Click Fraud og Cookie Stuffing i Affiliate- og Influencer-Tracking: Sådan Opdager og Forebygger I Det

Hvad er click fraud og cookie stuffing?

Click fraud er en samlebetegnelse for bevidst manipulation af det klik- og cookie-baserede sporingssystem, som affiliate- og influencer-tracking bygger på, så nogen får kredit for et salg, de reelt ikke har skabt. Cookie stuffing er den mest udbredte og historisk mest retsforfulgte teknik inden for click fraud: en tracking-cookie bliver placeret i en brugers browser, uden brugeren nogensinde har klikket på et rigtigt affiliate-link. Det er en helt anden situation end attribution-stacking, hvor to reelle, gyldige signaler begge rører samme ordre — ved cookie stuffing er der aldrig noget reelt klik at gøre op mod i første omgang.

Sådan fungerer cookie stuffing teknisk

Et ægte affiliate-klik sker, når en bruger bevidst klikker på et link, og linket sætter en sporings-cookie i browseren, før brugeren lander på handelssiden. Cookie stuffing omgår helt det bevidste klik. De mest dokumenterede teknikker er: skjulte iframes, der indlejrer handelssidens sporingskode på en helt anden side, uden at brugeren ser noget; automatiske redirects (via HTTP-statuskoder eller JavaScript), der lige akkurat sender browseren forbi en sporingsside, før den lander det tilsigtede sted; og ondsindede eller kaprede browserudvidelser, der selv sætter en tracking-cookie eller omdirigerer browseren uden brugerens vidende. Fælles for alle metoderne er, at cookien bliver sat, uden at brugeren nogensinde har taget en bevidst handling — brugeren aner ofte ikke engang, at der er en affiliate-relation involveret i det køb, vedkommende alligevel selv havde tænkt sig at gennemføre.

En reel sag: eBays to største affiliates blev dømt for det

Cookie stuffing er ikke en teoretisk risiko. Fra juni 2006 kørte FBI og eBay en fælles undersøgelse med kodenavnet "Trip Wire" mod eBays to største affiliate-partnere. Ifølge det amerikanske justitsministeriums (DOJ) pressemeddelelser fra anklagemyndigheden i det nordlige Californien tilstod Shawn Hogan sig skyldig i databedrageri ("wire fraud") i december 2012 og blev i maj 2014 idømt fem måneders fængsel og en bøde på 25.000 dollar; hans værktøj "Geo Visitors" havde ifølge sagens oplysninger placeret omkring 650.000 uautoriserede eBay-cookies. Brian Dunning tilstod sig skyldig i wire fraud den 15. april 2013 og blev idømt 15 måneders fængsel; ifølge hans egen tilståelsesaftale modtog hans selskab Kessler's Flying Circus omkring 5,2 millioner dollar i provision fra eBays amerikanske affiliate-program mellem maj 2006 og juni 2007 via et lignende værktøj, "WhoLinked". Samlet skal de to mænd ifølge sagens oplysninger have tjent omkring 35 millioner dollar på ordninger, som eBay og FBI vurderede var svindel. En separat sag fra det sydlige Alabama viser samme mønster i mindre skala: ifølge en pressemeddelelse fra det lokale amerikanske anklagerkontor (USAO-SDAL) erklærede en mand fra Oregon sig skyldig i sammensværgelse til databedrageri, efter at have brugt såkaldte "forcerede klik", der satte cookies hos intetanende webshoppere uden deres viden og gav ham og hans medsammensvorne kredit for salg, de ikke selv havde skabt.

Pointen med begge sager er ikke, at click fraud kun findes i USA eller kun rammer store netværk som eBay — det er, at fænomenet er dokumenteret, retsforfulgt og teknisk veletableret, ikke en spekulativ risiko.

Sådan siger de store netværk selv, de fanger det

De største affiliate-netværk beskriver selv deres egen indsats mod svindel offentligt — og går forskellige veje.

Ingen af de to netværk nævner cookie stuffing eller click fraud som et problem, der er løst — begge beskriver det som en løbende indsats. Bruger I et tredje netværk eller en Shopify-app, så tjek platformens egen dokumentation for, hvad den konkret gør ved det, i stedet for at antage, den dækker det samme.

