Caso de estudio: el 98% de las cuentas de riesgo de una red de 270 publishers tenía una IP limpia
Cuatro semanas después del primer caso de estudio, la misma red de offerwalls ha enviado a CashoutGuard 25.040 conversiones de 270 sitios publisher, 69.311 cuentas y 96 países. Esto es lo que mostraron 28 días de datos reales, del 28 de septiembre al 26 de octubre de 2026.
Respuesta corta
En 28 días en una red de offerwalls con 270 sitios publisher, CashoutGuard puntuó 25.040 conversiones y marcó 5.525 (el 22 por ciento, 4.193 $ en pagos) de 10.537 cuentas de riesgo. El 98 por ciento de esas cuentas tenía una IP limpia, sin rastro de VPN, proxy, datacenter ni Tor. Las delataron sus dispositivos.
- Escala
- 25.040 conversiones por 36.249 $ en pagos, 109.850 clics en ofertas, 69.311 cuentas y 60.807 dispositivos en 96 países.
- Marcadas
- 5.525 conversiones (22%) de 10.537 cuentas: 3.678 a nivel de bloqueo y 1.847 para revisión.
- IP limpias
- El 98% de las cuentas marcadas no tenía rastro de VPN, proxy, datacenter ni Tor en su IP.
- Anillos de dispositivos
- 720 dispositivos con tres cuentas o más: 3.288 cuentas en total, el mayor con 53 en un solo dispositivo.
- Contracargos
- Los anunciantes revirtieron 38 de las 5.525 conversiones marcadas. El 97% de todas las reversiones vino de 10 publishers.
El punto de partida
La red envía ofertas de muchos anunciantes a 270 sitios publisher: sitios GPT, apps de recompensas y sitios de encuestas. Cada publisher tiene sus propios usuarios, así que la red ve un ID de usuario por publisher, nunca a la persona que hay detrás. Una persona puede registrarse en varios sitios, y un móvil puede llevar cuentas en todos ellos.
CashoutGuard funciona dentro del offerwall de la red. La comprobación del dispositivo se hace al abrir el muro, los clics en ofertas se puntúan cuando ocurren y cada postback de conversión se puntúa antes de acreditarse. Las cuentas se guardan por publisher, así que el mismo ID de usuario en dos sitios son dos cuentas, mientras que un dispositivo detrás de ambas sigue siendo un solo dispositivo.
La red aplicó decisiones sobre las conversiones durante una semana al principio, como cuenta el primer caso de estudio. Desde el 9 de octubre funciona en modo sombra: cada evento se puntúa y se registra, y no se bloquea nada. Los umbrales son los de por defecto y no se escribió ninguna regla a mano. La red no se nombra aquí.
El titular: el 22% de las conversiones vino de cuentas de riesgo
| 28 días, del 28 de septiembre al 26 de octubre de 2026 | Resultado |
|---|---|
| Sitios publisher con tráfico | 270 |
| Clics en ofertas puntuados | 109.850 |
| Conversiones puntuadas | 25.040 (36.249 $ en pagos) |
| Cuentas y dispositivos | 69.311 cuentas en 60.807 dispositivos |
| Países | 96 |
| Conversiones a nivel de bloqueo | 3.678 (14,7%) |
| Conversiones enviadas a revisión | 1.847 (7,4%) |
| Pagos de las conversiones marcadas | 4.193 $ (11,6% de los pagos) |
| Cuentas marcadas | 10.537 |
Las conversiones marcadas eran más baratas que la media: el 22% de las conversiones pero el 11,6% del dinero. La mayor parte del riesgo estaba en ofertas cortas y de pago bajo, las que es fácil completar una y otra vez desde cuentas nuevas.
Por qué una comprobación de IP habría dejado pasar al 98%
De las 10.537 cuentas marcadas, solo 208 tenían algo raro en su IP: una VPN conocida, un proxy, un datacenter o Tor. Las otras 10.329, el 98%, venían de conexiones domésticas y móviles normales. Una consulta de reputación de IP las habría dado por buenas.
