Estudo de caso: 1 em cada 5 contas era VPN, fazenda de celulares ou multiconta
Uma rede de offerwall com tráfego principalmente dos Estados Unidos conectou o CashoutGuard e o deixou em modo sombra nas primeiras 24 horas. Nada foi bloqueado. Cada evento foi pontuado e registrado. No fim do dia, 46 de 218 contas estavam sinalizadas para revisão ou bloqueio. Isto é o que os dados mostraram.
Resposta curta
Nas primeiras 24 horas em modo sombra numa rede de offerwall com tráfego dos EUA, o CashoutGuard sinalizou 46 de 218 contas (21 por cento, cerca de 1 em cada 5) para revisão ou bloqueio, sem bloquear ninguém.
- Redes de fraude
- 5 redes de várias contas no mesmo dispositivo.
- Idiomas de navegador estrangeiros
- 60 eventos com o idioma do navegador de outro país que não o do IP.
- Sinais de dispositivo
- 16 eventos com modelo de celular falsificado, 15 com modelos vendidos só na China fora da China, 8 com perfis de emulador padrão.
- Primeiros três dias
- 389 de 3.419 conversões, US$ 251 em pagamentos, teriam sido bloqueadas.
- Primeiros quatro dias de Enforce
- 348 de 3.976 conversões retidas antes do pagamento: US$ 410 de US$ 6.797, de 239 contas.
O ponto de partida
O operador administra uma rede de offerwall com tráfego principalmente dos Estados Unidos. As ofertas americanas, que pagam bem, fazem dela um alvo natural para usuários de fora dos EUA, para fazendas de multicontas e para montagens com emuladores. O operador suspeitava de fraude, mas não sabia quanto.
Eles adicionaram o coletor JavaScript do CashoutGuard às páginas e chamaram /v1/evaluate do servidor em eventos de usuário como cliques em ofertas, conversões e saques. Depois deixaram o site em modo sombra. A rede não é nomeada aqui, e todos os números abaixo cobrem apenas essa primeira janela de 24 horas.
O que é o modo sombra
Modo sombra significa que o CashoutGuard pontua cada evento, mas nunca manda o seu site bloquear nada. Cada evento continua recebendo uma pontuação de risco de 0 a 100 e uma lista de motivos. O operador vê tudo no painel, mas os usuários não percebem diferença nenhuma.
Ele existe por um motivo simples. Antes de deixar um sistema bloquear pessoas reais, você deve ver o que ele faria com o seu próprio tráfego. O modo sombra responde três perguntas sem risco:
- Quanta fraude existe? Um número real em vez de um palpite.
- De que tipo? VPN, fazendas, emuladores, ofertas rápidas ou uma mistura.
- As regras prejudicariam usuários honestos? Você pode conferir à mão as contas sinalizadas antes de aplicar qualquer coisa.
Quando o operador se sente seguro, muda para o modo Enforce e as decisões passam a valer.
Como uma pontuação é montada
Cada sinal tem um peso. Um único sinal fraco, como um fuso horário um pouco fora, mexe pouco na pontuação. Vários sinais no mesmo evento se somam, então uma conta com idioma de navegador estrangeiro, modelo de celular falsificado e dispositivo compartilhado fica muito mais alta do que uma conta com só um deles. Os motivos aparecem junto de cada pontuação, para que quem revisa veja por que a conta foi sinalizada em vez de confiar num número.
A manchete: 46 de 218 contas
Em 24 horas o CashoutGuard analisou 218 contas. Sinalizou 46 delas para revisão ou bloqueio. São 21 por cento, cerca de 1 em cada 5 contas.
| Achado | Quantidade |
|---|---|
| Contas analisadas | 218 |
| Contas sinalizadas para revisão ou bloqueio | 46 (21%) |
| Redes de fraude (várias contas no mesmo dispositivo) | 5 |
| Eventos com idioma do navegador de outro país | 60 |
| Eventos com modelo de celular falsificado | 16 |
| Eventos com modelos vendidos só na China, fora da China | 15 |
| Eventos com perfis de emulador padrão | 8 |
| Ofertas concluídas rápido demais para ser possível | 17+ |
Depois de três dias: o dinheiro
O operador manteve o modo sombra. Nos três primeiros dias o CashoutGuard pontuou 3.419 conversões de 5.687 contas. Teria bloqueado 389 delas e mandado outras 457 para revisão.
| Primeiros três dias | Resultado |
|---|---|
| Conversões pontuadas | 3.419 |
| Teriam sido bloqueadas | 389 (11,4%) |
| Enviadas para revisão | 457 (13,4%) |
| Pagamento das conversões bloqueadas | US$ 251 de US$ 2.867 (8,8%) |
| Contas por trás delas | 443 de 5.687 |
Quase todas as conversões bloqueadas (384 de 389) vinham de um dispositivo compartilhado por várias contas, a assinatura de uma fazenda de celulares ou de emuladores. Outros motivos nas mesmas conversões eram relógio ou idioma do navegador de outro país que não o do IP, perfis de emulador padrão, dispositivos que apagavam o armazenamento e voltavam como usuário novo, e navegadores adulterados.
São cerca de US$ 80 por dia em pagamentos que a rede teria retido, mais de US$ 2.000 por mês.
Cinco redes de fraude em dispositivos compartilhados
O grafo de contas vinculadas encontrou 5 redes de fraude. Em cada uma, várias contas eram usadas a partir do mesmo dispositivo. Para o operador, pareciam usuários diferentes com históricos diferentes. No grafo, cada uma era um único grupo.
