Mehrfachkonten auf Belohnungsseiten erkennen

Warum Mehrfachkonten teurer sind, als sie aussehen

Auf einer Belohnungsseite ist jedes Konto bares Geld wert: Anmeldebonus, tägliche Boni, Empfehlungsprovisionen und vor allem die Einnahmen aus Angeboten. Wer zwanzig Konten eröffnet, kassiert all das zwanzigmal. Zahlt jedes Konto 5 $ im Monat aus, gehen 100 $ im Monat an eine einzige Person, und nichts davon beruht auf echter Nutzung.

Die zweite Rechnung kommt später. Offerwall-Netzwerke prüfen den Traffic, den Sie ihnen schicken. Sehen sie viele Conversions vom selben Gerät oder aus demselben Haushalt, stornieren sie diese Conversions, oft Wochen nachdem Sie den Nutzer längst ausgezahlt haben. Schicken Sie solchen Traffic weiter, kann das Netzwerk Ihre Vergütungen senken oder Ihr Konto schließen.

Empfehlungsprogramme verschärfen das Problem. Wer seine eigenen Konten wirbt, erhält Provision auf jedes Angebot, das diese Konten abschließen. Dieselbe gefälschte Aktivität wird also doppelt bezahlt. Ranglisten und Gewinnspiele trifft es genauso: Ein Ring aus Konten kann Ihren echten, treuen Nutzern die vorderen Plätze wegnehmen.

Die Signale, die Konten miteinander verknüpfen

Kein einzelnes Signal beweist, dass zwei Konten derselben Person gehören. Was funktioniert, ist die Kombination mehrerer unabhängiger Signale, gewichtet danach, wie schwer sie zu fälschen sind und wie oft auch unbescholtene Nutzer sie teilen.

Beachten Sie: Ausgerechnet die IP-Adresse, auf die sich die meisten Seiten verlassen, ist das schwächste Signal. Mobilfunkanbieter bündeln Tausende Kunden hinter einer Handvoll IP-Adressen, sodass sich zwei völlig Fremde beim selben Anbieter eine IP teilen können. Auszahlungsadressen und Geräte sind deutlich aussagekräftiger.

Manuelle Prüfungen, die Sie heute schon durchführen können

Um die schlimmsten Fälle zu finden, brauchen Sie keine spezielle Software. Ein paar Abfragen auf Ihrer eigenen Datenbank fördern in der Regel die größten Ringe zutage.

1. Auszahlungen nach Auszahlungsadresse gruppieren. Jede Adresse, die Geld für mehr als ein Konto erhalten hat, verdient einen genaueren Blick. Diese eine Abfrage findet oft schon den Großteil des Betrugs.
2. E-Mails normalisieren und gruppieren. Entfernen Sie bei Gmail die Punkte und alles nach einem Pluszeichen und schreiben Sie die Adresse klein. Suchen Sie dann nach Zahlenfolgen wie name1, name2, name3 auf derselben Domain.
3. Anmeldungen nach IP-Adresse und Tag gruppieren. Fünf Anmeldungen von einer IP innerhalb einer Stunde sind verdächtiger als fünf über einen Monat verteilt.
4. Den Empfehlungsbaum durchgehen. Achten Sie auf Werber, deren geworbene Nutzer sich alle von derselben IP oder demselben Gerät angemeldet und an ähnliche Adressen ausgezahlt haben.
5. User-Agents und Bildschirmgrößen vergleichen. Identische Browserversion, Sprache, Zeitzone und Bildschirmgröße bei Konten, die im Abstand weniger Minuten angelegt wurden, sind ein Muster, das eine Prüfung wert ist.

-- Payout addresses shared by more than one account
SELECT payout_address,
       COUNT(DISTINCT user_id) AS accounts,
       SUM(amount)             AS paid
FROM cashouts
WHERE status = 'paid'
GROUP BY payout_address
HAVING COUNT(DISTINCT user_id) > 1
ORDER BY paid DESC;

Faustregeln, die ehrliche Nutzer schützen

Zu harte Sperren kosten Sie echte Nutzer und bringen Ihnen schlechte Bewertungen in genau den Foren ein, in denen sich Ihre künftigen Nutzer informieren. Mit diesen Regeln halten Sie Fehlalarme gering.

