A maior parte do que se escreve sobre fraude de cliques foca na pesquisa paga, em que um clique desperdiçado custa um custo por clique e polui o Smart Bidding. A aquisição de usuários mobile tem sua própria economia de fraude, e ela funciona de outro jeito.
Em campanhas de instalação de apps, os anunciantes pagam por instalação, e um provedor de atribuição decide qual fonte recebe o crédito por cada instalação. Esse modelo de pagamento cria um incentivo específico: se um fraudador consegue convencer o sistema de atribuição de que entregou uma instalação, ele é pago, tenha feito algo real ou não. O resultado é uma família de técnicas projetadas para falsificar instalações por completo ou roubar o crédito por instalações que aconteceriam de qualquer forma.
Este guia explica as quatro técnicas que mais importam, a impressão digital que cada uma deixa nos seus dados e como a detecção funciona.
Por que a fraude em instalações de apps é uma categoria própria
A fraude na pesquisa paga desperdiça um clique. A fraude em instalações de apps corrompe a atribuição.
Essa diferença importa porque o dano se acumula duas vezes. Primeiro, você paga uma recompensa por uma instalação falsa ou roubada. Segundo, seus dados de atribuição passam a creditar a fonte errada, então a próxima rodada de orçamento vai para o fraudador em vez de para os canais que entregam usuários reais. Uma atribuição limpa é a base de toda decisão de aquisição de usuários, e essas técnicas a atacam diretamente.
As quatro técnicas abaixo vão desde roubar o crédito por instalações reais até fabricar instalações do nada.
Injeção de cliques: roubando o crédito no último segundo
A injeção de cliques é roubo de atribuição. Ela não cria uma instalação falsa. Ela rouba o crédito por uma real.
Um app malicioso já presente no dispositivo fica atento ao sinal de que outro app está sendo instalado. No momento em que detecta uma instalação em andamento, ele dispara um clique falso, para que, quando a instalação terminar, o sistema de atribuição veja esse clique falso como o último toque e pague o fraudador. A instalação real ia acontecer de qualquer jeito. O fraudador simplesmente se colocou na linha de chegada.
- A impressão digital é o tempo. Um clique genuíno acontece bem antes de a instalação terminar, porque o usuário precisa baixar e abrir o app. Um clique injetado acontece no último instante, produzindo um tempo entre clique e instalação anormalmente curto.
- O indício é a distribuição. Uma fonte legítima mostra uma dispersão natural dos tempos entre clique e instalação. Uma fonte dominada por tempos muito curtos está sinalizando injeção.
- O dano é a atribuição errada. O orçamento que deveria creditar o orgânico ou outra fonte paga vai para quem injeta.
É por isso que o tempo entre clique e instalação é um dos sinais mais importantes na detecção de fraude mobile. Uma fonte cujas instalações se concentram em tempos impossivelmente curtos não está entregando usuários; está interceptando-os.
Inundação de cliques: espalhando cliques para capturar orgânicos
A inundação de cliques, às vezes chamada de spam de cliques, é um jogo de números. O fraudador relata um volume enorme de cliques que nenhum usuário real fez, apostando que alguns usuários vão instalar o app organicamente e a inundação vai capturar o crédito pelo critério de último clique.
É mais grosseira que a injeção, mas eficaz em escala, porque instalações orgânicas acontecem o tempo todo. Se um fraudador disparou cliques falsos suficientes, um deles será o toque mais recente quando um usuário orgânico instalar, e o sistema de atribuição faz o pagamento.
- A impressão digital é um tempo entre clique e instalação longo e plano. Como os cliques são aleatórios e não têm relação com instalações reais, o tempo entre clique e instalação costuma ser muito longo e amplamente distribuído.
- O indício é a taxa de conversão. Uma fonte inundada mostra um volume enorme de cliques com uma taxa de conversão de clique para instalação minúscula, porque quase nenhum dos cliques é real.
- O dano são orgânicos roubados. As instalações iam acontecer de graça. A inundação as reclassifica como pagas.
A inundação de cliques e a injeção de cliques ficam em extremos opostos da distribuição de tempos, e é exatamente por isso que analisar as distribuições do tempo entre clique e instalação pega as duas.
SDK spoofing: inventando instalações do nada
O SDK spoofing é o mais técnico e o mais perigoso, porque não precisa de nenhum dispositivo real instalando o app.
Aqui o atacante forja a comunicação entre um app e o provedor de atribuição, gerando sinais que relatam instalações e eventos no app que nunca ocorreram. Bem feito, produz registros de instalação que podem parecer legítimos na superfície, o que o torna mais difícil de identificar que os ataques baseados em tempo.
A defesa depende dos controles de integridade entre o app e o sistema de atribuição, como uma comunicação assinada e verificada que um atacante não consiga reproduzir nem forjar. Onde esses controles são fracos ou inexistentes, instalações forjadas podem entrar com aparência limpa. É por isso que a segurança da própria integração de atribuição, e não só as configurações da campanha, faz parte da defesa contra fraude mobile.
