SDK spoofing

SDK spoofing (giả mạo SDK) là kiểu gian lận trong đó kẻ gian gửi thẳng lên máy chủ đo lường những tín hiệu nhấp, cài đặt và sự kiện trong app giống hệt tín hiệu do SDK thật gửi, dù không có lượt cài hay hành động nào xảy ra. Nó là một dạng install fraud nhắm vào đường truyền giữa app và nền tảng đo lường.

SDK spoofing thuộc nhóm gian lận trong quảng cáo app (quy kết qua MMP), một nhánh của gian lận quảng cáo (ad fraud). Trang tổng so sánh nhóm này với gian lận web, lead và affiliate.

SDK spoofing là gì?

Mỗi app chạy quảng cáo thường gắn SDK của một MMP như AppsFlyer, Adjust hay Singular. Khi người dùng mở app lần đầu, SDK gửi một yêu cầu về máy chủ MMP để ghi nhận lượt cài, sau đó gửi thêm các sự kiện như đăng ký, mua hàng. Nếu kẻ gian hiểu được cấu trúc yêu cầu này, họ có thể tự tạo yêu cầu từ máy chủ của mình mà không cần điện thoại nào cài app.

Media Rating Council xếp kiểu này vào nhóm lưu lượng không hợp lệ tinh vi (SIVT), mục “falsified measurement events”, trong đó có giả mạo dữ liệu ghi nhận chuyển đổi (MRC, IVT Standards Addendum, 06/2020).

Vì sao khó phát hiện?

Mã hóa đường truyền chưa đủ. Adjust giải thích rằng TLS ngăn người ngoài đọc dữ liệu, nhưng không ngăn ai đó gửi dữ liệu cài đặt hay sự kiện giả về địa chỉ nhận của app (Adjust Help Center, SDK signature, truy cập 10/2026). Yêu cầu giả đi đúng định dạng nên máy chủ nhận nó như mọi lượt cài khác. Nhìn riêng từng lượt thì không thấy gì lạ, chỉ khi so với dữ liệu từ nguồn khác mới lộ ra. Kẻ gian cũng có thể gửi kèm sự kiện đăng ký, mua hàng để vượt qua bộ lọc chỉ xét chất lượng người dùng sau cài.

Cách chặn SDK spoofing năm 2025 và 2026

Ký từng yêu cầu. Adjust dùng SDK Signature: mỗi yêu cầu được ký bằng thuật toán riêng, máy chủ từ chối mọi yêu cầu không có chữ ký hợp lệ. Với phần lớn trường hợp, thư viện này đã đi kèm sẵn trong Adjust SDK v5. Với Android, phải thêm dấu vân tay chứng chỉ ký app vào danh sách cho phép, nếu bỏ trống thì lưu lượng của app vẫn có thể bị giả mạo (Adjust, nguồn trên).

Dùng xác thực của nền tảng. Google tắt hẳn SafetyNet Attestation API từ 01/2025 và chuyển sang Play Integrity API (Android Developers, truy cập 10/2026). Kết quả của Play Integrity cho biết app có đúng bản Google Play nhận diện hay không (PLAY_RECOGNIZED hoặc UNRECOGNIZED_VERSION) và thiết bị có đạt chuẩn toàn vẹn không (Android Developers, cập nhật 10/2026).

Tin postback có chữ ký của Apple. Trên iOS, postback của SKAdNetwork và AdAttributionKit được Apple ký số. Apple hướng dẫn chỉ đếm postback xác minh được chữ ký, bỏ qua mọi postback không qua bước này (Apple Developer, truy cập 10/2026). Kẻ gian không có khóa của Apple nên không tự tạo được postback hợp lệ.

Dấu hiệu trong báo cáo

• Lượt cài ghi nhận từ phiên bản SDK hoặc phiên bản app bạn chưa từng phát hành.
• Doanh thu mua hàng trong app trên MMP cao hơn hẳn số giao dịch App Store, Google Play ghi nhận.
• Lượt cài tăng mạnh từ một nguồn nhưng máy chủ của app không thấy phiên đăng nhập tương ứng.

Phân biệt SDK spoofing với các dạng gần giống

Xem thêm click injection và bots.

Câu hỏi thường gặp

Đã dùng MMP thì có được bảo vệ sẵn không?

Chưa chắc. Tính năng ký yêu cầu thường phải bật, cấu hình chứng chỉ và bắt buộc áp dụng thì mới có tác dụng. Nên hỏi đội kỹ thuật app xem đã bật chưa và đang chặn hay chỉ cảnh báo.

Số liệu SKAdNetwork có bị SDK spoofing làm sai không?

Postback SKAdNetwork và AdAttributionKit do thiết bị gửi và có chữ ký Apple, nên khó giả hơn nhiều. Phần dễ bị giả là dữ liệu cấp thiết bị mà MMP tự thu qua SDK.

Nếu bạn cần rà lại cấu hình đo lường app trước khi tăng ngân sách, đội Adtek có thể trao đổi qua trang liên hệ.