IP 사기 점수(Fraud Score) 완벽 분석: IPQS·Scamalytics 점수 해석 및 리스크 항목 가이드

프록시 IP를 조회할 때 가장 흔히 범하는 실수는 오직 사기 점수(Fraud Score)에만 매달리는 것입니다. 20점이 나오면 안심하고, 80점이 나오면 즉시 IP를 교체하려 하지만, 이 수치는 검사 도구를 벗어나면 일관된 절대적 의미를 갖지 않습니다. IPQS와 Scamalytics는 모두 0—100점 척도를 사용하지만 평가 기준은 완전히 다릅니다. IPQS는 현재 75점 이상을 의심 신호로 간주하는 반면, Scamalytics의 공개 검사 결과에서는 20점도 ‘Medium Risk(중간 위험)’로 분류될 수 있습니다.

실제 평가 시에는 먼저 해당 검사 툴 자체의 기준에 맞춰 점수를 해석한 다음, Proxy, Recent Abuse, Bot Status, Abuse Velocity, Connection Type 등의 세부 항목을 종합적으로 확인해야 합니다. 두 도구의 결과가 상충될 때는 단순한 수치 비교 대신 구체적인 위험 신호의 차이를 찾아야 합니다. 따라서 검사 도구의 맥락을 배제한 "몇 점이어야 정상인가"라는 질문에는 일괄적인 정답이 존재하지 않습니다.

1. IP 사기 점수는 획일적인 'IP 순도 점수'가 아닙니다

Fraud Score(사기 점수)는 리스크 탐지 서비스가 자체 데이터와 평가 알고리즘을 기반으로 현재 IP 또는 연결 세션에 매긴 위험도 평가값입니다. 다수의 도구가 우연히 0—100점 체계를 채택하고 있어 마치 만국 공통의 시험 점수처럼 보이지만, 실제 점수가 나타내는 의미는 각 서비스의 자체 기준에 맞춰 해석해야 합니다.

따라서 인터넷에서 흔히 볼 수 있는 "0—30점은 클린(안전), 30—70점은 보통, 70점 이상은 불량"과 같은 기준을 모든 검사 사이트에 무작정 대입해서는 안 됩니다. 최소한 해당 점수가 IPQS 기준인지, Scamalytics 기준인지, 혹은 다른 데이터베이스 기준인지를 명확히 구분해야 하며, 그렇지 않으면 단순 점수 구간 비교는 큰 의미가 없습니다.

또한 Fraud Score를 블랙리스트(Blacklist)나 네트워크 유형(Connection Type)과 혼동해서는 안 됩니다. 블랙리스트는 해당 IP가 특정 차단 명단에 등재되었는지를 나타내고, Connection Type은 Residential(주거용), Mobile(모바일), Corporate(기업용), Data Center(데이터센터) 중 어디에 가까운지를 판별하며, Recent Abuse는 최근 확인된 어뷰징/악용 이력이 있는지를 기록합니다. 이러한 지표들은 상호 연관될 수는 있으나 완전히 독립된 평가 기준입니다.

아울러 서드파티 Fraud Score를 특정 플랫폼의 '계정 안전율', '가입 성공률' 또는 '신뢰 등급'으로 직결해서는 안 됩니다. 이는 해당 리스크 데이터베이스가 해당 연결을 어떻게 평가하는지를 보여줄 뿐이며, 타겟 웹사이트가 반드시 동일한 판단을 내린다는 보장은 없습니다.

만약 실제 아웃바운드 IP, 네트워크 유형, 블랙리스트 및 브라우저 단의 정보 누출 여부를 아직 점검하지 않았다면, 먼저 프록시 IP 순도(Cleanliness) 종합 검사 가이드를 참고하여 기초 점검을 완료하세요. 이후 IPQS나 Scamalytics 검사 결과를 바탕으로 점수와 세부 항목을 분석하는 것이 훨씬 효율적입니다.

2. IPQS Fraud Score 해석법: 75, 85, 90점을 절대적 기준으로 보지 마세요

IPQualityScore(IPQS)의 Fraud Score 범위는 0—100점이며, 수치가 높을수록 탐지된 위험도가 높음을 의미합니다.

