共有ネットワークから見抜く複数アカウント検知：重複アカウントを特定する実践的アプローチ

複数アカウント、いわゆるマルチアカウントは、EC、ゲーム、金融サービスなど、さまざまなオンラインプラットフォームにとって根深い課題です。利用規約に基づく公平性を損ない、不正行為の温床となり、分析データにもゆがみを生みます。

メールアドレスやデバイスIDなど、ユーザー単位の属性を手がかりに検知する方法は一般的ですが、こうした情報は比較的簡単に回避されます。より堅牢な対策には、ネットワークレベルのシグナル、とりわけ複数のアカウントが同じ、あるいは類似した共有ネットワーク基盤を経由しているかどうかを分析する視点が欠かせません。

本記事では、proxy、VPN、データセンターIPなどの共有ネットワーク特性を読み解き、正当な利用と疑わしい複数アカウント運用を見分けるための技術的アプローチを整理します。

The Problem: Obfuscation Through Shared Infrastructure

複数のアカウントを作成する攻撃者や不正利用者は、多くの場合、自分の本来の接続元を隠そうとします。その際によく使われるのが、次のような共有ネットワーク基盤です。

• Public Proxies/VPNs: IPアドレスのローテーションや接続元の難読化に広く使われる手段です。
• TOR Exits: 複数のリレーを経由して通信を匿名化し、多数の利用者が共有する出口ノードからアクセスが発生します。
• Residential Proxies: 一見すると一般家庭向け回線に見えるIPですが、実際にはproxyサービスによって制御されています。正規ユーザーの通信に見えやすく、特に判別が難しいタイプです。
• Datacenter IPs: ホスティング事業者、クラウドサービス、大規模な自動化基盤で使われる非住宅系IPです。用途によっては正当ですが、個人向けサービスのアカウント利用では注意すべき兆候になり得ます。
• Shared WiFi Networks: 公共Wi-Fi、企業ネットワーク、教育機関など、多数の正規ユーザーが同一の外部IPを共有する環境です。

重要なのは、共有IPの利用そのものを悪とみなすことではありません。たとえば家族が同じ回線で動画サービスを使うケースと、ひとりの不正利用者が何十ものアカウントを作成するケースを、どのように切り分けるかが実務上のポイントです。

Network Signals for Multi-Accounting Detection

精度の高い検知には、複数のネットワークシグナルを相関させ、その背景を正しく解釈することが必要です。特に注目したい指標は次の通りです。

1. IP Type and Classification

まず基礎となるのが、IPアドレスの種別分類です。IPインテリジェンスAPIを使うことで、IPを次のように分類できます。

• Proxy/VPN: 既知のproxyまたはVPN事業者に属するIPかどうかを識別します。接続元を隠そうとしている可能性を示す強いシグナルです。
• TOR Exit: TORネットワークの出口ノードからの通信であることを示します。それ自体が不正とは限りませんが、匿名性が高いためリスクの高いシグナルとして扱われます。
• Datacenter: ホスティング事業者やクラウドサービス由来のIPです。一般ユーザーがコンシューマー向けサービスへデータセンターIPから直接アクセスするケースは多くありません。
• Residential: 通常は低リスクと見なされます。ただしResidential Proxiesの存在により、追加の分析が不可欠です。

proxy、VPN、データセンターIPから継続的に登録やログインを行うアカウントは、フラグ付けの対象にすべきです。特に重要なのはパターンです。複数の別々のアカウントが、これら高リスクなIP種別から発生している、あるいは同種のIPを頻繁に切り替えながら利用している場合、疑わしさは大きく高まります。

2. Autonomous System Number (ASN) and Organization

ASNは、インターネットのルーティング上でネットワークを識別する番号です。ASNと、それに紐づく組織情報を分析すると、単純なIP単位では見えない傾向が浮かび上がります。

• ASN Diversity vs. Homogeneity: 複数のアカウントが、多様なASN、特に住宅系ISPに分散している場合は、単にユーザー層が広いだけかもしれません。一方で、無関係に見える多数のアカウントが、proxyやVPNで知られる同一のASN配下のIPから発生している場合は、強い警戒シグナルになります。
• ISP Reputation: 一部のISPやホスティング事業者は、不正利用への対応が甘い、あるいは不正利用者に好まれるサービスを提供していることで知られています。いわゆるbulletproof hostingのような環境です。こうしたASNからのアクセスを事前にフラグ付けすることは、予防的な対策になります。

3. Reverse DNS (rDNS) Hostname

rDNSは、IPアドレスから対応するドメイン名を逆引きする仕組みです。地味な情報に見えますが、接続元の性質を把握するうえで有用な文脈を与えてくれます。

• Generic Hostnames: dsl-123-45-67-89.ispname.net のようなrDNSホスト名は、一般的な住宅系回線でよく見られます。他のシグナルに問題がなければ、こうした接続元のリスクは比較的低いと判断できます。
• Suspicious Hostnames: proxy、vpn、tor、cloud、vps、server といった語を含むホスト名や、ec2-xx-xx-xx-xx.compute-1.amazonaws.com のような汎用的なマシン名は、非住宅系または難読化された通信を示す有力な手がかりになります。
• Lack of rDNS: 特にIPv4アドレスでrDNSレコードがまったく存在しない場合も、状況によっては注意すべきサインです。多くの正規の住宅系・法人系ISPでは、何らかのrDNS設定が行われているためです。

