Guia de detecção de tráfego inválido e defesa contra IVT

Introdução: a crise de verificação na economia digital

O ecossistema de publicidade digital opera com base em uma premissa fundamental de troca de valor: os anunciantes compram atenção e os publishers fornecem audiências. Essa transação se apoia em uma moeda de métricas: impressões, cliques, conversões e visibilidade. No entanto, essa moeda está sob ataque. Uma patologia disseminada, sofisticada e em constante evolução, conhecida como tráfego inválido (IVT), infectou a cadeia de suprimentos, criando uma divergência entre as métricas informadas e o valor econômico real. O IVT não é apenas um incômodo técnico; é uma crise estrutural que ameaça a viabilidade da web aberta, com uma análise do setor estimando cerca de US$ 63 bilhões em investimento global em anúncios desperdiçados com tráfego inválido só em 2025.

Em essência, tráfego inválido é definido como qualquer atividade que não se origina de um usuário real com interesse genuíno no conteúdo ou no anúncio. Essa definição, embora simples, abrange um vasto espectro de comportamentos, desde rastreadores inofensivos de mecanismos de busca até botnets criminosas projetadas para desviar bilhões dos orçamentos de marketing. À medida que a publicidade programática automatizou a compra e a venda de mídia, ela acabou industrializando, sem querer, a fraude em anúncios, criando uma corrida armamentista entre algoritmos de detecção e redes adversárias.

Este relatório é uma análise abrangente, de nível acadêmico, do IVT. Ele disseca a taxonomia da fraude, a ciência da computação por trás da detecção, as repercussões econômicas para todas as partes envolvidas e o novo cenário de ameaças impulsionado pela IA generativa.

Por que o tráfego inválido importa para os profissionais de marketing

Para profissionais de marketing e anunciantes, o IVT costuma ser uma variável invisível que distorce os dados silenciosamente. As decisões de marketing se baseiam em análises; quando os dados de entrada são falhos, contaminados por tráfego não humano, o resultado estratégico fica comprometido. Um aumento de tráfego tradicionalmente é comemorado, mas, no contexto do IVT, um pico repentino pode ser o prenúncio de um banimento do AdSense ou de uma taxa de conversão destruída. Entender o IVT deixou de ser território exclusivo dos analistas de fraude; é uma competência obrigatória para qualquer pessoa responsável pelo crescimento digital.

Uma taxonomia rigorosa do tráfego inválido

Para combater o tráfego inválido de forma eficaz, é preciso primeiro estabelecer uma taxonomia rigorosa. O setor, liderado pelo Media Rating Council (MRC), divide o IVT em duas categorias distintas, com base na complexidade da detecção e na intenção por trás do tráfego: tráfego inválido geral (GIVT) e tráfego inválido sofisticado (SIVT).

Tráfego inválido geral (GIVT): a radiação de fundo

O GIVT constitui a “radiação de fundo” da internet. Normalmente, ele consiste em tráfego não humano que se identifica ou apresenta padrões simplistas, facilmente filtrados por listas de rotina e verificações padronizadas de parâmetros. Embora muitas vezes seja inofensivo, não tem nenhum valor publicitário.

Rastreadores e spiders conhecidos

A internet depende de bots. Mecanismos de busca como o Google (Googlebot) e o Bing (Bingbot) usam rastreadores para indexar o conteúdo da web. Esses agentes geralmente declaram sua identidade no cabeçalho User-Agent. Embora sejam essenciais para o SEO, eles precisam ser rigorosamente excluídos das contagens de impressões de anúncios. Se os logs do servidor de um publisher mostram 10.000 acessos, mas 4.000 vêm do Googlebot, monetizar esses 4.000 acessos constituiria fraude.

Tráfego de data center

Refere-se ao tráfego originado de endereços IP pertencentes a provedores de hospedagem (por exemplo, Amazon AWS, Google Cloud, Microsoft Azure), e não a provedores de internet (ISPs) residenciais ou redes de operadoras móveis. O MRC exige a filtragem do tráfego de grandes entidades de hospedagem conhecidas. A lógica é probabilística: é muito improvável que um usuário humano esteja navegando no site de uma loja de sapatos a partir de um rack de servidores em um data center da AWS. No entanto, o crescimento das VPNs e dos proxies corporativos adiciona nuances a essa categoria, ocasionalmente gerando falsos positivos.

