O custo invisível da fraude programática

Outro dia, durante uma revisão de contas de e-commerce nos EUA, encontrei algo que parecia bom demais para ser verdade. O CPA tinha despencado, o volume de leads tinha explodido e, mesmo assim, o time de vendas reclamava que os contatos pareciam robôs. Foi aí que caiu a ficha: a fraude programática não estava só roubando impressões. Estava ensinando os algoritmos a comprar mais fraude todos os dias.

Essa é a parte da discussão que quase ninguém traz para a mesa. Fala-se muito em ads.txt, sellers.json, filtros pré-bid e relatórios de tráfego inválido. Tudo isso importa, claro. Mas o estrago mais profundo acontece quando os sistemas de otimização começam a aprender com dados contaminados. E aí, meu amigo, o prejuízo deixa de ser um desvio pontual e vira um motor de decisões ruins rodando no piloto automático.

O problema não é só dinheiro; é o que seu algoritmo aprende

Imagine uma campanha de display que começa a receber cliques e conversões vindos de um app mobile fraudulento. O pixel registra sessões de poucos segundos, formulários preenchidos por scripts e leads com e-mails temporários. Para o algoritmo de otimização, aquilo parece um sinal fortíssimo: aquele app está entregando conversões baratas.

O que o Smart Bidding faz? Aumenta os lances para aquele tipo de inventário. O que o modelo de lookalike faz? Sai atrás de mais usuários parecidos com aqueles “conversores”. O que a atribuição faz? Dá crédito para um canal que, na prática, não gerou receita incremental nenhuma.

Em poucas semanas, a campanha tecnicamente bate a meta de CPA, mas o pipeline de vendas está seco. O pior: a fraude já foi incorporada ao sistema de aprendizado. Mesmo que você bloqueie o app, o algoritmo continua perseguindo padrões semelhantes em outros cantos. Por isso, a pergunta que vale ouro não é “quanto de tráfego inválido apareceu no último relatório?”, mas sim “quantas decisões automáticas foram treinadas com dados inválidos?”.

A consequência é silenciosa e composta. Cada dia de aprendizado contaminado empurra mais verba para inventário de baixa qualidade, distorce benchmarks internos e corrompe a leitura de performance. Não se trata apenas de perder dinheiro hoje. Trata-se de programar perdas para os próximos trimestres.

A primeira barreira: quarentena de dados antes da otimização

Se existe uma regra que eu repito em toda auditoria, é esta: não deixe o pixel da plataforma ser a única fonte de verdade para conversões que treinam algoritmos. O pixel conta a história que a plataforma quer contar. Você precisa de uma camada sua, intermediária, que valide o que entra e o que sai.

Use rastreamento server-side e importação offline de conversões. Antes de enviar um lead ou uma venda para o Google Ads, Meta Ads ou qualquer DSP, valide se aquele registro passou por critérios de qualidade. Na prática, isso inclui:

Tempo mínimo de sessão - para leads B2B, por exemplo, menos de 20 segundos já acende um alerta;
Formulário preenchido com dados coerentes, sem padrões repetidos ou campos impossíveis;
E-mail corporativo ou domínio válido, nunca descartável;
Ausência de comportamentos típicos de bot, como velocidade irreal de digitação ou múltiplos envios do mesmo dispositivo em intervalo curto;
Score de risco de fraude vindo do seu CRM ou de uma ferramenta de verificação.

Isso cria uma camada intermediária de dados entre a plataforma de mídia e o seu banco de leads. Só envie de volta para o algoritmo as conversões que passaram no filtro. Não é só limpar relatório; é impedir que o modelo aprenda com lixo.

Ferramentas como Google Ads permitem ajustar conversões offline e criar exclusões de dados. Use isso com estratégia: se houve um pico de conversões inválidas em determinado período, exclua aquele intervalo do histórico de otimização. No Meta Ads, compare os dados da Conversions API com os do pixel e investigue divergências suspeitas. Quando as duas fontes divergem muito, quase sempre tem manipulação ou perda de sinal no meio do caminho.

Log-level data: a auditoria forense que quase ninguém faz

Dashboard agregado de IVT dá uma falsa sensação de controle. Para pegar fraude sofisticada, você precisa olhar para dados em nível de log: bid requests, win notices, impressões, cliques e conversões com timestamps. É aí que os padrões estranhos aparecem.

