Не всё то фрод, что странно себя ведёт: T2, icontext и Admon сократили погрешности антифрода

В мобильной закупке фрод — не единственная проблема. Не менее опасна и другая ошибка: когда система верификации начинает считать подозрительным нормальный трафик и отсекает то, что на самом деле приносит бизнесу новых пользователей. В проекте T2 именно это стало ключевой задачей: при масштабе более 400 тысяч paid-установок в месяц нужно было не просто контролировать качество закупки, а делать это так, чтобы не тормозить рост приложения. Само приложение T2 многоцелевое, включает в себя как возможность покупки SIM-карт, так и самые разные подписки.

Команда icontext совместно с T2 и Admon пришла к важному выводу: один универсальный антифрод-порог не работает одинаково хорошо для разных типов источников. OEM, DSP, игровые сети и классические in-app-площадки приводят пользователя в приложение по разным сценариям. Если оценивать их по одной и той же логике, можно либо пропустить аномалию, либо потерять рабочий трафик. То есть аналитика должна быть не унифицированной для всех площадок, а учитывать особенности каждого типа трафика.

Почему общий fraud rate вводит в заблуждение

Равшан Зайнуллин Руководитель направления по работе с трафиком в электронной коммерции

«На больших объёмах закупки соблазнительно смотреть на одну цифру: общий процент аномалий. Для управления качеством это почти бесполезно. Внутри одного медиамикса разные партнёры могут вести себя принципиально по-разному: у одного — устойчивое качество, у второго — краткосрочный пик, у третьего — волна аномалий после смены плейсментов.

В проекте T2 на больших объёмах закупки это было видно очень наглядно. Один источник показывал пик аномалий до 75% в июле 2025 года, другой — до 47,28% в августе—сентябре, третий — до 60,45% в январе 2026 года. Сами по себе эти цифры важны, но причины пиков были разными. Значит, и действия команды не могли быть одинаковыми.

Отсюда вывод: антифрод нельзя строить вокруг усреднённой цифры и однообразного шаблона. Его нужно вести и корректировать по партнёрам, типам трафика и этапам воронки».

Какие источники были в закупке

В медиамиксе T2 использовались несколько типов источников, что и позволило изучить вопрос глубже:

• OEM-источники — трафик, встроенный в экосистему устройства или поставляемый через предустановленные сценарии и партнёрские механики;

• классические in-app-площадки и сети — источники, где поведение пользователя ближе к стандартной логике mobile performance;

• DSP и закупка через программные платформы — трафик с большей вариативностью плейсментов и креативных сценариев;

• игровой трафик — отдельный сценарий потребления, где пользовательское поведение и скорость реакции на рекламу часто отличаются от неигровой среды. Часть пользователей реагирует на рекламу сразу, часть скачивает приложение «на потом». Из-за этого CTIT и поведение после установки часто отличаются от неигровой среды.

Как обычно проверяется трафик и на что нужно смотреть

Команда использовала базовую верификацию на уровне установок и постинстал-событий. В рабочей логике смотрели на несколько групп сигналов:

• CTIT — Click-to-Install Time — временной интервал между кликом и первым открытием приложения после установки. Слишком короткие или нетипично сгруппированные интервалы могут указывать на аномалию;

• динамика fraud rate по партнёру — не просто уровень аномалий, а его изменение во времени: стабильность, резкие скачки, повторяющиеся волны;

• поведение после установки — доходит ли пользователь до целевого действия, в данном кейсе до получения eSIM-профиля;

• сопоставление install- и conversion-слоя — совпадает ли качество на входе с качеством дальше по воронке.

Какой фрод обнаруживали и как

1) Click injection — это генерация мошеннического клика в момент, когда пользователь нажимает в сторе на кнопку «Загрузить». Распространён на устройствах с Android.

Характерно большое количество установок с CTIT менее 10 секунд: более 90% таких установок приходится на первые 10 секунд, остальные растягиваются на более длинные интервалы.

Как проверяем? Этот тип фрода хорошо отфильтровывается антифрод-системами из-за довольно очевидного механизма. В ручном анализе основной параметр — CTIT, но важно учитывать реальное время скачивания приложения при стабильном подключении к интернету. Для лёгких webview-приложений нормой может быть около 5 секунд, и такой трафик нельзя автоматически считать фродовым. Для полноценных приложений рабочий ориентир чаще ближе к 10–15 секунд, , хотя точное окно зависит от веса приложения и канала.

2) Click flooding — массовая генерация кликов по доступным рекламным ссылкам в надежде, что реальный пользователь позже установит приложение самостоятельно, а мошеннический клик окажется последним в цепочке касаний.

Характерны установки с длинным CTIT, большая часть мошеннического трафик приходится на период более 24 часов.

Как проверяем? Этот тип фрода антифрод-системы обычно отфильтровывают по CTIT в сочетании с дублями кликовых метаданных. Вручную его можно проверять через отсечение установок с CTIT более 24 часов, повторяющиеся IP и большой объём кликов, приходящих секунда в секунду. Дополнительным сигналом может быть высокая доля вероятностной атрибуции.

Почему одни и те же критерии не работают?

Разбираемся на поведенческих паттернах и особенностях трафика.

OEM-трафик оказался главным источником методологических ошибок, потому что внутри него встречаются разные сценарии.

В части размещений пользователи уже находятся близко к установке, путь короче, и короткий CTIT сам по себе не доказывает аномалию и определяет наличие Click injection. Время установки ещё зависит от размера приложения и скорости интернета.

Отдельно работают предустановки: клик и установка могут быть сильно разнесены во времени. Тогда CTIT получается длинным и визуально похож на click flooding, хотя это техническая особенность канала, а не фрод. Поэтому длинный CTIT — не универсальный признак click flooding: его нужно читать вместе с типом плейсмента и другими сигналами.

