Фрод-дейтинг: 7 сигналов, по которым трафик режут без спора

Фрод-дейтинг: 7 сигналов, по которым трафик режут без спора

Фрод_detection почти никогда не выглядит как один яркий флаг. Обычно это связка мелочей: слишком ровные клики, одинаковые паузы между событиями, повторяемые UA/accept-language, «чистые» сессии без естественных зигзагов. Если смотреть только на конверт, такие паттерны легко пропустить.

Проверяйте не только лид, но и путь до него:
— слишком короткое время до отправки формы;
— одинаковый порядок полей и действий;
— совпадение IP, ASN, geo и часового пояса с редкими исключениями;
— повторяющиеся device/fingerprint признаки между якобы разными юзерами;
— аномальные ретраи, refresh и возвраты на шаг назад.

На стороне защиты лучше всего работает не один скоринг, а слой сигналов. Слабые фрод-истории часто палятся на стыке: браузер говорит одно, поведение другое, сеть третье. Если антифрод смотрит только на IP, его обойдут. Если только на fingerprint, его тоже обойдут. Нужна корреляция.

Для арба это тоже полезно: чем чище источник, тем меньше ложных банов и лишних ручных проверок. Нормальная гигиена — разносить крео, преленды и потоки по поведенческим кластерам, а не гнать всё в один шаблон. Чем меньше повторяемости, тем сложнее системе объявить трафик «машинным».

Итог простой: фрод ловят не по одному признаку, а по несовместимости признаков. Если вы тестируете оффер или защиту, смотрите на связку поведения, устройства и сети — именно там чаще всего и лежит ответ.