Кейс: каждый пятый аккаунт оказался VPN, фермой телефонов или мультиаккаунтом
Сеть офферволлов с трафиком в основном из США подключила CashoutGuard и первые 24 часа держала его в теневом режиме. Ничего не блокировалось. Каждое событие оценивалось и записывалось. К концу дня 46 из 218 аккаунтов были отмечены на проверку или блокировку. Вот что показали данные.
Коротко
За первые 24 часа в теневом режиме в сети офферволлов с трафиком из США CashoutGuard отметил 46 из 218 аккаунтов (21 процент, примерно каждый пятый) на проверку или блокировку, никого не заблокировав.
- Кольца мошенников
- 5 колец из нескольких аккаунтов на одном устройстве.
- Чужие языки браузера
- 60 событий с языком браузера другой страны, чем IP.
- Сигналы устройства
- 16 событий с поддельной моделью телефона, 15 с моделями только для Китая за пределами Китая, 8 со стандартными профилями эмуляторов.
- Первые три дня
- Было бы заблокировано 389 из 3 419 конверсий, 251 $ выплат.
- Первые четыре дня Enforce
- 348 из 3 976 конверсий задержаны до выплаты: 410 $ из 6 797 $, от 239 аккаунтов.
Исходные условия
Оператор управляет сетью офферволлов с трафиком в основном из США. Дорогие американские офферы делают её естественной мишенью для пользователей за пределами США, для ферм мультиаккаунтов и для схем с эмуляторами. Оператор подозревал фрод, но не знал, насколько он велик.
Они добавили JavaScript-сборщик CashoutGuard на свои страницы и вызывали /v1/evaluate со своего сервера при событиях пользователей: кликах по офферам, конверсиях и выводах. Затем оставили сайт в теневом режиме. Название сети здесь не раскрывается, и все цифры ниже относятся только к первым 24 часам.
Что такое теневой режим
Теневой режим означает, что CashoutGuard оценивает каждое событие, но никогда не говорит вашему сайту что-либо блокировать. Каждое событие всё равно получает оценку риска от 0 до 100 и список причин. Оператор видит всё в панели, а пользователи не замечают никакой разницы.
Он существует по простой причине. Прежде чем позволить системе блокировать живых людей, стоит увидеть, что она сделала бы на вашем трафике. Теневой режим без риска отвечает на три вопроса:
- Сколько фрода? Реальная цифра вместо догадки.
- Какого типа? VPN, фермы, эмуляторы, слишком быстрые офферы или всё вместе.
- Не навредят ли правила честным пользователям? Отмеченные аккаунты можно проверить вручную до того, как что-то начнёт применяться.
Когда оператор уверен, он переключается в режим Enforce, и решения начинают применяться.
Как складывается оценка
У каждого сигнала есть вес. Один слабый сигнал, например слегка не совпадающий часовой пояс, двигает оценку немного. Несколько сигналов в одном событии складываются, поэтому аккаунт с чужим языком браузера, поддельной моделью телефона и общим устройством получает намного больше, чем аккаунт только с одним из них. Причины показываются рядом с каждой оценкой, чтобы проверяющий видел, почему аккаунт отмечен, а не просто доверял числу.
Главное: 46 из 218 аккаунтов
За 24 часа CashoutGuard проанализировал 218 аккаунтов и отметил 46 из них на проверку или блокировку. Это 21 процент, примерно каждый пятый аккаунт.
| Находка | Количество |
|---|---|
| Проанализировано аккаунтов | 218 |
| Отмечено на проверку или блокировку | 46 (21%) |
| Кольца мошенников (несколько аккаунтов на одном устройстве) | 5 |
| События с языком браузера другой страны | 60 |
| События с поддельной моделью телефона | 16 |
| События с моделями только для Китая за пределами Китая | 15 |
| События со стандартными профилями эмуляторов | 8 |
| Офферы, выполненные невозможно быстро | 17+ |
Через три дня: деньги
Оператор оставил теневой режим. За первые три дня CashoutGuard оценил 3 419 конверсий от 5 687 аккаунтов. Он заблокировал бы 389 из них и отправил бы ещё 457 на проверку.
| Первые три дня | Результат |
|---|---|
| Оценено конверсий | 3 419 |
| Было бы заблокировано | 389 (11,4%) |
| Отправлено на проверку | 457 (13,4%) |
| Выплаты по заблокированным конверсиям | 251 $ из 2 867 $ (8,8%) |
| Аккаунтов за ними | 443 из 5 687 |
Почти все заблокированные конверсии (384 из 389) шли с устройства, общего для нескольких аккаунтов, это почерк фермы телефонов или эмуляторов. Другие причины в тех же конверсиях: часы или язык браузера другой страны, чем IP, стандартные профили эмуляторов, устройства, которые стирали хранилище и возвращались как новый пользователь, и изменённые браузеры.
Это около 80 $ выплат в день, которые сеть задержала бы, больше 2 000 $ в месяц.
Пять колец мошенников на общих устройствах
Граф связанных аккаунтов нашёл 5 колец. В каждом несколько аккаунтов использовались с одного устройства. Для оператора они выглядели как разные пользователи с разной историей. На графе каждое кольцо было одной группой.
