Эволюция рекламного фрода в недвижимости: почему традиционные методы защиты перестали работать

Ситуация типичная для девелопмента в 2026 году: рекламный бюджет расходуется по плану, CRM забивается заявками, но менеджеры с каждым месяцем мрачнеют. Звонят — в ответ тишина, детский лепет или «а вы кто?». Деньги списаны, лиды есть, сделок нет. И всё чаще причина не в кривых руках настройщика, а в системном фроде, который за два года превратился из раздражителя в полноценный канал утечки бюджетов.

Я анализировал кампании нескольких десятков застройщиков за последние полтора года. Вывод неутешительный: большинство защит, которые работали в 2023–2024 годах, сегодня дают ложное чувство безопасности. Боты эволюционировали. И если вы до сих пор полагаетесь только на «защиту от невалидных кликов» в Директе — вы фактически финансируете чужой бизнес.

P.S В конце статьи отдаю небольшой обзор антифрод-сервисов.

Экономика фрода проста до цинизма. Лид в недвижимости стоит в 10–20 раз дороже, чем, скажем, заявка на доставку суши или чехол для телефона. В Московском регионе стоимость целевого обращения начинается от 2000–2500 рублей, в Сочи или Тюмени — около 1500, но речь всё равно о суммах, которые делают атаку экономически оправданной. Фродеру достаточно сгенерировать один «лид» — и он окупил сотню кликов по дешёвой нише.

Но дело не только в цене. Продукт недвижимости предполагает длинный цикл принятия решения и множество касаний: человек может десять раз зайти на сайт, покрутить 3D-туры, сравнить планировки, подписаться на акции, заполнить квиз «какой вы покупатель». Каждое такое действие — микроконверсия, которую можно накрутить. И современные боты это делают. Они не просто кликают по объявлению — они проходят весь путь, имитируя заинтересованного пользователя.

По данным, которые мы агрегировали через три независимых антифрод-сервиса, доля фрода в заявках застройщиков в отдельных регионах достигает 55–65%. Это не случайные накрутки от конкурентов, а организованные атаки с использованием эмуляторов браузеров и нейросетей для генерации осмысленного поведения.

Один из показательных кейсов. Подрядчик по контекстной рекламе отчитался о конверсии в лид на уровне 12% с РСЯ. Для тех, кто не в теме: обычная конверсия там колеблется между 0,5% и 1,2%. Аномалия. Начали разбираться — 51% трафика шёл с IP-адресов, зарегистрированных в Молдове. Геотаргетинг кампании был жёстко настроен на Московский регион. Классическая подмена заголовков и проксирование. Кампанию остановили, но несколько сотен тысяч рублей уже улетели.

Раньше фрод был примитивным. Скликивание с одного IP, заполнение форм случайными символами, отсутствие эмуляции мыши. Сегодня — другая картина. Современные боты:

— эмулируют движение курсора с вариативной траекторией и остановками (отличить от человеческого невозможно без статистического анализа на большом объёме);— делают паузы между действиями, имитирующие чтение и размышление, с нормальным распределением по длительности;— заполняют текстовые поля осмысленными фразами, сгенерированными языковыми моделями под контекст (например, «интересует трёхкомнатная на южной стороне, с отделкой»);— ротируют цифровые отпечатки (User-Agent, Canvas Fingerprint, WebGL, список шрифтов) — каждый визит выглядит как новый пользователь с нового устройства.

Но самое опасное — это адаптация к рекламным алгоритмам. Боты «обучаются» на сигналах, которые Яндекс.Директ и VK Реклама считают положительными: глубина просмотра, время на сайте, количество микроконверсий. Алгоритмы ранжируют таких ботов выше, наращивают на них показы и оптимизируют кампании под них. Возникает порочный круг: вы платите за демонстрацию ботам, алгоритмы видят «активность» и приводят ещё больше ботов, а реальные пользователи постепенно вытесняются из аукциона.

Рекламные системы не справляются с этим в одиночку. И не должны — это не их основной профиль. Встроенные фильтры Яндекса блокируют только самые примитивные атаки: массовые клики с одного IP, ботов с известными сигнатурами, аномальную частоту. Против распределённых ботнетов и поведенческих эмуляторов они бессильны. Более того, у платформ есть внутренний конфликт интересов: рост числа кликов и конверсий (даже невалидных) улучшает их отчётность перед рекламодателем в краткосрочной перспективе. Получается, мы защищаемся от угрозы, которую система не считает угрозой.

