Gian lận quảng cáo (ad fraud) là mọi lượt hiển thị, click, cài đặt hay lead mà nhà quảng cáo phải trả tiền nhưng không mang lại cho họ sự quan tâm thật. Theo nhiều ước tính của ngành, một phần đáng kể ngân sách quảng cáo toàn cầu rơi vào gian lận, và khi mua trên các nền tảng mở — push, popunder, native, mạng mobile — tỷ lệ này còn có thể cao hơn. Vấn đề là "gian lận" không phải một mánh duy nhất. Đó là cả chục thủ đoạn khác nhau, và cách chống loại này vô dụng với loại kia.
Dưới đây là các loại gian lận quảng cáo chính: mỗi loại hoạt động thế nào, nhận ra qua dấu hiệu gì trong số liệu và nhà quảng cáo xử lý ra sao. Nếu cần bức tranh chung về traffic không hợp lệ, hãy bắt đầu với bài traffic không hợp lệ; còn ở đây là chi tiết về từng thủ đoạn.
Ai kiếm tiền từ gian lận
Trước khi đi vào từng thủ đoạn, nên hiểu động cơ. Gian lận hầu như luôn do những người được trả tiền theo khối lượng thực hiện:
- publisher và site — nhận phần chia từ hiển thị và click, nên thổi số chúng;
- affiliate và sub-affiliate thiếu trung thực — được trả theo lượt cài hoặc lead, nên làm giả chúng;
- chủ botnet và trang trại click — bán "traffic" cho ai cần thổi số;
- đối thủ — đốt ngân sách của người khác, chi tiết trong bài đối thủ click tặc quảng cáo.
Hiểu động cơ sẽ biết cần tìm ở đâu: trả tiền theo hiển thị thì gian lận nằm ở hiển thị, theo lượt cài thì ở phân bổ lượt cài, theo lead thì ở lead.
Click spam
Cách hoạt động. Click spam (còn gọi là click flooding) là gửi hàng loạt click nhân danh những người dùng không hề bấm gì. Đây chủ yếu là chuyện của mobile: một ứng dụng hoặc website có SDK quảng cáo ngầm gửi click vào link tracking của hàng chục offer. Tính toán rất đơn giản: một phần những người này sớm muộn sẽ tự cài, một cách tự nhiên, một trong các ứng dụng đó, và lượt cài sẽ được ghi cho kẻ gian lận theo click cuối cùng.
Thấy gì trong số liệu:
- số click khổng lồ với tỷ lệ chuyển đổi thành lượt cài cực nhỏ — hàng trăm, hàng nghìn click cho một lượt cài;
- thời gian từ click đến cài đặt trải dài hàng giờ, hàng ngày, không có đỉnh đặc trưng trong những phút đầu;
- lượt cài của nguồn "tăng" trùng với lúc lượt cài tự nhiên giảm.
Cách phòng chống. Rút ngắn cửa sổ phân bổ theo click, tắt các nguồn có tỷ lệ click trên lượt cài bất thường, yêu cầu mạng minh bạch theo từng site. Đặc thù mobile ở đây rất quan trọng: cùng một thủ đoạn chạy trong ứng dụng khác với trên web.
Click injection
Cách hoạt động. Một thủ đoạn tinh vi hơn dành cho Android. Ứng dụng độc hại trên điện thoại theo dõi khi người dùng bắt đầu cài một ứng dụng khác và vào phút chót gửi click nhân danh mình. Lượt cài là thật, người dùng là thật, nhưng tiền lại trả cho nguồn không hề mang họ tới.
Thấy gì trong số liệu:
- thời gian từ click đến cài đặt ngắn đến phi lý — vài giây, trong khi tải và mở ứng dụng về mặt vật lý mất lâu hơn;
- click được ghi nhận sau khi ứng dụng đã bắt đầu tải;
- nguồn "mang về" những lượt cài mà ở mọi khía cạnh khác trông như tự nhiên.
Cách phòng chống. So sánh thời điểm click với thời điểm bắt đầu cài, loại bỏ lượt cài có khoảng thời gian bất khả thi, tắt các sub-publisher có hình mẫu như vậy.
Domain spoofing
Cách hoạt động. Một site chất lượng thấp mạo danh website nổi tiếng. Nhà quảng cáo mua hiển thị "trên một cổng tin tức lớn" qua programmatic, còn hiển thị thật lại diễn ra trên một site chẳng ai vào hoặc thậm chí trong botnet. Tên miền giả được chèn vào yêu cầu đặt giá.
Thấy gì trong số liệu:
- số hiển thị "từ site cao cấp" lớn hơn toàn bộ traffic mà site đó từng có;
- CTR và mức tương tác thấp hơn hẳn so với cùng site khi mua trực tiếp;
- referrer và địa chỉ trang trong analytics không khớp với tên miền khai báo.
Cách phòng chống. Ngành đã đáp lại bằng các tệp ads.txt và app-ads.txt, nơi chủ site liệt kê ai được phép bán inventory của mình, cùng chuỗi cung ứng (sellers.json, supply chain). Nhà quảng cáo chỉ mua từ người bán được ủy quyền và đối chiếu tên miền trong báo cáo với referrer thật.