4. IP Risk Score

多くのIPインテリジェンスサービスは、数値化されたリスクスコアを提供しています。このスコアは、ブラックリスト掲載状況、既知の悪性活動、 abuse 報告の頻度、TOR出口ノードリストへの掲載、proxy検知結果など、複数の要素を統合して算出されます。

• Thresholding: リスクスコアのしきい値を設定します。しきい値を超えるIPから登録、ログイン、取引などが行われた場合は、追加確認の対象にします。
• Aggregate Risk: IPアドレス自体は異なっていても、複数のアカウントが一貫して高いリスクスコアを示す場合、攻撃者が侵害済みIPや購入した高リスクIPを使い分けている可能性があります。

5. Geo-Location Inconsistencies

地理情報は共有ネットワークそのものの指標ではありませんが、ネットワークシグナルを補完する重要な材料です。

• Impossible Travel: あるアカウントがCity Aからログインし、その2時間後に数千キロ離れたCity Bからログインしている場合、不自然な挙動です。ここにIP種別を重ね合わせると、たとえばCity B側がVPNであれば疑いはさらに強まります。
• Network-Level Geo Discrepancy: ユーザーが申告している所在地と、IPから推定されるデータセンター所在地がかみ合わないケースです。たとえばロンドン在住を名乗るユーザーが、フランクフルトのデータセンターIP経由で接続しているような場合です。

Strategies for Implementation

これらのシグナルを実務に組み込むには、単一の判定に頼らないレイヤードな設計が有効です。

• Baseline Legitimate Activity: まず、自社の正規ユーザーにおける一般的なIP特性を把握します。モバイル回線、住宅向けブロードバンド、企業VPNなどがどの程度使われているのかを知ることで、異常値を見つけやすくなります。
• Real-Time API Integration: アカウント登録、ログイン、高額取引などの重要なタイミングでIPインテリジェンスAPIを組み込みます。これにより、アクセスしてきたIPアドレスをリアルタイムに評価できます。
• Correlation Engine: 複数アカウントをまたいでイベントを相関できる仕組みを構築、または導入します。たとえば、1時間以内に10件の新規アカウントが作成され、それぞれ別IPでありながら、すべて同じproxy事業者として知られるASNに属している、あるいは全IPのリスクスコアがしきい値を超えている、といったパターンを検出します。
• Actionable Tiers: リスクに応じた段階的な対応を定義します。低リスクのフラグであればCAPTCHA、中リスクであれば多要素認証、高リスクであればアカウント審査や即時ブロック、といった運用が考えられます。

Example Scenario:

ある動画配信サービスで、1週間に50件を超える新規アカウント登録が発生していることに気づいたとします。各アカウントはそれぞれ異なるIPアドレスを使っています。しかしIPインテリジェンスデータを分析すると、次のような傾向が見えてきました。

• 50個すべてのIPが 'datacenter' または 'VPN exit' に分類されている。
• そのうち40個のIPのASNが、著名なクラウドホスティング事業者2社に集中している。
• rDNSホスト名に vps、server、cloud といった語が一貫して含まれている。
• これらのIPの平均リスクスコアが、同サービスの新規登録における通常のベースラインを大きく上回っている。
• IPの地理的位置は分散しているにもかかわらず、アカウント名やメールアドレスのパターンが似通っている。

これらのシグナルが重なれば、組織的な複数アカウント作成の可能性は非常に高いと判断できます。個別アカウントの属性だけに頼るよりも、はるかに効率よくフラグ付けと調査を進められます。

Limitations and Considerations

• False Positives: 大学、大企業、公共ネットワークなど、正当な共有ネットワークでもフラグが立つことがあります。自社ユーザーの特性を理解し、IP種別だけでなくASNの評判やリスクスコアなど複数のシグナルを組み合わせることで、誤検知を抑えられます。
• Residential Proxies: 依然として難しい領域です。見た目は住宅系IPでも、プログラム的に大量利用されると行動パターンに不自然さが出ます。IPインテリジェンスと行動分析を組み合わせることで、検出の糸口をつかめます。
• Evolving Tactics: 攻撃者の手口は常に変化します。新しいproxyサービスやネットワーク悪用の傾向を継続的に監視することが重要です。

Conclusion

複数アカウント検知では、メールアドレスやデバイスIDといった個別属性だけに頼る段階から一歩進み、ネットワークレベルのインテリジェンスを活用することが求められます。IP分類、ASN分析、rDNS、包括的なリスクスコアを組み合わせることで、共有ネットワークや難読化された経路を使う重複アカウントを、より高い精度で見つけられます。

Guarda.net has run over 0 lookups, providing detailed IP intelligence to help engineers like us build more resilient systems. ホームページでは無料のIPチェックを試すことができ、取得できるデータの内容を確認できます。