Padrões irregulares e bots “preguiçosos”

Parte do GIVT é identificada apenas por anomalias heurísticas:

• Atualização automática: uma página que se atualiza a cada 10 segundos para gerar novas impressões de anúncios
• Cliques duplicados: um usuário clicando em um anúncio duas vezes em um intervalo de milissegundos, o que é fisicamente impossível para o tempo de reação humano

Tráfego inválido sofisticado (SIVT): a transformação dos cliques em arma

O SIVT representa a transformação do tráfego em arma. Ele é inerentemente difícil de detectar porque tenta ativamente imitar o comportamento humano, manipular impressões digitais de dispositivos e driblar os protocolos de segurança padrão. A detecção exige análises avançadas, corroboração de múltiplos pontos e intervenção humana significativa.

Botnets e proxies residenciais

Botnets são redes de dispositivos de consumidores sequestrados (“zumbis”) controlados por um servidor de comando e controle. Ao contrário do tráfego de data center, o tráfego de botnets se origina de IPs residenciais legítimos (por exemplo, uma geladeira inteligente invadida ou um notebook com malware). Isso torna ineficaz o bloqueio baseado em assinaturas. Esses bots podem ser programados para navegar em sites, rolar conteúdo e clicar em anúncios, criando um perfil de sessão “coerente” que imita um usuário humano.

Ad stacking e pixel stuffing

Estas são fraudes de visibilidade:

• Ad stacking (empilhamento de anúncios): os fraudadores sobrepõem vários anúncios uns sobre os outros em um único espaço publicitário. Apenas o anúncio de cima fica visível para o usuário, mas todos os anúncios empilhados disparam um pixel de impressão, cobrando vários anunciantes por um único espaço
• Pixel stuffing: um anúncio é comprimido em um quadro de 1x1 pixel, ficando invisível a olho nu, mas tecnicamente “carregando” na página para registrar uma impressão

Falsificação de domínio (domain spoofing)

Essa técnica consiste em deturpar a natureza do inventário. Um site de baixa qualidade (por exemplo, um site de pirataria) envia uma solicitação de lance a uma ad exchange alegando ser um site premium (por exemplo, nytimes.com). Os anunciantes pagam valores premium altos pelo que acreditam ser inventário seguro para a marca, mas seus anúncios acabam sendo exibidos no site de baixa qualidade. A iniciativa ads.txt foi desenvolvida especificamente para combater esse vetor.

Fraude em apps móveis: SDK spoofing e click injection

No ecossistema móvel, a fraude ocorre dentro do código do aplicativo:

• SDK spoofing: os atacantes descompilam apps legítimos para entender como eles se comunicam com os servidores de atribuição. Em seguida, usam scripts (servidores) para enviar sinais falsos de “instalação concluída” ao provedor de atribuição. O anunciante paga por uma instalação que nunca aconteceu, em um dispositivo que não existe
• Click injection: um app malicioso instalado no celular do usuário detecta quando outro app legítimo está sendo baixado. Ele dispara um clique imediatamente antes de a instalação ser concluída, roubando o crédito de atribuição de “último clique” por uma instalação que não gerou

A zona cinzenta: IVT acidental e técnico

Nem todo tráfego inválido é malicioso. Uma parcela significativa surge de um design de experiência do usuário (UX) ruim ou de erros de implementação, mas o impacto econômico, o gasto desperdiçado, é idêntico ao da fraude.