Ad stacking và pixel stuffing
Hai thủ đoạn thổi hiển thị thường đi cùng nhau.
Ad stacking — nhiều quảng cáo được xếp chồng lên nhau trong cùng một vị trí. Chỉ quảng cáo trên cùng là nhìn thấy, nhưng hiển thị được tính cho tất cả. Nếu ai đó click vào chồng quảng cáo, click cũng có thể được tính cùng lúc cho nhiều nhà quảng cáo.
Pixel stuffing — quảng cáo hoặc cả một khung quảng cáo bị thu nhỏ còn 1×1 pixel. Về hình thức hiển thị đã diễn ra, nhưng không thể nhìn thấy quảng cáo.
Thấy gì trong số liệu:
- nhiều hiển thị với CTR gần bằng không và độ hiển thị bằng không;
- click "theo lô" cùng một thời điểm từ các chiến dịch khác nhau của cùng nhà quảng cáo;
- chỉ số khả năng xem (viewability) của site thấp hơn hẳn mức trung bình.
Cách phòng chống. Mua theo hiển thị có thể xem, theo dõi viewability, tắt các site có hiển thị mà không có khả năng xem. Với người trả tiền theo click, các thủ đoạn này ít nguy hiểm hơn, nhưng ở đó chồng quảng cáo vẫn tạo ra những click mà người dùng không hề thực hiện.
Traffic bot
Cách hoạt động. Phần mềm đóng giả khách truy cập: mở trang, click quảng cáo, đôi khi còn cuộn trang và điền form. Phổ rất rộng — từ những script đơn giản không chạy JavaScript đến trình duyệt headless với vân tay giả đi qua proxy dân cư và proxy mobile.
Thấy gì trong số liệu:
- tỷ lệ đáng kể lượt truy cập từ mạng hosting và trung tâm dữ liệu;
- thiết bị, trình duyệt và độ phân giải màn hình đồng nhất ở những khách "khác nhau";
- thời gian trên trang bằng không hoặc giống hệt nhau, không cuộn, không chuyển động;
- đỉnh traffic ban đêm ở khu vực mà ai cũng đang ngủ;
- click không có lấy một chuyển đổi trên khối lượng đáng kể.
Cách phòng chống. Bot đơn giản bị chặn theo mạng và yêu cầu: ASN hosting, VPN, proxy và trung tâm dữ liệu, uy tín IP. Bot phức tạp thì bằng kiểm tra trình duyệt và hành vi. Chi tiết về dấu hiệu có trong bài dấu hiệu traffic bot, về chọn phương pháp trong bài kiểm tra JS hay chặn theo IP.
Trang trại click
Cách hoạt động. Người thật hoặc những giá đỡ đầy điện thoại thật được trả tiền cho hành động: click, cài đặt, đăng ký, like. Đây là loại gian lận khó chống nhất, vì thiết bị là thật, trình duyệt là thật, và người vuốt màn hình là con người.
Thấy gì trong số liệu:
- nhiều lượt truy cập từ cùng một dải mạng của nhà mạng di động hoặc từ một nhóm thiết bị hạn chế;
- lặp lại cùng mẫu điện thoại và phiên bản hệ điều hành;
- hành động được thực hiện nhanh và theo một kịch bản, không đọc trang;
- hoạt động trong giờ hành chính của nước có trang trại chứ không phải nước đang target;
- có đăng ký nhưng không có hoạt động hay mua hàng sau đó.
Cách phòng chống. Xem chất lượng sau chuyển đổi: giữ chân, hành động lặp lại, tỷ lệ duyệt. Giới hạn số click từ một địa chỉ và dải mạng, phân tích múi giờ. Trang trại vận hành bên trong ra sao — trong bài riêng về click từ trang trại.
Gian lận lead
Cách hoạt động. Khi trả tiền theo lead (CPL, CPA), chính lead trở thành đồ giả. Chúng được điền bởi script, người dùng nhận thưởng "lấy bonus" hoặc nhân viên trang trại. Cũng có chuyện bán lại dữ liệu cũ: form được điền bằng thông tin liên hệ thật nhưng đã thu thập từ lâu.
Thấy gì trong số liệu:
- CR bình thường, thậm chí cao, nhưng tỷ lệ duyệt gần bằng không;
- tên, email, số điện thoại cùng một định dạng, số nối tiếp nhau;
- lead đến thành loạt trong thời gian ngắn;
- điện thoại không nghe máy hoặc người đó không nhớ đã để lại thông tin;
- thời gian từ click đến lead quá ngắn để một người thật điền form.
Cách phòng chống. Theo dõi trạng thái chuyển đổi theo nguồn chứ không chỉ CR, đối chiếu mỗi lead với click của nó qua click ID, lọc bot trước form. Làm gì với lead ảo đang đổ về — trong bài bot gửi lead ảo.
Gian lận của site trong push, popunder và native
Cần nói riêng về gian lận do chính các site trong mạng quảng cáo gây ra. Site publisher nhận phần chia từ chi tiêu của bạn và có lợi khi click càng nhiều. Từ đó sinh ra zone bị thổi số, chuyển hướng cưỡng bức, "click" khi đóng cửa sổ, đăng ký push thu được bằng lừa đảo.
