내 트래픽에 주거용 프록시가 이렇게 많은 이유는 무엇인가요?

대부분의 사기 방지 도구는 데이터센터 IP를 꽤 잘 차단합니다. 공격자가 AWS나 DigitalOcean을 거치는 순간 무언가가 걸러 냅니다. 주거용 프록시는 바로 그 방어를 우회하기 위해 존재하며, 계층형 VPN 및 프록시 탐지가 가장 보기 어려워하는 부류입니다. 트래픽에서 이것들이 대규모로 보인다면, 데이터센터 IP만 확인하는 시스템을 겨냥한 기술적으로 정교한 공격이 어떤 모습인지 보고 있는 것입니다.

주거용 프록시 네트워크란 실제로 무엇인가

주거용 프록시 네트워크는 분 단위로 빌릴 수 있는 실제 가정용 인터넷 연결의 풀입니다. 누군가 이를 사용하면, 자신의 실제 IP 대신 Comcast 같은 소비자 ISP가 실제 가정에 할당한 가정용 IP를 통해 트래픽이 나갑니다. 어느 목적지 서버가 보든 요청은 그 가정에서 온 것처럼 보입니다.

풀의 IP는 두 가지 출처 중 하나에서 옵니다.

봇넷 출처 (동의 없음): 피해자의 기기에 설치된 악성코드가 제3자의 트래픽을 피해자의 연결로 중계합니다. 피해자는 전혀 모릅니다. 피해자는 대역폭 요금을 내는 동안, 그 가정의 IP는 프록시 마켓플레이스에서 GB당 5-15달러에 팔립니다. 대부분의 관할권에서 불법입니다.

SDK 출처 (묻혀 있는 동의): 무료 앱(VPN, 게임, 유틸리티, 브라우저 확장 프로그램)에 소프트웨어 SDK가 내장됩니다. 수천 단어 속에 묻힌 이용약관에는 운영자가 사용자의 대역폭을 사용할 수 있다는 조항이 있습니다. 사용자는 형식상 동의했지만 무엇에 동의했는지 이해하지 못했습니다. Honeygain, IPRoyal Pawns 및 유사 서비스가 이 방식으로 운영됩니다.

두 방식 모두 탐지 관점에서는 기능적으로 동일한 출구 IP를 만듭니다. 순진한 검사를 전부 통과하는 실제 주거용 ISP 주소입니다. 이것이 프록시 유형 전체 분류에서 데이터센터 쪽 끝과 이들을 구분하는 점입니다. 같은 공급망은 이제 통신사 네트워크로도 확장되어, 모바일 프록시가 조치하기 더욱 어려운 4G/5G 출구 IP를 임대합니다.

기본 검사가 이들을 놓치는 이유

주거용 프록시가 보이는 이유를 이해하면, 사기 필터 출력에 왜 나타나는지 이해하는 데 도움이 됩니다.

신뢰할 수 있는 유일한 탐지 방법은 주거용 프록시가 위조할 수 없는 신호를 이용합니다. IP가 서로 다른 많은 세션에서 동시에 또는 순차적으로 사용되고 있다는 행동 증거(높은 재사용), 프록시 네트워크 광고 데이터베이스에서의 출현, IP의 주거용 지문과 세션의 기기 또는 행동 프로필 사이의 불일치입니다. 대부분은 세션 수준에 있습니다. GeoIPHub의 VPN 및 프록시 탐지를 포함해 IP 조회만으로는 ASN 데이터로 주거용 프록시 여부를 대략적으로 추정할 수 있을 뿐입니다.

주거용 프록시 네트워크의 규모

수치는 대부분의 사기 방지 팀이 예상하는 것보다 큽니다.

• Bright Data (공개된 규모 기준 최대의 주거용 프록시 네트워크)는 풀에 7,200만 개가 넘는 주거용 IP가 있다고 주장합니다
• Oxylabs는 1억 개 이상의 주거용 IP를 주장합니다
• Smartproxy, SOAX, NetNut은 각각 수천만 개를 주장합니다

이는 합법적(또는 반합법적) 상용 제공업체가 공개한 수치입니다. 봇넷 출처의 네트워크는 풀 규모를 공개하지 않지만, Lumen/Black Lotus Labs는 2024년 하나의 봇넷형 프록시 서비스 운영에서 활동 중인 감염된 주거용 노드를 19만 개 넘게 추정했습니다.

상용과 범죄를 합친 모든 제공업체의 풀 전체 규모는 아마 2억 개 IP를 넘을 것입니다. 탐지를 갖추고 나면 트래픽의 물량이 놀랍지 않은 이유입니다.

