Ad fraud редко выглядит как один большой ботнет — чаще это набор мелких искажений в цепочке трафика

Ad fraud редко выглядит как один большой ботнет — чаще это набор мелких искажений в цепочке трафика

Сначала ломается не «реклама», а сигнал: кривой referrer, подмена device ID, всплеск однотипных user agent, слишком ровный CTR и конверсия без нормального разброса. Если смотреть только на post-click, можно пропустить pre-bid подмену и фрод в инвентаре до аукциона.

Проверяйте не один KPI, а связку: impressions → clicks → sessions → events → revenue. Для fraud-паттернов полезны такие маркеры:
— аномально короткая сессия при «качественном» клике
— повторяемые IP/ASN с разными якобы пользователями
— одинаковые тайминги между показом и кликом
— конверсии без последующих микрособытий в аналитике

Отдельно смотрите на инфраструктуру: data center traffic, подозрительные прокси, mismatch гео между IP и часовой зоной устройства, а также слишком чистые сегменты аудитории, где поведение не похоже на живую смесь. В мобильном трафике добавляйте проверку SDK-цепочки и консистентности app instance ID.

Если ваш антифрод умеет только блокировать, он будет запаздывать. Нужен журнал признаков, по которому можно строить правила и искать повторяющиеся кластеры, а не единичные всплески. Фрод почти всегда экономит время на масштабе: один и тот же шаблон возвращается в новых кампаниях.

Вывод простой: ловите не «плохой клик», а разрыв между слоями данных — там ad fraud виден раньше всего.