やるべきことはすべてやったはずです。検索語句やアナリティクスから不審な IP アドレスを洗い出し、除外リストに追加し、もしかすると Google の 500 件という上限に達したかもしれません。それでも不要なクリックや偽のリードは届き続けています。これは貴社の誤りではありません。その原因には名前があります。それが レジデンシャルプロキシ です。ISP が割り当てた実在の家庭の IP アドレスを経由して不正クリックを行い、その IP は優良顧客とまったく見分けがつきません。つまり、静的なブロックリストではそれを検出できないのです。IP のブロックは今でも必要ですが、それだけではプロキシ経由の不正を見逃します。このガイドでは、その仕組み、ブロックリストが構造的に太刀打ちできない理由、そしてデバイスと行動ベースの検出が上乗せするものを解説します。
先月作ったブロックリストは、すでに時代遅れです
除外リストの作り方は、たいてい同じです。レポートで不審なアドレスを見つけて追加し、これを繰り返します。データセンターからのトラフィックには、この方法が通用します。ホスティング ネットワークに載っているため、見分けてブロックできるからです。一方、本物のユーザーとまったく同じに見える家庭の回線を経由したトラフィックには、はるかに通用しにくくなります。
多くの広告主が苦い経験を経てたどり着く率直な結論は、不正な IP のリストは、すでに移動した標的のスナップショットにすぎないということです。アドレスを特定して除外するころには、不正を行う業者は別のアドレスに移っています。解決策はリストを大きくすることではなく、別の検出の層を加えることです。
レジデンシャルプロキシとは何か
レジデンシャルプロキシは、一般の消費者の実際のインターネット接続を経由してトラフィックを送ります。出口の IP は、ホスティング事業者ではなく、通常のブロードバンド回線やモバイル回線を使う家庭や小規模事業者のものです。業者は、ユーザーの通信帯域をひそかに転売する SDK を、無料のモバイルアプリ、ブラウザ拡張機能、「無料」の VPN に組み込むことで、こうしたネットワークを構築します。その多くは、実質的な同意を得ずに行われています。
この点がすべてです。不正なクリックがレジデンシャルプロキシから送られると、そのクリックは 実在の家庭の接続が持つ信頼できる IP の評価 を伴って届きます。データセンターではないため、どのデータセンターのブロックリストにも載っていません。そして、それを一律にブロックするのは危険です。同じ IP 範囲の背後には、獲得したい実際の顧客がいるからです。データセンターや VPN のトラフィックは比較的スコアを付けやすい一方、レジデンシャルプロキシのトラフィックは、それらを捉えるチェックを破るために特別に設計されています。自動化された側面については、Google 広告のボットトラフィック対策ガイドで解説しています。
2026 年の証拠：Google による IPIDEA の摘発
これは理論上の話ではありません。2026年1月29日、Google Threat Intelligence Group は、世界最大級のレジデンシャルプロキシ ネットワークの 1 つである IPIDEA を阻止したと発表しました。注目すべきはその規模です。このネットワークは 600 以上のアプリ に隠された SDK によって支えられ、約 7,400 台のサーバーと 3,000 を超える固有の Windows ファイル ハッシュを基盤とし、互いに独立しているように見せかけたプロキシ・VPN ブランド群で販売されていました。同月のある 7 日間だけで、Google は IPIDEA の出口ノードを利用する 550 を超える異なる脅威グループ を観測しています。
このトラフィックを止めるのがなぜこれほど難しいのかについての Google 自身の説明は、IP のブロックに対する告発のようにも読めます。「世界中の多数の一般消費者のデバイスを経由してトラフィックを送ることで、攻撃者はこれらの IP アドレスを乗っ取り、悪意のあるアクティビティを隠すことができます。」
広告主にとっての教訓は、特定の 1 つのネットワークではなく、その仕組みにあります。Google は、SDK によって運営者が「必要とする何百万ものデバイス」を確保できると述べており、ほかのレジデンシャルプロキシのプールも、1 つが摘発されたあとで稼働し続けています。IP のレベルでは本物のユーザーと同じに見え、これほどの規模のプールには、どの静的な除外リストも追いつけません。
