Lạm dụng khuyến mãi và mã giảm giá: cách các trang trại đa tài khoản hoạt động và cách phát hiện chúng

Một khoản thưởng đăng ký, một mã giảm giá cho đơn đầu tiên, một phần thưởng giới thiệu, một bản dùng thử miễn phí cho người dùng mới — tất cả đều đặt cùng một canh bạc: rằng người nhận nó là một con người riêng biệt và chỉ nhận một lần. Kinh tế học của ưu đãi phụ thuộc vào điều đó. Khoản tín dụng chào mừng 20 đô la là chi phí thu hút khách hàng sẽ hoàn vốn trong suốt vòng đời của một khách hàng thật. Cũng 20 đô la đó bị một kẻ vận hành nhận năm trăm lần thì không phải là thu hút khách hàng. Đó là hành vi trộm cắp có kèm bảng tính.

Bài viết này nói về những kẻ vận hành bảng tính đó — các trang trại đa tài khoản — và cách phát hiện chúng. Nó được viết cho các đội tăng trưởng, thanh toán và chống gian lận, những người sở hữu các chương trình khuyến mãi và cứ thấy các con số nhận ưu đãi trông tuyệt vời trong khi các con số về giữ chân và biên lợi nhuận âm thầm thì không. Cơ chế của trang trại rất quan trọng, bởi việc phát hiện đi thẳng ra từ một vấn đề mà mọi trang trại đều phải giải quyết: chế tạo ra vẻ ngoài của nhiều người riêng biệt trong khi thực tế lại là một hoạt động nhỏ tái sử dụng cùng một bộ máy.

Trang trại đa tài khoản là gì và tại sao nó hiệu quả?

Trang trại đa tài khoản là một hoạt động tạo ra và vận hành nhiều tài khoản để thu gom lợi ích theo từng tài khoản ở quy mô lớn. Nó hiệu quả vì hầu hết các ưu đãi khuyến mãi bị chặn dựa trên các tín hiệu danh tính rẻ tiền để chế tạo — một địa chỉ email, một số điện thoại, một thẻ — và không được chặn ở thứ thực sự đắt đỏ để làm giả: thiết bị vật lý và mạng đứng sau tài khoản.

Kinh tế học chi phối tất cả. Nếu một ưu đãi trị giá 20 đô la và một trang trại có thể chế tạo một tài khoản đủ điều kiện với vài đô la chi phí email dùng một lần, số điện thoại ảo và băng thông proxy, thì mỗi tài khoản là biên lợi nhuận thuần cho kẻ tấn công và tổn thất thuần cho bạn. Trang trại mở rộng cho đến khi hoặc ưu đãi cạn kiệt, hoặc chi phí biên của một tài khoản mới vượt quá khoản chi trả của nó. Nhiệm vụ của bạn là nâng chi phí biên đó lên — làm cho mỗi tài khoản giả bổ sung đắt đỏ đủ để kinh tế học của nó sụp đổ.

Trang trại trải dài từ một cá nhân buồn chán với một trình duyệt và một thư mục các địa chỉ email cho tới các hoạt động được công nghiệp hóa chạy hàng trăm hồ sơ trình duyệt qua công cụ chống phát hiện và các nhóm proxy dân cư. Đầu tinh vi của phổ này chồng lấp nhiều với hạ tầng đằng sau việc lạm dụng dùng thử và trang trại airdrop; cùng những kẻ vận hành đó thường chạy cả ba. Nguyên tắc phát hiện là giống nhau trên toàn phổ, đó là lý do phát hiện đa tài khoản và lạm dụng dùng thử SaaS chia sẻ một lõi phòng thủ chung, và tại sao kháng Sybil cho airdrop là cùng một vấn đề khoác chiếc áo khác.

Trang trại đa tài khoản thực sự vận hành ra sao

Để đánh bại một trang trại, bạn phải hiểu dây chuyền lắp ráp. Mỗi công đoạn tồn tại để đánh bại một trong các cổng danh tính mà bạn đã đặt trên ưu đãi.

