La plupart des contenus sur la fraude au clic se concentrent sur le Réseau de Recherche, où un clic gaspillé vous coûte un coût par clic et pollue Smart Bidding. L’acquisition d’utilisateurs mobiles a sa propre économie de la fraude, qui fonctionne différemment.
Dans les campagnes d’installation d’applications, les annonceurs paient à l’installation, et un fournisseur d’attribution décide quelle source reçoit le mérite de chaque installation. Ce modèle de paiement crée une incitation précise : si un fraudeur parvient à convaincre le système d’attribution qu’il a apporté une installation, il est payé, qu’il ait fait quelque chose de réel ou non. Il en résulte une famille de techniques conçues pour simuler purement et simplement des installations ou pour s’approprier le mérite d’installations qui auraient eu lieu de toute façon.
Ce guide présente les quatre techniques les plus importantes, l’empreinte que chacune laisse dans vos données et le fonctionnement de la détection.
Pourquoi la fraude à l’installation d’apps est une catégorie à part
La fraude sur le Réseau de Recherche gaspille un clic. La fraude à l’installation d’apps corrompt l’attribution.
Cette différence compte, car les dégâts se cumulent deux fois. D’abord, vous payez une prime pour une installation fausse ou volée. Ensuite, vos données d’attribution créditent la mauvaise source : votre prochaine enveloppe budgétaire part donc vers le fraudeur au lieu des canaux qui apportent de vrais utilisateurs. Une attribution propre est le fondement de toute décision d’acquisition d’utilisateurs, et ces techniques s’y attaquent directement.
Les quatre techniques ci-dessous vont du vol du mérite d’installations réelles à la fabrication d’installations à partir de rien.
L’injection de clics : voler le mérite à la dernière seconde
L’injection de clics (click injection) est un vol d’attribution. Elle ne crée pas de fausse installation. Elle s’approprie le mérite d’une vraie.
Une application malveillante déjà présente sur l’appareil guette le signal indiquant qu’une autre application est en cours d’installation. Dès qu’elle détecte une installation en cours, elle déclenche un faux clic : lorsque l’installation se termine, le système d’attribution voit ce faux clic comme le dernier point de contact et paie le fraudeur. L’installation réelle aurait eu lieu de toute façon. Le fraudeur s’est simplement glissé sur la ligne d’arrivée.
- L’empreinte, c’est le temps. Un vrai clic a lieu bien avant la fin d’une installation, car l’utilisateur doit télécharger puis ouvrir l’application. Un clic injecté survient au dernier moment et produit un délai entre clic et installation anormalement court.
- L’indice, c’est la distribution. Une source légitime présente une répartition naturelle des délais entre clic et installation. Une source dominée par des délais très courts signale une injection.
- Le dégât, c’est la mauvaise attribution. Le budget qui devrait être attribué aux installations organiques ou à une autre source payante part à la place vers l’injecteur.
C’est pourquoi le délai entre clic et installation est l’un des signaux les plus importants de la détection de la fraude mobile. Une source dont les installations se concentrent sur des délais d’une brièveté impossible n’apporte pas d’utilisateurs ; elle les intercepte.
L’inondation de clics : arroser de clics pour capter les installations organiques
L’inondation de clics (click flooding), parfois appelée spam de clics, est une affaire de volume. Le fraudeur déclare un volume massif de clics qu’aucun vrai utilisateur n’a effectués, en pariant que certains utilisateurs installeront l’application de façon organique et que l’inondation captera le mérite au titre du dernier clic.
C’est plus grossier que l’injection, mais efficace à grande échelle, car des installations organiques ont lieu en permanence. Si un fraudeur a déclenché suffisamment de faux clics, l’un d’eux sera le point de contact le plus récent au moment où un utilisateur organique installe l’application, et le système d’attribution paie.
- L’empreinte, c’est un délai entre clic et installation long et étalé. Comme les clics sont aléatoires et sans lien avec les vraies installations, le délai entre clic et installation est souvent très long et largement dispersé.
- L’indice, c’est le taux de conversion. Une source qui inonde présente un énorme volume de clics avec un taux de conversion du clic à l’installation minuscule, car presque aucun des clics n’est réel.
- Le dégât, c’est le vol des installations organiques. Ces installations auraient eu lieu gratuitement. L’inondation les fait passer pour des installations payantes.
