Caso de estudio: 1 de cada 5 cuentas era una VPN, una granja de móviles o una multicuenta
Una red de offerwall con tráfico sobre todo de Estados Unidos conectó CashoutGuard y lo dejó en modo sombra durante sus primeras 24 horas. No se bloqueó nada. Cada evento se puntuó y se registró. Al final del día, 46 de 218 cuentas estaban marcadas para revisión o bloqueo. Esto es lo que mostraron los datos.
Respuesta corta
En sus primeras 24 horas en modo sombra en una red de offerwall con tráfico de EE. UU., CashoutGuard marcó 46 de 218 cuentas (el 21 por ciento, más o menos 1 de cada 5) para revisión o bloqueo, sin bloquear a nadie.
- Redes de fraude
- 5 redes de varias cuentas en el mismo dispositivo.
- Idiomas de navegador extranjeros
- 60 eventos con el idioma del navegador de otro país distinto al de la IP.
- Señales de dispositivo
- 16 eventos con un modelo de móvil falseado, 15 con modelos que solo se venden en China fuera de China, 8 con perfiles de emulador por defecto.
- Primeros tres días
- Se habrían bloqueado 389 de 3.419 conversiones, 251 $ en pagos.
- Primeros cuatro días en Enforce
- 348 de 3.976 conversiones retenidas antes del pago: 410 $ de 6.797 $, de 239 cuentas.
El punto de partida
El operador gestiona una red de offerwall con tráfico sobre todo de Estados Unidos. Las ofertas estadounidenses, que pagan bien, la convierten en un objetivo natural para usuarios de fuera de EE. UU., para granjas de multicuentas y para montajes con emuladores. El operador sospechaba que había fraude, pero no sabía cuánto.
Añadieron el recolector JavaScript de CashoutGuard a sus páginas y llamaron a /v1/evaluate desde su servidor en eventos de usuario como clics en ofertas, conversiones y retiros. Después dejaron el sitio en modo sombra. La red no se nombra aquí, y todas las cifras siguientes cubren solo esa primera ventana de 24 horas.
Qué es el modo sombra
El modo sombra significa que CashoutGuard puntúa cada evento pero nunca le dice a tu sitio que bloquee nada. Cada evento recibe igualmente una puntuación de riesgo de 0 a 100 y una lista de motivos. El operador lo ve todo en el panel, pero los usuarios no notan ninguna diferencia.
Existe por una razón sencilla. Antes de dejar que un sistema bloquee a personas reales, conviene ver qué haría con tu propio tráfico. El modo sombra responde tres preguntas sin riesgo:
- ¿Cuánto fraude hay? Una cifra real en lugar de una suposición.
- ¿De qué tipo? VPN, granjas, emuladores, ofertas rápidas o una mezcla.
- ¿Las reglas perjudicarían a usuarios honrados? Puedes revisar a mano las cuentas marcadas antes de aplicar nada.
Cuando el operador está tranquilo, pasa al modo Enforce y las decisiones empiezan a aplicarse.
Cómo se construye una puntuación
Cada señal tiene un peso. Una sola señal débil, como una zona horaria algo desviada, mueve poco la puntuación. Varias señales en el mismo evento se suman, así que una cuenta con un idioma de navegador extranjero, un modelo de móvil falseado y un dispositivo compartido queda mucho más alta que una cuenta con solo una de ellas. Los motivos aparecen junto a cada puntuación, para que quien revisa vea por qué se marcó una cuenta en lugar de fiarse de un número.
El titular: 46 de 218 cuentas
En 24 horas CashoutGuard analizó 218 cuentas. Marcó 46 para revisión o bloqueo. Es el 21 por ciento, más o menos 1 de cada 5 cuentas.
| Hallazgo | Cantidad |
|---|---|
| Cuentas analizadas | 218 |
| Cuentas marcadas para revisión o bloqueo | 46 (21%) |
| Redes de fraude (varias cuentas en el mismo dispositivo) | 5 |
| Eventos con el idioma del navegador de otro país | 60 |
| Eventos con un modelo de móvil falseado | 16 |
| Eventos con modelos que solo se venden en China, fuera de China | 15 |
| Eventos con perfiles de emulador por defecto | 8 |
| Ofertas completadas a una velocidad imposible | 17+ |
Tras tres días: el dinero
El operador mantuvo el modo sombra. En los tres primeros días CashoutGuard puntuó 3.419 conversiones de 5.687 cuentas. Habría bloqueado 389 y enviado otras 457 a revisión.
| Primeros tres días | Resultado |
|---|---|
| Conversiones puntuadas | 3.419 |
| Se habrían bloqueado | 389 (11,4%) |
| Enviadas a revisión | 457 (13,4%) |
| Pago de las conversiones bloqueadas | 251 $ de 2.867 $ (8,8%) |
| Cuentas detrás | 443 de 5.687 |
Casi todas las conversiones bloqueadas (384 de 389) venían de un dispositivo compartido por varias cuentas, la firma de una granja de móviles o de emuladores. Otros motivos en esas mismas conversiones eran un reloj o un idioma del navegador de otro país distinto al de la IP, perfiles de emulador por defecto, dispositivos que borraban su almacenamiento y volvían como usuario nuevo, y navegadores manipulados.
Son unos 80 $ al día de pagos que la red habría retenido, más de 2.000 $ al mes.
Cinco redes de fraude en dispositivos compartidos
El grafo de cuentas vinculadas encontró 5 redes de fraude. En cada una, varias cuentas se usaban desde el mismo dispositivo. Para el operador parecían usuarios distintos con historiales distintos. En el grafo, cada una era un solo grupo.
