Affiliate Fraud Nedir? Türleri, Tespit Sinyalleri ve Önleme Yöntemleri

Affiliate fraud, performans pazarlamasının en pahalı ve en az konuşulan sorunudur. Reklamveren, gerçekte hiçbir müşteri getirmemiş bir kaynağa komisyon öder; dürüst yayıncı ise emeğiyle getirdiği satışı başkasına kaptırır. Tıklama sahtekarlığı ve sahte trafik yalnızca bütçeyi değil, raporlara duyulan güveni de yer; çünkü bozuk veriyle verilen her optimizasyon kararı yanlış yöne gider.

Bu rehberde affiliate fraud türlerini tek tek, nasıl çalıştıklarıyla birlikte inceleyeceğiz. Ardından hangi sinyallerin gerçekten işe yaradığını, önlemenin hangi katmanlarda kurulması gerektiğini ve en çok ihmal edilen konuyu, yani dürüst yayıncıyı haksız kesintilerden nasıl koruyacağınızı ele alacağız. Yazı hem reklamverenler hem yayıncılar için yazıldı; çünkü fraud ile mücadele iki tarafın da aynı kurallara güvenmesiyle başarılı olur.

Affiliate fraud nedir?

Affiliate fraud, bir yayıncının ya da üçüncü bir tarafın, gerçekte üretilmemiş veya kendisine ait olmayan tıklama, lead (potansiyel müşteri kaydı) ve satışlar için komisyon almaya çalıştığı her türlü hileli faaliyettir. Kısacası sistem, ödemeyi tetikleyen olayı taklit ederek ya da çalarak kandırılır.

Burada iki ana aile vardır. Birincisi sahte üretim: hiç var olmayan tıklama, kurulum veya form doldurma oluşturmak. Bot trafiği ve sahte lead bu gruptadır. İkincisi sahiplenme hilesi: gerçek bir müşterinin gerçek satın almasını, onu getirmemiş biri üzerine yazdırmak. Cookie stuffing, click injection ve attribution hijacking bu gruptadır.

Bu ayrım önemlidir, çünkü iki ailenin sinyalleri farklıdır. Sahte üretimde dönüşüm kalitesi bozulur: iptaller, ulaşılamayan telefonlar, hiç kullanılmayan uygulamalar. Sahiplenme hilesinde ise dönüşüm kalitesi kusursuz görünür; sipariş gerçektir, para ödenmiştir. Sorun yalnızca komisyonun yanlış kişiye gitmesidir ve bu yüzden tespit etmek daha zordur.

Affiliate modelinin temellerini henüz oturtmadıysanız önce affiliate marketing nedir rehberine göz atmanızı öneririz; fraud türlerinin hangi ödeme modelini hedef aldığını anlamak çok daha kolaylaşır.

Fraud türleri: nasıl çalışır, nasıl yakalanır?

En yaygın on affiliate fraud türü; bot tıklama, click spamming, click injection, cookie stuffing, sahte lead, incentivized trafik ihlali, marka kelime ihlali, sahte veya iptal edilen siparişler, SDK spoofing ve attribution hijacking'dir. Aşağıdaki tablo her birini tek satırda özetler.

Bot tıklama ve click spamming

Bot tıklama, en eski ve en kaba fraud türüdür. CPC (tıklama başına ödeme) kampanyalarında doğrudan para kazandırır; CPA kampanyalarında ise genellikle başka bir hileyle birlikte, örneğin dönüşüm "yakalamak" için kullanılır.

Click spamming bundan daha sinsidir. Hedef, satın alma ihtimali olan çok sayıda kullanıcıya önceden tıklama atamaktır. Kullanıcı birkaç gün sonra mağazaya kendi isteğiyle gelip alışveriş yaptığında, atıf penceresi içinde kalan son tıklama spam yapan yayıncıya aittir. Reklamveren, zaten kazanacağı bir satış için komisyon öder.

