Una sola cuenta falsa es una molestia. Una docena de cuentas falsas que parecen no tener relación entre sí, hasta que te das cuenta de que inician sesión desde direcciones de red contiguas, es una operación coordinada, y el equipo de confianza y seguridad de un marketplace empezó a encontrar exactamente este patrón en cuanto comenzó a analizar las direcciones IP según la red a la que pertenecían, en lugar de como datos aislados.
Por separado, ninguna de las cuentas señaladas parecía claramente sospechosa. Correos electrónicos distintos, nombres distintos, categorías de anuncios distintas. Lo que las conectaba solo se hizo visible cuando el equipo empezó a consultar las direcciones IP de inicio de sesión de cada cuenta en /v1/ip, a mirar los campos de ASN y organización junto con la propia dirección, y después a agrupar las cuentas según el rango de red en el que caían esas direcciones.
Este es también el razonamiento detrás de cómo funciona la cuota gratuita de My Geocode: el uso se cuenta por red /24 para las direcciones IPv4 y por /48 para IPv6, y se comparte entre todas las cuentas o claves que usan direcciones de esa misma red, en lugar de tratar cada dirección individual como algo totalmente independiente. Las direcciones cercanas en una red realmente tienden a ir juntas, ya sea un hogar, una oficina o, en casos menos inocentes, un único operador que gestiona muchas cuentas desde un rango estrecho de direcciones que controla. La misma lógica que agrupa el uso legítimo del nivel gratuito funciona igual de bien para detectar una red de fraude que se esconde tras datos de cuenta superficialmente distintos.
El equipo del marketplace creó un informe sencillo: para cualquier conjunto de cuentas señaladas por actividad sospechosa por motivos no relacionados, comprobar si sus direcciones IP de inicio de sesión se concentraban de forma inusualmente estrecha en los mismos rangos de red, usando los datos de ASN y organización como contraste frente a direcciones que simplemente estaban cerca geográficamente pero pertenecían a proveedores distintos y sin relación. Un grupo de cuentas que compartía una franja estrecha del espacio de direcciones en el ASN del mismo proveedor de hosting era una señal muy distinta y mucho más fuerte que un grupo que simplemente compartía país, algo que también harían millones de cuentas legítimas sin relación entre sí.
Los grupos confirmados dieron lugar a una suspensión coordinada de toda la red a la vez, en lugar del patrón anterior de bloquear una cuenta y ver aparecer una casi idéntica una semana después desde una dirección contigua, ya que eliminar una a una las cuentas de una red que operaba en un rango compartido había permitido a los operadores crear simplemente una cuenta de reemplazo, registrarla desde la dirección de al lado y seguir adelante.
El equipo tuvo cuidado de no depender en exceso solo de la proximidad de red, ya que mucha actividad legítima comparte realmente rangos de red: una oficina grande, una universidad o el grupo de direcciones compartidas de un operador móvil pueden poner a muchos usuarios legítimos sin relación entre sí detrás de direcciones que parecen agrupadas según este mismo criterio. La agrupación por red se usó como una señal que aumentaba la prioridad de un caso para su revisión por una persona, no como un desencadenante automático de bloqueo por sí sola.
El volumen de investigaciones era pequeño en relación con el tráfico total del marketplace, ya que solo se ejecutaba sobre cuentas ya señaladas por otros motivos y no en cada inicio de sesión, lo que lo mantenía holgadamente dentro de la cuota diaria gratuita incluida con la clave del marketplace. La documentación de los campos implicados está en /docs/ipv4-lookup/ y /docs/ipv6-lookup/, y el comportamiento del límite de frecuencia en /docs/rate-limits/.