Fraude publicitario: bots, fraude de clics y cómo frenarlo
Qué es el fraude publicitario, sus tipos principales (bots, granjas de clics, fraude de instalaciones), cómo lo filtran las redes antes y después de la puja y qué revisar en tus datos.
El fraude publicitario es cualquier esquema deliberado que falsea impresiones, clics, instalaciones o conversiones para que alguien cobre por tráfico que no generó ninguna persona real e interesada. Los bots, las granjas de clics, los anuncios ocultos y los sitios web suplantados son las herramientas habituales. El fraude de clics, la variante dirigida a los presupuestos de pago por clic, es el tipo más conocido.
Qué es el fraude publicitario y cómo funciona
El fraude en la publicidad digital funciona porque cada acuerdo publicitario paga a alguien por un evento contable: una impresión, un clic, una instalación o un registro. Una parte a la que se le paga por ese evento, como un publisher, el dueño de una app, un revendedor o un afiliado, infla el recuento con actividad que no proviene de ningún comprador.
El anunciante paga dos veces: por los eventos falsos y, de nuevo, cuando las reglas de puja interpretan las ubicaciones infladas como ganadoras y les envían más presupuesto. Los publishers honestos también pierden, porque compiten en precio con vendedores cuyas cifras son inventadas.
El término del sector es tráfico inválido (IVT). También abarca ruido inocente, como los rastreadores de los buscadores, así que no todo clic inválido es un delito, pero todo clic fraudulento es inválido.
Tipos de fraude publicitario
El fraude publicitario adopta seis formas principales, y cada una deja su propia huella en tus datos.
Tráfico de bots: GIVT vs SIVT
El Media Rating Council (MRC), el organismo del sector en EE. UU. que acredita la medición publicitaria, divide el tráfico inválido en dos clases. El tráfico inválido general (GIVT) es lo que detectan los filtros rutinarios con listas y comprobaciones de parámetros: tráfico conocido de centros de datos, rastreadores declarados, user agents que no son navegadores y tamaños de anuncio de 0x0 y 1x1. El tráfico inválido sofisticado (SIVT) requiere analítica avanzada o revisión humana para encontrarlo: emuladores, dispositivos secuestrados, bots que se hacen pasar por usuarios, tráfico de proxy inválido y tráfico de centros de datos que solo un análisis más profundo destapa.
Los bots baratos se ejecutan desde proveedores de hosting y repiten una sola acción sencilla. En un informe parecen clones: un único perfil de dispositivo, sesiones casi instantáneas, sin scroll. Los scripts simples suelen saltarse JavaScript, de modo que el tracker registra un clic que el píxel de la landing page nunca ve.
Fraude de clics y granjas de clics
El fraude de clics es cualquier clic hecho para agotar un presupuesto de pago por clic o inflar los ingresos de un publisher. La definición de clics inválidos de Google incluye los clics de bots y los clics manuales destinados a aumentar los costes de un anunciante, como un competidor que hace clic en tus anuncios de búsqueda.
Una granja de clics usa trabajadores pagados en lugar de scripts para tocar, instalar y registrarse en masa, así que nada parece automatizado. El MRC clasifica la actividad organizada y dirigida de las granjas de clics como SIVT. La pista aparece más adelante en el embudo: registros que nunca vuelven ni pagan.
Anuncios ocultos y apilados
Los esquemas de anuncios ocultos facturan impresiones que nadie pudo haber visto. Se apilan varios anuncios en un mismo espacio para que solo el de arriba sea visible, se comprimen las creatividades en un píxel de 1x1, o un malware o una página manipulada lanza llamadas de anuncios en segundo plano.
El rastro: una ubicación con muchas impresiones, viewability casi nula y casi ningún clic.
Suplantación de dominio e inventario falso
En la suplantación de dominio (domain spoofing), un vendedor etiqueta inventario barato o falso como si fuera un sitio o una app conocidos para venderlo a precio premium. La bid request dice «gran sitio de noticias»; el anuncio se publica en otro lugar, o en ninguno. También se suplantan los IDs de apps y las apps de CTV.