로그에서 주거용 프록시 트래픽은 어떻게 보이는가

탐지 전에는 주거용 프록시 트래픽이 보이지 않습니다. 탐지 후에는 패턴이 나타납니다.

봇 캠페인의 높은 IP 다양성: 크리덴셜 스터핑 공격의 요청은 각각 다른 주거용 IP에서 옵니다. IP당 요청 수는 1-3건에 머물러 속도 제한보다 훨씬 낮습니다. 신호는 IP당 물량이 아니라 세션 간 패턴입니다.

지리적 분산: 주거용 프록시 풀은 수백 개 국가에 걸쳐 있습니다. 이를 쓰는 캠페인은 몇 분 안에 40개 이상의 국가에서 요청이 들어오는 모습을 보이며, 이는 자연 트래픽 분포와 맞지 않는 패턴입니다.

타이밍 이상: 주거용 프록시를 거치는 자동화 캠페인은 요청 타이밍이 너무 규칙적(로그인 사이 1초 미만 간격)이거나 너무 불규칙(사람의 탐색 속도와 맞지 않는 폭주 패턴)한 경우가 많습니다.

기기/IP 불일치: 아이오와 시골의 모바일 기기라고 주장하는 세션이 휴스턴의 Comcast 주거용 IP에서 옵니다. 지리적 위치는 가정과는 일치하지만 주장하는 기기나 세션 행동과는 일치하지 않습니다.

IP 확인하기: 실제 조회

주소에 주거용 프록시라는 이름표를 붙이기 전에 먼저 조회하십시오. 다음은 104.28.46.99에 대한 GeoIPHub API의 실제 응답으로, 이 질문과 관련된 필드만 남긴 것입니다.

이 주소는 주거용 프록시가 전혀 아닙니다. iCloud Private Relay의 출구이며, 그 뒤의 사람은 프라이버시 기능을 켠 유료 Apple 고객일 가능성이 거의 확실합니다. API는 이를 직접 알려 주며(is_relay: true, relay_provider: "iCloud Private Relay") 9점을 매기고 허용을 권장합니다.

"주거용 프록시가 너무 많다"는 대시보드의 함정이 바로 이것입니다. "예상치 못한 곳에서 온 소비자 IP인가"만 확인하면 릴레이 트래픽, 모바일 통신사 NAT, 실제 프록시 출구가 모두 비슷해 보일 수 있습니다. detection_methods를 읽어 어떤 신호가 작동했는지 확인하고, is_residential_proxy는 있는 그대로 취급하십시오. 프록시 네트워크를 직접 관찰한 것이 아니라 ASN에 기반한 대략적인 추정입니다. 누군가를 차단하기 전에 앞서 설명한 세션 패턴과 함께 보십시오.

대응 방법

주거용 프록시 탐지는 대부분의 흐름에서 완전 차단이 아니라 위험 점수에 반영되어야 합니다. 권장 대응은 맥락에 따라 다릅니다.

핵심 원칙은 주거용 프록시는 강한 신호이지만 완전한 판결인 경우는 드물다는 것입니다. 프라이버시를 중시하는 정당한 사용자가 주거용 프록시 서비스를 쓸 수 있습니다. 정당한 시장 조사자는 분명히 씁니다. 완전 차단은 주거용 프록시가 다른 신호와 함께 나타날 때로 한정하십시오. 높은 재사용 점수, 악용 이력, 행동 이상, 또는 같은 세션의 여러 탐지가 그 예입니다.

물량이 늘어나는 이유

탐지 도구에서 주거용 프록시가 많이 드러나는 것은 탐지가 과민하게 작동한다는 신호가 아닙니다. 다음을 뜻합니다.

1. 공격자가 데이터센터 프록시(탐지 가능)에서 주거용 프록시(탐지가 더 어려움)로 옮겨 갔습니다
2. 탐지가 공격 트래픽이 있는 곳까지 따라잡았습니다
3. 상용 주거용 프록시 시장이 커져서, 이런 네트워크가 저가치 악용에도 쓸 만큼 저렴해졌습니다

이전 도구에서 주거용 프록시 비율이 낮았다면, 아마 탐지하지 못하고 있었던 것입니다. 이들은 결코 없었던 적이 없습니다. 정확한 탐지는 공격 표면의 실제 규모를 드러냅니다.

광고주는 이 변화를 가장 날카롭게 느낍니다. 로그인 규칙을 무력화하는 바로 그 임대 주거용 IP가 광고 플랫폼의 IP 제외 목록도 무력화하기 때문입니다. 그래서 IP 주소로 클릭 사기를 탐지하는 일은 차단 문제가 아니라 점수 산정 문제여야 합니다.

