如何偵測 Android 裝置上的廣告欺詐並阻斷點擊注入 (Click Injection)

Q: 是什麼讓點擊注入對 Android 裝置而言如此獨特？

點擊注入在歷史上與 Android 相關，因為歷史上的作業系統架構允許後台應用程式監控封裝安裝狀態的變更。惡意公用程式應用程式利用這些觀察訊號，在目標應用程式從 Google Play 商店下載時觸發偽造廣告點擊。在 iOS 上，嚴格的沙盒隔離機制防止了應用程式偵測其他應用程式的安裝。

Q: Google Play Install Referrer API 如何協助偵測點擊注入？

Google Play Install Referrer API 提供了 Google Play 推薦時間欄位，記錄了廣告推薦連結被點擊的時間以及應用程式封裝安裝開始的時間。如果記錄的點擊發生在安裝開始之後，歸因後端可以將此時間倒置視為高嚴重性異常，並執行配置的拒絕策略。

Q: 點擊注入是否會發生在自然應用下載上？

會。自然下載是點擊注入的常見目標。當用戶在 Google Play 商店自然搜尋並下載應用程式而未點擊廣告時，裝置上的惡意應用程式可以偵測到安裝並注入偽造點擊。這會從自然渠道竊取歸因權益，導致廣告主向廣告聯播網支付了原本屬於自然安裝的費用。

如何在成效行銷中偵測點擊注入？偵測點擊注入需要使用 Google Play Install Referrer API 分析 Android 安裝時間戳記。透過比對廣告點擊時間與 Google Play 的應用程式下載啟動時間，若發現廣告點擊時間晚於安裝開始時間，或是該點擊時間相較於應用程式與渠道的基準表現異常短促，即可識別出疑似點擊注入的行為。

點擊注入是一種針對 Android 裝置的精密行動廣告欺詐手段，惡意應用程式會監控作業系統的安裝事件，並在目標應用程式下載時偽造廣告點擊。透過利用下載開始到應用程式首次開啟之間的延遲，點擊注入可竊取原屬於合法行銷渠道或自然搜尋下載的最後觸點歸因權益。

術語	定義	關聯實體	搜尋意圖角色
廣告欺詐 (Ad Fraud)	透過生成無效點擊或偽造轉換來消耗廣告預算的欺騙行為。	歸因追蹤	資訊類 / 商業類
點擊注入 (Click Injection)	一種特定的 Android 欺詐向量，會在封裝安裝期間發送偽造點擊。	Google Play Install Referrer	技術類 / 資訊類
Google Play Install Referrer	平台 API，提供來自 Google Play 的推薦中繼資料與點擊/安裝啟動時間戳記；底層 AIDL 合約另定義了伺服器端的時間欄位。	成效行銷	資訊類

為什麼點擊注入在 Android 歸因中難以偵測

隱蔽的歸因竊取：為何下游應用內轉換遙測看起來一切正常

在數位成效行銷中，欺詐流量通常會因為安裝後的參與度指標下滑而暴露。製造轉換的手段（如裝置農場、模擬器或偽造 SDK）若未對安裝後的行為進行偽造，往往會產生不一致或異常的指標。在未經管理的環境中，這些偽造用戶通常不會產生廣告曝光、無法完成入職流程，也從未轉換為付費用戶。

點擊注入的行為模式則完全不同。在點擊注入方案中，實際下載應用程式的物理用戶是真實且具備高意圖的人類。用戶主動搜尋應用程式、從 Google Play 商店發起下載並完成了標準的入職流程。由於用戶是真實的，下游遙測數據看起來非常正常，顯示出典型的第 1 天至第 30 天留存率、正常的會話頻率以及標準的應用內購買模式。

這使得點擊注入成為一種隱蔽的攻擊手段。該欺詐行為並未破壞用戶體驗或產品數據，而是純粹竊取了歸因數據。廣告主繼續向欺詐性廣告聯播網支付每安裝成本 (CPI) 或每行動成本 (CPA) 費用，並誤以為這些發布商帶來了高轉換率的優質用戶群。

