앱 설치 광고 사기, CTIT로 잡아내는 법
- 앱 설치 광고 사기는 클릭 인젝션·클릭 스패밍·SDK 스푸핑 등 여러 유형으로 나타납니다.
- CTIT(클릭-설치 시간)와 IP 중복률만 확인해도 이상 신호 상당수를 걸러낼 수 있습니다.
- 설치 후 리텐션과 인앱 이벤트까지 봐야 정교하게 위장된 봇 트래픽을 잡아낼 수 있습니다.
- MMP(모바일 광고 효과 측정 파트너) 도입과 정산 이의제기 절차를 함께 갖춰야 실효성이 생깁니다.
앱 설치 광고 사기란 무엇이고 왜 계속 늘어날까
앱 설치 광고 사기는 실제 사람이 광고를 보고 앱을 설치한 것처럼 데이터를 조작해 광고비를 부당하게 가로채는 행위입니다. 대부분의 앱 설치 광고는 CPI(설치당 과금, Cost Per Install) 방식으로 집행되기 때문에, 설치 1건만 만들어내면 곧바로 매체나 중개 네트워크가 수익을 가져가는 구조가 생깁니다. 이 과금 구조 자체가 사기가 계속 발생하는 근본 원인입니다. 광고주 입장에서는 마케팅 예산이 실제 잠재 고객이 아니라 봇이나 조작된 트래픽에 소진되고, 나아가 리텐션·구매 데이터까지 왜곡되어 캠페인 최적화 판단 자체가 틀어지는 문제로 이어집니다.
앱 설치 광고 사기의 주요 유형
클릭 기반 사기: 클릭 인젝션과 클릭 스패밍
클릭 인젝션은 사용자 기기에 설치된 악성 앱이 다른 앱의 설치가 완료되는 순간을 감지해, 그 직전에 가짜 클릭을 주입하는 방식입니다. 사용자는 광고를 본 적도 클릭한 적도 없지만, 어트리뷰션(전환 기여) 시스템에는 마치 광고 클릭 덕분에 설치가 일어난 것처럼 기록됩니다. 클릭 스패밍(클릭 플러딩)은 반대로 사용자가 클릭하지 않았는데도 대량의 클릭을 미리 대량으로 뿌려두고, 그중 우연히 자연 설치와 시간이 겹치는 클릭에 기여를 가로채는 방식입니다. 두 유형 모두 실제 광고 노출·클릭 행위가 없었다는 공통점이 있습니다.
디바이스 위장형 사기: SDK 스푸핑과 에뮬레이터·디바이스 팜
SDK 스푸핑은 앱 내부에 심어진 측정 SDK(소프트웨어 개발 키트, 개발사가 앱에 기능을 넣기 위해 제공받는 코드 모듈) 신호 자체를 위조해, 존재하지 않는 설치·이벤트를 서버에 직접 전송하는 방식입니다. 디바이스 팜은 실제 스마트폰 수백~수천 대를 물리적으로 모아두고 자동화 스크립트로 앱을 반복 설치·삭제하며, 에뮬레이터는 이를 가상 기기로 대체해 훨씬 저렴하게 같은 효과를 냅니다. 이 두 유형은 클릭 기반 사기보다 탐지가 까다로운데, 설치 자체는 ‘진짜’ 기기에서 일어나기 때문입니다.
사후 사기: 설치 후 이벤트 위조와 리퍼럴 하이재킹
설치까지는 정상적으로 이뤄졌더라도, 이후 앱 실행·구매·회원가입 같은 인앱 이벤트 신호를 가짜로 만들어 성과형 캠페인의 단가를 끌어올리는 사기도 있습니다. 리퍼럴 하이재킹은 이미 자연적으로(오가닉) 앱스토어에서 설치할 예정이던 사용자의 전환을 가로채, 광고 성과인 것처럼 둔갑시키는 방식입니다. 이 유형은 설치와 이벤트 기록 자체가 진짜라서 클릭·기기 데이터만 봐서는 걸러지지 않습니다.
