IP アドレスでクリック詐欺を検出する方法（除外リストに頼らずに）

広告主がクリック詐欺に気づくきっかけは、いつも同じです。費用のグラフは普通、クリックのグラフは絶好調、そしてコンバージョンのグラフは横ばいの一直線。生ログを開いて IP で並べ替えると、そこにあります。同じアドレスが 40 回、コンバージョンはゼロ、すべてがある日の午後のうちに起きています。

そこで当然のことをします。そのアドレスを IP 除外リストに貼り付けるのです。

しばらくはうまくいきます。やがてクリックは別のアドレスから戻ってきて、また別のアドレス、さらに別のアドレスからも来ます。除外リストが 30 件目に差しかかる頃には、勝てないゲームをしているのではないかと疑い始めます。実際そのとおりです。除外リストは正しいツールの弱いバージョンではありません。間違ったツールであり、それに代わるもの、つまり各クリックの背後にあるネットワークの不正スコアを見る前に、その理由を正確に理解しておく価値があります。

広告プラットフォームは無効なクリックに実際どう対処しているか

まずは、多くの広告主がすでに対処済みだと思い込んでいることから始めましょう。

Google は無効なトラフィックをフィルタリングしており、そのことをはっきり述べています。同社の無効なトラフィックに関するドキュメントは、無効なトラフィックを「お客様のビジネスへの真の関心を表していないトラフィック」と定義し、「請求サイクルの終了前に Google がインタラクションを無効と判断した場合、その料金は発生しません」と述べています。私たちは 2026 年 10 月 13 日にこのページを読み直しましたが、内容が書き換えられていたため、このセクションの引用は現在の文言です。

これは実際の保護であり、無意味ではありません。しかし、何を守っているかを読んでください。守っているのは請求書です。月末までに捕捉された無効なトラフィックは「請求およびキャンペーンのレポートから自動的に除外されるため、払い戻しは必要ありません」。請求後に Google が見つけた場合は、「無効なアクティビティの金額分、請求調整という形でクレジットが付与されます」。そのどれも、どのキーワード、プレースメント、オーディエンスが詐欺を引き寄せているかは教えてくれません。トラフィックがアナリティクスを汚染するのも止めませんし、偽のコンバージョンが入札モデルに届くのも止めません。

Google が見逃したトラフィックの調査を依頼することは、制限付きで可能です。Google は「調査を過去 60 日間に限定」しており、同じページで「調査では、特定のクリックが有効と判定されたか無効と判定されたかを確認することはできません」と警告しています。Google の理由は、そうした詳細を共有すると不正行為者が防御を回避する手助けになるからというものです。それはもっともな理由ですが、それでもクリック単位の答えは得られません。

内訳に最も近いのは無効なアクティビティのクレジット レポートです。このレポートは「これらのクレジットをキャンペーン別、ネットワーク別に分類」し、各クレジットの背後にあるクリックとインタラクションを追加します。利用できるのは検索キャンペーンと P-MAX キャンペーンのみで、対象はクレジット、つまり請求書の発行後に見つかった無効なアクティビティに対して発行されるものです。Google が請求前にフィルタリングしたトラフィックはクレジットにならないため、このレポートには含まれません。

Meta の同等の開示はさらに薄いものです。同社の無効なクリックに関するページには、Meta は「無効なクリックによる悪用のリスクを減らすためにいくつかの措置を講じて」おり、疑わしいアクティビティが検出または報告された場合は手動レビューを行い、無効と判断されたクリックには課金しないと書かれています。コミットメントはそれですべてです。

どちらのプラットフォームも、自分たちの利益とお客様の利益が食い違う唯一の指標について、自分で自分の宿題を採点しています。彼らのフィルターを通過した残りはお客様の問題であり、その問題はドルだけでなく戦略で測られます。

IP 除外リストが失敗する理由

• 容量が足りず、ネットワークを指定できません。 Google 広告の IP 除外はキャンペーンあたり 500 件、アカウントあたり 500 件が上限で、インターフェースに記載されているのは最後のオクテットのワイルドカードだけです。また P-MAX ではアカウント単位でしか除外できません。正確な上限、API 経由の CIDR エントリ、そしてどのアドレスが枠に値するかについては、Google 広告の IP 除外上限ガイドで解説しています。
• Meta には存在しません。 Meta 広告マネージャには IP 除外機能がありません。Meta 向けのサードパーティ製クリック詐欺ツールはすべて、疑わしいユーザーをカスタムオーディエンスの除外に入れることでこれを回避していますが、これは根本的に異なる、より大雑把な仕組みです。

