저는 봇 트래픽을 연구하는 전직 CIA 사이버 작전 요원입니다. 트위터 계정의 80% 이상이 실제로는 가짜일 가능성이 충분한 이유—그리고 이는 트위터만의 문제가 아닌 이유를 설명합니다.

F5 에코시스템 | 2022년 7월 14일

이쯤이면 인수를 원하지 않았던 트위터와 인수 제안을 철회한 일론 머스크 사이에서 인수 절차가 난항을 겪고 있으며 법적 공방이 불거지고 있다는 소식을 아마 들어보셨을 것입니다.

이 갈등의 핵심에는 봇 트래픽 문제가 있으며, 이는 제가 꽤 잘 아는 분야입니다. 지난 6년 동안 저는 웹 상호작용을 분석해 봇과 봇이 노리는 애플리케이션, 그리고 그 목적을 파악하는 데이터 과학자 팀을 이끌어 왔습니다.

평균적으로 매일 약 20억 건의 트랜잭션이 F5의 봇 방어 인프라를 거치며, 당사는 사실상 모든 업종에 걸쳐 수백 개 기업에 봇 트래픽에 관한 정보를 제공해 왔습니다.

이러한 경험에 비추어 볼 때, 트위터의 봇 트래픽은 공개적으로 밝힌 것보다 훨씬 많고 내부적으로 파악하고 있는 수준보다도 더 많을 것이 거의 확실합니다. 공정하게 말하자면, 악성 또는 원치 않는 봇의 표적이 되고 있지만 이를 차단하기 위해 업계 최고 수준의 기술을 사용하지 않는 모든 조직도 후자에 해당할 가능성이 높습니다.

지난 몇 년간 봇에 대해 알게 된 몇 가지 사실과 그러한 결론을 쉽게 내릴 수 있었던 이유를 소개합니다.

봇은 항상 무언가를 달성하려고 합니다.

고객이 온라인 계정에 로그인할 수 있도록 하는 조직은 로그인 애플리케이션을 대상으로 특정 유형의 사기를 시도하는 자동화 공격을 겪게 됩니다. 온라인에서 특별 가격을 제공하는 조직은 재판매를 목적으로 가격, 운임 및 요금을 수집하는 데 자동화가 사용되는 것을 보게 됩니다. 이와 같은 사례는 수십 가지에 이릅니다.

Twitter의 경우, 핵심적인 동기 중 하나는 팔로워를 늘리는 것입니다. 팔로워가 많을수록 그 사람의 트윗도 더 흥미로울 것이라는 인식이 있으며, 실제로 팔로워가 많은 계정일수록 영향력이 더 큰 경향이 있습니다.

영향력을 확대하려는 목적이 개입되는 지점에서 이 모델은 우려를 낳을 수 있습니다. 공인과 일반 시민의 실제 계정과 상호작용하는 수백만 개의 Twitter 계정을 자동으로 제어할 수 있다면 얼마나 큰 영향력을 행사할 수 있을지 상상해 보십시오. 이는 사실상 무제한의 자원을 보유하고 강한 동기를 지닌 국가 차원의 행위자들을 끌어들일 가능성이 높습니다.

유인과 수단이 있다면 봇은 더 늘어날 것입니다.

트위터에는 막대한 유인이 있을 뿐만 아니라 이를 실행할 수단도 있습니다. 인터넷에는 다크웹·딥웹 마켓플레이스를 포함해 트위터 계정, 팔로워, 좋아요, 리트윗을 유료로 제공하는 서비스가 무수히 많습니다.

연구 목적으로 제가 만든 Twitter 계정에서 이러한 서비스를 이용해 보았습니다. 계속 테스트한 결과, 1,000달러도 들이지 않고 현재 이 계정의 팔로워 수는 거의 10만 명에 이릅니다. 한번은 아무 의미도 없는 내용을 트윗한 뒤 유료 팔로워들에게 리트윗을 요청했습니다. 실제로 그들은 리트윗했습니다. 이러한 계정은 TY19038461038 같은 이름을 사용하며, 다른 수많은 계정도 팔로우합니다.

자동화를 이용해 트위터 계정을 만드는 일이 얼마나 쉬울지 궁금해지기 시작했다. 나는 프로그래머가 아니지만 YouTube와 Stack Overflow에서 자동화 프레임워크를 조사해 보았다. 알고 보니 쉬운 일이었다.

테스트를 한 단계 더 발전시켜, 주말 동안 트위터 계정을 자동으로 생성하는 스크립트를 작성했습니다. 다소 단순한 스크립트였지만 어떤 대응 조치에도 차단되지 않았습니다. IP 주소나 사용자 에이전트를 변경하거나 제 활동을 숨기기 위한 어떠한 시도도 하지 않았습니다.

제한된 기술을 가진 사람에게도 그토록 쉽다면, 고도로 숙련되고 의욕적인 사람들로 구성된 조직에는 얼마나 쉬울지 상상해 보십시오.

