¿Qué es una granja de clics? La economía de los clics falsos (2026)

Pide a la mayoría de los anunciantes que se imaginen el fraude de clics y se imaginarán un servidor: un script en un centro de datos que golpea un anuncio una y otra vez. Esa imagen es la mitad del problema. Describe el tráfico de bots, y explica por qué tantas defensas están ajustadas para atrapar máquinas.

Una granja de clics es la otra mitad, y está construida deliberadamente para parecerse a tus clientes. Esta guía explica qué son realmente estas operaciones, qué encontraron los investigadores al hacer redadas en ellas, por qué la economía que todo el mundo cita no es fiable y cómo se ve el tráfico de una granja de clics dentro de una cuenta de Google Ads.

Qué es realmente una granja de clics

Una granja de clics es una operación que paga a personas para generar una interacción que parezca orgánica. El resultado es lo que el comprador quiera: clics en anuncios, instalaciones de apps, visualizaciones de vídeo, seguidores en redes sociales, reseñas de productos, valoraciones de vendedores o interacciones de búsqueda que empujan un anuncio hacia arriba en una clasificación.

La definen tres características:

• Hardware real. Teléfonos, tabletas y equipos físicos, a menudo cientos, montados en racks o repartidos por mesas y conectados a una máquina de control.
• Identidad de red real. Tarjetas SIM de consumo y conexiones residenciales, de modo que el tráfico procede de rangos de direcciones que pertenecen a operadoras y proveedores de internet legítimos.
• Personas reales. Trabajadores que realizan los toques, a veces con ayuda de automatización para las partes repetitivas.

Ese tercer elemento es lo que separa una granja de clics de las granjas de bots que tratamos por separado. Una granja de bots es software que imita a una persona. Una granja de clics es una persona. El problema de la imitación desaparece por completo, y con él la mayoría de las señales que buscan tus filtros antifraude.

Lo que aparece en una redada real

La imagen más instructiva de una granja de clics procede de las fuerzas del orden, no del marketing de los proveedores.

En junio de 2017, la policía y el ejército tailandeses registraron dos casas alquiladas en el distrito de Aranyaprathet, cerca de la frontera con Camboya. Dentro, según informó The Register, encontraron una estructura metálica improvisada que sostenía cientos de teléfonos conectados a un monitor, e incautaron:

Hay dos detalles que merecen atención. Primero, las tarjetas SIM superan a los teléfonos en una proporción de más de 700 a 1, porque lo que se consume es la identidad, no el dispositivo. Quemas un número, lo cambias y sigues. Segundo, los operadores dijeron a la policía que se instalaron en Tailandia porque allí las tarifas móviles eran baratas en comparación con China. Es un negocio de márgenes, y se traslada a donde los insumos sean más baratos.

Una nota rápida sobre las fuentes, porque importa para todo lo que leas sobre este tema: esa redada ocurrió en 2017, pero circula mucho en artículos recientes fechados en 2025 y 2026 con las mismas cifras. Si ves la cifra de 347.200 SIM presentada como actual, es el caso de 2017 reciclado.

La actuación policial más reciente se ha centrado en la capa de identidad que alimenta estas operaciones. En la Operación SIMCARTEL, coordinada por Europol y Eurojust en octubre de 2025 en Austria, Estonia, Finlandia y Letonia, los investigadores realizaron 26 registros, detuvieron a siete personas e incautaron unos 1.200 dispositivos SIM box que gestionaban 40.000 tarjetas SIM activas registradas en más de 80 países. El servicio detrás de ese hardware se había usado para crear unos 49 millones de cuentas en línea.

Granja de clics, granja de bots, granja de SIM: tres cosas distintas

Estos términos se usan como sinónimos y no deberían.

Una granja de SIM no produce tus clics falsos. Produce las cuentas verificadas y las identidades telefónicas que consumen las granjas de clics y las granjas de bots. Por eso la persecución de las granjas de SIM importa a los anunciantes aunque en ellas nunca se haga clic en un anuncio.

En la práctica, las categorías se difuminan. Una operación moderna suele automatizar el trabajo repetitivo y reservar la intervención humana para los pasos que la necesitan, que es exactamente el híbrido que burla una detección ajustada para cualquiera de los dos extremos.