Sequestro de instalações e a família mais ampla
O sequestro de instalações é primo próximo da injeção. Um app malicioso interfere em uma instalação legítima em andamento e redireciona a atribuição para si, novamente roubando o crédito por uma instalação que o usuário já pretendia fazer.
Além dessas, o cenário de fraude mobile inclui fazendas de dispositivos rodando aparelhos reais ou emulados em escala, eventos no app gerados por bots para imitar usuários engajados e tráfego incentivado que produz instalações sem interesse genuíno. O fio condutor é o mesmo de todo o resto da fraude em anúncios: automação que parece um usuário real por tempo suficiente para ser paga. Como o tráfego automatizado já supera o humano na web, a sofisticação desses usuários falsos continua aumentando.
Como a detecção realmente funciona
Você não consegue identificar fraude mobile a olho nu, como faria com um IP repetido em uma campanha de pesquisa. A detecção é estatística e se apoia em alguns sinais.
| Sinal | O que revela | Qual fraude identifica |
|---|---|---|
| Tempo entre clique e instalação | Intervalos anormalmente curtos ou longos entre clique e instalação | Injeção de cliques e inundação de cliques |
| Velocidade e volume de instalações | Picos ou volumes artificiais que não correspondem à demanda real | Inundação, fazendas de dispositivos e spoofing |
| Padrões de dispositivo e IP | Dispositivos repetidos, emuladores ou redes de data center | Fazendas de dispositivos e instalações feitas por bots |
| Integridade da comunicação | Sinais de atribuição forjados ou reproduzidos | SDK spoofing |
| Engajamento após a instalação | Instalações que nunca geram atividade genuína no app | A maioria dos tipos de fraude, depois do fato |
A defesa mais forte combina esses sinais em vez de depender de um só. As distribuições de tempo pegam os ladrões de atribuição, os controles de integridade pegam os falsificadores e o engajamento após a instalação é a rede de segurança que expõe instalações que pareciam normais, mas nunca viraram usuários. A mesma filosofia de múltiplos sinais que protege a pesquisa paga vale aqui: um único alerta não é evidência, mas vários sinais independentes apontando na mesma direção são.
Conclusão
A fraude em instalações de apps é uma disciplina à parte porque ataca a atribuição, não só os cliques. A injeção de cliques e o sequestro de instalações roubam o crédito por instalações reais, a inundação de cliques espalha cliques para capturar orgânicos e o SDK spoofing fabrica instalações do nada. Cada uma deixa uma impressão digital, principalmente em tempo, volume, padrões de dispositivo e comportamento após a instalação. Proteger o orçamento de aquisição de usuários significa observar esses sinais em conjunto e tratar a integridade da sua integração de atribuição como parte da sua defesa contra fraude, não como um detalhe secundário.
Guias relacionados
Proteja seu orçamento do Google Ads e da Meta
A ClickFortify pontua cada clique pago em tempo real, exclui automaticamente bots, fazendas de cliques e infratores reincidentes e mantém conversões falsas fora do Smart Bidding e da CAPI da Meta.
Teste na sua própria conta
Veja o que a ClickFortify sinaliza na sua primeira semana. Sem cartão de crédito.
Perguntas frequentes
O que é fraude em instalações de apps mobile?
A fraude em instalações de apps mobile é um conjunto de técnicas que falsificam ou roubam o crédito por instalações de apps para que uma fonte fraudulenta seja paga por usuários que ela não entregou de fato. Os métodos comuns incluem injeção de cliques, inundação de cliques, SDK spoofing e sequestro de instalações. O dano é tanto o orçamento de aquisição de usuários desperdiçado quanto os dados de atribuição corrompidos, que desviam o investimento futuro.
O que é injeção de cliques?
A injeção de cliques é uma técnica em que um app malicioso no dispositivo detecta quando outro app está sendo instalado e dispara um clique falso pouco antes de a instalação terminar, roubando o crédito de atribuição de último clique. Ela é identificada por um tempo entre clique e instalação anormalmente curto, porque um clique genuíno acontece bem antes de a instalação terminar.
O que é SDK spoofing?
O SDK spoofing, às vezes chamado de fraude de replay ou de tráfego, ocorre quando um atacante falsifica a comunicação entre um app mobile e um provedor de atribuição para relatar instalações e eventos que nunca aconteceram, sem que nenhum dispositivo real instale o app. Está entre os tipos de fraude mobile mais difíceis de detectar, porque pode gerar registros de instalação com aparência limpa.
Como os anunciantes detectam fraude em instalações mobile?
A detecção se baseia em sinais que um sistema de atribuição ou antifraude consegue analisar, como distribuições do tempo entre clique e instalação, velocidade de instalações, padrões de dispositivo e IP e engajamento após a instalação. Instalações fraudulentas costumam mostrar horários anormais, padrões repetidos de dispositivo ou rede e pouca ou nenhuma atividade genuína no app depois.
