정의
리스크 스코어(Risk Score) 는 결제 게이트웨이(PG)나 자체 풀필먼트 시스템의 리스크 엔진이 개별 주문 1건에 대해 산출하는 위험 수치입니다. 보통 0에서 100(또는 0에서 1000) 사이의 값을 가지며, 이 숫자 하나로 해당 거래를 승인(Approve), 수동 검토(Review), 거절(Decline) 중 어디로 보낼지가 결정됩니다.
한국 DTC 브랜드에서 리스크 스코어는 단순한 "사기 탐지"를 넘어섭니다. 카드사 chargeback(지불 거절) 비율이 1%를 넘으면 PG사가 수수료를 올리거나 계약을 해지하기 때문에, 리스크 스코어는 마진 방어선 그 자체입니다. 실제로 국내 주요 PG 3사의 표준 계약서에는 "월간 CB율 0.8% 초과 시 보증금 증액" 조항이 들어가는 경우가 많습니다.
비유로 이해하기
리스크 스코어는 공항 보안 검색대의 컨베이어 벨트 위 숫자와 같습니다.
- 0~30점: 그대로 통과. 직원이 쳐다보지도 않습니다.
- 31~70점: X-ray 재촬영. 담당자가 모니터를 한 번 더 봅니다.
- 71~100점: 별실 검사. 가방을 열고, 신원을 확인하고, 경우에 따라 탑승을 거부합니다.
중요한 건 점수 자체가 "사기다/아니다"를 판정하지 않는다는 점입니다. 점수는 확률이고, 판정은 정책(policy)이 합니다. 그래서 같은 65점이라도 어떤 브랜드는 자동 승인하고, 어떤 브랜드는 홀드시킵니다.
산출 공식
대부분의 리스크 엔진은 가중합(weighted sum) 모델을 씁니다.
Risk Score = Σ (wᵢ × fᵢ) × 100
여기서 fᵢ는 0~1로 정규화된 개별 피처, wᵢ는 가중치(합계 1.0)입니다.
실제 예시 (한국 DTC 주문 1건):
| 피처 (fᵢ) | 값 | 가중치 (wᵢ) | 기여도 |
|---|---|---|---|
| BIN 국가 ≠ 배송 국가 | 1.0 | 0.25 | 0.250 |
| 동일 IP 24시간 내 주문 5건 | 0.8 | 0.20 | 0.160 |
| 이메일 도메인 신규 생성(7일 이내) | 1.0 | 0.15 | 0.150 |
| 청구지-배송지 거리 850km | 0.6 | 0.15 | 0.090 |
| 첫 주문 고액(₩480,000) | 0.7 | 0.15 | 0.105 |
| 디바이스 fingerprint 재사용 | 0.3 | 0.10 | 0.030 |
| **합계** | **1.00** | **0.785** |
→ Risk Score = 0.785 × 100 = 78.5 → 수동 검토 큐로 이동.
실무에서는 여기에 머신러닝 모델(XGBoost, LightGBM)의 확률값을 0.7 : 0.3 비중으로 블렌딩하는 하이브리드 구성이 2024년 이후 표준입니다. 예를 들어 규칙 기반 78.5점, ML 모델 0.91(91점)이라면 0.7 × 78.5 + 0.3 × 91 = 82.25가 최종 스코어가 됩니다.
스코어 구간별 처리 정책 비교
| 구간 | 라벨 | 자동 처리 | 추가 인증 | 평균 처리 시간 | 한국 DTC 권장 비율 |
|---|---|---|---|---|---|
| 0–29 | Low | 즉시 승인 | 없음 | 1.2초 | 전체의 82% |
| 30–59 | Medium | 승인 + 모니터링 | 없음 | 2.4초 | 전체의 13% |
| 60–84 | High | 홀드 후 검토 | SMS/AR 자동 발송 | 4–12시간 | 전체의 4% |
| 85–100 | Critical | 자동 거절 또는 수동 | 여권/통화 녹취 | 24시간+ | 전체의 1% |
*수치는 국내 DTC 브랜드 40개사 평균(2024년 4분기 기준).*
주의할 점은 컷오프를 어디에 두느냐가 CB율과 전환율을 동시에 흔든다는 것입니다. 컷오프를 60에서 50으로 낮추면 CB율은 평균 0.42%p 감소하지만, 정상 고객의 3.1%가 검토 대기로 빠지면서 결제 완료율이 2.7%p 하락합니다.
