El fraude publicitario son todas las impresiones, clics, instalaciones o leads que el anunciante paga pero que no le aportaron ningún interés real. Según distintas estimaciones de la industria, una parte notable de los presupuestos publicitarios del mundo se va en fraude, y en la compra en plataformas abiertas —push, popunder, nativa, redes móviles— su proporción puede ser aún mayor. El problema es que el «fraude» no es un solo truco. Son una decena de esquemas distintos, y el remedio contra uno no sirve contra otro.
A continuación, los principales tipos de fraude publicitario: cómo funciona cada uno, qué señales lo delatan en las estadísticas y qué hacen los anunciantes al respecto. Si necesitas el panorama general del tráfico inválido, empieza por el artículo sobre tráfico inválido; aquí entramos en el detalle de cada esquema.
Quién gana con el fraude
Antes de analizar los esquemas, conviene entender el motivo. El fraude casi siempre lo cometen quienes cobran por volumen:
- publishers y sitios: reciben una parte por impresiones y clics, así que los inflan;
- afiliados y subafiliados deshonestos: cobran por instalación o por lead y los falsifican;
- dueños de botnets y granjas de clics: venden «tráfico» a quien necesita inflar cifras;
- competidores: gastan el presupuesto ajeno; los tratamos en detalle en el artículo la competencia hace clic en mis anuncios.
Entender el motivo indica dónde buscar: si se paga por impresión, el fraude estará en las impresiones; si se paga por instalación, en la atribución de instalaciones; si se paga por lead, en los formularios.
Click spam
Cómo funciona. El click spam (también llamado click flooding) es el envío masivo de clics en nombre de usuarios que no pulsaron nada. Suele ser cosa del mundo móvil: una app o un sitio con un SDK publicitario envía en segundo plano clics a los enlaces de seguimiento de decenas de ofertas. La cuenta es sencilla: una parte de esas personas instalará algún día, por su cuenta y de forma orgánica, una de las apps, y la instalación se atribuirá al estafador por último clic.
Cómo se ve en las estadísticas:
- una cantidad enorme de clics con una conversión a instalación diminuta: cientos o miles de clics por instalación;
- el tiempo entre clic e instalación se reparte en horas y días, sin el pico característico de los primeros minutos;
- el «crecimiento» de instalaciones de la fuente coincide con la caída del orgánico.
Cómo se protegen. Se acorta la ventana de atribución por clic, se desactivan las fuentes con una relación anómala entre clics e instalaciones y se exige a la red transparencia sobre los sitios. Aquí la especificidad móvil importa: los mismos esquemas funcionan distinto en apps que en la web.
Click injection
Cómo funciona. Un esquema más fino, propio de Android. Una app maliciosa en el teléfono detecta que el usuario empezó a instalar otra app y, en el último momento, envía un clic en su propio nombre. La instalación es legítima y la persona es real, pero se paga a una fuente que no la trajo.
Cómo se ve en las estadísticas:
- un tiempo entre clic e instalación inverosímilmente corto: segundos, cuando la descarga y el primer arranque físicamente llevan más;
- el clic queda registrado después de que empezó la descarga de la app;
- la fuente «trae» instalaciones que, por lo demás, parecen orgánicas.
Cómo se protegen. Se compara la hora del clic con la del inicio de la instalación, se descartan las instalaciones con un intervalo imposible y se desactivan los subpublishers con ese patrón.
Domain spoofing
Cómo funciona. Un sitio de baja calidad se hace pasar por uno conocido. El anunciante compra por programática impresiones «en un gran portal de noticias», pero la impresión real ocurre en un sitio que no le interesa a nadie o directamente en una botnet. El dominio falso se inserta en la solicitud de puja.
Cómo se ve en las estadísticas:
- el volumen de impresiones «del sitio premium» supera el tráfico que ese sitio tiene en total;
- el CTR y la interacción son muy inferiores a los del mismo sitio en compra directa;
- el referrer y la URL de la página en la analítica no coinciden con el dominio declarado.
Cómo se protegen. La industria respondió con los archivos ads.txt y app-ads.txt, donde el dueño del sitio enumera a quién autoriza a vender su inventario, y con la cadena de suministro (sellers.json, supply chain). El anunciante compra solo a vendedores autorizados y compara los dominios de los informes con los referrers reales.
