APP推广防作弊策略

1. 背景

        为保障下载、使用数量，APP厂商通常会投巨资给第三方渠道，用以推广宣传吸纳更多用户。在这一过程中，见有利可图的内鬼、羊毛党、刷量中介等则会趁势而入，成为刷量推广数据造假的中坚。据一本财经报道称，过千万流量推广预算中的60%，都会被内鬼、中介和羊毛党等吞噬殆尽。

　　App厂商推广自家应用主要会通过三种方式：

1. 与大渠道商合作，如各大手机应用市场，以及主流媒体等；

2. 和手机厂商合作，手机出厂时会预装相应App；

3. 广告联盟，各站长手中都会有众多渠道资源。

        APP推广作弊的定义有两个维度：

1. 用户质量上：流量供给方，提供的用户质量名不副实，以没有真实需求、没有转化的用户，冒充真实自然用户的行为；

2. 成本上: 以低成本的流量，冒充高成本流量的行为。

从作弊的种类上，一般分为：

1. 以机器流量，冒充自然用户流量；

2. 以人工流量，冒充自然用户流量；

3. 以激励流量，冒充激励用户流量。

2. 渠道作弊简介

        渠道销售用机器模拟下载，以人工下单的方式骗取广告费。

作弊方式：

1. 刷流量；

2. 刷订单量。

1. 静默安装：

        用户在不知情的情况下，手机在后台自动完成APP的下载、安装、激活、注册、删除等操作。识别方法：

静默安装拟制造出来的用户本来就是真实用户，而非真实操作，因此留下的证据不充分：

1. 留存率和启动频率可能正常，但在线时长异常；

2. 手机系统root权限异常。

防治办法：

1. 收录了大量木马植入的特征码；

2. 与运营商合作，对一些异常行为的数据进行后台跟踪。

3. 防范策略

        了解清楚推广方式和广告的形式，自己去判断用户质量，这样才能控制好用户质量。业内主要通过基于规则的方式来进行反作弊，具体的规则有点击到安装时间(CTIT)、设备标记符(GAID/IDFA)、IP地址、地理位置、用户行为。

3.1 抬高作弊门槛

1. 注册登陆后可参与；

2. 注册时可限定邮件验证、短信验证；

3. 电商类站点可限定曾购买用户可参与；

4. 社区类站点可限定最低参与等级、专用任务等。

 3.2  关注核心指标

        每个渠道都投放了，点击量特别高，但激活量却很低。分析的前提是拿到靠谱的数据，有经验的人员可以通过一些数据指标来分辨出真假用户的差异。

3.2.1 点击到安装时间(CTIT)

1. 点击到完成安装的时间过短

        通常用户从点击广告、跳转到应用市场App的下载页面、下载App、到最终打开App进行激活，这个过程需要一定的时间。如果该时间过短，则很有可能是作弊行为；这个时间具体多少才算过短，需要根据当地的网速、App安装包的大小、手机性能而定。

2. 点击到完成安装的时间过长

        单独的一次安装过程，点击到完成安装的时间过长可能是偶然事件，但如果这样的场景大比例出现(例如80%的点击到完成安装的时间>24h)，则有很大可能性是作弊行为。

3.2.2 设备标记符(GAID/IDFA)

1. 新设备率过高

        为大部分用户一般不会主动修改设备标记符，全新的标记符一般要么出现在此前未通过广告安装 App的设备上，要么出现在试图通过频繁修改标记符安装App的作弊设备上。 基于此，如果一个渠道的新设备比例过高，那么肯定会有很大的作弊嫌疑(Device Farms作弊手段)。

2. 设备黑名单

        通过大量历史积累数据，防作弊机构会把一些有频繁作弊历史的设备ID列入黑名单，如果一个安装发生在黑名单的设备ID上，那么该安装也存在很高的风险。

3.2.3 IP地址

1. 来自相同IP的点击/安装量过多

       如果点击或安装数据异常集中地来自相同IP，那么有一定可能是作弊行为(如Device Farms和Bots)。

注意：由于不同运营商的IP池大小不同，IP分配策略也不同，以及存在同一局域网内的多台设备同时连接到公网的可能，只要不过度集中在某几个IP上，一定的IP重复都是正常的。

2. IP黑名单

        主要来自于第三方反作弊服务商， 一般主要是不可能成为移动设备IP的地址(如数据中心等IP)，或者有过大量作弊历史的高风险IP。

3. 点击IP和安装IP不一致比例过高

3.2.4 地理位置

1. 安装国家与投放国家不一致

2. 安装城市与点击城市不一致

3.2.5 用户行为

1. 极端低/高的转化率

        正常情况下渠道的转化率会在一定的区间范围内，转化率过低(Click Spamming/Click Flooding的特征)或者过高(Click Injection的特征)的渠道都需要特别关注，需要注意其是否为非法流量。

