大多数关于点击欺诈的文章都聚焦于付费搜索，在那里，一次浪费的点击会让您付出一次点击的费用，并污染智能出价（Smart Bidding）。移动端用户获取有自己的一套欺诈经济，运作方式也不同。
在应用安装广告系列中，广告主按安装付费，由归因服务商决定每次安装的功劳归哪个来源。这种付费模式催生了一种特定的动机：只要欺诈者能让归因系统相信他们带来了一次安装，他们就能拿到报酬，无论他们是否做了任何真实的事情。结果就出现了一系列手法，要么直接伪造安装，要么窃取那些本来就会发生的安装的功劳。
本指南介绍最重要的四种手法、每种手法在数据中留下的痕迹，以及检测的原理。
为什么应用安装欺诈自成一类
付费搜索欺诈浪费的是一次点击，而应用安装欺诈破坏的是归因。
这一区别很重要，因为损害会双重叠加。第一，您为一次虚假或被窃取的安装支付了费用。第二，您的归因数据如今把功劳记在了错误的来源上，因此下一轮预算会流向欺诈者，而不是那些带来真实用户的渠道。干净的归因是每一项用户获取决策的基础，而这些手法正是直接攻击这一基础。
下面四种手法，从窃取真实安装的功劳，到凭空捏造安装，各不相同。
点击注入：在最后一刻窃取功劳
点击注入是一种归因窃取。它并不制造虚假安装，而是窃取真实安装的功劳。
设备上已有的恶意应用会监听另一个应用正在安装的信号。一旦检测到正在进行的安装，它就会发送一次虚假点击，这样当安装完成时，归因系统会把这次虚假点击视为最后一次接触，并向欺诈者付费。真实的安装本来就会发生，欺诈者只是在终点线前插了一脚。
- 痕迹在于时间。 真实的点击会在安装完成之前很久就已发生，因为用户需要下载并打开应用。注入的点击发生在最后一刻，导致点击到安装时间异常短。
- 破绽在于分布。 合法来源的点击到安装时间呈自然分布。如果某个来源以极短的时间为主，就说明存在注入。
- 危害在于错误归因。 本应记在自然安装或其他付费来源上的预算，反而流向了注入者。
这就是为什么点击到安装时间是移动端欺诈检测中最重要的信号之一。如果某个来源的安装集中在短得不可能的时间上，它并不是在带来用户，而是在拦截用户。
点击泛滥：大量撒网，抢占自然安装
点击泛滥有时也称为垃圾点击，是一场数量游戏。欺诈者上报大量并非真实用户产生的点击，赌的是总会有一些用户自然安装应用，而这些泛滥的点击就能按最终点击归因抢到功劳。
它比注入更粗糙，但在规模化时很有效，因为自然安装一直在发生。只要欺诈者发出足够多的虚假点击，当某个自然用户安装时，其中一次就会成为最近的一次接触，归因系统随即付费。
- 痕迹是漫长而平坦的点击到安装时间。 由于这些点击是随机的，与真实安装无关，点击与安装之间的时间往往很长，而且分布很广。
- 破绽在于转化率。 被泛滥点击污染的来源点击量巨大，点击到安装的转化率却极低，因为几乎没有一次点击是真实的。
- 危害在于自然安装被窃取。 这些安装原本是免费获得的，泛滥的点击却把它们重新归类为付费安装。
点击泛滥和点击注入分别位于时间分布的两端，这正是查看点击到安装时间分布能同时发现两者的原因。
SDK 伪造：凭空捏造安装
SDK 伪造技术性最强，也最危险，因为它根本不需要任何真实设备安装应用。
在这种手法中，攻击者伪造应用与归因服务商之间的通信，生成报告从未发生的安装和应用内事件的信号。如果做得足够好，它生成的安装记录表面上看起来是合法的，因此比基于时间的攻击更难发现。
防御它依赖于应用与归因系统之间的完整性控制，例如经过签名和验证、攻击者无法重放或伪造的通信。在这些控制薄弱或缺失的地方，伪造的安装就可能看似干净地流入。这就是为什么归因集成本身的安全性，而不仅仅是广告系列设置，也是移动端欺诈防御的一部分。
安装劫持及其他同类手法
安装劫持与注入是近亲。恶意应用会干扰正在进行的合法安装，并把归因重定向到自己身上，同样是窃取用户本来就打算进行的安装的功劳。
除此之外，移动端欺诈还包括大规模运行真实或模拟设备的设备农场、模仿活跃用户的机器人驱动应用内事件，以及产生毫无真实兴趣安装的激励流量。其共同点与广告欺诈的其他领域一样：自动化程序伪装成真实用户，时间刚好长到足以拿到报酬。随着网页上的自动化流量如今已超过人类，这些虚假用户的复杂程度还在不断提高。
检测究竟如何运作
移动端欺诈无法像在搜索广告系列中发现重复 IP 那样凭肉眼判断。检测是统计性的，依赖于几个关键信号。
| 信号 | 揭示什么 | 能发现哪种欺诈 |
|---|---|---|
| 点击到安装时间 | 点击与安装之间的间隔异常短或异常长 | 点击注入和点击泛滥 |
| 安装速度和数量 | 与真实需求不符的异常激增或数量 | 点击泛滥、设备农场和伪造 |
| 设备和 IP 规律 | 重复设备、模拟器或数据中心网络 | 设备农场和机器人驱动的安装 |
| 通信完整性 | 伪造或重放的归因信号 | SDK 伪造 |
| 安装后互动 | 从未产生真实应用内活动的安装 | 大多数欺诈类型（事后发现） |
最有力的防御是将这些信号结合起来，而不是依赖其中任何一个。时间分布能抓住归因窃贼，完整性控制能抓住伪造者，而安装后互动则是最后一道防线，能揭露那些看似正常却从未成为真实用户的安装。保护付费搜索的多信号理念同样适用于这里：单一标记不是证据，但多个独立信号指向同一方向时就是。
结论
应用安装欺诈是一个独特的领域，因为它攻击的是归因，而不仅仅是点击。点击注入和安装劫持窃取真实安装的功劳，点击泛滥通过大量撒网抢占自然安装，SDK 伪造则凭空捏造安装。每种手法都会留下痕迹，主要体现在时间、数量、设备规律和安装后行为上。要保护用户获取预算，就要把这些信号结合起来观察，并把归因集成的完整性视为欺诈防御的一部分，而不是事后才考虑的问题。
