Не всё то фрод, что странно себя ведёт: T2, icontext и Admon сократили погрешности антифрода

02.10.2026

В мобильных закупках фрод — не единственная угроза. Не менее серьезную опасность представляет другая проблема: когда система верификации начинает блокировать легитимный трафик, принимая его за подозрительный. В проекте T2 именно это стало ключевой задачей: при масштабе более 400 тысяч платных установок в месяц необходимо было не только контролировать качество закупки, но и делать это так, чтобы не сдерживать рост приложения. T2 — многофункциональное приложение, включающее покупку SIM-карт и различные подписки.

Команда icontext в сотрудничестве с T2 и Admon пришла к важному выводу: универсальный антифрод-порог не обеспечивает одинаково высокого качества для всех типов источников. OEM, DSP, игровые сети и классические in-app-площадки привлекают пользователей по разным сценариям. Если оценивать их по единой логике, можно либо пропустить аномалии, либо потерять рабочий трафик. Следовательно, аналитика должна учитывать особенности каждого типа трафика, а не быть унифицированной.

Почему общий fraud rate вводит в заблуждение

Равшан Зайнуллин

Руководитель направления по работе с трафиком в электронной коммерции

«На больших объемах закупки хочется опираться на одну цифру — общий процент аномалий. Однако для управления качеством это почти бесполезно. Внутри одного медиамикса партнеры могут вести себя по-разному: у одного — стабильное качество, у другого — кратковременный пик, у третьего — волна аномалий после смены плейсментов. В проекте T2 на больших объемах закупки это было особенно заметно. Один источник показывал пик аномалий до 75% в июле 2025 года, другой — до 47,28% в августе-сентябре, третий — до 60,45% в январе 2026 года. Сами по себе эти цифры важны, но причины пиков были разными. Значит, и действия команды не могли быть одинаковыми. Отсюда вывод: антифрод нельзя строить вокруг усредненной цифры и однообразного шаблона. Его нужно настраивать и корректировать по партнерам, типам трафика и этапам воронки».

Какие источники были в закупке

В медиамиксе T2 использовались различные типы источников, что позволило глубже изучить проблему:

OEM-источники — трафик, интегрированный в экосистему устройства или поставляемый через предустановленные сценарии и партнерские механики;
Классические in-app-площадки и сети — источники, где поведение пользователя ближе к стандартной логике mobile performance;
DSP и закупка через программные платформы — трафик с большей вариативностью плейсментов и креативных сценариев;
Игровой трафик — отдельный сценарий потребления, где поведение пользователя и скорость реакции на рекламу часто отличаются от неигровой среды. Часть пользователей реагирует на рекламу сразу, часть скачивает приложение «на потом». Из-за этого CTIT и поведение после установки часто отличаются от неигровой среды.

Как обычно проверяется трафик и на что нужно смотреть

Команда использовала базовую верификацию на уровне установок и постинстал-событий. В рабочей логике анализировали несколько групп сигналов:

CTIT — Click-to-Install Time — временной интервал между кликом и первым открытием приложения после установки. Слишком короткие или нетипично сгруппированные интервалы могут указывать на аномалию;
Динамика fraud rate по партнеру — не просто уровень аномалий, а его изменение во времени: стабильность, резкие скачки, повторяющиеся волны;
Поведение после установки — доходит ли пользователь до целевого действия, в данном случае до получения eSIM-профиля;
Сопоставление install- и conversion-слоя — совпадает ли качество на входе с качеством дальше по воронке.

Какой фрод обнаруживали и как

1) Click injection — это генерация мошеннического клика в момент, когда пользователь нажимает в сторе на кнопку «Загрузить». Распространен на устройствах с Android.

Характерно большое количество установок с CTIT менее 10 секунд: более 90% таких установок приходится на первые 10 секунд, остальные растягиваются на более длинные интервалы.

Как проверяем? Этот тип фрода хорошо отфильтровывается антифрод-системами из-за довольно очевидного механизма. В ручном анализе основной параметр — CTIT, но важно учитывать реальное время скачивания приложения при стабильном подключении к интернету. Для легких webview-приложений нормой может быть около 5 секунд, и такой трафик нельзя автоматически считать фродовым. Для полноценных приложений рабочий ориентир чаще ближе к 10–15 секунд, хотя точное окно зависит от веса приложения и канала.

2) Click flooding — массовая генерация кликов по доступным рекламным ссылкам в надежде, что реальный пользователь позже установит приложение самостоятельно, а мошеннический клик окажется последним в цепочке касаний.

Характерны установки с длинным CTIT, большая часть мошеннического трафика приходится на период более 24 часов.

Как проверяем? Этот тип фрода антифрод-системы обычно отфильтровывают по CTIT в сочетании с дублями кликовых метаданных. Вручную его можно проверять через отсечение установок с CTIT более 24 часов, повторяющиеся IP и большой объем кликов, приходящих секунда в секунду. Дополнительным сигналом может быть высокая доля вероятностной атрибуции.

Почему одни и те же критерии не работают?

Разбираемся на поведенческих паттернах и особенностях трафика.

OEM (Original Equipment Manufacturer) — продвижение приложений и брендов через встроенные сервисы и устройства производителей.

OEM-трафик оказался главным источником методологических ошибок, потому что внутри него встречаются разные сценарии.

В части размещений пользователи уже находятся близко к установке, путь короче, и короткий CTIT сам по себе не доказывает аномалию и определяет наличие Click injection. Время установки еще зависит от размера приложения и скорости интернета.

Отдельно работают предустановки: клик и установка могут быть сильно разнесены во времени. Тогда CTIT получается длинным и визуально похож на click flooding, хотя это техническая особенность канала, а не фрод. Поэтому длинный CTIT — не универсальный признак click flooding: его нужно читать вместе с типом плейсмента и другими сигналами.

