--- title: "アドフラウドとは？手口・被害額と検知方法、対策ツールの比較を解説" url: "https://www.issoh.co.jp/column/details/5419/" published: 2025-02-19 updated: 2026-11-03 categories: ["広告"] publisher: "株式会社一創" --- # アドフラウドとは？手口・被害額と検知方法、対策ツールの比較を解説 アドフラウド（広告詐欺）とは、広告主が費用を払うクリックや表示を、人の実際の関心と無関係に発生させて広告費を詐取する行為の総称です。その一部は広告プラットフォームが自動で除外し、残りは配信先データと計測データを突き合わせて初めて見えてきます。ここでは定義と手口、国内の被害規模を押さえたうえで、広告管理画面とアクセス解析だけでできる検知手順、配信先の検証、対策ツールの比較軸、検知後の対策までを実務の順に整理します。 ## まとめ：アドフラウドの要点と検知・対策の進め方 - アドフラウドは広告費を詐取する意図的な不正。JIAAは、誤クリックやクローラーなど悪意の有無を問わない「無効なトラフィック（IVT）」とは区別して扱っている。 - 2025年の国内推定被害額は約1,591億7,733万円（Spider Labs調べ）。ただし調査全体の平均は自社の損失を示さないので、自社で課金された無効トラフィックを確かめる。 - 検知の出発点は自社データ。CTRが突出、滞在0秒、CVが立たない、の3つが同じ配信先で重なったら調査対象として切り出す。 - 配信先の正当性は ads.txt・sellers.json で機械的に検証でき、アプリ広告はCTIT（クリックから初回起動までの時間）の分布などを手掛かりに調査する。 - 対策ツールは「どの広告種別を守るか」で選ぶ。検索広告の不正クリック、プログラマティック広告の品質、アプリのインストール不正では製品の系統が違う。 - 検知の出口を先に決める。即日は除外設定、月次は媒体への調査依頼、次回発注時は契約のIVT条項。 ## アドフラウドの定義と、無効なトラフィック（IVT）との違い 日本インタラクティブ広告協会（JIAA）は2017年8月の[アドフラウドに対するJIAAステートメント](https://www.jiaa.org/katudo/gdl/adfraud%5Fstatement/)で、広告費を欺瞞的に詐取する不正な手法を「アドフラウド」と定めました。同じ文書は、正常な配信にも混じる必ずしも有効でないトラフィックを「無効なトラフィック（IVT）」と呼び、両者は目的も対象範囲も異なるため区別すると明記しています。アドフラウドは広告主の予算だけでなく、本来は正当な媒体社に支払われるはずの広告費を横取りする行為でもある、というのがJIAAの位置づけです。 計測の世界では、IVTはMRC（Media Rating Council）の基準でGIVTとSIVTに分かれます。GIVT（General Invalid Traffic）は無効と確認された既知のデータセンター通信や検索エンジンのクローラーなど、リスト照合や定型チェックで識別できるもので、悪意のないものも含みます。SIVT（Sophisticated Invalid Traffic）は実ユーザーを模倣するボット、乗っ取られた端末、偽装された広告枠などで、識別には行動の統計分析が必要です。区分の詳細とGoogle広告での扱いは[IVTとは？GIVT・SIVTの違いとMRC基準、Google広告での扱いを解説](/column/details/5115/)で整理しています。 実務上の意味は、GIVTは自社でも機械的に落とせる一方、SIVTは「疑わしい」までは自社データで到達できても、判定には高度な分析や複数の証拠の照合が必要で、自社で対応できない部分は第三者ツールやMMP（モバイル計測パートナー）で補う、という点です。この境界を意識せずに「ツールを入れたのに不正が減らない」と評価すると判断を誤ります。 ## 国内の被害規模とAI最適化キャンペーンの不正率 Spider Labsが2026年4月2日に公表した[「アドフラウド調査レポート 2026 通年版」](https://prtimes.jp/main/html/rd/p/000000213.000031981.html)では、2025年の国内推定被害額は約1,591億7,733万円で、前年から82億円増えました。平均発生率は微減しており、増えたのは広告市場の拡大に伴う総額のほうです。前年版（2024年データ）の推定被害額は1,510億円、平均発生率は5.12%でした。 同レポートで目を引くのは自動化の影響です。大手配信プラットフォームのAI最適化キャンペーンでは不正率が最大5.2%と、媒体全体平均の2.2〜2.5%に比べて最大2倍で推移しました。AI最適化メニューの配信量は1年強で192%に伸びています。無効なクリックやCVが「成果」として学習されると、自動入札がその配信先へ予算を寄せていく、という構造的なリスクです。 