प्रोग्रामैटिक फ्रॉड का असली खेल: बॉट नहीं, एट्रिब्यूशन चोरी आपका बजट खा रही है

पिछले कुछ सालों से मैं अमेरिका में बैठकर बड़े ब्रांड्स के प्रोग्रामैटिक बजट देख रहा हूँ। एक बात जो मुझे हर तिमाही परेशान करती है, वह यह है कि ज़्यादातर मार्केटिंग टीमें फ्रॉड से लड़ने के नाम पर वही पुराने हथियार चला रही हैं, जो अब किसी काम के नहीं रहे। IVT रिपोर्ट में 1% से कम का आँकड़ा देखकर हम राहत की साँस लेते हैं, लेकिन असल खून बहता कहीं और है। यह पोस्ट उसी अनदेखी जगह के बारे में है, जहाँ शायद ही कोई बात करता है।

सीधी बात कहूँ तो प्रोग्रामैटिक फ्रॉड अब इंप्रेशन की दुनिया से निकलकर एट्रिब्यूशन की दुनिया में चला गया है। हम बॉट्स, डोमेन स्पूफिंग और MFA साइट्स का पीछा कर रहे हैं, जबकि असली चोर हमारे कन्वर्ज़न का श्रेय चुरा रहे हैं। और मज़े की बात यह है कि वे ऐसा इस तरह करते हैं कि हमारी ROAS रिपोर्ट और भी चमकदार दिखती है। यही सबसे खतरनाक पहलू है-आपको लगता है कि सब कुछ सही चल रहा है, जबकि पैसा गलत हाथों में जा रहा है।

हम अब भी गलत लड़ाई लड़ रहे हैं

अगर आप पिछले दस साल का प्रोग्रामैटिक विज्ञापन देखें, तो पूरा फ्रॉड डिटेक्शन ढाँचा एक ही सवाल के इर्द-गिर्द बना है: “क्या यह इंप्रेशन किसी इंसान ने देखा?” इसी सवाल के जवाब के लिए IAB Tech Lab ने ads.txt और sellers.json जैसे मानक बनाए, MRC ने IVT मापन के लिए एक्रिडिटेशन देना शुरू किया, और DoubleVerify, IAS जैसे वेरिफिकेशन वेंडर्स ने प्री-बिड और पोस्ट-बिड फ़िल्टरिंग के बड़े-बड़े सिस्टम खड़े किए।

ये सब ज़रूरी कदम थे, इसमें कोई शक नहीं। लेकिन इन सबकी एक बुनियादी सीमा है। ये सिर्फ इंप्रेशन की वैधता मापते हैं, व्यावसायिक असर की वृद्धिशीलता नहीं। अमेरिकी बाज़ार में CTV और मोबाइल in-app प्रोग्रामैटिक का हिस्सा तेज़ी से बढ़ा है, और वहाँ IVT फ़िल्टर को पार करना उतना मुश्किल नहीं रहा जितना डेस्कटॉप डिस्प्ले में था। फ्रॉडस्टर अब ऐसे तरीके इस्तेमाल करते हैं जो तकनीकी रूप से “मानवीय” दिखते हैं, लेकिन बिज़नेस के लिए पूरी तरह बेकार होते हैं।

एक उदाहरण लीजिए। मान लीजिए कोई फ्रॉडस्टर किसी घटिया ऐप में आपका विज्ञापन दिखाता है, लेकिन वह ऐप बैकग्राउंड में चल रहा है और स्क्रीन बंद है। तकनीकी रूप से इंप्रेशन फायर हो गया, IVT फ़िल्टर भी पास हो गया क्योंकि डिवाइस असली है, IP असली है। लेकिन असल में कोई इंसान वह विज्ञापन देख ही नहीं रहा। अब आपकी रिपोर्ट में आएगा “IVT 0.5%, सब कुछ साफ़ है,” जबकि आपका पैसा जल चुका। यही अंधा धब्बा है।