静的なブロックリストが構造的に太刀打ちできない理由
IP のリストでこの戦いに勝てない具体的な理由は 3 つあります。
- 入れ替わり。 レジデンシャルプロキシのネットワークは、膨大な数の一般消費者のデバイスのプールを使い、出口の IP を絶えず入れ替えます。不正なアドレスを列挙することで機能する防御は、数学的に終わらせることのできないゲームをしているのです。
- Google の厳格な上限。 Google 広告では、キャンペーンあたり最大 500 件の IP アドレスを除外でき、除外したいアドレスのすべてのバージョンを登録する必要があります。入れ替わる家庭用 IP のプールに対して 500 件の枠では、勝負になりません。
- 適用範囲のすき間。 同じ Google のドキュメントによると、キャンペーン単位の IP 除外は「動画キャンペーン、ホテル キャンペーン、アプリ キャンペーン、P-MAX キャンペーン、スマート ディスプレイ キャンペーンでは利用できません」。アカウント単位の除外は P-MAX を含むアカウント全体に適用されますが、それでもアドレスのリストであり、同じ入れ替わりの問題を抱えています。
Google の無効なトラフィックのページでは、通常の人間の行動と一致しないインタラクションを探す自動フィルタについて説明されています。レジデンシャルプロキシは、クリックのネットワーク側が通常の家庭のユーザーに見えるように作られているため、不正を見破る手がかりはデバイスとセッションに残ります。
GIVT と SIVT：リストが及ばない理由を説明する基準
広告業界には、これを表す言葉がすでにあります。Media Rating Council の無効なトラフィックの基準は、無効なトラフィックを 2 つの階層に分けています。一般的な無効トラフィック（GIVT） は「リストの適用やその他の標準化されたパラメータ チェックによる、通常の選別の手段で特定される」トラフィックで、既知のボット、クローラー、不正な IP のリストが該当します。高度な無効トラフィック（SIVT） は「検出がより困難で、高度な分析、複数の観点からの裏付けや連携、人による相当な介入などを必要とする」状況を指します。
レジデンシャルプロキシやマルウェアによる不正クリックは、定義上 SIVT です。ブロックリストは、基準自体の表現を借りれば「リストの適用による」選別であり、GIVT のためのツールです。SIVT に対しては、根本的に不適切な道具なのです。これが、IP のブロックでは無効なトラフィックの一部しか捉えられない、業界標準に基づく正確な理由です。
ブロックリストが見落とすコンバージョンの盲点
クリックが除外された場合でも、もう 1 つの問題が残ります。Google の無効なトラフィックのページによると、リードは広告主自身のウェブサイトと CRM で取得するため、「Google が広告のインタラクションを無効と判断した場合でも、ボットやユーザーがフォームを送信できてしまう」ことがあります。同じページには、Google が「無効なトラフィック由来の無効なコンバージョンの一部を削除する」とあり、これはすべてではありません。さらに Google の無効なクリックの定義には、クリックがコンバージョンにつながったあとで除外された場合、「Google は無効なクリックをキャンペーンの指標から削除しますが、有効なコンバージョンは残ります」と書かれています。Google はそのコンバージョンを有効と数えますが、その元になったクリックが不正だったなら、フォームの送信も不要なものかもしれません。それはコンバージョンのデータに入り込み、スマート自動入札や P-MAX に取り込まれます。確実な対策は、フォームに届く前に、より多くの不正クリックを止めることです。既知の IP のリストでは、すでに捉えたアドレスについてしかそれができません。
デバイスと行動ベースの検出が IP リストに加えるもの
IP が信頼できないなら、代わりに「相手そのもの」を検出します。入れ替わるレジデンシャル IP があっても機能する層は 3 つあります。
-
デバイスフィンガープリント。 ハードウェア、ソフトウェア、ネットワークの属性から組み立てる識別情報で、Cookie の削除、プライベート ブラウジング、まったく新しい IP をまたいで同じ訪問者を再び特定します。ブロックリストに載ることのない入れ替わるレジデンシャル IP から不正が届いた場合でも、ClickFortify は IP の評価だけでなく、100 以上のデバイス、ネットワーク、行動のデータポイントで各クリックにスコアを付けます。 ClickFortify のフィンガープリントは、出口の IP が変わっても不正な訪問者を再び特定します。