これらは機械的な限界です。戦略上の限界はさらに深刻です。

アドレスは入力するより速くローテーションする

広告詐欺のプロフェッショナルな層は、固定アドレスからは活動しません。住宅用 IP を何百万単位で借りています。

2025 年、Google は 1,000 万台を超える未認証の Android デバイスを侵害していた BADBOX 2.0 ボットネットの運営者を提訴しました。感染したデバイスのたった 1 台が何に使われていたかを読んでみてください。住宅用プロキシノードの作成、プログラマティック広告詐欺、隠し広告、そしてクリック詐欺です。そのすべてが、誰かのリビングルームにある 1 台の侵害された TV ボックスから発生していました。HUMAN Security の PROXYLIB の調査は、それを支えるサプライチェーンを発見しました。Google Play で公開されている Android アプリが、ユーザーのスマートフォンをこっそりプロキシの出口ノードとして登録していたのです。

これは、なぜトラフィックにこれほど多くの住宅用プロキシが含まれるのかで書いたのと同じインフラです。広告主にとってこれは、たった今 14 ドルを費やした不正なクリックが、ターゲット都市にある本物の家庭用ブロードバンド回線から届いたことを意味します。その回線の持ち主は、自分のルーターが貸し出されていることを知らない実在の人物です。禁止すべきアドレスはありません。1,000 万個あり、明日には別の 1,000 万個になっています。

しかも禁止すると本物の顧客に当たる

ここが、詐欺そのものよりも静かに大きな損失を生む部分です。

1 つのパブリック IP アドレスが 1 人の人を意味する時代は終わりました。キャリアグレード NAT は何百、何千ものモバイル契約者を 1 つのパブリックアドレスの背後に置きます。アドレス共有によって何が壊れるかを IETF が評価した RFC 6269 は、何年も前にその帰結を指摘していました。サーバーが共有アドレスにペナルティを科すと、「何度もログインに失敗した 1 人のユーザーが、それまで一度も試行していない他のユーザーを締め出してしまう可能性がある」のです。

「ログイン試行」を「不正なクリック」に置き換えれば、それがお客様の除外リストです。1 人の詐欺師がたまたま背後にいたモバイルキャリアの IP を恒久的に除外すれば、アカウント内のすべてのキャンペーンから、数のわからない本物のモバイル買い物客を削除したことになります。静かに、レポートもなく、永遠に。これは、本物の顧客をブロックせずに匿名化トラフィックを検出するで扱った誤拒否の問題の、広告費版です。

除外リストには「おそらく悪い」という概念がありません。あるのは「禁止」だけです。それが致命的な設計上の欠陥であり、答えがより長いリストではない理由です。

発想の転換：IP は判定ではなく証拠である

「このアドレスは悪いリストに載っているか？」 と問うのをやめ、「このクリックはどんな種類のネットワークから来ていて、どの程度信頼できるか？」 と問い始めてください。

この問いには豊かな答えがあります。IP アドレスは、その評判の履歴とは無関係な多くのコンテキストを持っているからです。そのコンテキストは、詐欺師が送信するリクエストではなく、借りているインフラの性質であるため、偽装するのが困難です。

業界はすでにこれを形式化しています。そして、それこそがほとんどの PPC のアドバイスが見落としている部分です。

標準がすでに求めていること

Media Rating Council の IVT Detection and Filtration Standards は、無効なトラフィックを 2 つの階層に分けており、この区分は IP の読み取りやすさとほぼ完全に対応しています。一般無効トラフィック（GIVT） は「リストの適用、またはその他の標準化されたパラメーターチェックによって」捕捉され、MRC がその下に最初に挙げるカテゴリーは既知の無効なデータセンタートラフィックです。高度な無効トラフィック（SIVT） は「高度な分析、複数ポイントでの裏付け／連携、人による大幅な介入」を必要とするより難しい階層で、無効なプロキシトラフィックはこちらに入ります。両階層のすべてのカテゴリーを Google 独自の 9 カテゴリーと並べ、IP ルックアップでどれが見えるかを、GIVT と SIVT：Google の無効なトラフィックのカテゴリーで解説しています。

