O que é uma fazenda de cliques? A economia do clique falso

Peça à maioria dos anunciantes que imagine a fraude de cliques e eles imaginam um servidor: um script em um data center martelando um anúncio em um laço. Essa imagem é metade do problema. Ela descreve o tráfego de bots, e é por isso que tantas defesas são ajustadas para pegar máquinas.

Uma fazenda de cliques é a outra metade, e é construída de propósito para parecer os seus clientes. Este guia cobre o que essas operações realmente são, o que os investigadores encontraram quando as invadiram, por que a economia que todo mundo cita não é confiável e como detectar o tráfego de fazendas de cliques nos seus relatórios do Google Ads e da Meta.

O que uma fazenda de cliques realmente é

Uma fazenda de cliques é uma operação que paga pessoas para gerar um engajamento que parece orgânico. O resultado é o que o comprador quiser: cliques em anúncios, instalações de apps, visualizações de vídeo, seguidores em redes sociais, avaliações de produtos, notas de vendedores ou interações de pesquisa que empurram um anúncio para cima em um ranking.

Três características a definem:

• Hardware real. Celulares, tablets e computadores físicos, muitas vezes centenas deles, montados em estruturas ou espalhados por mesas e ligados por fios a uma máquina de controle.
• Identidade de rede real. Chips SIM de consumidor e conexões residenciais, de modo que o tráfego sai de faixas de endereços que pertencem a operadoras e provedores legítimos.
• Pessoas reais. Trabalhadores que dão os toques, às vezes auxiliados por automação nas partes repetitivas.

Esse terceiro elemento é o que separa uma fazenda de cliques das fazendas de bots que tratamos à parte. Uma fazenda de bots é um software imitando uma pessoa. Uma fazenda de cliques é uma pessoa. O problema da imitação desaparece por completo, e com ele a maioria dos sinais que os seus filtros de fraude procuram.

O que uma batida policial real revela

O retrato mais instrutivo de uma fazenda de cliques vem das autoridades policiais, e não do marketing dos fornecedores.

Em junho de 2017, a polícia e soldados tailandeses invadiram duas casas alugadas no distrito de Aranyaprathet, perto da fronteira com o Camboja. Lá dentro, segundo o The Register, encontraram uma estrutura metálica improvisada com centenas de celulares ligados por fios a um monitor, e apreenderam:

Dois detalhes merecem atenção. Primeiro, os chips SIM superam os aparelhos em mais de 700 para 1, porque o item consumível é a identidade, não o dispositivo. Queima-se um número, troca-se, segue-se em frente. Segundo, os operadores disseram à polícia que se instalaram na Tailândia porque as tarifas móveis de lá eram baratas em comparação com as da China. É um negócio de margem, e ele se muda para onde os insumos são mais baratos.

Uma observação rápida sobre fontes, porque isso importa em tudo o que você lê sobre o tema: essa batida aconteceu em 2017, mas circula amplamente em artigos recentes datados de 2025 e 2026 com os mesmos números. Se você vir o dado de 347.200 chips SIM apresentado como atual, é o caso de 2017 sendo reciclado.

A fiscalização mais recente tem se concentrado na camada de identidade que alimenta essas operações. Na Operação SIMCARTEL, coordenada pela Europol e pela Eurojust em outubro de 2025 na Áustria, na Estônia, na Finlândia e na Letônia, os investigadores fizeram 26 buscas, prenderam sete pessoas e apreenderam cerca de 1.200 dispositivos SIM box com 40.000 chips SIM ativos registrados em mais de 80 países. O serviço por trás desse hardware tinha sido usado para criar cerca de 49 milhões de contas online.

Fazenda de cliques, fazenda de bots, fazenda de SIM: três coisas diferentes

Esses termos são usados como se fossem a mesma coisa, e não deveriam.

Uma fazenda de SIM não produz os seus cliques falsos. Ela produz as contas verificadas e as identidades de telefone que as fazendas de cliques e as fazendas de bots consomem. É por isso que a fiscalização contra as fazendas de SIM importa para os anunciantes, mesmo que nenhum anúncio seja clicado em uma delas.

