Estudo de Fraude de Cliques 2026

A maioria das estatísticas sobre fraude de cliques vem de pesquisas de opinião ou de empresas estimando o que não conseguem ver. Este estudo foi construído a partir dos próprios cliques.

Entre 1º de janeiro e 30 de junho de 2026, o modelo de rastreamento da ClickSambo registrou 718.590 cliques do Google Ads para 73 contas de anunciantes, 164 sites e 21 setores, com tráfego vindo de 90 países. Cada clique foi avaliado em tempo real e considerado válido ou marcado com um tipo específico de fraude.

Juntamos esses dados com algo que os números sozinhos não mostram: conversas individuais com os anunciantes por trás deles. Quando perguntamos aos clientes quem eles acham que está clicando nos seus anúncios, a maioria dá a mesma resposta antes de vermos qualquer gráfico juntos. Este estudo verifica se os dados concordam com eles.

Robôs de rastreamento conhecidos foram removidos antes da contagem. Recortes com menos de 100 cliques, ou que dependem de um único anunciante, não foram publicados. A metodologia completa está no fim da página.

Fique à vontade para citar qualquer número ou usar qualquer gráfico. Pedimos apenas que coloque um link para esta página como fonte.

38,1% dos cliques pagos foram inválidos no 1º trimestre de 2026. São 33.020 de 86.638 cliques do Google Ads.

No 2º trimestre, a taxa subiu todos os meses: 38,0% em abril, 62,0% em maio e 73,1% em junho. Em junho, quase três em cada quatro cliques pagos que acompanhamos eram inválidos. A fraude de cliques não se comportou como um ruído de fundo constante. Ela chegou em ondas.

458.153 cliques inválidos em seis meses. Somando os dois trimestres, esse foi o número de cliques pagos marcados como inválidos antes ou depois de chegarem ao site do anunciante.

IPs inválidos clicam mais vezes do que clientes reais. No 1º trimestre, 28,5% dos endereços IP únicos foram classificados como inválidos, mas geraram 38,1% de todos os cliques. Em média, um IP inválido clicou 1,71 vez; um IP válido, 1,11 vez.

Nosso sistema tomou 239,6 decisões de bloqueio de IP a cada 1.000 cliques no 2º trimestre, praticamente o mesmo que os 232,9 do 1º trimestre, mesmo com o tráfego monitorado crescendo mais de sete vezes. A detecção não ficou mais frouxa com o aumento do volume.

Cada clique inválido é contado uma única vez, na categoria mais forte que se aplica a ele.

Cliques repetidos do mesmo IP foram a maior categoria nos dois trimestres: 70,4% dos cliques inválidos no 1º trimestre e 54,8% no 2º. Sem botnet, sem VPN, sem software sofisticado. Apenas o mesmo aparelho voltando para clicar nos mesmos anúncios.

Os cliques vindos de faixas de IP suspeitas mais que dobraram sua participação, de 19,1% para 42,7%. Não são endereços isolados, e sim blocos inteiros de rede que já tinham gerado tráfego inválido antes. É a marca de uma atividade coordenada, espalhada por muitos IPs ao mesmo tempo, do tipo que não se resolve excluindo um endereço por vez.

O tráfego de VPN, proxy e Tor caiu de 9,7% para 2,3% dos cliques inválidos, e os cliques classificados apenas como comportamento de bot, de 0,8% para 0,2%.

O salto nos cliques por faixa de IP combina com o que o setor de segurança está observando. Em 2 de julho de 2026, o Google anunciou que desmantelou a rede de proxies residenciais NetNut junto com o FBI e outros parceiros. Segundo a estimativa do Google, a rede operava por meio de pelo menos 2 milhões de dispositivos domésticos, e seus pontos de saída foram usados por 316 grupos de ameaça diferentes em uma única semana de junho. Proxies residenciais fazem o tráfego parecer vir de uma casa comum, e é exatamente por isso que a detecção por faixa de IP fica mais importante a cada trimestre.

Nas conversas individuais, fazemos uma pergunta simples aos anunciantes: quem você acha que está clicando nos seus anúncios? A resposta é impressionantemente consistente. Um concorrente do outro lado da cidade. Outra empresa disputando as mesmas palavras-chave. Alguém que sabe exatamente quanto custa um clique no seu setor.

