¿Qué es una granja de clics? La economía del clic falso

Pide a la mayoría de los anunciantes que imaginen el fraude de clics y imaginarán un servidor: un script en un centro de datos que golpea un anuncio en bucle. Esa imagen es la mitad del problema. Describe el tráfico de bots, y por eso tantas defensas están afinadas para atrapar máquinas.

Una granja de clics es la otra mitad, y está construida a propósito para parecerse a tus clientes. Esta guía cubre qué son realmente estas operaciones, qué encontraron los investigadores cuando las asaltaron, por qué la economía que todo el mundo cita es poco fiable y cómo detectar el tráfico de granjas de clics en tus informes de Google Ads y Meta.

Qué es realmente una granja de clics

Una granja de clics es una operación que paga a personas para generar una interacción que parece orgánica. El resultado es lo que quiera el comprador: clics en anuncios, instalaciones de apps, visualizaciones de vídeo, seguidores en redes sociales, reseñas de productos, valoraciones de vendedores o interacciones de búsqueda que empujan un anuncio hacia arriba en una clasificación.

La definen tres características:

• Hardware real. Teléfonos, tablets y ordenadores físicos, a menudo cientos, montados en bastidores o repartidos por mesas y conectados a una máquina de control.
• Identidad de red real. Tarjetas SIM de consumo y conexiones residenciales, de modo que el tráfico se origina en un espacio de direcciones que pertenece a operadores y proveedores de internet legítimos.
• Personas reales. Trabajadores que realizan los toques, a veces asistidos por automatización para las partes repetitivas.

Ese tercer elemento es lo que separa una granja de clics de las granjas de bots que tratamos por separado. Una granja de bots es software que imita a una persona. Una granja de clics es una persona. El problema de la imitación desaparece por completo, y con él la mayoría de las señales que buscan tus filtros antifraude.

Lo que sale a la luz en una redada real

La imagen más instructiva de una granja de clics procede de las fuerzas del orden y no del marketing de los proveedores.

En junio de 2017, la policía y el ejército de Tailandia asaltaron dos casas alquiladas en el distrito de Aranyaprathet, cerca de la frontera con Camboya. En su interior, según informó The Register, encontraron una estructura metálica improvisada con cientos de teléfonos conectados a un monitor, e incautaron lo siguiente:

Dos detalles merecen atención. Primero, las tarjetas SIM superan a los terminales en más de 700 a 1, porque la identidad es lo que se consume, no el dispositivo. Se quema un número, se cambia y se continúa. Segundo, los operadores dijeron a la policía que se instalaron en Tailandia porque las tarifas móviles allí eran baratas en comparación con China. Es un negocio de márgenes, y se traslada adonde los insumos son más baratos.

Una nota rápida sobre las fuentes, porque importa para cualquier cosa que leas sobre este tema: esa redada ocurrió en 2017, pero circula ampliamente en artículos recientes fechados en 2025 y 2026 con las mismas cifras. Si ves la cifra de 347.200 SIM presentada como actual, es el caso de 2017 reciclado.

La actuación policial más reciente se ha centrado en la capa de identidad que alimenta estas operaciones. En la Operación SIMCARTEL, coordinada por Europol y Eurojust en octubre de 2025 en Austria, Estonia, Finlandia y Letonia, los investigadores realizaron 26 registros, detuvieron a siete personas e incautaron unos 1.200 dispositivos SIM box con 40.000 tarjetas SIM activas registradas en más de 80 países. El servicio que había detrás de ese hardware se había usado para crear unos 49 millones de cuentas en línea.

Granja de clics, granja de bots, granja de SIM: tres cosas distintas

Estos términos se usan como sinónimos y no deberían.

Una granja de SIM no produce tus clics falsos. Produce las cuentas verificadas y las identidades telefónicas que consumen las granjas de clics y las granjas de bots. Por eso la actuación contra las granjas de SIM importa a los anunciantes aunque en ellas nunca se haga clic en ningún anuncio.

En la práctica las categorías se difuminan. Una operación moderna suele automatizar el trabajo repetitivo y reservar la intervención humana para los pasos que la necesitan, justo el híbrido que burla la detección afinada para cualquiera de los dos extremos.

