Руководство по использованию системы защиты от мошенничества Protect360

How is the Estimated savings widget calculated?

For networks that support sharing cost data you get an accurate estimation of the savings.

Для сетей, которые это не поддерживают, AppsFlyer использует среднюю eCPI, полученную для всей группы проверенных установок из всех источников, которые предоставляют данные о затратах. Если для вашего приложения нет источника, предоставляющего данные о затратах, при входе на панель управления будет выдан запрос на ручной ввод приблизительного значения eCPI.

Медиаисточники, которым рекламодатель предоставил доступ к Protect360, не смогут увидеть данные об ожидаемой экономии.

Работает ли Protect360 против мошенничества со стороны пользовательских ссылок?

Definitely! Protect360 detects and blocks fraud coming from custom attribution links, in addition to ad networks. That means you are also protected if you have campaigns of owned media, such as with influencers, email and SMS campaigns, web site banners and landing pages, viral posts on social media, Push notifications or even QR codes.

Что нового в Protect360 V2 по сравнению с V1?

1. There are 3 main changes in the P360 V2.0:
   Post-Attribution fraud - wherever we present blocked installs, we also show Post-Attribution fraud installs. Post-Attribution is also available as a raw data report.
2. Анализ отклонений — добавлен новый раздел Anomaly Insights (Анализ отклонений), в котором рекламодатели могут анализировать отклонения с помощью средств визуализации. Он заменяет 2 таблицы на старой вкладке Advanced Detection (Расширенное выявление).
3. Централизация всех данных о мошенничестве — удалена вкладка Advanced Detection (Расширенное выявление), и теперь вся информация представлена на одной вкладке.

Why isn't the post-attribution raw data available in the Export Data page?

Post-attribution reports are on the account level per media source, In order to make the reconciliation process easier. The Export Data page is on the single app level, and still contains the Blocked fraud data on the app level, for backwards compatibility.

Обновляются ли пост-атрибуционные данные за прошлое время?

• Installs - install data on the overview page and all other reports outside Protect360 dashboard, does not update retroactively.
• In-app events - once the post-attribution protection layer identifies an install as fake, following in-app events coming from this install are being blocked. Previous in-app events do not update retroactively.

When selecting specific networks in Anomaly insights, the data looks different?

I looked at the CTIT anomalies and selected AF_Baseline as benchmark. It showed me one network's anomalies (first screenshot below). Then I selected the same network as benchmark, expecting to see no anomalies, but now there are other ones (second screenshot). Why?

This outcome is actually what you should expect. When the trusted baseline is used, the network shows abnormal rate of CTIT in the 24-39 seconds range. These installs are "subtracted" from the normal distribution, which means that regular traffic should have some "abnormal" spikes compared with the problematic traffic of the specific network.

Является ли ненормальный органический трафик на самом деле мошенническим?

Возможно, что аномальные всплески органического трафика на самом деле являются мошенническими. В общем, если вы видите органический трафик в AppsFlyer, который, как вы считаете, является мошенническим, это может быть одним из 3 следующих случаев:

• Failed attribution fraud: fraudster's clicks failed to receive attribution, e.g., click flooding with the last click taking place beyond the click lookback window.
• Non-attribution fraud: user performs fraud, that is not related to attribution, e.g. using fraud to collect items in strategy games.
• SDK integration issues: check that your in-app events are sent correctly, i.e. at the right time in the flow and with correct event parameter values.

Выявление мошенничества с использованием новых устройств

Fraudsters may mask their devices by frequently resetting the main IDs of their devices, i.e. IDFA for iOS and GAID for Android.

Fortunately, AppsFlyer identifies over 98% of mobile devices globally.

Therefore, a high percentage of unknown new devices is a strong indication of fraud by click farms, unless intentionally targeting new devices.

Выявление новых устройств:

1. In Protect360 go to the Identified fraud breakdown table.
2. Scroll right to the Device farm indicators - new devices columns.
3. Click on the Installs % column name to sort the table in descending order of new device ratio.
4. Контрольные показатели мошенничества с использованием новых устройств:

• • Suspect sources with 100+ installs, which have over 60% new devices ratio.
  • Источники с относительно большим количеством установок при низкой доле новых устройств также считаются подозрительными, например, источник, у которого 1000 установок, а доля новых устройств — 40%, считается подозрительным.
  • For borderline sources, compare the loyal users ratio with the general loyal users ratio, found in the Aggregated performance report table in the dashboard overview page. A relative low percentage is a strong indication of fraud.