Click injection ve SDK spoofing

Bu iki tür ağırlıklı olarak mobil uygulama kampanyalarında (CPI, kurulum başına ödeme) görülür. Click injection'da cihazdaki zararlı bir uygulama, başka bir uygulamanın kurulduğunu fark eder ve kurulum tamamlanmadan hemen önce sahte tıklama gönderir. Böylece "son tıklama" o olur.

SDK spoofing ise cihaz bile gerektirmez. Ölçüm altyapısının sunucuya gönderdiği istekler çözümlenir ve sunucudan sunucuya sahte kurulum bildirimleri üretilir. Bu yüzden mobil kampanyalarda yalnız kuruluma değil, uygulama içi anlamlı bir etkinliğe (kayıt, ilk alışveriş) ödeme yapmak güçlü bir savunmadır.

Cookie stuffing ve attribution hijacking

Cookie stuffing'de kullanıcı hiçbir linke tıklamaz; görünmez bir görsel, iframe veya yönlendirme aracılığıyla tarayıcısına yayıncı çerezi bırakılır. Attribution hijacking ise daha modern bir sürümüdür: tarayıcı eklentisi, kullanıcının ödeme sayfasına geldiğini algılar ve araya kendi affiliate linkini sokar.

Her ikisinin ortak noktası, gerçek bir satışı sahiplenmeleridir. Bu yüzden sipariş kalitesi kusursuz görünür. Yakalamanın yolu satışa değil, satışa giden yola bakmaktır: kullanıcı gerçekten yayıncının sitesinde miydi, tıklama ile ödeme sayfası arasında bir etkileşim var mıydı?

Sahte lead, incentivized ihlal ve marka kelime ihlali

CPL (lead başına ödeme) kampanyaları, sahte lead'in doğal hedefidir; çünkü form doldurmak satın almaktan çok daha ucuzdur. Incentivized trafik ise tek başına fraud değildir; birçok kampanya ödüllü trafiğe açıkça izin verir. Fraud, kampanya kuralı yasakladığı hâlde ödüllü trafiğin gizlenerek gönderilmesidir.

Marka kelime ihlali de benzer bir sözleşme meselesidir. Reklamverenin kendi marka adıyla arama yapan kullanıcı zaten mağazaya gelmek üzeredir. Yayıncının bu aramaya reklam verip araya girmesi, reklamverenin kendi organik trafiğine komisyon ödemesi anlamına gelir.

Tespit sinyalleri: hangi veriye bakmalısınız?

Fraud tespitinde en güvenilir sinyaller; veri merkezi IP/ASN oranı, tıklama-dönüşüm süresi dağılımı, dönüşüm oranı anomalisi, sub ID entropisi, cihaz/coğrafya tutarsızlığı ve tekrar eden e-posta ya da telefondur. Hiçbiri tek başına kesin kanıt değildir; gücü birlikte değerlendirilmelerinden gelir.

1. Veri merkezi IP ve ASN

Gerçek kullanıcılar ev internetinden veya mobil operatörden gelir. Bulut sağlayıcılarının ve barındırma şirketlerinin IP blokları (ASN, yani otonom sistem numarasıyla tanımlanan ağlar) ise bot trafiğinin doğal evidir. Bir yayıncının tıklamalarının kayda değer bölümü veri merkezi ASN'lerinden geliyorsa, bu en net uyarıdır.

Dikkat edilmesi gereken nokta, kurumsal VPN ve bazı gizlilik servislerinin de veri merkezi IP'si kullanmasıdır. Bu yüzden bu sinyal "engelle" değil "puan ekle" mantığıyla çalışmalıdır.

2. Tıklama-dönüşüm süresi dağılımı

Bu sinyal, yazının belki de en değerli bilgisidir. Doğal trafikte tıklamadan dönüşüme geçen süre, birkaç dakikadan birkaç güne yayılan, belli bir tepe noktası olan bir dağılım gösterir. Fraud ise bu dağılımı karakteristik biçimde bozar.