La economía que nadie verifica

Casi todos los artículos sobre granjas de clics citan un precio. Un centavo por clic. Un dólar por cada mil. Diez mil visualizaciones por unos pocos dólares.

Esas cifras vienen de los vendedores.

No existen datos de precios auditados para un mercado ilegal. Los números que circulan se copian de las páginas comerciales de servicios que anuncian tráfico falso, y esos operadores tienen todos los incentivos para anunciar los mayores volúmenes a los precios más bajos, cumplan o no. Repetir su tarifa como si fueran datos de mercado no es investigación, es amplificación.

Lo verificable procede de los registros policiales y del lado de la demanda. El caso tailandés aporta un dato honesto: tres operadores, 474 teléfonos y unos 4.400 dólares estadounidenses al mes de remuneración total. Ese es el coste de hacer funcionar la granja, no el precio que se cobra a sus clientes, y te dice que el margen es lo bastante estrecho como para perseguir tarifas SIM baratas al otro lado de una frontera.

Por el lado de la demanda, el estudio de transparencia programática de la ANA concluyó que solo unos 36 centavos de cada dólar que entraba en una plataforma de demanda llegaban a un consumidor de forma medible, y que otra gran parte acababa en medios de baja calidad, incluidos tráfico inválido e inventario creado para la publicidad. El trabajo de referencia posterior de la ANA cifró el desperdicio programático en unos 26.800 millones de dólares. Esas cifras no aíslan específicamente las granjas de clics, y no vamos a fingir que lo hacen, pero dimensionan la bolsa de dinero que hace que merezca la pena montar operaciones como estas.

La conclusión práctica para un anunciante es más sencilla que cualquier lista de precios: lo que le cuesta un clic falso al comprador es una minucia frente a lo que ese clic te cuesta a ti con un CPC de 4 dólares. La asimetría es el modelo de negocio.

Por qué las granjas de clics burlan las defensas habituales

Repasa la pila de detección habitual y mira cómo falla capa a capa.

• Reputación de IP y listas de bloqueo. La conexión es una línea residencial o móvil genuina. No figura en ninguna fuente de amenazas, y bloquearla puede suponer bloquear un hogar real. El mismo problema estructural que analizamos en por qué el bloqueo de IP falla frente a los proxies residenciales se aplica aquí, por otro motivo: esta dirección ni siquiera es un proxy.
• Filtros de centros de datos y hosting. No hay nada que atrapar. No hay ningún centro de datos en el camino.
• CAPTCHA. Hay un ser humano presente. El CAPTCHA es una prueba de humanidad, y la granja la supera honestamente.
• Huella digital del dispositivo usada de forma ingenua. El dispositivo es un iPhone real con una huella real. La huella digital sigue ayudando, pero solo si la usas para detectar el mismo dispositivo repitiéndose en distintas sesiones, no para decidir si un dispositivo es genuino.
• Heurísticas básicas de bots. El movimiento del ratón, los tiempos de los toques y las curvas de interacción vienen de dedos reales. No hay ninguna curva de automatización que detectar.
• Filtrado de bots de GA4. Los filtros de las plataformas se apoyan en listas de bots conocidos. El teléfono de un desconocido en otro país no está en ninguna lista.

Por eso las granjas de clics cuestan más que los bots y por eso los compradores siguen pagándolas. No pagas por clics. Pagas por clics que sobreviven al filtrado.

Cómo se ve el tráfico de una granja de clics en tu cuenta

Como las señales técnicas son débiles, la detección pasa a los patrones y los resultados. Ningún punto de la lista siguiente demuestra nada por sí solo. La señal es la combinación.