एट्रिब्यूशन लॉन्डरिंग: फ्रॉड का नया चेहरा

अब असली मुद्दे पर आते हैं। पिछले कुछ वर्षों में, खासकर मोबाइल ऐप इंस्टॉल और ई-कॉमर्स कन्वर्ज़न ट्रैकिंग में, फ्रॉड की एक नई किस्म उभरी है। मैं इसे एट्रिब्यूशन लॉन्डरिंग कहता हूँ। इसका मकसद इंप्रेशन को नकली बनाना नहीं होता, बल्कि असली कन्वर्ज़न का श्रेय गलत क्लिक या इंप्रेशन को दिलाना होता है। इससे आपकी ROAS शानदार दिखती है, क्योंकि कन्वर्ज़न तो सचमुच हुआ है, लेकिन उसका श्रेय उस फ्रॉडस्टर को मिल जाता है जिसने उसमें कोई योगदान नहीं दिया।

इसके चार प्रमुख तरीके हैं, और मैं चाहता हूँ कि आप इन्हें ध्यान से समझें, क्योंकि यही आपके बजट की चोरी का असली रास्ता है।

1. क्लिक इंजेक्शन (Click Injection)

मोबाइल ऐप्स में फ्रॉडस्टर एक दूषित SDK या मैलवेयर छिपा देते हैं। जैसे ही कोई यूज़र कोई ऐप इंस्टॉल करता है या कोई खरीदारी करता है, यह मैलवेयर उसी सेकंड एक फर्जी क्लिक भेज देता है। लास्ट-क्लिक एट्रिब्यूशन मॉडल में, यह फर्जी क्लिक पूरा क्रेडिट हड़प लेता है। नतीजा यह होता है कि आपका DSP आपको बताता है कि उसके प्लेटफ़ॉर्म से आए क्लिक ने शानदार कन्वर्ज़न दिया। असल में होता यह है कि क्लिक कन्वर्ज़न के बाद आया था, लेकिन सिस्टम को लगता है कि वह पहले आया।

2. क्लिक स्पैम (Click Spamming)

इसमें फ्रॉडस्टर किसी एक डिवाइस आईडी या IP एड्रेस से हज़ारों क्लिक भेजते हैं। बाद में जब उसी डिवाइस पर कोई ऑर्गेनिक कन्वर्ज़न होता है-जैसे यूज़र ने अपनी मर्ज़ी से ऐप इंस्टॉल किया या कोई सामान खरीदा-तो उन हज़ारों क्लिक में से एक को “लकी” क्लिक मानकर पूरा श्रेय दे दिया जाता है। यह तरीका खासकर उन DSPs में चलता है जो लॉग-लेवल डेटा को साफ नहीं करते या क्लिक फ्लडिंग का पता नहीं लगाते।

3. SDK स्पूफिंग (SDK Spoofing)

यह तकनीक उन ऐप्स में होती है जो विज्ञापन ट्रैक करने के लिए किसी तीसरे पक्ष का SDK इस्तेमाल करते हैं। फ्रॉडस्टर नकली इंप्रेशन ट्रैकिंग URLs बनाते हैं जो बिल्कुल असली दिखते हैं, और उन्हें असली ऐप इंप्रेशन के साथ मिला देते हैं। इससे लगता है कि विज्ञापन वहीं दिखा जहाँ दिखना चाहिए था, जबकि असल में वह किसी घटिया या अदृश्य इन्वेंट्री पर चल रहा था।

4. क्रॉस-डिवाइस आइडेंटिटी ग्राफ का दुरुपयोग

प्रोग्रामैटिक में यूज़र को ट्रैक करने के लिए डिटरमिनिस्टिक और प्रोबेबिलिस्टिक आइडेंटिटी ग्राफ का इस्तेमाल होता है। फ्रॉडस्टर इन ग्राफों में हेरफेर करके किसी असली यूज़र के कन्वर्ज़न को किसी दूसरे डिवाइस या ब्राउज़र से जोड़ सकते हैं। इससे एक फर्जी क्रॉस-डिवाइस पथ बनता है, जो एट्रिब्यूशन को गुमराह कर देता है। अमेरिकी बाज़ार में मोबाइल app-install और ई-कॉमर्स कन्वर्ज़न अब प्रोग्रामैटिक खर्च का बड़ा हिस्सा हैं, इसलिए यह खतरा और गहरा हो गया है।