Advarselstegn, hvis I ikke bruger et åbent netværk

Arbejder I direkte med creators i en kurateret aftale uden et netværks automatiske svindeldetektion imellem, er det op til jer selv at holde øje. Dette er Make Influences egen erfaring, ikke en dokumenteret facitliste — men følgende mønstre er værd at reagere på:

• Usædvanligt kort tid fra klik til køb, gentaget på tværs af flere ordrer fra samme creator
• Ordrer uden noget matchende engagement på creatorens egen kanal — ingen kommentarer, ingen delinger, intet der antyder et reelt publikum bag klikket
• Geografisk uoverensstemmelse mellem ordrens IP-lokation og creatorens kendte følgerskare
• En pludselig bølge af konverteringer, lige efter en ny "creator" med meget lille eller ikke-eksisterende synlig følgerskare bliver tilføjet programmet

Beslutningsramme

• HVIS I bruger et åbent affiliate-netværk → undersøg netværkets egen dokumentation om svindeldetektion, før I går live, og bed om adgang til compliance-rapportering for jeres eget program — se sådan opsætter du et affiliate-program for resten af, hvad I bør tjekke ved opsætning.
• HVIS I arbejder direkte/kurateret uden netværk → byg mindst ét af advarselstegnene ovenfor ind som en manuel stikprøvekontrol, fx hver måned.
• HVIS I opdager et mønster, der ligner cookie stuffing → sæt udbetalingen af den konkrete provision på pause, og bed om dokumentation for den trafik, der angiveligt genererede salget, før I betaler ud. Se også, hvordan provisions-tilbageførsel allerede beskriver, hvordan man håndterer en provision, der viser sig ikke at være reel.
• HVIS I er i tvivl, om et signal er en ægte konflikt eller decideret svindel → et ægte, konkurrerende signal (som ved attribution-stacking) kommer altid fra et andet, sporbart klik eller en anden sporbar kode; cookie stuffing har typisk intet sporbart, ægte klik at pege på overhovedet.

Regneeksempel (hypotetisk)

Tallene nedenfor er hypotetiske og udelukkende til illustration. Det er ikke en rigtig Make Influence-kundecase, og ingen af tallene er benchmarks.

Et brand kører et affiliate-program med en gennemsnitlig ordreværdi på 600 kr. og en aftalt kommission på 15 % = 90 kr. pr. ordre. Antag, at en uopdaget cookie stuffing-ordning når at føre 40 falske ordrer igennem over et kvartal, før den bliver fanget.

Beløbet i sig selv er ofte lille i et enkelt kvartal — pointen er, at en uopdaget ordning kan køre videre, kvartal efter kvartal, og at den reelle skade også rammer de ægte creators, hvis klik reelt fortjente krediten.

Make Influence's perspektiv

Make Influences model er kurateret: I kender hver enkelt creator i programmet, og der lukkes ikke ukendte tredjeparter automatisk ind, sådan som et åbent netværk gør. Det reducerer eksponeringen markant, men fjerner den ikke — særligt hvis en del af sporingen alligevel går gennem et åbent netværk som ét element i en bredere opsætning. Vores anbefaling er den samme disciplin, som gælder resten af Academy'ens tracking-artikler: skriv reglerne for, hvordan en mistænkelig provision håndteres, ind i aftalen, før I får brug for dem, ikke bagefter.

Ofte stillede spørgsmål

Er cookie stuffing ulovligt?

I USA er det retsforfulgt som databedrageri (wire fraud) under 18 U.S.C. § 1343, som har en øvre strafferamme på op til 20 års fængsel — de faktiske straffe i sagerne ovenfor var langt kortere. Uden for USA er offentligt dokumenteret retsforfølgelse af cookie stuffing specifikt sjældnere; kontakt egen juridisk rådgivning, hvis I mistænker svindel i jeres eget program.

Hvad er forskellen på click fraud og cookie stuffing?

Click fraud er samlebetegnelsen for bevidst manipulation af klik- eller cookie-baseret tracking. Cookie stuffing er den specifikke, mest udbredte teknik inden for click fraud i affiliate-sammenhæng: at sætte cookien uden noget reelt klik overhovedet.

Kan click fraud forekomme i en kurateret aftale uden åbent netværk?

Ja, teoretisk — men risikoen er markant lavere, fordi I kender hver enkelt creator og ikke automatisk lukker ukendte tredjeparter ind i programmet, sådan som et åbent netværk gør.

Er det det samme som attribution-stacking?

Nej. Attribution-stacking er en konflikt mellem to ægte, gyldige signaler fra to forskellige creators. Cookie stuffing har intet ægte signal at starte med — cookien bliver sat uden noget reelt klik.

Dækker Awins og impact.coms svindeldetektion også influencer-specifikke programmer?

Ja, ifølge deres egne sider dækker deres generelle compliance- og trafikværktøjer hele deres partner-/publisher-base, som influencer-baserede programmer typisk kører igennem — men de offentliggør ikke separate tal for influencer-specifik svindel alene.

Hvad gør jeg, hvis jeg mistænker en creator for cookie stuffing?

Sæt udbetalingen af den konkrete provision på pause, dokumentér mønsteret (tidsstempler, IP-data, engagement-data), og kontakt netværket eller platformen, hvis I bruger en — de har typisk en formel proces til at undersøge og eventuelt afvise en mistænkelig provision, før den bliver udbetalt.