• Cliques acidentais: muitas vezes causados por toques errados em dispositivos móveis ou por posicionamentos de anúncios intrusivos. Por exemplo, um “deslocamento de layout” (medido pelo Cumulative Layout Shift, ou CLS) pode empurrar o conteúdo para baixo bem quando o usuário vai tocar, fazendo com que ele clique em um anúncio. O Google penaliza ativamente isso por meio do mecanismo de “clique confirmado”
• Erros de implementação: implementação incorreta de tags de anúncio, pixels disparando em dobro ou problemas de cache podem inflar as métricas. Por exemplo, se um publisher coloca um código de anúncio dentro de uma div oculta que carrega em todas as páginas, mas nunca é exibida, isso constitui IVT técnico

A ciência da detecção: abordagens algorítmicas e fronteiras acadêmicas

A batalha contra o IVT é uma corrida armamentista. À medida que os fraudadores usam IA generativa e emulação comportamental, as listas de bloqueio simples se tornaram obsoletas. O setor migrou para modelos complexos de machine learning (ML) e teoria dos grafos.

Da detecção determinística à estocástica

A detecção tradicional era determinística: se um IP está em uma lista de bloqueio, bloqueie-o. Se o User-Agent diz “Bot”, bloqueie-o.

A detecção moderna é estocástica (probabilística): ela analisa desvios em relação ao normal. Por exemplo, se um humano costuma clicar em um anúncio após 2 a 5 segundos de permanência, mas um grupo específico de usuários clica consistentemente em 0,3 segundo, o sistema sinaliza isso como anômalo.

Detecção baseada em grafos: o protocolo “EvilHunter”

Um estudo de referência apresentou uma nova abordagem para detectar “fazendas de cliques”: locais físicos onde trabalhadores mal remunerados ou racks automatizados de dispositivos clicam em anúncios.

O desafio: os dispositivos individuais de uma fazenda de cliques conseguem imitar com eficácia o comportamento humano (trocando User-Agents, alternando IPs).

A solução: o EvilHunter ignora o indivíduo e olha para a comunidade. Ele constrói um “grafo de dispositivos” com base em características de conectividade. Mesmo que os dispositivos alternem IPs, muitas vezes compartilham infraestruturas de rede subjacentes (sub-redes) ou padrões de uso de apps.

Mecanismo:

• Log-Device Mapper: mapeia IDs únicos de dispositivos para logs de lances
• Formação de clusters: usa padrões de uso dos “apps principais” para agrupar dispositivos. Se 500 dispositivos baixam o mesmo app obscuro de lanterna e visitam os mesmos três sites na mesma ordem, eles formam um “cluster suspeito”
• Votação por maioria: se uma quantidade mínima de dispositivos de um cluster é sinalizada como fraudulenta, o cluster inteiro é reclassificado como fraudulento

Resultados: em testes de pesquisa, essa abordagem combinada relatou alta precisão e alto recall, identificando um grande número de dispositivos fraudulentos que os classificadores individuais deixaram passar.

Análise multimodal: “AgentDroid”

A fraude em apps móveis é notoriamente difícil de detectar porque a lógica da fraude fica escondida dentro do código compilado do aplicativo (APK). O framework “AgentDroid” utiliza um sistema multiagente para analisar apps.

Decomposição de tarefas: em vez de um único modelo de IA gigante, o AgentDroid emprega agentes especializados:

• Analista de ícones: verifica se o ícone do app imita um app popular (por exemplo, um WhatsApp falso)
• Verificador de certificados: confere a assinatura digital do desenvolvedor
• Analista de texto: lê a descrição do app em busca de inconsistências (por exemplo, um app de “Calculadora” pedindo permissões de GPS)

Raciocínio colaborativo: esses agentes “votam” sobre a probabilidade de fraude. Isso imita uma equipe humana de segurança, em que um especialista em código, um especialista em interface e um especialista jurídico colaboram para tomar uma decisão. Essa abordagem reduz significativamente os falsos positivos em comparação com sistemas de modelo único.

Modelos de fundação na fraude: a arquitetura “ALF”

O modelo “Advertiser Large Foundation” (ALF) representa a vanguarda da aplicação de arquiteturas Transformer (como as do GPT-4) à detecção de fraude.

Conceito: assim como os LLMs aprendem a estrutura da linguagem, o ALF aprende a estrutura do “comportamento do anunciante”. Ele é pré-treinado com milhões de retratos de anunciantes, incluindo seus ativos criativos (imagens, texto), histórico de faturamento e padrões de cliques.