Ad stacking y pixel stuffing
Dos esquemas de inflado de impresiones que suelen ir juntos.
Ad stacking: varios anuncios se apilan uno sobre otro en el mismo espacio publicitario. Solo se ve el de arriba, pero la impresión se cuenta a todos. Si alguien hace clic en la pila, el clic también puede contarse a varios anunciantes a la vez.
Pixel stuffing: el anuncio, o un marco publicitario entero, se reduce a 1×1 píxel. Formalmente la impresión ocurrió, pero es imposible ver el anuncio.
Cómo se ve en las estadísticas:
- muchas impresiones con un CTR casi nulo y visibilidad nula;
- clics «en bloque» a la misma hora desde distintas campañas del mismo anunciante;
- las métricas de visibilidad (viewability) del sitio, muy por debajo de la media.
Cómo se protegen. Se compra por impresiones visibles, se sigue la viewability y se desactivan los sitios donde hay impresiones pero no visibilidad. Para quien paga por clic, estos esquemas son menos peligrosos, pero incluso ahí una pila de anuncios genera clics que la persona no hizo.
Tráfico de bots
Cómo funciona. Programas que se hacen pasar por visitantes: abren páginas, hacen clic en anuncios y a veces incluso se desplazan y rellenan formularios. El abanico es amplio: desde scripts simples que no ejecutan JavaScript hasta navegadores headless con huella falsificada que navegan a través de proxies residenciales y móviles.
Cómo se ve en las estadísticas:
- una proporción notable de visitas desde redes de hosting y centros de datos;
- dispositivos, navegadores y resoluciones de pantalla idénticos en visitantes «distintos»;
- tiempo en página nulo o siempre igual, sin scroll ni movimiento;
- picos nocturnos en geos donde todo el mundo duerme;
- clics sin una sola conversión en un volumen considerable.
Cómo se protegen. Los bots simples se cortan por red y por solicitud: ASN de hostings, VPN, proxies y centros de datos, reputación de la IP. Los sofisticados, con verificación del navegador y del comportamiento. Las señales en detalle, en el artículo señales del tráfico de bots; sobre cómo elegir el método, en verificación JS o bloqueo por IP.
Granjas de clics
Cómo funciona. Personas reales o estanterías de teléfonos reales a los que se paga por acciones: clics, instalaciones, registros, likes. Es el tipo de fraude más incómodo de combatir, porque los dispositivos son reales, los navegadores son reales y quien desliza el dedo por la pantalla es una persona.
Cómo se ve en las estadísticas:
- muchas visitas desde una misma subred de un operador móvil o desde un conjunto limitado de dispositivos;
- modelos de teléfono y versiones del sistema que se repiten;
- acciones rápidas y con el mismo guion, sin leer la página;
- actividad en el horario laboral del país de la granja, no del país objetivo;
- hay registros, pero no actividad posterior ni compras.
Cómo se protegen. Se mira la calidad después de la conversión: retención, acciones repetidas, aprobación. Se limita el número de clics por dirección y subred y se analizan las zonas horarias. Cómo funcionan las granjas por dentro, en un artículo aparte sobre clics de granjas.
Fraude con leads
Cómo funciona. Cuando se paga por lead (CPL, CPA), lo que se falsifica son los propios formularios. Los rellenan scripts, usuarios incentivados «a cambio de un bono» u operadores de granjas. También existe la reventa de bases viejas: en el formulario se insertan contactos reales, pero recogidos hace tiempo.
Cómo se ve en las estadísticas:
- un CR normal o incluso alto con una aprobación casi nula;
- formatos idénticos de nombres, correos y teléfonos, números consecutivos;
- los leads llegan en serie en poco tiempo;
- el teléfono no contesta o la persona no recuerda haber dejado sus datos;
- el tiempo entre el clic y el lead es demasiado corto para rellenar un formulario de verdad.
Cómo se protegen. Se vigilan los estados de conversión por fuente, no solo el CR; se cruza cada lead con su clic por click ID y se filtran los bots antes del formulario. Qué hacer con los leads falsos que ya están llegando, en el artículo bots que envían leads falsos.
