Fraude publicitária: bots, fraude de cliques e como evitar
O que é fraude publicitária, os principais tipos (bots, fazendas de cliques, fraude de instalação), como as redes a filtram antes e depois do lance e o que checar nos seus dados.
Fraude publicitária é qualquer esquema deliberado que falsifica impressões, cliques, instalações ou conversões para que alguém receba por um tráfego que nenhuma pessoa real e interessada gerou. Bots, fazendas de cliques, anúncios ocultos e sites falsificados são as ferramentas de sempre. A fraude de cliques, a versão voltada aos orçamentos de pagamento por clique, é o tipo mais conhecido.
O que é fraude publicitária e como ela funciona
A fraude em publicidade digital funciona porque todo acordo de mídia paga alguém por um evento contável: uma impressão, um clique, uma instalação ou um cadastro. Uma parte paga por esse evento, como um publisher, o dono de um app, um revendedor ou um afiliado, infla a contagem com atividade que não tem nenhum comprador por trás.
O anunciante paga duas vezes: pelos eventos falsos e, de novo, quando as regras de lance leem os posicionamentos inflados como vencedores e mandam mais orçamento para eles. Os publishers honestos também perdem, porque competem em preço com vendedores cujos números são inventados.
O termo do setor é tráfego inválido (IVT). Ele também abrange ruído inofensivo, como os rastreadores dos buscadores, então nem todo clique inválido é crime, mas todo clique fraudulento é inválido.
Tipos de fraude publicitária
A fraude publicitária aparece em seis formas principais, e cada uma deixa sua própria marca nos seus dados.
Tráfego de bots: GIVT vs SIVT
O Media Rating Council (MRC), entidade do setor nos EUA que credencia a mensuração publicitária, divide o tráfego inválido em duas classes. O tráfego inválido geral (GIVT) é o que os filtros de rotina pegam com listas e verificações de parâmetros: tráfego conhecido de data centers, rastreadores declarados, user agents que não são navegadores, tamanhos de anúncio 0x0 e 1x1. O tráfego inválido sofisticado (SIVT) exige análise avançada ou revisão humana para ser encontrado: emuladores, dispositivos sequestrados, bots se passando por usuários, tráfego de proxy inválido e tráfego de data centers que só uma análise mais profunda revela.
Bots baratos rodam a partir de provedores de hospedagem e repetem uma única ação simples. Em um relatório, parecem clones: um só perfil de dispositivo, sessões quase instantâneas, nenhuma rolagem. Scripts simples costumam pular o JavaScript, então o tracker registra um clique que o pixel da landing page nunca vê.
Fraude de cliques e fazendas de cliques
Fraude de cliques é qualquer clique feito para esgotar um orçamento de pagamento por clique ou inflar os ganhos de um publisher. A definição de cliques inválidos do Google inclui cliques de bots e cliques manuais feitos para aumentar os custos de um anunciante, como um concorrente clicando nos seus anúncios de pesquisa.
Uma fazenda de cliques usa trabalhadores pagos em vez de scripts para tocar, instalar e se cadastrar em massa, de modo que nada parece automatizado. O MRC enquadra a atividade organizada e direcionada de fazendas de cliques como SIVT. O sinal aparece mais adiante no funil: cadastros que nunca voltam nem pagam.
Anúncios ocultos e empilhados
Esquemas de anúncios ocultos cobram por impressões que ninguém poderia ter visto. Vários anúncios são empilhados em um mesmo espaço para que só o de cima fique visível, criativos são espremidos em um pixel 1x1, ou um malware ou uma página adulterada dispara chamadas de anúncio em segundo plano.
O rastro: um posicionamento com muitas impressões, viewability quase zero e quase nenhum clique.
Falsificação de domínio e inventário falso
Na falsificação de domínio (domain spoofing), um vendedor rotula um inventário barato ou falso como se fosse um site ou app conhecido, para vendê-lo a preço premium. A bid request diz “grande site de notícias”; o anúncio roda em outro lugar, ou em lugar nenhum. IDs de apps e apps de CTV também são falsificados.