Chế tạo danh tính. Trang trại cần một danh tính mới, có vẻ hợp lý cho mỗi tài khoản. Các tên miền email dùng một lần và catch-all, thủ thuật subaddressing trên các nhà cung cấp thật, các tài khoản email đã lâu năm mua theo lô số lượng lớn, và số điện thoại ảo hoặc đi thuê để xác minh SMS. Mục tiêu là vượt qua kiểm tra email và điện thoại ở quy mô lớn với chi phí thấp.

Phương tiện thanh toán, khi được yêu cầu. Nếu ưu đãi cần một thẻ, các trang trại chuyển sang bộ tạo thẻ ảo, thẻ trả trước, và ngày càng nhiều là một vòng luân chuyển các phương tiện trông có vẻ hợp lệ. Việc kiểm tra thẻ chặn được trang trại ngây thơ và làm chậm trang trại tinh vi, nhưng không chặn được nó — thông tin thanh toán dùng một lần là hàng hóa phổ thông.

Đa dạng mạng. Một trăm tài khoản từ một IP là dấu hiệu thô thiển nhất có thể, nên các trang trại luân chuyển địa chỉ. Các nhóm proxy dân cư là công cụ được ưa chuộng, cho mỗi tài khoản một IP người dùng mới, sạch, phù hợp về mặt địa lý. Điều này đánh bại việc giới hạn tốc độ và kiểm tra danh tiếng dựa trên IP, bởi địa chỉ đứng sau mỗi tài khoản trông giống một người thật khác nhau.

Đa dạng trình duyệt và thiết bị. Các trang trại tinh vi nhất biết rằng thiết bị là nơi chúng dễ bị tổn thương, nên chúng đầu tư vào các trình duyệt chống phát hiện giả mạo tín hiệu fingerprint — luân chuyển kết quả canvas và WebGL, User-Agent, kích thước màn hình, múi giờ và font chữ — để làm cho mỗi hồ sơ trình duyệt trông giống một thiết bị riêng biệt. Đây là biên giới của cuộc chạy đua vũ trang, và là nơi fingerprinting ngây thơ thất bại còn phát hiện dựa trên tính nhất quán chứng minh giá trị của mình.

Điều phối. Gắn kết tất cả lại là tự động hóa điều khiển toàn bộ quy trình — tạo tài khoản, giải các thử thách, nhận ưu đãi và thường là rút tiền — trên toàn đội hồ sơ. Ở quy mô lớn, điều này trông giống một vấn đề bot, nhưng bản thân các tài khoản được thiết kế để trông như được vận hành thủ công.

Toàn bộ khoản đầu tư của trang trại đổ vào một mục tiêu: làm cho N tài khoản trông giống N người riêng biệt. Mọi thứ ở trên đều là biện pháp đối phó với một cổng cụ thể. Điều đó có nghĩa là chiến lược phát hiện là tìm ra cổng mà trang trại không thể gian lận một cách rẻ tiền.

Làm thế nào để phát hiện trang trại đa tài khoản?

Bạn phát hiện chúng bằng cách từ chối đánh giá từng tài khoản một cách riêng lẻ và thay vào đó gộp các danh tính được chế tạo trở lại về thực tế dùng chung đứng sau chúng — thiết bị, ngăn xếp mạng, và tính nhất quán giữa những gì một tài khoản tuyên bố với những gì bộ máy của nó tiết lộ. Sức mạnh của trang trại là sự đa dạng danh tính; điểm yếu của nó là việc tái sử dụng hạ tầng. Phát hiện là nghệ thuật nhìn thấy sự tái sử dụng xuyên qua sự đa dạng.

Các cổng danh tính là cần thiết nhưng chưa đủ, và cần thành thật về lý do tại sao:

• Kiểm tra email (danh sách tên miền dùng một lần, phát hiện catch-all, tuổi và danh tiếng) nâng chi phí của các trang trại thô thiển nhất nhưng bị đánh bại bởi các tài khoản lâu năm và subaddressing.
• Xác minh số điện thoại nâng chi phí lên thêm nhưng bị đánh bại bởi các dịch vụ số ảo.
• Kiểm tra thẻ (phân tích BIN, phát hiện thẻ trả trước) nâng chi phí lên lần nữa nhưng bị đánh bại bởi việc luân chuyển thẻ ảo.