La economía que nadie verifica

Casi todos los artículos sobre granjas de clics citan un precio. Un céntimo por clic. Un dólar por mil. Diez mil visualizaciones por unos pocos dólares.

Esas cifras proceden de los vendedores.

No existen datos de precios auditados de un mercado ilegal. Los números en circulación se toman de las páginas de marketing de servicios que anuncian tráfico falso, y esos operadores tienen todos los incentivos para anunciar los mayores volúmenes a los precios más bajos, los entreguen o no. Repetir su tarifa como si fueran datos de mercado no es investigar, es amplificar.

Lo que se puede verificar procede de los registros policiales y judiciales y del lado de la demanda. El caso tailandés ofrece un dato honesto: tres operadores, 474 terminales, unos 4.400 dólares estadounidenses al mes de remuneración total. Ese es el coste de hacer funcionar la granja, no el precio que cobra a sus clientes, y te dice que el margen es lo bastante fino como para perseguir tarifas de SIM baratas al otro lado de una frontera.

Del lado de la demanda, el estudio de transparencia programática de la ANA halló que solo unos 36 centavos de cada dólar que entraba en una plataforma del lado de la demanda llegaban a un consumidor de forma medible, y que otra gran parte acababa en medios de baja calidad, incluidos el tráfico inválido y el inventario hecho para publicidad. El trabajo de referencia posterior de la ANA situó el desperdicio programático en unos 26.800 millones de dólares. Esas cifras no aíslan las granjas de clics en concreto, y no fingiremos que lo hacen, pero dimensionan la bolsa de dinero que hace rentable una operación como esta.

La conclusión práctica para un anunciante es más simple que cualquier lista de precios: el coste de un clic falso para el comprador es un error de redondeo frente a lo que ese clic te cuesta a ti con un CPC de 4 dólares. La asimetría es el modelo de negocio.

Por qué las granjas de clics burlan las defensas estándar

Recorre la pila de detección habitual y verás cómo falla capa por capa.

• Reputación de IP y listas de bloqueo. La conexión es una línea residencial o móvil genuina. No está en ninguna lista de amenazas, y bloquearla corre el riesgo de bloquear un hogar real. El mismo problema estructural que tratamos en por qué falla el bloqueo de IPs frente a los proxies residenciales se aplica aquí, por un motivo distinto: esta dirección no es un proxy en absoluto.
• Filtros de centros de datos y de alojamiento. No hay nada que atrapar. No hay ningún centro de datos en el camino.
• CAPTCHA. Hay una persona presente. El CAPTCHA es una prueba de humanidad, y la granja la supera con honestidad.
• Huella digital del dispositivo, usada de forma ingenua. El dispositivo es un iPhone real con una huella real. La huella digital sigue ayudando, pero solo cuando la usas para detectar que el mismo dispositivo reaparece en varias sesiones, no para decidir si un dispositivo es genuino.
• Heurísticas básicas de bots. El movimiento del ratón, el tiempo de los toques y las curvas de interacción vienen de dedos reales. No hay ninguna curva de automatización que detectar.
• Filtrado de bots en GA4. Los filtros de las plataformas se apoyan en listas de bots conocidos. El teléfono de un desconocido en otro país no está en ninguna lista.

Por eso las granjas de clics cuestan más que los bots y por eso los compradores siguen pagando por ellas. No pagas por clics. Pagas por clics que sobreviven al filtrado.

Cómo se ve el tráfico de una granja de clics en tu cuenta

Como las señales técnicas son débiles, la detección pasa al patrón y al resultado. Ninguno de los elementos siguientes demuestra nada por sí solo. La combinación es la señal.

