분석노트 #09 | 반갑지 않은 방문자 급증, 봇 트래픽 구별법과 대처 방법

6일 전

4분 분량

안녕하세요, 데이터로 비즈니스 성장을 돕는 에이스카운터입니다.

지난 노트에서 이상신호의 세 가지 모습, 급락·급증·끊김을 소개해 드렸는데요. 이번에는 그중 '급증'을 조금 더 깊이 들여다보려 합니다. 방문자가 갑자기 늘어나면 보통은 반갑습니다. 캠페인이 통했나, 어디서 입소문이 났나 기대하게 되죠. 그런데 그 방문자가 사람이 아니라면 어떨까요?

오늘은 방문자가 급증한 사이트의 데이터를 열어 보니 트래픽의 90% 이상이 자동화된 접속이었던 사례와 함께, 봇 트래픽을 알아보는 법과 발견한 뒤 챙겨야 할 것들을 정리해 봤습니다.

📘 이번 노트 2줄 요약

에카 케이스ㅣ방문자가 급증한 공공기관 D기관, 그 90%의 정체
에카 팁ㅣ봇 트래픽을 발견한 후 대처 방법

9월 초, 공공기관인 D기관의 담당자님께서 "방문자가 갑자기 크게 늘었는데, 이유를 모르겠어요."라고 문의를 주셨습니다. 평소 평일 하루 3천 명 안팎, 주말엔 1천 명대이던 사이트였는데요. 8월 중순부터 숫자가 오르기 시작하더니, 8월 26일에는 하루 방문자가 112만 명을 넘었습니다. 평소의 300배가 넘는 숫자였죠.

노트 하나. 방문자 300배 증가, 늘어난 방문자는 어디서 왔을까

데이터를 자세히 살펴보니 세 가지가 눈에 띄었습니다.

① 평소의 리듬이 깨져 있었습니다. 이 사이트는 평소 주말이면 방문자가 평일의 절반 아래로 줄어듭니다. 그런데 8월 22~23일 주말에는 오히려 하루 9만~11만 명이 들어왔죠. 급증은 8월 22~28일, 8월 31일~9월 4일 두 차례 이어졌고, 특히 8월 26일과 9월 1~4일(하루 45만~64만 명)에 크게 치솟았습니다.

② 같은 IP, 같은 기기에서 반복 접속하고 있었습니다. 로그에서 접속 IP와 디바이스 정보를 확인해 보니, 늘어난 방문의 대부분이 특정 IP 대역 하나에서 같은 디바이스 정보로 들어오고 있었습니다. 접속이 많았던 날에는 이 대역이 전체 트래픽의 90% 이상을 차지했죠.

③ 그 대역을 빼자 평소 모습 그대로였습니다. 해당 IP를 제외하고 보니, 실제 방문자는 기존과 같은 평일·주말 패턴을 그대로 유지하고 있었습니다. 늘어난 사람은 없었던 거죠.

노트 둘. 봇 트래픽, 이런 단서로 알아볼 수 있습니다

방문자가 평소보다 크게 늘었다면 먼저 무엇이 달라졌는지 살펴보세요. 실무에서 확인할 만한 단서는 크게 세 가지입니다.

1) 특정 IP·디바이스에 접속이 집중됩니다.

늘어난 방문의 대부분이 특정 IP 대역이나 동일한 디바이스 정보로 접속하고 있지는 않나요?

특히 특정 IP 대역의 접속이 급증한 시점과 전체 방문자 수가 치솟은 시점이 일치한다면 주의 깊게 살펴볼 필요가 있습니다.

2) 접속 시간과 페이지 조회 패턴이 비정상적입니다.

짧은 시간 동안 접속이 반복되거나 일정한 간격으로 요청이 이어지고, 특정 시작 페이지 또는 특정 페이지 조회가 비정상적으로 많이 발생하는 경우입니다. 평소 방문자가 적은 시간대에 트래픽이 집중되는지도 살펴보세요.