O Departamento de Justiça dos EUA afirmou que o esquema Methbot falsificou os domínios de milhares de publishers, incluindo grandes jornais americanos. O ads.txt foi criado justamente contra isso. O sinal é um domínio premium a um preço suspeitamente baixo ou com volumes que aquele site não tem como ter.
Fraude de instalação e de atribuição
No mobile, o evento pago costuma ser uma instalação, então a fraude migra para lá. O click flooding (click spam) envia massas de cliques falsos para que um deles leve o crédito quando um usuário real instala por conta própria. A click injection, um truque do Android, faz um app malicioso disparar um clique logo antes de outro app terminar de ser instalado. A Install Referrer API do Google Play informa quando uma instalação começou, então as ferramentas de atribuição podem rejeitar cliques que chegam depois. O SDK spoofing envia dados fabricados de instalações e eventos para a plataforma de atribuição sem nenhum dispositivo.
Rastros: tempos estranhos entre clique e instalação e instalações sem atividade dentro do app; veja nosso guia de publicidade in-app. O parente na web é o cookie stuffing, em que um frame oculto planta um cookie de afiliado para reivindicar uma venda que ninguém indicou.
Tráfego incentivado e de baixa intenção
Parte do tráfego vem de pessoas recompensadas por instalar, se cadastrar ou preencher um formulário. A recompensa é o objetivo, então segundas visitas e depósitos tendem a ser escassos. O MRC trata como inválida a atividade humana incentivada quando é organizada e direcionada, mas exclui programas de recompensa declarados cujos usuários agem por conta própria, e pede que essa atividade seja reportada separadamente. Instalações pagas com as quais o anunciante não concordou ficam do lado errado dessa linha, e é por isso que as regras da oferta decidem. Abusos do lado do operador, como o bonus hunting, são abordados em fraude de afiliados no iGaming.
Quanto custa a fraude publicitária e em quais números confiar
Os números de perdas das manchetes são modelos. O mais citado vem de um estudo da Juniper Research publicado no outono de 2023, produzido em colaboração com a Fraud Blocker, fornecedora de proteção contra fraude publicitária. O estudo estimou que os anunciantes perderiam cerca de US$ 84 bilhões com fraude publicitária em 2023, aproximadamente 22% do investimento em anúncios online, chegando a cerca de US$ 172 bilhões até 2028. É uma estimativa modelada, não uma contagem auditada, e o vínculo com o fornecedor é motivo para cautela.
Faça as mesmas perguntas a qualquer estatística de fraude de cliques: quem publicou, quando e como a fraude foi definida.
Como redes de anúncios e exchanges combatem a fraude publicitária
A prevenção de fraude publicitária em uma rede ou exchange funciona em duas camadas: verificações rápidas antes do lance e uma análise mais lenta depois da entrega. Veja nosso explicativo DSP vs SSP para entender o caminho do lance.
Antes do lance
A filtragem pre-bid decide em milissegundos se vai responder a uma requisição; os arquivos da cadeia de suprimentos fazem boa parte do trabalho contra a fraude em adtech:
O ads.txt permite que um publisher liste as empresas autorizadas a vender seu inventário.
O app-ads.txt faz o mesmo para apps, incluindo apps de CTV.
O sellers.json identifica as empresas por trás dos seller IDs.
O objeto SupplyChain lista todas as partes que lidaram com uma determinada bid request.
As redes também filtram faixas de IP de data centers e de bots conhecidos, rejeitam user agents que contradizem o resto da requisição e bloqueiam posicionamentos com histórico ruim. Essas verificações se encaixam na camada GIVT do MRC: baratas e rápidas, mas um bot em um IP residencial com um user agent limpo passa por elas.
