Click ảo tinh vi: khi bot đổi IP liên tục thì nhìn vào đâu

Khi bot đổi IP ở mỗi lượt nhấp, chặn từng IP gần như không còn tác dụng. Muốn nhận ra click ảo tinh vi, bạn cần nhìn bốn lớp: cụm mạng, thiết bị, hành vi sau click và nhịp thời gian, rồi cộng thành điểm rủi ro. Trong 30 ngày đến 23/10/2026, hệ thống Ads Xperts của Net Solutions ghi 27.176 lượt nhấp trên 37 website và chấm 11.333 lượt (41,7%) là không hợp lệ. Về khái niệm nền, xem bot traffic là gì.

Chặn IP thôi là chưa đủ khi IP đổi liên tục

Chặn IP chỉ có tác dụng khi người bấm quay lại bằng cùng một địa chỉ. Với đối thủ bấm tay từ một máy, việc này hiệu quả. Chúng tôi đã hướng dẫn cách làm trong bài nhận biết và chặn click đối thủ trên Google Ads, gồm cả nhật ký IP 7 ngày.

Bot tinh vi đi đường khác. Nó đi qua proxy dân cư hoặc mạng di động 4G/5G, nên mỗi lượt nhấp mang một IP của nhà mạng thật. IP đó sạch, chưa từng bị ai báo, và sẽ không xuất hiện lần hai. Danh sách chặn của bạn luôn đi sau một bước.

Giới hạn của chính Google Ads cũng là một lý do. Trang trợ giúp chính thức ghi rõ mức trần mỗi chiến dịch (đọc ngày 26/10/2026):

You can exclude up to 500 IP addresses per campaign.

— Trợ giúp Google Ads — loại trừ địa chỉ IP, 26/10/2026

Năm trăm địa chỉ nghe nhiều, nhưng sẽ cạn nếu mỗi lượt nhấp xấu là một IP mới. Danh sách đầy thì bạn phải xoá IP cũ để chừa chỗ, và IP vừa xoá có thể quay lại. Giới chuyên môn gọi nhóm lưu lượng này là sophisticated invalid traffic (SIVT), tức lưu lượng không hợp lệ tinh vi.

Vì vậy câu hỏi đổi từ “IP nào xấu” sang “cả cụm lượt nhấp này có hành xử như người thật không”. Bốn lớp tiếp theo trả lời câu hỏi đó, từ lớp dễ thấy nhất đến lớp khó thấy nhất.

Lớp 1: nhìn cụm mạng, không nhìn từng IP

Một IP đổi liên tục vẫn để lại dấu: nó thuộc về một nhà mạng và một dải địa chỉ. ASN là số hiệu của nhà mạng hoặc trung tâm dữ liệu sở hữu dải đó. Hàng chục IP khác nhau nhưng cùng ASN, cùng giờ, cùng một từ khoá là tín hiệu cụm, mạnh hơn nhiều so với từng IP riêng lẻ.

Loại kết nối cho thêm manh mối. Có ba nhóm chính: mạng cố định tại nhà hoặc văn phòng, mạng di động 4G/5G và máy chủ trung tâm dữ liệu (datacenter). Lượt nhấp từ datacenter vào quảng cáo bán hàng cho người tiêu dùng thường không có người thật phía sau. Còn mạng di động thì khó kết luận hơn, vì nó cũng là nơi khách thật dùng nhiều nhất.

Cần nói rõ giới hạn: Google Ads và GA4 không hiển thị ASN hay nhà mạng của từng lượt nhấp. Nếu không dùng công cụ riêng, bạn chỉ có hai nguồn: nhật ký truy cập (access log) của máy chủ và cột thành phố trong báo cáo GA4. Một thành phố nhỏ bỗng chiếm tỉ trọng lớn so với tuần trước, trong khi bạn không nhắm riêng khu vực đó, đáng để mở nhật ký ra xem.

Bài về rủi ro này đã có phần riêng ở mục “Rủi ro chặn nhầm” của bài chặn click đối thủ. Nguyên tắc chung: lớp cụm mạng cho bạn nghi ngờ, chưa cho bạn quyền kết án.