Aprendizado contrastivo: o ALF usa aprendizado contrastivo para mapear anunciantes legítimos e fraudulentos em um espaço de embeddings compartilhado. Ele aprende que “anunciantes legítimos de varejo” têm uma assinatura matemática específica nesse espaço, enquanto “dropshippers aventureiros” se agrupam de outra forma.

Impacto: o ALF demonstrou um grande aumento de recall na detecção de violações de políticas em comparação com as linhas de base anteriores, apontando os grandes modelos de fundação como uma direção promissora para a detecção de IVT.

Incoerência de sessão: o framework COSEC

Pesquisadores da Microsoft propuseram o COSEC (Contextual Session Incoherence) para detectar fraude em anúncios de pesquisa.

O insight: usuários reais têm sessões de busca “coerentes”. Um usuário pode pesquisar “melhores tênis de corrida”, depois “Nike vs. Adidas” e então clicar em um anúncio da Nike. Essa é uma narrativa coerente.

A assinatura da fraude: um bot ou um trabalhador de cliques costuma ter sessões “incoerentes”. Ele pode pesquisar “advogado mesotelioma”, clicar em um anúncio e logo em seguida pesquisar “passagens baratas para Las Vegas” e depois “serviços de encanamento”. Não há nenhuma ligação semântica entre essas ações.

Metodologia: o COSEC usa um classificador sequencial para analisar a distância semântica entre consultas consecutivas. “Pontuações de incoerência” altas sinalizam a sessão como não humana, alcançando alta precisão nos testes publicados.

O impacto econômico e operacional: o “imposto oculto” da internet

O debate sobre o IVT costuma se concentrar na perda direta de investimento em anúncios, o dinheiro pago por impressões falsas. No entanto, os efeitos secundários e terciários são, sem dúvida, mais prejudiciais à saúde de longo prazo de um negócio.

Desperdício financeiro direto

Os números são impressionantes. Uma análise do setor divulgada pelo MediaPost estimou cerca de US$ 63 bilhões em investimento global em anúncios desperdiçados com tráfego inválido em 2025, com uma média de 8,51% dos cliques pagos, ou cerca de 1 em cada 12. Para colocar em perspectiva, é uma soma que rivaliza com o PIB de países de porte médio, perdida para um tráfego que nunca foi um cliente real.

• Investimento em mídia desperdiçado: cada dólar gasto com IVT é um dólar que não foi gasto para conquistar um cliente. Para pequenas e médias empresas (PMEs), que muitas vezes operam com margens menores, esse desperdício pode ser uma questão de sobrevivência, consumindo uma parcela significativa de um orçamento digital limitado
• O pesadelo dos “estornos” (clawbacks): para os publishers, o IVT leva a deduções de receita. O Google AdSense e outras redes deduzem ganhos retroativamente (“clawbacks”) se o tráfego for considerado inválido depois. Um publisher pode ver US$ 5.000 em ganhos em janeiro e ter US$ 2.000 deduzidos em fevereiro por “atividade inválida”

Contaminação de dados: a ameaça estratégica

O impacto mais traiçoeiro do IVT é a corrupção da integridade dos dados.

• Atribuição distorcida: se uma botnet clica em anúncios e depois “converte” (com preenchimentos falsos de formulários), os modelos de atribuição atribuem alto valor à fonte de tráfego fraudulenta. Os profissionais de marketing, vendo um ROI alto, otimizam em direção à fraude, alocando mais orçamento justamente para os canais que os estão sangrando
• Contaminação da modelagem de públicos semelhantes: plataformas como Meta e Google usam públicos de origem para encontrar usuários “semelhantes”. Se o público de origem contém bots (que muitas vezes têm históricos de navegação robustos, ainda que falsos), os algoritmos vão buscar mais bots com comportamentos parecidos. Isso cria um ciclo de retroalimentação de fraude que destrói o desempenho da campanha de dentro para fora
• Falha nos testes A/B: os testes A/B partem do pressuposto de uma distribuição aleatória de usuários válidos. Se uma variante atrai um número desproporcional de bots (talvez por causa de uma palavra-chave específica como “grátis” ou “ganhe”), os resultados do teste são anulados, levando a decisões de produto incorretas

O drama dos publishers: infraestrutura e degradação do SEO

O tráfego inválido não é apenas um problema de ad tech; é um problema de infraestrutura e de SEO.

