Хватит платить за фрод! Как распознать и предотвратить мошеннический трафик.

По данным IEB, на каждые $3, потраченных на рекламу, $1 приходится на фрод — мошеннический трафик. Опытом борьбы с фродом делятся эксперты Zen Mobile, входящей в iConText Group. Читайте на примере кейсов, как вовремя распознать и устранить фрод, чтобы не слить бюджет впустую.

Мобильный фрод — это обманные действия с рекламой (переходы, просмотры, клики, установки приложений и пр.), которые выдаются за релевантные для рекламодателя, но при этом приносят убытки. Фрод может съедать до 90% рекламных бюджетов. Такие мошеннические действия выгодны паблишерам, площадкам, CPA-сетям, чтобы выполнять обязательства и привлекать нужное количество пользователей.

Как фрод работает: мошенники могут перехватывать клики реальных людей независимо от того, органические они или платные, приведенные другими источниками, а могут — создавать фейковые пути пользователей без их участия, имитируя клики, установки и другую активность.

Чтобы не сливать бюджет впустую, важно уметь вовремя распознавать и устранять мошеннический трафик. Как это сделать, расскажем дальше.

Как распознать мобильный фрод

Рассмотрим на примере конкретных видов мошеннического трафика.

1. Фейковые девайсы, кликовые фермы и боты

Такой вид фрода имитирует установки, клики и другую пользовательскую активность. Если вы столкнулись с ботами, это 100% низкий Retention Rate (коэффициент удержания клиентов), Country Mismatch (несоответствие страны), высокая конверсия в целевое действие и отсутствие реальных покупок. Если рекламодатель таргетируется на Россию, а приходят пользователи из Вьетнама, причем сотнями, то, скорее всего, это боты.

2. Spoofing SDK 

Этот вид фрода представляет собой взлом SDK приложения посредством реверсивного изменения кода. Мошенники симулируют клики на рекламу, установки, создавая поддельный трафик и видимость активности внутри приложения.

В данном случае вы также наблюдаете пустые покупки, т. е. пользователь устанавливает приложение, регистрируется, совершает пустую покупку. При этом воронка пути каждого пользователя идентичная. Это обусловлено плохой инфраструктурой системы безопасности (регулярное обновление SDK, шифрование данных, динамическая передача параметров). Чтобы этого не было, необходимо прибегать к регулярным мерам защиты.

3. Click Flooding и Click Spamming

Метод перехвата атрибуции, базирующийся на фейковых отчетах о кликах. В этом случае рост установок конкретного партнера не приводит к общему росту аудитории приложения, один (или несколько) партнеров имеют нестандартно высокие показатели качества, крайне низкий Conversion Rate (ниже 0,1%) и CTIT (Click to Install Time — время от клика до инсталла) более 24 часов.

4. Перехват установок

Перехват установок схож с Click Flooding и Click Spamming. Вы также можете наблюдать высокие показатели качества трафика. Плюс, обязательно обращайте внимание на время от клика до инсталла. Если у Click Spamming оно очень длинное — более 24 часов, то у перехвата аномально короткое — менее 10 секунд. 

Далее поговорим, на какие показатели обращать внимание при анализе трафика и о чем договориться с клиентом на берегу.

Как бороться с мошенничеством в CPI-сетях

При оценке качества трафика важно обращать внимание на несколько показателей: конверсия из клика в инсталл, допустимый процент фрода, уровень ассистов и время от клика до инсталла.

1. CR (Conversion Rate) 

CR — конверсия из клика в инсталл. Вообще природа большого количества кликов объясняется тем, что реклама крутится в приложениях в маленьких форматах, где юзеры могут случайно кликнуть по объявлению. Плюс, могут влиять настройки SSP, которые предоставляют рекламные места. В одном случае клик по кнопке закрытия объявления считается рекламой, в другом — кнопка находится за пределами пользовательского интерфейса. В итоге человек кликает куда попало, и все клики регистрируются трекером. 

Наравне с этим природа большого количества кликов может быть фродовой. Чаще всего так и бывает. Недобросовестные партнеры рассылают миллионы фейковых кликов, рассчитывая, что часть пользователей установят приложение из поиска, атрибуцируются, и в итоге они получат оплату за конверсии. Однако антифрод-системы, как правило, работают на основе машинного обучения и учитывают данные рекламодателя, собранные за всё время сотрудничества, поэтому легко выявляют такой фрод.

Плюс, чтобы выдержать KPI конверсии из клика в инсталл, сетки начали работать по показам. И это понятно: в аналитике мы видим больше показов, и в результате получается меньше кликов. Конверсия клик-инсталл худо-бедно выдерживается. Однако, по законам мобильной атрибуции, клик сильнее показа. Поэтому инсталлы, пришедшие с таких показов, как правило, уходят в ассист,, за который никто не платит. Таким образом, KPI выдерживается, а объем трафика сильно просаживается.