El Departamento de Justicia de EE. UU. afirmó que el esquema Methbot suplantó los dominios de miles de publishers, incluidos grandes periódicos estadounidenses. ads.txt se creó precisamente contra esto. La señal es un dominio premium a un precio sospechosamente bajo o con volúmenes que ese sitio no puede tener.
Fraude de instalaciones y de atribución
En móvil, el evento que se paga suele ser una instalación, así que el fraude se traslada allí. El click flooding (click spam) envía masas de clics falsos para que uno se lleve el crédito cuando un usuario real instala por su cuenta. La click injection, un truco de Android, consiste en que una app maliciosa lanza un clic justo antes de que otra app termine de instalarse. La Install Referrer API de Google Play informa de cuándo comenzó una instalación, así que las herramientas de atribución pueden rechazar los clics que llegan después. El SDK spoofing envía datos fabricados de instalaciones y eventos a la plataforma de atribución sin ningún dispositivo.
Rastros: tiempos extraños entre clic e instalación e instalaciones sin actividad dentro de la app; consulta nuestra guía de publicidad in-app. El pariente web es el cookie stuffing, en el que un frame oculto planta una cookie de afiliado para reclamar una venta que nadie refirió.
Tráfico incentivado y de baja intención
Parte del tráfico procede de personas recompensadas por instalar, registrarse o rellenar un formulario. La recompensa es lo que buscan, así que las segundas visitas y los depósitos suelen ser escasos. El MRC considera inválida la actividad humana incentivada cuando es organizada y dirigida, pero excluye los programas de recompensas declarados cuyos usuarios actúan por su cuenta, y pide que esa actividad se informe por separado. Las instalaciones pagadas que un anunciante no aceptó quedan del lado equivocado de esa línea, por eso deciden las reglas de la oferta. El abuso en el lado del operador, como el bonus hunting, se trata en fraude de afiliados en iGaming.
Cuánto cuesta el fraude publicitario y qué cifras creer
Las cifras de pérdidas de los titulares son modelos. La más citada procede de un estudio de Juniper Research publicado en otoño de 2023, elaborado en colaboración con Fraud Blocker, un proveedor de protección contra el fraude publicitario. Estimaba que los anunciantes perderían unos $84 mil millones por fraude publicitario en 2023, aproximadamente el 22% del gasto en publicidad online, y que la cifra subiría a unos $172 mil millones en 2028. Es una estimación basada en un modelo, no un recuento auditado, y el vínculo con el proveedor es motivo de cautela.
Plantéate lo mismo ante cualquier estadística de fraude de clics: quién la publicó, cuándo y cómo se definió el fraude.
Cómo combaten el fraude publicitario las redes y los exchanges
La prevención del fraude publicitario en una red o un exchange funciona en dos capas: comprobaciones rápidas antes de la puja y un análisis más lento después de la entrega. Consulta nuestra explicación de DSP vs SSP para ver el recorrido de la puja.
Antes de la puja
El filtrado pre-bid decide en milisegundos si responder a una solicitud; los archivos de la cadena de suministro hacen buena parte del trabajo contra el fraude en adtech:
ads.txt permite a un publisher enumerar las empresas autorizadas a vender su inventario.
app-ads.txt hace lo mismo para las apps, incluidas las apps de CTV.
sellers.json identifica a las empresas que hay detrás de los seller IDs.
El objeto SupplyChain enumera a todas las partes que gestionaron una bid request concreta.
Las redes también filtran los rangos de IP de centros de datos y de bots conocidos, rechazan los user agents que contradicen el resto de la solicitud y bloquean las ubicaciones con mal historial. Estas comprobaciones encajan en la capa GIVT del MRC: baratas y rápidas, pero un bot en una IP residencial con un user agent limpio las supera.