Кольца важнее отдельных аккаунтов. Если убрать один аккаунт из кольца, остальные продолжат зарабатывать. Когда видна вся группа, оператор решает сразу по всем.
Языки браузера другой страны
Самым частым сигналом был язык. 60 событий пришли из браузеров, чей язык указывал на другую страну, чем IP. Например, ar-IQ и ar-EG на американских IP-адресах.
Американский IP с браузером на иракском или египетском арабском не доказывает фрод. Есть эмигранты и двуязычные пользователи. Но в сети, чья ценность в американских офферах, это сильный признак того, что пользователь находится за пределами США и подключается через VPN или прокси. Одна только проверка IP этого не видит. Браузер видит.
Поддельные телефоны, модели только для Китая и эмуляторы
Три сигнала устройства указывали на фермы и эмуляторы:
- 16 событий с поддельной моделью телефона. Устройство называло себя одной моделью, но его графический чип принадлежал другому железу. Настоящие телефоны так не делают. Антидетект-инструменты и фермы, меняющие названия моделей, делают.
- 15 событий с моделями только для Китая за пределами Китая. Эти модели продаются только в материковом Китае. В американском трафике они указывают на дешёвые устройства, купленные оптом для фермы.
- 8 событий со стандартными профилями эмуляторов. Эмуляторы Android на ПК сообщают хорошо известные стандартные модели и сборки. Это не настоящие телефоны.
У каждого сигнала по отдельности в редких случаях может быть невинное объяснение. Вместе, да ещё с кольцами и несовпадающими языками, они описывали организованную активность, а не обычных пользователей.
Сигналы устройства мошеннику также труднее всего скрыть. Сменить IP можно одним кликом в панели прокси. Изменить графический чип, который сообщает браузер, или рынок, где продан телефон, намного сложнее. Поэтому они полезны, даже когда сетевые сигналы выглядят обычно.
Офферы, выполненные невозможно быстро
Больше 17 конверсий пришли намного быстрее, чем реальный пользователь мог бы выполнить оффер. CashoutGuard сравнивает каждую конверсию со временем с момента клика по офферу и с тем, что нормально для этого оффера.
Быстрые конверсии это именно то, что ищут рекламодатели, когда отменяют выплаты. Поймав их в теневом режиме, оператор увидел, какие офферы абьюзят, ещё до того, как об этом сказала сеть рекламодателей.
Что оператор сделал дальше
Теневой режим ничего не решает за вас. Он даёт список. В общих чертах оператор сделал две вещи:
- Проверил очередь. Прошёлся по отмеченным аккаунтам и выводам в очереди проверки, видя причины по каждому.
- Включил Enforce только для конверсий. Клики, регистрации и входы остались в теневом режиме. Блокировать разрешили только момент, когда постбэк оплачивает паблишера, со стандартными порогами.
Четыре дня Enforce: результаты
За первые четыре дня с Enforce на конверсиях сеть получила 3 976 конверсий на 6 797 $ выплат. CashoutGuard заблокировал 348 из них до начисления: 410 $, около 6% денег, от 239 аккаунтов. Остальные 94% были выплачены как обычно.
| Главная причина заблокированной конверсии | Конверсии |
|---|---|
| То же устройство, что у других аккаунтов | 212 |
| Настоящий IP утёк через браузер, в другой стране, чем видимый IP | 66 |
| Ферма телефонов за резидентным прокси | 29 |
| Тот же оффер уже выполнил другой аккаунт на устройстве | 17 |
| Поддельная модель телефона | 7 |
| Стандартный профиль эмулятора | 7 |
Сигналы устройства снова сделали основную работу: шесть блокировок из десяти пришлись на один телефон или эмулятор за несколькими аккаунтами. Рекламодатели редко отменяют такой трафик: за первые 28 дней сети они отменили 38 из 5 525 отмеченных конверсий. Блокировка на постбэке это момент, когда сеть ещё может это остановить.
Хватило категорий блокировки, которые выбрал оператор (Tor, хостинг-сети, VPN, эмуляторы и боты), и стандартных порогов. Ни одно правило не было написано вручную.
Выводы для других операторов
- Измеряйте до того, как блокировать. Один день теневых данных показал долю фрода, о которой оператор только догадывался.
- Включайте Enforce там, где движутся деньги. Блокировка только конверсий задержала 6% выплат и не тронула ни одного клика и регистрации.
- Смотрите дальше IP. Проверки языка, часового пояса и устройства нашли трафик, который скрывали чистые IP.
- Думайте группами. Пять колец это много аккаунтов, но всего пять решений.
- Скорость показывает, какие офферы под ударом, чтобы защитить их первыми.
- Читайте причины, а не только оценку. Именно причины позволяют проверяющему согласиться или не согласиться с отметкой.
Проведите такой же тест на своём трафике
Каждый новый сайт в CashoutGuard начинает в теневом режиме, так что вы можете провести такой же 24-часовой тест. Добавьте сборщик, вызывайте /v1/evaluate со своего сервера и смотрите результаты в панели. Бесплатный план покрывает до 1 000 активных пользователей в месяц, а тариф Growth можно попробовать бесплатно 14 дней. Смотрите документацию по интеграции или цены.