經濟影響：在既有的自然安裝上消耗成效行銷預算

點擊注入的一個高價值目標是自然流量基準。當自然用戶在 Google Play 商店中搜尋應用程式並點擊「安裝」時，該用戶是在沒有直接廣告支出的情況下獲得的。惡意聯播網透過在封裝下載時發送合成廣告點擊，竊取了該自然安裝的歸因權益。

財務後果會透過以下兩個層面累積：

直接資本錯誤分配：行銷預算被消耗在支付本不需要推廣費用的自然安裝獎勵費上。
人為壓低的自然指標：由於自然轉換被重新歸類為付費合作夥伴安裝，行銷團隊會低估其自然搜尋與品牌權益的真實基礎成長速度。

隨著時間推移，這種歸因竊取會扭曲行銷渠道的評估，促使成長團隊增加對欺詐發布商 ID 的廣告支出，同時減少對真實品牌行銷的投資。

為什麼標準的回傳追蹤 (Postback Tracking) 無法偵測傳輸中的點擊注入

標準的伺服器對伺服器 (S2S) 回傳流程基於最後觸點歸因框架。當新安裝的應用程式首次初始化時，行動測量引擎會檢查其數據庫，查找在設定的追溯視窗內與用戶廣告識別碼或歸因權杖相關的最近一次點擊。

如果廣告聯播網在應用程式開啟前一刻觸發了偽造點擊，該點擊便會佔據歸因日誌中最後的時間位置。僅依賴最後點擊時間戳記的回傳邏輯，無法獨立判斷該點擊是在用戶導航到商店之前發生的，還是在應用程式封裝已經開始下載到裝置儲存空間時發生的。

預防點擊注入需要透過直接從 Google Play 商店基礎設施捕獲作業系統層級的時間戳記，來穿透這個下載的盲點。

尋求輕量級客戶端遙測與歸因 SDK 的開發人員，可以透過行動分析 SDK 套件進行探索。

點擊注入如何利用 Android 封裝事件來劫持轉換

注入攻擊的解剖：惡意公用程式應用與後台觀察者

點擊注入依賴於已經在用戶 Android 裝置上執行的惡意應用程式。這些流氓應用程式通常偽裝成無害的公用程式工具（如手電筒、QR 碼掃描器、系統清理工具或簡單的休閒遊戲），並透過第三方市場或受損的商店列表進行散佈。

一旦安裝，惡意公用程式會請求後台執行權限。歷史上，Android 上的流氓應用程式濫用了封裝與安裝狀態觀察功能，以偵測目標下載何時開始。雖然現代 Android 版本日益限制後台執行並強化封裝可見性宣告，流氓應用程式仍持續探索可用的平台觀察向量，以識別何時有新封裝正在安裝。

[後台惡意公用程式]
           │
           ├─► 第 1 步：觀察到可用的安裝狀態訊號
           ├─► 第 2 步：識別目標封裝名稱 (例如 com.example.app)
           ├─► 第 3 步：向欺詐廣告聯播網後端查詢追蹤連結
           └─► 第 4 步：透過無頭請求 (headless request) 以程式化方式發送偽造廣告點擊

利用中介視窗：下載開始與封裝開啟之間的物理延遲

從用戶在 Google Play 商店點擊「安裝」到他們點擊「開啟」的那一刻，存在不可避免的物理延遲。這個中介視窗由三個連續的操作階段組成：

封裝傳輸：應用程式特定裝置的 APK 檔案透過 Wi-Fi 或蜂巢式網路下載，下載時間取決於檔案大小、網路頻寬與伺服器延遲。
封裝驗證與安裝：Android 作業系統掃描封裝、驗證數位簽章並將檔案解壓縮至本機儲存空間，受裝置硬體效能控制。
啟動延遲：用戶在主畫面或商店介面看到安裝完成並點擊應用程式圖示進行首次啟動，此過程可能從數秒到數小時不等。

此中介視窗提供了一個脆弱的時間走廊。一旦惡意應用程式偵測到目標下載已開始，它就有足夠的時間查詢廣告伺服器、接收追蹤 URL 並在目標應用程式執行其初始程式碼之前發送偽造點擊。

