Fraude publicitaire : bots, fraude au clic et parades

La fraude publicitaire désigne tout stratagème délibéré qui simule des impressions, des clics, des installations ou des conversions pour que quelqu'un soit payé pour un trafic qu'aucune personne réelle et intéressée n'a généré. Bots, fermes à clics, publicités cachées et sites web usurpés en sont les outils habituels. La fraude au clic, la variante qui vise les budgets au coût par clic, est la forme la plus connue.

Qu'est-ce que la fraude publicitaire et comment fonctionne-t-elle ?

La fraude publicitaire numérique fonctionne parce que chaque accord publicitaire rémunère quelqu'un pour un événement comptable : une impression, un clic, une installation ou une inscription. Une partie payée pour cet événement, comme un éditeur, le propriétaire d'une application, un revendeur ou un affilié, gonfle le compteur avec une activité derrière laquelle ne se trouve aucun acheteur.

L'annonceur paie deux fois : pour les faux événements, puis à nouveau lorsque les règles d'enchères lisent les emplacements gonflés comme des gagnants et leur envoient plus de budget. Les éditeurs honnêtes y perdent aussi, car ils sont en concurrence sur le prix avec des vendeurs dont les chiffres sont inventés.

Le terme du secteur est trafic invalide (IVT). Il couvre aussi du bruit inoffensif, comme les robots d'indexation des moteurs de recherche : tout clic invalide n'est donc pas un délit, mais tout clic frauduleux est invalide.

Les types de fraude publicitaire

La fraude publicitaire prend six formes principales, chacune laissant sa propre empreinte dans vos données.

Trafic de bots : GIVT vs SIVT

Le Media Rating Council (MRC), l'organisme professionnel américain qui accrédite la mesure publicitaire, divise le trafic invalide en deux catégories. Le trafic invalide général (GIVT) est ce que les filtres de routine détectent à l'aide de listes et de contrôles de paramètres : trafic connu de datacenters, robots déclarés, user agents qui ne sont pas des navigateurs, formats publicitaires 0x0 et 1x1. Le trafic invalide sophistiqué (SIVT) exige une analyse avancée ou une revue humaine pour être repéré : émulateurs, appareils détournés, bots se faisant passer pour des utilisateurs, trafic proxy invalide et trafic de datacenters que seule une analyse plus poussée met au jour.

Les bots bon marché tournent depuis des hébergeurs et répètent une seule action simple. Dans un rapport, ils ressemblent à des clones : un seul profil d'appareil, des sessions quasi instantanées, aucun défilement. Les scripts simples ignorent souvent JavaScript, si bien que le tracker enregistre un clic que le pixel de la landing page ne voit jamais.

Fraude au clic et fermes à clics

La fraude au clic désigne tout clic effectué pour épuiser un budget au coût par clic ou gonfler les revenus d'un éditeur. La définition des clics incorrects de Google inclut les clics de bots et les clics manuels destinés à augmenter les coûts d'un annonceur, comme un concurrent qui clique sur vos annonces de recherche.

Une ferme à clics emploie des travailleurs rémunérés plutôt que des scripts pour toucher, installer et s'inscrire en masse, de sorte que rien ne paraît automatisé. Le MRC classe l'activité organisée et dirigée des fermes à clics dans le SIVT. L'indice apparaît en aval : des inscrits qui ne reviennent jamais et ne paient jamais.

Publicités cachées et empilées

Les stratagèmes de publicités cachées facturent des impressions que personne n'a pu voir. Plusieurs annonces sont empilées dans un même emplacement de sorte que seule celle du dessus est visible, des créations sont comprimées dans un pixel 1x1, ou un malware ou une page truquée déclenche des appels publicitaires en arrière-plan.

La trace : un emplacement avec beaucoup d'impressions, une visibilité quasi nulle et presque aucun clic.

Usurpation de domaine et faux inventaire

Dans l'usurpation de domaine (domain spoofing), un vendeur fait passer un inventaire bon marché ou fictif pour un site ou une application connus afin de le vendre au prix premium. La bid request annonce « grand site d'information » ; l'annonce s'affiche ailleurs, ou nulle part. Les identifiants d'applications et les applications CTV sont eux aussi usurpés.

