האנטומיה של מתקפת ריבוי-חשבונות: מקרה בוחן בפלטפורמת iGaming

ריבוי-חשבונות ב-iGaming אינו קבוצת אנשים שפותחים חשבונות נוספים. אלו פעולות מקצועיות שמריצות מאות זהויות סינתטיות כנגד פלטפורמה אחת, ומחלצות בונוסי הצטרפות, cashback ותשלומי מבצעים.

הכלכלה עובדת כי העלות השולית של חשבון חדש קרובה לאפס — אימייל, מספר טלפון חד-פעמי, מסמכי זהות גנובים או מסונתזים — והתשלום השולי לכל חשבון הוא כסף אמיתי. בשווי מחולץ של 50–200$ לחשבון, 200 חשבונות כנגד מפעיל אחד הם הכנסה במשרה מלאה.

זהו פירוק של דפוס מתקפה אמיתי שנצפה כנגד מפעילי iGaming אירופיים ב-2025. שמות ופרטים עברו אנונימיזציה. הטכניקות עדכניות.

ההקמה: התשתית שהמרמאי משקיע בה

ריבוי-חשבונות רציני מפעיל תשתית קטנה:

• מנוי לפרוקסי residential — בדרך כלל 911.re, IPRoyal או Smartproxy — המספק IP-ים מתחלפים בעשרות מדינות. עלות: 50–200$ לחודש.

• דפדפן antidetect — Multilogin, Dolphin Anty, GoLogin, Kameleo או AdsPower. כל אחד מהכלים הללו מריץ פרופילי דפדפן מבודדים עם טביעות אצבע המוגדרות באופן עצמאי. עלות: 50–150$ לחודש.

• מלאי של זהויות מיושנות — או שנרכשות בפורומים (חבילות של אימייל מאומת + טלפון + סריקת מסמך) או שנוצרות. עלות: 5–30$ לזהות.

• תשתית תשלומים — כרטיסים נטענים מראש, ארנקי קריפטו או money mules לקבלת רווחים ללא שובל חשבונות מאוחד.

תקורה חודשית כוללת: 200–500$. בשווי מחולץ של 84,000$ במהלך 6 חודשים, ה-ROI הוא פי 20–30.

מחזור החיים של חשבון הונאה בודד

כל חשבון סינתטי עוקב אחר דפוס דומה:

1. פרופיל דפדפן antidetect עולה עם טביעת אצבע טרייה (canvas, WebGL, אזור זמן, שפה, רזולוציית מסך).

2. מוקצה פרוקסי residential — בדרך כלל ממדינה התואמת את מסמכי הזהות.

3. ההרשמה מושלמת עם זהות מיושנת: אימייל, אימות טלפון דרך שירות SMS-forwarding, העלאת תעודה מזהה של מסמך גנוב או שנוצר.

4. ה-KYC עובר — כי מסמכי הזהות אמיתיים (גנובים) או מזויפים באופן מקצועי.

5. מבוצעת הפקדה קטנה — לרוב 10–30$ — כדי להפעיל את בונוס ההצטרפות.

6. הבונוס משוחק תחת בחירות משחק ספציפיות הממקסמות את הערך הצפוי מול דרישת ההימור.

7. הרווחים נמשכים לאמצעי התשלום המשויך לזהות.

8. החשבון ננטש או נמכר.

המחזור כולו לוקח 2–7 ימים. מפעיל מקצועי מריץ 20–40 חשבונות בו-זמנית במצבים שונים של הצינור הזה.

מה המפעיל ראה

צוות ההונאה של פלטפורמת ה-iGaming הבחין באנומליות ברבעון השני:

• יחס תשלומי הבונוסים בחשבונות חדשים עלה מ-47% ל-63% מרבעון לרבעון.

• ה-chargebacks נשארו נמוכים — כלומר לא היה מדובר בכרטיסים גנובים. ההונאה הייתה מבנית, לא עסקתית.

• פניות תמיכה מנגד שחקנים חוזרים שלא זיהו את היסטוריית החשבון של עצמם עלו.