欺詐者如何操弄最後觸點歸因規則

最後觸點歸因模型將 100% 的轉換權益授予安裝前最後一次記錄的點擊。欺詐者利用點擊注入確保其點擊時間戳記在時間軸上位於所有合法接觸點之後。

如果合法發布商在幾天前提供了真實的廣告曝光與點擊 ( $t_{\text{legitimate}}$ )，而惡意應用程式在應用程式開啟前一刻發送了注入點擊 ( $t_{\text{injected}}$ )，歸因時間軸將記錄：

t_{\text{legitimate}} < t_{\text{download\_start}} < t_{\text{injected}} < t_{\text{app\_launch}}

根據標準的最後觸點邏輯，歸因引擎將轉換授予注入點擊，完全捨棄了合法發布商的貢獻。

Android click injection attack during a genuine app install

Install Referrer 時間差與點擊倒置的數學原理

定義平台時間欄位：點擊時間戳記 vs. 安裝開始時間戳記

擊敗點擊注入需要評估安裝時間軸與平台提供的時間欄位，而非未經證實的客戶端系統時鐘。

Google Play Install Referrer Client Library 公開了兩個主要的客戶端層級時間欄位：

推薦點擊時間戳記 ( $t_{\text{referrer\_click}}$ )：當推薦連結被點擊時，由 Google Play 記錄的客戶端時間戳記 (referrerClickTimestampSeconds)。
安裝開始時間戳記 ( $t_{\text{install\_begin}}$ )：當 Google Play 開始安裝封裝時記錄的客戶端時間戳記 (installBeginTimestampSeconds)。

在較低層級的 Play Install Referrer AIDL 服務合約中，Google 也定義了伺服器端的時間對應欄位 (referrer_click_timestamp_server_seconds 與 install_begin_timestamp_server_seconds)。雖然 Client Library 的值提供了有價值的本地時間訊號，但後端架構會將這些值與上游廣告聯播網的點擊記錄進行交叉引用，以建立多來源的時間軸。

制定點擊至安裝開始時間 (CTIT)

利用這些平台時間戳記，歸因引擎計算點擊至安裝開始時間 ( $\text{CTIT}_{\text{install\_begin}}$ )：

\text{CTIT}_{\text{install\_begin}} = t_{\text{install\_begin}} - t_{\text{referrer\_click}}

在廣告 causally 激發安裝的合法用戶旅程中，預期的時間順序要求點擊必須先於安裝發起：

\text{預期時間排序}: \quad t_{\text{referrer\_click}} \le t_{\text{install\_begin}} \implies \text{CTIT}_{\text{install\_begin}} \ge 0

在真實的人類驅動互動中， $\text{CTIT}_{\text{install\_begin}}$ 的數值分佈會受到商店瀏覽時間、連線速度以及立即或延遲安裝決策的影響。

偵測點擊倒置：識別不一致的時間序列

點擊注入會造成時間倒置，即所聲稱的廣告點擊發生在應用程式封裝安裝已經開始之後：

\text{倒置條件 (候選注入)}: \quad \text{CTIT}_{\text{install\_begin}} < 0

\text{等價敘述}: \quad t_{\text{referrer\_click}} > t_{\text{install\_begin}}

時間軸 (t) ──►
[用戶在 Play 商店點擊「安裝」] ───► [Google Play 安裝開始] ──► [應用程式首次啟動]
                   │                               │                               │
                   ▼                               ▼                               ▼
        t_download_click (真實)             t_install_begin                 t_app_first_launch
                                                   ▲                               ▲
                                                   │  [惡意注入的點擊]             │
                                                   └─── t_referrer_click ──────────┘
                                                   (CTIT_install_begin < 0: 偵測到倒置)

負值的點擊至安裝開始時間差是一個強烈的時間異常，與聲稱廣告導致安裝的邏輯不符。其欺詐嚴重性應結合多訊號欺詐評估策略中的獨立伺服器端歸因證據進行評估。

如何在 Android SDK 中實作 Google Play Install Referrer 遙測

在 build.gradle 中新增 Google Play Install Referrer 依賴項

若要在 Android 上捕獲商店時間戳記，應用程式必須包含官方的 Google Play Install Referrer 用戶端程式庫。

將依賴項新增至應用程式層級的 build.gradle 檔案：

dependencies {
    implementation("com.android.installreferrer:installreferrer:2.2")
}