Na prática, as categorias se misturam. Uma operação moderna costuma automatizar o trabalho repetitivo e reservar a participação humana para as etapas que a exigem, que é exatamente o híbrido que derrota a detecção ajustada para qualquer um dos extremos.

A economia que ninguém verifica

Quase todo artigo sobre fazendas de cliques cita um preço. Um centavo por clique. Um dólar por mil. Dez mil visualizações por alguns dólares.

Esses números vêm dos vendedores.

Não existem dados de preços auditados para um mercado ilegal. Os números em circulação são tirados das páginas de marketing de serviços que anunciam tráfego falso, e esses operadores têm todo o incentivo para anunciar os maiores volumes aos menores preços, entreguem ou não. Repetir a tabela de preços deles como dado de mercado não é pesquisa, é amplificação.

O que pode ser verificado vem dos registros de fiscalização e do lado da demanda. O caso tailandês dá um dado honesto: três operadores, 474 aparelhos, cerca de 4.400 dólares americanos por mês de remuneração total. Esse é o custo de manter a fazenda, não o preço cobrado dos clientes dela, e mostra que a margem é fina o bastante para perseguir tarifas baratas de chips SIM do outro lado de uma fronteira.

Do lado da demanda, o estudo de transparência programática da ANA constatou que apenas cerca de 36 centavos de cada dólar que entra em uma plataforma do lado da demanda chegavam a um consumidor de forma mensurável, com outra grande parcela indo para mídia de baixa qualidade, incluindo tráfego inválido e inventário feito para publicidade. O trabalho de referência posterior da ANA estimou o desperdício programático em cerca de 26,8 bilhões de dólares. Esses números não isolam especificamente as fazendas de cliques, e não vamos fingir que isolam, mas dimensionam o volume de dinheiro que torna operações como essa dignas de serem mantidas.

A conclusão prática para um anunciante é mais simples do que qualquer tabela de preços: o custo de um clique falso para o comprador é um erro de arredondamento perto do que esse clique custa a você com um CPC de 4 dólares. A assimetria é o modelo de negócios.

Por que as fazendas de cliques vencem as defesas padrão

Percorra a pilha de detecção habitual e veja-a falhar uma camada de cada vez.

• Reputação de IP e listas de bloqueio. A conexão é uma linha residencial ou móvel genuína. Ela não está em nenhuma lista de ameaças, e bloqueá-la corre o risco de bloquear uma casa de verdade. O mesmo problema estrutural que tratamos em por que o bloqueio de IP falha contra proxies residenciais se aplica aqui, por outro motivo: esse endereço não é um proxy de forma alguma.
• Filtros de data center e de hospedagem. Não há nada a pegar. Não existe data center no caminho.
• CAPTCHA. Há um humano presente. O CAPTCHA é um teste de humanidade, e a fazenda passa nele honestamente.
• Impressão digital do dispositivo, usada de forma ingênua. O dispositivo é um iPhone real com uma impressão digital real. A impressão digital ainda ajuda, mas só quando você a usa para identificar o mesmo dispositivo reaparecendo em várias sessões, e não para decidir se um dispositivo é genuíno.
• Heurísticas básicas de bots. O movimento do mouse, o ritmo dos toques e as curvas de interação vêm de dedos de verdade. Não há curva de automação a detectar.
• Filtragem de bots do GA4. Os filtros das plataformas se apoiam em listas de bots conhecidos. O celular de um desconhecido em outro país não está em lista nenhuma.

É por isso que as fazendas de cliques custam mais que os bots e que os compradores ainda pagam por elas. Você não paga por cliques. Paga por cliques que sobrevivem à filtragem.

Como o tráfego de fazendas de cliques aparece na sua conta

Como os sinais técnicos são fracos, a detecção passa para o padrão e o resultado. Nenhum item abaixo prova algo sozinho. A combinação é o sinal.

