Кликфрод в онлайн-рекламе: виды и схемы мошенничества.

Введение

Тип мошенничества в онлайн-рекламе.

Мошенничество с кликами – это вид мошенничества, происходящий в Интернете в онлайн-рекламе с оплатой за клик (PPC). В этом типе рекламы владельцы сайтов, размещающих рекламу, получают оплату в зависимости от количества посетителей, которые кликают по объявлениям. Мошенничество возникает, когда человек, автоматизированный скрипт, компьютерная программа или программа автоматического клика имитируют действия реального пользователя веб-браузера, кликая по такому объявлению без реального интереса к целевой странице по ссылке, с целью увеличения дохода. Мошенничество с кликами является предметом споров и растущего числа судебных разбирательств, поскольку рекламные сети извлекают из него значительную выгоду. Медиа-предприниматель и журналист Джон Баттелл описывает мошенничество с кликами как намеренно злонамеренную практику "черных шляп", когда издатели манипулируют платной поисковой рекламой, используя роботов или низкооплачиваемых работников для многократных кликов по объявлениям на своих сайтах, тем самым генерируя средства, которые рекламодатель должен выплатить издателю и любому посреднику, которого он использует.

Реклама с оплатой за клик

PPC-реклама – это схема, при которой веб-мастера (операторы веб-сайтов), выступающие в роли издателей, размещают кликабельные ссылки от рекламодателей в обмен на плату за клик. По мере развития этой индустрии возникло множество рекламных сетей, которые стали посредниками между этими двумя группами (издателями и рекламодателями). Каждый раз, когда (предположительно) реальный пользователь сети нажимает на объявление, рекламодатель платит рекламной сети, которая, в свою очередь, выплачивает издателю часть этих средств. Эта система распределения доходов считается стимулом для мошенничества с кликами. Крупнейшие рекламные сети, Google AdWords/AdSense и Yahoo! Search Marketing, выполняют двойную функцию, поскольку они сами также являются издателями (на своих поисковых системах). По словам Жана Лупа Рише, профессора Сорбоннской школы бизнеса, мошенничество с кликами часто является лишь одним звеном в большой цепи рекламного мошенничества и может использоваться как часть более масштабного мошенничества с идентификацией и/или атрибуцией. Те, кто занимается крупномасштабным мошенничеством, часто запускают скрипты, имитирующие нажатия на рекламу человеком на веб-страницах. Однако большое количество кликов, поступающих, как кажется, с одного или небольшого числа компьютеров, или из одного географического региона, вызывает подозрения у рекламной сети и рекламодателей. Клики, поступающие с компьютера, известного как принадлежащий издателю, также вызывают подозрения у тех, кто отслеживает мошенничество с кликами. Человек, пытающийся совершить крупномасштабное мошенничество с одного компьютера, имеет значительные шансы быть пойманным. Один из видов мошенничества, обходящий обнаружение по IP-адресам, использует существующий пользовательский трафик, превращая его в клики или показы. Такая атака может быть замаскирована от пользователей с помощью iframe нулевого размера для отображения рекламы, загружаемой программно через JavaScript. Она также может быть замаскирована от рекламодателей и порталов путем предоставления так называемым "обратным паукам" легитимной страницы, в то время как обычным посетителям показывается страница, совершающая мошенничество с кликами. Использование iframe нулевого размера и других техник, связанных с реальными посетителями, может также комбинироваться с использованием стимулированного трафика, когда участникам сайтов "Платное чтение" (PTR) платят небольшие суммы денег (часто доли цента) за посещение веб-сайта и/или клики по ключевым словам и результатам поиска, иногда сотни или тысячи раз в день. Некоторые владельцы сайтов PTR являются участниками PPC-систем и могут рассылать большое количество рекламных писем пользователям, выполняющим поиск, в то время как тем, кто не ищет, отправляют мало рекламы. Они делают это в основном потому, что плата за клик по результатам поиска часто является единственным источником дохода для сайта. Это известно как принудительный поиск, практика, не одобряемая в индустрии "Получай деньги за действия". Организованная преступность может справиться с этим, используя множество компьютеров с собственными интернет-соединениями в разных географических точках. Часто скрипты не имитируют реальное поведение человека, поэтому сети организованной преступности используют троянские программы для превращения компьютеров обычных пользователей в зомби-машины и используют спорадические перенаправления или отравление DNS-кэша, чтобы превратить действия ничего не подозревающего пользователя в действия, приносящие доход мошеннику. Рекламодателям, рекламным сетям и органам власти может быть сложно возбуждать дела против сетей людей, разбросанных по нескольким странам. Мошенничество с показами – это когда ложно сгенерированные показы рекламы влияют на счет рекламодателя. В случае аукционных моделей, основанных на коэффициенте кликабельности (CTR), рекламодатель может быть оштрафован за неприемлемо низкий CTR по определенному ключевому слову. Это включает в себя выполнение множества поисков по ключевому слову без кликов по объявлению. Такие объявления автоматически отключаются, позволяя конкуренту с более низкой ставкой продолжать показ рекламы по тому же ключевому слову, в то время как несколько крупных участников торгов (на первой странице результатов поиска) оказываются исключенными.

