海外广告投放如何识别虚假流量

声明：本文为 AdTech 领域技术实践总结，文中提到的数据源、服务商均是行业常见技术选项，仅作调研参考，不构成采购推荐。

虚假流量（Fraud Traffic）是出海投放、程序化广告、联盟 CPA、短剧投放里持续存在的痛点。虚假流量的形态很多：机房脚本刷量、VPN/DC 代理、旋转住宅代理、SIM 农场、模拟器群控、点击农场、埋点作弊、归因劫持等。很多投放团队一开始只依靠 IP 黑名单或者单一 IP 库过滤，很容易被高级作弊方式绕过。

行业主流方案是多层信号融合、分级打分、区分 Pre-bid 竞价链路和 Post-bid 归因链路，同时兼顾可审计性，避免和媒体、联盟对账时出现争议。

一、先分清海外虚假流量的常见类型

1. 机房 / 云服务器流量：云主机、IDC 机房上运行脚本批量产生曝光、点击，识别成本最低；
2. 普通 VPN 与 DC 代理：利用 VPN、机房代理修改地域，用来跨区刷量、篡改投放地区；
3. 旋转住宅代理（Residential Proxy）、SDK 代理：IP 归属正规 ISP，IP 库容易标记为正常住宅 IP，是当前最难识别的一类；
4. SIM 卡农场：大量实体 SIM 卡 + 4G/5G 网关，模拟移动端真实用户，IP 属于运营商移动网段；
5. 模拟器、云手机群控：批量创建虚拟设备，批量点击、激活、注册；
6. 归因劫持、点击注入：不产生真实点击，直接篡改归因链路抢转化；
7. 人工点击农场：真人批量点击，行为特征接近真实用户，识别难度最高。

很多新手容易混淆：机房流量属于虚假流量高发区，但机房流量≠全部是假流量；VPN 也包含企业员工合规远程办公场景，不能一刀切拦截。

二、第一层：IP 情报信号（前置粗过滤，Pre-bid 首选）

IP 情报是第一道防线，延迟低、接入简单，适合竞价阶段快速筛掉明显风险流量。前面文章提到的 MaxMind、IPinfo、IP2Proxy、Spur、Digital Element 都属于这类数据源。

• 识别机房 / 托管 IP、Tor 节点、DC 代理、VPN 标记；
• 区分网络类型：Datacenter / Residential / Mobile / Business；
• ASN 辅助校验：公有云、托管服务商 ASN，作为高风险特征；
• 专项代理情报：针对旋转住宅代理、SIM 农场的独立标签。

工程上一个很重要的规范：归因报表、地域定向的基准数据源保持统一（如 MaxMind、Digital Element），代理欺诈标签作为独立风控字段，不要直接改写归因地理信息，防止对账审计口径不一致。

局限：IP 情报天然存在滞后，新上线代理池、SIM 农场 IP 入库慢；高级住宅代理从 IP 层面看和正常家庭 IP 几乎没有区别，必须叠加其他信号。

三、第二层：网络与指纹信号（识别脚本、隧道、模拟器）

IP 无法区分的作弊流量，很多会在连接特征、TLS、设备指纹上暴露痕迹，适合落地页、SDK、点击回调环节采集。

1. JA3/JA4 TLS 指纹 UA 声明是 iOS、安卓原生浏览器，但 TLS 指纹是 curl、无头浏览器、自动化框架，属于强冲突信号。机房脚本、爬虫、模拟器非常容易出现这类特征。
2. TCP/IP 栈特征 TTL、MSS、MTU 异常；VPN 隧道封装后报文参数和原生终端存在差异；同一集群 IP 报文特征高度同质化。
3. 请求头异常 缺少标准 Accept、Accept-Language、Referer；XFF 伪造、多层转发头混乱；Cookie 固定或者每次请求不带 Cookie。
4. WebRTC、DNS 一致性校验 WebRTC 探测出来的真实出口 IP 和服务器拿到的 IP 不一致；DNS 解析地域和 IP 归属国家冲突，多见于 VPN 隧道。
5. 设备指纹 Canvas、WebGL、音频、字体、屏幕分辨率组合指纹。典型异常：同一个 IP 短时间出现上百套不同指纹；大量不同 IP 复用同一套设备指纹。 模拟器、云手机还存在固定的底层特征，风控系统会维护模拟器指纹特征库。

