チェックアウトの前に住所と記載された郵便番号が一致するか確認する
注文フォームの郵便番号と市区町村の不一致は、小さな入力ミスに見えますが、やがて国内のまったく別の地域に荷物が送られる事態につながります。
共有IPレンジから不正グループを検出する
偽アカウントが1つだけなら厄介ごとで済みます。すべて無関係に見える十数個の偽アカウントが、実はすぐ隣り合ったネットワークアドレスからログインしていると気づいたなら、それは組織的な活動です。あるマーケットプレイスの信頼と安全のチームは、IPアドレスを孤立したデータ点としてではなく、それが属するネットワークという観点から見始めたところ、まさにこのパターンを見つけるようになりました。
フラグが立てられたアカウントは、個別に見るとどれも明らかに怪しいものではありませんでした。メールアドレスも、名前も、出品カテゴリーも異なっていました。それらを結びつけるものが見えてきたのは、チームが各アカウントのログインIPアドレスを/v1/ipで解決し、アドレスそのものとあわせてASNとorganizationのフィールドを確認し、それらのアドレスがどのネットワーク範囲に含まれるかでアカウントをグループ化し始めてからでした。
これは、My Geocode自体の無料枠の仕組みの背景にある考え方でもあります。利用量は、個々のアドレスごとに完全に別々に扱うのではなく、IPv4アドレスでは/24ネットワークごと、IPv6では/48ごとにカウントされ、同じネットワークのアドレスを使うすべてのアカウントやキーで共有されます。ネットワーク上で近いアドレスは、実際に同じまとまりに属する傾向があります。それが世帯であれ、オフィスであれ、あるいはあまり好ましくないケースでは、自分が管理する狭い範囲のアドレスから多数のアカウントを運用する1人の運営者であれ、同じです。正当な無料枠の利用をまとめてグループ化するのと同じロジックは、表面上は異なるアカウント情報の陰に隠れた不正グループを見つけるのにも同じようにうまく機能します。
このマーケットプレイスのチームは、簡単なレポートを作りました。無関係な理由で不審な活動としてフラグが立てられたアカウントの集まりについて、それらのログインIPアドレスが同じネットワーク範囲に異常なほど密集していないかを確認するものです。その際、ASNとorganizationのデータを、たまたま地理的に近いだけで、実際には無関係な別のプロバイダーに属するアドレスとの照合に使いました。同じホスティング事業者のASN上で狭いアドレス空間を共有するアカウントの集まりは、国が同じというだけの集まりとはまったく異なる、はるかに強いシグナルでした。国が同じというだけなら、何百万もの無関係な正当なアカウントも当てはまるからです。
確認された集まりに対しては、グループ全体を一斉に停止する措置がとられました。以前は、1つのアカウントを停止すると、1週間後にほぼ同じアカウントが隣のアドレスから現れるというパターンでした。共有された範囲で活動するグループからアカウントを1つずつ削除しても、運営者は代わりのアカウントを作り、すぐ隣のアドレスから登録して活動を続けるだけだったからです。
チームは、ネットワーク上の近さだけに頼りすぎないよう注意していました。正当な活動の多くも実際にネットワーク範囲を共有しているからです。大きなオフィス、大学、あるいは携帯通信事業者の共有アドレスプールでは、この同じ尺度で見ると密集しているように見えるアドレスの背後に、多数の無関係な正当なユーザーがいることがあります。ネットワークの密集は、それだけで自動的に停止を発動するものとしてではなく、人による確認の優先度を上げるシグナルの1つとして使われました。
調査はすべてのログインではなく、すでにほかの理由でフラグが立てられたアカウントに対してのみ実行されたため、その量はマーケットプレイス全体のトラフィックに比べて小さく、マーケットプレイスのキーに含まれる1日の無料枠に十分収まりました。関係するフィールドのドキュメントは/docs/ipv4-lookup/と/docs/ipv6-lookup/に、レート制限の動作は/docs/rate-limits/にあります。