Fraude de los sitios en push, popunder y nativa
Merece mención aparte el fraude que cometen los propios sitios de las redes publicitarias. El publisher recibe una parte de lo que gastas y le interesa que haya más clics. De ahí las zonas infladas, las redirecciones forzadas, los «clics» al cerrar la ventana y las suscripciones push conseguidas con engaños.
La herramienta principal aquí es desglosar las estadísticas por sitio. Pasa el número de zona o de sitio en el parámetro de la campaña y mira el resultado de cada uno. Más detalles en el artículo sobre push y popunder.
Tabla resumen de los tipos de fraude
| Tipo de fraude | Dónde aparece | Señal principal | Protección principal |
|---|---|---|---|
| Click spam | publicidad móvil, CPI | miles de clics por instalación | ventana de atribución corta, desactivar la fuente |
| Click injection | Android, CPI | segundos entre clic e instalación | revisar el intervalo clic–instalación |
| Domain spoofing | programática | más impresiones que tráfico del sitio | ads.txt, sellers.json, cotejo de dominios |
| Ad stacking, pixel stuffing | impresiones, CPM | impresiones sin visibilidad ni clics | pago por impresión visible, viewability |
| Tráfico de bots | cualquier fuente | centros de datos, homogeneidad, cero comportamiento | filtrado por red, navegador y comportamiento |
| Granjas de clics | redes sociales, móvil, CPA | subredes, mismos modelos, sin retención | límites por dirección, calidad posconversión |
| Fraude con leads | CPL, CPA | hay CR, no hay aprobación | estados de conversión por fuente, filtro antes del formulario |
Cómo se protegen los anunciantes: el enfoque general
Las medidas concretas dependen de cada tipo, pero el enfoque general es el mismo.
- Etiqueta el tráfico. Sin parámetros de sitio, campaña y clic, el fraude no se puede vincular a una fuente. Lo mínimo: click ID y número de sitio en cada enlace.
- Cuenta el dinero por fuente. Los clics y el CR no bastan: necesitas gasto, ingresos y ROI por cada campaña y sitio. Sin eso no se ve dónde el fraude cuesta dinero y dónde es inofensivo.
- Filtra antes de la oferta. Bots, centros de datos, VPN y proxies se cortan antes de la landing, para que no estropeen las estadísticas ni lleguen a las cuentas publicitarias como conversiones.
- Mira la calidad después de la conversión. La aprobación, el pago efectivo y la retención revelan el fraude que pasó todos los filtros de entrada.
- Desactiva las fuentes en la propia red. Un filtro de tu lado protege la landing, pero el clic ya lo pagaste.
- Exige reembolsos. Las plataformas devuelven el dinero por tráfico inválido demostrado si llegas con datos: direcciones, horas, proporción filtrada.
Cuánto cuesta todo esto en dinero y cómo calcular las pérdidas por bots, en el artículo cuánto presupuesto se pierde en bots.
Cómo se ve en ArtisanClo
ArtisanClo filtra bots, tráfico de centros de datos, VPN y proxies, y en el registro de cada clic aparece el código del motivo de la decisión: por qué la visita pasó o se filtró, de qué red vino, qué dispositivo tenía y qué verificaciones superó. Eso cubre el tráfico de bots y el inflado desde servidores, los tipos de fraude más masivos en la compra de tráfico.
El tracker integrado calcula gasto, conversiones, beneficio y ROI por campaña y por sitio. Así se ve no solo cuánta basura llegó, sino cuánto dinero se fue en ella y qué sitios conviene desactivar en la red publicitaria. Para el fraude con leads es útil el vínculo entre clic y lead: en cada conversión se ve la visita de origen con todas sus señales.
En resumen
El fraude publicitario es una familia de esquemas, no un único problema. El click spam y el click injection roban la atribución de instalaciones; el domain spoofing, el ad stacking y el pixel stuffing venden impresiones invisibles o falsas; los bots y las granjas de clics generan clics vacíos, y el fraude con leads, formularios vacíos. Cada tipo deja su huella: miles de clics por instalación, segundos hasta la instalación, impresiones sin visibilidad, centros de datos y homogeneidad, subredes de granjas, CR sin aprobación. La protección general se basa en etiquetar el tráfico, contar el dinero por fuente, filtrar antes de la oferta y controlar la calidad después de la conversión. No existe una protección al cien por cien, pero el fraude que se ve por fuente se puede desactivar y se puede recuperar el dinero que costó.