Las redes importan más que las cuentas sueltas. Quitar una cuenta de una red deja a las demás ganando. Ver el grupo entero permite al operador decidir sobre todas a la vez.
Idiomas de navegador de otro país
La señal más frecuente fue el idioma. 60 eventos llegaron de navegadores cuyo idioma indicaba un país distinto al de la IP. Por ejemplo, ar-IQ y ar-EG en direcciones IP de EE. UU.
Una IP de EE. UU. con el navegador en árabe de Irak o de Egipto no prueba un fraude. Hay usuarios expatriados o bilingües. Pero en una red cuyo valor está en las ofertas estadounidenses, es una pista fuerte de que el usuario está fuera de EE. UU. y se conecta a través de una VPN o un proxy. Una comprobación de IP por sí sola no lo ve. El navegador, sí.
Móviles falseados, modelos solo de China y emuladores
Tres señales de dispositivo apuntaban a granjas y emuladores:
- 16 eventos con un modelo de móvil falseado. El dispositivo decía ser un modelo, pero su chip gráfico era de otro hardware. Los móviles reales no hacen eso. Las herramientas antidetección y las granjas que rotan nombres de modelo, sí.
- 15 eventos con modelos que solo se venden en China, fuera de China. Estos modelos solo se venden en China continental. Vistos en tráfico de EE. UU., apuntan a dispositivos baratos comprados al por mayor para una granja.
- 8 eventos con perfiles de emulador por defecto. Los emuladores de Android en un PC declaran modelos y compilaciones por defecto muy conocidos. No son móviles reales.
Cada una de estas señales podría tener, en casos raros, una explicación inocente. Juntas, y sumadas a las redes y a los idiomas que no cuadran, describían una actividad organizada y no usuarios normales.
Las señales de dispositivo son además las más difíciles de limpiar para un estafador. Cambiar la IP cuesta un clic en el panel de un proxy. Cambiar el chip gráfico que declara un navegador, o el mercado donde se vendió un móvil, es mucho más difícil. Por eso son útiles incluso cuando las señales de red parecen normales.
Ofertas completadas a una velocidad imposible
Más de 17 conversiones llegaron mucho más rápido de lo que un usuario real puede completar la oferta. CashoutGuard compara cada conversión con el tiempo transcurrido desde el clic en esa oferta y con lo que es normal para ella.
Las conversiones rápidas son justo lo que buscan los anunciantes cuando revierten pagos. Detectarlas en modo sombra mostró al operador qué ofertas se estaban explotando, antes de que la red lo señalara.
Qué hizo después el operador
El modo sombra no decide nada por ti. Te da la lista. A grandes rasgos, el operador hizo dos cosas:
- Revisó la cola. Repasó las cuentas y los retiros marcados en la cola de revisión, con los motivos de cada uno delante.
- Activó Enforce solo para las conversiones. Los clics, registros e inicios de sesión siguieron en modo sombra. Solo se permitió bloquear el momento en que un postback iba a pagar a un publisher, con los umbrales por defecto.
Cuatro días de Enforce: los resultados
En los primeros cuatro días con Enforce en las conversiones, la red recibió 3.976 conversiones por 6.797 $ en pagos. CashoutGuard bloqueó 348 antes de acreditar el pago: 410 $, cerca del 6 % del dinero, de 239 cuentas. El otro 94 % se pagó como siempre.
| Motivo más fuerte de la conversión bloqueada | Conversiones |
|---|---|
| Mismo dispositivo que otras cuentas | 212 |
| IP real filtrada por el navegador, en otro país que la IP visible | 66 |
| Granja de móviles detrás de un proxy residencial | 29 |
| Misma oferta ya completada por otra cuenta del dispositivo | 17 |
| Modelo de móvil falseado | 7 |
| Perfil de emulador por defecto | 7 |
Las señales de dispositivo volvieron a hacer casi todo el trabajo: seis de cada diez bloqueos venían de un móvil o un emulador detrás de varias cuentas. Los anunciantes casi nunca revierten este tipo de tráfico: en los primeros 28 días de la red revirtieron 38 de 5.525 conversiones marcadas. Bloquear en el postback es el punto en el que la red todavía puede pararlo.
Las categorías de bloqueo que eligió el operador (Tor, redes de hosting, VPN, emuladores y bots) y los umbrales por defecto bastaron. No se escribió ninguna regla a mano.
Lecciones para otros operadores
- Mide antes de bloquear. Un día de datos en sombra mostró una proporción de fraude que el operador solo intuía.
- Aplica Enforce donde se mueve el dinero. Bloquear solo las conversiones retuvo el 6 % de los pagos y no tocó ningún clic ni registro.
- Mira más allá de la IP. Las comprobaciones de idioma, zona horaria y dispositivo encontraron tráfico que las IP limpias ocultaban.
- Piensa en grupos. Cinco redes eran muchas cuentas, pero solo cinco decisiones.
- La velocidad te dice qué ofertas están en el punto de mira, para protegerlas primero.
- Lee los motivos, no solo la puntuación. Los motivos son lo que permite a quien revisa estar de acuerdo o no con una marca.
Haz la misma prueba con tu tráfico
Todo sitio nuevo en CashoutGuard empieza en modo sombra, así que puedes hacer la misma prueba de 24 horas. Añade el recolector, llama a /v1/evaluate desde tu servidor y lee los resultados en el panel. El plan gratuito cubre hasta 1.000 usuarios activos al mes, y puedes probar el plan Growth gratis 14 días. Consulta la documentación para integrarlo o la página de precios para ver los planes.