綁定 InstallReferrerClient 並處理非同步連線狀態

InstallReferrerClient 透過 Android IPC 服務連線與 Google Play 商店應用程式通訊。由於安裝推薦數據至少可保留 90 天，且除非重新安裝，否則不會在工作階段之間更改，因此用戶端應用程式應在首次啟動時獲取此遙測數據並在本地保存。

下方的 Kotlin 實作演示了如何綁定至 InstallReferrerClient、處理非同步連線狀態、提取客戶端時間戳記 (referrerClickTimestampSeconds 與 installBeginTimestampSeconds)、計算時間差，並管理本地保存，以確保網路上傳失敗不會導致遙測數據遺失：


```kotlin
// [CODE_BLOCK_01] Android Kotlin 實作
package com.example.analytics.antifraud

import android.content.Context
import android.content.SharedPreferences
import android.net.Uri
import android.os.RemoteException
import android.util.Log
import com.android.installreferrer.api.InstallReferrerClient
import com.android.installreferrer.api.InstallReferrerStateListener
import com.android.installreferrer.api.ReferrerDetails

class PlayInstallReferrerManager(private val context: Context) {

    private val prefs: SharedPreferences = context.getSharedPreferences(PREFS_NAME, Context.MODE_PRIVATE)
    private lateinit var referrerClient: InstallReferrerClient

    fun retrieveInstallReferrerTelemetry(onTelemetryReady: (ReferrerTelemetryPayload) -> Unit) {
        // 強制冪等性：Google Play 推薦數據保留 90 天，應只查詢一次
        if (prefs.getBoolean(KEY_REFERRER_UPLOADED, false)) {
            Log.d(TAG, "安裝推薦遙測數據已送達。跳過重複查詢。")
            return
        }

        // 檢查是否已在本機快取，以避免若上傳失敗需重新綁定 Google Play
        if (prefs.getBoolean(KEY_REFERRER_CACHED, false)) {
            val cachedPayload = getCachedPayload()
            if (cachedPayload != null) {
                Log.d(TAG, "交付已快取的安裝推薦負載以重試上傳。")
                onTelemetryReady(cachedPayload)
                return
            }
        }

        referrerClient = InstallReferrerClient.newBuilder(context).build()
        
        referrerClient.startConnection(object : InstallReferrerStateListener {
            override fun onInstallReferrerSetupFinished(responseCode: Int) {
                when (responseCode) {
                    InstallReferrerClient.InstallReferrerResponse.OK -> {
                        try {
                            val response: ReferrerDetails = referrerClient.installReferrer
                            
                            // 提取官方客戶端程式庫時間戳記 (自 epoch 以來的秒數)
                            val clickTimestampSeconds = response.referrerClickTimestampSeconds
                            val installBeginTimestampSeconds = response.installBeginTimestampSeconds
                            val rawReferrerUrl = response.installReferrer
                            val isInstantApp = response.googlePlayInstantParam

                            // 計算點擊至安裝開始時間差
                            val ctitDeltaSeconds = installBeginTimestampSeconds - clickTimestampSeconds
                            
                            // 標記時間倒置：點擊記錄在安裝開始之後
                            val isClickInversionDetected = ctitDeltaSeconds < 0