Relatos não são provas, então voltamos aos cliques e procuramos os padrões que a fraude de concorrentes deveria deixar. Cinco deles aparecem com clareza.

1. Parece humano. No 2º trimestre, apenas 9,6% dos carregamentos de página vindos do tráfego pago do Google Ads mostraram sinais de bot; no 1º trimestre, foram 9,9%. Nove em cada dez visitas pagas se moveram, rolaram a página e se comportaram como uma pessoa.

2. Vem de conexões comuns. No 2º trimestre, 84% dos cliques inválidos vieram de redes residenciais e móveis, e só 1,8% de data centers. Bots baratos costumam rodar em servidores. O concorrente usa o próprio celular.

3. Acontece na Pesquisa. 95% dos cliques inválidos do 2º trimestre foram em anúncios de Pesquisa, exatamente onde um concorrente digita o seu serviço no Google e vê o seu anúncio no topo da página. Nos sites parceiros de pesquisa, a taxa foi de apenas 21,9%.

4. Volta de novo. Mais da metade dos cliques inválidos foi o mesmo IP voltando para clicar outra vez. Para esvaziar um orçamento, não é preciso ser sofisticado. Basta ser insistente.

5. Se concentra onde o clique é caro e a concorrência é local. As maiores taxas dos nossos dados foram em bancos e finanças, serviços de manutenção, beleza, reparos residenciais e serviços de emergência como elétrica e encanamento. São negócios que disputam os mesmos clientes da região, onde um clique pode custar mais do que um café e um cliente perdido vai direto para a empresa da rua de baixo.

O celular facilita tudo. No 2º trimestre, 69,0% dos cliques no celular foram inválidos, contra 34,3% no desktop. A taxa do desktop quase não mudou desde o 1º trimestre (34,9%). Praticamente todo o aumento aconteceu nos celulares.

Nenhum desses sinais prova quem está por trás de um clique específico. Proxies residenciais podem fazer tráfego automatizado parecer um usuário doméstico, e alguns cliques repetidos são simples curiosidade. Mas, vistos em conjunto, o perfil é difícil de ignorar: humano, móvel, local, insistente e focado em Pesquisa. Isso bate com o que nossos clientes nos contaram antes de vermos um único número.

Bancos e finanças tiveram a maior taxa de cliques inválidos no 2º trimestre: 83,8%. O setor também esteve entre os mais altos no 1º trimestre (65,6%).

Em seguida vieram serviços de manutenção (70,8%), beleza e cosméticos (65,6%) e varejo online (63,1%). Beleza chama atenção pelo volume: 31.334 dos seus 47.738 cliques foram inválidos.

Os serviços de emergência estão no alvo. No 1º trimestre, serviços elétricos chegaram a 77,1%, reparos residenciais a 51,3%, frete e armazenagem a 41,8% e encanamento a 40,9%. No 2º trimestre, reparos residenciais seguiram acima da metade, com 52,7%.

Nem os maiores setores em volume escaparam. Transporte e logística (36,9%, 73.098 cliques) e turismo (25,8%, 56.158 cliques) ficaram abaixo dos setores mais atacados, mas ainda assim um em cada quatro dos seus cliques pagos foi inválido.

Os setores mais limpos foram jogos online (4,5%) e serviços médicos (16,1%). Serviços médicos também foi o setor mais limpo no 1º trimestre, com 17,9%.

A própria distribuição conta uma história. Se o tráfego inválido viesse principalmente de bots aleatórios, as taxas seriam parecidas em todos os setores. Em vez disso, elas acompanham o custo por clique e a concorrência local, e chegam a ser mais de 18 vezes maiores no setor mais atacado do que no mais limpo.

A Pesquisa teve a maior taxa de cliques inválidos entre as redes de anúncios: 43,6% no 1º trimestre e 69,1% no 2º.

O Performance Max foi de 18,8% para 51,0% em um único trimestre. Muitos anunciantes acreditam que tipos de campanha automatizados são mais limpos porque o Google controla o posicionamento. Nossos dados mostram que o contrário pode acontecer rápido, e com menos visibilidade sobre a origem dos cliques.

A Rede de Display subiu de 27,3% para 35,4%. Os parceiros de pesquisa ficaram relativamente baixos, com 19,5% e 21,9%.