• Custos de infraestrutura: grandes volumes de tráfego de bots consomem largura de banda e capacidade de processamento do servidor. Um publisher paga à AWS ou ao seu provedor de hospedagem por cada gigabyte de dados transferido, o que significa que ele está literalmente pagando para ser fraudado
• Penalidades de SEO: os mecanismos de busca usam as “Core Web Vitals” (velocidade, estabilidade) como fatores de ranqueamento. Um servidor sobrecarregado por tráfego de bots entrega as páginas mais devagar para os usuários reais, prejudicando os rankings. Além disso, sinais de usuário como “tempo de permanência” e “taxa de rejeição” são fortemente distorcidos pelos bots. Se um bot sai imediatamente (taxa de rejeição de 100%) ou fica artificialmente muito tempo (taxa de rejeição de 0%), isso sinaliza ao RankBrain do Google que a qualidade do conteúdo é ruim ou irrelevante, podendo levar a quedas no ranking orgânico

Relatos de campo: o custo humano do IVT

Enquanto os dados quantificam o problema, a experiência humana o qualifica. A análise de comunidades de publishers revela o impacto emocional e operacional do IVT.

A “caixa-preta” dos banimentos do AdSense

Os publishers relatam com frequência receber um e-mail genérico dizendo: “Os anúncios foram limitados em um ou mais dos seus vídeos devido a tráfego inválido”.

• Falta de recurso: o Google e outras plataformas raramente revelam quais vídeos ou páginas específicos causaram o problema, alegando a necessidade de proteger seus algoritmos de detecção. Isso deixa os publishers em uma situação kafkiana, em que são punidos por um crime que não conseguem identificar
• O modelo “culpado até que se prove o contrário”: as plataformas muitas vezes deduzem a receita primeiro e fazem perguntas depois. Um publisher relatou que seu RPM (receita por mil) caiu de US$ 13,50 para US$ 1,12 por causa da filtragem de IVT, desmonetizando o canal na prática, sem um banimento formal

Estudo de caso: a penalidade do “clique confirmado”

Um mecanismo específico usado pelo Google AdSense ilustra as nuances da gestão de IVT. A penalidade do “clique confirmado” (ou “dois cliques”) é aplicada quando os algoritmos do Google detectam uma taxa alta de cliques acidentais no site móvel de um publisher.

O gatilho: anúncios posicionados muito perto de botões “Próximo”, barras de navegação ou conteúdo que “pula” (se reorganiza) enquanto carrega. Isso faz com que os usuários pretendam clicar em um link, mas cliquem acidentalmente em um anúncio que carrega sob o polegar.

O mecanismo: o Google impõe uma sobreposição “Visitar site?” nos cliques em anúncios. O usuário precisa clicar no anúncio e depois em um segundo botão para confirmar que quer visitar o anunciante.

O impacto: as taxas de cliques (CTR) despencam, muitas vezes em 50% a 80%. A receita cai na mesma proporção.

O insight: tecnicamente, isso é IVT (intenção acidental/inválida), mas não é malicioso. É uma falha de UX. A solução não é um software de segurança, e sim mudanças de CSS: adicionar espaçamento em volta dos anúncios, usar contêineres de altura fixa para evitar deslocamentos de layout e garantir uma distinção visual clara entre conteúdo e anúncios.

A mudança de paradigma da IA generativa

O surgimento da IA generativa (GenAI) e dos grandes modelos de linguagem (LLMs) alterou fundamentalmente o cenário de ameaças, criando o que os especialistas chamam de “tsunami” de fraude. A barreira de entrada para criar fraudes sofisticadas desmoronou.

Sites feitos para publicidade (MFA): a explosão da GenAI

Sites “Made for Advertising” (MFA, feitos para publicidade) são sites criados exclusivamente para fazer arbitragem de investimento em anúncios. A GenAI permite que os fraudadores criem milhares desses sites instantaneamente.

