실시간 입찰(RTB)이란 — 웹페이지가 열리는 0.1초 동안 내 정보가 수천 곳에 뿌려지는 광고 경매
Real-time bidding (RTB) is the automated auction that sells an ad slot in roughly 100 milliseconds each time a page or app loads. The seller broadcasts a bid request describing the slot, the device and the user, including advertising ID, IP address and sometimes location, to many bidders at once, and every bidder receives the data whether or not it wins. The Irish Council for Civil Liberties estimated US users' data is broadcast 747 times a day. In October 2026 Citizen Lab showed the same pipeline being used to deliver zero-click spyware.
실시간 입찰(Real-Time Bidding, RTB)은 웹페이지나 앱이 열릴 때마다 그 화면의 광고 자리를 약 0.1초 안에 자동 경매로 파는 방식이다. 판매 쪽이 '어떤 자리, 어떤 기기, 어떤 사용자'인지 담은 입찰 요청을 여러 광고 플랫폼에 동시에 보내고, 가장 높은 값을 부른 쪽의 광고가 뜬다. 낙찰받지 못한 곳도 사용자 정보는 받는다. 아일랜드 시민자유위원회는 2022년 미국 사용자 1인의 정보가 하루 747회 뿌려진다고 추산했다. 2026년 10월에는 이 경로가 스파이웨어 배달에 쓰인 사실이 확인됐다
3줄 요약
- 구조 — 페이지 로딩 → 입찰 요청 방송 → 수많은 구매 플랫폼 입찰 → 최고가 광고 표시, 약 0.1초
- 정보 — 광고 ID·IP·기기·위치·관심사가 입찰 요청에 실림. 낙찰 못 한 곳도 데이터는 받는다
- 위험 — 2026년 10월 애드펙션, 광고 경매로 특정인 기기에만 스파이웨어를 보낸 첫 공개 사례
핵심 질문
- RTB 실시간 입찰 뜻
- **광고 자리 하나를 화면이 뜨는 순간 경매로 파는 자동 거래 방식이다.** | 참여자 | 역할 | |---|---| | 매체(웹사이트·앱) | 광고 자리를 내놓음 | | SSP(공급 측 플랫폼) | 매체 대신 자리를 경매에 부침 | | 광고 거래소(애드 익스체인지) | 경매장 | | DSP(수요 측 플랫폼) | 광고주 대신 자동 입찰 | | 광고주 | 예산·타깃 조건 설정 |
- 광고 입찰 요청에 들어가는 정보
- **광고 자리 정보와 함께 사용자를 알아볼 수 있는 정보가 실린다.** | 정보 | 예 | |---|---| | 광고 ID | 아이폰 IDFA, 안드로이드 광고 ID | | 네트워크 | IP 주소 | | 기기 | 기종·운영체제·브라우저 | | 위치 | GPS 좌표 또는 IP 기반 추정(허용 시) | | 맥락 | 보고 있는 사이트·앱, 콘텐츠 분류 | | 추정 속성 | 관심사·연령대·성별 세그먼트 |
- RTB 개인정보 문제
- **경매에 참여한 모든 업체가 정보를 받는다 — 낙찰과 상관없이.** | 수치 | 내용(ICCL 2022) | |---|---| | 하루 방송 횟수 | 미국 사용자 1인당 747회, 유럽 376회 | | 연간 총량 | 미국·유럽 합쳐 연 178조 회 | | 데이터 수신 가능 업체 | 구글 RTB에서 미국 사용자 데이터 받는 곳 4,698개 | 이 수치는 시민단체의 추산이다.
실시간 입찰(Real-Time Bidding, RTB)은 웹페이지나 앱이 열리는 순간 그 화면의 광고 자리를 자동 경매로 파는 방식이다. 사용자가 기사를 누르면 페이지가 그려지는 약 0.1초 사이에 경매가 열리고, 낙찰자의 광고가 화면에 뜬다. 오늘날 웹·앱 광고 대부분이 이 방식으로 거래된다. 사람이 광고 자리를 하나하나 사고파는 대신, 알고리즘이 노출 한 번 단위로 값을 매긴다.