• Cliques em alta, conversões estáveis ou em queda. O sinal mais duradouro de toda a fraude de cliques, e o que as fazendas de cliques não conseguem evitar sem de fato comprar de você.
• Concentração nas suas palavras-chave mais caras. Quem paga pela fazenda está comprando dano, e o dano é precificado por clique.
• Sessões curtas, mas não instantâneas. Os bots saem em menos de um segundo. Um humano pago se demora só o suficiente para parecer plausível, muitas vezes um punhado de segundos suspeitosamente constante em muitas sessões.
• Engajamento superficial, mas diferente de zero. Uma rolagem, talvez uma interação, e depois some. A intenção real produz um comportamento mais bagunçado e mais variado.
• Grupos geográficos que você não atende. Tráfego concentrado em uma cidade ou região fora do seu mercado, chegando por operadoras móveis e não por faixas de data center.
• Homogeneidade de dispositivos. As fazendas compram hardware em lote. Uma concentração incomum de um modelo de dispositivo antigo ou de uma versão de sistema operacional em sessões sem relação aparente merece uma consulta.
• Horários que não combinam com o dia de uma só pessoa. As operações humanas têm turnos, então o volume pode começar e parar em horários locais constantes, incluindo uma queda no almoço. Os dispositivos de uma fazenda também podem ficar ativos por muito mais tempo que qualquer pessoa sozinha, um padrão que a pesquisa da próxima seção mediu diretamente.
• Comportamento repetido sem identidade repetida. A mesma sequência de interações voltando de endereços em constante mudança aponta para uma operação coordenada, e não para coincidência.

Esse último par, comportamento consistente em uma identidade inconsistente, é o ponto central. Uma fazenda de cliques pode trocar de endereço a cada sessão. Ela não consegue mudar com facilidade a forma como os seus trabalhadores foram treinados para agir.

Como detectar o tráfego de fazendas de cliques no Google Ads e na Meta

Para detectar o tráfego de fazendas de cliques, use a plataforma de anúncios para encontrar um grupo suspeito e os dados do seu próprio site para confirmá-lo. O Google Ads e a Meta mostram onde, quando e em que tipo de dispositivo os cliques aconteceram. Só o seu site mostra o que cada visitante fez em seguida, e é aí que uma fazenda se entrega.

Ajuste as expectativas primeiro. Os Invalid Traffic Detection and Filtration Standards (padrões de detecção e filtragem de tráfego inválido) do Media Rating Council, na atualização de junho de 2020, citam as fazendas de cliques como exemplo de tráfego inválido sofisticado (SIVT): atividade humana incentivada que pode ser demonstrada como organizada e dirigida entre vários usuários ou máquinas. O mesmo padrão lista os emuladores no SIVT automatizado. O MRC define o SIVT como a categoria que exige análises avançadas e corroboração entre vários pontos de dados para ser identificada. Nenhum relatório isolado vai entregá-lo a você.

Três grupos de sinais no nível dos relatórios fazem a maior parte do trabalho: concentração de dispositivos e locais, padrões de engajamento e qualidade dos leads. Eles se sobrepõem às verificações que usamos para o tráfego de bots nas campanhas do Google Ads, com uma diferença. Uma fazenda passa no teste de “isto é um humano”, então você procura coordenação e falta de intenção, e não automação.

O que os pesquisadores encontraram ao medir dispositivos móveis fraudulentos

A medição pública mais detalhada do hardware de fazendas de cliques é um estudo revisado por pares: “Understanding and Detecting Mobile Ad Fraud Through the Lens of Invalid Traffic”, de Suibin Sun, Le Yu, Xiaokuan Zhang, Minhui Xue, Ren Zhou, Haojin Zhu, Shuang Hao e Xiaodong Lin (ACM CCS 2021). Os autores compararam os logs de solicitações de anúncios de cerca de 2 milhões de dispositivos que um grupo de empresas de verificação de anúncios havia classificado como fraudulentos com os logs de 0,19 milhão de dispositivos genuínos, registrados entre maio e junho de 2020.

Três achados importam para um anunciante.

