Rilevare il multi-accounting: come individuare account duplicati sulle reti condivise

Il multi-accounting è una sfida concreta per molte piattaforme online: dall’e-commerce al gaming, fino ai servizi finanziari. Può aggirare le policy di utilizzo corretto, facilitare attività fraudolente e alterare le metriche di business. Attributi individuali come indirizzi email o ID dispositivo sono spesso usati per il rilevamento, ma possono essere cambiati o mascherati con relativa facilità. Un approccio più robusto consiste nell’analizzare i segnali a livello di rete, soprattutto quando più account provengono dalla stessa infrastruttura condivisa o vi transitano attraverso.

In questo articolo vediamo le strategie tecniche per identificare il multi-accounting osservando le caratteristiche di rete condivise, distinguendo l’attività legittima da quella sospetta.

Il problema: nascondersi dietro infrastrutture condivise

Chi crea più account con finalità abusive cerca spesso di nascondere la propria origine reale. Per farlo utilizza diversi tipi di infrastrutture di rete condivise:

• Proxy pubblici/VPN: strumenti molto comuni per ruotare indirizzi IP e offuscare la provenienza.
• TOR Exits: reti di anonimizzazione che instradano il traffico attraverso più nodi, facendolo uscire da un nodo condiviso da molti utenti.
• Proxy residenziali: IP assegnati a utenti domestici, ma controllati da un servizio proxy. Sono particolarmente insidiosi perché, a prima vista, sembrano connessioni legittime.
• IP datacenter: IP non residenziali usati spesso per hosting, servizi cloud o automazione su larga scala. Possono essere perfettamente leciti in alcuni contesti, ma per account consumer rappresentano spesso un campanello d’allarme.
• Reti WiFi condivise: hotspot pubblici, reti aziendali o istituti scolastici in cui molti utenti legittimi condividono lo stesso indirizzo IP esterno.

L’obiettivo è distinguere l’uso condiviso benigno di un IP, ad esempio più membri di una famiglia che accedono a un servizio di streaming, dal multi-accounting malevolo, come un singolo soggetto che crea decine di account per scopi illeciti.

Segnali di rete per rilevare il multi-accounting

Un rilevamento efficace nasce dalla correlazione di segnali diversi e dalla capacità di leggerli nel giusto contesto. Ecco gli indicatori principali da monitorare:

1. Tipo e classificazione dell’IP

Classificare un indirizzo IP è il primo passo. Una API di IP intelligence può indicare se un IP è:

• Proxy/VPN: segnala esplicitamente che l’IP appartiene a un provider proxy o VPN noto. È un indicatore forte di un tentativo di mascherare l’origine.
• TOR Exit: indica traffico in uscita dalla rete TOR. Non è necessariamente malevolo, ma resta un segnale ad alto rischio per via delle sue caratteristiche di anonimizzazione.
• Datacenter: IP appartenente a un provider hosting o cloud. Gli utenti legittimi raramente accedono a servizi consumer direttamente da IP datacenter.
• Residenziale: in genere considerato a basso rischio, ma i proxy residenziali complicano il quadro. Serve quindi un’analisi più approfondita.

Gli account che si registrano o accedono con regolarità da IP proxy, VPN o datacenter dovrebbero essere segnalati. Il punto chiave sono i pattern: più account distinti che provengono dagli stessi tipi di IP ad alto rischio, o che alternano sistematicamente queste infrastrutture, sono molto sospetti.

2. Autonomous System Number (ASN) e organizzazione

Un ASN identifica una rete all’interno del sistema di routing di Internet. Analizzare l’ASN e l’organizzazione associata può far emergere pattern importanti:

• Diversità vs. omogeneità degli ASN: se più account vengono creati da IP appartenenti a molti ASN diversi, soprattutto residenziali, potremmo trovarci davanti a una base utenti legittimamente distribuita. Se invece molti account apparentemente scollegati provengono da IP sotto lo stesso singolo ASN noto per ospitare proxy o VPN, il segnale è molto più forte.
• Reputazione dell’ISP: alcuni ISP sono noti per tollerare più facilmente abusi o per gestire servizi popolari tra i frodatori, come il bulletproof hosting. Segnalare gli account provenienti da questi ASN è una misura preventiva utile.

3. Reverse DNS (rDNS) Hostname

Il rDNS risolve un indirizzo IP nel relativo nome di dominio. Può offrire un contesto prezioso:

• Hostname generici: hostname rDNS come dsl-123-45-67-89.ispname.net sono tipici delle connessioni residenziali. Gli account che provengono da questi IP tendono a essere meno rischiosi, se anche gli altri segnali sono puliti.
• Hostname sospetti: hostname che contengono parole come proxy, vpn, tor, cloud, vps, server, oppure nomi macchina molto generici, ad esempio ec2-xx-xx-xx-xx.compute-1.amazonaws.com, sono indicatori forti di traffico non residenziale o offuscato.
• Assenza di rDNS: la mancanza completa di un record rDNS, soprattutto per un indirizzo IPv4, può essere talvolta un segnale debole ma utile, perché molti ISP residenziali e business legittimi lo configurano.

