Фрод видно не по одному клику, а по сбоям в цепочке событий и постбэков

Фрод видно не по одному клику, а по сбоям в цепочке событий и постбэков

Смотрите не только на объем, а на связку: клик → регистрация → депозит → апрув → payout. Фрод часто ломает именно переходы между этапами: событие в трекере есть, а постбэк не приходит; постбэк есть, а нужного события в логах нет; апрув слишком «ровный» для живого трафика.

Проверьте такие аномалии:
— слишком высокий CR на раннем шаге и резкий обвал дальше;
— одинаковые таймстемпы, user-agent, geo или device_id у пачки лидов;
— много кликов, но почти нет уникальных событий;
— постбэки приходят с задержкой пачками, а не равномерно;
— часть конверсий дублируется или закрывается в обход ожидаемой последовательности.

Полезно сравнивать события из трекера, CRM и сети по одной и той же сущности: click_id, subid, order_id, transaction_id. Если у одной заявки разные идентификаторы в разных системах, это не просто грязные данные, а повод искать подмену, ретраи или ручную накрутку. Отдельно смотрите на источники трафика с «идеальной» воронкой: в реальности у живой аудитории всегда есть шум.

Для быстрой проверки заведите правило: любой всплеск сначала подтверждается на уровне логов, а уже потом на уровне денег. Если аномалия держится только в одном месте, это баг. Если она повторяется в событиях, постбэках и отчетах — перед вами фрод или его подготовка.