                            val sanitizedReferrer = validateAndSanitizeReferrer(rawReferrerUrl)

                            val payload = ReferrerTelemetryPayload(
                                referrerString = sanitizedReferrer,
                                clickTimestampSeconds = clickTimestampSeconds,
                                installBeginTimestampSeconds = installBeginTimestampSeconds,
                                ctitDeltaSeconds = ctitDeltaSeconds,
                                isClickInversionDetected = isClickInversionDetected,
                                isInstantApp = isInstantApp
                            )

                            // 在嘗試閘道上傳前在本機保存負載
                            cachePayloadLocally(payload)

                            Log.i(TAG, "安裝推薦數據已捕獲：CTIT 差值=${ctitDeltaSeconds}s, 倒置=$isClickInversionDetected")
                            onTelemetryReady(payload)
                            
                        } catch (e: RemoteException) {
                            Log.e(TAG, "與 Google Play 商店的 IPC 遠端通訊錯誤：${e.message}")
                        } catch (e: SecurityException) {
                            Log.e(TAG, "綁定至 Play 商店服務的安全異常：${e.message}")
                        } catch (e: Exception) {
                            Log.e(TAG, "讀取安裝推薦詳情失敗：${e.message}")
                        } finally {
                            endConnectionSafely()
                        }
                    }
                    InstallReferrerClient.InstallReferrerResponse.FEATURE_NOT_SUPPORTED -> {
                        Log.w(TAG, "此裝置或商店用戶端不支援安裝推薦 API。")
                        endConnectionSafely()
                    }
                    InstallReferrerClient.InstallReferrerResponse.SERVICE_UNAVAILABLE -> {
                        Log.w(TAG, "綁定期間 Google Play 商店服務不可用。")
                        endConnectionSafely()
                    }
                    InstallReferrerClient.InstallReferrerResponse.DEVELOPER_ERROR -> {
                        Log.e(TAG, "安裝推薦開發人員配置錯誤。")
                        endConnectionSafely()
                    }
                }
            }

            override fun onInstallReferrerServiceDisconnected() {
                Log.d(TAG, "安裝推薦服務已中斷連線。")
            }
        })
    }

    fun markTelemetryDelivered() {
        // 僅在後端閘道持久確認接收後調用
        prefs.edit()
            .putBoolean(KEY_REFERRER_UPLOADED, true)
            // 數據最小化：接收確認後清除快取的負載數據
            .remove(KEY_CACHED_REFERRER)
            .remove(KEY_CACHED_CLICK_SEC)
            .remove(KEY_CACHED_INSTALL_SEC)
            .remove(KEY_CACHED_DELTA_SEC)
            .remove(KEY_CACHED_INVERSION)
            .remove(KEY_CACHED_INSTANT)
            .apply()
        Log.d(TAG, "已確認收到推薦遙測，並已清除快取負載。")
    }

    private fun endConnectionSafely() {
        try {
            if (::referrerClient.isInitialized && referrerClient.isReady) {
