やるべきことはすべてやったはずです。検索語句やアナリティクスから不審な IP アドレスを洗い出し、除外リストに追加し、もしかすると Google の 500 件という上限に達したかもしれません。それでも不要なクリックや偽のリードは届き続けています。これは貴社の誤りではありません。その原因には名前があります。それが レジデンシャルプロキシ です。レジデンシャルプロキシは、ISP が割り当てた実在の家庭の IP アドレスを経由して不正クリックを行い、その IP は優良顧客とまったく見分けがつきません。つまり、静的なブロックリストではそれを検出できないのです。IP のブロックは今でも必要ですが、今では問題の半分ほどしか捉えられません。このガイドでは、その仕組み、ブロックリストが構造的に太刀打ちできない理由、そしてデバイスと行動ベースの検出が上乗せするものを解説します。
先月作ったブロックリストは、すでに時代遅れです
2026 年の 2 つの事実が、問題の全体像を示しています。1 つ目は、Imperva の 2026 年版 Bad Bot Report によると、自動化されたトラフィックが今では 全ウェブトラフィックの 53% を占め、人間によるトラフィックは 47% に減ったことです。2 つ目は、その悪質なトラフィックの大きな、そして拡大し続ける部分が、もはや識別してブロックできるデータセンターからではなく、本物のユーザーとまったく同じように見える家庭の接続から来ていることです。
多くの広告主が苦い経験を経てたどり着く率直な結論は、不正な IP のリストは、すでに移動した標的のスナップショットにすぎないということです。アドレスを特定して除外するころには、不正を行う業者は別のアドレスに移っています。解決策はリストを大きくすることではなく、別の検出の層を加えることです。
レジデンシャルプロキシとは何か
レジデンシャルプロキシは、一般の消費者の実際のインターネット接続を経由してトラフィックを送ります。出口の IP は、ホスティング事業者ではなく、通常のブロードバンド回線やモバイル回線を使う家庭や小規模事業者のものです。業者は、ユーザーの通信帯域をひそかに転売する SDK を、無料のモバイルアプリ、ブラウザ拡張機能、「無料」の VPN に組み込むことで、こうしたネットワークを構築します。その多くは、実質的な同意を得ずに行われています。
この点がすべてです。不正なクリックがレジデンシャルプロキシから送られると、そのクリックは 実在の家庭の接続が持つ信頼できる IP の評価 を伴って届きます。データセンターではないため、どのデータセンターのブロックリストにも載っていません。そして、それを一律にブロックするのは危険です。同じ IP 範囲の背後には、獲得したい実際の顧客がいるからです。データセンターや VPN のトラフィックは比較的スコアを付けやすい一方、レジデンシャルプロキシのトラフィックは、それらを捉えるチェックを破るために特別に設計されています。
2026 年の証拠：Google による IPIDEA の摘発
これは理論上の話ではありません。2026年1月29日、Google Threat Intelligence Group は、世界最大級のレジデンシャルプロキシ ネットワークの 1 つである IPIDEA を阻止したと発表しました。注目すべきはその規模です。このネットワークは 600 以上の Android アプリ に隠された SDK によって支えられ、約 7,400 台のサーバーと 3,000 を超える固有の Windows ファイル ハッシュを基盤とし、互いに独立しているように見せかけた 13 のプロキシ・VPN ブランドで販売されていました。同月のある 7 日間だけで、Google は IPIDEA の出口ノードを利用する 550 を超える異なる脅威グループ を観測しています。
このトラフィックを止めるのがなぜこれほど難しいのかについての Google 自身の説明は、IP のブロックに対する告発のようにも読めます。「世界中の多数の一般消費者のデバイスを経由してトラフィックを送ることで、攻撃者はこれらの IP アドレスを乗っ取り、悪意のあるアクティビティを隠すことができます。」出口ノードどうしが重なり合っているため、攻撃元の特定そのものが困難になります。
