keeper-out 1만원 게이트 검증 시스템 — 설계 보고

01.한 줄 요약 (BLUF)

지금 /diagnose 제출은 4개의 약한 가드만 통과하면 즉시 사장님 폰으로 1만원이 발사됨. 영업원·디바이스·IP·OTP·잔액 preflight 어느 것도 박혀 있지 않다. 본 보고서는 OUTBOUND(영업원 매장방문) 컨텍스트에 맞는 3개 동시 게이트(영업원 이름+코드 / 사장님 폰 OTP / naver_place_id × phone 유일성) + 1개 비동기 가드(잔액·이상치) + dual-layer 사후 검수(영업원 30k 인센은 24h~3일 후 확정) 구조를 제안한다. 자동님은 이미 키퍼 플랫폼 admin 권한(ceo@bizdirect.co.kr, group=13 "키퍼 아웃바운드")을 보유 중이라, 사후 검수의 ②③룰을 한 번의 admin BFF 호출로 즉시 매핑 가능.

02.현황 — 지금 1만원이 어떻게 빠지나

호출 사슬:

// app/api/keeper-out/diagnose/route.ts (현재 production)
POST /api/keeper-out/diagnose
  → 필드 non-null (phone, current_security, ceo_name, marketing_consent)
  → sbInsert keeper_outbound_leads // 23505 → 409 "이미 진단 받으신 매장"
  → funnel_event "diagnose_submitted"
  → payouts 3건 INSERT // 사장님 10k + promoter 10k + HQ 10k
  → scheduled_sms_at = now() + 5min
  → ★ fire-and-forget sendNaverPayCoupon(phone, 10000)
       → bizapi.giftishow.com/bizApi/send api_code=0204
       // 실패해도 200 OK, funnel_event "naver_pay_failed" 만 기록

현재 적용된 가드 (모두 약함)

Attack surface 6종

• 동일인 다회: phone unique 없음 / place_id 미선택 시 같은 매장 N회
• 익명 봇: IP 기록·rate-limit·CAPTCHA·UA 화이트리스트 없음
• 본인성: SMS OTP 없음, 사업자번호 외부검증 없음
• 매장 실재성: gps_lat/lng는 받지만 사용 안 함
• 영업 attribution: agent_1 클라이언트가 안 보내면 그대로 null
• 예산: Giftishow 잔액 preflight 없음, 일·시간 cap 없음, circuit breaker 없음

03.위협 모델 — Actor × Scenario

고우선: T1·T2·T3·T7. 필수: T4·T5·T6. 운영 가시성: T9·T10.

04.검증 차원 (V1~V11)

05.종합 게이트 흐름 (자동님 5/5 정정 반영)

UX 정책: 사장님이 진단 끝까지 채우고 지원금 받기 버튼을 누른 그 시점에 영업원 이름+코드 입력 모달 등장. 진단 단계와 영업원 게이트 화면을 명확히 분리.

06.키퍼메이트(Referio) RE — 1차 가설 폐기

키퍼 플랫폼 vs 키퍼메이트(Referio) 분리

키퍼메이트 보상·정책 (랜딩 페이지 직접 추출)

키퍼메이트 어뷰징 정책 (FAQ Q5 명문화) ★

"허위/과장 광고, 검색 광고 집행, 스팸성 홍보, 자기 추천(셀프 가입) 등은 금지됩니다. 위반 시 키퍼 메이트 자격이 해지될 수 있습니다."

"자기 추천 금지"는 우리 위협 T3(영업원 본인/지인 폰)과 정확히 같은 시나리오 — 정책 차용 + 자동 검출 둘 다 박는다.