הצוות חשד בריבוי-חשבונות אך לא היו לו הכלים להוכיח זאת בקנה מידה. כל חשבון, כשנצפה בבידוד, נראה לגיטימי. שמות שונים, IP-ים שונים, טביעות אצבע שונות, מסמכים שונים.

מה האותות באמת הראו

כאשר אותות device intelligence הוחלו רטרואקטיבית על אוכלוסיית החשבונות, 217 חשבונות קופלו למפעיל יחיד. הנה מה שקשר ביניהם.

אות 1. שימוש חוזר בטביעת אצבע TLS

למרות IP-ים שונים וטביעות אצבע דפדפן שונות, 217 חשבונות חלקו רק 3 גיבובי JA4 ייחודיים. טביעת אצבע TLS נוצרת על ידי ספריית הלקוח — ובעוד שדפדפן ה-antidetect יכול היה לזייף canvas ו-WebGL, הוא השתמש בבסיס Chromium יחיד ללחיצות היד של TLS. שלושה גיבובי JA4 תאמו לשלוש גרסאות של דפדפן ה-antidetect שהמפעיל שדרג דרכן.

אות 2. תזמון התנהגותי לאורך סשנים

ל-217 החשבונות היו זמני הרשמה מקובצים בחלונות צרים: לרוב 09:00–11:00 UTC בימי חול. שחקנים אמיתיים נרשמים לאורך כל מחזור 24 השעות. שעות העבודה האנושיות באזור זמן יחיד חשפו את המפעיל ללא קשר לאזור הזמן שכל פרופיל מזויף טען לו.

אות 3. דפוסי משחק בונוס

אסטרטגיית ההימור לאורך החשבונות הייתה כמעט זהה: אותה בחירת משחק (slots ספציפיים בעלי שונות נמוכה), אותו גודל הימור יחסית לבונוס, אותו משך סשן לפני בקשת המשיכה. לשחקנים אמיתיים יש העדפות מגוונות מאוד. אחידות סטטיסטית לאורך חשבונות אפשרית רק עם סקריפט או playbook.

אות 4. מיקרו-דפוסים של תנועת עכבר

דפדפני antidetect מזייפים טביעות אצבע ויזואליות אך לא מזייפים כיצד אדם נע במהלך סשן. עקבות העכבר לאורך 217 החשבונות חלקו מאפיינים — עקומות Bezier עם פרופילי תאוצה עקביים, דפוסים ספציפיים של חזרה לאותן קואורדינטות לפני לחיצות. הכל הופק על ידי האוטומציה של המפעיל.

אות 5. אשכול נקודות קצה של תשלום

למרות שמות שונים בחשבונות, המשיכות נותבו דרך 8 ארנקי קריפטו ייחודיים. שימוש חוזר בארנק לאורך חשבונות לא קשורים הוא אחד האותות החזקים ביותר הזמינים ואינו דורש שום זיהוי ברמת המכשיר.

אות 6. חוסר עקביות במניית פונטים

דפדפן ה-antidetect מזייף רשימות פונטים, אך רק מספרייה מוגדרת מראש. כל 217 החשבונות דיווחו על מניית פונטים ממאגר מוגבל של 5 תבניות. למשתמשים אמיתיים יש שילובים ייחודיים של פונטים מותקנים. התבניות נתפסו כי המגוון שלהן היה נמוך מדי.

אות 7. אשכול מרנדר WebGL

דפדפן ה-antidetect מסובב מחרוזות GPU, אך מתוך סט קבוע — בדרך כלל 20–30 ה-GPU-ים הצרכניים הנפוצים ביותר. לאורך 217 החשבונות, מחרוזות GPU הופיעו בהתפלגות בלתי סבירה: ייצוג יתר כבד של דגמי Intel ו-NVIDIA ספציפיים, ללא ייצוג של חומרת AMD. לאוכלוסיות משתמשים אמיתיות יש התפלגות GPU רחבה יותר.

