Пробовали посмотреть отказы, длительность сессий, страницы входа с прямого трафика? То есть, прям точно уверены, что не роботы? На паре проектов такие прямые заходы были очень похожи на спам трафик, ботов, но при этом метрика продолжала считать их реальными людьми.