• Birkaç saniyelik yığılma: click injection veya otomatik form doldurma işaretidir. İnsan, linke tıklayıp saniyeler içinde ödeme yapamaz.
• Düz, uzun kuyruk: click spamming işaretidir. Tıklama ile dönüşüm arasında gerçek bir ilişki olmadığı için dönüşümler atıf penceresi boyunca neredeyse eşit dağılır.
• Tıklamadan önce dönüşüm: mobilde kurulum zaman damgası, tıklamadan önceyse kesin bir enjeksiyon kanıtıdır.

3. Dönüşüm oranı (CR) anomalisi

CR anomalisi iki yönlü okunmalıdır. Çok düşük CR (yüksek tıklama, neredeyse sıfır dönüşüm) bot veya click spamming'i işaret eder. Kampanya ortalamasının çok üstünde CR ise cookie stuffing, marka kelime ihlali veya sahte lead'i işaret edebilir. Karşılaştırma için en iyi referans, aynı kampanyadaki ağ geneli ortalamadır.

Adfacten'de: Kampanya sayfalarında son 30 günün ağ geneli EPC (tıklama başına kazanç), dönüşüm oranı ve onay oranı gösterilir. Bir yayıncının değerleri bu ortalamadan sert biçimde ayrışıyorsa hem reklamveren hem yayıncı bunu kendi gözüyle görebilir.

4. Sub ID entropisi

Sub ID'ler (sub1–sub10 gibi alt parametreler), yayıncının trafiği kendi içinde kaynaklara ayırmak için kullandığı etiketlerdir. Gerçek bir içerik sitesinde bunlar makale adı, yerleşim veya kampanya gibi anlamlı ve sınırlı sayıda değerdir.

Her tıklamada tamamen rastgele, hiç tekrarlanmayan sub ID değerleri (yüksek entropi) görüyorsanız, trafik büyük ihtimalle başka ağlardan satın alınıp aktarılıyordur. Tam tersi, tüm trafiğin tek bir sub ID'de toplanması ve kaynağın açıklanamaması da şeffaflık sorusu doğurur.

5. Cihaz ve coğrafya tutarsızlığı

Kampanya Türkiye'yi hedefliyorsa ve IP Türkiye'yi gösteriyorsa ama tarayıcı dili, saat dilimi ve cihaz ayarları başka bir ülkeyi işaret ediyorsa, bu bir proxy veya emülatör işaretidir. Benzer şekilde masaüstü kullanıcı ajanı (user-agent) ile mobil ekran çözünürlüğünün bir arada görülmesi, sahte cihaz parmak izine işaret eder.

6. Tekrar eden e-posta, telefon ve adres

Sahte lead ve sahte siparişin en ucuz tespiti tekilleştirmedir. Aynı e-posta, telefon, teslimat adresi veya kart son haneleri farklı lead'lerde tekrar ediyorsa ya da e-postalar geçici alan adlarından geliyorsa, bu dönüşümler onaydan önce incelenmelidir.

Önleme katmanları: tek duvar yerine savunma hattı

Etkili fraud önleme, tıklama anında, dönüşüm anında ve onay aşamasında ayrı ayrı çalışan katmanlardan oluşur. Tek bir duvar her zaman aşılır; katmanlı savunmada ise bir hilenin her aşamada ayrı ayrı gizlenmesi gerekir ve bu maliyeti dolandırıcı açısından kârsız hâle getirir.

Takibin kendisi bir güvenlik önlemidir

Fraud önlemenin en çok küçümsenen parçası takip altyapısıdır. Tarayıcı çerezine ve URL'deki düz parametrelere dayanan takip, cookie stuffing ve parametre değiştirmeye açıktır. Buna karşılık S2S postback (sunucudan sunucuya dönüşüm bildirimi) ile çalışan, imzalı ve süreli click ID kullanan bir yapıda sahte veya kopyalanmış ID'ler doğrudan reddedilir.