• A concentração de locais é real, mas não universal. Entre as 30 maiores fazendas que o sistema encontrou em um dia de tráfego, 9 usavam endereços IP de pequenas áreas centralizadas, 14 alternavam endereços IP e IDs de dispositivo para escapar da filtragem e 4 faziam as duas coisas. Um grupo regional é uma pista forte quando você o vê. A ausência dele não prova nada.
• Os dados do dispositivo costumam ser forjados. As fazendas geraram strings de user agent com pares de marca e modelo que não existem e com versões do Android que não correspondem à versão do navegador WebView informada junto. Vale conferir nos seus próprios logs dados de dispositivo impossíveis.
• Os alvos giram. A maior fazenda que os autores rastrearam, nos logs de 2018 e 2019, trocava os apps que inflava a cada três a cinco dias, em média. Um grupo que aparece e some em uma semana combina com o comportamento de uma fazenda. Isso não significa que o problema acabou.

A limitação é o escopo. O estudo cobre o tráfego dentro de apps Android vendido por impressão, não os cliques de pesquisa, então trate os percentuais dele como uma descrição do hardware das fazendas, e não como uma referência para a sua conta.

A coordenação deixa rastros também nas redes sociais. Pesquisadores que compraram curtidas de fazendas de curtidas do Facebook constataram que as fazendas mais discretas imitavam usuários comuns bem o bastante para escapar da detecção do Facebook em operação, mas as contas das fazendas ainda produziam comentários e curtidas duplicados com mais frequência que os usuários normais (“Measuring, Characterizing, and Detecting Facebook Like Farms”, de Muhammad Ikram, Lucky Onwuzurike, Shehroze Farooqi, Emiliano De Cristofaro, Arik Friedman, Guillaume Jourjon, Dali Kaafar e M. Zubair Shafiq; Ikram et al., ACM Transactions on Privacy and Security, 2017). Pesquisadores da Carnegie Mellon e do Facebook construíram um detector com o mesmo princípio. O “CopyCatch: Stopping Group Attacks by Spotting Lockstep Behavior in Social Networks”, de Alex Beutel, Wanhong Xu, Venkatesan Guruswami, Christopher Palow e Christos Faloutsos (WWW 2013), sinaliza grupos de contas que curtem as mesmas Páginas mais ou menos ao mesmo tempo, usando apenas o grafo de usuários e Páginas e os carimbos de data e hora, e os autores o relataram em produção no Facebook. Cada sessão pode parecer humana enquanto o grupo ainda se move em sincronia.

Sinal 1: concentração de dispositivos e locais

Procure uma fatia do seu tráfego que recebe uma grande parcela dos cliques e quase nenhuma das conversões.

No Google Ads, o relatório de Locais tem duas visões. Locais segmentados mostra o desempenho pelos lugares que você escolheu. Locais correspondentes mostra onde os seus anúncios apareceram, o que o Google diz que “podem ser os locais físicos dos usuários ou locais de interesse”, agregados entre os usuários. Depois adicione o segmento Dispositivo, que compara computadores, celulares, tablets e telas de TV, e repita com o segmento Hora do dia (Ajuda do Google Ads: usar segmentos nas suas tabelas). Um local correspondente fora do seu mercado, um tipo de dispositivo absorvendo gasto sem conversões ou um volume por hora que acompanha um dia de trabalho em outro fuso horário são os padrões a anotar.

No Gerenciador de Anúncios da Meta, as mesmas verificações passam pelos detalhamentos. A Meta documenta como acessar os detalhamentos no Gerenciador de Anúncios e como os detalhamentos, as métricas e a filtragem funcionam nos Relatórios de anúncios. A referência de detalhamentos da Marketing API linkada abaixo da tabela lista detalhamentos por país, região, dispositivo de impressão, plataforma do dispositivo e por hora, no fuso horário do anunciante ou do espectador. Desde 6 de agosto de 2026, observa essa referência, os detalhamentos por dispositivo de impressão e por hora no fuso horário do espectador podem estar indisponíveis para algumas contas de anúncios até que um administrador faça a adesão no Gerenciador de Anúncios.

Nenhuma das plataformas informa o modelo do dispositivo, a versão do sistema operacional nem a operadora. Os dados de dispositivo forjados e desatualizados que a pesquisa descreve só aparecem nos seus próprios logs, junto com sinais de emuladores, como strings de hardware genéricas, ausência de sensores de movimento ou tamanhos de tela que nenhum celular à venda usa.