За годы экспериментов я пришёл к простой мысли: идеальной защиты не существует, но эшелонированная оборона снижает потери до статистически незначимых величин. Нужно фильтровать на трёх этапах: до входа на сайт, на сайте и после получения заявки.

Первый уровень — предфильтрация в рекламном кабинете. Смысл в том, чтобы не показывать рекламу тем, кто уже идентифицирован как бот на других ресурсах. Специализированные сервисы накапливают базы цифровых отпечатков. Эти сегменты можно загрузить в Директ с корректировкой ставок -100%. На практике это снижает расходы на 20–30% без потери целевых лидов — потому что настоящие пользователи в эти чёрные списки почти не попадают.

Второй обязательный элемент — еженедельный аудит площадок РСЯ. Сайты с играми, решебниками, торрентами и сомнительными VPN-сервисами — прямой канал для фрода. Если ваша реклама там висит, вы платите ботам. Я отключаю такие площадки без сомнений.

Ещё один рабочий, хотя и временный приём — смена UTM-меток. Некоторые ботнеты захардкожены на конкретные структуры URL и не адаптируются к изменениям. В одном проекте мы за четыре часа остановили поток из 6000 спам-заявок: пересоздали объявления с новыми UTM и заблокировали старые ссылки на уровне веб-сервера. Боты продолжали долбиться в старые адреса, не получая ответа. Минус — через несколько дней боты адаптируются, так что метод хорош как экстренная мера, но не как системная защита.

Второй уровень — барьеры на посадочной странице. Если бот всё же перешёл, его нужно идентифицировать до отправки формы.

Поведенческие JS-скрипты — это стандарт 2026 года. Они анализируют сотни параметров: скорость и траекторию движения мыши, вариативность таймингов нажатий, поддержку WebGL, рендеринг шрифтов, эмуляцию событий. Если совокупность признаков с высокой вероятностью указывает на бота, визит можно отправить на капчу или заблокировать. В продвинутых конфигурациях (например, KillBot) есть функция «зацикливания» — бот зависает в бесконечной загрузке, тратя ресурсы атакующего.

Геофильтрация с двойной проверкой. Боты давно научились подменять IP на уровне HTTP-запроса. Но можно проверять IP дважды: при загрузке страницы и в момент отправки формы. Если адреса различаются (скажем, первый IP — московский, второй — румынский), это почти гарантированный признак прокси. Такая проверка реализуется на серверной стороне за полдня работы разработчика.

Невидимые поля (honeypot) — старый, но работающий метод. В форму добавляется поле, скрытое через CSS. Человек его не видит и не заполняет. Бот же, особенно не очень умный, перебирает все поля формы и вставляет случайные значения. Если поле оказалось непустым — заявка тихо отклоняется. Просто, бесплатно, эффективно.

Лимит частоты отправок — не более 3 заявок с одного fingerprint за 3 часа. Этого достаточно для реального пользователя, который может вернуться через пару часов после первого визита, но критично для бота, генерирующего десятки заявок в минуту.

Лид-формы в соцсетях — отдельная боль. Туда не поставишь свой скрипт. Приходится извращаться: заменять стандартные поля (телефон, имя) на вопросы с ручным вводом — «какую планировку рассматриваете?», «в каком месяце планируете выход на сделку?». Боты, заточенные на типовые поля, часто спотыкаются. И обязательно отключать автозаполнение форм — многие боты полагаются именно на него.

Третий уровень — постфильтрация на этапе контакта. Часть ботов доходит до отправки заявки. Никуда не деться. Здесь помогают методы, основанные на живом или автоматизированном скоринге.

Промежуточный колл-центр — звучит дорого, но окупается. Идея: лид сначала попадает не в CRM к продажникам, а к оператору на 30–40 секунд. Короткий скрипт: «Добрый день, вы оставляли заявку на квартиры в ЖК X? Какой бюджет рассматриваете?» Реальный клиент отвечает внятно. Бот — либо молчит, либо отвечает шаблонно, либо не понимает вопроса. В среднем через такую фильтрацию проходит 40–50% заявок. Остальные — мусор. Да, вы платите оператору. Но вы не платите зарплату продажникам, которые тратят время на обзвон ботов, и не теряете сделку из-за того, что менеджер выгорел от бесконечного спама.