Lớp 2: thiết bị và sự nhất quán giữa các thuộc tính

Dấu vân tay thiết bị là tập hợp thuộc tính của trình duyệt và máy: hệ điều hành, phiên bản trình duyệt, độ phân giải màn hình, ngôn ngữ, múi giờ. Ghép lại, chúng tạo ra một chữ ký đủ riêng để nhận ra cùng một thiết bị dù IP đã đổi. Đó là lý do lớp này đáng quan tâm khi lớp IP vô dụng.

Nhưng đừng tin vào nó một mình. Polygraph, đơn vị chuyên về gian lận click, viết thẳng:

While device fingerprinting can be useful, it’s far from a reliable way to spot click fraud.

— Polygraph — What is device fingerprinting, 26/10/2026

Cùng trang đó ghi thêm rằng kẻ gian biết về dấu vân tay và chủ động can thiệp để tránh bị phát hiện. Nghĩa là một thuộc tính đứng riêng lẻ có thể bị làm giả.

Điều khó làm giả hơn là sự nhất quán giữa các thuộc tính. Nhóm nghiên cứu của Venugopalan và cộng sự (arXiv 2406.07647, nộp tháng 6/2024) đo các mâu thuẫn dấu vân tay trong lưu lượng bot né tránh, và ghi nhận bot khó giữ các thuộc tính ăn khớp với nhau. Ví dụ dễ hiểu: múi giờ của trình duyệt là một nước, ngôn ngữ là một nước khác, còn IP lại ở Việt Nam.

Trong GA4, bạn xem được lớp này ở nhóm báo cáo công nghệ: trình duyệt, hệ điều hành, độ phân giải, ngôn ngữ. Một nhóm lượt nhấp có độ phân giải y hệt nhau, phiên bản trình duyệt lạc hậu và ngôn ngữ không hợp với thành phố là nhóm đáng xem tiếp.

Lớp 3: hành vi sau khi nhấp, nơi bot khó giả đều đặn

Sau cú nhấp, người thật làm những việc rất không đều: đọc, cuộn, quay lại, bỏ đi. Bot tinh vi có thể bắt chước vài việc, nhưng khó bắt chước cả chuỗi trên hàng trăm lượt cùng lúc. Bạn nhìn lớp này bằng số liệu sẵn có, không cần thêm công cụ.

Có ba chỗ nên mở. Thứ nhất, so số nhấp trong Google Ads với số phiên GA4 cùng ngày, cùng chiến dịch. Chênh lệch nào cũng có (trang tải chậm, người dùng từ chối theo dõi), nên hãy so với chính tuần trước của bạn, không so với một con số chuẩn.

Ví dụ giả định: một chiến dịch ghi 500 nhấp nhưng GA4 chỉ ghi 310 phiên, chênh 38,0%. Nếu tuần trước mức chênh chỉ một phần nhỏ, bạn có lý do để xem kỹ từng nhóm quảng cáo.

Thứ hai, trong GA4 xem thời gian tương tác trung bình và tỉ lệ phiên có tương tác theo nguồn, chiến dịch, từ khoá. Một nhóm có hàng loạt phiên dưới một hai giây, không cuộn, không bấm gì, trong khi các nhóm khác bình thường, là điểm bất thường.

Thứ ba, nhìn chuyển đổi. Một từ khoá tốn nhiều tiền mà không ra một cuộc gọi, một biểu mẫu nào trong nhiều tuần, trong khi từ khoá tương tự vẫn ra, đáng bị nghi ngờ. Tuy vậy hãy loại trừ lý do khác trước: trang đích chậm, biểu mẫu hỏng, quảng cáo hứa một đằng trang nói một nẻo cũng cho ra kiểu số liệu này.

Lớp 4: thời gian và nhịp của các lượt nhấp

Người thật tìm kiếm theo thói quen: giờ nghỉ trưa, buổi tối, sáng đầu tuần. Lưu lượng tự động thì ít khi theo nhịp ấy. Ba dạng bất thường hay gặp là giờ lạ, nhịp đều tăm tắp và sự dồn cục.