Именно поэтому в OEM нельзя автоматически полагаться на общие правила. Команда провела проактивный аудит: посмотрела, с каких плейсментов приходит трафик, как ведут себя пользователи после установки, какие фрод-алёрты срабатывают чаще всего и подтверждаются ли они дополнительными сигналами. В результате часть коротких и часть длинных CTIT оказались не фродом, а естественной особенностью размещения.

Для DSP-природы трафика главная сложность в том, что это не один однородный и предсказуемый канал, а набор разнородных плейсментов и сценариев закупки. Даже если средняя картина выглядит нормальной, внутри DSP может быстро меняться качество из-за новых подключённых площадок, смены аукционной среды или особенностей оптимизации.

Поэтому DSP нельзя оценивать только по усреднённым показателям. Здесь важнее смотреть на динамику партнёра, на изменение качества после масштабирования и на поведение в конверсионной части воронки.

Игровой трафик

Игровой трафик отличается контекстом потребления. Пользователь видит рекламу внутри игры, поэтому паттерны клика и установки здесь другие, чем на неигровых площадках. Часть аудитории реагирует быстро, часть скачивает приложение «на потом» и возвращается позже — это хорошо видно на графиках поведения.

Это, конечно, не означает, что игровой трафик нужно проверять мягче. Но его нельзя оценивать по тем же ожиданиям CTIT, что и трафик из более спокойных сценариев. Для игровых размещений особенно важно смотреть не только на установку, но и на то, как пользователь ведёт себя после неё.

Что мы сделали вопреки стандартам?

Светлана Висснер Директор mobile-направления icontext, сертифицированный партнёр Admon, эксперт по антифрод-системам

«Ключевым решением стала адаптивная настройка антифрода, а не единый жёсткий фильтр.

Для OEM-срезов в Admon использовали вайтлист и custom CTIT — набор исключений для конкретных причин фрода, которые некорректно срабатывали на этом типе источника. В результате ложноположительные срабатывания по OEM были практически устранены, а настоящий фродовый трафик (если он есть) продолжает отсматриваться и маркироваться.

Для других источников команда не „смягчала“ правила автоматически, а проверяла каждый канал в соответствии с характерным поведением трафика:

— как меняется уровень аномалий во времени;

— какие именно фрод-алёрты срабатывают;

— сохраняются ли аномалии после установки;

— совпадает ли структура установок и структура конверсий.

Иначе говоря, антифрод перестал быть одинаковым фильтром для всех и превратился в систему последовательной и раздельной оценки качества по типу источника. OEM, DSP, игровые и классические in-app-каналы нельзя мерить по одной линейке. Сначала нужно понять, какое поведение для этого типа трафика нормально, а уже потом вводить ограничения. Но даже если источник уже был проверен и очищен, после подключения новых плейсментов или изменения медиамикса его поведение может измениться. Контроль качества — это постоянный цикл.

Один из методов анализа Admon — „Different installs distribution“: если распределение CTIT (Click-to-Install Time — временной интервал между кликом и установкой) у установок с конверсиями не совпадает с распределением всех установок, это признак того, что качество трафика внутри воронки искажается. Такой подход позволяет не просто видеть фродовые паттерны, а связывать медиапоказатели с продуктовым качеством привлечения».

Что это дало бизнесу

Главная ценность — в более точной оценке качества и снижении ложных срабатываний антифрода. Вместо ситуации, когда рабочие источники могли попадать под жёсткие фильтры, T2 получил управляемую систему решений:

• где можно масштабироваться;

• где нужно менять правила проверки;

• где источник стоит ограничить или отключить;

• где проблема на самом деле не в установке, а глубже по воронке.

По OEM ложноположительные срабатывания удалось практически убрать, не ослабив контроль настоящего фрода.

Какие выводы мы сделали?

• CTIT от 12 до 24 часов — это не всегда click flooding, поэтому выводы нужно делать по всем доступным параметрам в аналитике трафика, а не по одной метрике.

• CTIT менее 10 секунд — может быть нормой при небольшом размере приложения или особенностях канала, а иногда и погрешностью MMP. Но такие значения не должны быть массовыми, если для этого источника нет технического объяснения.

• Для корректной оценки качества важно знать вес приложения и реальное время скачивания, чтобы понимать минимальное окно между кликом и установкой.

• Нужно заранее понимать, какой тип трафика приводит источник — неигровой, игровой или предустановки, — чтобы правильно задать норму CTIT.

• CTIT нельзя использовать как единственный показатель качества: его не всегда можно однозначно трактовать. Нужно оценивать все доступные параметры трафика, чтобы сделать корректные выводы.

Как внедрить подход у себя

Для команд с похожей задачей мы собрали 6 практических рекомендаций.

• Не используйте общий fraud rate как главный ориентир. Он нужен для мониторинга, но не для принятия решений по источникам.

• Разделяйте аналитику трафика по типам источника: OEM, DSP, игровые и классические in-app-каналы.

• Проверяйте не только установки из источника, но и ЦД уже внутри продукта.

• Низкий CTIT — это не универсальный признак фрода, проверьте метрику исходя из контекста канала. Для разных видов рекламируемых продуктов есть свой бенчмарк.

• Адаптируйте правила после каждого серьёзного изменения медиамикса, масштабирования или подключения новых плейсментов. В том числе будьте в активной коммуникации с вашими анти-фрод партнёрами для выбора лучшей стратегии.

• То, что работало в прошлом году или в прошлом квартале, может требовать пересмотра в текущем.

Мнение редакции может не совпадать с мнением автора. Ваши статьи присылайте нам на 42@cossa.ru. А наши требования к ним — вот тут.