X-log ver2（旧X-Guard) を技術者がレビューする【不正クリック対策】

かなり営業の電話がしつこかったということもあり、
社命によりアクセス解析 X-log ver2（旧X-Guard) を検証してみました。

X-logとは不正クリックを追跡して、ユーザーのアクセスを遮断できる
不正クリック対策ツールとしても、話題になったソフトウェアです。

結論
・知識があるユーザーの不正クリックの対策としては、効果はありません。
・IP、クッキー、UserAgentって何？っていう低レベルな不正クリック対策には効果があるかもしれないです。
・毎回検索して悪意無く広告を踏むユーザーへ、お気に入りへの登録を促すことはできます。
・返金請求用レポートは使えると思いますが、
　IP, cookieベースでログを分析して自分達で作成したほうが良いと思います。
　理由はIP, cookie以外でのログが含まれていると、精度が怪しいデータと判断され
　Google、Yahooから一切、内容を見て頂けないリスクがあります。

　サイトにあった余分なデータが無い返金レポートを出したほうが、返金率が高くなります。
・ネット上では技術的な内容が無いステマが多いです。
　不正クリックを行う会社が詳細な技術手法を記載しているのに対して、
　x-logの抽象的な記載は信頼はできません。
・特許技術に関しては一切詳細が不明。特許番号の記載も無し。
　少なくとも2010年4月30日に申請中で未だに特許番号不明なので、
　特許は取れていないのでは？との疑惑が


結論を出せなかった懸念点や問題点
・誤検知率
・主要なブラウザ以外の対応が不十分



技術的な内容
前提として元々私は以下の記事でも書いているように、
不正クリック対策のサービスを信用しておりません。

・技術者の視点で見てうまくやれば不正クリックって絶対ばれない
・リスティング広告の不正クリック対策ツールって不正クリックを助長していませんか？


理由は課金フローにあります。
広告のクリックが課金されるフローは以下のようになっております。

①ユーザーが検索
②ユーザーが広告をクリック(ココで課金が発生)
③サイトに流入
④x-logにてブロック

すなわち②にて課金が行われた後は、③がリンク切れだろうがなんだろうが、
Googleは知ったこっちゃありません。
③④ではブロックできないのです。
例え③で「アクセスを遮断しました」などが表示されても、
課金は正常に処理されており、意味が無いのです。



またHP上では「IPアドレスの変更・クッキーの削除に関係なく訪問者の再アクセスを識別」などの
記載があったため、実際に試してみました。

１，最初に同一IP、同一ブラウザで多重クリックを行い、警告を表示させる
２，１の後で別ブラウザでクリック -> 警告が表示される
３，２の後でクッキーも削除し、別ブラウザでクリック -> 警告が表示される
４，３の後で、IPを変更し、クッキーを削除して、別ブラウザでクリック -> 警告無し。
５，４の後で、クッキーを削除して、１で警告が既に表示されたブラウザでクリック -> 警告無し。


99.99%の正確度と53の特許を持つ新しい不正クリックの分析技術を
こんなに簡単に突破してしまいました(笑)。

まぁ予想どうりなのですが、IPとcookieで判定しており、
それ以外では判断しておりません。
「IPアドレスの変更・クッキーの削除に関係なく訪問者の再アクセスを識別」とは
いわゆる「フィンガープリント技術」と呼ばれるものです。
技術的には可能ですが、実際にやろうとすると誤検知が相当数生まれてしまいます。
もしくはブラウザのセキュリティ設定を変更したり、
特定のブラウザでは動かなかったり、特定のソフトのインストールが必要だったりするのですが、
そういう0.1%くらいの特別なユーザーのみ
「IPアドレスの変更・クッキーの削除に関係なく訪問者の再アクセスを識別」できるという
意味なのだと思います。

「フィンガープリント技術」は広告など、多少誤っても良いという
前提の元に使用される技術です。
メッセージ性が強いユーザーブロックなどに使ってはいけません。

そしてこの挙動で問題になりそうなのが
イー・モバイルやvactant、携帯電話、社内からのアクセスなどの少ないIPを
大人数で使いまわす環境です(要はNAT環境です)。


予想ですがイー・モバイルやvactant、携帯電話、社内からのアクセスなどは
cookieを削除して多重クリックを繰り返すと、
全くブロックされない or 他人を巻き込んで同一IPからのアクセスを全てブロックのいずれかになると思います。


私の判断としては導入は無いのですが、無理やり導入するメリットを上げるとすれば
毎回検索して悪意無く広告を踏むユーザーへ、お気に入りへの登録を促すことはできるとは思います。



以上。何かの参考になれば幸いです。　　　　　　　　　その２(x-logの誤検知率検証)に続く