注意したいのは集計範囲です。Spider Labsは悪意のある報酬搾取だけでなく、広告主の意図に反して効果が見込めない無効なインプレッション・クリック・CVも含めて「アドフラウド」と数えています。JIAAの区分でいえばIVTまで含んだ広い数字で、1社のツールの解析データに基づく推計でもあります。自社の判断には、媒体別に実測した無効クリック数や、後述の一次スクリーニングで切り出した疑わしい支出を使ってください。 ## 主な手口と仕組み：痕跡が残る場所の対応表 手口ごとに調査の手掛かりとなるデータは異なりますが、痕跡の有無は取得できるログや計測設定にも左右されます。種類を暗記するより、この対応関係を持っておくほうが速く動けます。 | 手口 | 仕組み | 痕跡が残る場所 | 主な判定材料 | | ------------ | ------------------ | -------------------- | -------------- | | ボットクリック | 自動プログラムが広告を連打 | 広告管理画面・アクセスログ | IP集中・UA単一化・CV0 | | クリックファーム | 人や端末群を動員してクリック | アクセスログ | 地理の偏り・端末の再利用 | | アドスタッキング | 広告を重ねて1枠で複数表示 | ビューアビリティ計測 | 表示に対し視認0 | | ピクセルスタッフィング | 1px相当の枠に広告を押し込む | ビューアビリティ計測 | 広告枠サイズの異常 | | ドメイン偽装 | 低品質サイトを有名媒体と偽る | ads.txt・sellers.json | 申告ドメインと販売者の不一致 | | クリックインジェクション | インストール直前にクリックを差し込む | MMPの計測データ | CTITが極端に短い | | クリックスパム | クリックを大量にばらまき成果を横取り | MMPの計測データ | CTITが長く平坦に分布 | | 偽リード | 機械送信や虚偽情報でフォーム送信 | CRM・フォームログ | 送信間隔の規則性・疎通不能 | 検索広告で実害の中心になるのは、競合や業者による意図的な連続クリックです。ディスプレイ広告やプログラマティック広告ではドメイン偽装や視認されない表示が、アプリ広告ではインストールの横取りが中心になります。自社の配信がどこに偏っているかで、優先して見るべき行が変わります。 ## 自社データだけで行う一次スクリーニングの手順 ### 広告管理画面とGA4で見る異常シグナル 最初に見るのは、クリック側と着地側の数字の乖離です。CTRが同じキャンペーン内の他の配信先より極端に高いのに、着地後のセッションがほぼ即離脱している配信先は、クリックだけが生成されている疑いが濃くなります。配信先別のクリック数は広告管理画面の掲載先レポートで出せますが、GA4の「参照元/メディア」はGoogle広告の流入を google / cpc にまとめるため、それだけでは配信先まで分解できません。最終ページURLに ValueTrack パラメータの {placement} を utm\_content などとして渡しておけば、GA4でも配信先ごとに平均エンゲージメント時間とエンゲージのあったセッション数を並べ、広告管理画面のクリック数と突き合わせられます。 | 観測箇所 | 疑わしい状態 | 示唆される手口 | | ------------ | ---------------- | -------------------- | | プレースメント別CTR | 平均の数倍で突出 | ボットクリック・クリックファーム | | 平均エンゲージメント時間 | 0〜1秒に集中 | 自動遷移・クリックスパム | | ビューアブル率 | 極端に低い | アドスタッキング・ピクセルスタッフィング | | 配信時間帯 | 深夜帯にクリックが平坦に張り付く | スクリプトによる自動生成 | | CVR | クリックは伸びるがCV0のまま | クリック水増し全般 | 単独の指標では判定できません。CTRが高いだけなら訴求が当たっている可能性もあります。「CTRが高い」「滞在が極端に短い」「CVが立たない」が同じ配信先で重なれば、優先して調査します。ただし、計測不備やページの読み込み遅延でも乖離が生じるため、タグの動作を確認し、偽CVなど別の異常も調査対象にします。 ### IP・ユーザーエージェント・地理情報の突き合わせ 切り出した配信先は、アクセスログで発信元を確認します。同一IPや同一サブネットからのアクセスが不自然な比率を占めていないか、ユーザーエージェントが単一バージョンに偏っていないか、国内向けの配信なのに海外リージョンのデータセンターIPが混じっていないか。公開IPレンジとの照合は発信元を調べる手掛かりですが、データセンター由来だけでGIVTとは判定できません。MRC基準では、正当なユーザーの経路や仮想環境での正当な閲覧を除き、無効と確認できるトラフィックをフィルタリングします。 アプリ計測を併用していれば、端末に紐づく広告識別子の分布も材料になります。