การใช้โปรโมชันและคูปองในทางที่ผิด: ฟาร์มหลายบัญชีทำงานอย่างไรและตรวจจับได้อย่างไร

โบนัสสมัครสมาชิก คูปองออเดอร์แรก รางวัลแนะนำเพื่อน ทดลองใช้ฟรีสำหรับผู้ใช้ใหม่ — ทุกอย่างเหล่านี้ตั้งอยู่บนเดิมพันเดียวกัน: ว่าคนที่เคลมมันเป็นมนุษย์คนหนึ่งที่แตกต่างและทำเพียงครั้งเดียว เศรษฐศาสตร์ของข้อเสนอขึ้นอยู่กับสิ่งนี้ เครดิตต้อนรับ $20 คือต้นทุนการหาลูกค้าที่คืนทุนได้ตลอดอายุการใช้งานของลูกค้าจริง แต่ $20 เดียวกันที่ถูกเคลมห้าร้อยครั้งโดยผู้ก่อการรายเดียวไม่ใช่การหาลูกค้า มันคือการขโมยพร้อมสเปรดชีต

บทความนี้ว่าด้วยผู้ก่อการที่รันสเปรดชีตนั้น — ฟาร์มหลายบัญชี — และวิธีตรวจจับพวกเขา เขียนขึ้นสำหรับทีม growth ทีมชำระเงิน และทีมป้องกันการฉ้อโกงที่ดูแลโปรแกรมโปรโมชันและเฝ้าดูตัวเลขการแลกรับที่ดูสวยงามอยู่เรื่อย ๆ ขณะที่ตัวเลข retention และมาร์จิ้นกลับย่ำแย่อย่างเงียบ ๆ กลไกของฟาร์มสำคัญ เพราะการตรวจจับสืบเนื่องโดยตรงจากปัญหาหนึ่งเดียวที่ทุกฟาร์มต้องแก้: การผลิตภาพลักษณ์ของคนหลายคนที่แยกจากกัน ในขณะที่ความจริงแล้วเป็นเพียงปฏิบัติการเล็ก ๆ ที่ใช้เครื่องจักรชุดเดิมซ้ำ ๆ

ฟาร์มหลายบัญชีคืออะไรและทำไมมันจึงได้ผล

ฟาร์มหลายบัญชีคือปฏิบัติการที่สร้างและดำเนินการหลายบัญชีเพื่อเก็บเกี่ยวผลประโยชน์ต่อบัญชีในระดับใหญ่ มันได้ผลเพราะข้อเสนอโปรโมชันส่วนใหญ่ตั้งด่านอยู่บนสัญญาณอัตลักษณ์ที่ผลิตได้ราคาถูก — ที่อยู่อีเมล เบอร์โทรศัพท์ บัตร — และไม่ได้ตั้งด่านบนสิ่งที่ปลอมแปลงได้แพงจริง ๆ นั่นคืออุปกรณ์กายภาพและเครือข่ายที่อยู่เบื้องหลังบัญชี

เศรษฐศาสตร์ขับเคลื่อนทุกอย่าง หากข้อเสนอมีมูลค่า $20 และฟาร์มสามารถผลิตบัญชีที่ผ่านเกณฑ์ได้ด้วยต้นทุนเพียงไม่กี่ดอลลาร์จากอีเมลใช้แล้วทิ้ง เบอร์เสมือน และแบนด์วิดท์พร็อกซี ทุกบัญชีก็เป็นกำไรล้วนสำหรับผู้โจมตีและขาดทุนล้วนสำหรับคุณ ฟาร์มจะขยายตัวจนกว่าข้อเสนอจะหมดหรือต้นทุนส่วนเพิ่มของบัญชีใหม่จะเกินผลตอบแทนของมัน หน้าที่ของคุณคือดันต้นทุนส่วนเพิ่มนั้นให้สูงขึ้น — ทำให้แต่ละบัญชีปลอมที่เพิ่มขึ้นแพงพอจนเศรษฐศาสตร์พังทลาย