TAG の Certified Against Fraud ガイドラインは、データセンターの部分を必須にしています。認証企業は「収益化されるすべてのトランザクション（インプレッション、クリック、コンバージョンなどを含む）でデータセンター IP の脅威フィルタリングを実装しなければならない」とされ、セクション 4.8.a では、TAG Data Center IP List を使うだけでは要件を満たさないと付け加えています。広告主にとっては 2 つのことが導かれます。標準化団体がデータセンター IP のフィルタリングをコンプライアンスの最低ラインとして扱っているなら、それを行っていない広告主は最低ラインを下回っています。そして標準は、この記事と同じことを言っています。リストは簡単な階層を処理し、難しい階層には分析が必要なのです。

クリック詐欺を検出する IP アドレスのシグナル

有料トラフィックにおける S/N 比のおおよその順に、IP から読み取るべきものを示します。同じフラグを広告クリック以外のボットに適用した場合と、それぞれのフラグがどこで見えなくなるかについては、ボットを識別する IP シグナルを参照してください。

最後の行の向きに注目してください。優れたスコアリングモデルは点数を加算するだけではありません。減算もします。住宅用 ISP や検証済みクローラーはより寛容になる理由であり、キャリアグレード NAT の範囲はスコアに上限が設けられます。これを持たないシステムは、本物のモバイルオーディエンスを誤検知ですり潰してしまいます。この原則は不正スコアの背後にある、疑いを晴らす理由で理由ごとに説明しています。そしてこれは広告において他のほとんどの分野以上に重要です。有料トラフィックでの誤検知は、ブロックされたログインではありません。お金を払って獲得し、そして捨ててしまった顧客なのです。

1 回の呼び出しで読み取る

具体的には、クリックを発生させた IP に対して、そのクリックの価値を判断する前に 1 回ルックアップを行います。同じチェックは無料の IP 不正スコアチェッカーで手動でも実行できます。

有料クリックにとって重要なフィールドは、レスポンスの 4 つのグループにまたがっています。

ホスティングのクリックは低スコア、Tor のクリックは 100

スコアだけではデータセンターからのクリックを割り引いてはくれません。それでもフィールドを読む理由を、2 つの実際のルックアップが示しています。私たちは 2026 年 10 月 13 日に両方のアドレスをルックアップし、2026 年 10 月 14 日に再実行して同じ値を得ました。最初のブロックは 2026 年 10 月 14 日のレスポンスです。範囲が移動すれば結果は変わります。1 つ目は上のリクエストのホスティング IP、scanme.nmap.org です。これは Nmap がカリフォルニア州フリーモントの Akamai Connected Cloud 上で運用している公開テスト用ホストです。誰の広告もクリックしていません。一般的なクラウドサーバーの代表として使っています。

2 つ目はハンブルクの Tor 出口ノードです。

クラウドサーバーのスコアは 10 で allow、メソッドは datacenter_ip のみです。これは意図的なものです。汎用スコアは API 呼び出しや企業のエグレスを含むあらゆる種類のトラフィック向けに作られており、そこではホスティングアドレスであること自体は詐欺ではありません。有料クリックは事情が異なります。買い物客はサーバーから広告をクリックしないからです。したがって広告トラフィックでは、スコアが block と言うのを待つのではなく、asn.connection_type または detection.is_hosting に独自のルールを適用してください。Tor 出口ノードには追加のルールは不要です。スコアは 100 で block となり、detection_methods は 4 つの独立した理由（Tor 出口ノード、ブロックリストに載っているデータセンター範囲、Tor 型の逆引き DNS、既知のスパマー）を挙げています。

VPN はその中間に位置します。今回の更新までは、この記事では 45.83.220.7 を一般的なホスティングの例として使っていました。2026 年 10 月 13 日、API はこれを Mullvad のサーバーと特定し、known_vpn_server と datacenter_ip によりスコア 46、review としました。これはまさにシグナル表が求める重み付けです。VPN からのクリックは、禁止する理由ではなく、詳しく見る理由です。そして、古い結果を信頼する前にルックアップを再実行すべきだということも思い出させてくれます。

このフィールドこそが、ブラックボックスを、メディア品質のレビューで説明できるものに変えてくれます。クリックを割り引いたとき、その理由を正確に述べられます。有料クリックでのデータセンター接続、または Tor 出口ノードとスパム掲載の組み合わせ。 「スコアがそう言ったから」は、誰も受け入れるべき答えではありません。自社の不正対策ツールからの答えであればなおさらです。

