Bot tự lộ mình qua kỹ thuật: địa chỉ server, trình duyệt không chạy JavaScript, dấu vết tự động hóa. Click farm không có những dấu vết đó. Nó chạy trên smartphone bình thường, qua nhà mạng di động bình thường, và nhiều khi ngồi trước màn hình là một người thật. Trong log truy cập, một click như vậy trông giống click của khách mua hàng — cho đến khi bạn nhìn cả trăm click như thế cùng lúc.
Bài này phân tích click farm được tổ chức ra sao, vì sao khó bắt hơn bot và những dấu hiệu nào giúp nhận ra chúng trong số liệu chiến dịch.
Click farm là gì
Click farm là một dây chuyền sản xuất hành động quảng cáo có tổ chức. Ở farm, người ta click quảng cáo, xem video, cài app, đăng ký và điền form — để lấy tiền từ người đặt hàng traffic ảo hoặc để ăn hoa hồng của chương trình affiliate.
Đây là một trong các dạng gian lận quảng cáo, bên cạnh botnet, giả mạo nguồn và traffic ảo trong app. Bản đồ chung của các thủ đoạn này nằm trong bài về các dạng gian lận quảng cáo; ở đây ta đi sâu vào farm.
Khác biệt chính giữa farm và bot: farm dùng thiết bị thật. Không phải smartphone giả lập trên server, mà là hàng trăm chiếc điện thoại vật lý với SIM, pin và màn hình thật.
Click farm vận hành thế nào
Có rất nhiều farm và mỗi nơi tổ chức một kiểu. Có thể tạm chia thành bốn loại.
Farm thủ công: người ngồi bấm điện thoại
Mô hình đơn giản và lâu đời nhất. Trong một căn phòng có nhiều người làm, mỗi người cầm vài chiếc điện thoại. Họ nhận nhiệm vụ: tìm quảng cáo, click, lướt trang, đăng ký. Vì làm bằng tay nên thao tác chạm, cuộn và khoảng dừng của họ đều là của người thật.
Farm kiểu này chậm, nhưng kiểm tra hành vi gần như vô dụng: người vẫn là người. Thứ làm lộ họ không phải một lượt truy cập, mà là sự lặp lại — cùng một kịch bản, cùng thiết bị, cùng khung giờ.
Giàn điện thoại và tự động hóa
Bước tiếp theo là farm điện thoại: các kệ xếp hàng chục, hàng trăm smartphone nối vào một máy tính. Người vận hành điều khiển cả loạt — qua giao diện debug, phần mềm điều khiển hàng loạt hoặc script lặp lại các thao tác chạm đã ghi.
Ở đây ít người hơn và nhiều tự động hơn, nhưng thiết bị vẫn là thật. Trình duyệt chạy JavaScript, fingerprint giống một chiếc điện thoại bình thường, IP do nhà mạng di động cấp. Điểm yếu là sự đồng loạt: điện thoại thường được mua theo lô, chỉ một hai model với cùng phiên bản hệ điều hành.
Lai: script cộng người hỗ trợ
Script làm phần việc lặp đi lặp lại: mở link, chờ, cuộn trang. Khi cần giải captcha, xác nhận SMS hay điền form có nghĩa, người sẽ vào tay. Mô hình này rẻ hơn làm thủ công và đáng tin hơn tự động hoàn toàn.
Farm phân tán và traffic incentive
Trường hợp khó nhất là khi "farm" không hề nằm trong một căn phòng. Nhiệm vụ được phát qua các app thưởng: một người ở nhà cài app, đăng ký và nhận vài đồng hoặc tiền trong game. Thiết bị khác nhau, địa chỉ là IP gia đình và di động từ nhiều thành phố.
Về hình thức, traffic này là thật: người thật, điện thoại của chính họ. Nhưng họ không quan tâm sản phẩm của bạn và không định trả tiền. Với nhà quảng cáo trả tiền theo kết quả, đây cũng là rác chẳng khác gì bot.
Vì sao farm click vào quảng cáo của bạn
Click farm luôn có người đặt hàng hoặc người hưởng lợi. Thường gặp nhất là:
- Nền tảng hoặc publisher không trung thực. Traffic của họ càng nhiều click và lượt cài thì họ càng nhận nhiều tiền từ ad network. Farm "bơm" thêm khối lượng.
- Webmaster trong chương trình affiliate. Nếu offer trả tiền theo đăng ký hoặc lượt cài mà không kiểm tra chất lượng, farm tạo ra chính những hành động đó.
- Đối thủ. Click tặc bằng tay người làm vượt qua được một phần các lớp bảo vệ đơn giản. Chi tiết trong bài về click tặc từ đối thủ.
- Nuôi tài khoản và profile. Farm được dùng để tích "lịch sử" cho tài khoản, và click quảng cáo xuất hiện như tác dụng phụ.
Trong mọi trường hợp, người trả tiền là bạn: cho click, cho hiển thị, cho lượt cài hoặc cho lead mà sau đó sẽ không được duyệt.
