<b>Fraud detection ломается не на спаме, а на повторяющемся «почти нормальном» трафике</b>

<b>Fraud detection ломается не на спаме, а на повторяющемся «почти нормальном» трафике</b>

Если антифрод смотрит только на IP, UA и гео — он ловит грубые аномалии и пропускает аккуратный фарм. Слабое место обычно не в одном сигнале, а в комбинации: одинаковая скорость кликов, повторяемые паттерны скролла, одинаковая последовательность действий перед конверсией, слишком ровное время между событиями.

Что стоит проверять в первую очередь:
— связку device fingerprint + cookie + localStorage;
— поведение на уровне сессии, а не отдельного хита;
— согласованность браузера, языка, часового пояса и экрана;
— распределение задержек: живой пользователь редко ведёт себя «метрономом».

Для защиты полезно строить не один скоринг, а несколько слоёв. Первый — дешёвый фильтр на очевидный мусор. Второй — поведенческая модель на аномалии. Третий — ручная верификация спорных кейсов. Если всё завязано на один порог, арбитраж быстро подстраивает трафик под него.

С атакующей стороны уязвимость почти всегда одна и та же: слишком стабильный профиль. Чем меньше вариативности в сессиях, тем легче её связать в кластеры и прижать по общей аномалии. Лучший антифрод — тот, который ищет не «плохой запрос», а повторяющуюся систему поведения.