Data centers são quase sempre inválidos. 97,7% dos cliques vindos de redes de hospedagem foram inválidos no 1º trimestre, e 96,1% no 2º. Clientes reais não clicam em anúncios a partir de um servidor.

Os cliques via VPN, proxy e Tor passaram de 53,3% para 84,5% de inválidos. A participação deles no total de cliques também cresceu, de 8,3% para 11,0%.

Cliques de fora do país-alvo foram mais arriscados. No 1º trimestre, 53,8% dos cliques vindos de fora do mercado principal do anunciante foram inválidos, 16 pontos acima dos cliques domésticos. Restringir a segmentação por local é uma das correções mais baratas que existem.

A taxa de cliques inválidos atingiu o pico entre 23h e meia-noite, com 87,4% no 2º trimestre. O horário mais limpo com volume relevante foi das 9h às 10h, com 35,7%. Uma diferença de 50 pontos entre a manhã e a madrugada não é o comportamento de clientes reais.

No 1º trimestre, o pico veio uma hora depois, entre meia-noite e 1h, com 51,5%.

O sábado foi o pior dia do 2º trimestre (74,6%), e a segunda-feira o mais limpo (58,0%). No 1º trimestre, a variação entre os dias foi pequena, de 34,1% a 41,1%.

O padrão faz sentido quando você imagina quem está clicando. Tarde da noite e nos fins de semana, o anunciante não está acompanhando a conta, e ninguém do escritório também. Quem quer queimar um orçamento diário sabe disso.

Apenas 16,0% dos cliques inválidos do 2º trimestre carregaram a página de destino. Nos cliques válidos, a taxa foi de 60,9%. No 1º trimestre, os números foram 45,9% e 61,7%. A maior parte dos cliques inválidos é registrada, cobrada e nunca vira uma visita.

A taxa de carregamento dos cliques válidos ficou em cerca de 61% nos dois trimestres. É uma boa checagem de consistência: enquanto o tráfego cresceu mais de sete vezes, o comportamento dos cliques que classificamos como válidos não mudou.

Cliques inválidos aparecem no relatório de cliques do Google com a mesma frequência que os válidos. Para anunciantes com a conta vinculada, 87,9% dos cliques que marcamos como inválidos no 2º trimestre também apareceram no próprio relatório de cliques do Google, contra 87,0% dos cliques válidos. No 1º trimestre, os números foram 73,6% e 76,9%. O relatório de cliques lista cliques registrados, não linhas de fatura, mas mostra quanto desse tráfego chega à conta.

A lista de exclusão do Google tem um limite. O Google Ads permite excluir até 500 endereços IP por campanha. Só 24,1% das nossas decisões de bloqueio no 1º trimestre, e 22,8% no 2º, foram enviadas ao Google Ads como exclusões. O restante precisou ser tratado do lado do anunciante.

Os bots já são maioria na internet. Segundo o Thales 2026 Bad Bot Report, o tráfego automatizado representou mais de 53% de todo o tráfego da web em 2025, contra 51% um ano antes. Os ataques de bots com uso de IA cresceram 12,5 vezes em relação a 2024.

A fraude publicitária custou aos anunciantes cerca de US$ 84 bilhões em 2023, aproximadamente 22% do investimento em publicidade online, segundo a Juniper Research.

A pesquisa continua sendo onde está o dinheiro. A receita de publicidade digital nos Estados Unidos chegou ao recorde de US$ 294,6 bilhões em 2025, sendo US$ 114,2 bilhões em anúncios de pesquisa, segundo o IAB/PwC Internet Advertising Revenue Report.

O Google também combate abusos em grande escala. De acordo com o seu Relatório de Segurança de Anúncios de 2025, o Google bloqueou ou removeu 8,3 bilhões de anúncios e suspendeu 24,9 milhões de contas de anunciantes em 2025. Esses números tratam de violações de políticas, não de cliques inválidos, mas mostram o tamanho da atividade maliciosa que passa pelo sistema de anúncios.

Fraude publicitária é tratada como crime grave. Em novembro de 2021, um tribunal federal dos EUA condenou Aleksandr Zhukov, operador do esquema Methbot, a 10 anos de prisão. Segundo o Departamento de Justiça dos EUA, o esquema usava mais de 2.000 servidores alugados em data centers, falsificava os domínios de mais de 6.000 publishers e tirou mais de US$ 7 milhões dos anunciantes.

