Москва+7 495 215-10-97
StreamMyData

Анонимный кейс / Антифрод / Яндекс Метрика

Идеальные метрики, которых не бывает

Три разных рекламных источника показали одинаковые глубину 2,4 и время на сайте 2:25. AI-агент StreamMyData за 8 минут доказал, что это один искусственный поток визитов, и подготовил обращение в антифрод Яндекса. Разбираем улики и объясняем, почему верификатор трафика тут не поможет.

Клиент
федеральный производитель, строительный сегмент
Под подозрением
три баннерных CPC-источника нового подрядчика: A, B и C
Период
13 дней, сентябрь 2026
Данные
Яндекс Метрика → StreamMyData → ClickHouse
Агент
8 мин 4 с работы, 48 запросов к данным
8 мин
работы агента на всё расследование, 48 запросов к данным
80 216
подозрительных визитов разобрано до уровня хитов
279 тыс
хитов связано с визитами по visitID, совпадение 100%
3 → 1
три рекламных источника оказались одним потоком

Ситуация

Подрядчик сменился, и отчёты стали образцовыми

Клиент — федеральный производитель в строительном сегменте с большим сайтом: каталог решений, калькуляторы, вебинары, контакты. Рекламных подрядчиков он оценивал по поведенческим метрикам: времени на сайте и глубине просмотра.

Прежний подрядчик не выполнил KPI по времени на сайте, и клиент перешёл к другому. Новый подрядчик запустил три баннерных CPC-источника, назовём их A, B и C. Через пару недель отчёты выглядели образцово: 2,4 страницы за визит, 2 минуты 25 секунд на сайте, отказов почти нет.

У трёх рекламных сетей разные площадки, форматы и аудитории, поэтому их метрики обычно заметно расходятся. Здесь они совпадали до десятых. Команда описала подозрение одним сообщением и отправила его агенту.

Запрос команды

В статистике за последние недели по каналам, которые подключил новый поставщик трафика, глубина 2,4 и время 2 мин 25 с. Ну такого не бывает. Ощущение, что агентство использует какой-то скрипт, чтобы везде накрутить метрики. Нужно проанализировать все эти заходы, все clientID и понять, как накручиваются эти метрики.

Агент StreamMyData · через 3 мин 32 с

Провёл первичный разбор по визитам Метрики за последние 45 дней. По этим трём источникам поведение почти идентично до неприличия.

Ход расследования

Восемь минут работы агента

Команда отправила агенту шесть сообщений. Дважды между ними она подключала новые данные: агент сам говорил, каких полей не хватает для доказательства. На шкале — реальное время работы агента.

12456
анализ данныхподготовка документовкоманда подключила новые данные
13:3220 запросов

Первый разбор визитов

Сравнил три источника с остальным трафиком сайта. Нашёл, что почти каждый визит приходит с новым clientID и пустым реферером, а устройства и маршруты у трёх источников совпадают. Выгрузил подозрительные визиты с флагами аномалий в CSV и XLSX.

21:1811 запросов

Доказательная база на визитах

Сравнил глубину, цели и маршруты с обычным трафиком, разложил поток на шесть типовых сценариев. Отдельно перечислил, что можно утверждать уверенно, что нельзя и каких данных не хватает.

30:014 запроса

Обращение в Яндекс

Собрал текст обращения в антифрод со счётчиком, периодом, UTM-метками и цифрами, плюс список полей для дополнительной выгрузки.

Команда подключила ещё три потока Метрики: хиты, электронную коммерцию и расширенные визиты с IP-адресами, параметрами экрана, данными Директа и UTM-метками.

41:428 запросов

Сеть и хиты

Нашёл общий пул IP-префиксов у трёх источников, одинаковые пачки визитов в одни и те же минуты и одинаковое расписание срабатывания целей.

50:19только текст

Усиленное обращение

Обновил письмо с учётом сетевых данных, добавил короткую версию для формы и чек-лист выгрузок.

В поток хитов добавили visitID и UTM-метки.

61:125 запросов

Склейка по visitID

Связал 100% хитов с визитами и нашёл одинаковые технические сигнатуры визитов сразу в трёх источниках, в том числе на одних и тех же IP-префиксах.

Итого 8 мин 4 с работы агента и 48 запросов к данным, которые никому не пришлось писать вручную. Без агента это выгрузка сырых данных Метрики, склейка 279 тыс. хитов с визитами и десятки SQL-запросов.