- 클릭 인젝션: 설치 완료 직전 가짜 클릭이 끼어드는 유형
- 클릭 스패밍: 대량 클릭을 미리 뿌려두고 우연한 일치를 노리는 유형
- SDK 스푸핑: 측정 신호 자체를 서버로 직접 위조 전송하는 유형
- 디바이스 팜·에뮬레이터: 실기기 또는 가상기기로 설치를 반복 생성하는 유형
- 리퍼럴 하이재킹: 자연 유입될 설치의 기여를 광고 성과로 가로채는 유형
앱 설치 광고 사기 탐지 방법: 단계별 실행 가이드
1단계. MMP를 도입해 원본 로그부터 확보한다
탐지의 출발점은 매체가 제공하는 집계 리포트가 아니라, 광고주가 직접 통제하는 원본 로그입니다. MMP(모바일 광고 효과 측정 파트너, Mobile Measurement Partner)를 앱에 연동하면 클릭·설치·인앱 이벤트가 매체를 거치지 않고 독립된 서버에 기록되어, 매체 스스로 신고한 성과와 비교 검증할 기준선이 생깁니다. MMP 없이 매체 리포트만 신뢰하는 구조에서는 애초에 이상 신호를 발견할 방법이 없습니다.
2단계. CTIT 분포를 확인해 1차로 걸러낸다
CTIT(클릭-설치 시간, Click-To-Install Time)는 광고 클릭이 기록된 시점부터 실제 설치가 완료된 시점까지 걸린 시간입니다. 사람이 광고를 보고 스토어로 이동해 앱을 내려받아 설치를 마치기까지는 최소한의 물리적 시간이 필요합니다.
CTIT가 몇 초 이내로 지나치게 짧으면 클릭 인젝션을, 반대로 설치 직전 클릭 기록만 몰려 있고 노출과 클릭 사이 시차가 거의 없다면 클릭 스패밍을 의심할 근거가 됩니다. 대부분의 MMP는 CTIT 분포를 자동으로 시각화해 보여주므로, 캠페인 점검 시 가장 먼저 열어봐야 할 지표입니다.
3단계. IP·디바이스 핑거프린트 중복을 점검한다
동일한 IP 대역이나 동일한 디바이스 핑거프린트(기기 모델·OS 버전·해상도 등을 조합해 만든 식별값)에서 설치가 비정상적으로 몰려 있다면 디바이스 팜이나 에뮬레이터 트래픽일 가능성이 큽니다. 특히 데이터센터 IP 대역에서 발생한 설치, 실제로는 존재하지 않는 기기 모델명 조합은 명확한 위험 신호입니다.
4단계. 설치 후 행동 데이터로 교차 검증한다
클릭·기기 데이터가 깨끗해 보여도 안심할 수 없습니다. 설치 다음 날 앱을 다시 실행하는 비율(1일 리텐션)이 같은 매체·같은 캠페인의 평균과 비교해 뚜렷하게 낮거나, 앱 실행 즉시 삭제가 반복되는 패턴이 보이면 사후 사기를 의심해야 합니다. 캠페인·매체·소재(크리에이티브)별로 리텐션과 인앱 이벤트 발생률을 나란히 놓고 비교하는 것이 핵심입니다.
5단계. 사기로 확인된 트래픽은 정산에서 제외하고 재협상한다
탐지만으로는 손실을 막을 수 없습니다. 많은 매체·네트워크는 설치 후 일정 기간의 이의제기(디스퓨트) 창구를 운영하므로, 이 기간 안에 이상 트래픽을 정리해 정산 제외(클로백)를 요청해야 합니다. 이의제기 기간을 넘기면 사기로 확인되어도 환불받기 어려운 경우가 많으므로, 위 1~4단계 점검은 캠페인 종료 후가 아니라 진행 중에 주기적으로 이뤄져야 합니다.