• Sperren Sie nie allein aufgrund der IP. Geteilte IPs sind in Mobilfunknetzen, in Wohnheimen und hinter Privacy-Relays völlig normal.
• Verlangen Sie zwei unabhängige Signale, bevor Sie sperren, zum Beispiel ein geteiltes Gerät plus eine geteilte Auszahlungsadresse.
• Erst zurückhalten, dann sperren. Halten Sie die Auszahlung an und bitten Sie um eine kurze Überprüfung. Echte Nutzer antworten, Farmen ziehen meist einfach weiter.
• Behandeln Sie Haushalte fair. Zwei Geschwister an einem Computer sind kein Betrugsring. Ein Haushalt mit zehn Konten schon.
• Führen Sie eine Wartezeit für neue Konten ein. Eine erste Auszahlung wenige Stunden nach der Anmeldung ist ein Muster, auf das Kontenfarmen angewiesen sind.
• Sperren Sie den ganzen Cluster, nicht nur ein Konto. Entfernen Sie nur ein Konto, verdienen die anderen neunzehn einfach weiter.

Wie Kontenfarmer der Erkennung ausweichen und was sie trotzdem verrät

Erfahrene Farmer kennen die Grundlagen. Sie löschen Cookies, surfen im privaten Modus, wechseln ständig die Proxys und legen neue Auszahlungsadressen an. Jeder Trick verbirgt ein Signal, hinterlässt aber meist ein anderes.

• Cookies löschen oder der private Modus entfernen gespeicherte IDs, doch die Geräteeigenschaften bleiben gleich. Und ein Gerät, das immer wieder mit leerem Speicher auftaucht, ist selbst ein Signal.
• Antidetect-Browser verändern den Gerätefingerprint, erzeugen aber oft Kombinationen, die es auf keinem echten Gerät gibt, etwa einen Handybildschirm mit einer Desktop-Grafikkarte.
• Emulatoren und virtuelle Maschinen lassen einen Computer als viele Handys auftreten, hinterlassen aber Spuren, die echte Hardware nicht hat.
• Residential Proxys geben jedem Konto eine saubere private IP, doch Zeitzone, Sprache, Gerät und das Timing bei den Angeboten passen weiterhin zusammen.
• Neue Auszahlungsadressen kappen die stärkste Verbindung. Aber auch Farmen müssen Geld bewegen, und ihre Konten zahlen meist im selben Rhythmus aus.

Ehrlich gesagt: Ein Browser-Fingerprint lässt sich fälschen, deshalb kann kein Tool mit Gewissheit zusagen, dass es sich um dasselbe Gerät handelt. Die Erkennung funktioniert, weil mehrere Signale übereinanderliegen. Allen gleichzeitig auszuweichen kostet dann mehr, als der Betrug einbringt.

So automatisiert CashoutGuard die Erkennung

CashoutGuard führt diese Prüfungen bei jedem Event durch. Sie binden ein Script in Ihre Seiten ein und rufen von Ihrem Server aus eine API auf: bei Anmeldung, Login, Angebotsklick, Conversion und Auszahlung. Jeder Aufruf liefert eine Entscheidung (allow, review oder block), einen Score von 0 bis 100 und die Gründe dafür.

{
  "decision": "review",
  "score": 72,
  "reasons": ["device_shared_with_accounts", "payout_address_shared"],
  "device": { "accounts_on_device": 4 }
}

• device_shared_with_accounts und payout_address_shared verknüpfen Konten genau wie die manuellen Prüfungen oben, nur eben bei jedem Event.
• email_shared und email_disposable erkennen die E-Mail-Tricks, wobei E-Mails nur als Hashes gespeichert werden.
• Der Graph der verknüpften Konten zeigt, welche Konten sich ein Gerät, eine Auszahlungsadresse oder eine E-Mail teilen. So sperren Sie einen ganzen Cluster mit einem Klick.
• Auszahlungen landen in einer Prüfwarteschlange, mit allen Belegen vor Augen: freigeben, zurückhalten oder ablehnen.

Neue Seiten starten im Schattenmodus (Shadow Mode): Alles wird bewertet, aber niemand wird blockiert, bis Sie sich entscheiden, die Regeln durchzusetzen. Der kostenlose Tarif deckt 1.000 monatlich aktive Nutzer mit allen Signalen ab. Die vollständige Integration finden Sie in der Dokumentation, die Tarife unter Preise.