Sinal 2: padrões de engajamento

As fazendas são pagas para clicar, não para ler nem comprar, e isso aparece em três lugares.

• Colapso da taxa de conversão. O Google define a taxa de conversão como “o número médio de conversões por interação com o anúncio” (Ajuda do Google Ads: taxa de conversão). Os cliques de uma fazenda acrescentam interações sem acrescentar conversões, então a taxa cai enquanto os cliques e o custo sobem. Rode os mesmos segmentos acima e descubra onde o colapso se concentra. Uma queda espalhada de forma uniforme pela conta aponta para a sua oferta ou página de destino. Uma queda restrita a uma região, um tipo de dispositivo ou um bloco de horas aponta para o tráfego.
• Cliques que nunca viram visitas. A Meta informa os cliques no link e as visualizações da página de destino como métricas separadas e explica a diferença entre cliques no link e visualizações da página de destino na sua central de ajuda. Uma diferença crescente em um posicionamento ou região merece um olhar mais atento antes de você presumir que as páginas estão lentas.
• Profundidade da sessão e tempo na página. Isso vem das suas análises, não da plataforma de anúncios. As sessões de fazendas tendem a parar em uma página e durar um punhado constante de segundos, com uma rolagem e talvez um toque. Olhe para a distribuição, e não para a média. Visitantes reais produzem uma dispersão longa e bagunçada. Um pico de sessões com duração quase idêntica e o mesmo caminho de páginas, vindas de dispositivos diferentes, é o padrão de sincronia que a pesquisa acima descreve.

Sinal 3: qualidade dos leads

Uma fazenda que preenche formulários ainda não consegue virar cliente, então a qualidade dos leads é o sinal mais lento, mas o mais difícil de falsificar.

• Dados com padrão. Números de telefone sequenciais, um mesmo domínio de e-mail repetido, o mesmo nome em pequenas variações ou dados plausíveis que nunca atendem a uma ligação de acompanhamento.
• Tempo antinatural entre o clique e a conversão. Conversões que chegam um número quase idêntico de segundos depois do clique, repetidamente. Compradores reais levam tempos muito diferentes.
• Leads que nunca se qualificam. O Google Ads tem as metas de lead qualificado e lead convertido para isso. Um lead qualificado registra “leads gerados pelo Google que também foram qualificados mais a fundo offline”, e um lead convertido registra leads que concluem uma etapa escolhida do seu processo de vendas, em geral offline (Ajuda do Google Ads: leads qualificados e leads convertidos). Quando os resultados do seu CRM voltam para a plataforma, um segmento em que os preenchimentos de formulário sobem enquanto os leads qualificados ficam perto de zero é a assinatura de fazenda mais clara que a plataforma pode dar.

Um limite vale para toda verificação do lado do site. Os leads enviados por formulários de lead do Google Ads ou por formulários instantâneos da Meta nunca chegam ao seu site, e as ligações de extensões de chamada também não. Ferramentas do lado do site, a ClickFortify inclusive, não conseguem ver esses envios, então a revisão do seu CRM é a única verificação sobre eles.

Verifique o que as plataformas já filtraram

As duas plataformas removem parte da atividade inválida antes que você pague por ela, então saiba o que já foi pego. A definição de cliques inválidos do Google inclui cliques manuais que “aumentam seus custos com anúncios ou inflam os lucros dos editores”, diz que você não é cobrado por eles e aponta para um cartão de Tráfego inválido na página Visão geral, que resume as métricas de proteção do seu período (Ajuda do Google Ads: cliques inválidos). Para a Pesquisa e o Performance Max, o relatório de crédito por atividade inválida (Invalid Activity Credit Report) no Editor de relatórios lista os cliques creditados e os cliques ajustados por campanha (Ajuda do Google Ads: Invalid Activity Credit Report). A Meta descreve a própria filtragem em Sobre a detecção e a prevenção de cliques inválidos da Meta.

Leia esses números como um piso, não como um veredito. Uma fazenda de cliques é, por definição, o tráfego que sobrevive à filtragem das plataformas. Se aparecem créditos mas o colapso das conversões persiste nos mesmos segmentos, o restante cabe a você encontrar.

