デジタル広告市場は急速に成長しており、2020年には3,780億ドルを突破、年間成長率は15%以上と予想されています。詐欺師たちがこの市場を放っておくはずがありません。
本記事では、詐欺師がアドフラウド（広告詐欺）を働くために悪用している7つのツールと手口をご紹介します。
まず最初にお伝えしておきます。ここで紹介する手法はいかなる場合も決して真似しないでください。
クリックやインプレッションを増やすボットトラフィック
詐欺師がアドフラウドで稼ぐ最も一般的かつ最初の手口は、ボットによる偽のトラフィックを購入し、広告のインプレッション数やクリック数を増やすことです。
この偽のトラフィックは、AWSやGoogle Cloudなどのクラウドサービス、詐欺師自身の物理デバイス、あるいはマルウェアに感染した世界中のデバイスなど、さまざまな送信元から発生します。これは「ボットネット」とも呼ばれ、被害者のコンピュータが本人の知らないところで制御され、バックグラウンドで密かに動作します。
ボットトラフィックを使った手口は、単にウェブサイトを訪問して広告インプレッションを増やすものから、より巧妙なクリック詐欺まで多岐にわたります。
これらは詐欺師が購入するボットトラフィックの質によって異なります。「高品質」なボットは、IPアドレスのローテーション、世界中の実在するデバイスの住宅用IPアドレスの使用、サイト滞在時間、スクロール動作、マウスの動きなどの擬装が巧みなため、不正検知システムによる検出が困難です。
Googleで「buy traffic（トラフィック購入）」と検索すると、トラフィックを販売する無数のサイトが表示されます。価格は1クリックあたり0.0002ドルから0.012ドル以上です。詐欺師は主に単純な裁定取引（サヤ取り）を行っており、購入したトラフィックを「キャッシュアウトサイト」でより高い単価で売り払い、その差額をポケットに入れています。
ネット上で購入できるボットトラフィックの量はほぼ無限です。Trustpilotで4.6の評価を得ているある業者は、1,000万ページビューをわずか840ドル未満で販売しています。
しかし、合法的なパブリッシャーであってもボットトラフィックに頼ることがあります。一部のウェブサイトは広告主に対して特定のトラフィック量（インプレッション数）を保証しています。月末にその目標数値に達していない場合、義務を果たすためにボットトラフィックに手を出してしまうのです。
これは「月末のトラフィック補填」と呼ばれ、月末の数日間にトラフィックが急増する現象として確認できます。
ボットトラフィックに代わる方法として、Hitleapのような「トラフィック交換プラットフォーム」もあります。ウェブマスターが自分のサイトを登録し、他人のサイトを閲覧することで、見返りとして自分のサイトへのトラフィックを獲得できる仕組みです。
「参加者はお互いのページを訪問し、全く同じ方法でアクセスを獲得します。簡単に行えるよう、HitLeapは目標達成のために閲覧すべきサイトを表示する便利なブラウザを提供しています。」 （Hitleap）
基本的には、他人のサイトを訪問する代わりに、自分のサイトを訪問してもらう物々交換です。しかし、誰もあなたのサイトに本当に興味を持っているわけではないため、トラフィックの質は非常に低く、単にアクセス解析の数値を水増しするためだけに利用されています。
ボットトラフィックやボットネットが広告業界に与える被害は甚大です。クリック詐欺を行う単一のボットネットだけでも、月に2,000万ドル以上の利益を上げることがあります。詳細については、過去5年間のアドフラウド巨額被害事例をまとめた記事をご覧ください。ボットネットによる天文学的な被害事例も紹介しています。
レジデンシャルプロキシ（住宅用プロキシ）トラフィック
「レジデンシャルプロキシ」の手口は、ボットネットと組み合わせてよく使われます。Bright data、Oxylabs、Smartproxyなどのプロキシサービスは、動的なレジデンシャルIPアドレスを顧客に提供しています。これにより、ボットトラフィックがAmazonやGoogleなどのデータセンターから来ているように見えなくなり、ブロックを回避しやすくなります。