ฟาร์มมีตั้งแต่บุคคลที่เบื่อ ๆ คนหนึ่งพร้อมเบราว์เซอร์และโฟลเดอร์ที่อยู่อีเมล ไปจนถึงปฏิบัติการระดับอุตสาหกรรมที่รันโปรไฟล์เบราว์เซอร์นับร้อยผ่านเครื่องมือ anti-detect และพูลพร็อกซีแบบ residential ปลายทางที่ซับซ้อนที่สุดทับซ้อนอย่างมากกับโครงสร้างพื้นฐานเบื้องหลังการใช้ทดลองในทางที่ผิดและการทำ airdrop farming; ผู้ก่อการรายเดียวกันมักรันทั้งสามอย่าง หลักการตรวจจับเหมือนกันตลอดทั้งสเปกตรัม ซึ่งเป็นเหตุผลที่ การตรวจจับการใช้หลายบัญชี และ การใช้ทดลอง SaaS ในทางที่ผิด มีแกนป้องกันร่วมกัน และเป็นเหตุผลที่ Sybil resistance สำหรับ airdrop คือปัญหาเดียวกันในคราบที่ต่างออกไป

ฟาร์มหลายบัญชีดำเนินการจริง ๆ อย่างไร

การจะเอาชนะฟาร์ม คุณต้องเข้าใจสายการประกอบ แต่ละขั้นตอนมีอยู่เพื่อเอาชนะด่านอัตลักษณ์หนึ่งด่านที่คุณตั้งไว้บนข้อเสนอ

การผลิตอัตลักษณ์ ฟาร์มต้องการอัตลักษณ์ใหม่ที่ดูน่าเชื่อต่อหนึ่งบัญชี โดเมนอีเมลแบบใช้แล้วทิ้งและแบบ catch-all กลเม็ด subaddressing บนผู้ให้บริการจริง บัญชีอีเมลเก่าที่ซื้อมาเป็นล็อต และเบอร์โทรศัพท์เสมือนหรือเช่าสำหรับการยืนยันผ่าน SMS เป้าหมายคือผ่านการตรวจสอบอีเมลและเบอร์โทรในปริมาณมากด้วยต้นทุนต่ำ

เครื่องมือชำระเงิน ในกรณีที่จำเป็น หากข้อเสนอต้องใช้บัตร ฟาร์มจะหันไปใช้ตัวสร้างบัตรเสมือน บัตรเติมเงิน และเพิ่มมากขึ้นเรื่อย ๆ คือการหมุนเวียนเครื่องมือที่ดูถูกต้องตามกฎหมาย การตรวจสอบบัตรหยุดฟาร์มมือใหม่และชะลอฟาร์มที่ซับซ้อน แต่ไม่หยุดมัน — ข้อมูลรับรองการชำระเงินแบบใช้แล้วทิ้งเป็นสินค้าโภคภัณฑ์

ความหลากหลายของเครือข่าย ร้อยบัญชีจาก IP เดียวคือร่องรอยที่หยาบที่สุดเท่าที่จะเป็นไปได้ ฟาร์มจึงหมุนเวียนที่อยู่ พูลพร็อกซีแบบ residential เป็นเครื่องมือที่นิยมใช้ ให้ IP ผู้บริโภคที่ใหม่ สะอาด และเหมาะสมทางภูมิศาสตร์แก่แต่ละบัญชี สิ่งนี้เอาชนะการจำกัดอัตราตาม IP และการตรวจสอบชื่อเสียง เพราะที่อยู่เบื้องหลังแต่ละบัญชีดูเหมือนคนจริงคนละคน

ความหลากหลายของเบราว์เซอร์และอุปกรณ์ ฟาร์มที่ซับซ้อนที่สุดรู้ดีว่าอุปกรณ์คือจุดที่พวกเขาเปราะบาง จึงลงทุนกับเบราว์เซอร์ anti-detect ที่ปลอมสัญญาณ fingerprinting — หมุนเวียนผลลัพธ์ canvas และ WebGL, User-Agent, ขนาดหน้าจอ, เขตเวลา และฟอนต์ — เพื่อทำให้แต่ละโปรไฟล์เบราว์เซอร์ดูเหมือนอุปกรณ์คนละเครื่อง นี่คือแนวหน้าของการแข่งขันด้านอาวุธ และเป็นจุดที่ fingerprinting แบบไร้เดียงสาล้มเหลว ส่วนการตรวจจับที่อาศัยความสอดคล้อง (coherence) แสดงคุณค่าของมัน

