不正クリックに関する記事の多くは検索広告に焦点を当てています。検索広告では、無駄なクリック 1 回ごとにクリック単価を支払い、スマート自動入札も汚染されます。モバイルのユーザー獲得には独自の不正経済があり、その仕組みは異なります。
アプリインストール キャンペーンでは、広告主はインストールごとに費用を支払い、どの配信元がそのインストールの成果を得るかはアトリビューション プロバイダが判定します。この課金モデルが特有の動機を生みます。不正行為者は、インストールを届けたとアトリビューション システムに信じ込ませられれば、実際に何かをしたかどうかに関係なく報酬を得られるのです。その結果、インストールそのものを偽造する手口や、どのみち発生していたはずのインストールの成果を横取りする手口が次々と生まれています。
このガイドでは、最も重要な 4 つの手口、それぞれがデータに残す痕跡、そして検出の仕組みを解説します。
アプリインストール不正が独立したカテゴリである理由
検索広告の不正はクリックを無駄にします。アプリインストール不正はアトリビューションを汚染します。
この違いが重要なのは、被害が二重に積み重なるからです。第一に、偽造された、あるいは横取りされたインストールに報酬を支払うことになります。第二に、アトリビューションデータが誤った配信元を評価するため、次の予算は実際のユーザーを届けるチャネルではなく、不正行為者へ流れてしまいます。正確なアトリビューションはあらゆるユーザー獲得の判断の土台であり、これらの手口はその土台を直接攻撃します。
以下の 4 つの手口は、実在するインストールの成果を横取りするものから、何もないところからインストールを捏造するものまで多岐にわたります。
クリックインジェクション：最後の瞬間に成果を横取りする
クリックインジェクションはアトリビューションの窃取です。偽のインストールを作るのではなく、実在するインストールの成果を奪います。
端末にすでに入っている悪意あるアプリが、別のアプリがインストールされているというシグナルを監視します。インストールの進行を検知した瞬間に偽のクリックを発生させるため、インストールが完了したとき、アトリビューション システムはその偽クリックを最後の接点とみなし、不正行為者に報酬を支払います。本来のインストールはどのみち発生していました。不正行為者はゴール直前に割り込んだにすぎません。
- 痕跡は時間に現れます。 ユーザーはアプリをダウンロードして開く必要があるため、本物のクリックはインストール完了よりかなり前に発生します。注入されたクリックは最後の瞬間に発生するため、クリックからインストールまでの時間が異常に短くなります。
- 決め手は分布です。 正当な配信元では、クリックからインストールまでの時間が自然にばらつきます。非常に短い時間ばかりが目立つ配信元は、インジェクションの兆候を示しています。
- 被害は誤ったアトリビューションです。 本来オーガニックや別の有料配信元に計上されるべき予算が、インジェクションを行う側へ流れてしまいます。
だからこそ、クリックからインストールまでの時間は、モバイル不正の検出において最も重要なシグナルの一つです。インストールがありえないほど短い時間に集中している配信元は、ユーザーを届けているのではなく、横取りしているのです。
クリックフラッディング：クリックをばらまいてオーガニックを捕まえる
クリックフラッディング（クリックスパミングとも呼ばれます）は数の勝負です。不正行為者は実在のユーザーが行っていない膨大な数のクリックを報告し、一部のユーザーがオーガニックにアプリをインストールしたときに、ラストクリック基準でその成果を横取りすることに賭けます。
インジェクションより粗雑な手口ですが、オーガニックのインストールは常に発生しているため、規模が大きければ効果を発揮します。十分な数の偽クリックを発生させていれば、オーガニックのユーザーがインストールした時点で、そのうちの 1 つが最新の接点となり、アトリビューション システムが報酬を支払ってしまいます。
- 痕跡は、長く平坦なクリックからインストールまでの時間です。 クリックはランダムで実際のインストールとは無関係なため、クリックからインストールまでの時間は非常に長く、広く分散することがよくあります。
- 決め手はコンバージョン率です。 フラッディングされた配信元では、クリック数が膨大な一方で、クリックからインストールへのコンバージョン率はごくわずかです。クリックのほぼすべてが実在しないからです。