「何百万もの異なる一般家庭のIPアドレスからトラフィックが来ているように見せることで、詐欺師はブロックを回避し、偽のトラフィックや広告インプレッションを販売して稼ぎ続けることができます。」
オーガスティン・フー
詐欺師は、AWSやGoogle Cloudでヘッドレスブラウザを実行し、プロキシサービスを使ってIPアドレスを偽装し、広告をクリックするための大量のボットトラフィックを送り込みます。
また、プロキシによって位置情報が隠されたり偽装されたりするため、広告主は地域や言語に基づいたキャンペーンの最適化ができなくなります。
レジデンシャルプロキシの価格はトラフィック量によって異なり、1ギガバイトあたり8ドルから15ドルの範囲です。
オートクリックソフト（自動クリックツール）
偽のトラフィックは、必ずしもデータセンターやボットネットから来るとは限りません。「Simple Traffic Bot」、「TrafficBotPro」、「Diabolic Traffic Bot」などのツールを使えば、自宅のPCから無料のボットトラフィックや偽の広告クリックを発生させることができます。
インストール後、これらのツールの多くは異なるプロキシやVPNを使用して動作し、ユーザーエージェントの変更、滞在時間の変更、ブラウザエミュレーションなどの回避技術によって、ボットトラフィックとして検出されないように設計されています。多くはリファラー（参照元）をローテーションさせることもできるため、アクセス解析レポートにダイレクトアクセスとして表示されるのを防ぎます。
その名の通り、これらのツールは主に詐欺師自身が運営するサイト上の広告をクリックするために使われます。しかし、クライアントのトラフィックを水増ししたり、第三者のウェブサイトの記事の数値を押し上げたりするためにも悪用されます。
以下の動画では、「Simple Traffic Bot」の仕組みと、偽のトラフィックがGoogleアナリティクスで本物の訪問者として表示される様子をご覧いただけます。
これらのソフトウェアを実行するデバイスのスペックにもよりますが、1秒間に数百回ものリクエストを実行することが可能です。
Googleで「autoclicker software（自動クリックソフト）」と検索すると、同様の機能を備えた何百ものツールが見つかります。ただし、こうしたツールの多くは、悪意のあるコードが含まれている可能性のある怪しいサイトで配布されているため、注意が必要です。
人に報酬を支払って広告をクリックさせる（PTCサイト）
特にコロナ禍以降、PTC（Paid-To-Click：クリック報酬型）ウェブサイトが急成長しています。これらのサイトは、世界中の何十万人もの人々に報酬を支払って広告を閲覧・クリックさせています。クリック1回あたりの報酬は0.0015ドルから0.05ドル程度で、ほとんどのプロバイダーはかなり怪しく、報酬は極めて低額です。
従来のクリックファームと差別化し、競争を促すために、多くのPTCウェブサイトには日次、週次、月次の高額獲得者リーダーボードがあります。大手サイトの主張によると、広告の閲覧やクリックに対して、これまでに数百万ドルがユーザーに支払われているとのことです。
PTCサービス | メンバーへの支払総額 |
940万ドル | |
260万ドル | |
160万ドル |
出典：PTCウェブサイト上の公式数値
重要なのは、これらの広告閲覧はターゲット顧客によるものではないため、リード（見込み顧客）の獲得には一切つながらないという点です。また、報酬が低いため、ユーザーの多くはアジアやラテンアメリカなどの地域からアクセスしており、ターゲット地域外からのアクセスを偽装するためにVPNを利用しているケースがほとんどです。
クリックファーム（クリック工場）
クリックファームは、PTCサイトの前身とも言えるさらにグレーな存在です。クリックファームとは、低賃金で雇われた大量の労働者が、広告のクリック、SNSの「いいね」、シェア、コメント、チャンネル登録、フォローなどを行う組織で、主に中国、インド、インドネシア、バングラデシュなどの発展途上国にあります。労働者は平均して1,000クリックにつき1ドル程度の報酬を受け取っています。