クリックだけでなく入札シグナルを守る

ここが経済性を変える部分であり、広告主が一貫して投資不足になっている部分です。

不正なクリックをブロックすれば、そのクリックの費用を節約できます。不正なコンバージョンを防げば、はるかに高くつくものを避けられます。入札アルゴリズムに、さらに多くの詐欺を買うよう教えてしまうことです。

スマート自動入札も Meta の最適化も、どのシグナルのまとまりがコンバージョンを生むかを学習し、そこに向けてより強く入札することで機能します。偽のコンバージョンをそのループに入れれば、失うのは 1 クリックではありません。たった今お客様を欺いたトラフィックとそっくりなトラフィックを、もっと探しに行くようモデルを訓練するためにお金を払ったことになります。システムは熱心にそれを追い求め、優れた結果を報告するでしょう。システム自身の尺度では成功しているからです。

ここで何が文書化されていて何がされていないかを正確にしておきます。Google は、不正なコンバージョンが自動入札を汚染するという声明を公開していません。Google のスマート自動入札のドキュメントが述べているのは、「コンバージョン トラッキングのデータが不正確な場合、コンバージョン数、CPA、ROAS が変動することがあります」ということであり、同時にスマート自動入札は不正確なデータに反応して調整できるとも記しています。上で述べたより強い主張は、最適化の仕組みから導いた論理的な議論であって Google からの引用ではないので、そのように扱ってください。とはいえ、それは単純な議論です。最適化アルゴリズムは、数えるよう指示されたものを最大化するのです。

実際のコントロールはサーバーサイドにあり、Meta が Google よりも少ないどころか多くのコントロールを与えてくれる唯一の場所です。Conversions API はサーバー間のチャネルなので、どのイベントを Meta に送るかはお客様のサーバーが決めます。コンバージョンの時点（クリックの時点ではなく）で IP ルックアップを行えば、「顧客」がデータセンターのアドレスである場合にイベントを完全に送らずにおけます。Meta はそれをもっと欲しがることを学習しません。Google のオフライン コンバージョンのインポートにも同じことが当てはまります。

予算を守るためにクリックをスコアリングし、モデルを守るためにコンバージョンをフィルタリングする。

除外リストにもまだ小さな役割がある

これはリストを空にすべきだという意味ではありません。それを戦略として扱うのをやめるべきだという意味です。

除外リストがまさに適しているのは、1 つの状況だけです。確度が高く、安定した、少数の常習的な違反者です。競合他社のオフィスの範囲、固定ホスト上のスクレイパー、自社の予算を消費している社内 IP などです。それはほんの数件であり、ローテーションせず、500 件に近づくことは決してありません。

それ以外のすべて（ローテーションするもの、共有されているもの、確信が持てないもの）はスコアに属します。そこでは重み付けし、時間とともに減衰させ、他のシグナルと照らし合わせ、証拠が変われば明日にでも覆せます。禁止は恒久的で二値的です。詐欺はそのどちらでもありません。

本番環境でどこで動いているか

私はこれを通信路の両側で構築しており、そのことは率直に述べておく価値があります。GeoIPHub は上で説明した IP インテリジェンスのレイヤーです。ClickFortify はその上に構築した当社のクリック詐欺対策製品です。Google と Meta のライブの広告クリックをスコアリングし、確度が本当に高い少数の違反者を Google 広告の IP 除外に同期し、疑わしいコンバージョンが Meta の CAPI や Google のスマート自動入札に届く前にフィルタリングします。

このアーキテクチャは、この記事の主張を具体化したものです。IP インテリジェンスがスコアリングを行い、除外リストは恒久的な禁止が本当に正しい対応である狭い範囲のケースにだけ使われます。このロジックを自分で構築したい場合は、上の API がそれが呼び出しているものと同じです。

次のキャンペーンの前に行う 6 つの変更

• すべての広告クリックで IP を記録する。 記録していないものはスコアリングできません。ランディングページへのアクセス時に、gclid/fbclid と一緒にアドレスを取得してください。
• 禁止するのではなくスコアリングする。 各クリックの IP をルックアップにかけ、スコアをセッションとともに保存すれば、後からリスク帯ごとにレポートを分割できます。
• データセンターの最低ラインから始める。 ホスティング ASN のトラフィックは MRC の GIVT の基準であり、手元にある中で最も確度が高く、誤検知の少ないシグナルです。利用できる中で最も安上がりな成果です。
• コンバージョンをサーバーサイドでフィルタリングする。 IP が高リスクの場合は、CAPI やオフライン インポートにコンバージョンイベントを送らないでください。これは入札モデルを守り、その価値はクリックよりも大きいのです。
• 共有 IP ではリスクに上限を設ける。 CGNAT やモバイルキャリアの範囲は、悪いものではなく共有されたものとして扱われるようにしてください。これは、不正防止が売上防止になってしまうのを防ぐガードレールです。
• 除外リストは短く保つ。 安定していて確実な常習違反者のためだけに使い、P-MAX もカバーできるようアカウント単位で設定してください。