Сквозная аналитика с антифрод-модулем (например, Calltouch, Smartis) — это уже автоматизация того же подхода. Система проверяет номер телефона по чёрным базам, определяет активность SIM-карты, анализирует историю визитов, сопоставляет источники. Если интегральная оценка риска превышает 75–80%, заявка автоматически маркируется как спам и не передаётся в работу. Плюс вы получаете отчётность по каналам с аномальной долей фрода — и можете принимать решения: менять подрядчика, чистить кампанию, пересматривать настройки.

Пытаясь отсечь ботов, можно ненароком обрушить кампанию. Два типичных случая из моей практики.

Первый: завышенная ценность микроконверсий. Мы настраивали кампанию на чат-лендинг. Каждый ответ в квизе повесили как микроконверсию с высокой ценностью — 500–1000 рублей. Финальная заявка стоила 5000. Пришли боты, идеально проходящие квиз шаг за шагом. Алгоритм Яндекса увидел кучу «полезных» действий по отличной цене и решил, что такие боты — наша целевая аудитория. Реклама реальным людям практически перестала показываться. Лечение простое: снижаем ценность микроконверсий до 10–50 рублей — ниже стоимости клика. Теперь алгоритм понимает, что просто пощёлкать кнопки — дёшево, а отправить заявку — дорого. Фокус обучения сместился обратно.

Второй: преждевременная минусация площадок. Да, мусорные сайты нужно отключать. Но не в первый день кампании, когда у алгоритма ещё нет статистики. Если вы на старте зажёстко минусуете сотни площадок, система не сможет накопить данные для обучения и будет работать вслепую. Моё правило: дать кампании отработать 7–14 дней при бюджете от 30–50 тысяч рублей в неделю, выгрузить отчёт по площадкам, проанализировать, и только потом вводить минусацию. Исключение — заведомо мошеннические ресурсы из публичных чёрных списков.

Если вы подозреваете, что ваш бюджет утекает, не нужно перелопачивать всё сразу. Вот последовательность действий, которая не требует революции.

Шаг 1. Экспресс-аудит статистики. Посмотрите на отчёты. Ищите аномалии: всплески конверсий с 2 до 6 утра, трафик из стран не по геотаргетингу, конверсию в лид выше 5–7% на холодных каналах (поиск, РСЯ), подозрительно высокую долю заполненных форм при минимальной глубине просмотра. Если хотя бы два пункта совпали — у вас проблема.

Шаг 2. Внедрите хотя бы один поведенческий скрипт на посадочные страницы. Это может быть коммерческое решение (на рынке есть несколько адекватных игроков) или самописная легковесная система на базе открытых библиотек. Главное — начать собирать данные о поведении.

Шаг 3. Усложните цели в веб-аналитике. Перестаньте считать целевым визит на страницу «спасибо». Настройте составные цели, требующие времени на сайте (например, от 45 секунд) и просмотра нескольких страниц (главная → планировки → форма). Боты редко имитируют такую глубину, а если и имитируют — это уже дорогой кастомный фрод, с которым борются иначе.

Шаг 4. Добавьте защитные элементы в формы: скрытое поле-ловушку, лимит отправок с одного отпечатка, двойную геопроверку. Это реализуется силами штатного разработчика за несколько часов.

Шаг 5. Протестируйте скоринг заявок — либо через выделенного оператора на пару недель, либо через подключение антифрод-модуля в CRM. Оцените реальную долю валидных лидов. Цифры вас, скорее всего, удивят.

Фрод в рекламе девелоперов — это уже не «где-то там у конкурентов». Это системный риск, который нужно закладывать в медиапланы и учитывать в KPI подрядчиков.

Если у вас есть нестандартный кейс или вы нашли метод, который я не описал — напишите в комментариях. Обмен опытом здесь полезнее любой проплаченной экспертизы.

P.S. Я собрал небольшой обзор антифрод-сервисов — там таблица, плюсы и минусы, цены и тестовые периоды. Если актуально — пишите в личные сообщения. Отправлю бесплатно, без всяких «подписок и смс», просто полезный материал.