Cloaking: a fraude que engana usuários e anunciantes

Imagine uma página que, para o robô de revisão do Google, parece um artigo comum sobre receitas. Mas, para quem chega por um anúncio em rede social, a mesma URL exibe uma “mensagem urgente” dizendo que o celular está infectado, com botões enormes que levam a cliques em anúncios. Essa técnica tem nome: cloaking. Ela é uma das formas mais nocivas de fraude na publicidade digital porque ataca, ao mesmo tempo, o usuário, o anunciante e os sistemas de confiança da indústria.

Este é o terceiro artigo da série sobre políticas do Google e combate à fraude programática. Antes de continuar, vale revisar o guia sobre tráfego inválido no AdSense e no Ad Manager e o artigo sobre IAB, Google e o combate à fraude programática.

O que é cloaking

Cloaking é a prática de apresentar conteúdos diferentes para públicos diferentes com o objetivo de enganar. Normalmente, uma versão “limpa” é entregue aos sistemas de revisão, aos crawlers e aos verificadores de anúncios, enquanto outra versão, que viola políticas, é exibida para usuários reais.

O Google define o cloaking nas suas políticas de spam da Pesquisa como a apresentação de conteúdos diferentes para usuários e mecanismos de pesquisa com a intenção de manipular resultados e enganar usuários. No ecossistema de anúncios, a lógica é a mesma, e a prática é tratada como tentativa de contornar os sistemas de revisão, uma das violações mais graves nas políticas do Google, tanto para anunciantes quanto para publishers.

É importante separar cloaking de personalização legítima. Mostrar a página em português para um visitante do Brasil, adaptar o layout para celular ou exibir um paywall para quem não é assinante não é cloaking, desde que o conteúdo essencial seja o mesmo e o Google tenha acesso a ele de forma transparente. O problema começa quando a diferença existe para esconder algo de quem fiscaliza.

Como o cloaking funciona na prática

Os fraudadores usam diferentes sinais para decidir qual versão mostrar:

Endereço IP e rede (ASN): IPs associados ao Google, a data centers ou a empresas de verificação recebem a versão limpa.
User agent: crawlers declarados e navegadores de automação recebem uma página, navegadores comuns recebem outra.
Referência (referrer) e parâmetros de URL: quem chega com um parâmetro específico de campanha vê a versão agressiva; quem acessa diretamente vê a versão “segura”.
Impressão digital do navegador: resolução, fuso horário, idioma, plugins e comportamento ajudam a separar “possível revisor” de “vítima”.
Atraso e interação: o conteúdo enganoso só aparece depois de alguns segundos, de um movimento de rolagem ou de um toque, quando a revisão automática já terminou.

Existem até serviços comerciais de “filtro de tráfego” vendidos abertamente para fazer essa separação. Eles alegam proteger campanhas de concorrentes, mas, na prática, são usados para esconder violações.

Cloaking que renderiza outro conteúdo para gerar cliques falsos

Para o mercado de publishers, uma variação é especialmente perigosa: a página que renderiza outro conteúdo por cima do site para induzir cliques em anúncios. Alguns exemplos que aparecem em investigações de tráfego inválido:

Sobreposição invisível: um bloco de anúncio é posicionado com opacidade quase zero sobre um botão de “continuar” ou “baixar”. O usuário acredita clicar no conteúdo, mas o clique vai para o anúncio.
Troca de conteúdo pós-carregamento: o artigo original é substituído via JavaScript por uma página que imita um alerta do sistema, um prêmio ou um quiz, cercada de anúncios.
Iframes empilhados: vários anúncios são carregados um sobre o outro na mesma posição. Só o de cima é visto, mas todos registram impressões.
Mascaramento do contexto: o sistema do anunciante vê uma página sobre finanças pessoais, mas o usuário vê conteúdo sensacionalista, impróprio ou que viola as políticas de conteúdo.
Redirecionamento seletivo: visitantes de determinadas origens são levados para páginas com dezenas de blocos de anúncio e navegação confusa, enquanto o resto do mundo vê o site normal.

Em todos esses casos, o clique ou a impressão não reflete interesse genuíno, que é exatamente a definição de tráfego inválido usada pelo Google.

Por que o cloaking é tão prejudicial para o ecossistema

Para o usuário

O usuário é enganado sobre o que está vendo. Alertas falsos geram medo, cliques acidentais levam a sites desconhecidos e, em muitos casos, a cadeia termina em golpes, instalação de aplicativos indesejados ou coleta de dados pessoais. Cada experiência ruim reduz a confiança na publicidade digital como um todo e alimenta o uso de bloqueadores de anúncios.

Para o anunciante

O anunciante paga por um clique que não foi intencional e por uma impressão em um contexto diferente do que ele aprovou. Pior: a marca pode aparecer ao lado de conteúdo que ela jamais aceitaria, o que gera risco de reputação. A consequência é previsível: anunciantes reduzem lances, aumentam listas de bloqueio e migram verba para canais fechados.

Para o publisher honesto

Cada esquema de cloaking descoberto torna os sistemas de verificação mais rígidos. Isso significa mais impressões filtradas por precaução, mais revisões manuais e preços menores para categorias inteiras de sites. O publisher que trabalha certo paga parte da conta da fraude.

