Фрод почти всегда прячется не в одном сигнале, а в связке из трёх-четырёх мелких аномалий

Фрод почти всегда прячется не в одном сигнале, а в связке из трёх-четырёх мелких аномалий

Смотрите не на один «плохой» показатель, а на набор: одинаковые тайминги конверсий, повторяющиеся user-agent, странные гео-перекосы, слишком ровный CR на длинной дистанции. Одиночный сигнал даёт шум, связка — уже паттерн.

Полезная проверка для CPA-сетки и байера:
— клики идут волнами, а конверсии приходят с одинаковой задержкой;
— много лидов с похожими формами, телефонами или именами;
— в postback/логах видны дубли, подмена subid или слишком чистые цепочки;
— трафик «живёт» только до первого антифрод-барьера и быстро выгорает.

Не пытайтесь ловить фрод только по IP или только по device fingerprint. Обходы меняются, а сетка признаков остаётся: поведение до клика, путь до ленда, скорость заполнения формы, повторяемость связок крео→преленд→оффер. Чем короче путь проверки, тем легче злоумышленнику его подделать.

Если нужен один рабочий принцип: сравнивайте не отдельные конверсии, а распределения. Когда графики по времени, устройствам и источникам начинают выглядеть «слишком аккуратно», это не качество трафика, а повод копать глубже.