2026-11-01
IP별 요청 제한이 수만 개 IP에 분산된 검색 봇을 막지 못했던 사례
검색 때마다 외부 API를 호출하는 한 사이트에서 며칠 만에 검색 트래픽이 약 20배 늘었고, 거의 모든 검색이 503을 반환했습니다. IP별 제한이 이를 막아 줄 것이라는 초기 가정은 틀렸습니다. 하루 약 60,000건의 검색이 약 60,000개의 서로 다른 IP에서 들어왔고, 각 IP는 약 한 번씩만 요청을 보내 어떤 제한에도 도달하지 않았습니다. 사용자 에이전트는 일반 브라우저였고, Referer는 사이트 자체였으며, 검색어는 실제 제품명이었기 때문에 가격 수집이 목적이었을 가능성이 높았습니다. 외부 API의 일일 할당량은 그날 이른 시간에 소진되었고, 일반 방문자는 하루 대부분 검색할 수 없었습니다. 적용한 조치는 사이트 자체 페이지가 발급한 서명된 토큰이 있는 요청에만 외부 API를 호출하도록 하고, 토큰이 없는 검색은 인기 검색어 순위에서 제외하며, 시간당 상한을 전역 및 토큰별로 설정하는 것이었습니다. 배포 후 503은 0이 되었습니다. 토큰은 인증이 아니며, 공격자의 비용만 높일 뿐입니다.