Click injection

Click injection (chèn lượt nhấp) là kiểu gian lận quy kết trên Android: một app đã nằm sẵn trong máy phát hiện người dùng đang cài app khác, rồi gửi một lượt nhấp giả ngay trước lần mở app đầu tiên để nhận công cho lượt cài đó. Với lượt cài từ Google Play, kỹ thuật này gần như đã bị vô hiệu hóa nhờ dấu thời gian của Play Install Referrer API.

Click injection thuộc nhóm gian lận trong quảng cáo app (quy kết qua MMP), một nhánh của gian lận quảng cáo (ad fraud). Trang tổng so sánh nhóm này với gian lận web, lead và affiliate.

Click injection là gì?

Người dùng tự tìm một app trên Google Play hoặc bấm một quảng cáo hợp lệ, rồi bấm Cài đặt. Trong lúc app đang tải, một app khác trên cùng máy biết có gói mới sắp xuất hiện và gửi ngay lượt nhấp kèm mã quảng cáo của máy tới nền tảng đo lường. Khi app được mở lần đầu, lượt nhấp giả là lượt mới nhất, nên theo quy tắc lượt nhấp cuối nó thắng.

Chỉ Android bị vì hệ điều hành dùng broadcast để báo cho các app khác khi có app mới được tải về, và app nào cũng có thể nghe các thông báo này (Adjust Help Center, Click Injection filtering, truy cập 10/2026). Google Play cấm rõ hành vi app gửi lượt nhấp quy kết giả để được trả tiền cho lượt cài không do mạng của mình tạo ra (Google Play Console Help, Ad Fraud, truy cập 10/2026).

Nhà quảng cáo mất tiền CPI cho lượt cài vốn là lượt cài tự nhiên hoặc của nguồn khác. Tệ hơn, nguồn gian lận trông hiệu quả nhất trong báo cáo và được dồn thêm ngân sách.

Thay đổi đã khiến click injection lỗi thời trên Google Play

• 2017: Google ra mắt Play Install Referrer API, lấy dữ liệu trực tiếp từ Play Store. 01/03/2020: Google ngừng broadcast install_referrer, nêu lý do API mới chống giả mạo và gian lận quy kết tốt hơn (Android Developers Blog, 11/2019). API trả về cả thời điểm nhấp liên kết và thời điểm bắt đầu cài (Android Developers, Play Install Referrer Library, 02/2026).
• Android 8.0: app nhắm API 26 trở lên không còn khai báo trong manifest để nhận broadcast ngầm, và ACTION_PACKAGE_ADDED không thuộc diện ngoại lệ (Android Developers, 02/2026).
• Android 11: danh sách app đã cài bị lọc theo mặc định, quyền QUERY_ALL_PACKAGES phải được Google Play duyệt (Android Developers, Package visibility, 10/2026).

Mốc quyết định là dấu thời gian bắt đầu cài. Adjust so thời điểm lượt nhấp với install_begin_time: nhấp đến sau mốc này bị coi là chèn vào và bị từ chối, lớp lọc thứ hai dùng install_finish_time do SDK ghi. Lượt cài bị loại hiện dưới nhãn Rejected Install; Click Injection và được trả về nguồn hợp lệ hoặc tính là tự nhiên.

Lỗ hổng còn lại là lượt cài ngoài Google Play và Huawei AppGallery. Không có referrer API cho thời điểm bắt đầu cài, bộ lọc chỉ dựa vào install_finish_time, nên app phân phối qua cửa hàng bên thứ ba hoặc file APK vẫn có rủi ro.

Ví dụ minh họa (giả định)

Một app tài chính chạy Android với CPI 15,000 đồng. Network A báo 2,000 lượt cài trong tháng, tương đương 30 triệu đồng. Đối chiếu dữ liệu thô, 1,200 lượt có thời điểm nhấp muộn hơn install_begin_time. Không lọc thì 18 triệu đồng trả cho lượt cài Network A không tạo ra.

Phân biệt với các kiểu gian lận gần giống

Cả ba thuộc nhóm gian lận nhấp chuột nhắm vào quy kết, khác với lượt cài giả hoàn toàn trong mục install fraud. Cách đọc phân bố thời gian từ nhấp đến mở app có trong mục CTIT.

Câu hỏi thường gặp

iOS có bị click injection không?

Theo Adjust thì không, vì cơ chế dựa vào broadcast báo app mới cài của Android.

Đã dùng MMP thì cần làm gì thêm?

Kiểm tra bộ lọc đã bật và ở chế độ nào. Adjust có Strict (loại mọi lượt nhấp của tracker có lượt bị gắn cờ) và Normal (chỉ loại lượt bị gắn cờ). Sau đó đối soát hóa đơn với số lượt cài sau lọc.

Muốn rà lại nguồn traffic Android và cách đối soát với network, bạn có thể xem trang App User Acquisition của Adtek.