Công cụ chính ở đây là chia số liệu theo site. Truyền số zone hoặc site vào tham số chiến dịch và xem kết quả của từng cái. Chi tiết trong bài về traffic push và pop.
Bảng tổng hợp các loại gian lận
| Loại gian lận | Gặp ở đâu | Dấu hiệu chính | Cách phòng chống chính |
|---|---|---|---|
| Click spam | quảng cáo mobile, CPI | hàng nghìn click cho một lượt cài | cửa sổ phân bổ ngắn, tắt nguồn |
| Click injection | Android, CPI | vài giây từ click đến cài đặt | kiểm tra khoảng click — cài đặt |
| Domain spoofing | programmatic | hiển thị nhiều hơn traffic của site | ads.txt, sellers.json, đối chiếu tên miền |
| Ad stacking, pixel stuffing | hiển thị, CPM | hiển thị không thể xem và không có click | trả tiền theo hiển thị xem được, viewability |
| Traffic bot | mọi nguồn | trung tâm dữ liệu, đồng nhất, không có hành vi | lọc theo mạng, trình duyệt, hành vi |
| Trang trại click | mạng xã hội, mobile, CPA | dải mạng, cùng mẫu máy, không giữ chân | giới hạn theo địa chỉ, chất lượng sau chuyển đổi |
| Gian lận lead | CPL, CPA | có CR, không có duyệt | trạng thái chuyển đổi theo nguồn, lọc trước form |
Nhà quảng cáo phòng chống thế nào: cách tiếp cận chung
Biện pháp cụ thể cho mỗi loại khác nhau, nhưng cách tiếp cận chung thì như nhau.
- Gắn nhãn traffic. Không có tham số site, chiến dịch và click thì không thể gắn gian lận với nguồn. Tối thiểu là click ID và số site trong mỗi link.
- Tính tiền theo nguồn. Click và CR là chưa đủ: cần chi phí, doanh thu và ROI cho từng chiến dịch và site. Không có chúng sẽ không thấy gian lận tốn tiền ở đâu và vô hại ở đâu.
- Lọc trước offer. Bot, trung tâm dữ liệu, VPN và proxy bị chặn ngay trước landing, để không làm hỏng số liệu và không lọt vào tài khoản quảng cáo dưới dạng chuyển đổi.
- Xem chất lượng sau chuyển đổi. Tỷ lệ duyệt, tỷ lệ nhận hàng, giữ chân cho thấy gian lận đã lọt qua mọi bộ lọc đầu vào.
- Tắt nguồn ngay trong mạng. Bộ lọc phía bạn bảo vệ landing, nhưng click thì bạn đã trả tiền rồi.
- Yêu cầu hoàn tiền. Nền tảng hoàn tiền cho traffic không hợp lệ đã được chứng minh nếu bạn đến với dữ liệu: địa chỉ, thời gian, tỷ lệ bị lọc.
Tất cả những điều này tốn bao nhiêu tiền và cách tính thiệt hại do bot — trong bài riêng mất bao nhiêu ngân sách vì bot.
Trong ArtisanClo trông như thế nào
ArtisanClo lọc bot, traffic trung tâm dữ liệu, VPN và proxy, và với mỗi click trong nhật ký đều có mã lý do của quyết định: vì sao lượt truy cập được cho qua hay bị lọc, đến từ mạng nào, thiết bị gì và đã qua những bước kiểm tra nào. Điều này xử lý traffic bot và thổi số từ máy chủ — những loại gian lận phổ biến nhất khi mua traffic.
Tracker tích hợp tính chi phí, chuyển đổi, lợi nhuận và ROI theo chiến dịch và site. Vì vậy thấy được không chỉ bao nhiêu rác đã đến, mà còn bao nhiêu tiền đã đổ vào đó và nên tắt những site nào trong mạng quảng cáo. Với gian lận lead, liên kết giữa click và lead rất hữu ích: mỗi chuyển đổi đều hiện lượt truy cập gốc với đầy đủ dấu hiệu.
Tóm lại
Gian lận quảng cáo là một họ thủ đoạn chứ không phải một vấn đề duy nhất. Click spam và click injection đánh cắp phân bổ lượt cài; domain spoofing, ad stacking và pixel stuffing bán hiển thị không thể xem hoặc giả mạo; bot và trang trại click tạo ra click rỗng, gian lận lead tạo ra lead rỗng. Mỗi loại có dấu vết riêng: hàng nghìn click cho một lượt cài, vài giây đến lượt cài, hiển thị không thể xem, trung tâm dữ liệu và sự đồng nhất, dải mạng của trang trại, có CR mà không có duyệt. Phòng chống chung dựa trên việc gắn nhãn traffic, tính tiền theo nguồn, lọc trước offer và kiểm soát chất lượng sau chuyển đổi. Không có bảo vệ trăm phần trăm, nhưng gian lận nhìn thấy được theo nguồn thì có thể tắt và đòi lại tiền.
