트래픽의 49.6%가 봇입니다: 비즈니스에 어떤 의미인가

Imperva 2024 Bad Bot Report에 따르면 전체 인터넷 트래픽의 49.6%가 이제 자동화되어 있습니다 — 봇, 크롤러, 스크립트입니다. 그중 32%는 악성 봇 트래픽으로 분류됩니다: 대규모로 스크래핑하고, 자격 증명을 대입하고, 사기를 저지르거나, 시스템을 악용하도록 설계된 자동화 프로그램입니다.

인터넷 역사상 처음으로 사람 트래픽이 소수가 되었습니다. 비즈니스가 봇 트래픽을 능동적으로 탐지하고 관리하지 않는다면, 인프라 비용과 분석 데이터의 거의 절반이 기계에 의해 발생하고 있는 셈입니다.

봇 분류 체계

좋은 봇(검색 엔진 크롤러, 모니터링 봇)은 트래픽의 약 17.6%를 차지합니다. 악성 봇 — 나머지 32% — 은 몇 가지 범주로 나뉩니다:

Credential Stuffing 봇

이 봇들은 데이터 유출로 확보한 사용자 이름/비밀번호 조합 목록을 가져와 로그인 페이지에 대규모로 대입합니다. 탈취된 자격 증명은 다크웹 마켓플레이스에서 1,000건당 110달러에 거래됩니다. 0.12%의 성공률이면 100만 회 시도당 수백 개의 계정이 탈취됩니다. Ponemon Institute에 따르면 credential stuffing 공격의 평균 비용은 약 600만 달러입니다.

스크래핑 봇

웹 스크래핑 봇은 가격 데이터, 상품 목록, 콘텐츠를 추출합니다. 특히 이커머스 플랫폼이 취약합니다 — 경쟁사가 실시간으로 가격 데이터를 스크래핑하면 몇 분 안에 가격을 낮춰 치고 들어올 수 있습니다.

광고 사기 봇

광고 사기는 Juniper Research에 따르면 840억 달러 규모의 문제입니다. 봇은 디지털 광고 캠페인에서 가짜 노출, 클릭, 전환을 생성합니다. 정교한 광고 사기 조직은 residential proxy와 anti-detect 브라우저를 사용해 봇 트래픽을 실제 사용자처럼 보이게 만듭니다.

재고 사재기 봇

이 봇들은 수량이 한정된 재고 — 콘서트 티켓, 한정판 제품, 예약 — 를 노립니다. 스니커즈 리셀 시장 하나만으로도 연간 20억 달러가 발생하며, 이는 대부분 봇 기반 재고 사재기에 의해 촉발됩니다.

CAPTCHA가 더 이상 통하지 않는 이유

AI 기반 풀이. GPT-4V와 유사한 멀티모달 AI 모델은 시각 CAPTCHA를 85~95%의 정확도로 풀 수 있습니다.

CAPTCHA 팜. 사람 작업자가 1,000건당 1~3달러에 CAPTCHA를 풉니다. 2Captcha 같은 서비스는 매일 수백만 건을 처리합니다.

사용자 경험에 미치는 영향. Google의 연구에 따르면 CAPTCHA는 전환율을 3~8% 낮춥니다. 어차피 CAPTCHA를 풀 수 있는 봇을 막겠다고 실제 고객을 차단하고 있는 셈입니다.

봇 정교함의 진화

1세대: 단순 HTTP 봇. HTTP 요청을 직접 보내는 스크립트입니다. WAF로 쉽게 탐지됩니다.

2세대: 헤드리스 브라우저. Puppeteer, Playwright, Selenium이 실제 브라우저를 자동화합니다. 자동화 프레임워크의 흔적을 통해 탐지할 수 있습니다.

3세대: Anti-detect 브라우저. Multilogin, GoLogin, Dolphin Anty는 완전히 위조된 브라우저 환경을 만듭니다. canvas 불일치 분석과 타이밍 이상을 통해 탐지할 수 있습니다.

4세대: AI 기반 봇. 새롭게 부상하는 위협 — 마우스 움직임, 스크롤 패턴, 타이핑 리듬을 포함한 사람의 행동 패턴을 흉내 내기 위해 ML을 사용하는 봇입니다.

tracio.ai의 접근 방식

효과적인 봇 탐지에는 여러 계층이 필요합니다:

Device fingerprinting은 130개 이상의 브라우저 신호로 지속적인 방문자 ID를 생성하며, 이 ID는 VPN 변경, 쿠키 삭제, 시크릿 세션에도 유지됩니다.

행동 분석은 상호작용 패턴을 평가합니다. 마우스 움직임을 완벽하게 흉내 내는 봇도 타이밍과 지터에서 탐지 가능한 패턴을 남깁니다.

**Smart Signals**는 시크릿, VPN/proxy, 에뮬레이터, canvas 위조 탐지를 포함해 서버에서 계산되는 24개의 보강 신호를 제공합니다.

Verdict Engine은 모든 신호를 결합해 50ms 미만으로 단일 ALLOW, BLOCK, CHALLENGE 판정을 내립니다.

무엇을 해야 하는가

1. 봇 트래픽을 측정하세요. tracio.ai의 무료 요금제로 시작하세요 그리고 일주일간 실행해 보세요.
2. 가치가 높은 엔드포인트부터 보호하세요. 로그인, 회원가입, 결제, API 엔드포인트입니다.
3. CAPTCHA에만 의존하지 마세요. device intelligence를 주된 탐지 계층으로 사용하세요.
4. 지속적으로 모니터링하세요. 봇 운영자는 적응합니다. 위협 환경과 함께 진화하는 자동화된 탐지가 필수입니다.
5. ROI를 정량화하세요. 인프라 비용, 사기 손실, 분석 정확도 개선을 추적하세요.