ボットネットとは異なり、クリックファームでは実在の人物が物理的なデバイスの前に座って広告をクリックします。対象地域外の広告にアクセスするためにVPNを使用することも一般的です。クリックファームを24時間稼働させるため、労働者の多くは過酷な労働環境のもとで3交代制で働き、一度に何百台もの機器を操作し、音楽を聴くことも禁止されています。
多くの国において、クリックファームを違法とする政府の規制はありませんが、これらは広告ネットワークやソーシャルメディアの利用規約（ToS）に明確に違反しています。場合によっては、地域の法律に抵触することもあります。例えば、2017年6月にタイで摘発されたクリックファームでは、3人の中国人男性が約500台のスマートフォンと35万枚のSIMカードを使用し、中国のメッセージアプリ「WeChat」の閲覧数や「いいね」を販売していました。WeChatアカウントには1台の電話しか接続できないルールがあるため、この詐欺は中国で処罰対象となります。
クリックファームの様子は以下の動画で確認できます。
競合他社のPPC（リスティング広告）キャンペーンを狙ったボット攻撃
これまでに紹介した方法は詐欺師が利益を得るためのものでしたが、ボットを使って競合他社を妨害する手法もあります。いくつかの闇市場では、競合他社の広告を何度もクリックして1日の予算を使い果たさせ、広告掲載を強制的に停止させるサービスが提供されています。
こうしたサービスの提供者は、ハッカーやボットネットの運営者であることが多く、暗号資産で前払いを受け取ります。費用は、24時間で10個の広告スペースをブロックする10ドルのお手軽なものから、競合他社を市場から完全に排除するための1,000ドルのプランまで様々です。
前述のオートクリックソフトも、この不正行為に悪用されることがあります。自分のサイトの広告をクリックする代わりに、競合他社のPPCキャンペーンに向けてツールを稼働させるのです。
CAPTCHA（キャプチャ）解除ツールとファーム
ボットを排除し、アクセスしているのが「人間であること」を証明するために開発されたCAPTCHA。しかし、あらゆるセキュリティ対策がそうであるように、CAPTCHAを自動的にバイパス（突破）するサービスを提供する業者も存在します。
「CAPTCHA解決ファーム」と呼ばれるサービスの一部は、実在の人物（手動）に頼っていますが、その他のサービスは光学文字認識（OCR）を使用して画像の内容を判別します。価格はCAPTCHA 1,000回の解決につき0.4ドルから7ドルで、1回あたりの解決時間は1〜10秒です。
クリックファームと同様に、CAPTCHA解決ファームで働く人々の多くは、ベネズエラ、インドネシア、ベトナム、インドなどの発展途上国に住んでいます。
これらのサービスのAPIを利用することで、様々なプラットフォームでアカウントを自動作成するボットを構築できます。以下の動画では、ヘッドレスChromeブラウザ（Puppeteer経由）と2Captchaというサービスを利用し、Redditのアカウントを完全自動で作成する様子を紹介しています。
広告詐欺においては、アクセスを不審と検知されて表示されたCAPTCHAを解除し、自動クリックソフトを動かし続けるためにこのサービスが使われます。
まとめ
このように、詐欺師がアドフラウドを働くために悪用する手口は数多く存在します。この記事で紹介したすべてのツールや手法は、ほぼすべての広告ネットワークの利用規約に違反しています。例えば、Googleはヘルプセンターで、クリックボットの使用や広告クリックへのインセンティブ提供について、明確に注意を促しています。
「広告主様とサイト運営者様をつなぐクリック課金型ソリューション、検索エンジン、ディレクトリ サイトなど、お客様のサイトへのトラフィックを増やすためのサービスは数多く存在します。しかし、こうしたサービスの中には、一見問題がないように見えても、実際にはウェブサイトへの人工的なトラフィックを送信しているものもあります。顧客が期待するトラフィック量を維持するため、クリックボットを使ってクリックやインプレッションを生成したり、ユーザーにサイトの閲覧や広告のクリックを促してインセンティブを支払ったりしているケースが多々あります。そのため、サードパーティのトラフィック サービスと提携する際は、十分に注意することを強くおすすめします。」
効果的な広告運用を目指すのであれば、これらのツールや手法は絶対に利用しないでください。