PPC advertising is an arrangement in which webmasters (operators of websites), acting as publishers, display clickable links from advertisers in exchange for a charge per click. As this industry evolved, a number of advertising networks developed, which acted as middlemen between these two groups (publishers and advertisers). Each time a (believed to be) valid Web user clicks on an ad, the advertiser pays the advertising network, which in turn pays the publisher a share of this money. This revenue sharing system is seen as an incentive for click fraud. The largest of the advertising networks, Google's AdWords/AdSense and Yahoo! Search Marketing, act in a dual role, since they are also publishers themselves (on their search engines). According to Jean Loup Richet, Professor at the Sorbonne Business School, click fraud is frequently one link in the large ad fraud chain, and can be leveraged as part of a larger identity fraud and/or attribution fraud. Those engaged in large scale fraud will often run scripts which simulate a human clicking on ads in Web pages. However, huge numbers of clicks appearing to come from just one, or a small number of computers, or a single geographic area, look highly suspicious to the advertising network and advertisers. Clicks coming from a computer known to be that of a publisher also look suspicious to those watching for click fraud. A person attempting large scale fraud, from one computer, stands a good chance of being caught. One type of fraud that circumvents detection based on IP patterns uses existing user traffic, turning this into clicks or impressions. Such an attack can be camouflaged from users by using 0 size iframes to display advertisements that are programmatically retrieved using JavaScript. It could also be camouflaged from advertisers and portals by ensuring that so called "reverse spiders" are presented with a legitimate page, while human visitors are presented with a page that commits click fraud. The use of 0 size iframes and other techniques involving human visitors may also be combined with the use of incentivized traffic, where members of "Paid to Read" (PTR) sites are paid small amounts of money (often a fraction of a cent) to visit a website and/or click on keywords and search results, sometimes hundreds or thousands of times every day Some owners of PTR sites are members of PPC engines and may send many email ads to users who do search, while sending few ads to those who do not. They do this mainly because the charge per click on search results is often the only source of revenue to the site. This is known as forced searching, a practice that is frowned upon in the Get Paid To industry. Organized crime can handle this by having many computers with their own Internet connections in different geographic locations. Often, scripts fail to mimic true human behavior, so organized crime networks use Trojan code to turn the average person's machines into zombie computers and use sporadic redirects or DNS cache poisoning to turn the oblivious user's actions into actions generating revenue for the scammer. It can be difficult for advertisers, advertising networks, and authorities to pursue cases against networks of people spread around multiple countries. Impression fraud is when falsely generated ad impressions affect an advertiser's account. In the case of click through rate based auction models, the advertiser may be penalized for having an unacceptably low click through for a given keyword. This involves making numerous searches for a keyword without clicking of the ad. Such ads are disabled automatically, enabling a competitor's lower bid ad for the same keyword to continue, while several high bidders (on the first page of the search results) have been eliminated.