IPQS는 공식 Proxy Detection API 파라미터 문서를 통해 다음과 같이 명시하고 있습니다: Fraud Score ≥75는 suspicious(의심) 등급으로 직접적인 사기를 의미하지는 않을 수 있으나 주의가 필요하며, ≥90은 high risk(고위험) 등급으로 해당 트래픽에 대한 플래그 지정 또는 차단을 권장합니다. 한편, 모범 사례(Best Practices) 문서에서는 85+를 suspicious activity(의심스러운 활동), 90+를 abusive and malicious behavior(악의적 어뷰징 및 공격 행위)로 설명하기도 합니다.

이러한 공식 가이드는 위험도가 단계적으로 상승하는 흐름을 이해하는 지침으로 삼아야지, '0—74, 75—84, 85—89, 90+'와 같이 절대적인 잣대로 잘라 적용해서는 안 됩니다.

75점 안팎으로 측정된다면 위험 요인을 추가로 확인할 가치가 있음을 의미하며, 85점 부근이라면 프록시 특성, 최근 악용 이력, 자동화 봇 활동 여부를 정밀 검토해야 합니다. 90점 이상은 IPQS에서 신중한 처리를 강력히 권고하는 구간입니다. 그러나 "74점은 사용 가능, 75점은 사용 불가"처럼 단정 지어서는 안 되며, IPQS 측에서도 비즈니스의 리스크 허용 범위에 따라 유연하게 임계값을 설정하도록 권장하고 있습니다.

총점 이면에 숨겨진 '리스크 상승 원인'을 파악하세요

IPQS의 공식 응답 파라미터 중 Fraud Score 외에도 주목해야 할 핵심 항목으로는 recent_abuse, abuse_velocity, bot_status, frequent_abuser, proxy, connection_type 등이 있습니다. 공식적으로도 이들 정보를 유기적으로 결합하여 정밀 평가할 것을 권장합니다.

이는 단순히 숫자 하나를 외우는 것보다 훨씬 실용적입니다. 두 IP의 Fraud Score가 비슷하더라도 리스크 원인은 전혀 다를 수 있습니다. 하나는 순수한 프록시 특성 때문일 수 있고, 다른 하나는 최근 실제로 악의적 활동이 확인되어 점수가 올랐을 수 있습니다.

동일한 IP라도 IPQS에서 결과가 다르게 나오는 이유

IPQS의 Fraud Score는 IP 주소 자체만으로 산출되지 않을 수 있습니다. 공식 문서에 따르면 User-Agent, 언어 설정 및 기타 옵션 변수를 함께 반영할 수 있으며, IPQS Advanced Options에서 strictness, lighter_penalties, allow_public_access_points 등의 설정을 변경할 수 있습니다.

strictness는 0—3 범위로 설정되며, 레벨이 높을수록 엄격하게 검사하지만 IPQS는 2 이상부터 오탐(False Positive) 가능성이 커진다고 경고합니다. lighter_penalties를 활성화하면 일부 품질이 혼재된 IP의 감점이 완화될 수 있습니다. 따라서 웹 검사와 다양한 API 설정 환경 간에 결과 차이가 발생하는 것은 자연스러운 현상이므로, 비교 전 검사 조건의 일치 여부를 먼저 확인해야 합니다.

Risk Score가 표시될 때 Fraud Score와 혼동하지 마세요

일부 IPQS API에서는 결제나 사용자 데이터를 전달할 때 transaction_details.risk_score를 함께 반환합니다. 이 역시 0—100점 척도를 사용하지만, 공식 정의는 '사용자 또는 거래가 악의적 행동을 나타내는지'에 대한 신뢰도 평가이며, 전체 Fraud Score에 비해 Risk Score는 IP 평판(IP Reputation)의 가중치가 낮습니다. 관련 거래 데이터가 전달될 때만 해당 필드가 활성화됩니다.

이를 "Fraud Score는 과거 이력, Risk Score는 현재 상태"로 단순화하는 것은 기억하기엔 편하지만 정확하지는 않습니다. 두 지표가 처리하는 데이터 범위와 가중치 할당 방식이 다르며, 일반적인 단순 IP 조회에서는 대개 Risk Score가 반환되지 않는다고 이해하는 것이 적절합니다.

