미국·네덜란드·세이셸이 같은 시간에 들어온 날

GA4 의 지역 분포 보고서를 한참 들여다본 저녁이 있었습니다.

평소에는 잘 안 보는 화면입니다. portfolio 의 트래픽은 한국이 압도적이라 지역 분포를 펴봐야 한국 90% 이상에 나머지가 길게 흩어지는 그림이 나옵니다. 그 모양이 매주 비슷해서 지역 분포는 한 달에 한 번 정도만 확인하는 흐름이었습니다.

그날 보고서를 펴본 건 한 사이트의 직접 유입 비율이 평소보다 두텁다는 점이 자꾸 마음에 걸렸기 때문입니다. 한국 SMB 도구 사이트인데 검색 유입이 줄고 직접 유입이 늘어나는 흐름이 한 주 동안 이어졌습니다. 북마크가 늘어났다고 해석하기에는 사이트가 너무 신규였습니다. 다른 해석이 있을 텐데 그 다른 해석이 무엇인지가 안 떠올라서, 그날 저녁 GA4 를 열고 한 화면씩 차례로 펴보았습니다.

지역 분포 화면을 열었을 때 한국 외의 지역 세 곳이 또렷하게 솟아 있는 게 보였습니다.

미국, 네덜란드, 세이셸. 세이셸이라는 국가 이름을 GA4 보고서에서 본 게 그날이 처음이었습니다. 한국 SMB 도구 사이트에서 세이셸 트래픽이 솟을 일이 없습니다. 사이트의 콘텐츠 자체가 한국어이고, 한국의 작은 사업자가 검색해서 들어오는 흐름을 가정하고 만든 페이지들이었습니다. 세이셸의 사용자가 한국어 SMB 도구를 검색할 시나리오가 잘 떠오르지 않았습니다.

시간대 분포를 같이 펴보았습니다. 세 지역의 트래픽이 같은 시간대에 한 묶음으로 들어오고 있었습니다. 한국 시간으로 새벽 3 시쯤, 다른 새벽 5 시쯤, 또 다른 오후 1 시쯤. 사람의 생활 시간대로 설명하기 어려운 패턴이었습니다. 미국·네덜란드·세이셸의 사용자가 같은 한국 시간대에 우연히 동시에 한국어 SMB 도구를 검색해서 들어왔다고 보기는 어려웠습니다.

ISP 분포를 한 번 더 펴보았습니다. 일반 통신사 이름이 안 보였습니다. 데이터센터 이름이 줄지어 있었습니다. AWS, DigitalOcean, OVH, 그리고 이름을 처음 들어본 작은 데이터센터들. 사람이 노트북이나 휴대폰에서 들어왔다면 일반 통신사가 ISP 로 잡혀야 하는데, 그 칸에 데이터센터만 있었습니다.

거기까지 펴본 시점에 한 가지가 자리잡았습니다.

이 트래픽은 사람이 아니었습니다. 데이터센터에서 도는 크롤러나 봇이 한국어 SMB 도구 페이지를 매일 일정한 페이스로 긁고 있었고, 그게 GA4 에 사용자로 잡혀 있었습니다. 한 사이트의 사건이 아니라 portfolio 전체에 같은 패턴이 깔려 있다는 게 그 다음 며칠 동안 다른 사이트들을 펴보면서 또렷해졌습니다.

발견의 무게가 들어오는 데 며칠이 걸렸습니다.

처음에는 한 사이트의 이상치 정도로 처리하려고 했습니다. 두 번째 사이트, 세 번째 사이트에서 같은 시그니처가 보이기 시작하면서 portfolio 전체의 사건이라는 감각이 들어왔습니다. 6 개월간 쌓아 올린 분석들이 그때부터 흔들렸습니다.

그날 저녁의 GA4 화면을 한 가지로 적어두면, 세 지역의 시간대 정렬이 시그니처였다는 점입니다. 한 지역만 솟아 있었다면 그 지역의 무언가가 솟았다고 해석했을 텐데, 세 지역이 같은 시간대로 정렬되어 있다는 점이 사람의 행동으로 설명하기 어려운 패턴이었습니다. 그 정렬을 보는 데까지 6 개월이 걸렸습니다.