Улики

Семь признаков одного генератора

Каждый признак по отдельности можно попробовать объяснить особенностями площадок. Вместе они описывают один источник трафика под тремя метками.

Улика 1Визиты · 13 дней

Три сети, одни и те же цифры

У трёх рекламных сетей разные площадки и аудитории, но средние показатели совпали почти до десятых. Разброс между источниками — 1,2 секунды по времени, 0,02 страницы по глубине и 0,1 п.п. по отказам.

При этом все три выглядят вовлечённее остального трафика сайта: отказов почти в 10 раз меньше, медианный визит в 6,5 раза длиннее. Обычно баннерный трафик уступает поисковому и прямому, а не обгоняет их в разы.

Среднее время на сайте, с

A146,9
B145,7
C145,8
Прочие74,7

Медиана времени на сайте, с

A99
B98
C98
Прочие15

Глубина просмотра, страниц

A2,41
B2,40
C2,39
Прочие1,51

Отказы, %

A3,7
B3,8
C3,8
Прочие36,8

«Прочие» — весь остальной трафик сайта за тот же период.

Источник: визиты Метрики за 13 дней. A — 26 870, B — 26 690, C — 26 656, остальной трафик — 531 777 визитов.
Улика 2Визиты · clientID

Каждый визит — новый посетитель без реферера

За две недели рекламы почти никто не вернулся на сайт повторно, и ни один посетитель не пришёл из двух сетей сразу.

Почти все визиты начинаются без реферера. В остальном трафике доля таких визитов новых посетителей заметно ниже.

80 215
clientID на 80 216 визитов. Повторно зашёл один
100%
новых пользователей в каждом из трёх источников
99,99%
визитов нового пользователя с пустым реферером. В остальном трафике — 65,3%
0
clientID, общих хотя бы для двух источников
Источник: визиты Метрики за 13 дней, 80 216 визитов трёх источников. 80 214 из 80 216 — новые посетители с пустым реферером.
Улика 3Устройства · браузеры

Четыре шаблона устройств на 80 тысяч визитов

Весь поток укладывается в четыре связки устройства и браузера, с одинаковыми долями у всех трёх источников.

Четверть визитов — Safari под Windows, хотя Apple не выпускает Safari для Windows с 2012 года. В остальном трафике такой связки в 3,5 раза меньше. А мобильный Safari, основной браузер iPhone, в потоке практически не встречается.

В iOS-сегменте 100% устройств — iPhone. Тип сети у источников совпадает до процента: 59–60% не определён, 40–41% Wi-Fi.

Доля визитов трёх источников, %

iPhone · Chrome Mobile≈69
Windows · Safariв остальном трафике — 7,1%25,0
iPhone · Opera Touch≈4,7
iPhone · Яндекс Браузер≈1,3
iPhone · Safariосновной браузер iPhone≈0
Источник: визиты Метрики за 13 дней. Доли у A, B и C почти одинаковы, на графике — общий поток.
Улика 4Глубина · цели · маршруты

Визиты идут вглубь и собирают цели

В остальном трафике 79% визитов заканчиваются на первой странице. У трёх источников таких только 36,5%, а каждый третий визит доходит до трёх страниц и дальше.

Цели срабатывают в 82,9% визитов против 35,3% в остальном трафике. Двухстраничные визиты заканчиваются на странице контактов в 36,6%, 37,7% и 37,8% случаев, у каждого источника одинаково.

Визиты по глубине просмотра, %

источники A–Cостальной трафик

Визиты с достигнутыми целями, %

Источники A–C82,9
Остальной35,3
Показать таблицей
ГлубинаИсточники A–CОстальной трафик
1 страница36,5%79,0%
2 страницы29,6%9,5%
3 и больше33,9%11,5%
Визиты с целями82,9%35,3%
Источник: визиты Метрики за 13 дней. Визиты с целями: 66 495 из 80 216 против 187 747 из 531 777.
Улика 5Цели · время

Цели срабатывают по одному расписанию

У каждого источника первая цель срабатывает ровно на 30-й секунде визита в 72% случаев и сразу при входе ещё в 10%. Разброс между тремя сетями меньше процентного пункта.

Какая именно цель срабатывает на 30-й секунде, агент предложил уточнить по справочнику целей и добавил его в список выгрузок.

