Не всё то фрод, что странно себя ведёт: T2, icontext и Admon сократили погрешности антифрода

02.10.2026

В мобильных закупках фрод — не единственная угроза. Не менее серьезной проблемой становится ложная блокировка легитимного трафика, когда система верификации ошибочно классифицирует нормальные действия как подозрительные. В проекте T2 данная задача стала ключевой: при масштабе более 400 тысяч платных установок в месяц требовалось не только контролировать качество закупки, но и обеспечивать беспрепятственный рост приложения. T2 представляет собой многофункциональное приложение, включающее возможность покупки SIM-карт и различные подписки.

Эксперты icontext, совместно с T2 и Admon, пришли к важному выводу: универсальный антифродовый порог неэффективен для разных типов источников. OEM, DSP, игровые сети и классические in-app-площадки приводят пользователей по различным сценариям. Применение единой логики оценки может привести либо к пропуску аномалий, либо к потере ценного трафика. Таким образом, аналитика должна быть дифференцированной, учитывая особенности каждого типа трафика.

Почему общий fraud rate вводит в заблуждение

Равшан Зайнуллин

Руководитель направления по работе с трафиком в электронной коммерции

«На больших объемах закупки соблазнительно фокусироваться на единой цифре — общем проценте аномалий. Однако для управления качеством это почти бесполезно. Внутри одного медиамикса разные партнеры демонстрируют принципиально разное поведение: у одного — стабильное качество, у другого — краткосрочные пики, у третьего — волны аномалий после смены плейсментов. В проекте T2 на больших объемах это было особенно заметно. Один источник показывал пик аномалий до 75% в июле 2025 года, другой — до 47,28% в августе-сентябре, третий — до 60,45% в январе 2026 года. Эти цифры важны, но причины пиков различались. Следовательно, действия команды не могли быть одинаковыми. Отсюда вывод: антифрод нельзя строить вокруг усредненных показателей и шаблонных решений. Его необходимо адаптировать под конкретных партнеров, типы трафика и этапы воронки».

Какие источники были в закупке

В медиамиксе T2 использовались различные типы источников, что позволило глубже изучить проблему:

OEM-источники — трафик, встроенный в экосистему устройства или поставляемый через предустановленные сценарии и партнерские механики;
Классические in-app-площадки и сети — источники, где поведение пользователя соответствует стандартной логике mobile performance;
DSP и закупка через программные платформы — трафик с разнообразными плейсментами и креативными сценариями;
Игровой трафик — отдельный сценарий, где поведение пользователей и скорость реакции на рекламу часто отличаются от неигровой среды. Часть аудитории скачивает приложение сразу, часть — «на потом». Это влияет на CTIT и поведение после установки.

Как обычно проверяется трафик и на что нужно смотреть

Команда применяла базовую верификацию на уровне установок и пост-установленных событий. В работе учитывались следующие группы сигналов:

CTIT (Click-to-Install Time) — временной интервал между кликом и первым открытием приложения. Некорректные значения могут указывать на аномалии;
Динамика fraud rate по партнеру — не уровень аномалий, а его изменение во времени: стабильность, резкие скачки, повторяющиеся волны;
Поведение после установки — достигает ли пользователь целевого действия, в данном случае — получения eSIM-профиля;
Сопоставление install- и conversion-слоя — совпадает ли качество на входе с качеством дальше по воронке.

Какой фрод обнаруживали и как

1) Click injection — генерация мошеннического клика в момент нажатия на кнопку «Загрузить» в магазине приложений. Распространен на устройствах с Android.

Характерно большое количество установок с CTIT менее 10 секунд: более 90% таких установок приходится на первые 10 секунд, остальные растягиваются на более длительные интервалы.

Как проверяем? Этот тип фрода хорошо отфильтровывается антифрод-системами из-за очевидного механизма. В ручном анализе ключевой параметр — CTIT, но важно учитывать реальное время скачивания приложения при стабильном интернете. Для легких webview-приложений нормой может быть около 5 секунд, и такой трафик нельзя автоматически считать фродовым. Для полноценных приложений рабочий ориентир чаще ближе к 10–15 секундам, хотя точное окно зависит от веса приложения и канала.

2) Click flooding — массовая генерация кликов по доступным рекламным ссылкам в надежде, что реальный пользователь позже установит приложение самостоятельно, а мошеннический клик окажется последним в цепочке касаний.

Характерны установки с длинным CTIT, большая часть мошеннического трафика приходится на период более 24 часов.

Как проверяем? Этот тип фрода антифрод-системы обычно отфильтровывают по CTIT в сочетании с дублями кликовых метаданных. Вручную его можно проверять через отсечение установок с CTIT более 24 часов, повторяющиеся IP и большой объем кликов, приходящих секунда в секунду. Дополнительным сигналом может быть высокая доля вероятностной атрибуции.

Почему одни и те же критерии не работают?

Разбираемся на примере поведенческих паттернов и особенностей трафика.

OEM (Original Equipment Manufacturer) — продвижение приложений и брендов через встроенные сервисы и устройства производителей.

OEM-трафик стал главным источником методологических ошибок, так как внутри него встречаются разные сценарии.

В части размещений пользователи уже находятся близко к установке, путь короче, и короткий CTIT сам по себе не доказывает аномалию и наличие Click injection. Время установки также зависит от размера приложения и скорости интернета.

Отдельно работают предустановки: клик и установка могут быть сильно разнесены во времени. Тогда CTIT получается длинным и визуально похож на click flooding, хотя это техническая особенность канала, а не фрод. Поэтому длинный CTIT — не универсальный признак click flooding: его нужно анализировать вместе с типом плейсмента и другими сигналами.