L’inondation de clics et l’injection de clics se situent aux deux extrémités de la distribution des délais, ce qui explique précisément pourquoi l’examen des distributions de délais entre clic et installation permet de repérer les deux.
Le SDK spoofing : inventer des installations à partir de rien
Le SDK spoofing est la technique la plus technique et la plus dangereuse, car elle n’a besoin d’aucun appareil réel pour installer l’application.
Ici, l’attaquant falsifie la communication entre une application et le fournisseur d’attribution, en générant des signaux qui déclarent des installations et des événements dans l’application qui n’ont jamais eu lieu. Bien exécutée, elle produit des enregistrements d’installation qui peuvent paraître légitimes en surface, ce qui la rend plus difficile à repérer que les attaques fondées sur le délai.
S’en défendre dépend des contrôles d’intégrité entre l’application et le système d’attribution, comme une communication signée et vérifiée qu’un attaquant ne peut ni rejouer ni falsifier. Là où ces contrôles sont faibles ou absents, des installations usurpées peuvent arriver avec une apparence propre. C’est pourquoi la sécurité de l’intégration d’attribution elle-même, et pas seulement les paramètres de campagne, fait partie de la défense contre la fraude mobile.
Le détournement d’installation et le reste de la famille
Le détournement d’installation (install hijacking) est un proche cousin de l’injection. Une application malveillante interfère avec une installation légitime en cours et redirige l’attribution vers elle-même, volant là encore le mérite d’une installation que l’utilisateur avait déjà l’intention de faire.
À côté de ces techniques, le paysage de la fraude mobile comprend des fermes d’appareils qui font tourner à grande échelle des appareils réels ou émulés, des événements dans l’application générés par des bots pour imiter des utilisateurs engagés, et du trafic incentivé qui produit des installations sans intérêt réel. Le fil conducteur est le même que partout ailleurs dans la fraude publicitaire : une automatisation qui ressemble à un vrai utilisateur assez longtemps pour être payée. Maintenant que le trafic automatisé dépasse le trafic humain sur le web, la sophistication de ces faux utilisateurs ne cesse d’augmenter.
Comment fonctionne réellement la détection
Vous ne pouvez pas repérer la fraude mobile à l’œil nu comme vous repéreriez une IP récurrente dans une campagne sur le Réseau de Recherche. La détection est statistique et s’appuie sur quelques signaux.
| Signal | Ce qu’il révèle | Quelle fraude il repère |
|---|---|---|
| Délai entre clic et installation | Des écarts anormalement courts ou longs entre le clic et l’installation | Injection de clics et inondation de clics |
| Vitesse et volume des installations | Des pics ou des volumes artificiels qui ne correspondent pas à la demande réelle | Inondation, fermes d’appareils et SDK spoofing |
| Schémas d’appareils et d’IP | Appareils répétés, émulateurs ou réseaux de centres de données | Fermes d’appareils et installations générées par des bots |
| Intégrité de la communication | Signaux d’attribution falsifiés ou rejoués | SDK spoofing |
| Engagement après l’installation | Des installations qui ne produisent jamais d’activité réelle dans l’application | La plupart des types de fraude, a posteriori |
La défense la plus solide combine ces signaux au lieu de s’appuyer sur un seul. Les distributions de délais repèrent les voleurs d’attribution, les contrôles d’intégrité repèrent les usurpateurs, et l’engagement après l’installation sert de filet de sécurité en démasquant les installations qui semblaient correctes mais ne sont jamais devenues des utilisateurs. La même philosophie multisignal qui protège le Réseau de Recherche s’applique ici : un signal isolé n’est pas une preuve, mais plusieurs signaux indépendants qui pointent dans la même direction en sont une.
En résumé
La fraude à l’installation d’apps est une discipline à part, car elle s’attaque à l’attribution, pas seulement aux clics. L’injection de clics et le détournement d’installation volent le mérite d’installations réelles, l’inondation de clics arrose de clics pour capter les installations organiques, et le SDK spoofing fabrique des installations à partir de rien. Chacune laisse une empreinte, surtout dans le délai, le volume, les schémas d’appareils et le comportement après l’installation. Protéger le budget d’acquisition d’utilisateurs implique de surveiller ces signaux ensemble et de considérer l’intégrité de votre intégration d’attribution comme une partie de votre défense contre la fraude, pas comme un détail secondaire.