การจัดวางกระบวนการ (Orchestration) สิ่งที่ผูกทุกอย่างเข้าด้วยกันคือระบบอัตโนมัติที่ขับเคลื่อนทั้งกระบวนการ — สร้างบัญชี แก้ challenge เคลมข้อเสนอ และมักถอนเงินออก — ทั่วทั้งกองโปรไฟล์ ในระดับใหญ่สิ่งนี้ดูเหมือนปัญหาบอท แต่ตัวบัญชีเองถูกออกแบบมาให้ดูเหมือนดำเนินการด้วยมือ

การลงทุนทั้งหมดของฟาร์มมุ่งไปที่เป้าหมายเดียว: ทำให้ N บัญชีดูเหมือนคน N คนที่แยกจากกัน ทุกอย่างข้างต้นคือมาตรการตอบโต้ต่อด่านเฉพาะด่านหนึ่ง ซึ่งหมายความว่ากลยุทธ์การตรวจจับคือการหาด่านที่ฟาร์มไม่สามารถโกงได้อย่างราคาถูก

คุณตรวจจับฟาร์มหลายบัญชีได้อย่างไร

คุณตรวจจับพวกมันด้วยการปฏิเสธที่จะประเมินแต่ละบัญชีอย่างโดดเดี่ยว และแทนที่ด้วยการยุบอัตลักษณ์ที่ผลิตขึ้นกลับไปสู่ความจริงร่วมเบื้องหลังพวกมัน — อุปกรณ์ สแตกเครือข่าย และความสอดคล้องระหว่างสิ่งที่บัญชีอ้างกับสิ่งที่เครื่องจักรของมันเปิดเผย จุดแข็งของฟาร์มคือความหลากหลายของอัตลักษณ์; จุดอ่อนของมันคือการใช้โครงสร้างพื้นฐานซ้ำ การตรวจจับคือศิลปะของการมองเห็นการใช้ซ้ำผ่านความหลากหลาย

ด่านอัตลักษณ์จำเป็นแต่ไม่เพียงพอ และควรพูดอย่างตรงไปตรงมาว่าทำไม:

• การตรวจสอบอีเมล (รายการโดเมนใช้แล้วทิ้ง การตรวจจับ catch-all อายุและชื่อเสียง) ดันต้นทุนของฟาร์มที่หยาบที่สุดให้สูงขึ้น แต่ถูกเอาชนะด้วยบัญชีเก่าและ subaddressing
• การยืนยันเบอร์โทร ดันต้นทุนให้สูงขึ้นอีก แต่ถูกเอาชนะด้วยบริการเบอร์เสมือน
• การตรวจสอบบัตร (การวิเคราะห์ BIN การตรวจจับบัตรเติมเงิน) ดันต้นทุนขึ้นอีกครั้ง แต่ถูกเอาชนะด้วยการหมุนเวียนบัตรเสมือน

แต่ละด่านคือลูกระนาดชะลอความเร็วที่มีจริง แต่ไม่มีด่านใดเป็นกำแพง เพราะแต่ละด่านพุ่งเป้าไปที่สัญญาณที่ฟาร์มสามารถซื้อทางเลี่ยงได้ ซ้อนพวกมันเข้าด้วยกันแล้วคุณจะหยุดมือสมัครเล่นได้; ส่วนมืออาชีพเดินทะลุผ่านไป กำแพงคือชั้นที่ฟาร์มใช้ซ้ำ

อัตลักษณ์อุปกรณ์ทะลุการปลอมตัว

การตรวจจับแกนกลางคือ device fingerprint ที่เสถียรซึ่งรอดพ้นจากความพยายามปลอมตัวของฟาร์ม เบราว์เซอร์ anti-detect หมุนเวียนสัญญาณชั้นเบราว์เซอร์ที่ทำได้ง่าย — แต่มันดิ้นรนที่จะรักษาทุกชั้นให้สอดคล้องกันในเวลาเดียวกัน เมื่อโปรไฟล์อ้างว่าเป็น macOS Safari แต่ตัวเรนเดอร์ WebGL ของมันรายงานว่าเป็นไดรเวอร์ Linux หรือลายเซ็นเสียงของมันบอกว่าเป็น Windows การปลอมตัวก็ไม่สอดคล้อง และความล้มเหลวด้านความสอดคล้องกระจุกตัวอยู่บนทราฟฟิกของฟาร์มในแบบที่ไม่เคยเกิดกับผู้ใช้จริง โมเดลการจับคู่ที่สร้างบนสัญญาณข้ามชั้น (cross-layer) จะกำหนดอัตลักษณ์อุปกรณ์พื้นฐานเดียวกันให้กับโปรไฟล์ที่ฟาร์มตั้งใจให้ดูแยกจากกัน ทันใดนั้น "ลูกค้าห้าร้อยคนที่แตกต่างกัน" ของคุณก็ยุบลงเหลืออุปกรณ์เพียงไม่กี่เครื่อง