- 被害はオーガニックの横取りです。 これらのインストールは無料で発生するはずでした。フラッディングによって、それが有料に分類し直されてしまいます。
クリックフラッディングとクリックインジェクションはタイミング分布の両端に位置します。だからこそ、クリックからインストールまでの時間の分布を見れば、その両方を捉えられるのです。
SDK スプーフィング：何もないところからインストールを作り出す
SDK スプーフィングは最も技術的で、最も危険な手口です。実際の端末がアプリをインストールする必要がまったくないからです。
この手口では、攻撃者がアプリとアトリビューション プロバイダ間の通信を偽造し、発生していないインストールやアプリ内イベントを報告するシグナルを生成します。巧妙に行われると、表面上は正当に見えるインストール記録が作られるため、タイミングに基づく攻撃よりも見つけにくくなります。
防御は、アプリとアトリビューション システムの間の整合性管理にかかっています。たとえば、攻撃者がリプレイや偽造をできない、署名と検証済みの通信です。こうした管理が弱い、または存在しない場合、なりすましのインストールがきれいな見た目のまま流れ込みます。だからこそ、キャンペーン設定だけでなく、アトリビューション連携そのもののセキュリティもモバイル不正対策の一部なのです。
インストールハイジャックとその周辺の手口
インストールハイジャックはインジェクションに近い手口です。悪意あるアプリが進行中の正当なインストールに干渉し、アトリビューションを自分に向け直します。ここでも、ユーザーがすでに意図していたインストールの成果が横取りされます。
これらに加えて、モバイル不正の世界には、実機またはエミュレートされた端末を大規模に稼働させるデバイスファーム、エンゲージメントの高いユーザーを装うよう設計されたボットによるアプリ内イベント、そして本当の関心を伴わないインストールを生むインセンティブ付きトラフィックもあります。共通点は、アドフラウドのほかの領域と同じです。報酬を得られるまでの間だけ実在のユーザーに見せかける自動化です。自動化されたトラフィックがいまやウェブ上で人間を上回るなか、こうした偽ユーザーの巧妙さは高まり続けています。
検出は実際にどう機能するのか
モバイル不正は、検索キャンペーンで繰り返し現れる IP を見つけるように目視で見抜くことはできません。検出は統計的に行われ、いくつかのシグナルに依存します。
| シグナル | わかること | 捉えられる不正 |
|---|---|---|
| クリックからインストールまでの時間 | クリックとインストールの間隔が異常に短い、または長い | クリックインジェクションとクリックフラッディング |
| インストールの速度と量 | 実際の需要と一致しない不自然な急増や量 | フラッディング、デバイスファーム、スプーフィング |
| 端末と IP のパターン | 繰り返し現れる端末、エミュレータ、データセンターのネットワーク | デバイスファームとボットによるインストール |
| 通信の整合性 | 偽造またはリプレイされたアトリビューション シグナル | SDK スプーフィング |
| インストール後のエンゲージメント | 実際のアプリ内アクティビティがまったく生じないインストール | ほとんどの不正（事後的に） |
最も強力な防御は、どれか 1 つに頼るのではなく、これらを組み合わせることです。タイミング分布がアトリビューションの窃取を捉え、整合性管理がスプーフィングを捉え、インストール後のエンゲージメントが最後の防衛線として、一見問題なさそうでも実際のユーザーにならなかったインストールをあぶり出します。検索広告を守るのと同じ、複数のシグナルを組み合わせる考え方がここにも当てはまります。1 つのフラグだけでは証拠になりませんが、独立した複数のシグナルが同じ方向を示していれば証拠になります。
まとめ
アプリインストール不正は、クリックだけでなくアトリビューションを攻撃するため、独立した領域です。クリックインジェクションとインストールハイジャックは実在するインストールの成果を横取りし、クリックフラッディングはクリックをばらまいてオーガニックを捕まえ、SDK スプーフィングは何もないところからインストールを捏造します。それぞれが、主にタイミング、量、端末のパターン、インストール後の行動に痕跡を残します。ユーザー獲得予算を守るには、これらのシグナルをあわせて監視し、アトリビューション連携の整合性を後回しにせず、不正対策の一部として扱うことが欠かせません。