Момент первой цели, % визитов источника

ровно на 30-й секундесразу при входеостальные визиты
A
72,7%10,0%17,2%
B
72,0%10,2%17,8%
C
72,4%9,9%17,6%
Показать таблицей
Источник30-я секундаПри входеОстальные
A19 539 · 72,7%2 699 · 10,0%17,2%
B19 211 · 72,0%2 728 · 10,2%17,8%
C19 313 · 72,4%2 640 · 9,9%17,6%
Источник: расширенные визиты Метрики. A — 26 871, B — 26 692, C — 26 658 визитов.
Улика 6IP-адреса · время

Общие подсети и синхронный старт

Метрика скрывает последний октет IP-адреса, поэтому агент сравнивал префиксы. Пул у источников почти одинаковый: 673, 673 и 674 префикса. Крупнейшие подсети дают трафик всем трём сетям сразу, и все пять лежат в одном адресном блоке.

В одни и те же минуты три источника присылают одинаковое число визитов: по шесть или по пять каждый.

673IP-префикса у A
673IP-префикса у B
674IP-префикса у C

Крупнейшие подсети потока

ПодсетьclientIDИсточники
.80.xxx2 593A · B · C
.85.xxx2 488A · B · C
.87.xxx2 468A · B · C
.86.xxx2 463A · B · C
.82.xxx2 434A · B · C

Одинаковые пачки визитов в одну минуту · одна точка — один визит

13.09 · 13:45
A6
B6
C6
14.09 · 10:50
A6
B6
C6
15.09 · 22:09
A5
B5
C5
15.09 · 23:55
A5
B5
C5
15.09 · 23:58
A5
B5
C5
Источник: расширенные визиты Метрики с IP-адресами и точным временем. Первые октеты адресов скрыты.
Улика 7Хиты · visitID

Один и тот же визит в трёх источниках

Когда хиты связались с визитами по visitID, агент собрал для каждого визита техническую сигнатуру: страницу входа, цепочку хитов с интервалами, устройство, ОС, версию браузера и момент первой цели.

Одни и те же сигнатуры повторяются во всех трёх источниках почти в равных долях. Совпадает целая комбинация признаков, причём в одинаковых пропорциях.

Сигнатура №1 · как она выглядит в логе
00:00хит/contacts/?utm_source=A|B|C · реферер пуст · новый clientID
iPhone · iOS · Chrome Mobile 150
00:00цельпервая цель сразу при входе
00:15хит/contacts/ · тот же URL
конец визита
A×313B×319C×321
Сигнатура визита · все на iPhone с Chrome Mobile 150ABC
/contacts/ → /contacts/
2 хита, интервал 15 сцель сразу при входе
313
319
321
/section/ → /section/главная раздела
2 хита, интервал 15 сцель на 30-й секунде
213
224
240
/webinars/ → /webinars/
2 хита, интервал 15 сбез цели
195
172
190
/calculators/ → /calculators/
2 хита, интервал 15 сбез цели
185
161
183
/product/ → /product/страница продукта
2 хита, интервал 15 сцель на 30-й секунде
163
187
161

На одном IP-префиксе .80.xxx сигнатура №1 встречается у всех трёх источников: 24, 18 и 18 визитов. Такие же совпадения нашлись ещё на трёх префиксах: 59, 44 и 43 визита. Так выглядит один поток, размеченный тремя UTM-метками.

Механика

Как устроен поток

Реконструкция агента по визитам, хитам и IP-данным. Она описывает механику, а не исполнителя: кто запускает генератор, из данных Метрики не следует.

Один генераторреконструкция по даннымновый clientID на каждый визит4 шаблона устройства и браузераобщий пул IP-префиксоводинаковые маршруты и тайминги≈ 1/3 каждойutm = A26 870utm = B26 690utm = C26 656визитыОтчёт Метрикиглубина 2,4 страницывремя на сайте 2:25отказы 3,8%
Один генератор создаёт визиты с новым clientID, типовым устройством и адресом из общего пула. Визиты делятся примерно поровну между тремя UTM-метками, и в отчётах Метрики они выглядят как три отдельных источника с одинаковыми метриками.

Границы вывода

Что доказано, а что нет

Агент в каждом ответе отделял то, что видно в данных, от того, что из них не следует. Поэтому выводы можно передавать в Яндекс и руководству в том виде, в каком он их сформулировал.