2. Допустимый процент фрода

Необходимо изначально оговорить с клиентом, какой процент фрода считается допустимым. Конечно, есть достаточно категоричные рекламодатели, которые не оплачивают фрод вообще. Но мы призываем принять минимальное значение по фроду, т. к. антифрод-системы чаще оценивают трафик в целом по партнеру. И 20 чистых форсов наряду с 80 фродовыми с высокой вероятностью будут отнесены к фроду.

По нашему опыту, хорошо работает следующая схема: если у сетки 40% фрода, мы оплачиваем 60% чистого трафика и 15-20% от фродового трафика с учетом договоренностей. В мобильном мире это справедливо. К тому же, повышает лояльность партнеров — поставщиков трафика. 

3. Уровень ассистов

Ассист — это касание по рекламе. Например, у сетки А был клик, потом у сетки Б был клик. Далее произошел инсталл, и в результате сетка А идет в ассист, а инсталл атрибуцируется сетке Б. Т. е. сетка А содействовала сетке Б в добывании инсталла. 

Получается, потенциальные пользователи познакомились с приложением через рекламу, которую транслировала сетка А, но не установили его. Когда они увидели это же приложение в рекламе сетки Б, то уже решили скачать. В данном случае им просто требовалось напоминание. Поэтому ассисты можно рассматривать как бесплатные установки, которые вы получаете от медиаисточников. 

Такой сценарий встречается не часто, но 10-15% ассистов допустимо. Если же соотношение ассистов и установок аномально высокое, это может указывать на то, что трафик из источника мошеннический. Как правило, это Click Flooding. 

4. CTIT (Сlick to Install Time)

CTIT (Click to Install Time) — это время от клика по объявлению до установки. Конечно, в рекламном мире есть базовые значения показателя, но разные специалисты определяют верные индивидуально. Логично, что за 10-30 секунд сложно установить приложение — это короткий показатель. Но есть исключения. 

Например, с помощью программы SHAREit можно установить приложение на высокой скорости через Wi-Fi. Тогда CTIT действительно будет меньше 10 секунд. Что касается длинного показателя (более 24 часов), безусловно, есть ситуации, когда люди устанавливают приложение, забывают о нем на сутки и только потом открывают. Но их не много, максимум 20%. Поэтому важно смотреть на соотношение CTIT в целом по трафику. 

Также в AppsFlyer можно сравнить время клика, которому записался инсталл, и время клика последнего ассиста. Это также помогает анализировать подозрительный трафик.

Дальше — практика. Покажем и расскажем на примере конкретных брендов, как выявить и устранить мошеннический трафик. 

Как устранить мобильный фрод? Кейсы

1. Клиент SaveTime. Борьба с SDK Spoofing

Цель на старте — увеличить количество заказов. В работе с SaveTime мы столкнулись со следующей проблемой: в трекере отображалось 2000 заказов с выручкой 20 000 руб. Очевидно, что суммарный доход не соответствовал минимальному чеку. Плюс, заказы из MMP не попадали в CRM клиента. 

Чтобы найти причину, мы выполнили проверку через Server-To-Server. Выяснилось, что реальных событий было только два, а значит мошенники взломали приложение и посылали фейковые конверсии.
Как решили проблему: чтобы предотвратить последующие взломы, оставили передачу данных в формате Server-To-Server, а не через SDK.

2. Клиент — букмекерская контора. Работа с большим количеством ассистов

Целевое действие клиента — депозит. Работая над проектом, мы обнаружили, что в течение недели у одной сетки, показывающей стабильные результаты, резко увеличилось количество ассистов. Это признак перехвата установок другими CPI-партнерами в рамках оффера. 

Как решили проблему: провели анализ, выявили партнеров, у которых в этот период резко увеличилась конверсия в целевое действие, и отключили их. В итоге количество ассистов вернулось к допустимым значениям.

3. Клиент — сеть ресторанов и доставки японской и азиатской кухни. Борьба с Click Spamming и перехватом органических установок

Цель — увеличить количество установок. В какой-то момент подключение новой сетки спровоцировало зеркальное падение органики, отсутствовал прирост в выручке. Это традиционный Click Spamming, когда перехватываются органические установки. 

Как решили проблему: добавили партнера в black-лист.

Какой можно сделать вывод? Контролировать фрод можно. Вовремя выявлять его и устранять — тоже. Главное — регулярно анализировать качество трафика и обращать внимание на такие косвенные признаки, как конверсия, уровень органики, ассистов, время от клика до инсталла и пр. При правильном подходе вы не будете сливать бюджет впустую, сможете привлечь новых клиентов и увеличить доход.