Какой фрод бывает в мобильных приложениях?
Мобильный фрод в приложениях делится на две группы. Первая портит показы: реклама загружается, но её никто не видит (баннеры сложены стопкой, грузятся в свёрнутом приложении, обновляются слишком часто), показы одного приложения выдают за показы другого, а события создают эмуляторы, фермы устройств и заражённые телефоны. Вторая портит установки: click spamming и click injection присваивают чужие установки, SDK spoofing присылает трекеру установки, которых не было, а люди ставят приложение ради вознаграждения. Схемы описаны в стандартах MRC и АРИР по невалидному трафику и в глоссарии АРИР.
- 14:02:17.482news•••.ruВебRU · МоскваCLEAN
- 14:02:17.391app · Кино•••In-appRU · КазаньCLEAN
- 14:02:17.305prem1um•••.ruподмена доменаВебRU · МоскваSIVT
- 14:02:17.244Smart TV · Онлайн-кинотеатр•••Smart TVRU · Санкт-ПетербургCLEAN
- 14:02:17.160sport•••.ruбот · автотрафикВебдата-центр · NLGIVT
Чем фрод в приложениях отличается от фрода на сайтах?
На сайте код верификатора работает в браузере вместе со страницей. В приложении рекламу выводит SDK рекламной сети, и проверка зависит от того, какие данные он отдаёт. MRC в стандарте по невалидному трафику 2020 года предупреждает, что JavaScript и cookies, на которых в вебе держится часть проверок, внутри приложения бывают недоступны, а сложный фрод там устроен иначе. Поэтому риски приложений измеритель оценивает отдельно от веба.
Чтобы креатив мог работать с приложением, IAB Tech Lab выпустил MRAID, общий набор команд для HTML5-рекламы внутри приложений. Для измерения есть Open Measurement SDK: приложение встраивает его один раз и отдаёт сигналы о показе через интерфейс OMID, а теги верификаторов их собирают. Стандарт АРИР по видимости для приложений берёт за основу MRAID 2 и советует OMID, где к нему есть доступ. В России, как отмечает АРИР, часть технологий IAB, например OM SDK, недоступна.
Установки считает ещё одна система, мобильный трекер. По справкам Директа и VK Рекламы, в приложение встраивают SDK трекера: он сообщает об установках и запусках, а трекер связывает их с переходами по объявлениям и передаёт в рекламную систему. Обмануть можно и счётчик показов, и трекер.
Идентификатор устройства в приложении тоже есть не всегда. На iOS 14.5 и новее приложение получает рекламный идентификатор только с разрешения пользователя, иначе видит строку нулей, как и в симуляторе; на Android идентификатор можно сбросить или удалить. Apple сам называет поиск рекламного фрода среди задач этого идентификатора. Показы, по которым данных для решения не хватило, MRC требует показывать в отчёте как неизвестные. Телевизоры разобраны отдельно, в материале о фроде на Smart TV.
Какие схемы обманывают на уровне показа?
| Схема | Как работает | Как её классифицируют |
|---|---|---|
| Наложенные и скрытые показы | несколько баннеров лежат в одном месте стопкой (stacking): виден верхний, засчитаны все; сюда же прозрачные баннеры и места 1×1 | MRC: SIVT. АРИР: места 0×0 и 1×1 это GIVT, прочие скрытые показы становятся SIVT при подтверждённой манипуляции |
| Фоновая реклама | заражённое приложение запускает рекламу в фоне и само загружает креативы, пока человек занят другим | АРИР: вредоносное и нежелательное ПО |
| Частое автообновление | блок обновляется так часто, что рекламу не успевают разглядеть, а показы копятся | АРИР: манипуляции с инвентарём, если интервал не раскрыт и не согласован |
| Подмена приложения | инвентарь одного приложения выдают за инвентарь другого (App ID или bundle ID spoofing) | MRC и АРИР: SIVT |
| Эмуляторы и фермы устройств | события создают программы, изображающие телефон, или фермы устройств без обычной активности владельца | АРИР: автоматизированный трафик с выделенного устройства |
| Мобильные ботнеты | телефоны настоящие, но рекламу без ведома владельцев запрашивает вредоносная программа | АРИР: вредоносное и нежелательное ПО |
| Поддельные события показа | SDK или сервер присылает показы и видимость, хотя реклама не отрисовывалась | MRC и АРИР: фальсификация событий измерения |
Для автообновления в глоссарии АРИР три термина: обычное, не чаще раза в 30 секунд, раннее, с интервалом от 10 до 30 секунд, и недобросовестное, чрезмерно частое ради накрутки показов. Для фоновых показов важно требование стандарта АРИР по видимости: измерение в приложении учитывает события его жизненного цикла (onPause, onResume, onStop).