Нападает на инфляцию

Атака с завышением инфляции – это разновидность мошеннического метода, используемого некоторыми рекламными издателями для получения необоснованного дохода от трафика, направляемого ими на веб-сайты рекламодателей. Она более сложна и трудна для обнаружения, чем простая атака с завышением. Этот процесс предполагает сотрудничество двух сторон: недобросовестного издателя P и недобросовестного веб-сайта S.
Веб-страницы на S содержат скрипт, который перенаправляет пользователя на веб-сайт P, и этот процесс скрыт от пользователя. Таким образом, когда пользователь U запрашивает страницу на S, это имитирует клик или запрос на страницу на сайте P. Сайт P имеет два типа веб-страниц: манипулированную версию и оригинальную версию. Манипулированная версия имитирует клик или запрос на рекламу, что приводит к начислению P средств за этот клик. P выборочно определяет, загружать ли манипулированный (и, следовательно, мошеннический) скрипт в браузер U, проверяя, был ли запрос от S. Это можно сделать с помощью поля Referrer, которое указывает сайт, с которого была получена ссылка на P. Все запросы от S будут загружаться с манипулированным скриптом, и таким образом будет отправлен автоматический и скрытый запрос. Эта атака незаметно преобразует каждый невинный визит на S в клик по рекламе на странице P. Более того, P может сотрудничать с несколькими недобросовестными веб-сайтами, каждый из которых может сотрудничать с несколькими недобросовестными издателями. Если рекламодатель посетит веб-сайт P, будет отображена немошенническая страница, и, следовательно, P нельзя будет обвинить в мошенничестве. Без оснований подозревать существование такого сотрудничества, рекламодателю придется проверять все веб-сайты в Интернете для обнаружения таких атак, что не представляется возможным.

Манипулирование результатами органического поиска

Одним из основных факторов, влияющих на ранжирование веб-сайтов в результатах органического поиска, является CTR (Click Through Rate). Это отношение количества кликов к количеству показов, то есть, сколько раз пользователи переходят по ссылке на поисковый результат, по сравнению с тем, сколько раз этот результат отображается в выдаче. В отличие от мошенничества с PPC, когда конкурент использует ботнеты или дешевую рабочую силу для генерации фиктивных кликов, в данном случае цель – применить политику недобросовестной конкуренции по отношению к соперникам, максимально снизив их CTR и, тем самым, ухудшив их позиции в результатах поиска. Злоумышленники будут генерировать фиктивные клики по органическим результатам поиска, которые они хотят продвинуть, и избегать результатов, которые они хотят понизить в выдаче. Эта техника может эффективно создать картель бизнес-услуг, контролируемый одним и тем же злоумышленником, или использоваться для продвижения определенной политической позиции и т.д. Масштаб этой проблемы неизвестен, но она очевидна многим веб-разработчикам, внимательно следящим за статистикой в инструментах для вебмастеров.

Судебные иски

Споры по этому вопросу привели к ряду судебных процессов. В одном случае Google (выступая в роли как рекламодателя, так и рекламной сети) выиграла судебный процесс против техасской компании Auction Experts (выступающей в роли издателя), которую Google обвинила в оплате кликов по рекламе, размещенной на сайте Auction Experts, что обошлось рекламодателям в 50 000 долларов. Несмотря на усилия сетей по предотвращению этого, издатели с подозрением относятся к мотивам рекламных сетей, поскольку рекламная сеть получает деньги за каждый клик, даже если он является мошенническим. В июле 2005 года Yahoo урегулировала коллективный иск, поданный против нее истцами, утверждавшими, что компания не предприняла достаточных мер для предотвращения кликовой мошенничества. Yahoo выплатила 4,5 миллиона долларов на покрытие судебных издержек истцов и согласилась урегулировать претензии рекламодателей, начиная с 2004 года. В июле 2006 года Google урегулировала аналогичный иск на 90 миллионов долларов. 8 марта 2006 года Google согласилась создать компенсационный фонд в размере 90 миллионов долларов по коллективному иску, поданному компанией Lane's Gifts & Collectibles. Коллективный иск был подан в округе Миллер, штат Арканзас, адвокатами из Далласа Стивеном Малуфом, Джоэлем Файнбергом и Дином Грешемом. Экспертом-свидетелем со стороны истцов в этом деле была Джесси Стричиола, эксперт в области интернет-поиска, впервые выявившая случаи мошенничества с PPC в 2001 году.