실제 적용 시나리오
시나리오 1 — 명품 액세서리 브랜드 (AOV ₩320,000)
- 스코어 75 이상 → 3DS2 강제 + 배송지 확인 콜
- 도입 후 CB율 1.14% → 0.61%, 월 CB 관련 비용 ₩4,200,000 절감
- 리뷰 큐 일 평균 38건, 이 중 71%가 최종 승인
시나리오 2 — 식품 정기구독 (AOV ₩42,000)
- 저가 반복 결제라 스코어 컷오프를 80으로 상향
- 대신 재결제 실패(retry) 로직에 스코어를 연동: 70 이상이면 카드 재시도 대신 고객에게 알림
- 결과: 자동 거절률 0.3% 유지, 구독 이탈률 1.8%p 개선
시나리오 3 — 글로벌 K-뷰티 (해외 배송 비중 64%)
- 국가별 BIN 리스크 테이블을 별도 운영
- 동남아 특정 국가 BIN은 기본 가중치 +0.15 부여
- 해외 CB율 2.1% → 0.9%로 개선, 동시에 정상 해외 주문 승인율 96.4% 유지
흔한 오해
"스코어가 낮으면 안전하다" — 아닙니다. 스코어는 알려진 패턴에 대한 확률입니다. 신종 사기 수법(friendly fraud, 계정 탈취 후 소액 테스트)은 낮은 점수로 통과하는 경우가 많습니다. 그래서 스코어와 별개로 행동 이상 탐지(behavioral anomaly) 레이어를 반드시 병행해야 합니다.
"컷오프만 낮추면 CB가 줄어든다" — 단기적으로는 맞지만, 정상 고객 이탈로 LTV가 깎입니다. CB 1건을 막아 ₩320,000을 지키려다, 3명의 재구매 고객(연 LTV ₩1,150,000)을 잃으면 순손실입니다.
"스코어는 PG사가 알아서 계산한다" — PG사 스코어는 카드 네트워크 관점입니다. 자체 리스크 엔진은 여기에 배송지, 상품 카테고리, 프로모션 악용 이력을 더해야 합니다. 특히 한국은 명절 시즌(설/추석) 선물 배송지 급증으로 정상 주문의 스코어가 일시적으로 +12점 상승하는 계절성이 있습니다.
"한 번 정한 가중치는 그대로 둔다" — 가중치는 최소 분기 1회 재학습해야 합니다. 신규 결제수단(간편결제, BNPL) 도입 시 기존 가중치가 3개월 내에 무효화되는 사례가 흔합니다.
관련 용어
- Chargeback (CB, 지불 거절): 카드사가 결제를 강제 취소. 리스크 스코어의 최종 성과 지표.
- 3DS2 (3-D Secure 2): 유럽 PSD2 대응 인증. 스코어 60 이상 구간에서 전환율 방어용으로 선택 적용.
- BIN (Bank Identification Number): 카드 앞 6~8자리. 국가·발급사 리스크 판별의 1차 피처.
- Velocity Check: 동일 IP/디바이스/카드의 단시간 반복 시도 탐지.
- Friendly Fraud: 실제 카드 소유자가 본인 결제를 부인하는 유형. 스코어로 걸러지지 않는 대표 케이스.
- Manual Review Queue: 스코어 60~84 구간이 들어가는 검토 대기열. 인력 배치와 SLA 설계가 핵심.
- ML Blending: 규칙 기반 스코어와 머신러닝 확률값을 가중 평균하는 하이브리드 방식.