การวิเคราะห์กราฟข้ามบัญชี

แม้เมื่อฟาร์มประสบความสำเร็จในการเปลี่ยนแปลงอุปกรณ์อยู่บ้าง บัญชีก็ยังรั่วคุณสมบัติร่วม: อุปกรณ์ที่ปรากฏซ้ำ สแตกเครือข่าย payment fingerprint จังหวะพฤติกรรม ความสัมพันธ์ด้านเวลาในการสร้างบัญชีและการเคลมข้อเสนอ การเชื่อมโยงบัญชีเข้าเป็นกราฟบนขอบร่วมเหล่านี้เปิดโปงคลัสเตอร์ บัญชีฉ้อโกงบัญชีเดียวแทบมองไม่เห็น; ฟาร์มคือองค์ประกอบที่เชื่อมโยงกันอย่างหนาแน่นซึ่งลูกค้าจริงไม่เคยก่อตัวขึ้น นี่คือหัวใจของ การวิเคราะห์กราฟอุปกรณ์ — ขนาดของฟาร์ม ซึ่งเป็นจุดแข็งทางเศรษฐกิจของมัน กลายเป็นพื้นผิวการตรวจจับของมัน

ความสอดคล้องของเครือข่าย

พร็อกซีแบบ residential ให้ IP ที่สะอาดแก่แต่ละบัญชี แต่สแตกเครือข่ายเบื้องหลังมัน — TLS และ TCP fingerprint เรขาคณิตด้านเวลา ความไม่ตรงกันระหว่างตำแหน่งที่พร็อกซี exit อ้างกับ latency จริงของการเชื่อมต่อ — ทรยศตัวรีเลย์ ฟาร์มที่รันโปรไฟล์นับร้อยผ่านพูลพร็อกซีสร้างความล้มเหลวด้านความสอดคล้องที่ชั้นเครือข่ายซึ่งฐานลูกค้าจริงไม่มี

ความเร็วและพฤติกรรม ณ วินาทีที่เคลม

ฟาร์มมีจังหวะของมัน การสร้างบัญชีเป็นชุด ๆ ข้อเสนอที่ถูกเคลมภายในช่วงเวลาสั้น ๆ หลังสมัคร รูปแบบการโต้ตอบที่มีประสิทธิภาพในแบบที่ผู้ใช้ใหม่แท้จริงไม่มี — คนจริงสำรวจ ลังเล และเดินเตร็ดเตร่; บัญชีของฟาร์มเดินตรงดิ่งไปยังผลตอบแทน การให้คะแนนสัญญาณความเร็วและพฤติกรรมเหล่านี้ ณ วินาทีที่มีการเคลมข้อเสนอพอดี จับจังหวะของปฏิบัติการที่ปรับให้เหมาะกับปริมาณงานได้

บังคับใช้ที่ไหน: วินาทีแห่งการเคลม

การตรวจจับจะมีประโยชน์ก็ต่อเมื่อมันทำงาน ณ จุดที่ถูกต้อง และสำหรับการใช้โปรโมในทางที่ผิด จุดนั้นคือวินาทีที่มีการเคลมผลประโยชน์ — การสมัคร การแลกคูปอง การจ่ายรางวัลแนะนำเพื่อน การเปิดใช้ทดลอง — ไม่ใช่งานประมวลผลแบบชุดตอนกลางคืนที่ตั้งธงการขาดทุนหลังจากมันหายไปแล้ว ฟาร์มที่ถอนเงินออกไปแล้วคือรายงาน ไม่ใช่การป้องกัน