3. Scamalytics Fraud Score 해석법: IPQS 기준을 적용하지 마세요

Scamalytics 역시 0—100의 Fraud Score를 제공하지만, 점수를 해석하는 방식은 IPQS와 완전히 다릅니다.

Scamalytics가 관련 웹 트래픽을 직접 모니터링할 수 있는 경우, 공개 조회 페이지에서는 해당 점수를 '관측 가능한 웹 트래픽 중 사기 트래픽으로 의심되는 비율'로 설명합니다. 아울러 이는 모니터링 가능한 데이터에 국한된 결론이며, Non-web 트래픽은 전혀 다른 위험 양상을 보일 수 있다고 명시합니다.

특정 IP의 직접 모니터링 데이터가 부족한 경우, Scamalytics는 해당 IP가 속한 통신사(ISP) 또는 네트워크의 전반적인 위험도 프로필을 참조할 수 있습니다. 공식 페이지에서도 "해당 IP의 직접 웹 트래픽이 부족하여 통신사 전체 위험 등급을 기반으로 점수를 부여함"이라는 문구를 쉽게 볼 수 있습니다.

따라서 Scamalytics의 60점을 "이 IP가 악성 IP일 확률이 60%"라고 단순 해석해서는 안 됩니다. 자신이 모니터링할 수 있는 데이터 범위 내에서 웹 트래픽 위험도를 추정한 값으로 정의하는 것이 정확합니다.

Scamalytics 점수는 몇 점이어야 정상일까요?

자의적으로 점수 구간을 나누기보다는 조회 페이지에 함께 표시되는 Fraud Score와 Risk 라벨을 직접 확인하는 것이 좋습니다. 실제 공개 검사 결과에서는 Fraud Score 20점이 Medium Risk, 64점이 High Risk, 93점이 Very high Risk로 분류되는 사례를 흔히 볼 수 있습니다.

이러한 사례는 Scamalytics에 IPQS의 75, 85, 90점 기준을 절대 대입해서는 안 됨을 잘 보여줍니다. 조회 후 Fraud Score, 페이지에 표시된 Risk 등급, Operator, ISP, Proxy 정보 등을 종합적으로 검토하는 것이 서드파티의 '통용 위험 구간'을 맹신하는 것보다 훨씬 정확합니다.

4. IPQS는 낮고 Scamalytics는 높다면, 누구를 믿어야 할까요?

예를 들어 어떤 IP가 IPQS에서는 10점대인데 Scamalytics에서는 High Risk로 나온다면, 굳이 어느 도구가 더 "정확한지" 성급하게 단정할 필요는 없습니다. 양사의 데이터 커버리지와 평가 메커니즘이 다르기 때문입니다. IPQS는 User-Agent, 언어 설정, strictness 등의 변수를 포함할 수 있고, Scamalytics는 데이터가 부족할 경우 IP 개별 특성 대신 네트워크 전체의 위험도를 반영했을 수 있습니다.

따라서 IPQS의 50점과 Scamalytics의 50점 사이에는 직접적인 환산 관계가 없으며, 두 점수를 더하거나 평균을 내는 것은 무의미합니다.

뚜렷한 점수 충돌이 발생할 때는 양측 검사 페이지를 나란히 두고 교차 검증을 진행해야 합니다. 한쪽에서 Recent Abuse를 감지했는지, Proxy 플래그가 일치하는지, Connection Type이 동일한지, Scamalytics가 IP 자체를 평가했는지 통신사 전체를 참조했는지를 비교하세요. 수치 차이는 겉으로 드러난 현상일 뿐이며, 구체적인 위험 신호의 불일치 지점을 찾는 것이 문제 해결의 열쇠입니다.

5. Proxy, Recent Abuse, Bot Status 세부 항목 분석법

IPQS는 1회 조회 시 10여 개 이상의 필드를 반환하지만, 모든 항목을 동일한 가중치로 볼 필요는 없습니다. 실제 결과를 분석할 때는 연결 속성, 최근 활동, 네트워크 출처의 세 가지 범주에 집중하면 충분합니다.

Proxy: 연결 속성을 나타냅니다

proxy 필드는 프록시나 익명 연결로 의심되는 세션을 식별하는 데 사용됩니다.

