Kostenlose Testphasen werden auf vorhersehbare Weise missbraucht: Dieselbe Person registriert sich immer wieder, jedes Mal mit einer anderen E-Mail-Adresse und über ein VPN, damit jede Registrierung so aussieht, als käme sie von einem neuen, nicht zusammenhängenden Ort. Ein Abodienst bemerkte, dass seine Umwandlungsrate von Testphasen zu zahlenden Kunden schlechter aussah, als sie sein sollte, und stieß beim Durchforsten der rohen Registrierungsdaten auf das eigentliche Problem: Ein beträchtlicher Teil der Testphasen sollte nie zu einem Abo werden, weil es immer dieselbe Handvoll Personen war, die sich wiederholt durch den kostenlosen Zeitraum arbeitete.
Verraten hat das die IP-Adresse hinter jeder Registrierung. Ein Aufruf von /v1/ip liefert für eine Adresse Land, Region, Stadt, Koordinaten, ASN und Organisation, und mit mg_extras=1 oder dem Header X-MG-Extras zusätzlich Bedrohungs- und Netzwerkdetails, die Adressen markieren, die bekanntermaßen zu VPN-Exit-Nodes, offenen Proxys oder anderer Anonymisierungsinfrastruktur gehören. Normale Kunden, die sich über ihren Anschluss zu Hause oder im Büro registrieren, lösen das so gut wie nie aus. Wer dagegen über einen kommerziellen VPN-Dienst rotiert, um immer wieder dieselbe Testphase zu beanspruchen, löst es jedes Mal aus.
Das Unternehmen blockierte VPN-Registrierungen nicht pauschal, denn viele legitime Kunden nutzen aus ganz normalen Datenschutzgründen ein VPN, und ein pauschales Blockieren hätte echtes Geschäft gekostet. Stattdessen erhielt eine Registrierung, die als von VPN- oder Proxy-Infrastruktur stammend markiert war, eine abgespeckte Version der Testphase, die zwar noch ausreichte, um das Produkt zu bewerten, aber so begrenzt war, dass sich wiederholter Missbrauch kaum noch lohnte, während eine nicht markierte Registrierung die volle Testphase bekam. Allein diese Unterscheidung beseitigte den Großteil des wirtschaftlichen Anreizes hinter dem Missbrauchsmuster, ohne die Erfahrung eines normalen Kunden zu beeinträchtigen, der aus ganz anderen Gründen gerade ein VPN nutzte.
Das Team kombinierte dies mit einer zweiten Prüfung: Es betrachtete, wie viele Registrierungen für Testphasen innerhalb kurzer Zeit denselben Netzbereich teilten, und nutzte die Felder ASN und Organisation, um Adressen zu gruppieren, die zur selben Infrastruktur gehörten, auch wenn die konkrete IP-Adresse jedes Mal eine andere war. Genau aus diesem Grund zählt auch das kostenlose Kontingent von My Geocode die Nutzung pro /24-Netz bei IPv4 und pro /48 bei IPv6: Adressen, die im Netz nah beieinanderliegen, gehören meist zusammen. Eine Häufung von Registrierungen aus demselben engen Bereich innerhalb kurzer Zeit war ein deutlich stärkeres Signal als jede einzelne markierte Adresse für sich.
Das Ganze lief vollständig serverseitig, direkt bei der Registrierungsanfrage, ohne Browserskript und ohne dass die sich registrierende Person etwas davon bemerkte. Es war außerdem günstig. Eine Abfrage pro Registrierung hielt den Dienst in den meisten Monaten deutlich innerhalb des kostenlosen Tageskontingents, das zu seinem Schlüssel gehört, und die übliche Prepaid-Option deckte jede Spitze rund um eine Marketingaktion ab, die eine Welle neuer Registrierungen auslöste, ob legitim oder nicht.
Der allgemeine Gedanke gilt über kostenlose Testphasen hinaus: Jedes Angebot, das wertvoll genug ist, um es mehrfach in Anspruch zu nehmen, ob Empfehlungsbonus, Rabatt auf die erste Bestellung oder begrenzter kostenloser Tarif, zieht genau diese Art von Missbrauch an, und die IP-Adresse hinter der Registrierung ist oft das günstigste verfügbare Signal, um ihn zu erkennen, bevor er echte Kosten verursacht. Details zum Extras-Feld und zu beiden Adressfamilien finden Sie unter /docs/ipv4-lookup/ und /docs/ipv6-lookup/.