Bu konuyu ayrıntılı ele aldığımız S2S postback ve çerezsiz dönüşüm takibi yazısı, fraud önleme stratejinizin teknik temelini oluşturur.

Ödeme modeli de bir savunmadır

Hangi olaya ödeme yaptığınız, hangi fraud türüne açık olduğunuzu belirler. CPC en savunmasız modeldir; CPS (satış başına) ve RevShare (gelir paylaşımı) en dayanıklılarıdır. Mobil kampanyalarda yalnız kuruluma değil, kayıt veya ilk satın alma gibi bir uygulama içi etkinliğe ödeme yapmak SDK spoofing ve incentivized trafiğin değerini düşürür. Modellerin fraud açısından karşılaştırması için performans pazarlama modelleri rehberine bakabilirsiniz.

Adfacten'de: Tıklama tarafında kural motoru, veri merkezi/ASN tespiti ve şüpheli trafik puanlaması çalışır; dönüşüm tarafında imzalı, süreli click ID ve tekrar dönüşüm engeli devrededir. S2S postback öncelikli takip modeli, çerez tabanlı hilelerin önemli bir bölümünü baştan anlamsız kılar.

Reklamveren için onay süreci ve sebep kodlu red

Doğru kurulmuş bir onay süreci, dönüşümleri belirli bir bekleme süresi boyunca inceleyip her reddi standart bir sebep koduyla gerekçelendiren süreçtir. Amaç, fraud'u ödemeden önce yakalarken dürüst yayıncıya neyin neden reddedildiğini açıkça göstermektir.

Reklamveren tarafında iyi işleyen bir süreç şu adımları izler:

1. Bekleme süresini iade süresine göre belirleyin. E-ticarette bu genellikle cayma ve iade süresini kapsayacak kadar olmalıdır. Lead kampanyalarında ise satış ekibinin lead'i arayıp doğrulayabileceği süre esas alınır.
2. Otomatik reddi yalnızca net durumlarla sınırlayın. Mükerrer kayıt veya test siparişi gibi kesin durumlar otomatik reddedilebilir; şüpheli ama belirsiz dönüşümler insan incelemesine gitmelidir.
3. Her reddi bir sebep koduyla işaretleyin. Standart kodlar örneğin şunlardır: order_cancelled (sipariş iptal edildi), order_returned (iade edildi), duplicate (mükerrer), invalid_lead (geçersiz lead), not_paid (ödenmedi), terms_violation (kampanya kuralı ihlali), test_order (test siparişi) ve fraud (sahtecilik).
4. Kısmi iadeleri tam red ile cezalandırmayın. Müşteri sepetin bir kısmını iade ettiyse dönüşümü tamamen reddetmek yerine tutarı düzeltin; yayıncı kazancı da buna göre yeniden hesaplanır.
5. fraud kodunu kanıtla kullanın. Bu kod, yayıncıyla ilişkiyi bitirebilecek ciddiyettedir. Hangi sinyale dayandığını not alın ve itiraz gelirse paylaşabileceğiniz hâlde tutun.
6. Red oranlarını yayıncı bazında izleyin. Bir yayıncıda order_cancelled oranının sürekli yüksek olması, tek tek dönüşümlerden daha anlamlı bir sinyaldir.

Bir affiliate programını sıfırdan kuruyorsanız bu kuralları en baştan kampanya şartlarına yazmanız gerekir; affiliate programı nasıl kurulur rehberi bu adımları ayrıntılı anlatır.

İpucu: Kampanya kurallarını yazarken "yasak trafik kaynakları" listesini somut tutun: marka kelime reklamı, ödüllü trafik, pop-up, e-posta, tarayıcı eklentisi gibi. Belirsiz kurallar hem uygulanamaz hem de dürüst yayıncıyı korkutur.