                referrerClient.endConnection()
            }
        } catch (e: Exception) {
            Log.w(TAG, "關閉推薦用戶端時發生錯誤：${e.message}")
        }
    }

    private fun validateAndSanitizeReferrer(rawUrl: String?): String? {
        if (rawUrl.isNullOrBlank() || rawUrl.length > 2048) return null
        return try {
            val uri = Uri.parse("https://dummy.local/?$rawUrl")
            val allowedKeys = setOf("utm_source", "utm_medium", "utm_campaign", "utm_content", "utm_term", "channelCode")
            val sanitizedParams = uri.queryParameterNames
                .filter { it in allowedKeys }
                .joinToString("&") { key -> "$key=${Uri.encode(uri.getQueryParameter(key))}" }
            sanitizedParams.ifBlank { null }
        } catch (e: Exception) {
            null
        }
    }

    private fun cachePayloadLocally(payload: ReferrerTelemetryPayload) {
        prefs.edit()
            .putBoolean(KEY_REFERRER_CACHED, true)
            .putString(KEY_CACHED_REFERRER, payload.referrerString)
            .putLong(KEY_CACHED_CLICK_SEC, payload.clickTimestampSeconds)
            .putLong(KEY_CACHED_INSTALL_SEC, payload.installBeginTimestampSeconds)
            .putLong(KEY_CACHED_DELTA_SEC, payload.ctitDeltaSeconds)
            .putBoolean(KEY_CACHED_INVERSION, payload.isClickInversionDetected)
            .putBoolean(KEY_CACHED_INSTANT, payload.isInstantApp)
            .apply()
    }

    private fun getCachedPayload(): ReferrerTelemetryPayload? {
        if (!prefs.getBoolean(KEY_REFERRER_CACHED, false)) return null
        return ReferrerTelemetryPayload(
            referrerString = prefs.getString(KEY_CACHED_REFERRER, null),
            clickTimestampSeconds = prefs.getLong(KEY_CACHED_CLICK_SEC, 0L),
            installBeginTimestampSeconds = prefs.getLong(KEY_CACHED_INSTALL_SEC, 0L),
            ctitDeltaSeconds = prefs.getLong(KEY_CACHED_DELTA_SEC, 0L),
            isClickInversionDetected = prefs.getBoolean(KEY_CACHED_INVERSION, false),
            isInstantApp = prefs.getBoolean(KEY_CACHED_INSTANT, false)
        )
    }

    companion object {
        private const val TAG = "PlayReferrerManager"
        private const val PREFS_NAME = "antifraud_referrer_prefs"
        private const val KEY_REFERRER_CACHED = "key_play_referrer_cached"
        private const val KEY_REFERRER_UPLOADED = "key_play_referrer_uploaded"
        private const val KEY_CACHED_REFERRER = "key_cached_referrer_str"
        private const val KEY_CACHED_CLICK_SEC = "key_cached_click_sec"
        private const val KEY_CACHED_INSTALL_SEC = "key_cached_install_sec"
        private const val KEY_CACHED_DELTA_SEC = "key_cached_delta_sec"
        private const val KEY_CACHED_INVERSION = "key_cached_inversion"
        private const val KEY_CACHED_INSTANT = "key_cached_instant"
    }
}