기업은 봇 문제의 규모를 과소평가하는 경우가 많습니다.

몇 년 전, 미국의 한 소셜 네트워킹 사이트가 F5의 봇 방어 솔루션을 도입한 결과, 로그인 트래픽의 99%가 자동화된 것으로 밝혀졌습니다. 네, 잘못 읽으신 게 아닙니다. 무려 99%입니다.

실제로 많은 애플리케이션에서 트래픽의 80~99%가 자동화된 것으로 나타납니다. 이러한 결과는 예외적인 사례가 아니라 소매업체, 금융 기관, 통신사, 패스트푸드점 등 다양한 조직에서 흔히 발견됩니다.

물론 이는 회사에 엄청난 충격을 안긴 소식이었습니다. 봇 문제가 있다는 사실은 알고 있었지만, 상황이 그 정도로 심각할 줄은 상상도 하지 못했습니다. 그 여파가 얼마나 큰지 곧 실감하게 되었습니다. 고객 계정 중 실제 사람이 사용하는 계정은 극히 일부에 불과했고, 나머지는 모두 봇이었습니다.

소셜 네트워크 기업의 가치 평가에는 전체 계정 중 일부인 일일 활성 사용자 수(DAU)가 큰 영향을 미칩니다. 실제 DAU가 예상했던 수준의 일부에 불과하다는 사실이 공개되면서 기업 가치가 크게 하락했습니다.

봇으로 이익을 얻는 기업들이 항상 진실을 알고 싶어 하는 것은 아닙니다.

그 조직이 진실을 전혀 알지 못한 채 봇 문제가 5% 미만이라고 단순히 주장했더라면 해당 기업의 주주들에게는 오히려 더 나았을 것이라고 볼 수도 있습니다.

이러한 압박은 일일 활성 사용자(DAU) 수에 따라 기업 가치가 결정되는 소셜 네트워킹 사이트에만 해당되는 것이 아닙니다. 콘서트 티켓, 운동화, 명품 핸드백, 차세대 iPhone처럼 수요는 많지만 재고가 한정된 제품을 판매하는 기업에도 마찬가지로 적용됩니다.

이러한 제품이 봇에 의해 몇 분 만에 매진된 뒤 2차 시장에서 터무니없이 높은 가격에 재판매되면 고객들은 불쾌감을 느낍니다. 하지만 기업 입장에서는 여전히 전체 재고를 빠르게 소진할 수 있습니다.

이러한 경우 기업은 봇을 막기 위해 할 수 있는 모든 조치를 다하는 것처럼 보이길 원하면서도, 실제로는 거의 아무런 조치도 취하지 않을 수 있습니다.

트위터만의 문제가 아닙니다. 봇 문제는 모두의 문제입니다.

오늘날 우리가 목격하고 있는 자동화의 규모와 속도, 특정한 유인 체계가 끌어들일 가능성이 높은 봇의 정교함, 그리고 제가 직접 조사하면서 확인한 대응책의 상대적 부족을 고려하면, 내릴 수 있는 결론은 하나뿐입니다. 십중팔구 Twitter 계정의 80% 이상이 실제로는 봇이라는 것입니다. 물론 이는 제 개인적인 견해입니다.

다른 모든 기업과 마찬가지로 Twitter도 자사 플랫폼에서 원치 않는 자동화를 방지하려고 노력하고 있을 것입니다. 하지만 Twitter는 동기가 매우 강한 주체들이 사용하는 고도로 정교한 자동화에 대응하고 있을 가능성이 큽니다. 이러한 상황에서 봇 문제 해결은 자체적으로 처리할 수 있는 일이 아닙니다. 그에 상응하는 정교한 도구가 필요합니다.

하지만 여기에는 훨씬 더 중요한 문제가 걸려 있습니다. 봇 문제는 광고 수익이나 주가, 기업 가치보다 훨씬 더 큰 문제입니다. 이 문제를 계속 방치하면 디지털 세계의 근간 전체가 위협받게 됩니다.

어디에서든 봇이 무분별하게 확산되도록 방치하면 수십억 달러의 피해를 초래하는 대규모 사기로 이어집니다. 이는 사람들의 삶을 망가뜨리고, 국가와 악의적인 조직이 허위 정보를 퍼뜨리고 갈등을 조장하며 심지어 정치적 절차에까지 영향력을 행사할 수 있는 수단을 제공합니다. 결국 사기와 허위 정보, 갈등이 더욱 늘어나 전 세계 사람들이 서로 소통하고 관계를 맺는 능력에 악영향을 미치게 됩니다.

우리 사회가 인터넷과 모바일로 연결된 세상이 제공하는 편리함과 지식, 엔터테인먼트 및 기타 모든 혜택을 누리고자 한다면 온라인상의 자동화된 트래픽에 대응해야 합니다. 봇에 맞설 수 있는 유일한 방법은 우리 역시 고도로 정교한 자동화 기술을 활용하는 것입니다.

F5 글로벌 인텔리전스 총괄 댄 우즈(Dan Woods) 작성