Yayıncı için haksız kesintiye karşı korunma

Haksız kesintiye karşı yayıncının en güçlü koruması; red gerekçelerinin şeffaf olması, itiraz hakkının bulunması ve takip dışında kalan satışlar için kayıp satış bildirimi yapılabilmesidir. Fraud ile mücadele, dürüst yayıncının da güvende hissettiği bir ortamda anlam taşır.

Sektörün sessiz sorunu şudur: bazı reklamverenler fraud bahanesiyle gerçek satışları da reddeder ve buna "scrub" (kesinti) denir. Yayıncı açısından bu, fraud kadar zararlıdır. Bu yüzden iyi bir ağ, fraud'a karşı ne kadar sertse gerekçesiz kesintiye karşı da o kadar katı olmalıdır.

Şeffaflık

Yayıncı, her reddedilen dönüşümün sebep kodunu görebilmelidir. "Reddedildi" yazan ama nedenini söylemeyen bir panel, yayıncının hangi trafiği düzeltmesi gerektiğini anlamasını imkânsız kılar. Kampanya bazında onay oranlarının görünür olması da yayıncının hangi kampanyaya emek vereceğine karar vermesini sağlar.

İtiraz

Sebep kodu yayıncının kayıtlarıyla çelişiyorsa itiraz edebilmelidir. Güçlü bir itiraz için yayıncı şunları hazırlamalıdır:

1. İlgili dönüşümlerin click ID veya sipariş numarası listesi.
2. Trafiğin geldiği sayfa ve sub ID değerleri.
3. Trafik kaynağının kampanya kurallarına uygun olduğunu gösteren açıklama (ör. organik içerik, e-posta bülteni izni).
4. Aynı dönemdeki genel onay oranının kampanya ortalamasıyla karşılaştırması.

Kayıp satış bildirimi

Bazen satış gerçektir ama takip kaçırmıştır: kullanıcı farklı cihazdan tamamlamış, reklam engelleyici kullanmış veya teknik bir hata olmuştur. Kayıp satış bildirimi, yayıncının bu satışı kanıtıyla birlikte bildirmesi ve reklamveren kabul ederse onaylı dönüşüm oluşmasıdır.

Adfacten'de: Red ve iade kararları sebep koduyla verilir ve yayıncı panelinde görünür. Yayıncılar kayıp satış bildirebilir; reklamveren kabul ederse onaylı dönüşüm oluşur. Ayrıca yayıncının ödemesini düşüren kural değişiklikleri en az 7 gün önceden bildirilir. Yayıncı tarafındaki koşulları yayıncılar sayfasında inceleyebilirsiniz.

Yapay zekâ çağında yeni fraud vektörleri

Yapay zekâ, fraud'un maliyetini düşürürken tespitini de güçlendiren çift taraflı bir araçtır. Dolandırıcı açısından en büyük değişim, insan gibi görünen içerik ve davranışın artık neredeyse bedava üretilebilmesidir.

Öne çıkan yeni vektörler şunlardır:

• Gerçekçi sahte lead: Dil modelleri, tutarlı isim, adres ve form yanıtları üretebilir. Basit "anlamsız metin" kontrolleri artık yetmez; telefon ve e-posta doğrulaması, davranış analizi ve satış sonucu geri bildirimi şarttır.
• İnsan taklidi yapan botlar: Fare hareketi, kaydırma ve yazma ritmi taklit edilebiliyor. Bu yüzden tek bir sayfa içi davranış sinyali yerine ağ, cihaz ve zaman sinyallerinin birleşimine bakmak gerekir.
• Sahte içerik çiftlikleri: Otomatik üretilmiş yüzlerce inceleme sitesi, düşük kaliteli trafik üretip kampanyalara başvurabilir. Yayıncı başvurularında sitenin gerçek bir kitlesi olup olmadığını sorgulamak önem kazanır.
• Ajan kimliğine bürünme: AI asistanları üzerinden gelen satışlar arttıkça "bu satışı benim ajanım önerdi" iddiası da yeni bir sahiplenme alanı hâline geliyor. Burada çözüm, tıklamasız kanallarda da imzalı ve süreli atıf anahtarları kullanmaktır.