Доказано данными

  • Трафик неестественный: 1 визит ≈ 1 clientID, 100% новых, пустой реферер, четыре шаблона устройств.
  • Три источника работают как одна система: одинаковые метрики, сигнатуры визитов, IP-префиксы и минутные пачки.
  • Поведенческие метрики подтянуты искусственно: отказы 3,8% против 36,8%, цели в 82,9% визитов против 35,3%.

Из этих данных не следует

  • Кто именно запускает генератор: данные показывают один источник трафика, но не называют его владельца.
  • Как именно генерируется трафик: скрипт, эмуляторы, SDK-фрод или ферма устройств.
  • Что нужно, чтобы это выяснить: сырой user-agent, полные IP или ASN, серверные логи. Агент перечислил, что запросить.

Вывод для бизнеса

Почему верификатор не решит проблему

Клиент решил, что проблему закроет внешний верификатор трафика. Он оценивает показы и клики каждой площадки по отдельности. Данные Метрики не называют исполнителя, но логика рынка показывает, почему такой проверки мало.

Площадки конкурируют

Три программатик-платформы борются за одни и те же бюджеты. У каждой свои закупки, аудитории и инфраструктура. Даже если у каждой есть свои боты, они не будут вести себя одинаково до сотых.

Площадки берегут репутацию

Одинаковые цифры у трёх сетей видны в первом же отчёте Метрики. Площадки понимают, что такой фрод заметят сразу, и так не рискуют.

Потоки сходятся у посредника

Общая точка у трёх источников одна: подрядчик, который закупает трафик и ставит UTM-метки. Равные доли, одинаковые пачки визитов в одни и те же минуты и общие сигнатуры похожи на один поток, разложенный по трём меткам. Проверка площадок по отдельности на этот уровень не смотрит.

Глубина и время на сайте: A, B, C и другие рекламные источники этого сайта

A, B и Cдругие источники
Отчёт Метрики №1
1,01,52,02,53,001:002:003:00глубина просмотра, страницвремя на сайте, мин:сКонтекст1,55 стр. · 1:20 — Контекст · отказы 35,9%Соцсети1,71 стр. · 1:28 — Соцсети · отказы 33,0%Видео1,13 стр. · 0:50 — Видео · отказы 44,0%A 2,41 · 2:26 — три источника в одной точкеB 2,40 · 2:25 — три источника в одной точкеC 2,39 · 2:25 — три источника в одной точкеA · B · Cтри точки в одной
Отчёт Метрики №2, другой период
1,01,52,02,53,001:002:003:00глубина просмотра, страницвремя на сайте, мин:сКонтекст1,90 стр. · 1:45 — Контекст · отказы 29,7%Медийка1,98 стр. · 1:50 — Медийка · отказы 8,4%Соцсети2,26 стр. · 2:10 — Соцсети · отказы 19,1%Видео1,60 стр. · 1:21 — Видео · отказы 27,8%A 3,01 · 3:11 — три источника в одной точкеB 3,00 · 3:11 — три источника в одной точкеC 3,00 · 3:10 — три источника в одной точкеA · B · Cтри точки в одной
У других источников свои глубина и время, и они заметно расходятся. A, B и C в обоих отчётах лежат в одной точке, хотя сами цифры в отчётах разные: 2,4 страницы и 2:25 в первом, 3,0 и 3:10 во втором. Посетителей у них столько же, сколько визитов, а конверсия в страницу «Где купить» около 35% у каждого.
Показать таблицей
ИсточникГлубина, №1 / №2Время, №1 / №2Отказы, №1 / №2«Где купить», №1 / №2
A2,41 / 3,012:26 / 3:113,7% / 3,5%34,6% / 35,0%
B2,40 / 3,002:25 / 3:113,8% / 3,6%35,2% / 35,1%
C2,39 / 3,002:25 / 3:103,8% / 3,6%34,7% / 35,0%
Контекст1,55 / 1,901:20 / 1:4535,9% / 29,7%16,7% / 27,3%
Соцсети1,71 / 2,261:28 / 2:1033,0% / 19,1%7,2% / 10,3%
Видео1,13 / 1,600:50 / 1:2144,0% / 27,8%1,6% / 6,7%
Медийка— / 1,98— / 1:50— / 8,4%— / 11,2%
В среднем по сайту1,65 / 2,211:28 / 2:0931,1% / 21,3%17,6% / 26,9%

Что работает вместо проверки площадок

  • Сравнивать источники между собой и с остальным трафиком. Совпадение, которого не бывает, видно сразу.
  • Сводить в одном месте расходы, клики, визиты и заявки по каждому источнику, чтобы видеть цепочку от закупки до сделки.
  • Ставить подрядчикам KPI на заявки и продажи из CRM. Время и глубину легко нарисовать, сделки нарисовать сложнее.