Как мобильный фрод крадёт и подделывает установки?
Трекер записывает установку на источник клика или показа, найденного перед ней в окне атрибуции; окна задают в настройках трекера. MRC требует от измерителей осторожности с метрикой установок: невалидные установки легко создать, и встречаются они часто. Валидная установка по MRC опирается на валидные показы и клики, измеренные напрямую, а невалидные бывают связаны со скрытой рекламой, редиректами и перенаправленным трафиком.
- Click spamming, или кликфлуд. Приложение или страница отправляет клики по рекламе от имени множества людей, которые ничего не нажимали. Расчёт на то, что кто-то из них позже поставит приложение сам и установка достанется последнему клику. Чем длиннее окно атрибуции, тем больше органических установок может забрать такой клик.
- Click injection и другие виды перехвата. Вредоносная программа на телефоне вмешивается в атрибуцию конкретной установки: человек пришёл из другой рекламы или нашёл приложение в магазине сам, а трекер записывает установку на мошенника. Глоссарий АРИР объединяет click injection, referrer hijacking и click hijacking понятием install hijacking. Чем по данным перехват отличается от кликфлуда, разобрано в материале о накрутке кликов и конверсий.
- SDK spoofing. Раз об установке трекеру сообщает SDK, этот сигнал можно подделать: на сервер трекера приходят установки и действия в приложении, которых на настоящих устройствах не было. Стандарт АРИР по SIVT относит SDK spoofing к фальсификации измерений.
- Эмуляторы и фермы устройств. Категорию автоматизированного трафика стандарт АРИР применяет и к установкам. Сведения об устройстве в запросе на показ передаются строкой текста, и IAB Tech Lab называет их подделку (device spoofing) распространённой проблемой; для OM SDK он описал аттестацию, где подлинность устройства подтверждает производитель. Новый рекламный идентификатор ещё не новое устройство: на Android его сбрасывают в настройках.
- Установки за вознаграждение и принудительные. Люди ставят приложение ради денег или бонуса, выполняя задания бирж и клик-ферм: по стандарту АРИР это мотивированная недействительная активность. Честный rewarded-формат, где награда раскрыта заранее и совпадает с условиями размещения, к ней не относится. MRC среди манипуляций называет и принудительную установку приложения через мобильный редирект.
Где кончается плохое размещение и начинается фрод?
Часть признаков бывает и у честного размещения. Границу проводят стандарт АРИР по SIVT, глоссарий АРИР и справки платформ:
| Что видно | Само по себе | Невалидный трафик, если |
|---|---|---|
| Показ не попал в зону видимости | качество контакта: его учитывают в видимости после очистки IVT | показ спрятан технически: стопкой, прозрачным слоем, в размере 1×1 |
| Баннер обновляется по таймеру | условие размещения, если интервал раскрыт и согласован | интервал скрыт, а цель обновлений накрутить показы |
| ID приложения пустой или с ошибкой | бывает ошибкой заполнения, глоссарий АРИР требует отличать её от подмены | ID подменён намеренно, чтобы продать показ как показ в другом приложении |
| Рекламный идентификатор из нулей | человек на iOS не разрешил отслеживание или удалил идентификатор на Android | нули идут вместе с другими признаками эмулятора или фермы |
MRC здесь строже: показы, спрятанные намеренно, в том числе стопкой и прозрачным слоем, входят в его перечень SIVT сами по себе. Поэтому в договоре стоит указать, по какому стандарту считается невалидный трафик.