이 구조가 편리한 만큼 문제도 크다. 경매를 열려면 '누구에게 보일 광고 자리인지'를 입찰자들에게 알려야 하고, 그 설명에는 사용자를 알아볼 수 있는 정보가 담긴다. 2026년 10월 15일에는 캐나다 시티즌랩이 이 경매 경로를 이용해 특정인 기기에만 스파이웨어를 보낸 사례(「애드펙션」)를 공개하면서, RTB가 개인정보를 넘어 보안 문제로 번졌다.
1. 0.1초 동안 벌어지는 일
| 순서 | 일 | 주체 |
|---|---|---|
| ① | 사용자가 웹페이지·앱을 연다 | 사용자 |
| ② | 매체가 광고 자리를 공급 측 플랫폼(SSP)에 넘긴다 | 매체 |
| ③ | SSP가 광고 거래소에 '입찰 요청'을 보낸다 — 자리·기기·사용자 정보 포함 | SSP |
| ④ | 거래소가 입찰 요청을 여러 수요 측 플랫폼(DSP)에 동시에 방송한다 | 거래소 |
| ⑤ | 각 DSP가 광고주 조건과 사용자 정보를 맞춰 보고 입찰가를 정한다 | DSP |
| ⑥ | 최고가(또는 차순위 가격) 낙찰, 광고 코드가 사용자 기기로 전달된다 | 거래소 |
| ⑦ | 광고가 화면에 그려진다 | 사용자 기기 |
핵심은 ④번이다. 입찰 요청은 경매에 참여할 수 있는 모든 DSP에 동시에 간다. 낙찰은 한 곳만 받지만, 사용자 정보는 입찰에 참여한 모든 곳이 받는다. 업계는 이렇게 오가는 정보를 '비드스트림(bidstream) 데이터'라고 부른다.
2. 입찰 요청에는 무엇이 담기나
구글의 입찰 요청 규격(Authorized Buyers RTB) 같은 업계 표준을 보면, 입찰 요청에는 대략 다음 정보가 실린다.
| 분류 | 항목 | 사용자를 특정할 수 있나 |
|---|---|---|
| 광고 ID | 아이폰 IDFA, 안드로이드 광고 ID | 기기 단위로 지속 추적 가능 |
| 네트워크 | IP 주소(일부 가림 처리) | 가정·회사 단위 추정 가능 |
| 기기 | 기종·운영체제 버전·브라우저 | 다른 정보와 합치면 지문(fingerprint) |
| 위치 | GPS 좌표 또는 IP 기반 위치(허용 시) | 생활 반경 파악 가능 |
| 맥락 | 사이트·앱 이름, 콘텐츠 분류 | 관심사·성향 추정 |
| 세그먼트 | 관심사·연령대·성별 추정치 | 프로필 결합 시 특정 가능 |
하나하나는 익명처럼 보여도, 광고 ID·IP·위치가 합쳐지면 특정 개인을 가리킬 수 있다. 아일랜드 시민자유위원회(ICCL)는 2022년 보고서에서 미국 사용자 한 사람의 정보가 이런 경매로 하루 747회, 유럽 사용자는 376회 방송된다고 추산했다. 미국·유럽을 합치면 연간 178조 회이고, 구글 RTB에서만 미국 사용자 데이터를 받을 수 있는 업체가 4,698곳이라고 했다. ICCL은 RTB를 "사상 최대의 데이터 유출"이라고 불렀다. 시민단체의 추산이고 업계는 방법론에 반박해 왔다.
3. 스파이웨어 통로가 되는 방식 — 애드펙션 사례
시티즌랩이 2026년 10월 15일 공개한 애드펙션은 RTB의 구조를 거꾸로 이용했다. 정상 광고주는 '30대·서울·여행 관심' 같은 집단을 노린다. 공격자는 특정 한 사람을 노렸다.
