Заявки с чужими номерами телефонов: кто их оставляет и как остановить

Менеджер перезванивает по свежей заявке. На том конце удивлённый, а иногда злой человек: на сайте он не был, ничего не заказывал, и это уже пятый звонок за утро от компаний, о которых он впервые слышит. Номер настоящий, имя иногда тоже. Это не опечатка клиента и не шутка школьника. Почти всегда за такими заявками стоит одна из нескольких известных схем, и ваша форма в ней — инструмент, а не цель.

Бомберы: ваша форма как оружие против чужого человека

Самая частая причина. Сервисы, которые называют «бомберами», заваливают жертву звонками и СМС: берут её номер и автоматически вписывают его в сотни форм обратного звонка и регистрации на чужих сайтах. Каждый сайт честно перезванивает или присылает код подтверждения, и человеку за час приходят десятки звонков и сообщений. Используют это для мести, давления на должников или просто ради развлечения.

Ваш сайт в этой схеме — бесплатный исполнитель. Особенно ценны для бомберов виджеты обратного звонка, которые звонят сразу, и формы с кодом подтверждения по СМС: каждое такое сообщение оплачиваете вы.

Как отличить: заявки с одним и тем же номером приходят пачкой, часто ночью или в выходные, с разными именами или вовсе без них. Сам номер в каждой заявке настоящий и принадлежит одному человеку.

Накрутка лидов в партнёрских сетях

Если вы покупаете заявки за фиксированную плату в партнёрской сети, часть из них может оказаться поддельной. Недобросовестный партнёр получает деньги за каждый лид, а чтобы заявка прошла проверку формата номера, вписывает реальные номера из утёкших баз. Человек про ваш продукт не слышал, партнёр получил выплату, вы заплатили дважды: за лид и за звонок менеджера.

Признаки: заявки идут волнами от одного источника, конверсия в продажу у этого источника близка к нулю, а люди на том конце не понимают, о чём речь.

Обычный спам-бот, который заполняет всё подряд

Простые скрипты обходят сайты и заполняют любую найденную форму: в поле телефона — что-то похожее на номер, в комментарий — ссылку. Иногда номер случайно оказывается чьим-то настоящим. Схема самая безобидная по умыслу, но самая массовая. Отдельный вариант — конкурент, который засыпает вашу форму мусором, чтобы занять менеджеров.

Чем это опасно

Звонки людям, которые не давали согласия. Для человека это навязчивые звонки от вашей компании, для вас — жалобы, плохие отзывы и метка «спам» у вашего номера в определителях номеров. После этого настоящие клиенты тоже перестают брать трубку. Если звонок или сообщение носят рекламный характер, закон о рекламе требует предварительного согласия абонента, и жалоба на такой звонок — уже не просто неприятность.

Чужие персональные данные в вашей CRM. Номер и имя человека, который вам их не давал, — это данные, которые вы обрабатываете без его согласия. Такие записи стоит удалять, а не копить.

Прямые расходы. СМС, минуты телефонии, время менеджеров. При десятках фальшивых заявок в день настоящие начинают теряться среди них.

Испорченная реклама. Если отправка формы — цель в Метрике, на которую учится автостратегия Директа, фальшивые заявки учат её приводить ещё больше такого же трафика.

Что видно в логе

Бомберу и спам-боту ваша страница не нужна. Они отправляют данные прямо на адрес обработчика формы, часто даже не открыв страницу. В логе сервера это выглядит как POST без предшествующего GET той же страницы:

grep 'POST /callback' access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head

Подставьте свой адрес обработчика. Если с одного адреса за минуты идут десятки отправок, а страницу с этого адреса никто не открывал, это программа. Бомберы при этом часто ходят с разных адресов, так что отсутствие повторов ещё не значит, что заявки живые.

Ещё один простой признак — Метрика. У настоящего посетителя перед отправкой формы есть визит. Если заявок в CRM заметно больше, чем достижений цели в Метрике, разница пришла мимо страницы.

Что делать

Базовые приёмы — невидимое поле-ловушку, замер времени заполнения, признаки автоматики в запросе — мы разбирали в статье «Защита формы без капчи». Повторять код не буду. Для заявок с чужими номерами важнее три вещи вокруг этих приёмов.

Проверка на сервере, а не только в браузере. Бомбер обращается к обработчику напрямую, и любая защита, которая живёт только в скрипте страницы, ему не мешает. Решение о том, принимать ли отправку, должен принимать сервер, до того как заявка ушла в CRM и телефонию.

Не звонить и не слать СМС мгновенно. Если виджет обратного звонка набирает номер через секунду после отправки, ваш сайт идеален для бомбера. Ограничьте число звонков и сообщений на один номер — скажем, не больше одного-двух в сутки — и на один адрес. Это делается в настройках виджета или в обработчике формы, и никакая защита от ботов этого шага не заменит.

Свои интеграции — в белый список. CRM, платёжная система, обмен с учётной системой тоже шлют данные на сайт POST-запросами. Их адреса стоит внести в белый список до того, как вы включите защиту, а не после первой потерянной оплаты.

Как это устроено в BotBan

PHP-модуль BotBan с версии 1.4.12 проверяет каждую отправку формы, а не только первый заход на страницу. Запомненное решение «пропустить» на отправку не действует: спамер открывает страницу «чистым» и потом шлёт заявки пачкой.

Скрипт защиты, если он стоит на страницах сайта, добавляет в каждую форму невидимое поле-ловушку. Если поле пришло заполненным, форму отправили в обход скрипта страницы, и отправка блокируется при любом балле; с общего адреса мобильного оператора — отправляется на проверку. Если поле вписало автозаполнение браузера, а человек на странице двигал мышью или касался экрана, скрипт очищает его перед отправкой. Восемь и больше отправок с одного адреса за десять минут — серьёзная улика, двадцать — почти наверняка рассылка. Отправка быстрее полутора секунд без единого движения, касания или клавиши — ещё один довод.

Если отправку нужно проверить, человек не теряет заявку. Модуль показывает страницу проверки со скрытой копией формы, браузер решает задачу сам и отправляет форму повторно, заполнять её заново не нужно. Содержимое форм к нам не попадает: модуль сообщает только, заполнена ли ловушка. Имена и телефоны остаются на вашем сервере.

Для масштаба: на 14 сайтах под защитой за месяц было 21,9 тыс. отправок форм, и 31,1 % из них остановлено как автоматические.

Честно о границах. Человека, который вручную вписал чужой номер в вашу форму, не остановит никакая защита от ботов: для этого и нужен лимит звонков на номер. На сайте, подключённом одним скриптом, например на Tilda, отправку формы принимает сервер конструктора, и программу, которая шлёт заявки прямо туда, скрипт не видит.

План

1. Найдите в логе, сколько отправок форм приходит без открытия страницы, и сравните число заявок с целями в Метрике.
2. Ограничьте звонки и СМС на один номер в виджете или обработчике.
3. Внесите адреса CRM, платёжной системы и учётной системы в белый список.
4. Поставьте проверку отправок на сервере: ловушку, серии с одного адреса, скорость заполнения.
5. Неделю посмотрите, что останавливается, и только потом включайте блокировку.
6. Удаляйте из CRM заявки с чужими номерами, а не храните их.

Как BotBan защищает формы без капчи и что видно в карточке «Отправки форм», описано на странице защиты форм от спама.