• Clics al alza, conversiones planas o a la baja. La señal más duradera de todo el fraude de clics, y la que las granjas de clics no pueden evitar sin comprarte realmente algo.
• Concentración en tus palabras clave más caras. Quien paga la granja compra daño, y el daño se cobra por clic.
• Sesiones cortas pero no instantáneas. Los bots rebotan en menos de un segundo. Un humano pagado se demora lo justo para parecer verosímil, a menudo unos pocos segundos sospechosamente constantes en muchas sesiones.
• Interacción superficial pero distinta de cero. Un desplazamiento, quizá una interacción, y se va. Una intención real produce un comportamiento más desordenado y variado.
• Grupos geográficos que no atiendes. Tráfico concentrado en una ciudad o región fuera de tu mercado, que llega por operadores móviles y no por rangos de centros de datos.
• Homogeneidad de dispositivos. Las granjas compran hardware al por mayor. Una concentración inusual de un modelo de dispositivo antiguo o de una versión del sistema operativo en sesiones por lo demás no relacionadas merece una consulta.
• Momentos que no encajan con el día de una sola persona. Las operaciones humanas tienen turnos, así que el volumen puede empezar y parar a horas locales constantes, incluida una pausa para comer. Los dispositivos de una granja también pueden seguir activos mucho más tiempo que cualquier persona, un patrón que la investigación de la sección siguiente midió directamente.
• Comportamiento repetido sin identidad repetida. La misma secuencia de interacción que reaparece desde direcciones en constante cambio apunta a una operación coordinada y no a una coincidencia.

Ese último par, un comportamiento coherente sobre una identidad incoherente, es el quid. Una granja de clics puede cambiar su dirección en cada sesión. No puede cambiar con facilidad cómo se ha enseñado a comportarse a sus trabajadores.

Cómo detectar el tráfico de granjas de clics en Google Ads y Meta

Para detectar el tráfico de granjas de clics, usa la plataforma publicitaria para encontrar un grupo sospechoso y los datos de tu propio sitio para confirmarlo. Google Ads y Meta pueden mostrarte dónde, cuándo y en qué tipo de dispositivo se hicieron los clics. Solo tu sitio puede mostrar qué hizo cada visitante a continuación, y ahí es donde una granja se delata.

Ajusta primero las expectativas. Los Invalid Traffic Detection and Filtration Standards del Media Rating Council (actualización de junio de 2020) citan las granjas de clics como ejemplo de tráfico inválido sofisticado (SIVT): actividad humana incentivada que puede demostrarse organizada y dirigida a través de varios usuarios o máquinas. El mismo estándar incluye los emuladores en el SIVT automatizado. El MRC define el SIVT como la categoría que necesita analítica avanzada y corroboración en varios puntos de datos para identificarse. Ningún informe aislado te la entregará.

Tres grupos de señales a nivel de informe hacen la mayor parte del trabajo: la concentración de dispositivos y ubicaciones, los patrones de interacción y la calidad de los leads. Se solapan con las comprobaciones que usamos para el tráfico de bots en las campañas de Google Ads, con una diferencia. Una granja supera la prueba de “¿es una persona?”, así que buscas coordinación y ausencia de intención en lugar de automatización.

Lo que hallaron los investigadores al medir dispositivos móviles fraudulentos

La medición pública más detallada del hardware de las granjas de clics es un estudio revisado por pares: “Understanding and Detecting Mobile Ad Fraud Through the Lens of Invalid Traffic”, de Suibin Sun, Le Yu, Xiaokuan Zhang, Minhui Xue, Ren Zhou, Haojin Zhu, Shuang Hao y Xiaodong Lin (ACM CCS 2021). Los autores compararon los registros de solicitudes de anuncios de unos 2 millones de dispositivos que un grupo de empresas de verificación publicitaria había etiquetado como fraudulentos con los registros de 0,19 millones de dispositivos genuinos, registrados entre mayo y junio de 2020.

Tres hallazgos importan para un anunciante.

• La concentración de ubicaciones es real, pero no universal. Entre las 30 mayores granjas que el sistema encontró en un día de tráfico, 9 usaban direcciones IP de zonas pequeñas y centralizadas, 14 rotaban direcciones IP e ID de dispositivo para evadir el filtrado y 4 hacían ambas cosas. Un grupo regional es una pista sólida cuando lo ves. Su ausencia no demuestra nada.
• Los datos de dispositivo a menudo están falsificados. Las granjas generaron cadenas de agente de usuario con pares de marca y modelo que no existen, y con versiones de Android que no coinciden con la versión del navegador WebView informada junto a ellas. Vale la pena buscar datos de dispositivo imposibles en tus propios registros.
• Los objetivos rotan. La mayor granja que rastrearon los autores, en los registros de 2018 y 2019, cambiaba las apps que inflaba cada tres a cinco días de media. Un grupo que aparece y desaparece en una semana encaja con el comportamiento de una granja. No significa que el problema se haya ido.