AppsFlyer और Adjust जैसे MMPs की रिपोर्टें बताती हैं कि वैश्विक स्तर पर मोबाइल एट्रिब्यूशन फ्रॉड से हर साल अरबों डॉलर का नुकसान होता है। यह आँकड़ा लगातार बढ़ रहा है, और अमेरिका इसमें सबसे बड़े बाज़ारों में से एक है।

वेरिफिकेशन वेंडर्स चुप क्यों हैं?

यहाँ एक स्वाभाविक सवाल उठता है: जब हमारे पास DoubleVerify, IAS जैसी कंपनियाँ हैं, तो यह फ्रॉड पकड़ा क्यों नहीं जाता? इसका जवाब उद्योग की संरचना में छिपा है। वेरिफिकेशन वेंडर्स का बिज़नेस मॉडल ही इस समस्या का हिस्सा है।

पहली बात तो यह कि वेरिफिकेशन वेंडर्स को अक्सर हर हज़ार इंप्रेशन पर CPM के हिसाब से भुगतान मिलता है। जितने अधिक इंप्रेशन, उतना अधिक रेवेन्यू। इसका मतलब है कि अगर प्रोग्रामैटिक इकोसिस्टम में फ्रॉड के कारण इंप्रेशन की संख्या बढ़ती है, तो वेरिफिकेशन वेंडर का भी फायदा होता है। यह कोई साज़िश नहीं, बल्कि एक साधारण आर्थिक इंसेंटिव है।

दूसरी बात यह है कि वे जिस सप्लाई चेन को ऑडिट करते हैं, उसी सप्लाई चेन से उनका भुगतान भी आता है। DSP, SSP और नेटवर्क ही वेरिफिकेशन सेवाओं के खरीदार होते हैं। यह एक क्लासिक principal-agent problem है-जो ऑडिटर है, वह ऑडिट किए जाने वाले पर निर्भर है। इसलिए वेरिफिकेशन वेंडर्स की रिपोर्टें अक्सर “IVT 1% से कम” दिखाती हैं, क्योंकि अगर वे एट्रिब्यूशन लॉन्डरिंग को पकड़ने लगें, तो उनके सबसे बड़े क्लाइंट्स का वॉल्यूम ही घट जाएगा।

तीसरी और सबसे अहम बात: MRC एक्रिडिटेशन सिर्फ यह देखता है कि डिटेक्शन टूल IVT को सही तरीके से माप रहा है या नहीं, न कि यह कि वह व्यावसायिक परिणाम की रक्षा कर रहा है या नहीं। इसलिए एक वेरिफिकेशन वेंडर पूरी तरह MRC-एक्रेडिटेड हो सकता है और फिर भी एट्रिब्यूशन फ्रॉड को पूरी तरह अनदेखा कर सकता है। यह समझना ज़रूरी है, क्योंकि तभी आप समझ पाएँगे कि आपकी फ्रॉड रिपोर्ट्स पर आँख मूँदकर भरोसा क्यों नहीं करना चाहिए।

रास्ता: Incrementality-First Fraud Detection (IFD)

अब सवाल यह है कि इस चक्र से बाहर कैसे निकलें। मेरा प्रस्ताव है Incrementality-First Fraud Detection (IFD)। इसका मूल मंत्र सीधा है: हर इंप्रेशन को सिर्फ़ एक विज्ञापन इकाई नहीं, बल्कि एक वित्तीय लेन-देन मानिए। अगर वह लेन-देन बिज़नेस आउटकम में सिद्ध वृद्धि नहीं पैदा करता, तो वह फ्रॉड है-भले ही MRC उसे “valid” बताए। नीचे पाँच कदम दिए हैं, जिन्हें आप आज से लागू कर सकते हैं।

1. सप्लाई-पाथ स्तर पर रैंडमाइज्ड कंट्रोल टेस्ट (RCT)