• Conteúdo automatizado: um LLM pode gerar 10.000 artigos sobre temas de CPC alto (por exemplo, “mesotelioma”, “seguro de criptomoedas”) em poucas horas. Esses artigos são gramaticalmente perfeitos e passam por filtros rudimentares de “qualidade”, mas não oferecem nenhum valor para humanos
• O modelo de arbitragem: o fraudador compra tráfego barato (muitas vezes tráfego de bots misturado com tráfego pop-under de baixa qualidade) por US$ 0,01 por visitante e o monetiza com anúncios programáticos a US$ 0,05 por visitante, embolsando a diferença. Estima-se que os sites MFA desviem bilhões de dólares por ano do ecossistema
• Densidade de anúncios: esses sites costumam ter atualizações agressivas de anúncios e players de vídeo “fixos” que acompanham o usuário, maximizando as impressões por sessão

Identidades sintéticas e deepfakes

A GenAI pode criar identidades sintéticas: usuários falsos com rostos, vozes e históricos de navegação gerados por IA, estatisticamente indistinguíveis de pessoas reais.

• Burla do KYC: deepfakes agora são usados para burlar verificações “Know Your Customer” (KYC, conheça seu cliente) em plataformas de fintech e redes de anúncios. Um fraudador pode gerar um vídeo de uma “pessoa” acenando com a cabeça e virando o rosto para passar em uma prova de vida, o que permite abrir contas legítimas para lançar campanhas de anúncios ou lavar dinheiro
• Fraude conversacional: chatbots movidos por LLMs podem interagir com equipes de vendas ou bots de atendimento. Eles conseguem preencher formulários de leads, responder e-mails de acompanhamento e até manter conversas por SMS. Isso desperdiça recursos humanos de vendas com leads falsos de alta fidelidade

Agentes de IA: a definição de “inválido”

Estamos entrando em uma era em que agentes de IA (por exemplo, bots autônomos de compras) navegam na web em nome de humanos.

O problema filosófico: um agente de IA reservando um voo é “tráfego inválido”? Tecnicamente, ele não é humano. No entanto, a intenção é transacional. Isso borra a linha entre o IVT e a atividade comercial legítima. Se um usuário usa uma IA para “encontrar o melhor preço de tênis Nike” e a IA rastreia 50 sites, essas 50 impressões são inválidas? As diretrizes atuais do MRC as classificariam, em grande parte, como IVT, mas a realidade econômica sugere a necessidade de uma nova categoria: tráfego válido não humano.

Mecanismos de defesa: mitigação estratégica

Defender-se do IVT exige uma estratégia de “defesa em profundidade”, combinando padrões técnicos, vigilância operacional e controles baseados em políticas.

Padrões técnicos de implementação (a pilha do IAB)

O IAB Tech Lab introduziu vários padrões que são inegociáveis para a proteção moderna de inventário:

• ads.txt (Authorized Digital Sellers): um arquivo de texto hospedado no domínio do publisher (por exemplo, nytimes.com/ads.txt) que lista quem está autorizado a vender seu inventário. Isso impede a falsificação de domínio, em que um fraudador alega vender inventário do NYT. Se o comprador não vê o ID do vendedor no arquivo ads.txt, ele não dá lance
• sellers.json: um arquivo hospedado pelas Supply Side Platforms (SSPs) que revela a identidade do publisher. Ele permite que os compradores vejam o nome da entidade a quem estão pagando, em vez de apenas um ID opaco
• Objeto SupplyChain: esse padrão permite que os compradores vejam cada “salto” que uma solicitação de lance percorreu. Se um lance passou por 15 intermediários antes de chegar ao anunciante, isso é altamente suspeito (e provavelmente arbitragem). Os compradores podem bloquear caminhos com saltos demais