אות 8. אי-סטנדרטיזציה של רזולוציית מסך

דפדפני antidetect מייצרים ממדי מסך, אך לרוב עם רזולוציות לא-סטנדרטיות כדי להיראות ייחודיים. מסכים אמיתיים הם 1366×768, 1920×1080, 2560×1440, 3840×2160, או קומץ גדלים של מחשבים ניידים. 217 החשבונות כללו ממדים כמו 1892×1063 שאף תצוגה אמיתית אינה משתמשת בהם.

אות 9. חפיפת סשנים בין חשבונות

שני חשבונות התחברו מאותו IP בהפרש של אלפיות שנייה זה מזה, אך מפרופילי antidetect שונים. יומני הסשן חשפו שכאשר חשבון אחד התנתק, אחר התחבר תוך שניות — מ-IP שונה אך עם מאפייני חיבור ניתנים לזיהוי שקשרו ביניהם. מאגר הפרוקסי הסתובב אך פעולות המפעיל לא.

אות 10. מתאם מקור הפקדה

הפקדות קריפטו לחשבונות הגיעו מ-12 ארנקי מקור. ניתוח blockchain הראה ש-12 ארנקים אלו קיבלו מימון מחשבון בורסה יחיד במעלה הזרם. ניתוח follow-the-money קשר את כל האשכול.

אות 11. דפוסים לשוניים בפניות תמיכה

חלק מהחשבונות פתחו פניות תמיכה במהלך 6 החודשים. הדפוסים הלשוניים — ניסוחים ספציפיים, מוזרויות דקדוקיות, שגיאות כתיב של אותן מילים — היו משותפים בין חשבונות הרשומים למדינות והגדרות שפה שונות.

מדוע אותות בודדים נכשלים

כל אחד מהאותות הללו יכול להיות צירוף מקרים. שני חשבונות עם אותה טביעת אצבע TLS יכולים להיות שני משתמשים על אותה גרסת Chrome. שני חשבונות עם עקבות עכבר דומים יכולים להיות שני שחקנים שלוחצים באופן דומה. שתי משיכות לאותו ארנק יכולות להיות ארנק משפחתי משותף.

החוזק הוא בשילוב. כאשר 217 חשבונות חולקים טביעות אצבע TLS, נקודות קצה של ארנקים, תבניות פונטים, רזולוציות מסך, דפוסי עכבר ותזמון התנהגותי — ההסתברות לעצמאות קורסת לאפס.

מה הפלטפורמה עשתה

לאחר הניתוח הרטרואקטיבי, הפלטפורמה יישמה ניקוד בזמן אמת ביצירת חשבון. כל חשבון חדש קיבל ציון דמיון מול חשבונות קיימים על בסיס 11 האותות ועוד 40 נוספים. מעל הסף, חשבונות סומנו לבדיקה ידנית לפני זכאות לבונוס. מתחת לסף, חשבונות המשיכו כרגיל.

תוך 60 יום, יחס ניצול הבונוסים חזר לקו הבסיס. המפעיל או עבר לפלטפורמה אחרת או השקיע משמעותית יותר בתשתית שלו — כל תוצאה הייתה ניצחון.

הדפוס מכליל

הכלים הספציפיים משתנים. האותות מתפתחים. אך הדינמיקה הבסיסית — מפעילי הונאה מקצועיים הבונים תשתית כדי לחלץ ערך מתוכניות רכישה נדיבות — יציבה לאורך iGaming, בורסות קריפטו, fintech עתיר-מבצעים, וכל פלטפורמה שמשלמת על רכישת משתמשים.

ההגנה היחידה שעובדת היא מתאם אותות ברמת הפלטפורמה. הגנות היקפיות (חסימות IP, חסימות מכשיר, כללי חשבון-יחיד) נכשלות כי המפעילים מייעלים סביבן. מתאם אותות מצליח כי מפעילים אינם יכולים לרנדם בזול את הכל — עלות העצמאות האמיתית לכל חשבון עולה על התשלום לכל חשבון.

הפער הזה הוא מה שהופך את זיהוי ריבוי-החשבונות לכלכלית בר-ביצוע. זהו גם מה שהופך אותו למשחק שהמגן יכול לנצח בו.