-
行動のシグナル。 本物の人は、マウスを動かし、スクロールし、ためらい、人間らしく不規則にページを移動します。自動化されたクライアントはそうしません。また、Selenium、Puppeteer、Playwright のようなヘッドレス ブラウザのツールは、検出可能な自動化の痕跡を残します。クリック後の挙動（滞在時間、スクロールの深さ、ページ遷移の流れ、そうした自動化の兆候）を分析することで、ClickFortify は IP の評価チェックを通過してもボットのように振る舞うクリックにフラグを付けます。
-
シグナル間の裏付け。 最も強い手がかりは「矛盾」から得られます。データセンター級のデバイスフィンガープリントを持つレジデンシャル IP、IP の位置情報と一致しないブラウザのタイムゾーンや言語、別の国を経由して中継されていることをうかがわせる通信のタイミングなどです。ClickFortify は 100 以上のデバイス、ネットワーク、行動のデータポイントで各クリックにスコアを付けるため、シグナルどうしが矛盾するセッションは、信頼されることなく浮かび上がります。 ここでも、プロキシ、データセンター、VPN の検出は重要です。ただし、それだけで判定を下すものではなく、重み付けされた多くの入力の 1 つとして使われます。
ClickFortify が Google、P-MAX、Meta で防御を重ねる仕組み
これらの層をつなぎ合わせることこそが実際の仕事であり、各プラットフォームの制約を踏まえる必要があります。
- Google 検索とディスプレイ。 Google 広告の不正クリック対策として、ClickFortify は 100 以上のデバイス、ネットワーク、行動のデータポイント で各クリックにリアルタイムでスコアを付け、無効な IP を Google 広告の IP 除外リストを通じて自動で除外し、ブロックごとに証拠の記録を残します。Google はキャンペーンの IP 除外を 500 件に制限しているため、リストだけに頼るブロックでは不十分であり、クリックごとのスコアリングが重要になります。
- P-MAX。 Google によると、キャンペーン単位の IP 除外は P-MAX では利用できませんが、アカウント単位の IP 除外は P-MAX を含むアカウント全体に適用されます。そのため、P-MAX での IP ベースの保護は、アカウント単位の除外を通じて行われます。
- コンバージョンのデータ。 Google がインタラクションにフラグを付けたあとでも、ボットはフォームを送信できてしまうため、Google 広告での目標は、フォームに届く不正クリックを減らすことです。ClickFortify はそこでクリックと IP のレベルで機能し、コンバージョンのデータに入り込む不要なデータを減らします。Google 広告内のコンバージョンを編集したり削除したりすることはありません。
- Meta。 Meta には IP のブロック機能がないため、ClickFortify はランディングページへの訪問ごとにスコアを付け、Meta が提供するコントロールを通じて対処します。不正が検出された広告セットで Audience Network をオフにでき（広告アカウントごとのオプトイン）、ブロックしたパブリッシャーを Meta のブロックリストに反映します。CAPI プロキシ を有効にすると、コンバージョンが訪問者の不正スコアと照合され、フラグが付いたイベントは Meta に届く前に破棄されるか、タグが付けられます。
まとめ
IP の除外は続けてください。必要な第一の層であり、基準で GIVT と呼ばれる、高度ではないリストベースのトラフィックを防ぎます。しかし、それではできないことを理解しておいてください。プロキシ経由の不正クリックは、実在の家庭の接続に乗ってきます。その接続はどのリストでも追えないほど速く入れ替わり、データセンターのチェックをすり抜け、クリックが捉えられた場合でもコンバージョンのデータを汚染します。それを捉えるには、アドレスではなく（デバイスと行動によって）相手そのものを特定する必要があります。この多層的な対策を検索、P-MAX、Meta で一貫して適用することが、1 週間で時代遅れになるブロックリストと、次の IP がどこから来ても不正を追い続ける保護との違いを生みます。