Выявление мошенничества с использованием ограничений отслеживания рекламы

LAT (Limited Ad Tracking) users select to opt out of exposing their device ID, IDFA or GAID, to advertisers. Approximately 15% of iOS users and 10% of Android users take this choice.

Так же как и при анализе доли новых устройств, может оказаться, что пользователи, отключившие отслеживание рекламы, являются законопослушными. Тем не менее, высокая доля таких пользователей может указывать на мошенническую деятельность.

Выявление ограничений отслеживания рекламы:

1. In Protect360 go to the Identified fraud breakdown table.
2. Scroll right to the Device farm indicators - LAT devices columns.
3. Click on the Installs % column name to sort the table in descending order of LAT device ratio.
4. Контрольные показатели мошенничества с использованием ограничения отслеживания рекламы:

• Suspect sources with 100+ installs, which have over 60% new devices ratio.
• Источники с относительно большим количеством установок при низкой доле новых устройств также считаются подозрительными, например, источник, у которого 1000 установок, а доля новых устройств — 40%, считается подозрительным.
• For borderline sources, compare the loyal users ratio with the general loyal users ratio, found in the Aggregated performance report table in the dashboard overview page. A relative low percentage is a strong indication of fraud.

Выявление клик-флудинга

1. Using click flooding, fraudsters send millions of clicks with real device IDs, hoping to register as the last click for real users. Sources with this type of fraud have very low conversion rates, but high-quality users, since these are real users.

   Выявление клик-флудинга:

   1. In Protect360 go to the Identified fraud breakdown table.
   2. Scroll right to the Click flooding indicators columns.
   3. Click on the Conversion rate column name to sort the table in ascending order of conversion rate.
   4. Контрольные показатели мошенничества с использованием клик-флудинга:
   • Normal Conversion Rates are between 0.5% to 35%.
     Suspect sources whose conversion rate are abnormally low, or that have 25% or less of the average conversion rate of the app. You can find this KPI in the Aggregated performance report table in the dashboard overview page. 
   • For borderline sources, compare the Assists % with the average assists ratio. You can see the normal assists ratio in the assists widget, in the dashboard overview page.
     Sources whose assists ratio is 50% higher than the average assists ratio of the app are considered suspicious.
     Note that the more sources are used by an app, the higher are its Contribution rates.

Выявление клик-флудинга с помощью показателей CTIT

Another indication of click flooding, is even distribution of CTIT.
Usually, around 70% of normal installs take place within 1 hour from the ad engagement.
With click flooding, there's no connection between the fake engagement and the actual install. This leads to much more than 30% of fraud installs, which have longer than 1 hour CTIT. 

Выявление клик-флудинга с помощью показателей CTIT:

1. In Protect360 go to the Identified fraud breakdown table.
2. Scroll right to the Click flooding indicators - CTIT columns.
3. Контрольные показатели CTIT при мошенничестве с использованием клик-флудинга:

• Normally, Over 60 minutes values should be around 30%. Suspect sources who have more than 50% with this metric.
• Normally, Over 5 hours values should be around 20%. Suspect sources who have more than 40% with this metric.

Use the Anomaly insights page to investigate sources with suspicious CTIT.

Number of installs

Filtering by the number of installs per checked source is important for detecting the biggest fraud sources. Additionally, lower number of installs may not be mathematically significant. Note:

Note: Sources with less than 30 installs, or even 50, are not significant enough to draw conclusions from. Expand the date range or other search criteria to get more significant results.

Change loyal user definition

The default definition for Loyal users is 3 or more launches of the app. It is an important KPI for user engagement, but unfortunately many fraudsters know it and use it to fake high rates of loyal users, thus avoiding suspicion. Avoid being conned by creating and selecting a better, more elaborate loyal user definition.

Analyze your app user quality KPIs such as register, tutorial completion, purchase, multiple sessions. Within the app code send a new loyal user in-app event if a user performs ALL the list of KPIs.

After the first non-organic loyal user event is sent, go to App Settings and select it to indicate loyal users for your app. Expect general loyal user rates to slightly drop and then drastically drop for fraudulent sources.