500 件の枠は十分に思えます。ほとんどの広告主は 50 件も埋めません。ところが本格的な攻撃が始まると話は変わります。競合他社が雇った業者、主要なキーワードを狙うために雇われたクリックファーム、あるいは高 CPC のオークションを見つけたボットネットによって、リストは 1 週間で埋まります。そして、どの PPC フォーラムにも同じ質問が寄せられます。Google 広告で 500 件を超える IP を除外するにはどうすればよいのか、と。
端的に言えばそれはできません。このガイドでは、代わりに何をすべきかを解説します。IP 除外が機能する場合と機能しない場合の詳しい解説を土台に、この記事では上限そのものに絞って説明します。
上限の正確な仕様
Google 自身のIP 除外のドキュメントによると、次のとおりです。
| ルール | 詳細 |
|---|---|
| キャンペーンの上限 | キャンペーンごとに最大 500 件の除外 IP アドレス |
| アカウント単位の除外 | ［管理者］、［アカウント設定］の順に進んで設定でき、アカウント全体に適用 |
| 範囲 | 最後の部分をアスタリスクのワイルドカードにする（例：203.0.113.*）。CIDR 表記は不可 |
| キャンペーン単位で対象外 | 動画、ホテル、アプリ、P-MAX、スマート ディスプレイの各キャンペーン |
| 設定場所 | キャンペーン、［設定］、［その他の設定］、［IP アドレスの除外］の順 |
| 効果 | それらのアドレスへの今後の配信を停止。過去のクリックが返金されることはない |
この表のうち 3 つの点が戦略を左右します。ワイルドカードの登録は 1 枠で 256 個のアドレスのブロック全体をカバーするため、範囲指定が枠を確保する手段になります。P-MAX にはキャンペーン単位の除外がないため、そこでは IP に関してアカウント単位のリストが唯一の手段です。そして除外は今後に対してのみ有効なので、すでに請求された分は代わりに異議申し立ての手続きで対応します。
500 件が思ったより早く尽きる理由
この上限は、不正を行う相手が 1 つのオフィスと 1 つのアドレスしか持たない世界を想定して設計されました。そうした世界はもうありません。現在の攻撃者はインフラを借ります。
- レジデンシャルプロキシのネットワークは、実在の家庭の回線を経由してクリックを送ります。大規模なプールは、あらゆる国と通信事業者にまたがる何百万ものアドレスを宣伝しています。数千回の悪意あるクリックが、それぞれ 1〜2 回しか使われない数千の異なる IP から届くこともあります。これが静的なブロックを無力にする理由は、レジデンシャルプロキシと不正クリックで解説しています。
- キャリアグレード NAT は、1 つの共有アドレスの背後に何千人ものモバイルユーザーを置きます。ブロックすれば本物の顧客も一緒にブロックし、ブロックしなければ不正の主体はそのまま通り続けます。
- ボットネットと感染した端末は、DHCP のリースのたびにアドレスが変わる一般家庭のパソコンからクリックします。
500 件のリストで計算してみましょう。攻撃が 1 日に 200 件の新しい IP を使い捨て、除外を週に 2 回更新しているとすると、週末には常に 600 件のアドレス分遅れていることになります。しかも先月追加した登録は、いまや再割り当てされ、本物の見込み顧客のものかもしれないアドレスを指しています。リストは両端から同時に劣化していきます。
上限を最大限に活用する 6 つの方法
手作業の管理は、特に小規模から中規模の不正の主体に対しては今でも重要です。次の 6 つの方法で 500 件の枠を最大限に活用できます。
- 単一の IP をワイルドカードの範囲にまとめる。30 件の登録が最初の 3 つの部分を共有しているなら、1 件の
x.y.z.*に置き換えて 29 枠を空けます。ただし、ブロック全体が悪意ある行動を示している場合に限ってください。共有ネットワークにワイルドカードを使うと、不正と引き換えに顧客を失うことになります。 - 恒常的な不正の主体をアカウント単位に移す。確認済みの競合他社のオフィスネットワークはアカウント単位のリストに登録すべきです。そうすれば、キャンペーン単位の設定がない P-MAX などのキャンペーンタイプもカバーできます。キャンペーンの枠は、現在進行中でローテーションする脅威のために取っておきます。
- 記憶ではなく日付で整理する。IP は常に再割り当てされます。すべての登録について日付と証拠を記録し、60〜90 日より古いものは再確認してください。古い除外は、いまや別の誰かのものになったアドレスに枠を無駄に使っているだけです。