La limitación es el alcance. El estudio cubre tráfico dentro de apps de Android vendido por impresión, no clics de búsqueda, así que trata sus porcentajes como una descripción del hardware de las granjas y no como una referencia para tu cuenta.

La coordinación deja huellas también en las redes sociales. Los investigadores que compraron me gusta a granjas de me gusta de Facebook descubrieron que las granjas más sigilosas imitaban a los usuarios normales lo bastante bien como para evadir la detección desplegada por Facebook, y aun así las cuentas de las granjas producían comentarios y me gusta duplicados con más frecuencia que los usuarios normales (“Measuring, Characterizing, and Detecting Facebook Like Farms”, de Muhammad Ikram, Lucky Onwuzurike, Shehroze Farooqi, Emiliano De Cristofaro, Arik Friedman, Guillaume Jourjon, Dali Kaafar y M. Zubair Shafiq; Ikram et al., ACM Transactions on Privacy and Security, 2017). Investigadores de Carnegie Mellon y Facebook construyeron un detector basado en el mismo principio. “CopyCatch: Stopping Group Attacks by Spotting Lockstep Behavior in Social Networks”, de Alex Beutel, Wanhong Xu, Venkatesan Guruswami, Christopher Palow y Christos Faloutsos (WWW 2013), marca los grupos de cuentas que dan me gusta a las mismas páginas más o menos al mismo tiempo, usando solo el grafo de usuarios y páginas y las marcas de tiempo, y los autores informaron de que funcionaba en producción en Facebook. Cada sesión puede parecer humana mientras el grupo sigue moviéndose al unísono.

Señal 1: concentración de dispositivos y ubicaciones

Busca una porción de tu tráfico que se lleve una gran parte de los clics y casi ninguna de las conversiones.

En Google Ads, el informe de ubicaciones (Locations) tiene dos vistas. Las ubicaciones segmentadas muestran el rendimiento por los lugares que elegiste. Las ubicaciones coincidentes muestran dónde aparecieron tus anuncios, lo que Google dice que “podrían ser las ubicaciones físicas de los usuarios o ubicaciones de interés”, agregadas entre usuarios. Añade después el segmento de dispositivo, que compara ordenadores, teléfonos móviles, tablets y pantallas de TV, y repite con el segmento de hora del día (Ayuda de Google Ads: usar segmentos en tus tablas). Una ubicación coincidente fuera de tu mercado, un tipo de dispositivo que absorbe gasto sin conversiones o un volumen por horas que sigue una jornada laboral de otra zona horaria son los patrones que conviene anotar.

En Meta Ads Manager, las mismas comprobaciones se hacen mediante desgloses. Meta documenta cómo acceder a los desgloses en Ads Manager y cómo funcionan los desgloses, las métricas y el filtrado en los informes de anuncios. La referencia de desgloses de la Marketing API enlazada debajo de la tabla enumera desgloses por país, región, dispositivo de impresión, plataforma del dispositivo y por horas, en la zona horaria del anunciante o del espectador. Desde el 6 de agosto de 2026, indica esa referencia, los desgloses por dispositivo de impresión y por horas en la zona horaria del espectador pueden no estar disponibles en algunas cuentas publicitarias hasta que un administrador los active en Ads Manager.

Ninguna de las dos plataformas informa del modelo de dispositivo, la versión del sistema operativo ni el operador. Los datos de dispositivo falsificados y obsoletos que describe la investigación solo aparecen en tus propios registros, junto con indicios de emuladores como cadenas de hardware genéricas, sensores de movimiento ausentes o tamaños de pantalla que no usa ningún teléfono comercial.