Son madde özellikle önemlidir. Link tıklaması olmayan kanallarda (AI asistanları, podcast, sosyal içerik) atıf sözlü beyanla yapılırsa sahiplenme hilesine kapı açılır. İmzalı ve süreli bir atıf token'ı ise click ID ile aynı güvenlik seviyesini sağlar; değiştirilmiş, süresi dolmuş veya başka reklamverene ait token'lar reddedilir. Bu yapının nasıl çalıştığını yapay zekâ ajanları ve affiliate marketing'in geleceği yazımızda ayrıntılı anlattık.

Öte yandan aynı teknoloji savunmayı da güçlendirir. Anomali tespit modelleri, binlerce yayıncının davranışını eş zamanlı izleyip insan analistin gözünden kaçacak örüntüleri yakalayabilir. Ancak kritik bir ilke korunmalıdır: modelin şüphesi kendiliğinden bir ceza değildir. fraud gibi ağır kararlar insan denetiminden ve kanıttan geçmelidir.

Affiliate fraud kontrol listesi

Aşağıdaki kontrol listesi, bir programın fraud'a karşı temel hijyenini birkaç dakikada değerlendirmenizi sağlar. "Hayır" dediğiniz her madde, öncelikli bir iyileştirme alanıdır.

Reklamveren için:

1. Dönüşümleri S2S postback ile mi bildiriyorsunuz?
2. Click ID'ler imzalı ve süreli mi; tekrar dönüşüm engelleniyor mu?
3. Atıf pencereniz ürünün gerçek karar süresine uygun mu (gereğinden uzun değil mi)?
4. Kampanya kurallarınızda yasak trafik kaynakları somut olarak yazılı mı?
5. Onay bekleme süreniz iade ve iptal süresini kapsıyor mu?
6. Her reddi bir sebep koduyla mı veriyorsunuz?
7. Kısmi iadelerde tutar düzeltmesi mi yapıyorsunuz, tam red mi?
8. Yayıncı bazında red oranlarını ve tıklama-dönüşüm süresi dağılımını düzenli izliyor musunuz?
9. Lead kampanyalarında satış ekibinizin geri bildirimi onay sürecine bağlı mı?
10. Marka adınızla verilen arama reklamlarını periyodik olarak denetliyor musunuz?

Yayıncı için:

1. Trafik kaynaklarınız kampanya kurallarıyla uyumlu mu ve bunu belgeleyebilir misiniz?
2. Sub ID'leri anlamlı ve tutarlı biçimde kullanıyor musunuz?
3. Satın aldığınız veya aktardığınız trafik var mı; varsa kaynağını biliyor musunuz?
4. Red sebep kodlarını düzenli okuyup trafiğinizi buna göre düzeltiyor musunuz?
5. Kampanya bazında onay oranlarını karşılaştırıp düşük onaylı kampanyaları eliyor musunuz?
6. Takip dışında kalan satışlar için kayıp satış bildirimi yapıyor musunuz?

Adfacten ile güvenli bir başlangıç

Affiliate fraud ile mücadele, tek bir araçla değil; doğru takip altyapısı, katmanlı tespit ve iki tarafa da adil davranan bir onay süreciyle kazanılır. Adfacten bu üç parçayı aynı platformda sunar: S2S öncelikli takip, kural motoru ve şüpheli trafik puanlaması, sebep kodlu red, kısmi iade ve kayıp satış bildirimi.

Reklamverenseniz reklamveren sayfasından programınızı nasıl kurabileceğinizi inceleyebilir veya doğrudan reklamveren hesabı açabilirsiniz. Yayıncıysanız yayıncı olarak kaydolup kampanyaların ağ geneli onay oranlarını kendi gözünüzle görebilirsiniz. Ağ seçerken hangi kriterlere bakmanız gerektiğini merak ediyorsanız affiliate network nedir, nasıl seçilir rehberi iyi bir sonraki adımdır.