관련 글

• 주거용 프록시 사기 탐지: 완전 가이드: 탐지 메커니즘 심층 분석
• 계정 탈취와 크리덴셜 스터핑: 주거용 프록시가 대규모 크리덴셜 스터핑을 가능하게 하는 방식
• IP 평판이란?: 주거용 프록시 이력이 평판 점수에 반영되는 방식

자주 묻는 질문

주거용 프록시란 무엇인가요?

주거용 프록시는 Comcast나 Vodafone 같은 소비자 ISP가 가정에 할당한 실제 가정용 인터넷 연결의 IP 주소를 통해 트래픽을 중계합니다. 출구 IP가 평범한 주거용 사용자처럼 보이므로 데이터센터 IP를 차단하는 검사를 우회합니다. 주거용 프록시 네트워크는 악성코드에 감염된 기기(동의 없이 탈취됨)로 구축되거나, 사용자가 대역폭을 다른 무언가("무료" VPN, 게임 등)와 맞바꾸는 P2P 프록시 앱으로 구축됩니다.

주거용 프록시가 정상으로 보이는 트래픽에 나타나는 이유는 무엇인가요?

정상으로 보이도록 설계되었기 때문입니다. IP가 실제 주거용 주소이므로 ASN 검사는 통과하고, 지리적 위치는 실제 동네를 반환하며, 데이터센터 IP를 차단하는 기본적인 사기 규칙은 작동하지 않습니다. 공격자가 IP 기반 통제를 대규모로 우회해야 할 때(크리덴셜 스터핑, 광고 사기, 스크래핑, 카딩) 주거용 프록시가 선호되는 도구인 이유는 바로 주변에 섞여 들기 때문입니다.

주거용 프록시 네트워크는 IP를 어떻게 확보하나요?

주된 출처는 두 가지입니다. 첫째는 악성코드 봇넷입니다. 악성코드에 감염된 기기가 피해자의 가정 연결을 통해 공격자의 트래픽을 조용히 중계하며, 사용자는 전혀 모릅니다. 둘째는 동의에 기반한 P2P 네트워크입니다. SDK 운영자가 앱(VPN, 파일 공유 도구, 게임)에 프록시 기능을 내장하고, 사용자는 무료 서비스를 대가로 대역폭 공유에 모르는 사이 동의합니다. Honeygain, Peer2Profit 및 유사 서비스는 이 방식을 합법적으로 운영하며, 악성코드 봇넷은 같은 일을 불법적으로 합니다.

주거용 프록시로 탐지된 트래픽은 모두 악의적인가요?

그렇지 않습니다. 시장 조사, 광고 검증, 접근성 테스트를 위한 합법적인 주거용 프록시 서비스도 존재합니다. 주거용 프록시 트래픽의 일부는 이런 전문적인 용도에서 나옵니다. 그러나 전자상거래 결제, 금융 계정 로그인, 콘텐츠 플랫폼 같은 소비자 제품 맥락에서는 실제 고객이 주거용 프록시를 쓸 정당한 이유가 거의 없습니다. 올바른 대응은 이를 자동 차단이 아닌 고위험 신호로 취급하는 것입니다.

주거용 프록시 IP를 모두 차단하면 안 되나요?

IP가 끊임없이 교체되고 실제 가정에 속해 있기 때문입니다. 오늘 프록시로 쓰인 주거용 IP를 차단하면 내일, 심지어 같은 시각에도 실제 고객을 차단할 수 있습니다. CGNAT와 공유 공유기 때문에 여러 사람이 같은 IP를 쓰기 때문입니다. 올바른 접근은 주거용 프록시 탐지를 다른 세션 신호와 결합하고, 대부분의 흐름에서 완전 차단 대신 추가 인증(step-up MFA, 이메일 인증)으로 격상하는 것입니다.

주거용 프록시 탐지는 VPN 탐지와 어떻게 다른가요?

VPN 탐지는 비교적 간단합니다. VPN 서버는 서버 소프트웨어를 실행하고, 데이터센터 ASN을 가지며, 프로토콜 프로브에 응답합니다. 주거용 프록시는 정반대입니다. 출구 IP가 주거용이고, ISP는 소비자용 제공업체이며, 프로빙할 서버 소프트웨어도 없습니다. 탐지에는 행동 신호가 필요합니다. 프록시 네트워크 광고에 IP가 등장하는지, 비정상적인 트래픽 패턴, 여러 세션에 걸친 높은 재사용, 또는 IP의 가정 특성과 세션의 행동 사이의 불일치를 봅니다.