Le département de la Justice des États-Unis a déclaré que le stratagème Methbot avait usurpé les domaines de milliers d'éditeurs, dont de grands quotidiens américains. ads.txt a été conçu précisément contre cela. Le signe révélateur : un domaine premium à un prix étonnamment bas, ou avec des volumes que ce site ne peut pas avoir.

Fraude à l'installation et à l'attribution

Sur mobile, l'événement rémunéré est généralement une installation, et la fraude s'y déplace donc. Le click flooding (click spam) envoie des masses de faux clics pour que l'un d'eux obtienne le crédit lorsqu'un utilisateur réel installe l'application de lui-même. La click injection, une astuce propre à Android, consiste pour une application malveillante à déclencher un clic juste avant qu'une autre application ait fini de s'installer. L'Install Referrer API de Google Play indique quand une installation a commencé, ce qui permet aux outils d'attribution de rejeter les clics arrivés plus tard. Le SDK spoofing envoie à la plateforme d'attribution des données d'installation et d'événements fabriquées, sans aucun appareil.

Traces : des délais clic-installation anormaux et des installations sans aucune activité dans l'application ; voir notre guide de la publicité in-app. Son cousin sur le web est le cookie stuffing, où une frame cachée dépose un cookie d'affiliation pour revendiquer une vente que personne n'a apportée.

Trafic incentivé et à faible intention

Une partie du trafic provient de personnes récompensées pour installer, s'inscrire ou remplir un formulaire. La récompense est le but, si bien que les secondes visites et les dépôts sont généralement rares. Le MRC considère comme invalide l'activité humaine incentivée lorsqu'elle est organisée et dirigée, mais exclut les programmes de récompense déclarés dont les utilisateurs agissent de leur propre initiative, et demande que cette activité soit déclarée séparément. Les installations payées qu'un annonceur n'a pas acceptées se situent du mauvais côté de cette ligne, et c'est pourquoi les règles de l'offre tranchent. Les abus côté opérateur, comme le bonus hunting, sont traités dans la fraude à l'affiliation en iGaming.

Ce que coûte la fraude publicitaire, et quels chiffres croire

Les chiffres de pertes mis en avant sont des modèles. Le plus cité provient d'une étude de Juniper Research publiée à l'automne 2023, réalisée en collaboration avec Fraud Blocker, un éditeur de solutions de protection contre la fraude publicitaire. Elle estimait que les annonceurs perdraient environ 84 milliards $ à cause de la fraude publicitaire en 2023, soit à peu près 22 % des dépenses publicitaires en ligne, un montant qui passerait à environ 172 milliards $ d'ici 2028. Il s'agit d'une estimation modélisée, pas d'un décompte audité, et le lien avec l'éditeur de solutions incite à la prudence.

Posez les mêmes questions face à toute statistique sur la fraude au clic : qui l'a publiée, quand, et comment la fraude a été définie.

Comment les réseaux publicitaires et les exchanges luttent contre la fraude

La prévention de la fraude publicitaire au sein d'un réseau ou d'un exchange fonctionne en deux couches : des contrôles rapides avant l'enchère et une analyse plus lente après la diffusion. Consultez notre explication DSP vs SSP pour le parcours de l'enchère.

Avant l'enchère

Le filtrage pre-bid décide en quelques millisecondes s'il faut répondre à une requête ; les fichiers de la chaîne d'approvisionnement font une grande partie du travail contre la fraude dans l'adtech :

• ads.txt permet à un éditeur de lister les sociétés autorisées à vendre son inventaire.

• app-ads.txt fait de même pour les applications, y compris les applications CTV.

• sellers.json nomme les sociétés qui se cachent derrière les seller IDs.

• L'objet SupplyChain liste toutes les parties qui ont traité une bid request donnée.

Les réseaux filtrent aussi les plages d'IP de datacenters et de bots connus, rejettent les user agents qui contredisent le reste de la requête et bloquent les emplacements aux antécédents douteux. Ces contrôles correspondent à la couche GIVT du MRC : peu coûteux et rapides, mais un bot sur une IP résidentielle avec un user agent propre passe au travers.