- 上流で露出を減らし、ブロックが必要な IP を減らす。地域設定を「所在地」に絞り込み、悪意あるトラフィックが多い時間帯を広告のスケジュールから外し、プレースメントには共有の除外リストを適用します。悪意あるインプレッションが減れば、リストが埋まる速度も遅くなります。
- リストと並行して証拠ファイルを残す。除外の根拠となるタイムスタンプ、IP、パターンは、クレジットの申請にも、必要になれば競合他社に対する訴えにも使えます。1 つのログで 3 つの用途があります。
- 年に 1 回ではなく毎週見直す。毎週 15 分の確認（新たに繰り返し現れる流入元を追加し、古い登録を削除する）で、手作業のリストを役立つ状態に保てます。誰も管理しないリストは、500 件分の誤った安心感にすぎません。
決して成り立たない計算
工夫は役に立ちますが、それがどこで終わるかについては正直であるべきです。手作業の IP による防御にはすべて、どれだけ熱心に取り組んでも解消できない 3 つの構造的な欠陥があります。
- ブロックするのは昨日の相手です。除外が適用されるのは、不正の主体を特定するきっかけとなったクリックがすでに請求された後です。ローテーションに対しては、新しいアドレスはどれも最初は自由にクリックできます。
- リストは学習できません。新しい IP を使う同じ攻撃者は、リストにとってはまったく新しい見知らぬ相手です。端末も、行動も、履歴も、何も引き継がれません。
- 精度は劣化します。登録が古くなるにつれて、リスクはブロック不足からブロックしすぎへと逆転します。1 つの IP は 1 人の人間ではないからです。共有アドレスや再割り当てされたアドレスがあるため、古いリストはいつの間にか本物の購入者を締め出してしまいます。
500 件の上限に 2 回達したチームが、3 回目にリスト管理の勝負に挑むことがめったにないのはそのためです。
本当に上限を超える方法
構造的な答えは、防御の基準をアドレスではなく行為者に置くことです。
- デバイスフィンガープリントは IP が変わっても同じ端末を識別するため、アドレスをローテーションする不正の主体も既知の 1 台の端末のままです。
- 行動ベースのスコアリングは、各クリックをその振る舞い（セッションの深さ、タイミング、操作、自動化のシグナル）で判定するため、繰り返しの訪問だけでなく、一度も見たことのないアドレスからの最初のクリックも捉えます。
- 除外の自動同期は、その判定をリアルタイムで Google 広告の除外に反映し、500 件の枠を代わりに管理します。進行中の脅威を追加し、範囲をまとめ、古い登録を外す作業を、誰もスプレッドシートを管理することなく行います。
この組み合わせこそ、ClickFortify が Google 広告アカウントを保護する方法です。すべてのブロックに証拠の記録が付くため、異議申し立てや競合他社に対する訴えの資料が自然に揃います。ClickFortify の仕組みをご覧ください。まず問題の規模を把握したい場合は、アドフラウド計算ツールで数字を試算してください。
500 件に達しているなら、ここを読んでください
キャンペーンの除外リストが埋まることは、それ自体が診断になります。自社を狙う無効なトラフィックが偶発的なものではなく、組織的な規模であることを意味しており、枠を空けることよりも重要な対応が 2 つあります。
- クレジットは後回しにせず、今すぐ申請します。無効なトラフィックの調査の60 日間の期限は厳格です。攻撃が何週間も続いているなら、回収できる広告費の一部はすでに期限切れになりつつあります。
- パターンが特定の相手を示していないか確認します。営業時間中に主要なキーワードに集中する悪意あるトラフィックは、拡散したボットネットとは異なる意味を持ちます。両者の見分け方は競合他社による不正クリックの証拠ガイドで、自動化された側についてはボット検出の手法で解説しています。
まとめ
Google 広告の IP 除外の 500 件という上限は現実のもので、固定されており、本格的な攻撃が始まると見た目よりも小さく感じられます。賢く活用してください。範囲にはワイルドカード、恒常的な不正の主体にはアカウント単位のリスト、日付を記録した登録は定期的に整理し、上流ではターゲティングを絞り込みます。ただし、上限はメッセージとして受け止めてください。IP リストは静的なアドレスのインターネットのために作られたもので、いま戦っている不正はもうそこにはいません。リストが埋まったときに必要なのは、より大きなリストではありません。アドレスではなく行為者を識別し、リアルタイムでブロックし、受け取るべきお金のための証拠を残す防御です。