Señal 2: patrones de interacción

A las granjas se les paga por hacer clic, no por leer ni comprar, y eso se nota en tres sitios.

• Colapso de la tasa de conversión. Google define la tasa de conversión como “el número medio de conversiones por interacción con el anuncio” (Ayuda de Google Ads: tasa de conversión). Los clics de las granjas suman interacciones sin sumar conversiones, así que la tasa cae mientras suben los clics y el coste. Ejecuta los mismos segmentos de antes y encuentra dónde se concentra el colapso. Una caída repartida de forma uniforme por la cuenta apunta a tu oferta o a tu página de destino. Una caída limitada a una región, un tipo de dispositivo o un bloque de horas apunta al tráfico.
• Clics que nunca se convierten en visitas. Meta informa de los clics en el enlace y de las visitas a la página de destino como métricas separadas y explica la diferencia entre los clics en el enlace y las visitas a la página de destino en su centro de ayuda. Una brecha creciente en una ubicación o región merece una mirada más atenta antes de dar por hecho que las páginas son lentas.
• Profundidad de la sesión y tiempo en la página. Estos datos vienen de tu analítica, no de la plataforma publicitaria. Las sesiones de las granjas tienden a detenerse en una página y a durar unos pocos segundos constantes, con un desplazamiento y quizá un toque. Mira la distribución y no la media. Los visitantes reales producen una dispersión larga y desordenada. Un pico de sesiones con una duración casi idéntica y la misma ruta de páginas, desde dispositivos distintos, es el patrón al unísono que describe la investigación anterior.

Señal 3: calidad de los leads

Una granja que rellena formularios sigue sin poder convertirse en cliente, así que la calidad de los leads es la señal más lenta pero la más difícil de falsificar.

• Datos con patrones. Números de teléfono consecutivos, un mismo dominio de correo repetido, el mismo nombre con pequeñas variaciones o datos verosímiles que nunca responden a una llamada de seguimiento.
• Tiempos antinaturales entre el clic y la conversión. Conversiones que llegan un número casi idéntico de segundos después del clic, una y otra vez. Los compradores reales tardan cantidades de tiempo muy distintas.
• Leads que nunca se cualifican. Google Ads tiene los objetivos de lead cualificado y lead convertido para esto. Un lead cualificado registra “leads generados por Google que además se han cualificado más adelante offline”, y un lead convertido registra los leads que completan un paso elegido de tu proceso de ventas, normalmente offline (Ayuda de Google Ads: leads cualificados y leads convertidos). Una vez que los resultados de tu CRM vuelven, un segmento donde suben los formularios enviados mientras los leads cualificados siguen cerca de cero es la firma de granja más clara que puede darte la plataforma.

Hay un límite que se aplica a toda comprobación del lado del sitio. Los leads enviados mediante los recursos de formulario de leads de Google Ads o los formularios instantáneos de Meta nunca llegan a tu sitio web, y tampoco las llamadas de los recursos de llamada. Las herramientas del lado del sitio, ClickFortify incluido, no pueden ver esos envíos, así que la revisión de tu CRM es la única comprobación sobre ellos.

Comprueba lo que las plataformas ya filtraron

Ambas plataformas eliminan parte de la actividad inválida antes de que la pagues, así que conviene saber qué se detectó ya. La definición de clics inválidos de Google incluye los clics manuales que “aumentan tus costes publicitarios o inflan los beneficios de los editores”, dice que no se te cobran y señala una tarjeta de tráfico inválido (Invalid traffic) en la página de resumen que resume las métricas de protección de tu intervalo de fechas (Ayuda de Google Ads: clics inválidos). Para Búsqueda y Performance Max, el informe de créditos por actividad inválida (Invalid Activity Credit Report) del editor de informes enumera los clics abonados y los clics ajustados por campaña (Ayuda de Google Ads: informe de créditos por actividad inválida). Meta describe su propio filtrado en Acerca de la detección y la prevención de clics inválidos de Meta.

Lee esas cifras como un mínimo, no como un veredicto. Una granja de clics es, por diseño, el tráfico que sobrevive al filtrado de las plataformas. Si aparecen créditos pero el colapso de las conversiones persiste en los mismos segmentos, el resto te toca encontrarlo a ti.