Giờ lạ. Dịch vụ chỉ nhận khách giờ hành chính nhưng nhấp dồn vào 2–4 giờ sáng. Trong Google Ads, chia báo cáo theo giờ trong ngày sẽ lộ ra ngay. Nhưng hãy nhớ khách thật cũng tìm lúc nửa đêm, nên đây chỉ là gợi ý.

Nhịp đều. Các lượt nhấp cách nhau gần như bằng nhau, hoặc đúng đầu mỗi giờ. Người thật không tìm kiếm theo đồng hồ. Dạng này khó thấy trên giao diện, thường lộ trong nhật ký truy cập.

Dồn cục. Cả đợt nhấp kéo vào một chiến dịch, một từ khoá hoặc một vị trí hiển thị trong vài giờ, rồi biến mất. Hãy chia báo cáo theo mạng hiển thị và theo từ khoá để kiểm tra. Dạng này thường đi cùng một đợt tăng nhấp bất thường mà không có đợt tăng đơn hàng tương ứng.

Điểm mạnh của lớp thời gian là bot khó giấu nó mà vẫn làm việc hiệu quả, vì tính chất tự động buộc nó có nhịp. Điểm yếu là nó cũng nhiễu nhất, vì ngày khuyến mãi hay một bài báo nhắc tên bạn cũng tạo ra đợt tăng đột biến thật.

Số đo thật từ 37 website đang chạy Ads Xperts

Để bạn hình dung quy mô, đây là số liệu 30 ngày của hệ thống Ads Xperts. Chúng tôi không nêu tên website hay khách hàng nào.

Nguồn: hệ thống Ads Xperts của Net Solutions, đo ngày 24/10/2026, khoảng 24/9–23/10/2026.

Hai điều nên rút ra. Một là mức độ phổ biến: gần bốn trong mười lượt nhấp bị chấm là bất thường, trên mẫu website đang bật bảo vệ. Hai là độ chênh lệch: ở các website lớn hơn, tỉ lệ này dao động rộng, từ 27,8% đến 57,6%, Mức rất khác nhau giữa các site cho thấy không có con số “bình thường” để so, và bạn cần tự đo trên tài khoản của mình.

Ghép bốn lớp thành điểm rủi ro, đừng chặn vì một dấu hiệu

Mỗi lớp bên trên đều có thể sai. Chỗ chắc chắn là sự trùng khớp: càng nhiều lớp cùng lệch, khả năng đó là người thật càng thấp. Vì thế cách làm đúng là cộng điểm, không chặn theo từng tín hiệu.

Tổng hợp của Net Solutions từ các nguồn trong bài, 26/10/2026.

Hệ thống Ads Xperts làm đúng điều đó theo cách riêng. Mỗi lượt nhấp được ghi lại nguồn, thiết bị, thời điểm, trang đến, nhà mạng và loại kết nối, cùng hành vi trên trang. Điểm rủi ro chia theo ba ngưỡng: 0–24 hợp lệ, 25–69 theo dõi, từ 70 chặn. Chi tiết nằm ở trang Ads Xperts chống click ảo.

Ví dụ minh hoạ, điểm số giả định: một nhóm lượt nhấp có điểm cụm mạng 25, thiết bị 24, hành vi 22, thời gian 18. Không lớp nào một mình tới ngưỡng chặn, nhưng tổng là 89 điểm, qua mốc 70. Nếu chỉ lớp cụm mạng sáng đèn, nhóm này dừng ở mức theo dõi.

Chặn cũng nên có thời hạn. Theo cơ chế công bố của Ads Xperts, IP 4G/5G bị chặn 24 giờ. Nhóm “PhoneFarm 4G/5G đổi IP liên tục” bị chặn theo cụm mạng khi bùng phát và tự mở lại sau 6 giờ (gói Business trở lên). Chặn có thời hạn giảm hậu quả nếu hệ thống chấm nhầm.