Mỗi cổng là một gờ giảm tốc thực sự. Không cổng nào là một bức tường, bởi mỗi cổng nhắm vào một tín hiệu mà trang trại có thể mua để đi vòng qua. Xếp chồng chúng lại thì bạn chặn được đám nghiệp dư; những kẻ chuyên nghiệp bước qua. Bức tường là lớp mà trang trại tái sử dụng.

Danh tính thiết bị xuyên qua lớp ngụy trang

Cốt lõi của việc phát hiện là một fingerprint thiết bị ổn định sống sót qua các nỗ lực ngụy trang của trang trại. Các trình duyệt chống phát hiện luân chuyển các tín hiệu dễ dàng ở lớp trình duyệt — nhưng chúng vật lộn để giữ mọi lớp nhất quán cùng một lúc. Khi một hồ sơ tuyên bố là macOS Safari nhưng bộ kết xuất WebGL của nó báo cáo driver Linux, hoặc chữ ký âm thanh của nó nói là Windows, thì lớp ngụy trang không nhất quán, và các lỗi thiếu nhất quán tụ lại trên lưu lượng của trang trại theo cách mà chúng không bao giờ xảy ra trên người dùng thật. Một mô hình đối sánh dựng trên các tín hiệu xuyên lớp gán cùng một danh tính thiết bị nền tảng cho các hồ sơ mà trang trại có ý định làm cho trông riêng biệt. Đột nhiên "năm trăm khách hàng riêng biệt" của bạn thu về còn một nhúm thiết bị.

Phân tích đồ thị xuyên các tài khoản

Ngay cả khi một trang trại thành công trong việc thay đổi thiết bị ở mức nào đó, các tài khoản vẫn rò rỉ các thuộc tính dùng chung: một thiết bị lặp lại, một ngăn xếp mạng, một fingerprint thanh toán, một nhịp điệu hành vi, các tương quan thời gian về thời điểm tài khoản được tạo và ưu đãi được nhận. Liên kết các tài khoản vào một đồ thị trên các cạnh dùng chung này phơi bày cụm. Một tài khoản gian lận đơn lẻ gần như vô hình; một trang trại là một thành phần được kết nối dày đặc mà khách hàng hợp lệ không bao giờ hình thành. Đây là trọng tâm của phân tích đồ thị thiết bị — quy mô của trang trại, vốn là sức mạnh kinh tế của nó, trở thành bề mặt phát hiện nó.

Tính nhất quán của mạng

Proxy dân cư cho mỗi tài khoản một IP sạch, nhưng ngăn xếp mạng đứng sau nó — fingerprint TLS và TCP, hình học thời gian, sự không khớp giữa vị trí mà điểm ra của proxy tuyên bố với độ trễ thật của kết nối — phản bội bộ chuyển tiếp. Một trang trại chạy hàng trăm hồ sơ qua một nhóm proxy tạo ra các lỗi thiếu nhất quán ở lớp mạng mà một cơ sở khách hàng thật không tạo ra.

Vận tốc và hành vi tại thời điểm nhận ưu đãi

Các trang trại có một nhịp điệu. Những đợt bùng nổ tạo tài khoản, các ưu đãi được nhận trong một cửa sổ thời gian chật hẹp kể từ khi đăng ký, các mẫu tương tác hiệu quả theo cách mà người dùng mới thật sự không có — người thật khám phá, do dự và lang thang; các tài khoản của trang trại tiến thẳng đến khoản chi trả. Chấm điểm các tín hiệu vận tốc và hành vi này ngay tại thời điểm chính xác ưu đãi được nhận sẽ bắt được nhịp điệu của một hoạt động tối ưu hóa cho thông lượng.

