Bağımsız geliştirici, 220 dolarlık bir Google Ads kampanyasındaki ücretli install'ların yüzde 60'ının bot olduğunu tespit etti

Küçük bir bütçe, şüpheli bir sayı

Küçük bir Android puzzle oyunu olan Dayzle'nin geliştiricisi, küçük ölçekte yaşanan bariz bir reklam dolandırıcılığının ayrıntılı bir hesabını yayımladı. Install için optimize edilmiş iki haftalık Google Ads kampanyaları boyunca, faturalandırılan install'ların kabaca yüzde 60'ının otomatik olduğunu söylüyor — bu sonuca, Google'ın paneline güvenmek yerine kendi analytics verilerini denetleyerek ulaştı. Yazı, Hacker News'in ana sayfasına çıktı.

Yazıya göre kampanya, hedefi install olarak ayarlanmış şekilde günde 40 CA$ harcıyordu. İlk birkaç gün neredeyse hiç harcama yapılmadı; install başına 1,50 dolarlık hedef maliyetle Google bu fiyattan teslim edemiyordu. Geliştirici bunu bir deneme olarak kaldırdı ve harcama hemen günlük bütçenin iki katı olan 80 CA$'a çıktı; Google 21 install bildirirken kendi admin paneli yalnızca bir tane gösteriyordu.

Sahte install'lar nasıl tespit edildi

Paneldeki farkın sıradan bir açıklaması vardı — uygulamanın eski sürümleri install tarihini bildirmiyor — bu yüzden geliştirici ham cihaz analytics'lerine gitti. Orada o gün 21 yeni Android cihaz buldu; bunların 20'si, Play Store'un günler önce dağıtmayı bıraktığı bir uygulama sürümünü çalıştırıyordu. Play eski sürümleri dağıtmadığından, bu cihazların uygulamayı başka bir yerden edinmiş olması gerekiyordu; oysa hepsi yükleyici olarak Google Play gösteriyordu.

Oturumları seri üretim gibi görünüyordu: her biri uygulamayı bir kez açıyor, hiçbir ekranda süre kaydetmiyor ve bir daha geri dönmüyordu. Kampanya boyunca şüpheli cihazlar 19 eyalete yayılmış 28 telefon modelini kapsıyordu — hepsi özdeş davranan donanım için epey çeşitlilik.

İki haftalık toplamlar: Google'ın faturaladığı 56 install, bot kalıbına uyan 33 tanesi, kampanyanın hiç hedeflemediği ülkelerden gelen yedi tane daha ve 13 gerçek kişi. Bu 13 kişi birlikte 92 oyun tamamladı; geliştirici bunu, gerçek kullanıcıların ürünü sevdiğinin kanıtı saydı.

Dolandırıcılık kendini nasıl besledi

Şüphelenilen mekanizma tek seferlik bir hırsızlıktan çok bir geri besleme döngüsünü tarif ediyor. Çiftlik, reklam grubundaki en kısa videoyu tıklamadan izliyor, sonra uygulamayı mağazadan değil paket dosyasının kayıtlı bir kopyasından yüklüyordu — bu daha hızlıydı ve Play'in dikkatini çekme olasılığı daha düşüktü. Google bir görüntülemenin ardından gelen install'ı conversion olarak saydığından, her sahte install kampanyanın ölçülen performansını iyileştiriyor, bu da reklam teslimatının daha fazlasını çiftliğe yönlendiriyor, bu da daha fazla sahte install üretiyordu. Tam tasarlandığı gibi çalışan optimize edici, parayı sürekli olarak dolandırıcılığa yönlendiriyordu.

O zamandan beri ne değişti

Geliştirici Google'ın invalid-traffic formunu doldurdu ve yanıt bekliyor; iadenin gerçekleşip gerçekleşmeyeceğini raporlamayı planlıyor. Ayrıca kampanyanın conversion hedefini uygulamayı açmaktan bir puzzle'ı kazanmaya çevirdi. Gerekçesi ekonomik: bir uygulama açılışını ve birkaç dokunuşu betiklemek önemsizdir, ama gerçekten bir puzzle çözen bir şeyi betiklemek epey zordur. Amaç, uygulamasını sahtelemeyi bir sonraki uygulamadan daha pahalı hale getirmek.

Bunu, kendi ölçeğindeki bir uygulama için yeterli bir koruma olarak görüyor ve çiftliklemeye daha çok emek vermeye değer olan daha büyük uygulamaların, sahiplerinin fark ettiğinden çok daha fazlasını bu trafiği gördüğünden şüpheleniyor.

Neden önemli

Reklam dolandırıcılığı genellikle sektör geneli tahminlerle tartışılır. Bu bunun tam tersi uç: tek bir geliştirici, 220 dolarlık bir bütçe, eksiksiz bir denetim izi ve genellenebilecek birkaç ders.

Google'ın install sayısı gerçek bir sayıdır ama reklamverenlerin sandığı sayı değildir — burada faturalanan toplam ile insan toplamı kabaca dört kat saptı ve panelde bunu işaret eden hiçbir şey yoktu. Geri besleme döngüsü de bu vaka ötesinde önemli: sahtelemesi ucuz bir conversion etkinliğine göre optimize edilen herhangi bir kampanya, mekanik olarak onu en iyi sahtelemeyi ödüllendirir. Ve önerilen önlem — simüle etmesi pahalı conversion etkinlikleri seçmek — küçük bir geliştiriciye hiçbir maliyet çıkarmaz.

Bu anlatı tek bir geliştiricinin analizidir ve Google'ın invalid-traffic talebine yanıtı hâlâ beklemede olduğundan bot çiftliği atfı bağımsız olarak doğrulanmış değildir. Ama pratik uyarı geçerli: platform tarafından bildirilen conversion'lar ham analytics verileriyle karşılaşmayı hak eder, çünkü bot çiftliklerinin bir hedef bulmak için büyük bir bütçeye ihtiyacı belli ki yok.