Bloqueio pré-lance vs. pós-lance

• Bloqueio pré-lance: ocorre antes de o anunciante pagar pela impressão. As Demand Side Platforms (DSPs) usam pontuação em tempo real para avaliar o usuário/dispositivo. Se a pontuação indica alto risco de fraude, a DSP simplesmente não dá lance. Essa é a proteção mais eficiente
• Monitoramento pós-lance: envolve analisar a impressão depois que ela ocorreu. Embora o dinheiro já tenha sido gasto, a análise pós-lance fornece dados mais profundos (movimentos do mouse, tempo no site, eventos de toque) que não estão disponíveis na janela de milissegundos de um lance em tempo real. Esses dados são usados para atualizar listas de bloqueio e exigir reembolsos (clawbacks)

Controles do lado do publisher

Os publishers precisam gerenciar ativamente suas fontes de tráfego e sua interface para evitar penalidades:

• Segmentação do tráfego: os publishers devem separar rigorosamente o tráfego orgânico do tráfego pago em suas análises. Comprar “tráfego barato” para inflar os números é o caminho mais rápido para o banimento da conta, já que esse tráfego é quase invariavelmente gerado por bots
• Reforço técnico:
  • Cloudflare/WAF: use Web Application Firewalls para desafiar IPs suspeitos com CAPTCHAs antes que eles possam carregar a página (e os anúncios)
  • Limite de frequência: limite o número de anúncios exibidos a um mesmo usuário por sessão. Um usuário que visualiza 200 páginas em um minuto provavelmente é um bot; limitar os anúncios impede que esse bot gere 200 impressões inválidas

Controles do lado do anunciante

• Listas de exclusão: atualize regularmente as listas de exclusões de posicionamentos. Isso inclui sites MFA conhecidos, categorias de apps com altas taxas de fraude (por exemplo, apps de “lanterna”, jogos de “paciência”) e faixas de IP associadas a data centers
• Lances baseados em valor: a defesa definitiva é parar de otimizar para cliques. Um bot pode clicar, mas (geralmente) não consegue fazer uma compra. Ao otimizar as campanhas para ROAS (retorno sobre o investimento em anúncios) e conversões validadas, os anunciantes naturalmente deixam de financiar a fraude, porque o tráfego de bots gera retorno de US$ 0

O que o setor entende errado: mitos vs. realidade

Mito 1: “Meu tráfego é 100% humano.”
Realidade: nenhum site é 100% humano. Mesmo os sites mais seguros têm bots de scraping, rastreadores de busca e IVT incidental. O objetivo é a gestão, não a eliminação total do GIVT, mas sim a eliminação com tolerância zero do SIVT. Publishers que afirmam ter 0% de IVT provavelmente não estão procurando com atenção suficiente.

Mito 2: “O IVT é só um custo de fazer negócios.”
Realidade: tratar o IVT como um imposto ignora o dano estratégico da contaminação de dados. Uma taxa de fraude de 10% não desperdiça apenas 10% do orçamento; ela pode desviar os 90% restantes ao distorcer os algoritmos usados para segmentação e lances.

Mito 3: “Picos altos de tráfego são boas notícias.”
Realidade: picos de tráfego repentinos e inexplicáveis, especialmente de tráfego direto ou com taxa de rejeição de 100%, são uma assinatura clássica de ataques de bots, não de sucesso viral. Sem verificação, esses picos são passivos, não ativos. Os publishers devem investigar imediatamente os picos que não se correlacionam com um novo conteúdo ou uma ação de marketing.

Mito 4: “A revisão manual é suficiente.”
Realidade: revisores humanos não conseguem detectar o SIVT moderno. Uma botnet que usa proxies residenciais e navegadores headless parece exatamente um humano nos logs padrão do servidor. A detecção exige analisar a variação de tempo em nível de milissegundos, os cabeçalhos dos pacotes de rede e a entropia do comportamento do usuário, o que é impossível para analistas humanos.

Como o tráfego inválido afeta seu site e suas análises

Além do investimento em anúncios desperdiçado, o IVT também distorce os sinais dos quais o seu próprio site depende, do desempenho das páginas às análises que você usa para avaliar as campanhas.