Что проверить в in-app кампании?
- Приложения по bundle ID. Получите у площадки список приложений с bundle ID и ссылками на магазин и впишите его в медиаплан. По спецификации app-ads.txt ссылку на магазин (storeurl) передают в запросе на показ, а по ней находят сайт разработчика с файлом разрешённых продавцов; файл действует на все приложения, у которых указан этот сайт. Как его читать, показано в материале о подмене домена.
- Способ измерения. Уточните у верификатора, как он подключён в каждом приложении: пикселем, через MRAID или через OM SDK. По MRC глубина проверки при разных тегах различается, и ограничения каждого способа нужно раскрывать клиенту.
- Доля решений по IVT. Попросите долю показов в приложениях, где верификатору хватило сигналов, чтобы решить, валиден ли показ. MRC требует показывать её отдельно для веба, приложений и OTT, а показы без решения выносить в неизвестные.
- Интервал автообновления. Запишите в условия размещения, обновляется ли баннер и как часто. Без такого согласования частое обновление по стандарту АРИР считается манипуляцией.
- Установки рядом с показами. Сведите отчёт верификатора по приложениям-площадкам с отчётом трекера. Площадку с высокой долей SIVT в показах и большим числом установок проверяйте первой.
- Ценные события. Покупки и другие дорогие события в приложении сверяйте с данными своего сервера или магазина приложений: событие, которое пришло в трекер, ещё не платёж.
Находки по конкретным приложениям удобно обсуждать с площадкой по шагам из материала об отчёте о фроде.
Частые вопросы
Что такое in-app реклама?
Это реклама внутри мобильного приложения. Её выводит рекламный SDK, встроенный разработчиком, а не браузер, как в мобильном вебе. Поэтому проверка идёт через данные SDK, например по MRAID или OMID, а MRC требует оценивать риски невалидного трафика в приложениях отдельно от веба.
Что такое click injection?
Разновидность перехвата установок (install hijacking): вредоносная программа на телефоне вмешивается в атрибуцию, и установку, которую принесла другая реклама или сам пользователь, трекер записывает на источник мошенника. Глоссарий АРИР относит к перехвату также referrer hijacking и click hijacking, а стандарт АРИР по SIVT называет перехват установок характерной схемой для приложений.
Что такое SDK spoofing?
Подделка сигналов SDK, через которые приложение сообщает трекеру об установках и действиях: трекер засчитывает источнику установки и события, которых на настоящих устройствах не было. Глоссарий АРИР описывает SDK spoofing как фальшивые установки и взаимодействия, имитирующие события реальных пользователей, стандарт АРИР по SIVT относит его к фальсификации измерений.
Защищает ли магазин приложений от рекламного фрода?
Нет. MRC прямо пишет, что проверки и правила магазинов приложений не заменяют контроль при измерении: невалидный трафик они часто не учитывают. Отдельно MRC велит учитывать приложения, установленные не из официальных магазинов. А app-ads.txt говорит лишь, кому разрешено продавать рекламу в приложении, и не доказывает, что показ был настоящим.
Как это выглядит в AdMetr
Работаем во всех средах (веб, in-app, Smart TV) и с любой площадкой, которая принимает сторонний пиксель или код. Находим ботов и автотрафик, накрутку кликов и конверсий, click-injection, подмену доменов, сайты-призраки, аномалии частоты и отпечатков, показы вне целевой аудитории и невидимые показы. Разрезы отчёта: кампания, страна и город, устройство, ОС, браузер, среда, размещение, размер плеера, домен, класс трафика.