Alguns sinais que já me ajudaram a destravar contas nos EUA:

Win rate anormalmente alta com lance baixo em determinados sites ou apps;
Intervalo entre impressão e clique inferior a 300-500 milissegundos em escala;
Intervalo entre clique e conversão menor que 2 segundos;
Os mesmos device IDs ou IPs gerando múltiplas conversões em horários improváveis;
Picos de tráfego em horários de baixo custo seguidos de queda abrupta;
Auto-refresh de anúncios ou empilhamento de players em CTV;
Cadeias de supply path muito longas, com múltiplos revendedores antes do seller final.

O mindset aqui é de controle estatístico de processo. Estabeleça linhas de base por site, app, formato e audiência. Quando uma métrica sair do padrão esperado - um CTR 8x acima da média da categoria com viewability abaixo de 30%, por exemplo - trate como contaminação, não como oportunidade de escala.

Se o seu contrato com o DSP não prevê acesso a log-level data, essa vira a prioridade número um na próxima negociação. Sem esse nível de granularidade, você enxerga só a espuma; o problema real está debaixo d’água.

Zero trust na cadeia programática

ads.txt e sellers.json são bons, mas não resolvem tudo. Eles dizem quem está autorizado a vender, mas não garantem que o caminho percorrido pelo bid seja legítimo. Fraudes como domain spoofing e app spoofing exploram exatamente as brechas entre sellers autorizados e revendedores intermediários.

Minha recomendação é adotar uma postura de zero trust na cadeia de suprimentos programática:

Estabeleça um número máximo de hops entre o publisher e o comprador;
Priorize deals diretos, PMPs e inventário com SupplyChain object curto;
Verifique se o seller declarado no sellers.json corresponde de fato ao domínio ou app exibido;
Monitore a taxa de impressões em sites e apps não mapeados - isso costuma indicar spoofing;
Bloqueie preventivamente categorias de apps de baixa qualidade, sem cair no overblocking puro. O objetivo não é bloquear tudo; é reduzir a superfície de risco.

Uma prática que uso em auditorias: criar uma allowlist dinâmica de publishers validados por desempenho de negócio, não apenas por métricas de mídia. Se um site gera impressões baratas, mas nunca aparece como touchpoint em negócios incrementais, ele é candidato a sair. Essa lista precisa ser revisada mensalmente, com dados reais de funil, não com relatórios de plataforma.

Incrementalidade como detector de fraude

A fraude adora gerar “fantasmas de performance”. Os cliques aparecem, as conversões aparecem, mas quando você olha para o resultado incremental, não existe efeito real nenhum. Por isso, testes de incrementalidade - como geo holdouts ou audience holdouts - estão entre as ferramentas mais subutilizadas na prevenção de fraude.

Funciona assim:

Separe regiões geográficas comparáveis em termos de mercado e sazonalidade;
Mantenha a campanha ativa em um grupo e pausada no outro;
Compare não apenas cliques e leads, mas busca de marca, visitas qualificadas, ligações recebidas e vendas fechadas.

Se a campanha gera volume alto de cliques e conversões no grupo ativo, mas não há diferença incremental nas métricas de negócio, existe forte indício de tráfego inválido ou de inventário de baixa qualidade que não influencia decisão real de compra.

Esse teste deve ser contínuo, principalmente quando uma campanha apresenta CPA muito abaixo da média. CPA baixo demais é sinal de alerta, não de sucesso. Um CPA de US$ 5 para leads B2B em um mercado onde o custo médio é US$ 40 raramente indica eficiência. Quase sempre aponta para conversões falsas ou tráfego de baixa qualidade.

Blindando Smart Bidding e Advantage+ contra sinais envenenados

O Smart Bidding do Google, o Advantage+ do Meta e os algoritmos de lances dos DSPs são treinados com os dados que você envia. Se você manda conversões fraudulentas, o algoritmo otimiza para fraude. Simples assim.

Medidas práticas que aplico em contas dos EUA:

Exclua períodos de pico de IVT usando data exclusions no Google Ads;
Não use metas de CPA excessivamente agressivas em campanhas amplas de display, vídeo ou Performance Max sem revisar a qualidade do inventário;
Segmente campanhas por nível de confiança do inventário - uma campanha apenas para PMPs validados e outra para inventário aberto, com metas diferentes;
No Meta, monitore a origem das conversões pela API e crie públicos de exclusão baseados em padrões de fraude;
Tenha cuidado redobrado com Performance Max, que pode escalar para inventário de baixa qualidade rapidamente. Use listas de exclusão de posicionamentos, restrições de conteúdo e revise regularmente onde os anúncios apareceram.