Después de la puja
El análisis post-bid examina qué hizo el tráfico una vez que llegó: visitas repetidas, patrones temporales y si el mismo dispositivo aparece en sesiones no relacionadas. Las huellas digitales del navegador y del dispositivo se comparan con lo que declara el user agent. Algunas redes también usan los resultados como señal: una fuente que convierte mal con muchos anunciantes puede ser revisada o bloqueada. Los anunciantes hacen comprobaciones de retención por cohortes semanas después, uno de los motivos por los que muchas ofertas CPA retienen los pagos; los términos de cada red fijan la duración de esa retención.
Bloquear cada pequeña anomalía también eliminaría a usuarios reales, así que las redes ajustan los umbrales.
Qué ocurre tras la detección
Las fuentes detectadas se bloquean y la red puede ajustar la factura del anunciante. Las reglas de reembolso y crédito varían según la red, así que consigue la política por escrito antes de lanzar. Quién responde de la calidad del tráfico también depende de si compras a una red CPA o a una red publicitaria.
Señales de fraude publicitario en tus propios datos
El fraude publicitario aparece primero en un registro de clics desglosado por subID; la cuestión es dónde mirar, no en qué métrica aislada confiar.
En el registro de clics. Decenas de clics que comparten IP, ID de dispositivo o cadena de user agent; clics que llegan con ritmo de metrónomo; tráfico de rangos de hosting o de países que no compraste.
En el informe de ubicaciones. Un subID o una ubicación cuyo CTR, coste por acción y comportamiento post-clic se alejan mucho del resto de la misma oferta. Compara primero las fuentes con la misma ventana de atribución, o la diferencia puede ser un artefacto de la configuración.
En la calidad de los leads. Registros que nunca confirman el email, nunca vuelven y nunca pagan.
Señales débiles por sí solas. Un rebote alto, o un CTR alto con pocas conversiones, puede significar simplemente una landing page o una creatividad flojas. Importan cuando llegan junto con señales a nivel de registro, como versiones antiguas de navegador, un único tamaño de pantalla o un único rango de hosting.
Cómo se lee un clúster (cifras ilustrativas, no de una cuenta real):
| subID | Clics | Proporción desde un mismo rango de IP /24 | Leads | Segundas sesiones |
|---|---|---|---|---|
| 1041 | 3.200 | 2% | 38 | 21 |
| 1077 | 2.900 | 40% | 61 | 0 |
La ubicación 1077 gana en leads, pero el 40% de sus clics comparte un pequeño bloque de red y ningún lead volvió. Cualquiera de los dos hechos por separado podría ser ruido; juntos justifican una pausa y un ticket.
Cómo prevenir el fraude de clics y proteger una campaña
No puedes eliminar el fraude, pero sí limitar lo que pagas por él.
Haz tracking a nivel de ubicación: un subID por ubicación, registros de clics en bruto, tracking por postback y parámetros UTM coherentes.
Empieza las fuentes nuevas con un presupuesto diario pequeño y escala solo cuando las conversiones se mantengan más allá de la primera semana.
Bloquea pronto. Excluye las ubicaciones que activan varias señales a nivel de registro a la vez.
Prueba el recorrido tú mismo en un teléfono real, del anuncio al formulario, para que una redirección rota no se confunda con bots.
Pide a tu red su informe de tráfico inválido, su proceso de créditos y si su filtrado de IVT está auditado de forma independiente.
Presenta las reclamaciones con datos: fechas, subIDs, una exportación de IPs y user agents, y las conversiones de tu tracker.
Las herramientas de terceros para detectar el fraude publicitario y el software de protección contra el fraude de clics van desde filtros pre-bid hasta verificación post-clic. Trátalos como una fuente de datos más, no como una garantía.