同じIDFA・AAIDが短時間に多数のクリックを発生させていれば、端末エミュレーションを疑う根拠になります。識別子の仕様は[広告識別子（広告ID）とは？ADID・IDFA・AAIDの違いと確認・リセット・削除](/column/details/5835/)で解説しています。 ### コンバージョン側での偽リードの判別材料 資料請求や会員登録など単価の高い成果地点では、売り上げにつながらず対応工数だけを消費する偽リードが入り込みます。Spider Labsの[「アドフラウド調査レポート（通年版2025）」](https://prtimes.jp/main/html/rd/p/000000160.000031981.html)はこれを「フェイクリード」として取り上げ、対策で発生率を65%から10%以下に抑えた事例を載せています。判別の手掛かりは、送信間隔の規則性、メールアドレスのドメインの偏り、電話番号の疎通不能、そして商談化率の急落です。CPAだけを見ていると「獲得が好調」に見えてしまうため、[CPRとは？広告の反応単価の計算式とCPO・CPAとの違い、限界CPRの求め方](/column/details/5052/)で扱う反応単価と、その先の有効商談率を並べて監視します。 ## 配信先の正当性を検証する：ads.txt・sellers.json・SupplyChain object プログラマティック広告では、広告枠の売り手が正規の権利者かどうかを機械的に検証する仕組みがあります。[IAB Tech Labのads.txt](https://iabtechlab.com/ads-txt/)は2017年に策定され、現行は2022年8月公開のバージョン1.1。アプリ向けにはapp-ads.txtがあります。媒体社が自サイトのドメイン直下にファイルを置き、販売を許可した事業者を列挙する仕組みで、記載のない事業者から買った在庫は正規の在庫かどうかを疑う根拠になります。 売り手の情報を開示するsellers.jsonと、入札リクエストに介在した事業者の連鎖を示すOpenRTBのSupplyChain object（いずれも2019年7月にIAB Tech Labが最終化）を併用すると、どの中間業者を経由した在庫かまで追えます。買い付け側でこの3点を突き合わせれば、無断リセールやドメイン偽装は入札前に排除できます。配信の階層構造は[アドネットワークとは？仕組み・DSP/アドエクスチェンジとの違いと主要一覧【2026年】](/column/details/5417/)、取引先を絞る買い方は[PMP（プライベートマーケットプレイス）とは？3つの取引形態とDeal IDの実務](/column/details/5221/)が参考になります。 ## アプリ広告の検知：CTIT分布とインストール後の行動 アプリのインストール広告では、MMPの判定が中心になります。核になる指標がCTIT（Click To Install Time）で、クリックからアプリの初回起動までの経過時間の分布を見ます。AdjustなどのMMPでは、計測SDKが動作する初回起動をインストールとして記録します。数秒以内に偏っていればインストールを検知してからクリックを差し込むクリックインジェクション、極端に長い時間へ広く分散していればクリックを大量にばらまくクリックスパムが疑われます。 クリックインジェクションはAndroidのインストール通知を悪用する手口のため、iOS案件でCTITの偏りを見るときはクリックスパムや端末エミュレーションから当たります。架空のインストールでは継続利用の乏しさが手掛かりになる一方、クリックインジェクションやクリックスパムは実ユーザーの成果帰属を横取りするため、継続利用が正常でも不正を否定できません。CTITと継続率を併せて検証します。 ## Google広告など媒体内蔵の検知と、その限界 [Google広告ヘルプの「無効なクリック」の定義](https://support.google.com/google-ads/answer/42995?hl=ja)では、意図的な不正トラフィックや誤クリック、重複クリックなど、ユーザーの純粋な興味によらないクリックを無効なクリックとし、Googleが無効と判断したクリックはレポートと請求の対象から自動的に除外されます。キャンペーンのレポートに「無効なクリック」の列を足せば除外された数を確認でき、それでも不審な場合はクリック品質フォームから調査を依頼できます。 請求書の作成後に無効なトラフィックが見つかった分は、[妥当かつ可能な場合にクレジットが発行](https://support.google.com/google-ads/answer/11182074?hl=ja)され、料金概要の調整欄に「無効なアクティビティ」として載ります。検索キャンペーンとP-MAXキャンペーンでは、キャンペーン別のクレジットを「無効なアクティビティのクレジット」レポートで確認できます。月次でこの2つを確認すれば、Googleが検知・調整した無効なクリックとクレジットを、追加のツール利用料なしで把握できます。 