そしてこれが、独立した研究者たちが測定し続けている、悪質なトラフィックに占めるレジデンシャル ISP の割合です。Imperva は 2024 年版のレポートで 悪質なボットトラフィックのおよそ 4 分の 1 がレジデンシャル ISP に由来する としており、2025 年には ボット攻撃の 21% がレジデンシャルプロキシを使用している ことを明らかにしました。IPIDEA ほどの規模の摘発の後でも、残っている IP の数は多すぎ（そして実際のユーザーと区別がつかなさすぎ）、どの静的な除外リストでも追いつけません。
静的なブロックリストが構造的に太刀打ちできない理由
IP のリストでこの戦いに勝てない具体的な理由は 3 つあります。
- 入れ替わり。 レジデンシャルプロキシのネットワークは、数百万もの異なる出口 IP を次々に入れ替えます。不正なアドレスを列挙することで機能する防御は、数学的に終わらせることのできないゲームをしているのです。
- Google の厳格な上限。 Google 広告では、キャンペーンあたり最大 500 件の IP アドレスを除外でき、アドレスのすべてのバージョン（IPv4 と IPv6 の両方）を登録する必要があります。数百万の入れ替わる IP に対して 500 件の枠では、勝負になりません。
- 適用範囲のすき間。 同じ Google のドキュメントによると、キャンペーン単位の IP 除外は「動画キャンペーン、ホテル キャンペーン、アプリ キャンペーン、P-MAX キャンペーン、スマート ディスプレイ キャンペーンでは利用できません」。アカウント単位の除外は P-MAX にも適用されますが、同じキャンペーンあたりの上限と、同じ入れ替わりの問題に縛られたままです。
注目すべきことに、Google の無効なトラフィックの除外では、選別の対象となるカテゴリとして「データセンター」のトラフィックが明示されています。レジデンシャルプロキシは、まさにトラフィックがそう見えないようにするために存在しています。
GIVT と SIVT：「半分だけ」を裏付ける基準
広告業界には、これを表す言葉がすでにあります。IAB と Media Rating Council は、無効なトラフィックを 2 つの階層に分けています。一般的な無効トラフィック（GIVT） は「通常のリストベースの除外の手段によって特定される」もので、既知のボット、クローラー、不正な IP のリストが該当します。高度な無効トラフィック（SIVT） は「検出がより困難」で、「高度な分析、複数の観点からの裏付け、または人による相当な介入」が必要です。
レジデンシャルプロキシやマルウェアによる不正クリックは、定義上 SIVT です。ブロックリストは、基準自体の表現を借りれば「リストベースの除外の手段」であり、GIVT のためのツールです。最も重要な半分の問題に対しては、根本的に不適切な道具なのです。これが、IP のブロックでは無効なトラフィックの一部しか捉えられない、業界標準に基づく正確な理由です。その一部がどれほどの規模かを示すと、Pixalate の 2025年第1四半期のベンチマークでは、無効なトラフィックの割合はデスクトップとモバイル ウェブで 18%、モバイルアプリで 31% とされています。
ブロックリストが見落とすコンバージョンの盲点
クリックが除外された場合でも、もう 1 つの問題が残ります。Google は、クリックが無効と判断されて削除されても、そのクリックに帰属するコンバージョンは削除されない場合がある としています。そのため、不正なアクションはクリックの除外をすり抜けてコンバージョンのデータに入り込み、スマート自動入札や P-MAX にデータを送り続けます。その結果、アルゴリズムは不要な成果を生むオーディエンスやプレースメントを追いかけるために、さらに費用を使うよう学習してしまいます。IP 単位の防御では、これに対して何もできません。まったく別の層の問題です。
デバイスと行動ベースの検出が加えるもの：残りの半分
IP が信頼できないなら、代わりに「相手そのもの」を検出します。入れ替わるレジデンシャル IP があっても機能する層は 3 つあります。
-
