Adyen, 분산형 카드 테스팅 방어 방식 공개

2026년 10월 4일 Adyen은 Bot Attack 모델에 대한 기술 분석을 공개했다. 회사는 자체 평가에서 정상 구매자에 대한 결과를 악화시키지 않으면서 차단한 카드 테스팅 공격 수가 평균 28% 늘었다고 밝혔다. 이는 결제 서비스 제공자가 내세운 결과이며, 독립적인 검증이나 테스트 범위의 세부 내용은 글에 제시되지 않았다.

카드 테스팅은 실제 결제 시도를 이용해 결제 정보가 유효한지 확인하는 행위다. 공격이 여러 식별자에 분산되면 개별 구매자나 IP는 이상해 보이지 않을 수 있다. Adyen은 집계된 트래픽 그룹과 그 상태를 실시간으로 분석하는 방식을 설명한다. 개별 카운터로는 흩어진 이벤트로만 보이는 곳에서 모델이 전체 그림을 찾아내는 구조다.

차단 건수만으로는 평가할 수 없는 이유

중단된 시도가 늘었다는 수치는 정확히 무엇이 중단됐는지 알 때에만 의미가 있다. 규칙을 단순히 더 엄격하게 바꿔도 차단 지표는 올라가지만, 그와 함께 실제 구매의 손실도 커질 수 있다. 그래서 이번 발표가 정상 트래픽에 대한 결과를 따로 밝혔다는 점이 중요하다. 다만 이 주장이 재현되는지는 각자의 결제 포트폴리오에서 직접 검증해야 한다.

엔지니어링 측면도 있다. Adyen은 모델 학습과 운영에서 피처를 일관되게 계산하는 방식과 함께 데이터, 연산, 예측, 최종 결정을 모니터링하는 체계를 설명한다. 편집부가 보기에 이는 AI라는 단어 자체보다 더 의미 있는 신호다. 방어 품질은 운영 시스템이 학습 때와 같은 신호를 받는지, 그리고 팀이 편차를 제때 알아차리는지에 달려 있다.

고위험 가맹점에게 이번 소식은 손실 유형을 구분할 근거가 된다. 승인 거절 급증은 일반 구매자의 질이 떨어져서가 아니라 도난 데이터 검증 때문일 수 있다. 이 흐름들을 하나의 전환율 지표에 섞으면 보기 좋은 숫자를 되찾으려고 방어를 잘못 완화할 수 있다. 올바른 평가는 의심스러운 연속 시도, 정상 구매, 새 통제를 켠 이후의 결정 변화를 각각 따로 본다.

설명된 아키텍처는 사기 방지 팀과 논의할 구체적인 주제를 제공한다. 발표된 28%를 자사 절감액 전망에 그대로 옮겨서는 안 된다. 차단된 시도 수는 막아 낸 금전적 피해액과 같지 않다.

가맹점과 PSP에 주는 의미

가맹점에게 핵심은 특정 벤더 선택이 아니라 자사의 사기 방지 평가가 어떻게 설계돼 있느냐다. 무차별 대입 공격은 여러 항목을 동시에 타격한다. 승인 요청 수수료, 게이트웨이 부하, 발급사가 보는 거절률 상승, 그리고 그 결과로 일반 구매자의 승인율이 나빠질 가능성이다. 따라서 방어에 관한 논의는 차단된 요청 수만이 아니라 비용과 손실의 관점에서 해야 한다.

PSP와 결제 오케스트레이션 업체는 자사 규칙이 분산 공격을 어떻게 포착하는지 묻는 고객 질문을 더 많이 받게 될 것이다. 신호를 어느 수준에서 집계하는지, 결정이 얼마나 빨리 바뀌는지, 고객이 탐지 사실을 어떻게 알게 되는지에 대해 미리 명확한 답을 준비해 두는 것이 좋다.

자사 점검 항목

• 리포트에서 의심스러운 연속 시도와 일반 거절이 분리돼 있는지, 아니면 모두 하나의 전환율 지표로 합쳐지는지.
• 트래픽 그룹화에 어떤 피처를 쓰는지: BIN, 기기, 세션, 금액, checkout 진입 지점.
• 테스트 환경과 운영 시스템의 피처 계산이 일치하는지, 데이터 드리프트 모니터링이 있는지.
• 매입사와의 계약상 거절된 시도의 비용은 얼마이며, 그것이 방어의 경제성 계산에 반영돼 있는지.
• 오탐 차단에 대비한 계획이 있는지: 누가 제한을 해제하고 얼마나 걸리는지.
• 제공자에게 물어볼 질문: 정상 트래픽에 대한 효과를 어떻게, 어느 기간에, 어떤 가맹점 세그먼트로 측정했는지.

이런 목록이 있으면 솔루션을 본질적으로 비교할 수 있다. 한 제공자가 발표한 수치와 특정 포트폴리오에서의 실제 결과는 크게 다를 수 있으며, 이는 도입 과정의 정상적인 일부일 뿐 검증을 포기할 이유가 아니다.

출처: Adyen engineering disclosure; Adyen Protect product description; Stripe documentation on card-testing effects