Średnio 20% klików to fraudy

Wraz z pojawieniem się kanału Mobile, wiele rozwiązań reklamowych zostało skopiowane z Desktopu, a następnie dostosowane do jego potrzeb. Równolegle powstawały jednak nowe rodzaje działań marketingowych, tworzone z myślą o tym szybko rozwijającym się kierunku. Podobnie było z Ad Fraudami - częściowo są to te same oszustwa z jakimi reklamodawcy zmagali się przy tradycyjnych kampaniach, częściowo natomiast zupełnie nowe zagrożenia, dedykowane temu nowemu kanałowi komunikacji marketingowej. Czym są więc Ad Fruady w przypadku reklam mobilnych i jakie ich rodzaje możemy wyróżnić?

Mobile Ad Fraud to nic innego jak próba oszukania reklamodawcy, uczciwego wydawcy lub partnera poprzez wykorzystanie technologii reklamy mobilnej (a więc przygotowywanej dla urządzeń takich jak telefony komórkowe, smartfony, tablety, palmtopy itp.). W ostatnich latach oszustwa tego typu bardzo szybko zyskują na popularności ze względu na stale rosnącą liczbę użytkowników kanału Mobile i równocześnie niewielką wykrywalność fraudów dotyczących kampanii z nim związanych. Oszustwa dotyczące reklam mobilnych mogą przybierać różne formy, ale podzielić je można na 4 główne grupy w zależności od tego, gdzie dochodzi do fradu:

• użytkownik, urządzenie, a nawet konwersja (pobranie, instalacja, kliknięcie itp.) są prawdziwe;
• użytkownik i urządzenie są prawdziwe, ale konwersja jest fałszywa;
• urządzenie jest prawdziwe, ale użytkownik i konwersja są fałszywe;
• zarówno użytkownik, urządzenie jak też konwersja są fałszywe.

Gdy użytkownik, urządzenie i konwersja są prawdziwe

W takim przypadku mamy do czynienia z kradzieżą prawidłowej konwersji od reklamodawcy lub uczciwego wydawcy, który ją wygenerował. Jeśli chodzi o aplikacje mobilne najczęściej rozliczanie odbywa się tutaj za ostatnie kliknięcie na ścieżce atrybucji, a oszuści doskonale zdają sobie z tego sprawę i stosują w tym obszarze kilka rodzajów fraudów, umożliwiających im przypisanie sobie cudzych zasług:

• Click Spamming lub Click Flooding, ma miejsce, gdy oszuści wysyłają dużą liczbę autentycznie wyglądających kliknięć licząc na to, że nastąpi instalacja organiczna zgodna z tym samym identyfikatorem urządzenia lub innymi informacjami umożliwiającymi identyfikację. Choć jest to w znacznej mierze liczenie na przypadek, wbrew pozorom w efekcie takich działań oszuści często zostają przypisani do prawdziwych konwersji. Ten rodzaj oszustwa związanego z atrybucją jest zwykle najbardziej skuteczny w przypadku popularnych aplikacji, ponieważ szanse, że zostaną one pobrane są znacznie większe.
• Click Injection, a więc „wstrzykiwanie kliknięć” będące nieco bardziej wyrafinowaną formą click spammingu, jest szczególnie rozpowszechnione w kampaniach mierzonych za pomocą ostatniego kliknięcia. Oszust używa w tym przypadku własnej aplikacji, którą instaluje na urządzeniu użytkownika, aby monitorować jego przyszłe instalacje. Jeśli program ten wykryje pobieranie nowej aplikacji wygeneruje w niej kliknięcie i tym samym zostawi ślad fraudstera w historii konwersji, mimo, że tak naprawdę oszust nie miał z nią nic wspólnego.

Kiedy użytkownik i urządzenie są prawdziwe, ale konwersja jest fałszywa

Oszuści wykorzystują tu prawdziwych użytkowników i ich urządzenia, ale fabrykują pożądane akcje. Przykładem takiego Ad Fraudu może być celowe Resetowanie identyfikatora urządzenia - to oszustwo polegające na cyklicznym pobieraniu, odinstalowywaniu i ponownym instalowaniu aplikacji, przy czym każde kolejne zainstalowanie zlicza się jak nowe, choć dotyczy tego samego urządzenia i użytkownika. Dzieje się tak gdyż oszust resetuje identyfikator urządzenia. Według AppsFlyer oszustwa tego typu stanowiły w 2018 roku 26% wszystkich fraudów związanych z instalacjami mobilnymi generując straty sięgające nawet 1 mld USD.