รูปแบบการบังคับใช้คือคำตัดสินแบบเรียลไทม์ ณ เวลาเคลม พร้อมแนบสัญญาณพื้นฐานไว้ด้วย เพื่อให้มนุษย์สามารถทบทวนกรณีก้ำกึ่งแทนการบล็อกแบบเหมารวม เพราะการตรวจจับการใช้โปรโมในทางที่ผิดมีต้นทุน false-positive ที่แท้จริง — ลูกค้าใหม่ที่ถูกต้องซึ่งถูกปฏิเสธข้อเสนอต้อนรับอย่างผิด ๆ คือความประทับใจแรกที่เลวร้ายและอายุการใช้งานที่สูญเสียไป — เป้าหมายจึงเป็นการตอบสนองแบบไล่ระดับ: อนุญาตการเคลมที่สะอาด ท้าทายการเคลมที่คลุมเครือด้วยการยืนยันเพิ่มเติม (step-up) และบล็อกเฉพาะคลัสเตอร์ฟาร์มที่มั่นใจสูงเท่านั้น การไล่ระดับนั้นขึ้นอยู่กับการให้คะแนนข้ามชั้นอิสระข้างต้น เพื่อให้สัญญาณที่ไม่เป็นภัยเพียงตัวเดียว (IP ที่ใช้ร่วมกันในครัวเรือน รุ่นแล็ปท็อปองค์กรทั่วไป) ไม่ลงโทษคนจริง ในขณะที่ความล้มเหลวด้านความสอดคล้องที่กองซ้อนกันบนการเคลมเดียวกันจะลงโทษ

ชั้น	มาตรการตอบโต้ของฟาร์ม	สิ่งที่ยังเปิดโปงมัน
อีเมล / เบอร์โทร	อีเมลใช้แล้วทิ้ง + เบอร์เสมือน	ด่านที่จำเป็น ไม่ใช่กำแพง
การชำระเงิน	การหมุนเวียนบัตรเสมือน	การใช้ payment fingerprint ซ้ำ
IP	พูลพร็อกซี residential	ความสอดคล้อง TLS/TCP + เวลา
เบราว์เซอร์	การปลอม fingerprint แบบ anti-detect	ความล้มเหลวด้านความสอดคล้องข้ามชั้น
กราฟอัตลักษณ์	คุณสมบัติที่หลากหลายต่อบัญชี	ขอบอุปกรณ์ร่วมในระดับใหญ่

สิ่งนี้หมายความว่าอย่างไรสำหรับผู้ป้องกัน

หากตัวเลขการแลกรับโปรโมของคุณดูดีต่อสุขภาพ แต่ cohort ไม่เคยคงอยู่ และ unit economics ของผู้ใช้ที่ได้มาจากโปรโมติดลบ คุณน่าจะมีฟาร์มที่กำลังแปลงงบการตลาดของคุณให้เป็นรายได้ของพวกเขา และแดชบอร์ดการแลกรับกำลังซ่อนมันไว้ เพราะทุกบัญชีปลอมดูปกติดีเมื่อพิจารณาอย่างโดดเดี่ยว วิธีแก้คือหยุดประเมินบัญชีทีละบัญชี แล้วเริ่มยุบพวกมันลงสู่อุปกรณ์ร่วม ความจริงของเครือข่าย และความสอดคล้อง — จากนั้นบังคับใช้คำตัดสินแบบไล่ระดับ ณ วินาทีที่มีการเคลมข้อเสนอ

Smart Signals ของ Tracio เผยให้เห็นขอบที่ฟาร์มซ่อนไม่ได้อย่างแม่นยำ — อัตลักษณ์อุปกรณ์ร่วมทะลุการปลอมตัวแบบ anti-detect ความสอดคล้องของสแตกเครือข่ายเบื้องหลังพร็อกซีที่หมุนเวียน และความเร็ว ณ วินาทีที่เคลม — และคืนคำตัดสินแบบเรียลไทม์สำหรับ การใช้โปรโมในทางที่ผิด พร้อมแนบสัญญาณไว้ด้วย เพื่อให้คุณอนุญาตลูกค้าใหม่ที่แท้จริง ท้าทายกรณีที่คลุมเครือ และบล็อกฟาร์มโดยไม่ลงโทษคนที่แค่ต้องการส่วนลดต้อนรับของเขา

อยากเห็นฟาร์มที่ซ่อนอยู่ในทราฟฟิกโปรโมของคุณไหม? เริ่มทดลองใช้ฟรี — ตรวจสอบฟรี 2,500 ครั้ง — หรือ จองเดโม เพื่อรันการตรวจจับด้วย device-graph และความสอดคล้องกับ flow การแลกรับของคุณ