4. IP Risk Score

Molti servizi di IP intelligence forniscono un punteggio numerico di rischio. Questo score aggrega diversi fattori, come blacklist, attività malevole note, frequenza delle segnalazioni di abuso, presenza in liste di TOR exit e rilevamento di proxy, trasformandoli in una metrica operativa.

• Soglie di intervento: definire una soglia di risk score. Gli account che interagiscono con la piattaforma da IP sopra questa soglia meritano un controllo più attento.
• Rischio aggregato: se più account, pur usando indirizzi IP diversi, mostrano costantemente punteggi di rischio elevati, può trattarsi di un’azione coordinata condotta tramite IP compromessi o acquistati da fonti ad alto rischio.

5. Incoerenze di geo-localizzazione

Pur non riguardando direttamente le reti condivise, il dato geografico completa l’analisi dei segnali di rete:

• Impossible Travel: un account che accede da una città A e, due ore dopo, da una città B a migliaia di chilometri di distanza è sospetto. Il dato va correlato con il tipo di IP: se l’IP nella città B è una VPN, il rischio aumenta sensibilmente.
• Discrepanza geografica a livello di rete: quando la posizione dichiarata dall’utente non è coerente con la localizzazione dell’IP. Ad esempio, un utente che dichiara di trovarsi a Londra ma si connette tramite un IP datacenter a Francoforte.

Strategie di implementazione

Integrare questi segnali richiede un approccio a livelli:

• Definire una baseline dell’attività legittima: capire quali sono le caratteristiche IP tipiche della propria base utenti. Quale percentuale usa rete mobile, banda larga residenziale, VPN aziendali? Questa baseline aiuta a riconoscere le anomalie.
• Integrare una API in tempo reale: collegare una API di IP intelligence nei punti critici, ad esempio registrazione account, login e transazioni di valore. In questo modo è possibile valutare immediatamente gli IP in ingresso.
• Motore di correlazione: sviluppare o adottare un sistema capace di correlare eventi su più account. Per esempio, individuare 10 nuovi account registrati in un’ora da IP diversi, ma tutti appartenenti allo stesso ASN riconducibile a un provider proxy, oppure tutti con risk score oltre una determinata soglia.
• Livelli di azione: definire risposte progressive in base al rischio. Un segnale a basso rischio può attivare un CAPTCHA, uno medio può richiedere l’autenticazione a più fattori, mentre uno alto può portare a una revisione dell’account o al blocco immediato.

Esempio pratico:

Un servizio di streaming nota un pattern: in una settimana vengono registrati oltre 50 nuovi account. Ogni account usa un indirizzo IP diverso. Tuttavia, l’analisi dei dati di IP intelligence mostra che:

• Tutti i 50 IP sono classificati come 'datacenter' o 'VPN exit'.
• Gli ASN di 40 di questi IP appartengono a due noti provider di cloud hosting.
• Gli hostname rDNS includono spesso termini come vps, server o cloud.
• Il risk score medio di questi IP è significativamente più alto rispetto alla baseline della piattaforma per le nuove registrazioni.
• Nonostante la distribuzione geografica degli IP, tutti gli account usano convenzioni di naming o pattern di indirizzi email molto simili.

Questa combinazione di segnali indica con forza un’attività coordinata di multi-accounting e consente alla piattaforma di segnalare e investigare gli account in modo molto più efficiente rispetto a un approccio basato solo sugli attributi del singolo profilo.

Limiti e aspetti da considerare

• Falsi positivi: reti condivise legittime, come grandi università o reti aziendali, possono generare segnalazioni. Un’analisi granulare, la conoscenza della propria base utenti e l’uso combinato di più segnali, non solo il tipo di IP ma anche reputazione ASN e risk score, aiutano a ridurre il problema.
• Proxy residenziali: restano difficili da individuare. Anche se appaiono residenziali, il loro uso programmatico tende spesso a produrre anomalie comportamentali che, combinate con l’IP intelligence, possono comunque renderli visibili.
• Tattiche in evoluzione: gli attori malevoli si adattano continuamente. Monitorare l’emergere di nuovi servizi proxy e i pattern di abuso a livello di rete è fondamentale.

Conclusione

Rilevare il multi-accounting significa andare oltre gli attributi del singolo account e adottare una solida intelligence a livello di rete. Combinando classificazione IP, analisi degli ASN, rDNS e risk scoring, le organizzazioni possono migliorare in modo significativo la capacità di individuare account duplicati che operano attraverso reti condivise o offuscate.

Guarda.net ha eseguito oltre 0 lookup, offrendo dati dettagliati di IP intelligence per aiutare team tecnici come il nostro a costruire sistemi più resilienti. Puoi provare un controllo IP gratuito dalla homepage per vedere il tipo di dati disponibili.