Depois do lance
A análise post-bid observa o que o tráfego fez depois de chegar: visitas repetidas, padrões de tempo e se o mesmo dispositivo aparece em sessões sem relação entre si. As impressões digitais do navegador e do dispositivo são comparadas com o que o user agent declara. Algumas redes também usam resultados como sinal: uma fonte que converte mal com muitos anunciantes pode ser revisada ou bloqueada. Os anunciantes fazem verificações de retenção por coorte semanas depois, um dos motivos pelos quais muitas ofertas CPA retêm os pagamentos; os termos de cada rede definem a duração dessa retenção.
Bloquear cada pequena anomalia também cortaria usuários reais, então as redes ajustam os limites.
O que acontece após a detecção
As fontes detectadas são bloqueadas, e a rede pode ajustar a fatura do anunciante. As regras de reembolso e crédito variam de rede para rede, então obtenha a política por escrito antes de lançar. Quem responde pela qualidade do tráfego também depende de você comprar de uma rede CPA ou de uma rede de anúncios.
Sinais de fraude publicitária nos seus próprios dados
A fraude publicitária aparece primeiro em um log de cliques segmentado por subID; a questão é onde olhar, não em qual métrica isolada confiar.
No log de cliques. Dezenas de cliques compartilhando um IP, ID de dispositivo ou string de user agent; cliques que chegam no ritmo de um metrônomo; tráfego de faixas de hospedagem ou de países que você não comprou.
No relatório de posicionamentos. Um subID ou posicionamento cujo CTR, custo por ação e comportamento pós-clique ficam muito longe do resto da mesma oferta. Compare primeiro as fontes na mesma janela de atribuição, senão a diferença pode ser um artefato da configuração.
Na qualidade dos leads. Cadastros que nunca confirmam o e-mail, nunca voltam e nunca pagam.
Sinais fracos isoladamente. Rejeição alta, ou CTR alto com poucas conversões, pode significar apenas uma landing page ou um criativo fracos. Eles importam quando chegam junto com sinais no nível do log, como versões antigas de navegador, um único tamanho de tela ou uma única faixa de hospedagem.
Como ler um cluster (números ilustrativos, não de uma conta real):
| subID | Cliques | Parcela vinda de uma mesma faixa de IP /24 | Leads | Segundas sessões |
|---|---|---|---|---|
| 1041 | 3.200 | 2% | 38 | 21 |
| 1077 | 2.900 | 40% | 61 | 0 |
O posicionamento 1077 vence em leads, mas 40% dos seus cliques compartilham um pequeno bloco de rede e nenhum lead voltou. Cada fato sozinho poderia ser ruído; juntos, justificam uma pausa e um ticket.
Como prevenir a fraude de cliques e proteger uma campanha
Você não consegue eliminar a fraude, mas pode limitar o quanto paga por ela.
Faça o tracking por posicionamento: um subID por posicionamento, logs de cliques brutos, tracking por postback e parâmetros UTM consistentes.
Comece fontes novas com um orçamento diário pequeno e escale só depois que as conversões se sustentarem além da primeira semana.
Bloqueie cedo. Exclua os posicionamentos que acionam vários sinais no nível do log ao mesmo tempo.
Teste o caminho você mesmo em um celular de verdade, do anúncio ao formulário, para que um redirecionamento quebrado não seja confundido com bots.
Peça à sua rede o relatório de tráfego inválido, o processo de créditos e se a filtragem de IVT é auditada de forma independente.
Abra contestações com dados: datas, subIDs, uma exportação de IPs e user agents e as conversões do seu tracker.
Ferramentas de terceiros para detecção de fraude publicitária e softwares de proteção contra fraude de cliques vão de filtros pre-bid a verificação pós-clique. Trate-os como mais uma fonte de dados, não como garantia.