data class ReferrerTelemetryPayload(
    val referrerString: String?,
    val clickTimestampSeconds: Long,
    val installBeginTimestampSeconds: Long,
    val ctitDeltaSeconds: Long,
    val isClickInversionDetected: Boolean,
    val isInstantApp: Boolean
)

將經過清理的推薦遙測數據傳輸至後端接入閘道

客戶端評估提供了本地遙測數據，但最終的歸因判定必須在歸因後端執行。客戶端裝置可能會受到本地竄改、框架 Hook 或 Proxy 攔截的影響。

此實作在後端傳輸前執行了說明性的白名單過濾；生產環境實作應額外執行欄位層級長度限制、字元編碼驗證與數據分類規則。

在提取 ReferrerDetails 後，原生 SDK 會驗證傳入參數：

referrer_url：針對預期的行銷活動金鑰白名單 (utm_source, utm_campaign, channelCode) 進行解析與過濾，剝離非標準查詢參數。
referrer_click_timestamp_seconds：客戶端層級的點擊 epoch 時間戳記。
install_begin_timestamp_seconds：客戶端層級的下載開始 epoch 時間戳記。
google_play_instant：布林旗標，表示應用程式是否透過 Google Play Instant 啟動。

此負載透過 TLS 加密連線傳輸至歸因接入閘道。後端引擎會將 Client Library 時間欄位與獨立的廣告聯播網/伺服器點擊記錄進行交叉引用，並在實作公開支援伺服器端 Play 時間證據的情況下，將這些記錄分開併入。

點擊注入與點擊刷量時間特徵的比較評估

對比跨延遲、體積與 CVR 剖析的歸因劫持向量

雖然點擊注入與點擊刷量都被歸類為歸因劫持，但它們在傳遞機制、時間差與轉換率方面表現出不同的遙測特徵。

下表對比了主要的歸因劫持向量與合法人類流量：

評估維度	點擊注入 (安裝劫持)	點擊刷量 (點擊洪流)	合法人類歸因
主要平台關聯	歷史上與 Android 相關	跨平台 (iOS, Android, 行動網頁)	跨平台
點擊至安裝開始時間差	倒置的時間差 ( $\text{CTIT} < 0$ )	非倒置差值	非負數 (取決於基準)
平均安裝時間 (MTTI)	集中於左側尾端異常	異常延伸的後期視窗尾端	經驗性基準分佈
行銷活動轉換率	正常至偏高 (針對活躍下載者)	相對於渠道基準偏低	標準渠道基準
主要偵測證據	安裝推薦時間比較	MTTI 分佈建模與 IP 速率限制	多因素歸因驗證

Click injection flooding and legitimate traffic timing comparison

區分注入尖峰與快速人類下載

在高速光纖或 5G 連線上，輕量級應用程式可以快速下載並安裝。如果歸因引擎僅依賴端到端 MTTI ( $\text{Timestamp}_{\text{launch}} - \text{Timestamp}_{\text{click}}$ )，高速的合法下載可能會被錯誤標記為點擊注入。

Google Play Install Referrer API 提供了關鍵的去模糊處理。即使用戶在高速連線下快速下載應用程式，他們真實的點擊發生在安裝啟動之前 ( $\text{CTIT}_{\text{install\_begin}} \ge 0$ )。相比之下，點擊注入將點擊記錄在安裝開始之後 ( $\text{CTIT}_{\text{install\_begin}} < 0$ )，無論連線速度或封裝大小，都提供了可靠的分離標準。

成效行銷人員何時需要即時點擊劫持監控視窗

為 Android 歸因配置 OpoInstall 反作弊監控規則

OpoInstall 提供了專為識別行動獲客活動中歸因劫持設計的反作弊監控引擎。

工程師可以參考反作弊監控文件，了解關於設定異常規則與審查例外報告的技術規格。

關鍵配置規則包括：

點擊劫持視窗期：定義一個客戶配置的最低 MTTI 閾值，該閾值是根據應用程式封裝大小與基礎網路環境進行校準的。在點擊時間戳記與下載現實衝突的異常短時間內完成的安裝，會被標記為點擊劫持候選嘗試。
即時歸因處置：規則引擎會在觸發網路回傳之前，針對配置的策略評估候選點擊。若安裝被標記為疑似劫持轉換，歸因引擎可以根據配置的歸因策略拒絕合作夥伴索賠，或將事件路由至自然安裝或未歸因的調解路徑。
安裝裝置與 IP 異常閾值：限制在 24 小時視窗內來自單一 IP 子網或內部裝置異常識別碼的容許安裝聲明，識別協同農場活動。

審查例外統計數據：鑽研異常渠道與被注入的子網

當反欺詐規則攔截到可疑活動時，監控主控台會將遙測數據記錄在專用的例外報告中：

例外 IP 與裝置報告：追蹤與重複點擊注入或高密度安裝索賠相關的特定子網與內部裝置異常識別碼。
MTTI 分佈報告：將點擊至安裝延遲可視化，並跨產品定義的分析區間模型進行呈現，允許成長團隊將候選渠道與聚合基準進行比較。顯示異常左側尾端尖峰的渠道將被分離以進行合作夥伴調解。

適合與不適合進行專用點擊注入防禦的條件

部署專用的點擊注入防禦基礎設施，可在特定活動條件下提供高運作回報：

適合條件：
- 分佈在程式化 DSP、廣告聯播網與多層次聯盟經紀商上的大規模 Android 行銷活動。
- 擁有高自然安裝量但懷疑遭流氓廣告聯播網進行歸因偷渡的應用程式。
- 使用非 SAN 行銷渠道且原始點擊時間戳記由第三方發布商提交的活動。
不適合條件：
- 純 iOS 行銷活動：iOS 不會向一般第三方應用程式公開相等的通用跨應用程式安裝觀察功能，使得傳統的點擊注入在非越獄 iOS 裝置上無法實行。
- 平台管理的獲客介面：封閉式廣告介面在平台基礎設施內處理歸因，其中面臨第三方後台歸因劫持的風險顯著較低。

點擊注入防禦中的常見誤區

誤區 1：安裝後留存指標會暴露點擊注入：由於點擊注入會劫持自然有意使用應用程式的真實人類用戶，因此第 1 天到第 30 天的留存率與應用內購買指標看起來可能完全正常。依賴產品數據分析來偵測點擊注入是無效的。
誤區 2：網頁重新導向 URL 可以停止注入點擊：追蹤 URL 管理從網頁到應用商店的轉換過程。它們對於幾分鐘後 APK 下載時發生的客戶端 Android 作業系統事件完全不可見。防禦需要整合原生 Google Play Install Referrer。

常見問題 (FAQ)

是什麼讓點擊注入對 Android 裝置而言如此獨特？