• Clics al alza, conversiones estancadas o a la baja. La señal más duradera de todo el fraude de clics, y la que las granjas de clics no pueden evitar sin comprarte de verdad.
• Concentración en tus palabras clave más caras. Quien paga a la granja está comprando daño, y el daño se cobra por clic.
• Sesiones cortas pero no instantáneas. Los bots rebotan en menos de un segundo. Un humano pagado se queda lo justo para parecer verosímil, a menudo un puñado de segundos sospechosamente constante en muchas sesiones.
• Interacción superficial pero no nula. Un desplazamiento, quizá una interacción, y se va. La intención real produce un comportamiento más desordenado y variado.
• Agrupaciones geográficas en zonas que no atiendes. Tráfico concentrado en una ciudad o región fuera de tu mercado, que llega por operadoras móviles y no por rangos de centros de datos.
• Homogeneidad de dispositivos. Las granjas compran hardware al por mayor. Una concentración inusual de un modelo de dispositivo antiguo o de una versión del sistema operativo en sesiones que por lo demás no tienen relación merece una consulta.
• Horarios que siguen un patrón de turnos. Las operaciones humanas tienen horario laboral. Un volumen que empieza y termina a horas locales constantes, con un bajón a la hora de comer incluido, es una huella muy distinta de la de un script que funciona sin pausa día y noche.
• Comportamiento repetido sin identidad repetida. La misma secuencia de interacción repitiéndose desde direcciones que cambian constantemente apunta a una operación coordinada y no a una coincidencia.

Esa última pareja, un comportamiento constante con una identidad inconstante, es la clave. Una granja de clics puede cambiar de dirección en cada sesión. Lo que no puede cambiar con facilidad es cómo se ha entrenado a sus trabajadores para comportarse.

Cómo detectar tráfico de granjas de clics en Google Ads y Meta

Para detectar tráfico de granjas de clics, usa la plataforma publicitaria para encontrar una agrupación sospechosa y los datos de tu propio sitio para confirmarla. Google Ads y Meta pueden mostrarte dónde, cuándo y en qué tipo de dispositivo se produjeron los clics. Solo tu sitio puede mostrar lo que hizo cada visitante después, y ahí es donde una granja se delata.

Primero, ajusta las expectativas. Los Invalid Traffic Detection and Filtration Standards del Media Rating Council (actualización de junio de 2020) mencionan las granjas de clics como ejemplo de tráfico inválido sofisticado (SIVT): actividad humana incentivada de la que se puede demostrar que está organizada y dirigida a través de múltiples usuarios o máquinas. La misma norma incluye los emuladores dentro del SIVT automatizado. El MRC define el SIVT como la categoría que requiere analítica avanzada y la corroboración de varios datos para identificarse. Ningún informe por sí solo te lo va a dar hecho.

Seis señales hacen la mayor parte del trabajo:

1. Agrupaciones por región u operadora a horas extrañas. Clics concentrados en unas pocas regiones, que llegan por redes móviles en horarios que encajan con un turno de trabajo en otro lugar y no con el día de tus clientes.
2. Uniformidad de dispositivo y sistema operativo. Muchas sesiones sin relación entre sí con el mismo modelo y la misma versión del sistema operativo, o indicios de emuladores como cadenas de hardware genéricas, ausencia de sensores de movimiento o tamaños de pantalla que ningún teléfono comercial usa.
3. Muchos dispositivos, un solo comportamiento. Dispositivos distintos que siguen la misma ruta de páginas, la misma profundidad de desplazamiento y el mismo tiempo de permanencia. Unos investigadores que compraron me gusta a granjas de me gusta de Facebook descubrieron que las granjas más sigilosas imitaban a los usuarios normales lo bastante bien como para eludir la detección desplegada por Facebook, pero aun así las cuentas de la granja producían comentarios y me gusta duplicados con más frecuencia que los usuarios normales (Ikram et al., ACM Transactions on Privacy and Security, 2017). La coordinación deja un patrón incluso cuando cada sesión parece humana.
4. CTR alto con un tiempo de interacción o unas conversiones casi nulos. A las granjas se les paga por hacer clic, no por leer ni por comprar.
5. Formularios basura con datos que siguen un patrón. Números de teléfono consecutivos, un mismo dominio de correo repetido, el mismo nombre con pequeñas variaciones o datos verosímiles que nunca responden a una llamada de seguimiento.
6. Tiempos antinaturales entre el clic y la conversión. Conversiones que llegan una cantidad casi idéntica de segundos después del clic, una y otra vez. Los compradores reales tardan tiempos muy distintos.