Именно поэтому в OEM нельзя автоматически полагаться на общие правила. Команда провела проактивный аудит: изучила, с каких плейсментов приходит трафик, как ведут себя пользователи после установки, какие фрод-алерты срабатывают чаще всего и подтверждаются ли они дополнительными сигналами. В результате часть коротких и часть длинных CTIT оказались не фродом, а естественной особенностью размещения.

DSP (Demand-Side Platform) — платформа для автозакупки цифровой рекламы (баннеры, видео, нативка) на тысячах сайтов и приложений.

Для DSP-трафика главная сложность в том, что это не один однородный канал, а набор разнородных плейсментов и сценариев закупки. Даже если средняя картина выглядит нормальной, внутри DSP может быстро меняться качество из-за новых подключенных площадок, смены аукционной среды или особенностей оптимизации.

Поэтому DSP нельзя оценивать только по усредненным показателям. Здесь важнее следить за динамикой партнера, изменением качества после масштабирования и поведением в конверсионной части воронки.

Игровой трафик

Игровой трафик отличается контекстом потребления. Пользователь видит рекламу внутри игры, поэтому паттерны клика и установки здесь другие, чем на неигровых площадках. Часть аудитории реагирует быстро, часть скачивает приложение «на потом» и возвращается позже — это хорошо видно на графиках поведения.

Это, конечно, не означает, что игровой трафик нужно проверять мягче. Но его нельзя оценивать по тем же ожиданиям CTIT, что и трафик из более спокойных сценариев. Для игровых размещений особенно важно смотреть не только на установку, но и на поведение пользователя после нее.

Что мы сделали вопреки стандартам?

Светлана Висснер

Директор mobile-направления icontext, сертифицированный партнер Admon, эксперт по антифрод-системам

«Ключевым решением стала адаптивная настройка антифрода, а не единый жесткий фильтр. Для OEM-срезов в Admon использовали вайтлист и custom CTIT — набор исключений для конкретных причин фрода, которые некорректно срабатывали на этом типе источника. В результате ложноположительные срабатывания по OEM были практически устранены, а настоящий фродовый трафик (если он есть) продолжает отслеживаться и маркироваться. Для других источников команда не «смягчала» правила автоматически, а проверяла каждый канал в соответствии с характерным поведением трафика: — как меняется уровень аномалий во времени; — какие именно фрод-алерты срабатывают; — сохраняются ли аномалии после установки; — совпадает ли структура установок и структура конверсий. Иначе говоря, антифрод перестал быть одинаковым фильтром для всех и превратился в систему последовательной и раздельной оценки качества по типу источника. OEM, DSP, игровые и классические in-app-каналы нельзя мерить по одной линейке. Сначала нужно понять, какое поведение для этого типа трафика нормально, а уже потом вводить ограничения. Но даже если источник уже был проверен и очищен, после подключения новых плейсментов или изменения медиамикса его поведение может измениться. Контроль качества — это постоянный цикл. Один из методов анализа Admon — „Different installs distribution“: если распределение CTIT у установок с конверсиями не совпадает с распределением всех установок, это признак того, что качество трафика внутри воронки искажается. Такой подход позволяет не просто видеть фродовые паттерны, а связывать медиапоказатели с продуктовым качеством привлечения».

Что это дало бизнесу

Главная ценность — в более точной оценке качества и снижении ложных срабатываний антифрода. Вместо ситуации, когда рабочие источники могли попадать под жесткие фильтры, T2 получил управляемую систему решений:

где можно масштабироваться;
где нужно менять правила проверки;
где источник стоит ограничить или отключить;
где проблема на самом деле не в установке, а глубже по воронке.

По OEM ложноположительные срабатывания удалось практически убрать, не ослабив контроль настоящего фрода.

Какие выводы мы сделали?

CTIT от 12 до 24 часов — это не всегда click flooding, поэтому выводы нужно делать по всем доступным параметрам в аналитике трафика, а не по одной метрике.
CTIT менее 10 секунд — может быть нормой при небольшом размере приложения или особенностях канала, а иногда и погрешностью MMP. Но такие значения не должны быть массовыми, если для этого источника нет технического объяснения.
Для корректной оценки качества важно знать вес приложения и реальное время скачивания, чтобы понимать минимальное окно между кликом и установкой.
Нужно заранее понимать, какой тип трафика приводит источник — неигровой, игровой или предустановки, — чтобы правильно задать норму CTIT.
CTIT нельзя использовать как единственный показатель качества: его не всегда можно однозначно трактовать. Нужно оценивать все доступные параметры трафика, чтобы сделать корректные выводы.

Как внедрить подход у себя

Для команд с похожей задачей мы собрали 6 практических рекомендаций.

Не используйте общий fraud rate как главный ориентир. Он нужен для мониторинга, но не для принятия решений по источникам.
Разделяйте аналитику трафика по типам источника: OEM, DSP, игровые и классические in-app-каналы.
Проверяйте не только установки из источника, но и целевые действия уже внутри продукта.
Низкий CTIT — это не универсальный признак фрода, проверьте метрику исходя из контекста канала. Для разных видов рекламируемых продуктов есть свой бенчмарк.
Адаптируйте правила после каждого серьезного изменения медиамикса, масштабирования или подключения новых плейсментов. В том числе будьте в активной коммуникации с вашими анти-фрод партнерами для выбора лучшей стратегии.
То, что работало в прошлом году или в прошлом квартале, может требовать пересмотра в текущем.