四、第三层：行为时序信号（区分脚本和真人，核心判断依据）

行为信号是判断 “IP 看着正常，但是不是脚本刷量” 的关键，也是 MRC IVT 标准中复杂无效流量（SIVT）识别的重点。 典型异常行为：

• 曝光到点击、点击到落地的间隔极短，只有几十毫秒；
• 点击到转化的间隔高度固定，形成规律峰值；
• 落地页无滚动、鼠标无移动、无页面交互，短时间直接退出；
• 流量脉冲式爆发：短时间大量曝光，之后流量迅速归零；
• 高频遍历广告：同一设备短时间访问大量广告计划、不同广告主；
• 只产生点击，几乎没有后续深度行为（停留、注册、付费），转化率严重偏离渠道基线。

人工农场的行为会更贴近真人，单纯靠点击时序很难识别，需要依赖大盘统计、跨渠道指纹关联做长期审计。

五、第四层：地理、轨迹与大盘统计信号（离线风控、集群作弊识别）

这类信号适合离线任务，按 IP、指纹、渠道、计划做聚合，抓集群式作弊：

1. IP Velocity（IP 流速） 同一个设备指纹短时间跨大洲切换 IP；单个 IP 短时间产出海量广告请求；
2. 地理一致性校验 APP 上报 GPS 经纬度和 IP 解析位置距离严重冲突；IP 归属国家、设备时区、系统语言、货币设置互相矛盾；
3. 渠道基线对比 监控渠道、子渠道、媒体源的点击率、激活率、留存率、付费率、机房 IP 占比，指标显著偏离历史基线时触发告警；
4. 跨渠道指纹复用 同一套设备指纹，持续在多个广告主、联盟渠道产出转化，是 CPA 刷量非常典型的特征。

六、第五层：归因链路专项作弊识别（劫持、点击注入）

这类作弊不一定有异常点击行为，直接在归因链路抢转化，是出海 APP 投放重灾区：

1. 点击时间晚于激活时间（后点击劫持）；
2. 同一激活同时回传多个渠道的点击数据；
3. 点击 ID、设备 ID 和渠道上报数据不匹配；
4. 短时间大量激活来自长尾、不知名子渠道。

这类作弊更多依赖归因平台自带的校验，同时自己在回传侧增加时间窗口、去重、点击优先级规则。

七、两条风控链路：Pre-bid 和 Post-bid

海外程序化链路延迟约束很强，两套链路分工不同：

1. Pre-bid（竞价前 OpenRTB） 延迟几十毫秒，只能使用轻量信号：IP 标签、ASN 黑名单、历史风险 IP 黑名单。高风险流量直接不参与竞价，节约预算。 品牌广告对接 TTD、Xandr 等 DSP 时，很多平台会对齐 Digital Element 这类行业认可度高的数据源，减少审计分歧。
2. Post-bid（点击、落地、归因回传、离线日志） 延迟宽松，是复杂虚假流量识别主战场：前端采集指纹、交互行为；后端关联 IP 情报、时序、地理数据；离线模型打分、样本回流、黑名单迭代，风险标签写入日志，用于对账、扣量、渠道评级。

八、落地策略：风险打分，而不是简单黑白名单

成熟投放风控一般采用 0~100 分的风险评分模型，分级处置，减少误杀：

• 0~30 分：低风险，正常统计、放行；
• 30~70 分：可疑流量，标记审计、降权，不直接扣转化，持续观察指标；
• 70 分以上：高风险虚假流量，不计转化，标记渠道风险，纳入黑名单。

重要：所有判定需要留存完整审计证据（IP 标签、指纹、行为日志、时间戳），当和联盟、媒体产生结算纠纷时可以举证。

九、常见误区

1. 把机房 IP、VPN 全部判定为假流量，直接一刀切，容易误伤 B 端企业用户、远程办公的真实用户；
2. 只依赖 IP 库，认为只要 IP 标记住宅就是真人，低估 SDK 住宅代理、SIM 农场的伪装能力；
3. 竞价、归因使用两套不同基准 IP 库，报表和风控判定冲突，对账无法自证；
4. 静态黑名单长期不更新，黑灰产更换网段后快速绕过；
5. 忽略归因劫持这类无明显点击异常的作弊，只关注点击层面的流量过滤。

十、自研不足的替代方案

如果团队没有完整自研风控能力，可以接入第三方广告验证服务商。这类服务商整合了 IP 情报、指纹、行为模型，直接输出 IVT 判定结果。接入前务必确认：判定口径合作媒体、联盟是否认可，结算争议时是否支持审计取证。

结语

海外虚假流量是分层防御体系：IP 情报做前置过滤，网络和指纹识别脚本与模拟器，行为信号区分真人自动化脚本，大盘轨迹抓集群作弊，归因校验拦截劫持类作弊。不存在可以识别所有作弊的单一工具或者 IP 库。

对出海投放团队来说，更稳妥的思路不是追求 100% 识别所有假量，而是搭建一套可审计、可对账、可迭代的评分体系，在控制预算浪费和降低误杀之间找到平衡。