Именно поэтому в OEM нельзя автоматически полагаться на общие правила. Команда провела проактивный аудит: посмотрела, с каких плейсментов приходит трафик, как ведут себя пользователи после установки, какие фрод-алерты срабатывают чаще всего и подтверждаются ли они дополнительными сигналами. В результате часть коротких и часть длинных CTIT оказались не фродом, а естественной особенностью размещения.

DSP (Demand-Side Platform) — платформа для автозакупки цифровой рекламы (баннеры, видео, нативка) на тысячах сайтов и приложений.

Для DSP-природы трафика главная сложность в том, что это не один однородный и предсказуемый канал, а набор разнородных плейсментов и сценариев закупки. Даже если средняя картина выглядит нормальной, внутри DSP может быстро меняться качество из-за новых подключенных площадок, смены аукционной среды или особенностей оптимизации.

Поэтому DSP нельзя оценивать только по усредненным показателям. Здесь важнее смотреть на динамику партнера, на изменение качества после масштабирования и на поведение в конверсионной части воронки.

Игровой трафик

Игровой трафик отличается контекстом потребления. Пользователь видит рекламу внутри игры, поэтому паттерны клика и установки здесь другие, чем на неигровых площадках. Часть аудитории реагирует быстро, часть скачивает приложение «на потом» и возвращается позже — это хорошо видно на графиках поведения.

Это, конечно, не означает, что игровой трафик нужно проверять мягче. Но его нельзя оценивать по тем же ожиданиям CTIT, что и трафик из более спокойных сценариев. Для игровых размещений особенно важно смотреть не только на установку, но и на то, как пользователь ведет себя после нее.

Что мы сделали вопреки стандартам?

Светлана Висснер

Директор mobile-направления icontext, сертифицированный партнер Admon, эксперт по антифрод-системам

«Ключевым решением стала адаптивная настройка антифрода, а не единый жесткий фильтр. Для OEM-срезов в Admon использовали вайтлист и custom CTIT — набор исключений для конкретных причин фрода, которые некорректно срабатывали на этом типе источника. В результате ложноположительные срабатывания по OEM были практически устранены, а настоящий фродовый трафик (если он есть) продолжает отсматриваться и маркироваться. Для других источников команда не «смягчала» правила автоматически, а проверяла каждый канал в соответствии с характерным поведением трафика: — как меняется уровень аномалий во времени; — какие именно фрод-алерты срабатывают; — сохраняются ли аномалии после установки; — совпадает ли структура установок и структура конверсий. Иначе говоря, антифрод перестал быть одинаковым фильтром для всех и превратился в систему последовательной и раздельной оценки качества по типу источника. OEM, DSP, игровые и классические in-app-каналы нельзя мерить по одной линейке. Сначала нужно понять, какое поведение для этого типа трафика нормально, а уже потом вводить ограничения. Но даже если источник уже был проверен и очищен, после подключения новых плейсментов или изменения медиамикса его поведение может измениться. Контроль качества — это постоянный цикл. Один из методов анализа Admon — „Different installs distribution“: если распределение CTIT (Click-to-Install Time — временной интервал между кликом и установкой) у установок с конверсиями не совпадает с распределением всех установок, это признак того, что качество трафика внутри воронки искажается. Такой подход позволяет не просто видеть фродовые паттерны, а связывать медиапоказатели с продуктовым качеством привлечения».

Что это дало бизнесу

Главная ценность — в более точной оценке качества и снижении ложных срабатываний антифрода. Вместо ситуации, когда рабочие источники могли попадать под жесткие фильтры, T2 получил управляемую систему решений:

где можно масштабироваться;
где нужно менять правила проверки;
где источник стоит ограничить или отключить;
где проблема на самом деле не в установке, а глубже по воронке.

По OEM ложноположительные срабатывания удалось практически убрать, не ослабив контроль настоящего фрода.

Какие выводы мы сделали?

CTIT от 12 до 24 часов — это не всегда click flooding, поэтому выводы нужно делать по всем доступным параметрам в аналитике трафика, а не по одной метрике.
CTIT менее 10 секунд — может быть нормой при небольшом размере приложения или особенностях канала, а иногда и погрешностью MMP. Но такие значения не должны быть массовыми, если для этого источника нет технического объяснения.
Для корректной оценки качества важно знать вес приложения и реальное время скачивания, чтобы понимать минимальное окно между кликом и установкой.
Нужно заранее понимать, какой тип трафика приводит источник — неигровой, игровой или предустановки, — чтобы правильно задать норму CTIT.
CTIT нельзя использовать как единственный показатель качества: его не всегда можно однозначно трактовать. Нужно оценивать все доступные параметры трафика, чтобы сделать корректные выводы.

Как внедрить подход у себя

Для команд с похожей задачей мы собрали 6 практических рекомендаций.

Не используйте общий fraud rate как главный ориентир. Он нужен для мониторинга, но не для принятия решений по источникам.
Разделяйте аналитику трафика по типам источника: OEM, DSP, игровые и классические in-app-каналы.
Проверяйте не только установки из источника, но и ЦД уже внутри продукта.
Низкий CTIT — это не универсальный признак фрода, проверьте метрику исходя из контекста канала. Для разных видов рекламируемых продуктов есть свой бенчмарк.
Адаптируйте правила после каждого серьезного изменения медиамикса, масштабирования или подключения новых плейсментов. В том числе будьте в активной коммуникации с вашими анти-фрод партнерами для выбора лучшей стратегии.
То, что работало в прошлом году или в прошлом квартале, может требовать пересмотра в текущем.