Esto es dónde se puede ver y dónde no cada señal:

Fuentes de las columnas de las plataformas: la documentación del informe de ubicaciones de Google y la referencia de desgloses de la Marketing API de Meta, que no incluye ningún desglose por dirección IP, operadora, versión del sistema operativo ni modelo de dispositivo.

Las celdas vacías son lo importante. Ambas plataformas informan de agregados, y ninguna muestra una dirección IP ni lo que hizo un visitante después de llegar. Una granja de clics se define por la coordinación entre sesiones, así que confirmarla exige datos a nivel de sesión y de dispositivo que solo recoge tu propio sitio: datos de interacción de GA4, registros brutos del servidor y una huella digital del dispositivo que reconozca el mismo teléfono detrás de una dirección cambiante.

Lo que realmente las atrapa

Tres capas hacen el trabajo de verdad, y ninguna es una lista de IP.

Puntuación conductual de la sesión, no del clic. Juzga la visita por cómo se desarrolla: la distribución del tiempo de permanencia, el desplazamiento, la secuencia de interacciones y cómo se compara todo ello con tu tráfico genuino que convierte. Las sesiones de una granja de clics se agrupan de forma muy compacta alrededor de un guion aprendido, y esa compacidad ya es en sí anómala. Los clientes reales varían.

Un reconocimiento de dispositivos que persiste a través de los cambios de dirección. Aquí la huella digital no sirve para demostrar que un dispositivo es falso. Sirve para demostrar que un dispositivo es el mismo que estuvo aquí ayer, y anteayer, desde tres direcciones distintas, sin comprar nunca nada.

Análisis de resultados. Sigue el tráfico hasta los ingresos. Una fuente que entrega clics y ninguna conversión, mes tras mes, te está diciendo lo que es por muy humana que parezca cada sesión individual. Esta es también la evidencia que respalda una reclamación de reembolso o un caso contra la competencia, porque las plataformas y los tribunales responden a patrones documentados a lo largo del tiempo y no a sospechas sobre un solo clic.

El principio general: deja de preguntarte si este clic vino de un humano. Vino de un humano. Empieza a preguntarte si este visitante se comporta como alguien que podría comprarte.

Cómo gestiona ClickFortify el tráfico de granjas de clics

ClickFortify se construyó partiendo de la premisa de que la dirección es la señal más débil disponible. La puntuación conductual evalúa cada sesión según cómo se comporta realmente y no según de dónde viene, de modo que un humano genuino al que se le paga por hacer clic se distingue con claridad de un humano genuino con intención de comprar. El reconocimiento de dispositivos enlaza la actividad a través de IP rotativas, y eso es lo que convierte un montón de sesiones aparentemente inconexas en un único actor identificable. Los infractores confirmados se sincronizan automáticamente con tus exclusiones de Google Ads, así que no tienes que mantener a mano una lista contra un adversario que cambia de dirección más rápido de lo que puedes escribir, una carrera perdida que desglosamos en la guía del límite de 500 exclusiones de IP.

Cada bloqueo lleva un rastro de evidencias: marcas de tiempo, direcciones, continuidad del dispositivo y comportamiento, que es exactamente lo que necesita una investigación de tráfico inválido o una denuncia legal. Consulta cómo funciona o calcula primero tu propia exposición con la calculadora de fraude publicitario.

En resumen

Una granja de clics es la forma más honesta de fraude publicitario que existe. Nada en ella es falso salvo la intención. Personas reales, teléfonos reales, redes reales, toques reales, y ni uno solo de esos clics iba a convertirse nunca en cliente.

Por eso las defensas en las que confían la mayoría de los anunciantes ni la rozan. Las listas de IP, los CAPTCHA y los filtros de centros de datos responden a la pregunta “¿es esto una máquina?”, y la respuesta es, de verdad, que no. La pregunta que separa una granja de clics de tu mercado es otra: ¿este visitante se comporta como un comprador, y sigue apareciendo sin llegar nunca a serlo? Responde a eso, a lo largo de sesiones y no de clics, y la sala llena de teléfonos deja de ser invisible.