2. 留存曲线发生明显下滑

        如果某一个渠道带来的用户总是在游戏/应用中的某一时间节点，数据表现出断崖式下滑，例如用户安装应用后次日留存正常，但第3天留存降为0， 则有很高的作弊嫌疑(Devices Farms)。

3.2.6 其他指标

1. 留存率

        有时候渠道刷量会选择在次日、7日、30日这些重要时间点上导入用户数据。我们会发现 APP 在次日、7日、30日这些关键时间点上的数据明显高于其他时间点。其实真实的用户的留存曲线是一条平滑的指数衰减曲线，如果发现留存曲线存在陡升陡 降的异常波动，基本上就是渠道干预了数据。可想而知，这样的用户的质量是非常差的，也不具备商业价值。

2. 用户终端

        每个渠道都有自己覆盖的用户群，他们的用户终端会有区别。比如说小米应用商店的用户可能 TOP10 的机型都是小米手机，而移动 MM 的用户可能绝大部分是移动运营商的用户。排除这些有特殊渠道的应用商店，大部分渠道的用户终端跟整个移动互联网终端分布是类似的。可以通过查看行业数据来了解这些数据，把这些数据作为 benchmark ，来对比分析 App 的数据。

3. 用户行为

        把真实的用户行为轨迹拉出来，访问入口，访问出口，一般经历哪些页面，看了哪些内容，停留了多久时间。然后看看渠道过来的数据与真实数据的出入，因为真实的数据是自己知道的，渠道不可能知道，所以不可能很匹配。

4. 转化率分析

        不仅可以应对渠道作弊，还可以帮助判断不同渠道的用户质量，提高投放效率。

4. 常见的移动广告作弊手段

4.1 归因作弊

        原理：利用归因模型中的last-click特征，通过某些手段将其他广告渠道或者用户自然下载的流量，划归到自己名下。这种抢归因的作弊方式，一般出现在Android端。作弊者必须要有广告资源，即广告主的信息，否则都不知道发送什么Click信息给第三方归因平台。

1. 大点击

        点击欺诈(点击泛滥，Click Spamming(Click Flooding))，发送大量的虚假Click事件，企图占据广告主App安装前的最近一次点击(last-click)，从而抢归因。

      该作弊手段的特征是CVR偏低(因为发送了大量的Click事件)，点击到安装时间偏长(盲目地发送Click事件，无法预测用户安装广告主App的时间点)。

2. 点击劫持

        Click Injection 是点击欺诈的升级版，手段更加高级，其原理是监听广告主App的安装广播消息，然后在安装完成前发送一个虚假的Click事件，从而占据last-click的位置。这种作弊手段的特征是：

1. CVR偏高：因为一般只在广告App安装前发送一次虚假的Click，所以Click数目会偏低，而且因为占据了last-click位置，所以转化的概率会比较高；

2. 点击到安装时间过短：正常的点击到安装时间(Normal CTIT)是30s，但是点击劫持的点击到安装时间只有10s；

3. 点击劫持的广告点击时间晚于应用商店记录的下载时间：而正常情况下用户都是先点击广告，再跳转到应用商店去下载广告主App，所以广告点击时间应该早于应用商店记录的下载时间。

4.2 虚假流量

        点击、安装、应用内的行为都是伪造的，广告主花了钱却不能获得一个真实的用户。

1. AD Stacking

        当用户点击了某个广告时，作弊者向后台发送多个不同广告的Click事件，从而吃掉大量的CPC广告预算。就像某个广告下面还"隐藏"重叠着多个广告，用户点击最上方广告后，也会同时发送下面广告的Click事件。

        其特点是同一个设备短时间内，会上报大量的广告Click事件。

2. Bots

        作弊者通过自动化脚本或程序模拟真实用户的点击、下载、安装甚至是应用内行为，伪装成为真实用户，从而骗取广告主的CPI/CPA预算。其特点是IP地址离散度密集、新设备率过高、机型/系统/时间等分布异常。

3 Device Farms

        和Bots作弊原理类似，不同点是Device Farms更舍得花成本，作弊者会购买大量真实设备进行广告点击、 下载、安装和应用内行为，并通过修改设备广告跟踪符等方式隐藏设备信息。其特点和Bots一样，具体表现在IP地址离散度密集、新设备率过高、机型/系统/时间等分布异常。

4. SDK Spoofing(SDK Hacking)

        作弊者通过执行“中间人攻击”破解第三方广告SDK的通信协议后，在没有任何实际安装的情况下，使用真实设备的数据来发送虚假的点击和安装，以此消耗广告主的预算的作弊行为。其特点是广告主后台数据和第三方数据不符，因为是完全伪造的数据。

4.3 非法流量

        非法流量都是"真实"的下载流量，只是这些流量并不合规。作弊者在未经广告主同意的情况下，使用一些有争议的手段来获取用户，包括从非官方应用商店下载App、 激励流量、被禁止的广告素材、网赚、诱骗点击和下载、木马后台操作等。