Майкл Энтони Брэдли

В 2004 году житель Калифорнии Майкл Энтони Брэдли создал программу Google Clique, с помощью которой, как он утверждал, спамеры могли бы обманом получить от Google миллионы долларов за счет фиктивных кликов, что в конечном итоге привело к его аресту и предъявлению обвинений. Брэдли продемонстрировал возможность совершения мошенничества и невозможность его обнаружения Google. Министерство юстиции заявило, что он связался с Google, требуя выплаты 100 000 долларов за права на технологию под угрозой продажи её спамерам, что могло бы стоить Google миллионов. В результате, в 2006 году Брэдли был арестован по обвинению в вымогательстве и мошенничестве с использованием почты. 22 ноября 2006 года обвинения были сняты без объяснения причин; как офис прокурора США, так и Google отказались давать комментарии. Business Week предполагает, что Google не хотела сотрудничать с прокуратурой, так как это вынудило бы её раскрыть публично свои методы выявления мошеннических кликов.

Решение

Доказать мошенничество с помощью кликов может быть очень сложно, поскольку трудно узнать, кто стоит за компьютером и каковы его намерения. Когда дело доходит до обнаружения мошенничества с мобильной рекламой, анализ данных может дать некоторые надежные указания. Аномальные показатели могут сигнализировать о наличии различных типов мошенничества. Чтобы обнаружить мошенничество с кликами в рекламной кампании, рекламодатели могут сосредоточиться на следующих атрибутах:

IP-адрес: Поскольку боты запускают схожие скрипты с одного и того же сервера, любое мошенничество с кликами в мобильных объявлениях будет указывать на высокую плотность кликов, поступающих с одного и того же IP-адреса или диапазона похожих IP-адресов. Рекламодатели также могут проверять IP-адреса, чтобы убедиться в их истории, связанной с мошенничеством. Временная метка клика: Временная метка клика фиксирует время, когда был совершен клик по объявлению. Мошенничество с кликами, основанное на ботах, совершает многократные попытки клика по объявлениям, что увеличивает частоту кликов за этот период. Большое количество кликов с почти одинаковыми временными метками указывает на возможность мошенничества с кликами. Небольшая продолжительность и высокая частота означают высокую вероятность мошенничества. Временная метка действия: Временная метка действия – это время, когда пользователь совершает действие (или взаимодействует) с приложением или веб-сайтом. При атаке с использованием ботов может наблюдаться сходство с временной меткой действия. Поскольку бот кликает по рекламе, а затем выполняет действие в приложении или на веб-сайте без задержки, рекламодатель может заметить низкую или почти отсутствующую временную метку действия. Зачастую, все, что может сделать рекламная сеть, – это определить, какие клики наиболее вероятно являются мошенническими, и не списывать средства со счета рекламодателя. Используются даже более сложные методы обнаружения, но ни один из них не является безошибочным. В отчете Тужилина, подготовленном Александром Тужилиным в рамках мирового соглашения по иску о мошенничестве с кликами, подробно и всесторонне обсуждаются эти вопросы. В частности, в нем определяется «фундаментальная проблема недействительных (мошеннических) кликов»:
«Не существует концептуального определения недействительных кликов, которое можно было бы операционализировать [за исключением некоторых очевидных случаев]». «Операциональное определение не может быть полностью раскрыто общественности из-за опасений, что недобросовестные пользователи воспользуются им, что может привести к массовому мошенничеству с кликами. Однако, если оно не будет раскрыто, рекламодатели не смогут проверить или даже оспорить, почему с них была списана плата за определенные клики». Индустрия PPC лоббирует принятие более строгих законов по этому вопросу. Многие надеются на принятие законов, которые будут распространяться и на тех, кто не связан договорными обязательствами. Ряд компаний разрабатывают жизнеспособные решения для выявления мошенничества с кликами и налаживают посреднические отношения с рекламными сетями. Такие решения можно разделить на две категории:

IP Address: As bots run similar scripts from the same server, any click fraud on mobile ads will indicate a high density of clicks coming from the same IP address or a range of similar IP addresses. Advertisers can also run check on IP addresses to verify their history with another fraud. Click Timestamp: Click timestamp maintains the time at which the click is made on the ad. The bot based click fraud runs repeatedly to attempt clicking on the ads, which increases click frequency for that duration. A high range of clicks with almost similar timestamp points at the possibility of click fraud. A low duration and high frequency mean a high probability of fraud. Action Timestamp: Action timestamp is the time at which the user takes action on (or engages with) the app or website. With a bot based click attack, there can be a similarity with action timestamp. As bot clicks on the advertisement and then performs the action on app or website without any delay, the advertiser can notice a low or almost no action timestamp. Often the best an advertising network can do is to identify which clicks are most likely fraudulent and not charge the account of the advertiser. Even more sophisticated means of detection are used, but none are foolproof. The Tuzhilin Report produced by Alexander Tuzhilin as part of a click fraud lawsuit settlement, has a detailed and comprehensive discussion of these issues. In particular, it defines "the Fundamental Problem of invalid (fraudulent) clicks":
"There is no conceptual definition of invalid clicks that can be operationalized [except for certain obviously clear cases]." "An operational definition cannot be fully disclosed to the general public because of the concerns that unethical users will take advantage of it, which may lead to a massive click fraud. However, if it is not disclosed, advertisers cannot verify or even dispute why they have been charged for certain clicks." The PPC industry is lobbying for tighter laws on the issue. Many hope to have laws that will cover those not bound by contracts. A number of companies are developing viable solutions for click fraud identification and are developing intermediary relationships with advertising networks. Such solutions fall into two categories:

Судебный анализ файлов журналов веб-серверов рекламодателей. Этот анализ данных веб-сервера рекламодателя требует тщательного изучения источника и поведения трафика. Поскольку для анализа используются стандартные для отрасли файлы журналов, данные могут быть проверены рекламными сетями. Проблема этого подхода заключается в том, что он зависит от честности посредников в выявлении мошенничества. Подтверждение третьей стороной. Третьи стороны предлагают веб-решения, которые могут включать размещение однопиксельных изображений или Javascript на веб-страницах рекламодателя и соответствующую маркировку рекламы. Посетителю может быть предложена cookie. Информация о посетителе затем собирается в хранилище данных третьей стороны и становится доступной для загрузки. Лучшие предложения позволяют легко выделять подозрительные клики и показывают причины такого вывода. Поскольку файлы журналов рекламодателя могут быть подделаны, их сопровождение подтверждающими данными от третьей стороны представляет собой более убедительные доказательства для представления рекламной сети. Однако проблема с решениями третьих сторон заключается в том, что они видят только часть трафика всей сети. Следовательно, они могут быть менее склонны выявлять закономерности, охватывающие нескольких рекламодателей. Кроме того, из-за ограниченного объема трафика, который они получают по сравнению с посредниками, они могут быть слишком или недостаточно строгими при оценке трафика как мошеннического. В интервью Forbes 2007 года эксперт Google по предотвращению мошенничества с кликами Шуман Гхосемаджумдер заявил, что одной из ключевых проблем при обнаружении мошенничества с кликами третьими сторонами является доступ к данным, выходящим за рамки кликов, в частности, к данным о показах рекламы. Мошенничество с кликами менее вероятно в моделях оплаты за действие.

Исследования

Тот факт, что посредники (поисковые системы) доминируют в операционном определении недействительных кликов, является причиной конфликта интересов между рекламодателями и посредниками, как описано выше. Это находит отражение в докладе Тужилина. Поскольку подобные исследования, предположительно, не подвержены влиянию рыночных сил, есть надежда, что их можно будет использовать для оценки строгости выявления кликового мошенничества посредниками в будущих судебных разбирательствах. Сохраняется опасение, что данное исследование может раскрыть внутренние системы обнаружения мошенничества, используемые посредниками. Примером такого исследования является работа, выполненная Метвали, Агравалом и Эль Аббади в UCSB. Другая работа, выполненная Маджумдаром, Кулкарни и Равишанкаром в UC Riverside, предлагает протоколы для выявления мошеннической деятельности брокеров и других посредников в сетях доставки контента.