Para as plataformas

O cloaking ataca o mecanismo de revisão, que é o que permite a escala da programática. Se o sistema não consegue confiar no que vê, precisa gastar mais com investigação e aplicar filtros mais conservadores. Por isso, Google e indústria tratam o cloaking com tolerância praticamente zero: em geral, a consequência é a suspensão, não um simples aviso.

Como o Google e a indústria detectam cloaking

As equipes de qualidade de tráfego não dependem de um único crawler. A detecção combina:

Revisões a partir de redes e dispositivos variados, que tornam difícil para o fraudador separar “revisor” de “usuário”.
Comparação entre o que o crawler vê e o que os dados de usuários reais indicam: tempo de carregamento, eventos de clique, posição dos anúncios e taxa de cliques.
Sinais estatísticos: CTR muito acima da média, cliques concentrados em uma posição de tela, sessões curtas após o clique.
Denúncias de usuários e anunciantes e relatórios de empresas de verificação.
Cooperação entre plataformas, que trocam informações sobre redes e domínios fraudulentos.

Já falamos do papel da inteligência artificial nesse trabalho em Como a IA ajuda o Google a prevenir fraudes na mídia programática.

Sinais de alerta no seu próprio site

Muitos publishers descobrem o cloaking quando já é tarde: o site foi invadido e um script malicioso passou a redirecionar parte dos visitantes. Fique atento a:

Picos de CTR sem mudança de layout ou de conteúdo.
Diferenças entre o que você vê e o que os visitantes relatam, especialmente no celular.
Scripts desconhecidos em temas, plugins, no cabeçalho ou no banco de dados do WordPress.
Tráfego de uma origem específica com comportamento muito diferente do resto.
Avisos de segurança no Search Console ou no navegador.
Limitação de veiculação ou alertas de política no AdSense ou no Ad Manager.

Se você suspeita de invasão, revise o guia WordPress invadido: como analisar o banco de dados e remover ameaças e restaure a segurança antes de pedir revisão às plataformas.

Cloaking em arbitragem de tráfego

Outro cenário comum é a arbitragem: comprar tráfego em redes sociais ou plataformas de anúncio e monetizar com anúncios programáticos. Alguns operadores usam cloaking para aprovar campanhas com uma página “limpa” e, depois, mostrar ao usuário uma página com promessas exageradas e navegação enganosa. Isso viola as políticas de duas plataformas de uma vez: a de quem vende o tráfego e a de quem compra o inventário.

Arbitragem pode ser um modelo legítimo, desde que a página vista pelo revisor seja a mesma vista pelo usuário e que a experiência respeite as políticas. Explicamos como estruturar compras de tráfego com segurança em Google Ads para publishers.

Como se proteger

Nunca use ferramentas de “filtro de tráfego” que escondem páginas de revisores ou plataformas.
Mantenha uma única versão da página para todos os públicos, com adaptações apenas de idioma, layout e acessibilidade.
Audite scripts de terceiros antes de instalar e revise periodicamente o que está carregando nas páginas.
Proteja o painel do WordPress com senhas fortes, autenticação em dois fatores, atualizações e backups.
Monitore métricas por origem no GA4 e no relatório de anúncios.
Exija transparência de fornecedores de tráfego e de parceiros de monetização.
Responda rápido a alertas: corrija, documente o que aconteceu e solicite revisão com informações claras.

Perguntas frequentes sobre cloaking

Usar teste A/B é cloaking?

Não, desde que as variações sejam distribuídas sem distinguir revisores de usuários e que todas respeitem as políticas. O teste A/B se torna problemático quando uma das versões só existe para ser mostrada ao sistema de revisão.

Mostrar conteúdo diferente por país é proibido?

Adaptar idioma, moeda ou ofertas por região é aceito. O que não pode é usar a geolocalização para esconder uma versão que viola políticas, por exemplo exibindo a página agressiva apenas para países onde o fraudador acredita que a fiscalização é menor.

Meu site foi invadido e passou a fazer cloaking. A conta será punida?

O publisher é responsável pelo que acontece nas páginas que exibem anúncios, mesmo em caso de invasão. A melhor defesa é agir rápido: remover o código malicioso, reforçar a segurança, documentar a correção e solicitar a revisão. Quanto mais tempo o problema fica no ar, maior o risco.

Conclusão

O cloaking é uma fraude que vive da mentira estrutural: mostrar uma coisa a quem fiscaliza e outra a quem paga a conta. Ao renderizar conteúdos falsos para gerar cliques, ele engana o usuário, faz o anunciante pagar por nada, derruba os preços de todo o inventário e obriga as plataformas a apertar os filtros. Para o publisher, a regra é simples: uma página, uma verdade. Tudo o que o usuário vê, o Google também precisa poder ver.

No próximo artigo da série, vamos falar de proxies e bots de navegação, a infraestrutura que permite que tráfego não humano se passe por visitantes reais.

Referências

Série: políticas do Google e combate à fraude programática

Políticas do AdSense e do Ad Manager contra tráfego inválido
IAB, Google e o combate à fraude programática
Cloaking: quando a página mostra uma coisa e entrega outra (você está aqui)
Proxy e bots de navegação: o tráfego que não é humano (publicação em 14/10)
Pay to surf e pay to click: o tráfego pago para clicar (publicação em 15/10)
Navegação enganosa e promessa falsa (publicação em 16/10)
Checklist antifraude para publishers (publicação em 17/10)