アプリの新規ユーザーが急増、正体は bot。Google Play のリリース前レポートが勝手に登録していた

Gadenin のダウンロード数だけでなく、細かな統計情報を確認するために、管理者用のツールをみて日々のシステム運用を行っている。 ここ最近は少しずつだが ASO の効果もでてきて新規ユーザーの方が増えてきていて非常に嬉しい。

そして、ここ最近その DL 数のスピードが急増してきているなと思って少し怪しいなという動きだったので仕方なく調査する流れに。 結果、 10月6日の2時37分、4時18分、4時18分、4時23分 10月7日の3時58分、4時03分、4時37分。 どこの国からのインストールかツール上でわかるようにしているが、すべて日本からのダウンロードであった。そんなはずがないんだよな、こんな時間帯で一番活動的になるのは。

ただ当初は、日本のどこかに、夜明け前に家庭菜園アプリを入れる人たちがいる。そう思っていた。農家の朝は早い。

人間は、そんなに揃わない

朝が早い人はいる。畑に出る前に記録をつけたい人もいるだろう。 ただ、並び方がおかしかった。

10月6日は、4時18分に2人いる。 数えてみると、10月3日から7日までに、同じような登録が17件あった。

タイムスタンプまで見て初めて bot だろうと思った。自分がトレーシングしやすいようログを仕込んでいなかったこともあり　Claude code に調査タスクを仕込んだ。

アプリの API は、Cloudflare のバックエンドで構築している。新規登録はサインインの POST /api/auth/google から始まるので、その時刻の通信を Cloudflare の API で引いた。

明け方だけではなかった。昼の12時台にも、夜の19時台にも来ていた。

接続元は、66.249.x や 74.125.x で始まる、Google の持ち物の IP だった。66.249.x は Googlebot と同じ帯域だ。 端末は Android。Gadenin の Android 版は、まだクローズドテストの途中だ。テスターは、ほぼ自分しかいない。

極めつけは、10月6日の2件だった。4時18分09秒と、4時18分10秒。1秒差で別のアカウントができている。僕は WEB 系のエンジニアなので、アプリ界隈でもこんなDoS攻撃みたいなことを Google がしてきているんだといいうことは知らなかった。

正体は Play Console のテスト端末

Play Console には「リリース前レポート」という仕組みがある。アプリをアップロードするたびに、Google が自前の実機で自動的に操作して、落ちないかを確かめるようだ。

Gadenin は、Google のボタンを1回押せば登録が終わる。それくらい最初の登録をスムーズにすることにめちゃくちゃ神経を尖らせて設計したからだ。 テスト端末は、端末に入っている Google のアカウントでボタンを押す。そのまま新規ユーザーになる。1台につき1人増える。中には Plant を1つ作っていったものもいた。 植物につけている名前がいかにもエンジニアで、なんと "My First Cherry Tomato"。ひどい。 ちなみに日本人がミニトマトと呼称しているものが英語圏だと Cherry Tomatoだ。

国の列が「日本」だったのはまだ謎が解明できていなかったが、最終的に調査したっ結果、僕の管理画面に表示している国は、アプリの言語設定のものであり、IPアドレスではなかったからというのがわかり、一件落着。アメリカのデータセンター経由のものはちゃんとわかるようすぐにツールを改修し、Bot を除外してリアルな人間のインストールだけがわかるようにデフォルトを変更した。

• BE の新規登録で、User-Agent から端末 (iPhone か Android か)、Cloudflare が付ける接続元の国と AS 番号を users に保存する (migration 0092)
• AS 番号が Google のもの (AS15169 と AS396982) なら signup_bot = 1 にする
• 保存するのは新規登録のときだけ。あとでサインインし直しても上書きしない
• 管理画面の一覧に「端末」の列を足す。Apple と Android のロゴを16px で出し、bot には赤い札を付けて行を薄くする
• 見出しは「27、うち bot 14」のように分けて出し、一覧は既定で bot を隠す

判定は「接続元が Google の網かどうか」だけにした。日本の回線から来た Android は bot にならない。自分の実機も、これから来るテスターも、人間として数えられる。

仕組みより前に登録した人は、端末が分からない。そもそもログをしこんでいなかったから。ログで確かめられた17件には、手で bot の印を付けた。残りの33人は、全員 iPhone にした。幸いその時期に Android から登録した人間はいないから、強制的に iPhone にしてしまっても問題ないからだ。

仕組みを出した直後に、もう1件来た

BE を出したあと、管理画面の見出しは「うち bot 18」になっていた。 手で付けた17件より1件多い。出した直後に Google の網からまた登録があり、今度は自動で bot と判定されていた。

ロボットのおかげで、仕組みが動くことはすぐに分かった。これで晴れてぼくは人間だけのインストール数だけを眺めることができるようになったのだ！

嬉しい、bot を外すと、人の登録も増えているぞ

印を付けたので、bot を除いた登録の数を週ごとに出せるようになった。10月11日の時点ではこうなる。

9月の半ばまでは、週に1〜2人だった。9月の終わりからは、週に10人を超えている。 小さい数字だ。ただ、bot と混ざったままなら、この伸びには気づけなかった。

10月10日には、bot がまた12件来た。同じ日に、人も4人登録している。

クローズドテストが終わるまで、bot は増え続ける。早く Android のクローズドテストを終わらせたいところなんだけど、いかんせん Android を使ってる周辺の家族や友人がいないので、インターネットでどなたかに依頼する以外に方法はない。

早く何かしら仕込まなければ。。