Veja onde cada sinal pode e não pode ser visto:

Fontes das colunas das plataformas: a documentação do relatório de locais do Google e a referência de detalhamentos da Marketing API da Meta, que não lista nenhum detalhamento por endereço IP, operadora, versão do SO ou modelo do dispositivo.

As células vazias são o ponto. As duas plataformas informam dados agregados, e nenhuma mostra um endereço IP nem o que um visitante fez depois de chegar. Uma fazenda de cliques se define pela coordenação entre sessões, então confirmar uma exige dados no nível da sessão e do dispositivo que só o seu próprio site coleta: dados de engajamento do GA4, logs brutos do servidor e a impressão digital do dispositivo, que reconhece o mesmo celular por trás de um endereço que muda.

O que realmente as pega

Três camadas fazem o trabalho de verdade, e nenhuma delas é uma lista de IPs.

Pontuação comportamental sobre a sessão, não sobre o clique. Julgue a visita pela forma como ela se desenrola: a distribuição do tempo de permanência, o comportamento de rolagem, a sequência de interações e como tudo isso se compara ao seu tráfego genuíno que converte. As sessões de fazendas de cliques se agrupam firmemente em torno de um roteiro aprendido, e essa firmeza é em si anormal. Clientes reais variam.

Reconhecimento de dispositivos que persiste entre trocas de endereço. A impressão digital não serve aqui para provar que um dispositivo é falso. Ela serve para provar que um dispositivo é o mesmo que esteve aqui ontem e anteontem, a partir de três endereços diferentes, sem nunca comprar nada.

Análise de resultados. Siga o tráfego até a receita. Uma origem que entrega cliques e nenhuma conversão, mês após mês, está dizendo o que é, não importa o quão humana pareça cada sessão individual. Essa também é a evidência que sustenta um pedido de crédito ou um caso contra um concorrente, porque as plataformas e os tribunais respondem a padrões documentados ao longo do tempo, e não à suspeita sobre um único clique.

O princípio geral: pare de perguntar se este clique veio de um humano. Veio. Comece a perguntar se este visitante se comporta como alguém que poderia comprar de você.

Como a ClickFortify lida com o tráfego de fazendas de cliques

A ClickFortify foi construída sobre a premissa de que o endereço é o sinal mais fraco disponível. A pontuação comportamental avalia cada sessão por como ela de fato se comporta, e não por onde veio, de modo que um ser humano genuíno pago para clicar ainda se separa com clareza de um ser humano genuíno com intenção de comprar. O reconhecimento de dispositivos liga a atividade entre IPs rotativos, o que transforma um punhado de sessões aparentemente sem relação em um único ator identificável. Os infratores confirmados são sincronizados automaticamente com as suas exclusões do Google Ads, então você não precisa manter uma lista à mão contra um adversário que troca de endereço mais rápido do que você consegue digitar, uma corrida perdida que detalhamos no guia do limite de 500 exclusões de IP.

Cada bloqueio traz uma trilha de evidências: carimbos de data e hora, endereços, continuidade do dispositivo e comportamento, que é exatamente o que uma investigação de tráfego inválido ou uma queixa judicial exige. Veja como funciona ou dimensione primeiro a sua própria exposição com a calculadora de fraude em anúncios.

Conclusão

Uma fazenda de cliques é a forma mais honesta de fraude em anúncios que existe. Nada nela é falso, exceto a intenção. Pessoas reais, celulares reais, redes reais, toques reais, e nenhum desses cliques jamais ia virar um cliente.

É por isso que as defesas em que a maioria dos anunciantes confia não a alcançam. Listas de IP, CAPTCHA e filtros de data center respondem todos à pergunta “isto é uma máquina?”, e a resposta é genuinamente não. A pergunta que separa uma fazenda de cliques do seu mercado é outra: este visitante se comporta como um comprador, e ele continua aparecendo sem nunca virar um? Responda a isso, ao longo das sessões e não dos cliques, e a sala cheia de celulares deixa de ser invisível.