Vì sao farm khó phân biệt hơn bot
Phần lớn giải pháp chống bot hoạt động ở ba tầng: mạng, trình duyệt và hành vi. Click farm vượt qua cả ba tốt hơn bot chạy trên server.
- Mạng. Bot thường nằm trong datacenter, và việc IP thuộc hosting làm lộ nó. Farm ra internet qua nhà mạng di động hoặc nhà cung cấp internet gia đình. Nếu farm mua proxy di động hoặc proxy dân cư, bức tranh còn sạch hơn — xem bài về proxy dân cư và proxy di động.
- Trình duyệt. Bot trên trình duyệt headless để lại dấu vết tự động hóa, được nói tới trong bài về headless và fingerprint trình duyệt. Ở farm, trình duyệt là thật, JavaScript chạy, fingerprint nhất quán.
- Hành vi. Người làm thật chạm màn hình, cuộn có quán tính và dừng lại. Ngay cả giàn tự động cũng thường phát lại các cử chỉ thật đã ghi.
Vì vậy gần như không bao giờ có thể nói "bot" với farm chỉ dựa vào một lượt truy cập. Bạn chỉ thấy nó ở tổng thể: khi một trăm lượt truy cập giống nhau hơn mức mà một tập người dùng thật có thể có.
Ngoài ra, sai lầm cũng có giá. Nếu chặn quá tay các mạng di động "đáng ngờ", người mua thật từ cùng nhà mạng cũng bị loại. Vì vậy chống farm cần quan sát và biện pháp có chọn lọc, chứ không phải lệnh cấm cứng.
Dấu hiệu click farm trong thống kê
Dưới đây là những dấu hiệu nên tìm trong log truy cập và báo cáo theo nguồn. Một dấu hiệu không chứng minh được gì; ba bốn dấu hiệu cùng xuất hiện ở một nguồn là lý do để điều tra. Danh sách dấu hiệu chung của traffic tự động có trong bài dấu hiệu traffic bot.
Thiết bị đồng loạt
Tập người dùng thật rất đa dạng: hàng chục model điện thoại, nhiều phiên bản hệ điều hành, nhiều trình duyệt, nhiều độ phân giải màn hình. Ở farm thì ngược lại:
- một hai model thiết bị chiếm tỷ lệ lớn bất thường trong lượt truy cập của nguồn;
- tất cả cùng một phiên bản hệ điều hành và trình duyệt, thường là bản cũ;
- cùng độ phân giải màn hình, cùng ngôn ngữ hệ thống, cùng múi giờ;
- các model giá rẻ, hiếm gặp ở tệp khách hàng mục tiêu của bạn tại GEO này.
Hãy so sánh không phải với "mức chuẩn chung", mà với các nguồn khác của chính bạn trong cùng GEO. Nếu trung bình model phổ biến nhất chiếm một phần mười lượt truy cập, mà ở một placement lại chiếm một nửa, đó là tín hiệu.
Dải IP hẹp và cùng một mạng
Farm trong một căn phòng ra internet qua số điểm hạn chế. Trong thống kê sẽ thấy:
- nhiều lượt truy cập từ cùng một subnet — địa chỉ chỉ khác vài số cuối;
- phần lớn traffic của nguồn đến từ cùng một nhà cung cấp hoặc nhà mạng, dù GEO có nhiều nhà mạng;
- cùng một thành phố trong khi target cả nước;
- IP có lịch sử xấu: đã từng bị phát hiện trong traffic ảo. Cách kiểm tra lịch sử của IP có trong bài về uy tín IP.
Nhà mạng di động cấp IP qua cổng chung, nên với traffic di động, một subnet tự nó là bình thường. Nó chỉ thành dấu hiệu khi đi kèm: một subnet, một model điện thoại, một khung giờ.
Tỷ lệ chuyển đổi đăng ký bất thường mà không ra tiền
Đây là dấu hiệu đáng tin nhất vì nó mang tính kinh tế. Người làm được trả cho một hành động cụ thể, và họ làm đúng hành động đó:
- CR ra đăng ký cao, đôi khi còn cao hơn các nguồn tốt nhất của bạn;
- tỷ lệ từ đăng ký sang thanh toán gần bằng 0: không có nạp tiền, mua hàng, đăng ký trả phí;
- mạng affiliate từ chối lead với lý do "trùng", "không liên lạc được", "giả";
- đăng ký đổ về theo từng đợt đều đặn thay vì rải đều trong ngày.
Với lượt cài incentive cũng vậy: cài nhiều, retention ngày thứ hai gần như không có, không có event trong app. Muốn dấu hiệu này có tác dụng, bạn cần chuyển đổi tầng hai — không chỉ "đăng ký" mà cả "thanh toán", "đã duyệt", "bị từ chối". Cách lấy chúng từ mạng affiliate có trong bài về trạng thái chuyển đổi.