따라서 Proxy: Yes로 표시될 때, 이는 검사 서비스가 프록시 또는 익명 네트워크 특성을 감지했음을 뜻하며, '해당 IP의 평판이 극도로 나쁘다'는 의미로 직결되지는 않습니다.

Recent Abuse와 Abuse Velocity: 최근 악용 동향을 나타냅니다

recent_abuse는 IPQS 네트워크 내에서 최근 수일간 확인된 악용 이력이 있는지를 나타냅니다. 공식 예시로는 계정 탈취(ATO), 감염된 디바이스, 허위 신청/가입, 봇 공격 등이 포함됩니다.

abuse_velocity는 악용 행위의 빈도와 속도를 측정하며 high, medium, low, none 값을 가집니다. bot_status는 최근 자동화 사기 행위에 봇이나 비인간 트래픽이 관여했는지를 나타냅니다.

엔터프라이즈급 데이터에는 6개월 이상 지속적인 악용 이력이 있는 IP를 식별하는 frequent_abuser가 포함되어, 장기 고위험 주소와 단기 악성코드, 봇넷(Botnet), 주거용 프록시 악용 사례를 구분할 수 있습니다. 따라서 Fraud Score가 낮더라도 recent_abuse=true라면 정밀 점검이 필요합니다.

Connection Type: 네트워크 소속 유형일 뿐입니다

IPQS는 현재 Connection Type을 Residential(주거용), Corporate(기업용), Education(교육기관), Mobile(모바일), Data Center(데이터센터)로 분류합니다. 여기서 가장 흔한 오류는 네트워크 유형을 신뢰 등급과 동일시하는 것입니다.

Residential IP도 악용되거나 봇/프록시 트래픽이 발생하여 높은 Fraud Score를 받을 수 있으며, Data Center IP라고 해서 반드시 Fraud Score가 높은 것도 아닙니다. 네트워크 출처와 위험 이력은 완전히 독립된 두 축입니다.

만약 "주거용(Residential) IP를 구매했는데 ISP, Organization, ASN 정보가 클라우드 호스팅 업체로 나오는" 문제를 겪고 있다면, Fraud Score만으로 진위를 따지기보다 주거용 IP 순도 판별 가이드를 확인하여 정확한 속성을 검증해야 합니다.

6. 점수와 검사 결과가 충돌할 때: 다차원 분석 가이드

실제 프록시 검사 시 모든 지표에 동시에 빨간 불이 들어오는 경우는 드물며, 대개 여러 지표 간에 상반된 결과가 나타납니다.

특히 오판하기 쉬운 두 가지 상황이 있습니다. Fraud Score는 높지만 공개 블랙리스트에 등재되지 않은 경우는 모순이 아닙니다. Fraud Score는 최근 어뷰징, 봇 활동, 프록시 특성 및 서비스 고유의 위험 데이터를 반영하지만, 공개 블랙리스트(Blacklist)는 각자의 독립적인 등재 기준을 따릅니다. 공개 명단에 없다고 해서 Fraud Score가 반드시 낮아야 하는 것은 아닙니다.

반대로 Fraud Score는 낮지만 Recent Abuse=true인 경우도 절대 간과해서는 안 됩니다. IPQS 공식 가이드에서도 Recent Abuse, Abuse Velocity, Bot Status 등의 필드를 총점과 함께 분석할 것을 권장합니다. Spamhaus 명단이나 AbuseIPDB 리포트 일시 및 위험 유형의 세부 의미는 전용 가이드에서 심층적으로 다루겠습니다.

모의 검사 결과 예시 분석

어떤 IP를 조회하여 다음과 같은 결과를 얻었다고 가정해 봅시다:

• · Fraud Score: 82
• · Proxy: false
• · Bot Status: false
• · Recent Abuse: true
• · Abuse Velocity: medium
• · Connection Type: Residential

단순히 82점이라는 숫자만으로는 이 결과를 온전히 이해할 수 없습니다. Residential은 IPQS가 이를 주거용 회선으로 식별했음을 보여주며, Proxy=false는 뚜렷한 익명 프록시 특성이 없음을 나타냅니다. 여기서 핵심 경고 신호는 Recent Abuse=true와 Abuse Velocity=medium입니다. 이는 해당 IP에서 최근 확인된 악용 행위가 발생했으며 그 빈도가 낮지 않음을 의미합니다.