ただし媒体内蔵の検知は、その媒体の課金の妥当性を守る範囲で働くもので、広告主が知りたい「どの配信先が不正の温床か」までは開示されません。Meta広告を含め、媒体をまたいだ比較や成果地点の質は自動判定の外側です。媒体の自動除外を前提にしたうえで、着地側と成果側の異常は広告主が自分で見る、という役割分担になります。 ## アドフラウド対策ツールの比較：広告種別ごとの対応範囲 ### 広告種別ごとの主な製品 対策ツールは名前が似ていても守備範囲が違うため、最初に「どの広告を守るか」で絞ります。 | 守る広告 | 製品例（提供元） | 主な仕組み | | ------------ | --------------------------- | -------------------------------- | | 検索・SNSの運用型広告 | Spider AF（Spider Labs） | 不正クリックを検知し媒体側で配信停止 | | 検索・SNSの運用型広告 | X-log（かっこ） | 不正なIP・端末を解析し媒体へ自動除外登録 | | 検索・SNSの運用型広告 | HYTRA HORNET（Momentum） | Google・Yahoo!・SNSの解析型対策 | | 検索・SNSの運用型広告 | ClickCease（CHEQ） | Google・Meta・Microsoft広告の不正クリック遮断 | | プログラマティック・動画 | IAS・DoubleVerify・HUMAN | SIVTの検知・除外（MRC認定）と入札前回避 | | アプリのインストール広告 | AppsFlyer Protect360・Adjust | CTIT分布やタイムスタンプで成果帰属を拒否 | 検索・SNS向けの国産ツールは、不正なIPや端末を特定して広告媒体の除外設定へ自動で反映する方式が中心です。Spider AFは料金を公開しており、[料金ページ](https://jp.spideraf.com/pricing)ではPerformanceプランが月払いで月額37,500円から、年払いで月額30,000円からです。海外製のClickCeaseは2020年にCHEQに買収され、一時期のCHEQ Essentialsという名称から、現在は再びClickCeaseの名で提供されています。 プログラマティック広告や動画広告の品質を測るなら、計測の信頼性が問われます。[MRCの認定一覧](https://mediaratingcouncil.org/accreditation/digital)では、Integral Ad Science、DoubleVerify、HUMANがいずれも「Sophisticated Invalid Traffic Detection/Filtration」の認定を受けています（HUMANは事後検知とIVT予測に適用）。アプリでは、AppsFlyerのProtect360が極端に短いCTITでインストールの横取りを、低いCVRと長いCTITでクリックの大量送信を遮断し、Adjustはインストール開始時刻と広告接触時刻の比較やCTIT分布の外れ値で成果帰属を拒否します。 ### アドフラウド対策ツールの4つの比較軸 - **対応する広告種別**：検索・SNSの運用型、プログラマティック、アプリ、アフィリエイトのどこをカバーするか - **判定タイミング**：入札前・クリック時に遮断するか、配信後のレポートか、後から再判定するか - **認定・認証**：MRCのIVT測定認定、JICDAQの無効トラフィック対策認証の有無 - **出力の使い道**：除外リストとして媒体へそのまま反映できるか、レポートを見て人が判断する形か 国内の代理店・媒体社を選ぶときは、JICDAQ認証が最初のふるいになります。JICDAQは広告関係3団体が2021年3月に設立した認証機構で、認証分野は「無効トラフィック対策」と「ブランドセーフティ」の2つです。2026年11月2日時点の[登録者リスト](https://www.jicdaq.or.jp/list/)では、品質認証事業者は234社（490認証）、登録アドバタイザーは207社です。第三者検証の枠組み全体は[アドベリフィケーションとは？3要素の役割と業界認証がカバーする範囲](/column/details/5434/)、掲載面の品質は[ブランドセーフティとは？スータビリティとの違いと広告主の対策・設定](/column/details/6518/)で扱っています。 ### 導入しても回収できない条件 導入を勧めない条件もはっきりしています。第一に、ツールで追加回避できる金額が利用料に届かない場合。国内の平均発生率5.12%（2024年データ）は調査全体の平均で、個社の削減額を示す値ではありません。比べるべきは、自社で課金された無効トラフィックのうち、媒体の除外やクレジットと重複せずにツールで新たに止められる金額です。たとえば月200万円の配信で、媒体の返金を除いた無効トラフィックへの課金を仮に5%と置けば対象は10万円ですが、その全額を止められるとは限りません。