Après l'enchère

L'analyse post-bid examine ce que le trafic a fait une fois arrivé : visites répétées, schémas temporels, et si le même appareil apparaît dans des sessions sans lien entre elles. Les empreintes du navigateur et de l'appareil sont comparées à ce que déclare le user agent. Certains réseaux utilisent aussi les résultats comme signal : une source qui convertit mal chez de nombreux annonceurs peut être examinée ou bloquée. Les annonceurs effectuent des contrôles de rétention par cohorte des semaines plus tard, l'une des raisons pour lesquelles de nombreuses offres CPA retiennent les paiements ; les conditions de chaque réseau fixent la durée de cette retenue.

Bloquer la moindre anomalie écarterait aussi de vrais utilisateurs : les réseaux ajustent donc leurs seuils.

Ce qui se passe après la détection

Les sources détectées sont bloquées, et le réseau peut ajuster la facture de l'annonceur. Les règles de remboursement et d'avoir varient selon les réseaux : obtenez la politique écrite avant de lancer. Savoir qui répond de la qualité du trafic dépend aussi du fait que vous achetiez auprès d'un réseau CPA ou d'un réseau publicitaire.

Les signaux de fraude publicitaire dans vos propres données

La fraude publicitaire apparaît d'abord dans un journal de clics ventilé par subID ; la question est de savoir où regarder, pas à quelle métrique isolée se fier.

Dans le journal de clics. Des dizaines de clics partageant une IP, un identifiant d'appareil ou une chaîne de user agent ; des clics qui arrivent réglés comme un métronome ; du trafic provenant de plages d'hébergement ou de pays que vous n'avez pas achetés.

Dans le rapport par emplacement. Un subID ou un emplacement dont le CTR, le coût par action et le comportement post-clic s'écartent nettement du reste de la même offre. Comparez d'abord les sources sur la même fenêtre d'attribution, sinon l'écart peut n'être qu'un artefact de configuration.

Dans la qualité des leads. Des inscriptions qui ne confirment jamais l'e-mail, ne reviennent jamais et ne paient jamais.

Des signaux faibles pris isolément. Un taux de rebond élevé, ou un CTR élevé avec peu de conversions, peut simplement révéler une landing page ou une création faible. Ils comptent lorsqu'ils s'accompagnent de signaux au niveau du journal, comme d'anciennes versions de navigateur, une seule taille d'écran ou une seule plage d'hébergement.

Comment lire un cluster (chiffres illustratifs, pas un compte réel) :

L'emplacement 1077 l'emporte en leads, mais 40 % de ses clics partagent un petit bloc réseau et aucun lead n'est revenu. Chacun de ces faits pris seul pourrait être du bruit ; ensemble, ils justifient une pause et un ticket.

Comment prévenir la fraude au clic et protéger une campagne

Vous ne pouvez pas supprimer la fraude, mais vous pouvez limiter ce qu'elle vous coûte.

1. Trackez au niveau de l'emplacement : un subID par emplacement, des journaux de clics bruts, le tracking par postback et des paramètres UTM cohérents.

2. Lancez les nouvelles sources avec un petit budget quotidien et n'augmentez qu'une fois que les conversions tiennent au-delà de la première semaine.

3. Bloquez tôt. Excluez les emplacements qui déclenchent plusieurs signaux au niveau du journal à la fois.

4. Testez le parcours vous-même sur un vrai téléphone, de l'annonce au formulaire, pour qu'une redirection cassée ne soit pas prise pour des bots.

5. Demandez à votre réseau son rapport sur le trafic invalide, sa procédure d'avoir et si son filtrage de l'IVT fait l'objet d'un audit indépendant.

6. Déposez vos réclamations avec des données : dates, subIDs, un export des IP et des user agents, et les conversions de votre tracker.

Les outils tiers de détection de la fraude publicitaire et les logiciels de protection contre la fraude au clic vont des filtres pre-bid à la vérification post-clic. Considérez-les comme une source de données de plus, pas comme une garantie.

La fraude publicitaire sur Google et dans les applications mobiles

Google filtre automatiquement les clics incorrects des rapports et de la facturation Google Ads. En octobre 2026, sa page d'aide indique que ces clics ne sont pas facturés aux annonceurs et que les clics jugés incorrects après facturation donnent lieu à un avoir sur une facture ultérieure « lorsque cela est approprié et possible ».