| 단계 | 정상 광고 | 애드펙션(디스커버테크) |
|---|---|---|
| 표적 | 관심사 집단 | 특정인의 광고 ID·쿠키 ID·IP |
| 입찰 | 집단에 맞는 자리에 입찰 | 표적 기기의 입찰 요청이 오면 입찰 |
| 광고 내용 | 누구에게나 같은 광고 | 거래소에는 평범한 광고, 표적에게만 악성 스크립트 반환 |
| 결과 | 광고 노출 | 클릭 없이 기기 감염 시도(제로클릭) |
| 규모(2026년 3~6월) | — | 입찰 37억7천만 회, 낙찰 약 4억4천만 회 |
입찰 요청에 담긴 광고 ID와 IP가 표적을 찾는 '주소'가 됐고, 광고 코드가 사용자 기기로 전달되는 ⑥번 단계가 악성 코드의 통로가 됐다. 광고비 약 10만9천 달러로 4억 회 넘게 노출하면서 매출은 0이었다. 대부분의 노출은 누가 어디 있는지 파악하는 데 쓰였고, 감염은 고른 기기에만 시도됐다. 확인된 피해는 알자지라 기기 최소 45대다.
4. 내 정보를 덜 뿌리려면
| 조치 | 효과 | 방법 |
|---|---|---|
| 광고 ID 끄기·재설정 | 기기 단위 장기 추적 차단 | 아이폰: 설정 → 개인정보 보호 및 보안 → 추적 → 앱의 추적 요청 허용 끄기 / 안드로이드: 설정 → 개인정보 보호 → 광고 → 광고 ID 삭제 |
| 위치 권한 최소화 | GPS 좌표가 입찰 요청에 실리지 않음 | 앱별 위치 권한 '사용하는 동안' 또는 '안 함' |
| 브라우저 추적 차단 | 서드파티 쿠키·지문 수집 감소 | 사파리·파이어폭스·브레이브 기본 추적 방지 |
| 광고 차단기 | 경매 자체가 열리지 않음 | 브라우저 확장, 콘텐츠 차단기 |
| 고위험군 보호 모드 | 알려지지 않은 공격 경로 축소 | 아이폰 잠금 모드, 안드로이드 고급 보호 |
광고 차단은 무료 콘텐츠를 광고로 운영하는 매체에 부담이 된다. 일반 사용자에게는 광고 ID 삭제와 위치 권한 정리만으로도 입찰 요청에 실리는 정보가 크게 줄어든다. 언론인·공무원처럼 표적이 될 만한 사람에게는 시티즌랩 연구진이 광고 차단까지 권했다.
5. 자주 묻는 질문
| 질문 | 답 |
|---|---|
| RTB와 프로그래매틱 광고는 같은 말인가? | 프로그래매틱은 자동 광고 거래 전체, RTB는 그중 경매 방식이다. 고정 가격 자동 거래(PMP·PG)도 프로그래매틱에 들어간다 |
| 이름·전화번호도 넘어가나? | 표준 입찰 요청에는 들어가지 않는다. 다만 광고 ID를 다른 데이터와 결합해 전화번호와 연결하는 업체가 있다(시티즌랩 후속 보고서 예고) |
| 유럽 GDPR은 막지 못하나? | 동의 팝업(TCF)으로 처리하지만, 벨기에 당국은 2022년 IAB 유럽의 동의 체계가 GDPR을 위반했다고 판단했다 |
| 우리 사이트도 RTB를 쓰나? | 광고를 싣는 대부분의 사이트가 쓴다. 광고 자리를 고정 높이로 두고 페이지당 개수를 제한하는 것은 독자 경험 때문이지만, 노출 횟수를 줄이는 효과도 있다 |
6. 남은 것과 확인되지 않은 것
- 최신 수치: ICCL의 하루 747회는 2022년 추산이다. 2026년 기준 공신력 있는 수치는 찾지 못했다.
- 한국 시장: 국내 디지털 광고 중 RTB 비중은 확인하지 못했다.
- 규제 흐름: 구글은 애드펙션 이후 디스커버테크를 퇴출했지만, 입찰 요청에 담기는 정보 자체를 줄이는 규칙 변경은 발표되지 않았다.
- 후속 보고서: 시티즌랩은 광고 ID를 전화번호와 연결한 별도 행위자에 대한 보고서를 예고했다.
출처
- 구글 개발자 문서 — Authorized Buyers RTB request guide
- 프리버시(ICCL 보고서 요약) — ICCL report highlights magnitude of real-time bidding data sharing
- PPC랜드 — Bidstream data
- 시티즌랩 — Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware
- 넷츠폴리티크 — Online-Werbung: Firmen greifen jede Minute Daten ab