この見積もりがツール費用と運用工数を下回るなら、自社データでの一次スクリーニングを回すほうが合理的です。検索広告中心という条件だけでは追加効果の大小は決まらないので、媒体側の対策後にも課金対象の不正クリックが残るかを先に確かめ、残るなら発生源を競合に限定せず不正クリック遮断型の効果を検証します。 第二に、検知結果を除外設定へ反映する運用体制がない場合。レポートが出ても配信設定が変わらなければ支出は減りません。 ## 検知したあとの対策と社内フロー 検知は出口を決めて初めて成果になります。時間軸の違う3つの動きを並行させます。 即日やるのは配信設定への反映です。疑わしいプレースメントとアプリは共有ライブラリの除外リストに登録し、複数キャンペーンへ横断で適用します。[IPアドレスの除外](https://support.google.com/google-ads/answer/2456098?hl=ja)は共有ライブラリでは扱えず、キャンペーン単位か、アカウント設定でのアカウント単位で指定します。両方に設定した場合、除外リストは統合されます。キャンペーン単位の上限は500件で、アカウント単位の除外はP-MAXやYouTubeを含むアカウント内の全キャンペーンに効きます。 月次で回すのが媒体・代理店への申し立てです。Google広告なら無効なクリックの件数とクレジットを確認したうえで、自社ログの根拠を添えてクリック品質フォームから調査を依頼します。次回の発注時に手当てするのが契約です。運用委託や純広告の発注で、IVTと判定された分の扱い（返金・再配信・レポート提出義務）を条項に明記しておくと、事後交渉の負担が大きく減ります。媒体選びの段階で不正の入り込みにくい枠を買うなら、[プレミアムメディアとは？広告での意味・見分け方とMFAとの違い、広告枠の買い方](/column/details/6577/)の考え方も使えます。 配信先の点検から除外運用、計測設計までを広告運用の一部として組み直したい場合は、[Webマーケティング戦略の支援](/service/web/marketing/)で相談を受け付けています。 ## よくある質問 ### アドフラウドとは何ですか？ 広告主が費用を払うクリックや表示を、人の実際の関心と無関係に発生させて広告費を詐取する行為の総称です。JIAAは、誤クリックやクローラーのように悪意を問わない無効なトラフィック（IVT）とは区別して扱っています。 ### アドフラウドはどうやって検知するのですか？ 3段階で進めます。まず広告管理画面とGA4で「CTRが高い・滞在が極端に短い・CVが立たない」が重なる配信先を絞り込みます。次にIP、ユーザーエージェント、時間帯、地理情報を突き合わせ、正当な通信を除外しないよう確認したうえで、既知の無効トラフィックに該当する分を切り分けます。残った疑わしいトラフィックは、第三者ツールやMMPの判定に委ねます。 ### 日本のアドフラウド被害はどのくらいですか？ Spider Labsの「アドフラウド調査レポート（通年版2026）」では、2025年の国内推定被害額は約1,591億7,733万円です。1社の調査による推計なので、自社の判断には媒体別の実測値を使ってください。 ### アドフラウドにはどんな種類がありますか？ 代表的なのは、ボットクリック、クリックファーム、アドスタッキング、ピクセルスタッフィング、ドメイン偽装、クリックインジェクション、クリックスパム、偽リードです。検索広告では不正クリック、プログラマティック広告では偽装と視認されない表示、アプリ広告ではインストールの横取りが中心になります。 ### アドフラウド対策ツールは必ず導入すべきですか？ 必須ではありません。自社で課金された無効トラフィックのうち、媒体の返金と重複せずにツールで追加回避できる費用を見積もり、それがツール費用と運用工数に見合うか、除外設定に反映する体制があるかで判断します。プログラマティック広告やアプリのインストール広告に多額を投じている場合は効果が出やすく、検索広告中心で予算が小さい場合は媒体の仕組みと自社点検で足りることが多くなります。 ## 関連記事 - [IVTとは？GIVT・SIVTの違いとMRC基準、Google広告での扱いを解説](/column/details/5115/) - [アドベリフィケーションとは？3要素の役割と業界認証がカバーする範囲](/column/details/5434/) - [ブランドセーフティとは？スータビリティとの違いと広告主の対策・設定](/column/details/6518/) - [アドネットワークとは？仕組み・DSP/アドエクスチェンジとの違いと主要一覧【2026年】](/column/details/5417/) - [広告識別子（広告ID）とは？ADID・IDFA・AAIDの違いと確認・リセット・削除](/column/details/5835/) --- 出典: [アドフラウドとは？手口・被害額と検知方法、対策ツールの比較を解説]()（株式会社一創）