As redes importam mais que as contas isoladas. Remover uma conta de uma rede deixa as outras ganhando. Ver o grupo inteiro permite ao operador decidir sobre todas de uma vez.
Idiomas de navegador de outro país
O sinal mais frequente foi o idioma. 60 eventos vieram de navegadores cujo idioma apontava para outro país que não o do IP. Por exemplo, ar-IQ e ar-EG em endereços IP dos EUA.
Um IP dos EUA com o navegador em árabe do Iraque ou do Egito não prova fraude. Há usuários expatriados ou bilíngues. Mas numa rede cujo valor está nas ofertas americanas, é um forte indício de que o usuário está fora dos EUA e se conecta por VPN ou proxy. Uma checagem de IP sozinha não vê isso. O navegador vê.
Celulares falsificados, modelos só da China e emuladores
Três sinais de dispositivo apontavam para fazendas e emuladores:
- 16 eventos com modelo de celular falsificado. O dispositivo dizia ser um modelo, mas o chip gráfico era de outro hardware. Celulares reais não fazem isso. Ferramentas antidetecção e fazendas que trocam nomes de modelo fazem.
- 15 eventos com modelos vendidos só na China, fora da China. Esses modelos só são vendidos na China continental. Vistos em tráfego dos EUA, sugerem aparelhos baratos comprados em lote para uma fazenda.
- 8 eventos com perfis de emulador padrão. Emuladores de Android no PC informam modelos e builds padrão bem conhecidos. Não são celulares reais.
Cada um desses sinais poderia ter, em casos raros, uma explicação inocente. Juntos, e somados às redes e aos idiomas que não batem, descreviam uma atividade organizada e não usuários comuns.
Os sinais de dispositivo também são os mais difíceis de limpar para um fraudador. Trocar o IP custa um clique no painel de um proxy. Trocar o chip gráfico que um navegador informa, ou o mercado em que um celular foi vendido, é muito mais difícil. Por isso são úteis mesmo quando os sinais de rede parecem normais.
Ofertas concluídas rápido demais para ser possível
Mais de 17 conversões chegaram muito mais rápido do que um usuário real conseguiria concluir a oferta. O CashoutGuard compara cada conversão com o tempo desde o clique na oferta e com o que é normal para ela.
Conversões rápidas são exatamente o que os anunciantes procuram quando estornam pagamentos. Pegá-las em modo sombra mostrou ao operador quais ofertas estavam sendo exploradas, antes que a rede apontasse o problema.
O que o operador fez depois
O modo sombra não decide nada por você. Ele entrega a lista. Em linhas gerais, o operador fez duas coisas:
- Revisou a fila. Passou pelas contas e pelos saques sinalizados na fila de revisão, com os motivos de cada um à vista.
- Ativou o Enforce só para as conversões. Cliques, cadastros e logins continuaram em modo sombra. Só o momento em que um postback pagaria um publisher podia ser bloqueado, com os limites padrão.
Quatro dias de Enforce: os resultados
Nos primeiros quatro dias com Enforce nas conversões, a rede recebeu 3.976 conversões que somavam US$ 6.797 em pagamentos. O CashoutGuard bloqueou 348 delas antes de o pagamento ser creditado: US$ 410, cerca de 6% do dinheiro, de 239 contas. Os outros 94% foram pagos como antes.
| Motivo mais forte da conversão bloqueada | Conversões |
|---|---|
| Mesmo dispositivo que outras contas | 212 |
| IP real vazado pelo navegador, em outro país que o IP visível | 66 |
| Fazenda de celulares por trás de um proxy residencial | 29 |
| Mesma oferta já concluída por outra conta no dispositivo | 17 |
| Modelo de celular falsificado | 7 |
| Perfil de emulador padrão | 7 |
Os sinais de dispositivo fizeram de novo quase todo o trabalho: seis em cada dez bloqueios vieram de um celular ou emulador por trás de várias contas. Os anunciantes raramente estornam esse tipo de tráfego: nos primeiros 28 dias da rede, estornaram 38 de 5.525 conversões sinalizadas. Bloquear no postback é o ponto em que a rede ainda pode impedir.
As categorias de bloqueio que o operador escolheu (Tor, redes de hospedagem, VPN, emuladores e bots) e os limites padrão bastaram. Nenhuma regra foi escrita à mão.
Lições para outros operadores
- Meça antes de bloquear. Um dia de dados em sombra mostrou uma parcela de fraude que o operador só imaginava.
- Aplique o Enforce onde o dinheiro se move. Bloquear só as conversões reteve 6% dos pagamentos e não tocou em nenhum clique ou cadastro.
- Olhe além do IP. As checagens de idioma, fuso horário e dispositivo encontraram tráfego que IPs limpos escondiam.
- Pense em grupos. Cinco redes eram muitas contas, mas só cinco decisões.
- A velocidade mostra quais ofertas estão na mira, para protegê-las primeiro.
- Leia os motivos, não só a pontuação. São os motivos que permitem a quem revisa concordar ou discordar de uma sinalização.
Faça o mesmo teste com o seu tráfego
Todo site novo no CashoutGuard começa em modo sombra, então você pode fazer o mesmo teste de 24 horas. Adicione o coletor, chame /v1/evaluate do seu servidor e leia os resultados no painel. O plano gratuito cobre até 1.000 usuários ativos por mês, e você pode testar o plano Growth grátis por 14 dias. Veja a documentação para integrar ou a página de preços para os planos.