5. 如何识别作弊？

        主要看用户对内容贡献(找准核心指标)：首先要看自己应用的类型。

1. 电商类：最直接的就是看这个渠道用户的下单消费情况(激活到订单创建转化率)；

2. 生活类可以产生信息的应用：问医生系列，那就看这个渠道用户的提问量，这个造假成本高，不划算；

3. 游戏类：看用户购买增值道具的比例，看用户玩到各关卡的比例，总不会雇人玩游戏造假吧！

      业内常用的几种反作弊方案包括检测设备是否具有ROOT、越狱权限，收集并检测是否安装了常见的作弊工具(如修改设备信息的插件、自动化点击的软件等)。另外分析具体业务数据，7日留存、自定义事件触发情况等。

6. 积分墙简介

        积分墙不是一般意义上的作弊手段，而是一种策略上的选择。定义：

      在移动应用市场推广的过程中，会根据用户对产品的使用深度给予积分奖励或不同数额的现金奖励，将这个展示APP并给予真实用户奖励的平台称为积分墙。常见的奖励操作包括：下载、激活、注册、付费等。 部分媒介利用这种商业模式，大量招募真实用户完成指定操作，以谋取推广费用；一些网网赚利用积分墙赚取积分或现金；对于推广初期的APP这也是一种行之有效的获取初期用户的方式和冲榜方式。

        积分墙作弊特指用这种通过激励机制发展的用户，来冒充真实用户的行为是为积分墙掺量作弊。

1. 角色：

1. 广告主：APP的运营者，将该APP投放到积分墙上吸量；

2. 媒介：积分墙的运营者(如钱咖、有米等)，他们有一个或一套技术平台，一方面能承接广告主的广告，并为其提供广告投放、任务分发、对账结算等服务，同时有一个公开面向C端的媒介产品来招揽用户，并为用户提供任务执行、奖励积分、积分兑换、充值提现、下线邀请等一系列功能与服务；

3. 用户：受激励而来的用户，他们按照媒介平台上的指示要求，逐步完成下载、激活、注册、以及其他的行为，并获得应有的报酬。通常以学生、闲置在家的家庭主妇、保安等职业为主。

2. 技术成本：

        运营一个积分器需要投入软件成本和硬件成本，现在多数积分器都会部署在云服务器或托管给某些大型服务器机房，相对硬件投入成本较低。

3. 检测机制：

        检测机制在不同的公司实现方法也不同：

1. 国外的FMA在iOS上是先按它的要求安装验证文件，获取用户的设备信息Mac地址uiud(防止刷机)，然后点击推荐链接激活任务，打开后激活信息会反馈给应用开发者，再由开发者反馈给FMA，在安卓平台也应该是这样，或者一些应用在首次激活会跳转到浏览器打开网址，自行验证IP等(防止VPN)；

2. 国内的下载客户端后，可以检测用户的安装与运行，万普就可以直接打开应用，而试客可以检测后台运行自行发放积分。感觉国内的应用都是要达到开发者要求才会反馈信息给广告商，所以很多开发者做手脚骗取激活量，同时一些用户也刷机换IP和Mac来刷分，另外iOS付费的也存在账号分享，助手下载等问题，所以国内的还很乱，确认激活的技术标准也没有统一，所以经常有不得分的情况。

        初期做积分墙没自己渠道是很难扩大用户群的，遇到用户恶意刷分也需要自己的判断技术。

4. 反作弊算法：

        因为有实际的奖励刺激，所以用户会想尽一切办法通过积分墙获得奖励。积分墙如何判断用户作弊，是一项比较复杂的技术。防作弊如果做不好，无论是对广告主还是平台，都会造成很大损失。

5. 用户留存措施

        积分墙价值的体现就是它拥有大量的活跃用户，提升用户留存率的措施是有一定技术难点的。

6. 核销手段：

        积分墙对用户的操作行为能够实现技术跟踪，当用户完成规定的任务则给予奖励，当该用户被广告主认可后，并将这些用户的信息提供给广告主作为核销、结算依据。

7. 掺量手法：

        渠道积分墙产品往往具有大量活跃用户，包括自然用户、羊毛党等，不完全是APP的真实用户。

9. 仿真度（激活、关键指标、深度行为、群体行为）

        积分墙的任务主要包括下载、激活、注册、付费等，他带来的用户多是自然用户，都是真实的下载、激活，甚至让用户注册、绑定银行卡或者持续使用1个月到更长的时间。

10. 积分墙的使用方法：

1. 在短时间内将APP推到APPSTORE排行榜的前列，俗称冲榜，在iOS平台上比较流行；

2. 为正在争取投资的APP提供亮眼的真实用户，这是说服投资者的有利砝码；

3. 补量，很多公司用积分墙作为完成KPI的手段。

11. 防治办法：

        因为他们就是一群真实用户，只能收录所有的积分墙APP特征码，并利用大数据和用户行为模式进行分析判断。