수 있다는 점입니다. 기본값으로 scoring.recommended_action을 사용하고 종류에 따라 조정하세요.

• 소비자 행동에서의 데이터센터. 호스팅 주소만으로는 allow 구간의 점수가 나오며, Linode 조회가 10점이었던 것이 그 예입니다. 자체 맥락을 더하세요. 제품 성격상 필요하다면 소비자 로그인과 결제에서 차단하거나 샌드박스로 처리하고, B2B에서는 알려진 기업 출구를 예외로 두세요.
• ISP / 고정 주거용. 레지스트리와 모순되는 무언가가 나오면 데이터센터처럼 취급하세요. detection_methods에 프로브 방식이 있으면 그렇게 처리할 수 있지만, 우리 스윕은 공개 프록시 피드를 통해서만 소비자 ISP 공간에 닿으므로 모순은 대개 자체 데이터에서 나옵니다. 레지스트리만으로는 주거용이라는 것만 알려 줍니다.
• 주거용. 대개 프록시인지 알 수 없을 것입니다. 자체 데이터의 교차 확인을 근거로 단계를 올리고, 해당 가구는 피해자일 가능성이 높으므로 거부보다 단계적 인증(step-up)을 우선하세요.
• CGNAT 뒤의 모바일. 주소만으로 차단하지 마세요. 공유 IP의 요청 빈도 제한을 완화하고, 사용자를 인증하며, 계정과 기기 신호에 의존하세요.
• VPN과 Tor. 프로브로 확인되었거나 목록에 있는 VPN은 Mullvad 서버처럼 block에 이를 수 있지만, VPN 자체는 사기가 아닙니다. VPN 로그인에는 step_up을 선호하고 block은 Tor와 여러 신호가 겹친 경우에 남겨 둘 수 있습니다.

다섯 가지 모두에 깔린 규칙은 이렇습니다. 프록시 종류가 네트워크 신호에 얼마나 비중을 둘지를 정하고, 나머지는 다른 무언가가 감당해야 합니다.

대응을 고르기 전에 프록시 종류부터 파악하세요

방법론에는 위의 각 신호를 어떻게 수집하는지가 문서화되어 있습니다. 모든 필드는 무료 플랜에서 하루 1,500회 조회까지 제공되며, 사기 방지 개요에서는 점수가 의사 결정에 어떻게 반영되는지 보여 줍니다. 지금 주소 하나를 확인하려면 VPN 탐지 테스트나 데이터센터 IP 검사에 넣어 보고, 어떤 종류의 프록시인지 판단하기 전에 어떤 detection_methods가 작동했는지 읽어 보세요.

자주 묻는 질문

프록시의 주요 종류에는 무엇이 있나요?

프록시는 서로 독립적인 두 가지 축으로 분류합니다. 출구 IP가 어디서 오는지에 따라 네 가지가 있습니다. 데이터센터(임대한 클라우드 또는 호스팅 서버), ISP 또는 고정 주거용(데이터센터 하드웨어에서 호스팅되는 소비자 ISP 주소 공간), 주거용(실제 가정의 실제 소비자 회선), 모바일(통신사 NAT 뒤의 실제 이동통신 회선)입니다. 프록시가 통신하는 방식에 따라서는 HTTP 프록시, CONNECT 메서드를 사용하는 HTTPS 터널, SOCKS5의 세 가지 프로토콜이 일반적입니다. 첫 번째 축은 IP 조회로 무엇을 볼 수 있는지와 프록시 가격을 좌우하고, 두 번째 축은 어떤 트래픽을 실어 나를 수 있는지를 결정합니다.

데이터센터 프록시와 주거용 프록시는 어떻게 다른가요?

데이터센터 프록시는 클라우드나 호스팅 업체에서 임대한 서버를 출구로 사용하므로 주소가 호스팅으로 분류된 ASN 공간에 있고 IP 조회로 바로 드러납니다. 주거용 프록시는 실제 가정의 실제 소비자 회선을 출구로 쓰며, 앱 SDK, 무료 VPN, 프록시웨어, 악성코드 등을 통해 등록되는 경우가 많습니다. 그래서 주소가 정상 ISP 소속이고 고객과 똑같아 보입니다. IP만으로는 주거용 프록시 출구와 그 회선을 가진 가구를 구분하기 어렵기 때문에 공격자에게 비용이 더 들고, 본격적인 악용에서 기본 선택이 됩니다.

ISP 프록시란 무엇인가요?

ISP 프록시는 고정 주거용 프록시로 판매되기도 하는 하이브리드입니다. IP 주소는 소비자 ISP에 등록되어 있지만 그 주소에서 응답하는 기계는 데이터센터에 있습니다. 운영자는 소비자 ISP 주소 공간을 사거나 임대해 호스팅 인프라에서 광고합니다. 레지스트리 검사에서는 주거용 주소로 보이고, 유용한 증거는 그 주소에서 프록시 프로토콜이 응답하는 것 같은 모순입니다.

모바일 프록시는 주거용 프록시보다 다루기 더 어렵나요?

네, 이유는 부수적 피해입니다. 모바일 프록시는 통신사급 NAT 뒤의 실제 이동통신 회선을 통해 나가므로 주소 하나가 서로 무관한 많은 가입자를 동시에 대표할 수 있습니다. IP 조회로는 주소가 모바일 통신사 소속이라는 것은 알 수 있지만, 그 뒤의 사람 중 한 명이 프록시를 운영하는지는 알 수 없습니다. 주소를 차단하면 그것을 공유하는 모든 사람이 불이익을 받으므로, 모바일 주소는 하드 차단이 아니라 추가 인증을 요구해야 합니다.

SOCKS5가 HTTP 프록시보다 나은가요?

해결하는 문제가 다릅니다. HTTP 프록시는 HTTP를 이해하고 요청을 읽고 다시 쓸 수 있어 캐싱과 필터링에 유용하지만 웹 트래픽으로 제한됩니다. RFC 1928에 정의된 SOCKS5는 애플리케이션 계층 아래에서 동작하며 TCP와 UDP를 그대로 중계하므로 어떤 프로토콜이든 실을 수 있고 페이로드를 검사하지 않습니다. 식별 가능한 헤더가 덜 새어 나가기 때문에 공격자는 대개 SOCKS5를 선호합니다.