이때의 핵심은 "82점을 써도 되는가"가 아니라, "이 주거용 IP에서 최근 왜 악용 이력이 발생했는가"입니다. 더 나은 숫자를 찾기 위해 다른 검사 사이트를 전전하는 것은 실질적인 도움이 되지 않습니다. 최근 악용이 발생한 시점을 확인하고 다른 DB의 기록을 대조하거나, 네트워크 신뢰도가 중요한 업무라면 Residential 라벨에 연연하지 않고 교체하는 것이 합리적입니다.

7. 최종 의사결정 가이드: 계속 사용, 정밀 재검토, 즉시 IP 교체

Fraud Score의 메커니즘을 이해했다면 주관적인 '순도 100점' 기준에 집착할 필요가 없습니다. 전반적인 검사 결과가 정상이면 계속 사용하세요. Fraud Score에 큰 이상이 없고 Recent Abuse, Bot Status, Abuse Velocity에 경고가 없으며, 구매 목적에 맞는 네트워크 유형이고 주요 검사 결과가 일치한다면, 더 낮은 점수를 찾기 위해 불필요하게 IP를 바꿀 이유가 없습니다.

결과가 뚜렷하게 충돌할 때는 정밀 점검을 진행하세요. IPQS와 Scamalytics 점수 차가 지나치게 크거나, Residential이면서 Proxy 플래그가 붙어 있거나, Fraud Score는 낮은데 Recent Abuse가 감지되거나, 동일 조건에서 결과 변동이 심한 경우에는 실제 아웃바운드 IP, 네트워크 유형, 블랙리스트, WebRTC/DNS/IPv6 유출 여부를 재검토해야 합니다. 이때 프록시 IP 순도 종합 검사 가이드를 참고하면 단일 점수에 얽매이는 것보다 훨씬 명확한 해답을 얻을 수 있습니다.

다수의 독립된 고위험 신호가 동시에 나타난다면 즉시 IP를 교체하는 것이 시간을 아끼는 길입니다. 높은 Fraud Score와 함께 Recent Abuse, Bot Status, 지속적인 Abuse Velocity가 동시에 확인되고 재검사 결과도 일치한다면, 억지로 사용할 이유를 찾기보다 다른 프록시로 즉시 교체하여 동일 조건에서 재검사하는 것이 현명합니다.

프록시 IP는 안티디텍트 지문 브라우저와 함께 사용해야 합니다

다계정 운영 환경에서는 프록시 IP 교체만으로 완벽한 보안을 확보하기 어렵습니다. IP는 네트워크 출구 문제를 해결하지만 브라우저 지문(Fingerprint), 쿠키(Cookie), 로컬 스토리지(Local Storage), 언어, 표준 시간대 등은 브라우저 환경 단의 핵심 식별 정보입니다. 여러 계정이 동일한 브라우저 환경을 지속적으로 공유하면 IP가 다르더라도 환경적 유사성으로 인해 연관될 수 있습니다. 계정 간 연관 리스크를 최소화하려면 프록시 IP를 안티디텍트 지문 브라우저와 병행 운용해야 합니다.

비트브라우저(BitBrowser)는 계정마다 완전히 독립된 브라우저 프로필을 생성하고 프록시 IP, 쿠키, 로컬 스토리지를 개별적으로 격리 배치할 수 있습니다. 이를 통해 네트워크와 환경 모두를 계정 단위로 분리 관리할 수 있으며, 대량의 프록시를 검수하거나 장기 운용할 때 각 창의 실제 IP를 직관적으로 파악하여 계정 간 교차 오염 위험을 효과적으로 차단합니다.

IP Fraud Score 해석의 본질은 검사 결과를 실질적인 액션으로 연결하는 데 있습니다: 신호가 전반적으로 정상이면 유지하고, 결과가 상충되면 원인을 분석하며, 복합 고위험 신호 발생 시 즉시 교체하세요. 점수가 20점이든 50점이든 80점이든, 해당 검사 도구의 평가 체계와 세부 필드의 맥락 속에서 해석할 때 비로소 가치가 있습니다.