Inną formą oszustwa, którą możemy zaliczyć do tej kategorii jest Ad Stacking, a więc „nakładanie na siebie” wielu reklam tak, aby użytkownik widział tylko komunikat znajdujący się na szczycie stosu. Choć w rzeczywistości widoczna jest tylko jedna reklama, reszta kreacji wyświetlana jest jednocześnie pod nią, tworząc wrażenie, że zostały one pokazane odbiorcy. W tym przypadku fraudsterzy otrzymują od reklamodawców wynagrodzenie za reklamę, której tak naprawdę nie wyświetlili.

Choć urządzenie jest prawdziwe, zarówno użytkownik jak też konwersja są fałszywe

Kiedyś ten rodzaj Ad Fraudu kojarzył się głównie z Farmami urządzeń (Device farms), a więc posiadaniem przez oszusta wielu urządzeń mobilnych, zaprogramowanych tak, aby automatycznie wykonywały pewne czynności. Zdarzało się też oczywiście, że na Farmach zatrudniani byli bardzo nisko opłacani pracownicy, ręcznie wykonujący zadania, rozwój techniki szybko jednak pokazał, że podobne rozwiązania są mało efektywne.

W dużym stopniu zostały więc one zastąpione przez BOTy, roboty i inne rozwiązania dostarczające nieprawidłowy, a więc nie pochodzący od prawdziwych użytkowników, ruch - IVT (Invallid Traffic). Ta kategoria obejmuje więc wszelkie oszustwa, które naśladują zachowanie ludzi na prawdziwych urządzeniach.

Innym przykładem Ad Fraudu w tej kategorii jest Spoofing SDK (Software Development Kit, zestaw narzędzi dla programistów niezbędny w tworzeniu aplikacji korzystających z danej biblioteki, pod dany system, sprzęt itp.), a więc tworzenie nieprawdziwych instalacji z wykorzystaniem danych pochodzących od rzeczywistych urządzeń. Spoofing SDK działa w oparciu o złośliwą aplikację, która jest połączona z legalną aplikacją generując w niej kliknięcia i inne działania, bez konieczności wcześniejszego jej instalowania. Ta metoda jest uznawana za jeden z najtrudniejszych do wykrycia rodzaj Ad Fraudów.

Nic nie jest prawdziwe, a jednak reklamodawca wciąż płaci...

To najbardziej wyrafinowany rodzaj Ad Fraudów w kanale Mobile, nie wymaga bowiem aby prawdziwy był ani użytkownik, ani urządzenie. Oszustwa tego typu wykonywane są całkowicie dzięki wykorzystaniu inteligentnych BOTów i Emulatorów, które manipulują komunikacją w ścieżce atrybucji (historii danej konwersji). BOTy to programy mogące wykonywać dowolne akcje w sposób zautomatyzowany, znacznie szybciej niż człowiek. Odpowiednio napisane i skonfigurowane mogą sprawiać, że Ad Fraudy dokonywane za ich pomocą będą bardzo trudne do wykrycia.

Natomiast emulator to oprogramowanie, które pozwala obsługiwać jedno urządzenie za pomocą innego. W ten sposób emulatory mogą wyglądać jak smartfony i wykonywać fałszywe instalacje aplikacji bez używania prawdziwych urządzeń i użytkowników.

Innym przykładem podobnych oszustw marketingowych może być Bundle ID Spoofing, a więc podszywanie się pod identyfikator. Metoda ta została po raz pierwszy odkryta w czerwcu 2018 roku i polega na tym, że fraudsterzy oszukują reklamodawców, że ich reklamy są wyświetlane w jednej aplikacji, podczas gdy naprawdę są one pokazywane zupełnie gdzie indziej. Jest to możliwe dzięki zmianie parametrów i nadaniu fałszywej aplikacji identyfikatorów tej właściwej.

Oszustwa związane z reklamami mobilnymi stają się coraz popularniejsze. Skala ich działania jest ogromna – na przykład Firma Trend Micro MARS zgłosiła 1088 aplikacji, które zawierały SDK, stworzone na potrzeby oszustw - zanim zostały one usunięte z Google Play zostały one zainstalowane 120 293 130 razy. Oszustwa reklamowe w kanale Mobile to też przede wszystkim gigantyczne straty finansowe – szacuje się, że oszuści zarabiają na Ad Fraudach w urządzeniach mobilnych od kilkudziesięciu miliardów do nawet kilku bilionów dolarów rocznie. Ale straty pieniężne to tylko jedna konsekwencja takich praktyk dla przedsiębiorców. Dane zbierane z reklam są bowiem wykorzystywane przez działy marketingowe i organy zarządzające do podejmowania strategicznych decyzji, a przez tego typu działania informacje z nich uzyskiwane będą znacznie odbiegały od tych rzeczywistych. Dodatkowo skutkiem wszelkich oszustw reklamowych dla marki jest zawsze narażenie na szwank jej dobrego imienia, a strat w tym obszarze nie da się oszacować.