अपने बजट को अलग-अलग एक्सचेंज, SSP, साइट ID और ऐप ID के बीच बाँटें। हर सेगमेंट के लिए एक holdout group रखें-यानी ऐसे लोग जिन्हें आपका विज्ञापन बिल्कुल न दिखे। फिर दोनों समूहों के बीच कन्वर्ज़न, सेल्स या लीड में अंतर नापें। यह एक सच्चा A/B टेस्ट है, जो आपको बताएगा कि कौन-सा सप्लाई पाथ वाकई वृद्धिशीलता ला रहा है। अगर कोई सप्लाई पाथ शानदार इंप्रेशन तो देता है, लेकिन incrementality शून्य या नकारात्मक है, तो उसे तुरंत बंद कर दें-भले ही वहाँ IVT 0% दिख रहा हो। यह तरीका महंगा और समय लेने वाला ज़रूर है, लेकिन फ्रॉड को पहचानने का इससे बेहतर कोई तरीका नहीं है।

2. कन्वर्ज़न टाइमिंग और डिवाइस एंट्रॉपी एनालिसिस

अपने DSP या MMP से लॉग-लेवल डेटा लें और क्लिक से कन्वर्ज़न के बीच के समय का हिस्टोग्राम बनाएं। सामान्य पैटर्न में लोग क्लिक करने के बाद कुछ मिनट से लेकर कुछ दिनों में कन्वर्ट करते हैं। फ्रॉड में अक्सर असामान्य क्लस्टरिंग दिखती है-जैसे 1-2 सेकंड में कन्वर्ज़न, या ठीक ऐप इंस्टॉल से पहले क्लिक। इसी तरह, डिवाइस आईडी स्तर पर “click flooding” की पहचान करें: अगर किसी एक डिवाइस से एक साथ 50-100 क्लिक आ रहे हैं, तो वह स्पष्ट रेड फ्लैग है। क्रॉस-डिवाइस मैचिंग में समय-क्षय मॉडल लागू करें, ताकि लंबे समय के बाद आने वाले संदिग्ध क्रेडिट को कम महत्व दिया जाए।

3. लॉग-लेवल डेटा और SupplyChain ऑब्जेक्ट की अनिवार्यता

किसी भी DSP/SSP से तब तक खरीदारी न करें, जब तक वे पूरा log-level data साझा न करें-जिसमें हर इंप्रेशन का सटीक टाइमस्टैम्प, डिवाइस आईडी, IP, साइट/ऐप ID, और पूरा SupplyChain object शामिल हो। अमेरिकी बाज़ार में यह मांग करना अब कोई विलासिता नहीं, बल्कि आत्मरक्षा है। जो सप्लाई पार्टनर डेटा नहीं दे सकते, वे डिफ़ॉल्ट रूप से संदिग्ध हैं। याद रखिए-ईमानदार सप्लाई चेन को छिपाने की ज़रूरत नहीं होती।

4. एट्रिब्यूशन फ़ायरवॉल और मल्टी-टच मॉडल

लास्ट-क्लिक एट्रिब्यूशन को पूरी तरह हटा दें। यह मॉडल फ्रॉडस्टर्स का सबसे बड़ा दोस्त है, क्योंकि इसमें सिर्फ एक क्लिक को पूरा क्रेडिट मिलता है। इसके बजाय मल्टी-टच एट्रिब्यूशन (MTA) या डेटा-ड्रिवन मॉडल अपनाएं, जो हर टचपॉइंट को उचित भार देता है। साथ ही, केवल verified SDKs से आने वाले क्लिक/इंप्रेशन को ही क्रेडिट दें। दूषित SDK या बिना एन्क्रिप्टेड ट्रांज़ैक्शन ID वाले क्लिक को अमान्य करें। अपने CRM और CDP से exposed (जिन्होंने विज्ञापन देखा) और unexposed (जिन्होंने नहीं देखा) दर्शकों का मिलान करें, ताकि यह पता चले कि विज्ञापन देखने वालों में वाकई अधिक खरीदारी हुई या नहीं।