07.키퍼 admin RE — 자동님 권한 + 데이터 모델

자동님 admin 권한 (★ ceo@bizdirect.co.kr)

• JWT: RS256, 5h 만료, payload {userId:5398, accountId:5702, role:"ADMIN", group:13}
• 그룹: id=13 "키퍼 아웃바운드" — description "아웃바운드 영업 및 수도권 현장 실사"
• 사이드 네비 권한 4섹션: 회원 관리 / 주문 관리 / CS센터 / 홈
• RBAC hidden: affiliate/partner/mate/referral/payout 등은 정책 매트릭스에만 등록(true 반환), 실제 페이지 미빌드(/_not-found)

API 백엔드 도메인 분리 (마이크로서비스)

api-account.keeperplatform.com      // 계정/사용자 (v1/account/*)
api-notification.keeperplatform.com // 알림/SSE/푸시
admin.keeperplatform.com/api/my/*   // BFF — same-origin 프록시
admin.keeperplatform.com/api/keeper-auth  // 인증 어댑터

CORS: api-account는 Access-Control-Allow-Origin: * + Bearer JWT cookie 자동 첨부. BFF: /api/my/group, /api/my/method-permission?method=get&rootPath={X}.

User (OWNER) 데이터 모델 — 4136명

interface User {
  id: number;                       // 6245 (auto-increment)
  name: string;                     // 실명
  loginInfo: {
    socialProvider: null | string;  // "kakao" 등
    email: string;
    id: string | null;             // login id (qbflel/khw491)
  };
  email: string;
  mobile: string;                   // "010-3111-1165" (대시 포함) ★ 매칭 키
  memo: string | null;
  createdAt: string;
  shopName: string;                 // 대표 매장명
  shopAddress: string;
  shops: any[];                    // 다매장 점주
  subscribes: any[];                // ★ 비면 가입만 / 있으면 계약 성사
}
// 회원번호: KP{YY}{MM}{DD}{HH}{MM}{ID4}  (예: KP26050518592567)
// 역할 enum: OWNER (자영업자) / PARTNERS (영업파트너=대리점)

Order (설치) 데이터 모델 — 42건

• 주문번호: 260505170227426 (yymmddHHMMSS + 3자 random)
• 4상태: 설치 접수 → 설치 일시 확정 → 설치 완료
• 5유형: 고객 주문 / 관리자 등록 / 외부채널 주문 / 한달 무료 / 기타
• 상품: 실내용 카메라 (₩396,000/대) / 실외용 카메라 / IoT 센서
• 검색 8키: 매장명 / 주문번호 / 주문상품 / 주문자명 / 주소 / 작업자 / TID

08.dual-layer 사후 검수 (★ keeper-out 고유)

키퍼메이트는 단일 검수 후 발송이라 dual-layer 불필요. 우리는 사장님 1만원 즉시 발송이라 영업원 30k 인센은 별도 회수 윈도우 필수.

// [24h cron — TM 통화 후]
GET /v1/account/admin/users?role=OWNER&phone={leads.phone}
  → items.length === 0
      // 사장님이 키퍼 가입 안 함 = ②③룰 미달
      payouts.lead_30k status = 'invalid'
      영업원 invalid률 누적
  → items.length > 0
      // 가입 확인 = ②룰 통과
      → user.subscribes.length > 0
          → ③룰 통과 = 30k 인센 'confirmed'
      → user.subscribes.length === 0
          → 7일 추가 대기 (가입했지만 미구독)

// [7일 cron]
GET /v1/order/admin/purchase?keyword={leads.store_name}
  → 설치 완료 주문 hit
      → 인센 'confirmed' + install 50k 인센 자동 트리거

// [30일]
미확정 = 영업원 30k 'invalidated_final'

09.자동님이 이미 결정한 것

10.결정 대기 중 + 다음 액션

비결정 5건

다음 액션 — 3갈래

11.참조 문서 (in-repo)

• docs/keeper-out/anti-abuse/01-current-state.md — 호출 사슬 + 4 가드 + attack surface 6종
• docs/keeper-out/anti-abuse/02-verification-requirements.md — 위협 모델 + V1~V11 + 종합 게이트 흐름 + 키퍼메이트 호환성
• docs/keeper-out/anti-abuse/03-re-candidates.md — RE 후보 매트릭스 (review-on 1순위 → 봄날의선물 → 무신사·올리브영 → 캐시노트)
• docs/keeper-out/anti-abuse/04-keeper-platform-re.md — 키퍼 플랫폼 + 키퍼메이트(Referio) RE 풀 정리 (정정판)