Thời gian và nhịp lạ
Farm làm việc theo ca. Vì vậy:
- click đổ về thành từng cụm dày — mười phút hoạt động, rồi im lặng;
- khoảng cách giữa các click đều quá mức;
- hoạt động không khớp nhịp ngày đêm của GEO: ban đêm giờ địa phương có nhiều click như ban ngày;
- cuối tuần trông y như ngày thường.
Hành vi sau khi click
Ngay cả người làm thật cũng không cư xử như khách mua. Họ không tìm thông tin mà làm theo chỉ dẫn:
- cả một nhóm lớn lượt truy cập có cùng thời gian trên trang;
- cùng một đường đi: landing — form — gửi, không xem trang nào khác;
- form được điền bằng dữ liệu mẫu: tên na ná nhau, email cùng một domain, số điện thoại liên tiếp. Chi tiết về các lead như vậy trong bài bot gửi lead ảo;
- đăng ký lặp lại từ cùng một thiết bị với dữ liệu khác nhau.
Cách giảm tỷ lệ click farm
Không thể loại hoàn toàn farm khỏi traffic: một phần lượt truy cập của nó không phân biệt được với người thật. Nhưng có thể đẩy tỷ lệ xuống mức không còn quyết định hiệu quả chiến dịch.
- Tìm nguồn. Farm hầu như luôn tập trung ở những nền tảng, zone hoặc sub-source cụ thể. Cắt báo cáo theo tham số nguồn và so sánh các nguồn với nhau theo các dấu hiệu trên.
- Tắt placement ngay trong ad network. Bộ lọc phía bạn bảo vệ landing và số liệu, nhưng tiền click thì bạn đã trả rồi. Blacklist placement trong tài khoản quảng cáo tiết kiệm tiền trực tiếp.
- Tối ưu theo chuyển đổi sâu. Nếu thuật toán của nền tảng học từ đăng ký, nó sẽ đi tìm những người đăng ký — tức là farm. Hãy gửi vào tài khoản quảng cáo sự kiện thanh toán hoặc lead đã duyệt, không phải hành động đầu tiên.
- Giới hạn lặp lại. Giới hạn số click mỗi ngày từ một IP và một thiết bị cắt được phần thô nhất của farm mà không ảnh hưởng người thật.
- Thu hẹp target thiết bị một cách cẩn thận. Nếu farm chạy trên một model cũ, loại model đó ra sẽ có ích. Nhưng hãy chắc rằng model này không phổ biến với khách hàng thật của bạn ở GEO đó.
- Yêu cầu hoàn tiền. Nhiều network và chương trình affiliate hoàn tiền cho fraud đã chứng minh. Cần có bằng chứng: log truy cập có lặp lại, lead bị từ chối, chênh lệch so với các nguồn khác.
- Nâng ngưỡng vào offer. Xác minh số điện thoại, số tiền tối thiểu, xác nhận email — mọi thứ đắt với người làm farm và rẻ với người mua thật.
Và hãy tính xem farm khiến bạn tốn bao nhiêu. Ngay cả tỷ lệ fraud nhỏ trên một nguồn đắt cũng làm ROI giảm rõ rệt. Cách quy tỷ lệ traffic rác ra tiền có trong bài bao nhiêu ngân sách mất vào bot.
ArtisanClo giúp gì ở đây
ArtisanClo lọc bot, traffic datacenter, VPN và proxy, và mỗi click trong log đều có mã lý do của quyết định. Farm trên điện thoại thật không phải lúc nào cũng phân biệt được với khách mua nếu chỉ nhìn một lượt truy cập, và ở đây phần thứ hai — thống kê — mới quan trọng. Log click hiển thị thiết bị, model, trình duyệt, mạng và nhà mạng, nên thiết bị đồng loạt và dải IP hẹp trên cùng một placement có thể tìm ra trong vài phút. Giới hạn click theo IP và blacklist riêng của bạn chặn được phần lặp lại.
Tracker tích hợp nhận chuyển đổi với các trạng thái khác nhau và tính chi phí, chuyển đổi, lợi nhuận và ROI theo chiến dịch và nguồn. Nguồn có đăng ký cao mà thanh toán bằng 0 hiện ngay trong báo cáo, không cần ghép bảng bằng tay.
Tóm lại
Click farm là điện thoại thật, thường kèm người thật, thực hiện hành động quảng cáo mà không hề quan tâm đến sản phẩm. Kiểm tra mạng và trình duyệt để lọt nó, vì về kỹ thuật nó sạch. Thứ làm lộ nó là thống kê: thiết bị đồng loạt, dải IP hẹp, các cụm click theo lịch và quan trọng nhất là đăng ký không ra tiền. Chống farm không phải bằng một lệnh cấm duy nhất mà bằng cả một bộ: tìm nguồn qua báo cáo, tắt placement, tối ưu chiến dịch theo chuyển đổi sâu, giới hạn lặp lại và đều đặn tính xem bao nhiêu tiền đang chảy vào loại traffic này.