Lo que las delató fue el dispositivo y el navegador:
| Motivo en las conversiones marcadas | Conversiones |
|---|---|
| Mismo dispositivo que otras cuentas | 4.381 |
| Reloj del navegador de otro país que la IP | 727 |
| IP real filtrada por el navegador, en otro país | 705 |
| Idioma del navegador de otro país que la IP | 657 |
| Modelo de móvil falseado | 564 |
| Móvil en la nube | 499 |
| Almacenamiento borrado, el mismo dispositivo vuelve como usuario nuevo | 417 |
| La misma oferta ya completada por otra cuenta del dispositivo | 314 |
| Ventana de navegación privada | 313 |
| Perfil de emulador por defecto | 283 |
Una conversión puede tener varios motivos, así que la columna suma más de 5.525.
720 dispositivos detrás de tres cuentas o más
La señal más fuerte por sí sola fue un dispositivo detrás de varias cuentas. Estaba en 4.381 de las 5.525 conversiones marcadas, el 79%. CashoutGuard encontró 720 dispositivos que llevaban tres cuentas o más cada uno, 3.288 cuentas en total. La mayoría de los anillos eran pequeños, con una mediana de tres cuentas, pero 40 dispositivos llevaban diez o más, y el mayor llevaba 53.
En una red esto importa por partida doble. Dentro de un publisher, un anillo es una persona cobrando las mismas ofertas varias veces. Entre publishers, es la misma persona en varios sitios, algo que ningún publisher puede ver por separado. La red es la única que ve el anillo completo, así que es el lugar natural para pararlo.
Móviles en la nube, emuladores y modelos falseados
- 1.451 cuentas usaron un móvil en la nube: un Android en un centro de datos, alquilado por horas y manejado desde un PC. De él se clonan "dispositivos" nuevos en segundos.
- 650 cuentas usaron un emulador: un Android simulado en un ordenador que declara un modelo por defecto muy conocido.
- 564 conversiones vinieron de un modelo de móvil falseado: el navegador decía ser un móvil, pero su chip gráfico era de otro hardware.
Ninguno de estos casos es una persona con un móvil en la mano. Y son difíciles de ocultar: cambiar la IP cuesta un clic en el panel de un proxy, mientras que cambiar lo que declara el chip gráfico exige una herramienta antidetección, y esas herramientas dejan sus propias huellas.
Lo que pillan los contracargos y lo que se les escapa
En esos mismos 28 días, los anunciantes revirtieron 239 conversiones, el 0,95% del total. El 97% de esas reversiones vino de solo 10 publishers. Los anunciantes revierten según sus propias comprobaciones de atribución e instalación, y esas señalan a unas pocas fuentes de tráfico malas.
No pillaron el abuso descrito arriba. De las 5.525 conversiones marcadas, los anunciantes revirtieron 38, por 49 $. Los contracargos no son una red de seguridad contra multicuentas, móviles en la nube y emuladores: la mayor parte de ese tráfico nunca se revierte. El sitio para pararlo es antes de que se mueva el dinero, en el postback o en el retiro.
Lecciones para otras redes
- No te fíes de la IP. El 98% de las cuentas de riesgo tenía una IP limpia.
- Mira los dispositivos entre publishers. Una red ve anillos que ningún publisher ve por separado.
- Puntúa la conversión antes de pagarla. Los contracargos de los anunciantes dejaron pasar casi todo este tráfico.
- Vigila las reversiones por publisher. Diez publishers causaron el 97% de las reversiones.
- Empieza en modo sombra. Cuatro semanas de datos, umbrales por defecto y ninguna regla escrita a mano.
Haz la misma prueba en tu red
Todo sitio nuevo en CashoutGuard empieza en modo sombra. Las redes pueden conectarse con el relay de postbacks sin código, o llamar a /v1/evaluate desde su servidor, y ver los resultados en el panel el mismo día. Consulta CashoutGuard para redes de offerwall, la documentación o los precios. Para saber qué pasó cuando esta red activó el bloqueo, lee el primer caso de estudio.