Những gì chúng tôi không làm, và ai chưa cần

Chúng tôi không cam kết chặn hết click ảo. Bot đổi cách hành xử liên tục và không có hệ thống nào bắt được mọi lượt. Mục tiêu thực tế là giảm phần tiền rơi vào lưu lượng xấu và rút ngắn thời gian phát hiện.

Chúng tôi cũng không đòi lại tiền thay Google. Google tự loại phần lớn lưu lượng không hợp lệ trước khi tính tiền, và có đường khiếu nại riêng:

you’ll receive credits in the form of a billing adjustment for the value of the invalid activity.

— Trợ giúp Google Ads — lưu lượng không hợp lệ, 26/10/2026

Điều kiện nằm ở chỗ khác: theo trang này, chuyên viên của Google xem xét lưu lượng trong 60 ngày gần nhất và Google là bên quyết định. Bạn nên gửi yêu cầu sớm, kèm dữ liệu của mình.

Nếu ngân sách quảng cáo còn nhỏ, bạn chưa cần công cụ. Mỗi tuần dành chừng nửa giờ cho ba việc: so nhấp với phiên GA4, chia báo cáo theo giờ, rà từ khoá tốn tiền mà không ra chuyển đổi. Khi tiền rơi đủ lớn để việc kiểm tay không theo kịp, đó là lúc cân nhắc công cụ, và là lúc năm bước chặn gian lận quảng cáo trở nên cần thiết.

Câu hỏi thường gặp

Bot đổi IP liên tục thì chặn IP có tác dụng không? Chỉ tác dụng với IP lặp lại. Nếu mỗi lượt nhấp là một IP mới, danh sách chặn luôn đi sau và còn bị giới hạn 500 IP mỗi chiến dịch. Khi đó nên chuyển sang xem cụm mạng, hành vi và nhịp thời gian, rồi chặn theo điểm tổng hợp thay vì theo từng địa chỉ.

Dấu vân tay thiết bị là gì, có tin được không? Đó là tập thuộc tính của trình duyệt và máy, như hệ điều hành, độ phân giải, ngôn ngữ, múi giờ, ghép lại để nhận ra một thiết bị. Nó hữu ích nhưng không đủ tin một mình: nguồn chuyên ngành cho rằng nó chưa phải cách đáng tin để phát hiện click ảo. Hãy dùng nó như một lớp trong điểm tổng hợp.

Làm sao phân biệt click ảo và khách thật dùng chung IP 4G? Một IP không đủ để phân biệt. Hãy xem các lớp khác của cùng nhóm lượt nhấp: thiết bị có nhất quán không, có cuộn và tương tác không, có chuyển đổi không. Nếu chỉ riêng IP là điểm đáng ngờ, hãy theo dõi hoặc chặn ngắn hạn, đừng chặn vĩnh viễn.

Nhìn ở đâu trong Google Ads và GA4 để nghi ngờ? Trong Google Ads, chia báo cáo theo giờ trong ngày, theo từ khoá và theo mạng hiển thị. Trong GA4, xem công nghệ, thành phố, ngôn ngữ, thời gian tương tác và chuyển đổi theo nguồn. Hai công cụ không hiện IP hay nhà mạng, nên lớp cụm mạng cần nhật ký máy chủ.

Google có hoàn tiền click không hợp lệ không? Có. Google tự loại lưu lượng không hợp lệ phát hiện trước khi kết thúc kỳ thanh toán và có thể điều chỉnh hoá đơn. Bạn cũng gửi được yêu cầu điều tra, nhưng Google xem lưu lượng trong 60 ngày gần nhất và là bên quyết định kết quả.

Chặn nhầm khách thật thì xử lý sao? Mở lại IP hoặc cụm mạng đó ngay khi thấy khách thật bị chặn, rồi chuyển sang chặn có thời hạn. Việc nên làm trước là ghi lại điểm cộng của từng lớp để biết hệ thống hay chấm nhầm ở lớp nào, và chỉnh ngưỡng theo đó.

Cập nhật 31/10/2026 bởi Công ty TNHH Net Solutions.