광고 click을 조작하는 악성 traffic을, 개별 user 분류가 아니라 user-media 관계 graph로 표현해 label이 불완전한 상황에서도 군집 단위로 탐지하는 방법을 설명한다. 조작 click이 만드는 구조적 흔적을 어떻게 특징화하고 경계를 찾는지 짚는다.
핵심 포인트- 조작 click은 광고비와 정상 media 수익을 빼앗고 추천 model 학습 data까지 오염시키는데, 공격자가 전술을 바꾸고 완전한 label을 얻기 어려워 semi-supervised graph anomaly 문제로 전환
- 정상 user는 관심사 따라 다양한 media를 방문하지만 automated abusing device는 특정 악성 media 묶음을 반복 방문해, user-media 이분 graph에서 공통 이웃이 많고 정상 영역과 연결이 적은 고립 집단을 형성
- 이분 graph를 media-media projection으로 바꿔 두 media를 함께 방문한 user 비율을 edge weight로 두고, threshold로 약한 우연 연결을 제거해 의심 community 후보를 만들되 방향성 edge와 Strongly Connected Components로 완화된 threshold에서도 내부 순환이 강한 community를 탐지
- 내부 공통 방문 밀도에 더해 정상 media의 다양한 외부 neighbor 연결을 함께 보면 오탐을 줄일 수 있고, user-media를 user-product로 바꾸면 review 조작 상품 탐지 등 다른 platform fraud에도 확장
왜 읽나label이 부족한 abusing·fraud를 개별 분류로 잡기 힘든 팀에게, projection·threshold·community detection을 엮어 군집 단위로 악성을 분리하는 graph 접근을 정리한 사례.