Aquí tienes dónde se puede y dónde no se puede ver cada señal:

Fuentes de las columnas de las plataformas: la documentación del informe de ubicaciones de Google y la referencia de desgloses de la Marketing API de Meta, que no enumera ningún desglose por dirección IP, operador, versión del sistema operativo ni modelo de dispositivo.

Las celdas vacías son la clave. Ambas plataformas informan de agregados, y ninguna muestra una dirección IP ni lo que hizo un visitante tras llegar. Una granja de clics se define por la coordinación entre sesiones, así que confirmarla exige datos a nivel de sesión y de dispositivo que solo recoge tu propio sitio: los datos de interacción de GA4, los registros del servidor en bruto y la huella digital del dispositivo que reconoce el mismo teléfono detrás de una dirección cambiante.

Qué las atrapa de verdad

Tres capas hacen el trabajo real, y ninguna es una lista de IPs.

Puntuación conductual sobre la sesión, no sobre el clic. Juzga la visita por cómo se desarrolla: distribución del tiempo de permanencia, comportamiento de desplazamiento, secuencia de interacción y cómo se compara todo ello con tu tráfico genuino que convierte. Las sesiones de las granjas de clics se agrupan estrechamente en torno a un guion aprendido, y esa estrechez es en sí anormal. Los clientes reales varían.

Reconocimiento de dispositivos que persiste a través de los cambios de dirección. Aquí la huella digital no sirve para demostrar que un dispositivo es falso. Sirve para demostrar que un dispositivo es el mismo que estuvo aquí ayer, y anteayer, desde tres direcciones distintas, sin comprar nunca nada.

Análisis de resultados. Sigue el tráfico hasta los ingresos. Una fuente que entrega clics y ninguna conversión, mes tras mes, te dice lo que es, por humana que parezca cada sesión individual. Esta es también la evidencia que respalda una reclamación de créditos o un caso contra un competidor, porque las plataformas y los tribunales responden a patrones documentados a lo largo del tiempo y no a la sospecha sobre un solo clic.

El principio general: deja de preguntarte si este clic vino de una persona. Vino. Empieza a preguntarte si este visitante se comporta como alguien que podría comprarte.

Cómo gestiona ClickFortify el tráfico de granjas de clics

ClickFortify se construyó partiendo de la premisa de que la dirección es la señal más débil disponible. La puntuación conductual evalúa cada sesión por cómo se comporta de verdad y no por de dónde viene, de modo que una persona genuina a la que pagan por hacer clic sigue separándose con nitidez de una persona genuina con intención de comprar. El reconocimiento de dispositivos une la actividad a través de IPs rotativas, lo que convierte una dispersión de sesiones aparentemente no relacionadas en un único actor identificable. Los infractores confirmados se sincronizan automáticamente con tus exclusiones de Google Ads, así que no mantienes a mano una lista contra un oponente que cambia de dirección más rápido de lo que tú escribes, una carrera perdida que desglosamos en la guía del límite de 500 exclusiones de IP.

Cada bloqueo lleva un rastro de evidencias: marcas de tiempo, direcciones, continuidad del dispositivo y comportamiento, que es justo lo que necesita una investigación de tráfico inválido o una denuncia legal. Consulta cómo funciona o dimensiona primero tu propia exposición con la calculadora de fraude publicitario.

En resumen

Una granja de clics es la forma más honesta de fraude publicitario que existe. Nada en ella es falso salvo la intención. Personas reales, teléfonos reales, redes reales, toques reales, y ninguno de esos clics iba a convertirse jamás en cliente.

Por eso las defensas en las que confían la mayoría de los anunciantes no la tocan. Las listas de IPs, el CAPTCHA y los filtros de centros de datos responden a la pregunta “¿esto es una máquina?”, y la respuesta es genuinamente no. La pregunta que separa a una granja de clics de tu mercado es otra: ¿este visitante se comporta como un comprador y sigue apareciendo sin llegar a serlo? Respóndela, a lo largo de las sesiones y no de los clics, y la sala llena de teléfonos deja de ser invisible.