5. कॉन्ट्रैक्ट में ऑटो-पॉज़ और क्लॉज़

हर DSP/SSP के साथ अपने मास्टर सर्विस एग्रीमेंट (MSA) में एक धारा जोड़ें: अगर कोई सप्लाई पाथ दो बार incrementality टेस्ट में फेल होता है, तो वह 30 दिन के लिए अपने आप बंद हो जाएगा। उस अवधि का भुगतान वापस लेने का प्रावधान भी रखें। यह सिर्फ कानूनी भाषा नहीं, बल्कि आपके बजट की सुरक्षा है। कई बड़े अमेरिकी ब्रांड्स अब ऐसी धाराएँ जोड़ने लगे हैं, और इसका असर सप्लाई पार्टनर्स के व्यवहार पर साफ दिखता है-वे अधिक पारदर्शी हो जाते हैं।

अगले 12 महीने: कहाँ खर्च करें, कहाँ बचें

आने वाले वर्ष में प्रोग्रामैटिक फ्रॉड का परिदृश्य और बदलेगा। तीसरी कुकीज़ के खत्म होने, Apple के ATT ढाँचे और Google के Privacy Sandbox जैसे बदलावों के कारण एट्रिब्यूशन और अधिक जटिल हो जाएगा। इसका फायदा फ्रॉडस्टर्स उठाएँगे, क्योंकि जटिलता में छिपना आसान होता है। इसलिए आने वाले महीनों में चार काम ज़रूर करें।

• CTV और OTT पर विशेष ध्यान दें। यह सबसे तेज़ी से बढ़ता प्रोग्रामैटिक चैनल है, लेकिन यहाँ एट्रिब्यूशन ट्रैकिंग अभी भी कमज़ोर है। कई CTV इन्वेंट्री में device ID नहीं होता, जिससे फ्रॉड पकड़ना और मुश्किल हो जाता है। अपने CTV खर्च का incrementality टेस्ट ज़रूर करें।
• Retail Media Networks (RMN) को शामिल करें। Amazon Ads, Walmart Connect जैसे RMNs पहले-पक्ष डेटा के साथ आते हैं, जो एट्रिब्यूशन को अधिक पारदर्शी बनाता है। फ्रॉडस्टर्स के लिए इन बंद इकोसिस्टम में घुसना कठिन है।
• AI और मशीन लर्निंग को बचाव में लगाएं। पारंपरिक नियम-आधारित डिटेक्शन अब पर्याप्त नहीं है। ऐसे मॉडल बनाएं जो एट्रिब्यूशन पैटर्न में असामान्यता पकड़ें, जैसे कि कन्वर्ज़न से ठीक पहले क्लिक का अचानक बढ़ना।
• पहले-पक्ष डेटा को मज़बूत करें। अपने CRM, loyalty प्रोग्राम और वेबसाइट के डेटा को जोड़कर एक ऐसा आधार बनाएं जो आपको बाहरी एट्रिब्यूशन पर निर्भर न रहने दे। जितना अधिक आपका अपना डेटा होगा, उतना कम फ्रॉडस्टर्स आपको मूर्ख बना पाएँगे।

निष्कर्ष: सोच बदलिए, सिर्फ टूल्स नहीं

प्रोग्रामैटिक फ्रॉड डिटेक्शन की असली लड़ाई अब तकनीकी टूल्स की नहीं, बल्कि मानसिकता की है। जब तक हम इंप्रेशन की वैधता को ही सब कुछ मानते रहेंगे, फ्रॉडस्टर्स हमसे एक कदम आगे रहेंगे। हर इंप्रेशन से पूछिए-क्या इसने मेरे बिज़नेस को आगे बढ़ाया? अगर जवाब “पता नहीं” या “नहीं” है, तो वह फ्रॉड है-चाहे रिपोर्ट कुछ भी कहे। यही एकमात्र तरीका है जिससे आपका प्रोग्रामैटिक बजट सचमुच सुरक्षित रह सकता है।