クリックは、自分がどこから来たかをすでに教えてくれています。問題は、アドレス以上のものを聞き取れるほど注意深く耳を傾けていたかどうかだけです。

よくある質問

IP アドレスでクリック詐欺を検出するにはどうすればよいですか？

禁止リストとの照合ではなく、クリック元のネットワークをスコアリングします。シグナルの強いフィールドは、接続タイプ（ホスティング／データセンターの ASN からのクリックは買い物客ではありません）、匿名化フラグ（VPN、公開プロキシ、Tor）、最終検出時刻付きの脅威フィードの証拠（ボットネット、スキャナー、スパマー）、そしてクローラーの検証です（Google が公開している範囲外の IP から Googlebot を名乗るリクエストは検証に失敗します。その名乗りと API の検証済みフィールドの比較はお客様のコードで行います）。これらはいずれもリスクスコアへの重み付き入力であり、判断の対象は生の IP ではなくスコアです。

Meta 広告のクリック詐欺を IP でブロックできますか？

できません。Meta 広告マネージャには IP 除外機能が一切ありません。そのため、Meta 向けのサードパーティ製クリック詐欺ツールはすべて、アドレスをブロックするのではなく、疑わしいユーザーをカスタムオーディエンスの除外に入れる方式で動作しています。Meta で使えるレバーはクリックではなく Conversions API です。CAPI はサーバーサイドなので、どのコンバージョンイベントを Meta に送るかはお客様のサーバーが決めます。データセンター IP からのコンバージョンは、単に送らなければよいのです。

無効なクリックは Google がすでにフィルタリングしてくれているのではありませんか？

Google は一部をフィルタリングしており、その方法も明示しています。Google 広告ヘルプによると、月末までに検出された無効なトラフィックは「請求およびキャンペーンのレポートから自動的に除外されるため、払い戻しは必要ありません」とされ、請求後に見つかった無効なトラフィックは「請求調整という形のクレジット」として戻ってきます。これが守るのは請求書であって、キャンペーン戦略ではありません。調査の対象は過去 60 日間のみで、Google は調査では「特定のクリックが有効と判定されたか無効と判定されたかを確認することはできません」と述べています。そのため、詐欺を引き寄せているキーワード、プレースメント、オーディエンスまでたどることはできません。

不正な IP アドレスをブロックするのはなぜ危険なのですか？

現代のインターネットでは、1 つのパブリックアドレスを無関係な多数の人が共有するのが当たり前だからです。RFC 6269 は何年も前にこの帰結を記録しています。サーバーが共有アドレスにペナルティを科すと、悪用する 1 人のユーザーが、何も悪いことをしていない他のユーザーを締め出してしまう可能性があります。キャリアグレード NAT は何百、何千ものモバイル契約者を 1 つのパブリック IP の背後に置くため、1 人の詐欺師を狙った恒久的な除外が、実際のモバイルオーディエンスの一部をすべてのキャンペーンから静かに消してしまうことがあります。

データセンタートラフィックは公式に無効なトラフィックと見なされていますか？

既知の無効なデータセンタートラフィックはそうですが、データセンタートラフィックのすべてではありません。Media Rating Council の IVT Detection and Filtration Standards は、一般無効トラフィック（GIVT）の最初のカテゴリーとして「既知の無効なデータセンタートラフィック」を挙げる一方で、正当な仮想マシンでのブラウジングや実ユーザーのルーティング上のアーティファクトは除外しています。また MRC は、最大手 3 社のホスティング事業者（Amazon AWS、Google、Microsoft）からのデータセンタートラフィックのフィルタリングを最低限の要件としています。TAG の Certified Against Fraud ガイドラインはさらに踏み込み、認証企業に対して、収益化されるすべてのトランザクションでデータセンター IP の脅威フィルタリングを実装することを求めています。