유형별 핵심 탐지 지표 한눈에 보기
| 사기 유형 | 주요 수법 | 핵심 탐지 신호 |
|---|---|---|
| 클릭 인젝션 | 설치 직전 가짜 클릭 주입 | 비정상적으로 짧은 CTIT |
| 클릭 스패밍 | 대량 클릭 선점 후 우연한 일치 노림 | 노출 없는 클릭 폭증, 낮은 클릭-전환 시차 일관성 |
| SDK 스푸핑 | 측정 신호 자체를 서버로 위조 전송 | 존재하지 않는 기기 조합, 비정상 이벤트 발생 패턴 |
| 디바이스 팜·에뮬레이터 | 기기를 반복 초기화해 설치 재생성 | 동일 IP·핑거프린트 중복, 데이터센터 IP |
| 리퍼럴 하이재킹 | 자연 유입 전환을 광고 성과로 가로챔 | 특정 매체 편중된 오가닉성 유입, 비정상적으로 높은 전환율 |
탐지 후 흔한 실수와 주의할 점
탐지 체계를 갖춰도 실무에서는 몇 가지 이유로 효과가 반감되는 경우가 많습니다.
- 지표 하나(예: CTIT)만 보고 판단하는 경우 — 사후 사기나 SDK 스푸핑은 CTIT만으로는 걸러지지 않습니다.
- 캠페인 종료 후에야 점검하는 경우 — 이의제기 기간이 지나면 확인돼도 정산 환불이 불가능합니다.
- 매체가 제공하는 집계 리포트만 신뢰하는 경우 — 매체 스스로 사기를 신고할 유인이 없는 구조입니다.
- 신규 매체·네트워크를 소액 테스트 없이 대규모로 바로 집행하는 경우 — 이상 패턴을 조기에 포착할 기회를 놓칩니다.
또한 사기 탐지는 한 번 세팅해두고 끝나는 작업이 아니라, 사기 수법이 계속 진화하는 만큼 CTIT 임계값이나 IP 차단 기준을 주기적으로 재점검해야 하는 지속적인 운영 과제입니다.
자주 묻는 질문
Q. 앱 설치 광고 사기는 왜 유독 이렇게 자주 발생하나요?
대부분의 앱 설치 광고가 실제 노출이 아니라 설치 1건이 기록되는 순간 과금되는 CPI 구조이기 때문입니다. 설치 데이터만 조작하면 곧바로 돈이 되는 구조라 사기 유인이 지속적으로 존재합니다.
Q. MMP를 도입하면 사기를 완전히 막을 수 있나요?
완전히 막을 수는 없습니다. MMP는 매체와 독립된 원본 로그를 확보해 이상 신호를 발견할 기준선을 제공하는 도구이며, 실제 필터링과 대응은 CTIT·IP·리텐션 등 여러 지표를 함께 점검하는 운영 프로세스가 뒷받침돼야 효과가 있습니다.
Q. MMP 없이 자체적으로 어느 정도까지 탐지할 수 있나요?
자체 서버 로그에 클릭·설치 시각, IP, 기기 정보를 기록하고 있다면 CTIT 분포나 IP 중복 정도는 자체 분석으로도 확인할 수 있습니다. 다만 매체별 원본 클릭 로그와 대조하기 어려워 교차 검증에는 한계가 있습니다.
Q. 사기로 확인된 설치는 광고비를 돌려받을 수 있나요?
매체·네트워크마다 정책이 다르지만, 대개 설치 후 일정 기간 내 이의제기를 접수하면 해당 설치를 정산에서 제외하거나 환불하는 절차를 운영합니다. 이 기간을 놓치면 사기로 확인돼도 환불이 어려운 경우가 많아, 캠페인 진행 중 주기적인 점검이 중요합니다.
Q. 예산이 크지 않은 중소 마케터도 이런 체계를 갖춰야 하나요?
예산 규모와 무관하게 CPI 구조를 쓴다면 사기 유인은 동일하게 존재합니다. 다만 대형 MMP 도입이 부담스럽다면, 우선 신규 매체는 소액으로 테스트해 CTIT와 리텐션만이라도 확인하는 수준부터 시작해 점진적으로 체계를 넓혀가는 방식이 현실적입니다.
