GA4에서 보이는 '다이렉트(Direct)' 과트래픽은, 전 세계 IP를 바꿔가며 우리 사이트의 상품 정보를 긁어가는 자동 수집 프로그램(봇) 때문입니다. 매출·사이트 속도·검색 노출(SEO)에는 전혀 영향이 없고, 오직 GA의 방문자 지표만 부풀려집니다. 웹방화벽으로는 막을 수 없다는 점을 가비아도 공식 확인했고, 그래서 이 트래픽은 지표에서 제외하고 보는 것이 최종 결론입니다.
1. 무슨 일이 일어났나
2026년 5월, 그리고 7월부터 GA4의 '다이렉트' 방문자 수가 평소의 수십 배로 치솟았습니다. 평소 하루 500~1,000명 수준이던 것이 많게는 하루 10만 이상으로 뛰었습니다.
사람이 직접 들어온 게 아니라, 자동 프로그램이 우리 사이트의 상품 페이지를 하나씩 전부 긁어가는 중이었습니다. 5월엔 주로 중국에서, 7월엔 브라질·칠레·에콰도르 등 중남미 여러 나라에서 들어왔고, 들어오는 나라가 계속 바뀌는 것이 특징입니다.
2. 이게 우리에게 '문제'인가?
결론부터 말하면 비즈니스에는 문제가 없습니다.
- 매출 — 영향 없음
- 사이트 속도·서버 — 영향 없음 (실제 서버가 받은 요청량은 작년과 거의 같습니다. 아래 3번 참고)
- 검색 노출(SEO) — 특이사항 없음
- 유일하게 망가지는 것 = GA4 방문자 분석 지표 — '다이렉트' 숫자가 봇 때문에 부풀려져, 진짜 고객이 얼마나 왔는지 분석이 어려워집니다.
한 가지 신경 쓸 점은, 이 봇의 목적이 우리 상품 목록·가격 정보를 통째로 수집하는 것으로 보인다는 점입니다(경쟁사·재판매용 추정). 이것은 '트래픽 문제'가 아니라 '데이터 보호' 관점의 별도 이슈입니다.
3. 원인 — 작년(2025) vs 올해(2026) 7월 접속 로그 비교
한스님이 뽑아주신 작년 7월과 올해 7월의 접속 기록을 같은 기준으로 비교했습니다. 결과가 아주 분명합니다.
| 항목 | 2025년 7월 (정상) | 2026년 7월 (과트래픽) |
|---|
| 서버가 받은 총 요청 수 | 약 2,570만 | 약 2,430만 (거의 같음) |
| 접속한 고유 IP 개수 | 약 5.9만 개 | 약 43만 개 (7배 이상) |
쉽게 말하면 "들어온 요청의 양은 작년과 똑같은데, 그걸 7배 많은 IP가 잘게 나눠서 했다"는 뜻입니다.
- 올해 늘어난 IP는 대부분 딱 1~5번만 접속하고 사라진 IP가 22만 개였습니다(작년엔 몇 만 개 수준).
- 한 대의 서버가 쏟아붓는 게 아니라 수십만 개의 다른 IP가 조금씩 나눠서 들어옵니다. 그래서 ① 서버는 멀쩡하고(요청량 그대로) ② GA만 폭증합니다(IP마다 새 방문자로 세니까).
- 이 IP들의 국적이 중남미(칠레·브라질·에콰도르 등)로 쏠려 있었습니다.
→ 이는 전 세계 가정집 IP를 빌려 돌려 쓰는 상용 크롤링 서비스('레지덴셜 프록시 + 자동 브라우저')의 전형적인 모습입니다.
4. 왜 못 막나 — 가비아(웹방화벽) 공식 답변
웹방화벽은 '공격처럼 보이는 수상한 요청'을 걸러내는 장치입니다. 그런데 이 봇은 '상품 페이지를 그냥 열어본다'는, 겉보기엔 완전히 정상적인 접속입니다. 공격 흔적이 없으니 방화벽이 걸러낼 근거가 없습니다.
가비아도 메일로 이렇게 확인해 주었습니다.
"공격 구문이 없는 정상 요청 형태의 대량 트래픽은 웹방화벽 룰셋만으로 탐지·차단하는 데 한계가 있습니다."
즉, 지금 방화벽으로는 이 트래픽을 막을 수 없는 게 맞습니다. 진짜로 막으려면 Cloudflare 같은 '봇 판별 전문 장치'를 따로 두어야 합니다. 다만 지금은 트래픽이 많이 가라앉았고 비즈니스에 무해하므로, 이 도입은 '데이터 유출이 우려될 때 선택'하는 방안으로 둡니다.
5. 임계치(1분에 몇 번 이상이면 차단) 이야기
- "1분에 N번 이상 들어오면 차단" 규칙을 검토했습니다.
- 문제 1: 이 봇은 IP마다 1~5번밖에 안 들어와서 어떤 임계치로도 안 걸립니다. (가비아의 1,000회 모니터링에서도 단 2건만 탐지)
- 문제 2: 임계치를 100회처럼 낮추면, 웹페이지 하나 열 때 같이 불러오는 이미지·파일까지 횟수로 세기 때문에 일반 고객과 구글 검색봇까지 잘못 차단됩니다(가비아도 "과탐·방화벽 부하 우려"로 확인).
- 결론: 1,000회는 유지(관찰 + 안전장치용), 100회로 낮춰 바로 차단하는 것은 위험. 임계치는 '봇 방어'가 아니라 '극단적 폭주 사고 방지'용입니다.
6. 그래서 어떻게 보면 되나 (지표 제외 뷰)
- 작년 정상 수치(하루 500~1,000명, 고유 IP 약 5.9만)를 '정상 기준선'으로 확정했습니다.
- GA에서 봇이 몰린 급증일과 중남미 유입을 따로 빼면, 진짜 고객 지표만 깨끗하게 볼 수 있습니다.
- 이 대시보드가 바로 그 역할을 합니다(급증일 자동 표시 + 제외 기준선 비교).
7. 문제가 생기면 알림은?
- 탐지 → 판정 → 대응 → 기록까지 대응 매뉴얼(런북)이 준비돼 있습니다.
- 이 대시보드가 경보선을 넘으면 화면 경고 + 알림음을 띄웁니다.
- 남은 것은 "누구에게, 어느 채널로 자동 알림을 보낼지" 담당자·채널만 지정하면 완성입니다.
8. 대응 경과 (시간순)
- 4~5월 — 비정상 IP 수동 차단. 하지만 IP가 무한히 바뀌어 계속 우회·재발.
- 7월 — 재발, 접속 로그 추출·분석.
- 8/10 — 가비아에 임계치 4,000회 안전밸브 적용(극단 폭주만 차단, 정상봇은 안전). ※5월에 처음 요청했으나 부정적 영향 우려로 반려됐던 것을 재적용.
- 9/11~9/18 — 가비아와 임계치 1,000회로 조정, 1,000/100회 2단계 모니터링. 악성봇·매크로 IP를 파악해 차단 예정. 단, 방화벽 부하 때문에 1,000회에서 점차 낮추는 방식으로 진행.
- 현재 — 여름 피크(하루 13.7만) 대비 크게 감소. 급한 불은 꺼진 상태.
✅ 최종 결론
- ① 과트래픽은 웹방화벽으로 막을 수 없다(가비아 서면 확인).
- ② 막을 필요도 없다 — 매출·속도·SEO 무해, GA 지표만 오염.
- ③ 봇임이 로그로 증명됐고, 정상 기준선으로 제외해서 보면 된다.
- ④ 알림 체계는 담당자·채널만 지정하면 종결된다.