O princípio central é este: não deixe o algoritmo decidir sozinho o que é conversão de qualidade. A definição de sucesso precisa vir de você, com regras claras de validação. Se o algoritmo recebe apenas volume sem filtro, ele vai maximizar volume. E a fraude adora volume.

Contratos e KPIs que desincentivam o tráfego inválido

Muitos contratos de mídia ainda são baseados em volume: CPM, CPC, CPA. Isso cria um incentivo perverso para tolerar tráfego inválido, porque ele infla os números da entrega. Enquanto o bônus depender de volume, ninguém vai querer enxergar fraude.

Para mudar isso, sugiro:

Trabalhar com custo por lead qualificado validado ou, melhor ainda, receita incremental;
Incluir cláusulas de makegood e clawback por IVT acima de um limite acordado;
Exigir verificação de terceiros como condição contratual, não como opção;
Criar uma reserva de perdas esperadas por fraude no orçamento, tratando a fraude como custo operacional a ser reduzido trimestre a trimestre;
Alinhar bônus de agências e times internos a resultados de negócio, não a volume de mídia comprada.

Nos EUA, tenho visto cada vez mais anunciantes adotando auditorias independentes de mídia que cruzam dados de log-level, contratos e resultados incrementais. Ainda é minoria, mas está crescendo. E deveria ser padrão. Quando o contrato prevê reembolso por fraude, o incentivo para monitorar muda completamente: deixa de ser custo de compliance e vira proteção de margem.

Um conselho interfuncional de qualidade de tráfego

Fraude não é problema só do time de mídia. Ela respinga em analytics, CRM, financeiro, jurídico e engenharia de dados. Por isso, a prevenção precisa funcionar como uma disciplina de governança corporativa, não como um projeto isolado.

Minha sugestão é formar um traffic quality council, com reuniões regulares e responsabilidades claras:

Marketing: revisar metas de mídia e validar inventário;
Analytics/Data Science: monitorar anomalias em log-level data e taxas de IVT;
CRM/Vendas: sinalizar leads de baixa qualidade e dar feedback de conversões reais;
Financeiro: auditar perdas, makegoods e reservas de fraude;
Jurídico/Compras: negociar cláusulas de proteção e auditoria com fornecedores.

Esse grupo precisa ter autoridade para pausar campanhas, exigir reembolsos e alterar metas de otimização com base em evidências de fraude, não apenas em relatórios mensais. Reuniões quinzenais ou mensais, com ata e indicadores claros, evitam que a fraude vire aquele problema de “alguém deveria ter visto isso antes”.

Sinais de que seu algoritmo já está contaminado

Se você se reconhece em algum dos cenários abaixo, está na hora de investigar a fundo:

O CPA da campanha caiu drasticamente, mas o pipeline de vendas não acompanhou;
O volume de leads aumentou, mas a taxa de qualificação despencou;
Relatórios de plataforma mostram ótimos resultados, mas testes de incrementalidade não encontram efeito;
Picos estranhos de conversões em horários de madrugada ou em apps desconhecidos;
O time de vendas reclama que os leads “parecem robôs”.

Esses são sintomas clássicos de aprendizado contaminado. Quando aparecem, a solução não é só bloquear um app ou site suspeito. É preciso interromper o ciclo de feedback, revisar os dados que alimentam a otimização e reiniciar o aprendizado com sinais limpos.

Fraude programática é um problema de integridade de dados

A prevenção de fraude programática não pode ser tratada como uma configuração pontual de segurança. Ela precisa ser encarada como parte da infraestrutura de machine learning da empresa.

O bot não está apenas roubando impressões. Ele está votando nos sinais que definem para onde seu orçamento vai amanhã. Se você não blindar os dados que alimentam seus algoritmos, vai pagar duas vezes: uma pela fraude direta e outra pelo custo de oportunidade de deixar seu sistema aprender com mentiras.

Comece com um passo simples: audite o caminho que uma conversão percorre do clique até o CRM. Se houver pontos onde dados não validados entram na otimização, feche essas brechas antes de escalar qualquer campanha. Quem tratar fraude como problema de dados - e não apenas de mídia - vai construir uma vantagem composta difícil de copiar. E, num mercado programático cada vez mais automatizado, essa diferença pode ser a fronteira entre o crescimento real e a ilusão de performance.

← Voltar ao blog