Core Web Vitals e latência

As Core Web Vitals (CWV) do Google medem a experiência do usuário:

• LCP (Largest Contentful Paint): um tráfego intenso de bots sobrecarrega o servidor. Se o servidor está ocupado respondendo a 5.000 bots, ele vai entregar a página mais devagar para 1 único humano real. Isso aumenta o tempo de LCP, o que pode rebaixar diretamente o ranking do site
• CLS (Cumulative Layout Shift): como vimos no caso do “clique confirmado”, layouts instáveis causam cliques acidentais. Eles também prejudicam o SEO. Um site otimizado para evitar cliques acidentais (dimensões fixas para os espaços de anúncios) naturalmente terá uma pontuação melhor nas métricas de CLS

Higiene das análises (GA4 vs. Google Ads)

Um ponto comum de confusão para profissionais de SEO são as discrepâncias de dados.

A discrepância: um estrategista pode ver 1.000 cliques no Google Ads, mas apenas 600 sessões no Google Analytics 4 (GA4).

A causa: o Google Ads filtra os cliques inválidos antes de faturar. Se 400 cliques eram bots, o Google Ads os descarta. No entanto, o GA4 pode ter registrado esses 400 bots como sessões (ou tê-los excluído de outra forma). Por outro lado, os usuários podem clicar em um anúncio e sair antes de o site carregar (rejeição alta), registrando um clique, mas nenhuma sessão. Entender essas diferenças é crucial para relatórios precisos.

Superioridade de conteúdo como defesa

Criar “conteúdo útil” (E-E-A-T) é uma defesa contra a classificação como MFA. Os sites MFA dependem de conteúdo raso e genérico. Ao investir em conteúdo profundo e conduzido por especialistas, os publishers sinalizam a usuários e anunciantes que são um ambiente premium. Os anunciantes estão usando cada vez mais “métricas de atenção” (tempo em exibição, olhos na tela) para comprar mídia. Conteúdo de alta qualidade gera atenção genuína que os bots não conseguem simular com eficácia.

Perspectivas futuras: a singularidade da verificação

À medida que a IA se torna capaz de imitar perfeitamente o rastro digital humano, o “teste de Turing” para o tráfego de anúncios vai falhar. Estamos caminhando para uma “singularidade da verificação”, em que a análise comportamental sozinha não é suficiente.

Prova criptográfica de humanidade

O futuro provavelmente está na prova criptográfica. Tecnologias como o World ID ou a atestação de hardware no nível do dispositivo (por exemplo, os Private Access Tokens da Apple) vão garantir criptograficamente a autenticidade do usuário.

O mecanismo: em vez de analisar o comportamento (que pode ser falsificado), o site pergunta ao dispositivo: “Você é um enclave de hardware seguro pertencente a um humano?”. O dispositivo responde com um token criptográfico assinado pelo fabricante (Apple/Google). Isso prova a humanidade sem revelar a identidade, preservando a privacidade e eliminando os bots.

Pressão regulatória e transparência

Os governos estão despertando para a escala da fraude em anúncios. Em breve, as regulamentações podem exigir que as redes de anúncios divulguem a cadeia de suprimentos exata de cada impressão. O atual modelo de “caixa-preta”, em que o dinheiro desaparece em redes opacas de revendedores, está se tornando juridicamente insustentável. Esperamos regulamentações “Know Your Business” (KYB, conheça seu negócio) mais rígidas para os publishers que entram no ecossistema programático.

Recursos relacionados

Conclusão

O tráfego inválido não é um incômodo estático; é um ecossistema dinâmico e em evolução de predação algorítmica. Ele prospera na opacidade da cadeia de suprimentos programática e se adapta na velocidade da IA. Para os participantes da economia digital (publishers, anunciantes e profissionais de SEO), a era do “confie, mas verifique” acabou; estamos na era do “verifique e depois confie”.

A mitigação exige uma mudança de paradigma: deixar de ver o IVT como uma linha do orçamento e passar a vê-lo como uma ameaça de cibersegurança que compromete a própria inteligência sobre a qual as decisões de negócio são tomadas. Com a aplicação rigorosa de padrões (ads.txt, filtragem de SIVT), a adoção de detecção avançada baseada em ML (aprendizado em grafos, análise multimodal) e um redesenho fundamental das estruturas de incentivo, o setor pode recuperar a integridade da impressão digital publicitária.