Fraude publicitária no Google e em apps mobile
O Google filtra automaticamente os cliques inválidos dos relatórios e do faturamento do Google Ads. Em outubro de 2026, a página de ajuda dele diz que os anunciantes não são cobrados por esses cliques e que os cliques identificados como inválidos depois do faturamento geram um crédito em uma fatura posterior “quando apropriado e possível”.
O Facebook e outras plataformas sociais definem suas próprias regras; confira os termos de faturamento delas antes de contar com um crédito. O mobile soma a fraude de instalação e de atribuição à fraude de cliques.
Perguntas frequentes
O que é fraude publicitária?
Fraude publicitária é enganar um anunciante para que ele pague por atividade de anúncios que nenhum potencial cliente genuíno gerou. Uma fazenda de bots clicando em banners de um site falso, uma rede fazendo inventário lixo passar por um publisher premium ou um app roubando o crédito de instalações: tudo isso conta. O termo guarda-chuva do setor é tráfego inválido.
Quais são os tipos de fraude publicitária?
Os principais tipos de fraude publicitária são tráfego de bots, fraude de cliques e fazendas de cliques, anúncios ocultos ou empilhados, falsificação de domínio, fraude de instalação e de atribuição (click flooding, click injection, SDK spoofing) e, dependendo das regras da oferta, tráfego incentivado. Cada um deixa rastros diferentes nos seus relatórios.
Fraude publicitária é ilegal?
A fraude publicitária muitas vezes é ilegal, embora “fraude publicitária” não seja, em si, um crime tipificado em lei; as acusações dependem do esquema. Em 2018, promotores federais do Brooklyn acusaram oito pessoas pelos esquemas Methbot e 3ve, com acusações de fraude eletrônica, invasão de computadores e lavagem de dinheiro, e o operador do Methbot foi depois condenado a 10 anos de prisão. Violar os termos de uma plataforma é outra questão. Isto não é aconselhamento jurídico.
O que são bots de anúncios?
Bots de anúncios são programas que carregam páginas, visualizam anúncios, clicam ou instalam apps como se fossem pessoas. Os simples rodam em servidores de data centers e são pegos por listas. Os sofisticados rodam em dispositivos infectados ou emuladores e imitam pessoas, então a detecção exige análise comportamental, não apenas listas de IP.
Dá para pegar malware por um anúncio?
O malware pode chegar até você por um anúncio, embora normalmente ao clicar, e não ao visualizar. Em um alerta de dezembro de 2022, o FBI avisou que criminosos compram anúncios de pesquisa que levam a sites imitando sites legítimos e oferecendo malware disfarçado de software real. Isso é malvertising, um dano diferente da fraude publicitária: a vítima é o usuário, não o orçamento do anunciante.
Como detectar fraude de cliques?
A fraude de cliques é detectada por um conjunto de sinais em um log de cliques segmentado por subID: IPs ou dispositivos repetidos, tráfego de data center ou de proxy, países que não batem, tempo de clique estranho e leads que nunca voltam. Uma única métrica fraca não basta. Compare as fontes na mesma janela de atribuição e envie as evidências para a sua rede.
Fontes
Media Rating Council, Invalid Traffic Detection and Filtration Standards Addendum, June 2020 update
IAB Tech Lab, ads.txt and app-ads.txt
IAB Tech Lab, sellers.json and the SupplyChain object
Google Ads Help, Invalid clicks
Android Developers Blog, Google Play Referrer API: Track and measure your app installs easily
Adjust, glossary entries on click injection, click spam and SDK spoofing
U.S. Attorney's Office, Eastern District of New York, Two international cybercriminal rings dismantled and eight defendants indicted
U.S. Attorney's Office, Eastern District of New York, Russian cybercriminal sentenced to 10 years in prison for digital advertising fraud scheme
FBI Internet Crime Complaint Center, Cyber Criminals Impersonating Brands Using Search Engine Advertisement Services to Defraud Users
Juniper Research, ad fraud study (2023), as reported by Search Engine Land and MediaPost