Cưỡng chế ở đâu: thời điểm nhận ưu đãi

Việc phát hiện chỉ hữu ích nếu nó chạy ở đúng điểm, và đối với lạm dụng khuyến mãi thì điểm đó là thời điểm lợi ích được nhận — đăng ký, đổi mã giảm giá, chi trả giới thiệu, kích hoạt dùng thử — chứ không phải một công việc theo lô chạy hằng đêm gắn cờ tổn thất sau khi nó đã mất. Một trang trại đã rút tiền xong là một báo cáo, không phải một sự phòng thủ.

Mẫu hình cưỡng chế là một phán quyết thời gian thực tại thời điểm nhận, với các tín hiệu nền tảng đính kèm để một con người có thể xem xét các trường hợp ranh giới thay vì chặn hàng loạt. Bởi vì phát hiện lạm dụng khuyến mãi mang một chi phí dương tính giả thực sự — một khách hàng mới hợp lệ bị từ chối oan một ưu đãi chào mừng là một ấn tượng đầu tiên tệ và một vòng đời bị mất — mục tiêu là một phản ứng phân cấp: cho phép các lượt nhận sạch, thử thách các lượt mơ hồ bằng xác minh bổ sung, và chỉ chặn các cụm trang trại có độ tin cậy cao. Sự phân cấp đó phụ thuộc vào việc chấm điểm xuyên các lớp độc lập ở trên, để một tín hiệu lành tính đơn lẻ (một IP hộ gia đình dùng chung, một mẫu laptop công ty phổ biến) không trừng phạt một người thật, trong khi một chồng các lỗi thiếu nhất quán trên cùng một lượt nhận thì có.

Lớp	Biện pháp đối phó của trang trại	Điều vẫn phơi bày nó
Email / điện thoại	Số dùng một lần + số ảo	Cổng cần thiết, không phải tường
Thanh toán	Luân chuyển thẻ ảo	Tái sử dụng fingerprint thanh toán
IP	Nhóm proxy dân cư	Tính nhất quán TLS/TCP + thời gian
Trình duyệt	Giả mạo fingerprint chống phát hiện	Lỗi thiếu nhất quán xuyên lớp
Đồ thị danh tính	Thuộc tính đa dạng theo tài khoản	Cạnh thiết bị dùng chung ở quy mô

Điều này có nghĩa gì với người phòng thủ

Nếu các con số đổi ưu đãi khuyến mãi của bạn trông khỏe mạnh nhưng các nhóm khách hàng không bao giờ giữ chân được và kinh tế đơn vị trên người dùng thu hút qua khuyến mãi bị âm, thì rất có thể bạn có một trang trại đang chuyển ngân sách marketing của bạn thành doanh thu của chúng, và bảng điều khiển đổi ưu đãi đang che giấu điều đó bởi mỗi tài khoản giả trông ổn khi xét riêng lẻ. Cách khắc phục là ngừng đánh giá từng tài khoản một và bắt đầu gộp chúng về thiết bị dùng chung, thực tế mạng và tính nhất quán — rồi cưỡng chế một phán quyết phân cấp tại thời điểm ưu đãi được nhận.

Smart Signals của Tracio phơi bày chính xác các cạnh mà trang trại không thể giấu — danh tính thiết bị dùng chung xuyên qua các lớp ngụy trang chống phát hiện, tính nhất quán ngăn xếp mạng đằng sau các proxy luân chuyển, và vận tốc tại thời điểm nhận ưu đãi — và trả về một phán quyết thời gian thực cho lạm dụng khuyến mãi kèm các tín hiệu đính kèm, để bạn có thể cho phép khách hàng mới thật, thử thách các trường hợp mơ hồ, và chặn trang trại mà không trừng phạt người chỉ muốn nhận khoản giảm giá chào mừng của họ.

Muốn thấy trang trại đang ẩn nấp trong lưu lượng khuyến mãi của bạn? Bắt đầu dùng thử miễn phí — miễn phí 2.500 lượt xác minh — hoặc đặt lịch demo để chạy phát hiện đồ thị thiết bị và tính nhất quán trên luồng đổi ưu đãi của bạn.