CPI/CPA广告常见作弊方法总结
内容提要
文章介绍CPI/CPA广告作弊。海外移动广告基于第三方平台“最后点击”归因，作弊分为两类：伪造归因（点击泛滥、点击劫持，窃取自然量或安装）和伪造用户（模拟器、设备农场、SDK伪造）。反作弊手段包括匿名IP过滤、点击安装时间、新设备率、传感器、限制广告跟踪、转化率及人工智能检测。
延伸解读
归因逻辑决定了作弊的切入点
文章指出，海外移动广告依赖第三方平台的“最后点击”归因：媒体点击经302跳转传给归因平台，应用激活后再由SDK或S2S回传匹配。这意味着归因平台在点击时并不掌握曝光信息，只凭点击与激活的匹配做判断。作弊者正是利用这一信息不对称，要么伪造点击信号抢走自然量，要么伪造激活信号骗取预算，理解归因链路是识别作弊的前提。
两类作弊对应两种伪造信号
文章把作弊分为伪造归因和伪造用户：前者流量真实，但通过点击泛滥、点击劫持窃取自然安装或其他渠道的转化；后者则用模拟器、设备农场、SDK伪造制造不存在的用户和应用内活动。两者的区别在于伪造的是广告交互还是应用活动，这决定了反作弊时该看点击侧指标还是安装侧指标，不能混为一谈。
CTIT是区分点击类作弊的关键指标
文章强调点击到安装时间（CTIT）的分布可用于识别不同作弊：短CTIT（低于10秒）可能对应点击劫持，因为点击发生在安装广播之后；长CTIT（24小时及之后）则可能是点击泛滥，靠大量预点击等待自然安装。对Google Play和华为还可借助referrer API的时间戳做二次过滤，其他渠道则依赖install_finish_time判断点击是否晚于安装完成。
反作弊需组合多维信号而非单一指标
文章列出的反作弊手段包括匿名IP过滤、新设备率、设备传感器、限制广告跟踪、转化率和人工智能检测。其中新设备率虽能提示异常，但可能被设备ID重置操纵；转化率过高同样可疑。这说明单一指标容易被规避，实际判断需要把IP、设备、行为和时间维度结合起来，并借助机器学习在大规模数据中识别异常模式。
Q&A
海外移动广告的归因逻辑是什么？
海外移动广告主要采用第三方归因平台的“最后点击”模型。媒体在用户点击广告后，通过302跳转将点击信息（媒体信息、设备ID、时间戳等）传给归因平台；应用激活后，通过SDK或S2S回传激活信息，归因平台匹配最后一次点击，将激活归因给对应媒体。
CPI/CPA广告作弊主要分为哪两大类？
分为伪造归因（Spoofed Attribution）和伪造用户（Spoofed Users）。伪造归因是作弊者伪造广告交互（点击），窃取真实用户的自然转化或真实广告效果；伪造用户是作弊者模拟用户应用内活动，伪造不存在的安装和事件，骗取广告预算。
点击欺诈（Click Spamming）是怎么运作的？
点击欺诈通过伪造海量广告曝光或点击，在Last Click归因原则下，将其他渠道或自然量归因抢到自己渠道。形式包括广告堆叠点击、浏览点击（预缓存）、服务器到服务器点击等。用户实际并未打算与广告互动。
点击劫持（Click Injection）如何窃取安装归因？
作弊者利用安装在用户设备上的应用监听其他应用安装广播（如Android的PACKAGE_ADDED），在安装完成前发送虚假点击，利用Last Click归因漏洞劫取安装。特点是点击到安装时间极短，应用商店下载时间早于点击时间。
设备农场（Device Farms）作弊有什么特点？
设备农场是作弊者购买大量真实设备进行广告点击、下载、安装和应用内行为，并通过修改设备广告跟踪符（如重置DeviceID）隐藏信息。特点包括IP离散度密集、新设备率过高、用户行为异常、机型/系统分布异常等。
反作弊中如何利用点击安装时间（CTIT）识别欺诈？
CTIT衡量用户广告点击到首次应用启动的时间间隔。短CTIT（低于10秒）可能提示安装劫持欺诈；长CTIT（24小时及之后）可能提示大点击欺诈。通过分析CTIT分布可识别不同作弊模式。
SDK伪造（SDK Spoofing）的作弊原理和识别特征是什么？
SDK伪造是作弊者通过中间人攻击破解第三方SDK通信协议，使用真实设备数据发送虚假点击和安装，消耗广告主预算。识别特征是广告主后台数据与第三方数据不符。
