Fraud detection ломается не на моделях, а на плохих сигналах

Fraud detection ломается не на моделях, а на плохих сигналах

Чаще всего антифрод в affiliate-связке проваливается не из-за «слабого алгоритма», а из-за того, что команда кормит его шумом. Если в поток идут разные правила для webview, desktop и mobile, а события трекинга приходят с задержкой, система начинает путать нормальный трафик с мусором.

Смотреть нужно на базовые слои:
• согласованность fingerprint между визитами и конверсиями
• скорость прохождения воронки: слишком короткий путь часто важнее любого device_id
• поведенческие разрывы: идеальный CTR при пустой истории действий
• повторяемость: один и тот же паттерн кликов, IP и таймингов

Ещё одна ошибка — строить защиту только вокруг postback. Fraud редко живёт в одном событии: он размазан по сессии, рефереру, глубине скролла, движению мыши, смене языка и timezone. Если не сводить эти признаки в один профиль, можно долго банить «не тех» и пропускать однотипные кластеры.

Полезная схема простая: сначала режете явные аномалии по правилам, потом собираете сегменты для ручной проверки, и только после этого доверяете скорингу. Не наоборот. Иначе модель начнёт учиться на уже отравленных данных, а защита будет выглядеть умной только в отчёте.