Для этого нужны данные в одном контуре и регулярная проверка. В StreamMyData источники подключаются один раз, а агент проверяет их за минуты.

Результат

Что команда получила на руки

  • Разбор по каждому источникуцифры по визитам, устройствам, глубине, целям и маршрутам в сравнении с остальным трафиком
  • Выгрузки для проверкиподозрительные визиты и clientID с флагами аномалий в CSV и XLSX
  • Классификацию потокашесть типовых сценариев, на которые раскладываются все 80 тысяч визитов
  • Обращение в антифрод Яндексаполная версия со счётчиком, UTM-метками и цифрами, короткая для формы
  • Чек-лист выгрузок из Метрикикакие поля добавить, чтобы превратить подозрение в доказательство
Фрагмент обращения · короткая версия, сокращено

Здравствуйте.

Просим провести антифрод-проверку по счётчику за период .09.2026–.09.2026 по трафику с источников A, B и C.

Мы выявили сильные признаки синтетического трафика:

  • почти 1 визит = 1 clientID, 100% новых пользователей;
  • почти весь трафик с пустым реферером;
  • почти идентичные поведенческие метрики у трёх источников;
  • общий пул IP-префиксов, одни и те же префиксы во всех трёх источниках;
  • повторяющиеся маршруты и одинаковые технические сигнатуры визитов.

Просим проверить этот сегмент на искусственную генерацию визитов и накрутку поведенческих метрик, а также уточнить, почему он не был отфильтрован антифродом.

Данные

Каждый новый поток поднимал уровень доказательств

В этом кейсе потоки подключали по ходу расследования, и каждый раз агент сразу шёл глубже. Когда источники подключены заранее, агенту не нужно ждать выгрузок: он сразу работает с хитами, расходами и сделками.

Визиты Метрики
Подозрение

Аномалии в агрегатах: одинаковые метрики, 100% новых, пустой реферер, шаблоны устройств.

+ хиты, e-commerce, расширенные визиты
Сильные признаки

IP-префиксы, синхронные минуты, расписание целей, маршруты по хитам.

+ visitID и UTM в хитах
Доказательство

100% склейка хитов с визитами и одинаковые сигнатуры в трёх источниках.

+ рекламные кабинеты и CRM
Следующий шаг: деньги

Сколько стоил каждый такой визит и сколько он принёс заявок и сделок.

StreamMyData

Как повторить это на своих данных

«Не ждите аналитиков — спрашивайте у AI-агента». Работа строится в три шага.

ШАГ 1

Подключите источники

Рекламные кабинеты, системы аналитики, CRM, маркетплейсы, таблицы и базы данных. Подключение настраивается один раз, дальше данные обновляются по расписанию.

ШАГ 2

Соберите данные в одном контуре

StreamMyData складывает данные в стандартизированные таблицы: ClickHouse, PostgreSQL, BigQuery или Google Sheets. Данные остаются под вашим контролем, есть on-premise.

ШАГ 3

Спрашивайте агента

Ставьте задачи в чате обычным языком. Агент сам пишет запросы, считает, строит графики, выгружает таблицы и готовит документы. Для расследований есть скил «Поиск аномалий в базовых метриках».

Яндекс МетрикаЯндекс ДиректVK РекламаAppMetricaCalltouchCoMagicAppsFlyeramoCRMБитрикс24RetailCRMOzonWildberriesЯндекс МаркетAvitoGoogle AdsGoogle AnalyticsЯндекс ВебмастерClickHousePostgreSQLBigQueryGoogle Sheetsи ещё больше 20 коннекторов

Чек-лист

Восемь признаков накрученного трафика

Отметьте, что видите у своих источников. Если совпало несколько пунктов, данные стоит разобрать на уровне визитов и хитов.

Отметьте признаки, которые видите у своих источников.

Попробовать

Проверьте свой трафик

Подключите Метрику и рекламные кабинеты к StreamMyData и задайте агенту тот же вопрос, что и в этом кейсе. На тарифе FREE диалог с данными, дашборды и скилы бесплатны. Для команды можно начать с пилота: 2–3 источника, один бизнес-вопрос и понятный критерий успеха.