Fraude publicitario en Google y en apps móviles
Google filtra automáticamente los clics inválidos de los informes y la facturación de Google Ads. A octubre de 2026, su página de ayuda indica que a los anunciantes no se les cobran esos clics y que los clics que se detectan como inválidos después de la facturación reciben un crédito en una factura posterior «cuando sea apropiado y posible».
Facebook y otras plataformas sociales fijan sus propias reglas; revisa sus condiciones de facturación antes de contar con un crédito. El móvil añade el fraude de instalaciones y de atribución al fraude de clics.
Preguntas frecuentes
¿Qué es el fraude publicitario?
El fraude publicitario consiste en engañar a un anunciante para que pague por actividad publicitaria que no generó ningún cliente potencial genuino. Una granja de bots que hace clic en banners de un sitio falso, una red que hace pasar inventario basura por un publisher premium o una app que se apropia del crédito de instalaciones: todo cuenta. El término general del sector es tráfico inválido.
¿Cuáles son los distintos tipos de fraude publicitario?
Los principales tipos de fraude publicitario son el tráfico de bots, el fraude de clics y las granjas de clics, los anuncios ocultos o apilados, la suplantación de dominio, el fraude de instalaciones y de atribución (click flooding, click injection, SDK spoofing) y, según las reglas de la oferta, el tráfico incentivado. Cada uno deja rastros distintos en tus informes.
¿Es ilegal el fraude publicitario?
El fraude publicitario suele ser ilegal, aunque el «fraude publicitario» no es en sí un delito tipificado en las leyes; los cargos dependen del esquema. En 2018, los fiscales federales de Brooklyn acusaron a ocho personas por los esquemas Methbot y 3ve de fraude electrónico, intrusión informática y blanqueo de capitales, y el operador de Methbot fue condenado después a 10 años de prisión. Incumplir los términos de una plataforma es un asunto aparte. Esto no es asesoramiento legal.
¿Qué son los bots publicitarios?
Los bots publicitarios son programas que cargan páginas, ven anuncios, hacen clic o instalan apps como si fueran personas. Los simples se ejecutan en servidores de centros de datos y se detectan con listas. Los sofisticados se ejecutan en dispositivos infectados o emuladores e imitan a las personas, así que detectarlos requiere análisis de comportamiento, no solo listas de IP.
¿Se puede contraer malware a través de un anuncio?
El malware puede llegarte a través de un anuncio, aunque normalmente al hacer clic y no al verlo. En una alerta de diciembre de 2022, el FBI advirtió de que los delincuentes compran anuncios de búsqueda que llevan a sitios clonados que ofrecen malware disfrazado de software legítimo. Eso es malvertising, un daño distinto del fraude publicitario: la víctima es el usuario, no el presupuesto del anunciante.
¿Cómo se detecta el fraude de clics?
El fraude de clics se detecta por un conjunto de señales en un registro de clics desglosado por subID: IPs o dispositivos repetidos, tráfico de centros de datos o de proxy, países que no coinciden, tiempos de clic extraños y leads que nunca vuelven. Una sola métrica débil no basta. Compara las fuentes con la misma ventana de atribución y envía las pruebas a tu red.
Fuentes
Media Rating Council, Invalid Traffic Detection and Filtration Standards Addendum, June 2020 update
IAB Tech Lab, ads.txt and app-ads.txt
IAB Tech Lab, sellers.json and the SupplyChain object
Google Ads Help, Invalid clicks
Android Developers Blog, Google Play Referrer API: Track and measure your app installs easily
Adjust, glossary entries on click injection, click spam and SDK spoofing
U.S. Attorney's Office, Eastern District of New York, Two international cybercriminal rings dismantled and eight defendants indicted
U.S. Attorney's Office, Eastern District of New York, Russian cybercriminal sentenced to 10 years in prison for digital advertising fraud scheme
FBI Internet Crime Complaint Center, Cyber Criminals Impersonating Brands Using Search Engine Advertisement Services to Defraud Users
Juniper Research, ad fraud study (2023), as reported by Search Engine Land and MediaPost