체류시간이 짧거나 페이지뷰가 많다는 사실만으로 봇이라고 단정하기보다는, 접속 시간과 반복적인 행동 패턴 등 여러 단서가 함께 나타나는지 확인하는 것이 좋습니다.

3) 유입 경로와 다른 지표가 평소와 달라집니다.

직접유입(Direct) 방문 비중이 갑자기 높아지거나 방문자는 크게 늘었는데 전환수 등 다른 표율지표는 그대로라면 증가 원인을 확인해 보세요. 다만 직접유입은 유입 정보가 전달되지 않은 정상 방문도 포함할 수 있고, 전환이 발생하지 않는 방문도 모두 봇은 아닙니다. 앞서 살펴본 IP·디바이스 정보와 접속 패턴을 함께 확인하는 것이 중요합니다.

D기관은 해당 IP 대역을 필터링하고, 봇 트래픽이 포함된 기간의 방문자·페이지뷰 같은 기본 지표 데이터를 해당 접속을 제외해 별도로 추출해 전달해드렸습니다. 이미 분석된 통계를 소급해 수정하기는 어려웠지만, 영향을 받은 데이터를 구분해 확인할 수 있도록 정리한 것이죠.

방문자가 급증했을 때는 원인을 파악하는 것뿐 아니라 이상 데이터를 어떻게 관리하고, 이후 통계에 어떻게 반영할지도 중요합니다.

그렇다면 봇 트래픽을 발견했을 때는 무엇부터 해야 할까요? 다음 에카 팁에서 IP 필터링 방법부터 이후 데이터 관리까지, 실무에서 챙겨야 할 사항을 정리해 보겠습니다.

🤖 봇 트래픽을 발견했다면? IP 필터링부터 사후 관리까지

가장 먼저 할 일은 이후 통계에서 제외하는 것입니다. 다만 필터링만으로 끝나지 않는 부분이 있어, 함께 챙겨야 할 것까지 순서대로 정리했습니다.

1. IP 필터링으로 통계에서 제외하세요

봇으로 확인된 IP는 에이스카운터 [설정 > IP 필터링]에 등록하세요. 등록한 IP에서 들어온 접속은 그때부터 방문자 수, 페이지뷰 등 리포트에 반영되지 않습니다.

→ 하나씩이 아니라 대역으로 등록하세요. 봇은 비슷한 IP를 돌아가며 쓰는 경우가 많습니다. D기관도 약 60개 IP가 한 대역에 몰려 있어, 시작~끝 범위로 한 번에 등록했습니다.

→ 사내 IP도 함께 등록해 두세요. 봇이 아니더라도 직원이나 대행사·개발사의 잦은 접속은 실제 고객 데이터를 흐립니다.

2. 필터링은 '통계에서 제외'이지, '접속 차단'이 아닙니다

필터링은 리포트에서 빼 줄 뿐, 해당 IP의 사이트 접속 자체는 계속됩니다. 서버 부담이나 보안이 걱정된다면, 접속 차단은 사이트를 운영하는 개발·호스팅 담당자에게 따로 요청해야 합니다.

3. 필터링은 등록한 날부터 적용됩니다

보통 통계는 분석이 끝난 뒤 집계된 형태로 저장되기 때문에, 지난 기간에서 특정 IP만 골라 다시 빼기는 어렵습니다. 그래서 빨리 발견할수록 비정상 트래픽이 포함된 기간이 짧아집니다. 급증을 다음 날 아침에 알아차렸다면 하루, 주간 리포트에서 알아차렸다면 일주일, 월간 리포트라면 한 달이 남는 거죠.

4. 데이터 이상 기간은 기록하고, 따로 정리해 두세요

'8월 18일~9월 10일, 해외 크롤러 트래픽 포함'처럼 영향받은 기간을 남겨 두면, 월간 보고나 전년 동기 비교를 할 때 기준이 흔들리지 않습니다.