Tráfego falso pode deixar os relatórios mais bonitos. Um artigo de 2026 de Hrnjadovic e Dost, publicado na Business Horizons, argumenta que o tráfego falso pode fazer as métricas de campanha parecerem mais saudáveis do que realmente são. Nossos dados de carregamento de página mostram o custo disso: cliques que são contados e pagos, mas nunca viram uma visita.

Parta do princípio de que a ameaça é humana. A maior parte dos cliques inválidos nos nossos dados parecia gente usando o celular. Só a detecção de bots deixa passar a maior parte disso. Limites de cliques repetidos e exclusões por faixa de IP pegam muito mais.

Acompanhe a conta quando você não está olhando. As maiores taxas de cliques inválidos foram tarde da noite e aos sábados. Veja o que acontece com o seu orçamento fora do horário comercial antes de definir a programação dos anúncios.

Não trate campanhas automatizadas como seguras. O Performance Max passou de uma das redes mais limpas para uma das mais arriscadas em um único trimestre.

Filtre primeiro o que é óbvio. O tráfego de data center foi inválido em mais de 96% dos casos nos dois trimestres. Mais da metade dos cliques vindos de fora do mercado-alvo foi inválida.

Prevenir é melhor do que pedir reembolso. O Google credita alguns cliques inválidos depois, mas só dentro de 60 dias e só para o que consegue confirmar. Explicamos como os créditos funcionam no nosso guia de reembolso do Google Ads para cliques inválidos. Bloquear fontes repetidas cedo economiza mais do que tentar recuperar o dinheiro depois. Para um conjunto mais amplo de números do setor, veja nosso artigo de estatísticas de fraude de cliques.

Fonte dos dados. Cliques do Google Ads registrados pelo modelo de rastreamento da ClickSambo entre 1º de janeiro e 30 de junho de 2026 (UTC). O 1º trimestre abrange 86.638 cliques de 48 sites e 40 contas de anunciantes. O 2º trimestre abrange 631.952 cliques de 164 sites e 73 contas de anunciantes. Os horários locais seguem o fuso horário de cada site. Todos os números são anonimizados e agregados; o estudo não contém dados pessoais, endereços IP, nomes de clientes, domínios ou valores de investimento.

Definições. Linhas com o mesmo ID de clique no mesmo site contam como um único clique. Um clique inválido é aquele que nosso sistema marcou com um tipo de fraude: cliques repetidos, faixa de IP suspeita, VPN, proxy ou Tor, comportamento de bot ou lista de bloqueio. Cada clique inválido é contado uma única vez, na sua categoria de maior prioridade. A taxa de cliques inválidos é o número de cliques inválidos dividido pelo total de cliques.

O que foi removido. Robôs de rastreamento conhecidos (Googlebot, AdsBot-Google, bingbot, HeadlessChrome e outros) e linhas em que os parâmetros de rastreamento do Google Ads nunca foram preenchidos. Células com menos de 100 cliques, ou que dependem de um único anunciante, não foram publicadas.

Entrevistas com clientes. As informações qualitativas vêm de conversas individuais com clientes da ClickSambo. Relatamos os padrões nos dados de cliques que são consistentes com o que os clientes descreveram. Os dados não conseguem identificar quem está por trás de um clique específico.

Limitações. Nossos clientes nos procuraram porque já estavam preocupados com tráfego inválido, então podem enfrentar mais desse tráfego do que o anunciante médio. A maior parte do tráfego vem de anunciantes na Turquia e de negócios de serviços locais. A amostra cresceu bastante entre os trimestres, então as variações de um trimestre para o outro refletem tanto um grupo de anunciantes maior e diferente quanto uma ameaça em mudança. As taxas por setor dependem de quais anunciantes estavam ativos em cada trimestre. Os números globais da seção "O Panorama Global" vêm das fontes citadas ali.

Como citar. ClickSambo (2026). Estudo de Fraude de Cliques 2026: A Maior Ameaça Não São os Bots. São os Seus Concorrentes. ClickSambo OÜ. Os relatórios trimestrais por trás deste estudo estão na nossa página do relatório de cliques inválidos.