Как обнаружить и доказать скрытый фрод в медийной кампании
Подозрительная эффективность при отсутствии реального результата Анализируя кампании по продвижению вкладов, эксперты заметили аномально высокие показатели у ряда программатик-площадок. Пользователи активно кликали по рекламе, переходили на сайт, выполняли определенные действия (микроконверсии во взаимодействия с калькулятором), но не совершали главного — не отправляли заявок на открытие депозита. Поведение указывало на интерес к продукту, но ни к чему не приводило.
Максим Малахов, Digital Group Head Media Instinct Group: «Метрики были практически „идеальными“: высокая глубина просмотра, уровень отказов ниже среднего, большое количество целевых действий. Однако разрыв между показателями на верхних этапах воронки и отсутствием заявок выглядел подозрительно. К тому же часть действий вела на элементы, которых не было на посадочной странице. Это несоответствие стало первым сигналом возможного фрода. Системы верификации трафика отклонений не выявили, так что мы стали проверять источники вручную».
Ручной анализ: от UTM-меток* к аномальному источнику Подозрительный источник нашелся при проверке трафика по категории UTM Content. В нем использовалась динамическая метка ADX Proxy с макросами, которые подтягивали домены площадок.
Поведенческие характеристики с этого источника резко выделялись на фоне других:
среднее время на сайте — 21 минута 45 секунд;
конверсия в цели-призраки, которых нет на странице, — 20,2 %;
конверсия в целевое действие — 12,7 %, вдвое выше среднего.
Аналогичное поведение в меньших объемах наблюдалось и в других источниках. Все указывало на масштабный распределенный фрод. Расслоение по браузерам и IP: критически важные сигналы Срез по версиям браузеров также показал резкие колебания эффективности. В десктопной версии Chrome 132 конверсия составляла 1%, а в Chrome 134 (актуальная версия на момент размещения) перевалила за 20%. Такого поведения не наблюдалось в других каналах, включая органический, а значит, не могло быть случайным.
Анализ IP-адресов показал концентрацию трафика в ограниченном количестве подсетей, что также намекало на искусственное происхождение активности.
Подтверждение через «Вебвизор»: неестественные паттерны поведения Финальный этап проверки через «Вебвизор» подтвердил подозрения: около половины всех посещений отличались поведением, нетипичным для живых пользователей. Боты «зависали» в верхней части страницы, резко переходили к футеру сайта, хаотично нажимали на различные элементы, в том числе нецелевые, быстро переключались между страницами. После подготовки аналитической сводки и передачи данных партнеру площадка подтвердила аномальную активность. Подозрительный источник заблокировали, а трафик, признанный некачественным, исключили из оплаты размещения. Чек-лист: куда смотреть, чтобы обнаружить скрытый фрод Пол + возраст. Обратите внимание на долю неопределившихся пользователей по полу и возрасту, особенно среди тех, кто заходит с десктопов. Часто именно в этой группе скрываются аномальные визиты с отличающимся поведением. IP-адреса. Подозрение вызывает большое количество визитов с одних и тех же подсетей или последовательных IP, особенно если они составляют значительную долю трафика (например, пять подсетей дают 50% всех визитов). Целевые действия. Сравните конверсии с органикой и другими платными каналами. Если при полном отсутствии движения по воронке будут высокие показатели по кликам и заявкам, это может быть индикатором фрода. Браузеры. Массовые заходы со старых версий, особенно если поведение пользователей резко отличается от других версий, — еще один повод насторожиться. Устройства. Аномалии часто можно заметить при анализе конкретных моделей телефонов. Если у отдельной модели показатели вовлеченности резко отличаются — проверьте источники трафика и поведение. Источники трафика и домены. Внимательно изучайте источники в разрезе UTM-меток. Один из признаков подозрительного трафика — нулевая доля отказов с отдельных доменов. «Вебвизор». В нем легко увидеть шаблонное поведение: однотипные движения курсора, клики сразу после захода, отсутствие естественного скроллинга. Все это может указывать на ботов или скрипты. Города. Нестандартное распределение по регионам, например резкий рост трафика из малых городов. Если при таргетинге на Москву и Санкт-Петербург трафик внезапно идет из Люберец, стоит перепроверить источники. Операционная система (детально). Даже в одной ОС поведение может кардинально отличаться в зависимости от версии. Если такие различия есть, проверьте, не связано ли это с техническими ошибками сайта. Визиты и истории. Большое количество повторных заходов (от 30 на одного пользователя) без логичного сценария — веский повод насторожиться.
Богдан Воробьев, руководитель направления Digital Media Банка ДОМ.РФ: «Фрод в диджитал — не новая угроза. Однако методы работы ботных ферм становятся более технологичными: в отличие от классических паттернов (отсутствие куки, массовые отказы) в нашем случае боты успешно имитировали настоящего пользователя, включая корректно определенный пол, возраст, интересы и сохранение куки. Это подчеркивает необходимость не только полагаться на инструменты автоматической верификации, но и развивать собственную экспертизу: вовремя замечать нетипичные корреляции, выносить поведенческий анализ за пределы стандартной отчетности и внедрять процедуры ручной аналитики в работу с массивами диджитал-данных».
Команда проекта
Богдан Воробьев, руководитель направления Digital Media Банка ДОМ.РФ
Зинаида Амвросимова, руководитель направления веб-аналитики Банка ДОМ.РФ
Максим Малахов, Digital Group Head Media Instinct Group
*UTM-метка (Urchin Tracking Module) — элемент, с помощью которого отслеживается эффективность рекламной кампании в интернете.
Реклама. Рекламодатель АО "Медиа Инстинкт" ИНН 7714760793