デバイスフィンガープリント。 デバイスに何も保存せずに、ハードウェア、ソフトウェア、ネットワークの属性から組み立てる識別情報で、Cookie の削除、プライベート ブラウジング、まったく新しい IP をまたいで同じ訪問者を再び特定します。ブロックリストに載ることのない入れ替わるレジデンシャル IP から不正が届いた場合でも、ClickFortify は IP の評価に加えてデバイスと行動のシグナルでスコアを付けるため、IP が変わった後も同じ相手を捉えられます。 ClickFortify のフィンガープリントは Cookie の削除後も維持される識別情報を構築し、数百もの異なるレジデンシャルの出口 IP をまたいで不正な訪問者を再び特定します。
-
行動のシグナル。 本物の人は、マウスを動かし、スクロールし、ためらい、人間らしく不規則にページを移動します。自動化されたクライアントはそうしません。また、Selenium、Puppeteer、Playwright のようなヘッドレス ブラウザのツールは、検出可能な自動化の痕跡を残します。クリック後の挙動（滞在時間、スクロールの深さ、ページ遷移の流れ、そうした自動化の兆候）を分析することで、ClickFortify は IP の評価チェックを通過してもボットのように振る舞うクリックにフラグを付けます。
-
シグナル間の裏付け。 最も強い手がかりは「矛盾」から得られます。データセンター級のデバイスフィンガープリントを持つレジデンシャル IP、IP の位置情報と一致しないブラウザのタイムゾーンや言語、別の国を経由したプロキシの経路をうかがわせる遅延やタイミングなどです。ClickFortify は IP とデバイスの対応や地域の一貫性のシグナルを照合するため、矛盾のあるセッションは信頼されることなく浮かび上がります。 ここでも、プロキシ、データセンター、VPN の検出は重要です。ただし、それだけで判定を下すものではなく、重み付けされた多くの入力の 1 つとして使われます。
ClickFortify が Google、P-MAX、Meta で防御を重ねる仕組み
これらの層をつなぎ合わせることこそが実際の仕事であり、各プラットフォームの制約を踏まえる必要があります。
- Google 検索とディスプレイ。 ClickFortify は、不正と確認された IP をリアルタイムで自動的に除外し、Google のキャンペーンあたり 500 件という IP の上限に合わせて除外リストを動的に管理します。 そのため、限られたリストが古いアドレスで埋まり、新しいアドレスがブロックされないまま残ることはありません。
- P-MAX。 キャンペーン単位の除外は P-MAX には適用できないため、ClickFortify は アカウント単位の除外とプラットフォーム外での行動ベースの検出 を組み合わせます。これにより、P-MAX の費用がプロキシのトラフィックに対して無防備なまま放置されることはありません。
- コンバージョンとスマート自動入札。 除外されたクリックでも汚染されたコンバージョンが残る可能性があるため、ClickFortify は コンバージョン単位と CAPI 単位のフィルタリング を加えます。これにより、不正によるコンバージョンが、不要な成果を追いかけるようスマート自動入札を学習させることはありません。
- Meta。 クライアントの IP をそのまま除外することがまったくできない Meta では、ClickFortify は不正が検出された広告セットで Audience Network を自動的にオフにでき（広告アカウントごとのオプトイン）、ブロックしたパブリッシャーを Meta のブロックリストに反映し、CAPI を通じて送るコンバージョンをフィルタリングします。これにより、IP を制御する機能のないプラットフォームにも行動ベースの保護を広げます。
まとめ
IP の除外は続けてください。必要な第一の層であり、基準で GIVT と呼ばれる、高度ではないリストベースのトラフィックを防ぎます。しかし、それではできないことを理解しておいてください。不正クリックのうち、高くつき、しつこく続く半分は、今では実在の家庭の接続を経由しています。その接続はどのリストでも追えないほど速く入れ替わり、データセンターのチェックをすり抜け、クリックが捉えられた場合でもコンバージョンのデータを汚染します。その半分を捉えるには、アドレスではなく（デバイスと行動によって）相手そのものを特定する必要があります。この多層的な対策を検索、P-MAX、Meta で一貫して適用することが、1 週間で時代遅れになるブロックリストと、次の IP がどこから来ても不正を追い続ける保護との違いを生みます。
