Bloqueei IPs e testei proteção, mas meu orçamento acaba em uma hora. Qual é a solução?

As mensagens dos nossos usuários são tão parecidas que já formam um padrão.

“Ativo a campanha às 9h e, às 10h, o orçamento está quase zerado. Há cliques, mas nenhuma ligação. Identifico e bloqueio os IPs; no dia seguinte, o mesmo ataque chega de IPs completamente diferentes.”

“Compramos um programa de proteção contra cliques. Nos primeiros dias parecia funcionar, mas os atacantes se adaptaram e tudo voltou ao mesmo ponto.”

“O suporte do Google diz que os cliques inválidos são filtrados automaticamente, mas, no Analytics, 35 dos 40 cliques terminaram em sessões de zero segundos. O que exatamente foi filtrado?”

Se você se reconheceu em alguma dessas situações, não está sozinho. Provavelmente também não está fazendo nada errado: o método de ataque ultrapassou a capacidade para a qual suas ferramentas de defesa foram projetadas.

Um limite de 500 IPs não impede um ataque com milhões de endereços

Há dez anos, fraudadores geralmente usavam alguns IPs de data centers. Identificá-los e adicioná-los à lista de exclusão do Google Ads resolvia o problema. Hoje, muitos atacantes já não usam data centers.

Em 2026, operações profissionais de fraude de cliques usam redes de proxies residenciais. Os endereços são roteados por conexões de internet de casas reais. Em troca de pequenos pagamentos, moradores aderem a aplicativos de “compartilhamento de largura de banda” e, sem perceber, alugam suas conexões a atacantes.

O conjunto de IPs é enorme: grandes fornecedores oferecem publicamente mais de 400 milhões de IPs residenciais. Com o IPv6, essa quantidade se torna praticamente infinita.

Já o Google Ads permite excluir no máximo 500 IPs por campanha.
A conta é simples: o atacante alterna entre milhares de novos IPs residenciais por hora, enquanto você só pode bloquear 500 no total. Em poucas horas, os IPs bloqueados deixam de ser relevantes, pois o atacante já mudou de conjunto. Bloquear manualmente é como tentar segurar água corrente com as mãos: você gasta tempo e energia sem obter resultado.

Por que tantos programas não conseguem impedir esses ataques?

Muitos anunciantes dão o próximo passo e compram um programa de proteção contra cliques. Mas os resultados ficam abaixo das expectativas. O motivo é simples:

A maioria das ferramentas ainda depende de IPs

Quando identifica um clique falso, a ferramenta adiciona o IP automaticamente à lista de exclusão do Google Ads. Porém, no clique seguinte, o atacante já usa outro IP residencial. O processo fica mais rápido, mas continua o mesmo jogo de gato e rato.

IPs residenciais não entram nas listas de bloqueio tradicionais

É fácil reconhecer IPs de data centers, pois existem faixas conhecidas. Já um IP residencial pertence a uma casa real e a um provedor real. O mesmo IP também pode pertencer a um cliente legítimo. Isso compromete a abordagem baseada apenas em listas de bloqueio.

A abordagem se limita a “bloquear e esquecer”

Muitas ferramentas bloqueiam o tráfego ruim e encerram o trabalho. Mas o Smart Bidding do Google já registrou esses cliques como “interesse real”.

O algoritmo continua trabalhando com dados contaminados e seus anúncios começam a alcançar o público errado. O custo por clique (CPC) aumenta, a taxa de conversão cai e você conclui que a publicidade não funciona. O problema, porém, está nos dados.

Os filtros do próprio Google também podem ser insuficientes

O Google filtra tráfego inválido geral, como bots simples e IPs de data centers. Ataques com proxies residenciais entram na categoria de tráfego inválido sofisticado (SIVT).

Auditorias independentes citadas no artigo indicam que o Google detecta apenas de 40% a 60% desses cliques falsos. O restante é cobrado no seu cartão sem que você perceba.

Quem aparece primeiro conquista o cliente: a lógica da concorrência

Quem pesquisa “chaveiro de emergência”, “encanador 24 horas” ou “conserto de ar-condicionado” geralmente não faz uma investigação longa. Olha os três primeiros resultados, liga e resolve o problema. Nesses setores, quem aparece primeiro conquista o cliente. Não há comparação nem pedido de propostas: existe uma necessidade urgente.

Seu concorrente sabe disso e tem um objetivo simples: tirar você dos resultados de busca. Quando o orçamento acaba, seus anúncios param e você fica invisível pelo resto do dia. O concorrente permanece no topo e conquista seus clientes.

Não é um ataque isolado. Em setores competitivos, ele se repete automaticamente, todos os dias. Enquanto você pensa que a publicidade não funciona, perde silenciosamente uma disputa por posição a cada manhã.

A questão não é apenas se o ataque existe: isso já acontece em setores muito competitivos. A questão é se você tem a ferramenta certa para interrompê-lo.

O IP pode mudar, mas o dispositivo e o comportamento permanecem

A abordagem do ClickSambo é diferente: deixamos de usar o IP como principal identificador. O atacante pode trocá-lo em segundos, mas há características que não consegue alterar. É nelas que nos concentramos.

Configuração técnica detalhada: guia da API de conversões offline do ClickSambo.