Facebook et les autres plateformes sociales fixent leurs propres règles ; vérifiez leurs conditions de facturation avant de compter sur un avoir. Le mobile ajoute la fraude à l'installation et à l'attribution à la fraude au clic.

Questions fréquentes

Qu'est-ce que la fraude publicitaire ?

La fraude publicitaire consiste à amener un annonceur, par la tromperie, à payer pour une activité publicitaire qu'aucun prospect réel n'a générée. Une ferme de bots qui clique sur des bannières d'un faux site, un réseau qui fait passer un inventaire de piètre qualité pour un éditeur premium ou une application qui s'attribue le crédit d'installations : tout cela en fait partie. Le terme générique du secteur est trafic invalide.

Quels sont les différents types de fraude publicitaire ?

Les principaux types de fraude publicitaire sont le trafic de bots, la fraude au clic et les fermes à clics, les publicités cachées ou empilées, l'usurpation de domaine, la fraude à l'installation et à l'attribution (click flooding, click injection, SDK spoofing) et, selon les règles de l'offre, le trafic incentivé. Chacun laisse des traces différentes dans vos rapports.

La fraude publicitaire est-elle illégale ?

La fraude publicitaire est souvent illégale, même si la « fraude publicitaire » n'est pas en soi une infraction inscrite dans les textes ; les chefs d'accusation dépendent du stratagème. En 2018, des procureurs fédéraux de Brooklyn ont inculpé huit personnes dans les affaires Methbot et 3ve pour fraude électronique, intrusion informatique et blanchiment d'argent, et l'opérateur de Methbot a ensuite été condamné à 10 ans de prison. Enfreindre les conditions d'une plateforme est une autre question. Ceci ne constitue pas un conseil juridique.

Que sont les bots publicitaires ?

Les bots publicitaires sont des programmes qui chargent des pages, affichent des annonces, cliquent ou installent des applications comme s'ils étaient des personnes. Les plus simples tournent sur des serveurs de datacenters et sont repérés grâce à des listes. Les plus sophistiqués tournent sur des appareils infectés ou des émulateurs et imitent des personnes : leur détection exige une analyse comportementale, pas seulement des listes d'IP.

Peut-on attraper un malware par une publicité ?

Un malware peut vous atteindre par une publicité, mais généralement en cliquant plutôt qu'en la regardant. Dans une alerte de décembre 2022, le FBI a averti que des criminels achètent des annonces sur les moteurs de recherche qui mènent à des sites imitant de vrais sites et proposant des malwares déguisés en logiciels authentiques. C'est du malvertising, un préjudice distinct de la fraude publicitaire : la victime est l'utilisateur, pas le budget de l'annonceur.

Comment détecter la fraude au clic ?

La fraude au clic se détecte par un faisceau de signaux dans un journal de clics ventilé par subID : IP ou appareils répétés, trafic de datacenters ou de proxys, pays incohérents, timing des clics anormal et leads qui ne reviennent jamais. Une seule métrique faible ne suffit pas. Comparez les sources sur la même fenêtre d'attribution et envoyez les preuves à votre réseau.

Sources

• Media Rating Council, Invalid Traffic Detection and Filtration Standards Addendum, June 2020 update

• IAB Tech Lab, ads.txt and app-ads.txt

• IAB Tech Lab, sellers.json and the SupplyChain object

• Google Ads Help, Invalid clicks

• Android Developers Blog, Google Play Referrer API: Track and measure your app installs easily

• Adjust, glossary entries on click injection, click spam and SDK spoofing

• U.S. Attorney's Office, Eastern District of New York, Two international cybercriminal rings dismantled and eight defendants indicted

• U.S. Attorney's Office, Eastern District of New York, Russian cybercriminal sentenced to 10 years in prison for digital advertising fraud scheme

• FBI Internet Crime Complaint Center, Cyber Criminals Impersonating Brands Using Search Engine Advertisement Services to Defraud Users

• Juniper Research, ad fraud study (2023), as reported by Search Engine Land and MediaPost