Un faux compte isolé est une nuisance. Une douzaine de faux comptes qui semblent sans lien, jusqu'à ce que vous remarquiez qu'ils se connectent depuis des adresses réseau voisines, constituent une opération coordonnée, et l'équipe confiance et sécurité d'une place de marché a commencé à repérer précisément ce schéma dès qu'elle s'est mise à considérer les adresses IP en fonction du réseau auquel elles appartiennent plutôt que comme des données isolées.
Pris un par un, aucun des comptes signalés ne paraissait manifestement suspect. Adresses e-mail différentes, noms différents, catégories d'annonces différentes. Ce qui les reliait n'est devenu visible que lorsque l'équipe a commencé à résoudre les adresses IP de connexion de chaque compte via /v1/ip, à examiner les champs ASN et organisation en plus de l'adresse elle-même, puis à regrouper les comptes selon la plage réseau dans laquelle se trouvaient ces adresses.
C'est aussi le raisonnement qui sous-tend le fonctionnement du quota gratuit de My Geocode : l'utilisation est comptée par réseau /24 pour les adresses IPv4 et par /48 pour l'IPv6, partagée entre tous les comptes ou clés utilisant des adresses de ce même réseau, plutôt que traitée de façon entièrement séparée pour chaque adresse individuelle. Des adresses proches sur un réseau vont réellement souvent ensemble, qu'il s'agisse d'un foyer, d'un bureau ou, dans des cas moins innocents, d'un seul opérateur qui gère de nombreux comptes depuis une plage étroite d'adresses qu'il contrôle. La même logique qui regroupe l'utilisation légitime du niveau gratuit fonctionne tout aussi bien pour repérer un réseau de fraude qui se cache derrière des informations de compte superficiellement différentes.
L'équipe de la place de marché a créé un rapport simple : pour tout ensemble de comptes signalés pour activité suspecte pour des raisons sans rapport, vérifier si leurs adresses IP de connexion se regroupaient de façon inhabituellement serrée sur les mêmes plages réseau, en utilisant les données d'ASN et d'organisation pour écarter les adresses simplement proches géographiquement mais appartenant à des fournisseurs différents et sans lien. Un groupe de comptes partageant une petite portion d'espace d'adressage sur l'ASN d'un même hébergeur constituait un signal très différent et bien plus fort qu'un groupe qui partageait simplement un pays, ce que feraient aussi des millions de comptes légitimes sans lien entre eux.
Les groupes confirmés ont donné lieu à une suspension coordonnée de tout le réseau en une seule fois, au lieu du schéma précédent consistant à bannir un compte et à voir apparaître une semaine plus tard un compte presque identique depuis une adresse voisine. En effet, supprimer un à un les comptes d'un réseau opérant sur une plage partagée permettait aux opérateurs de créer simplement un remplaçant, de s'inscrire depuis l'adresse d'à côté et de continuer.
L'équipe a pris soin de ne pas s'appuyer uniquement sur la proximité réseau, car une grande partie de l'activité légitime partage réellement des plages réseau : un grand bureau, une université ou le pool d'adresses partagé d'un opérateur mobile peuvent placer de nombreux utilisateurs légitimes sans lien derrière des adresses qui paraissent regroupées selon ce même critère. Le regroupement réseau servait de signal augmentant la priorité d'un dossier pour un examen humain, et non de déclencheur de bannissement automatique à lui seul.
Le volume d'enquêtes restait faible par rapport au trafic total de la place de marché, puisqu'elles ne portaient que sur des comptes déjà signalés pour d'autres raisons plutôt que sur chaque connexion, ce qui le maintenait largement dans le quota quotidien gratuit inclus avec la clé de la place de marché. La documentation des champs concernés se trouve sur /docs/ipv4-lookup/ et /docs/ipv6-lookup/, et le comportement des limites de débit sur /docs/rate-limits/.