SDK Spoofing и Click Injection: как ломают мобильную атрибуцию

SDK Spoofing и Click Injection: как ломают мобильную атрибуцию

Давайте поднимем логи и посмотрим правде в глаза. В мобильном фроде редко «воруют клики» в лоб — чаще подменяют контекст: SDK уверяет MMP, что инсталл был честным, а паразитный клик прилетает ровно в окно атрибуции.

SDK Spoofing — это имитация событий от настоящего приложения без реального user journey. В логах это выглядит как невозможная последовательность: install_referrer есть, сессии нет, first_open приходит раньше, чем device fingerprint успевает собрать стабильный набор полей. Ботнеты эволюционируют, но паттерны их поведения остаются прежними: одинаковые build_id, одинаковые тайминги, одинаковые ASN.

Click Injection работает тоньше. Вредоносное приложение слушает broadcast о пакете и встраивает свой клик в последние миллисекунды перед установкой. На уровне сырых событий видна странная связка: клик с нулевой вовлечённостью, затем install почти без лагов, затем отсутствие post-install активности. Это не трафик, это перехват окна атрибуции.

Что фильтровать:
• latency between click/install ниже физически реалистичного порога
• повторяющиеся device ID, IP-пулы, referrer-последовательности
• installs без нормального session depth и без ранних in-app events

Вот технический разбор того, как именно уплывает ваш рекламный бюджет: если трекер доверяет одному только last click и не сверяет поведенческий след, мошенник получает credit за чужой пользовательский путь. Лечится это не «антифродом по названию», а корреляцией referrer, session timing, entropy device-полей и post-install сигнала.