Detección de bots y lógica antifraude

Resumen breve

La protección eficaz contra bots y fraudes es una combinación de capas: recolección de señales (cliente, red, dispositivo, comportamiento), puntuación de riesgo en tiempo real, reglas (deterministic) + modelos ML (probabilistic), análisis gráfico de enlaces y rigurosos procesos de escalamiento. El objetivo es bloquear el daño y, al mismo tiempo, conservar el UX y la conversión.

las Amenazas y los vectores

Bots y Scrapers: Registro, Login-Store, Pharm Promocods, Promoción de Balances, Creación Automática de Pujas/Apuestas.
Cuenta Takeover (ATO): credential stuffing, phishing, robo de sesión.
Payment fraud: tarjetas robadas, pruebas de límites, chargeback-farming.
Bonus abuse: multiacaunting, «familias» de dispositivos/direcciones, proxy/emuladores.
Affiliate/CPA-abuso: falsos registros/depósitos, click-frod.

Arquitectura antibot/antifraude

1. Sensores y telemetría: frente-JS/SDK (señales humanas), SDK móvil, métricas de red/NTTR, eventos backend.

2. Feature Store (online/offline): normalización, unidades por ventanas T + N (1 min, 1 h, 24 h).

3. Motor de tiempo real: reglas + inferencia ML (baja latencia), orquestación de desafío.

4. Motor gráfico: conexiones de usuario por dispositivo, pagos, IP/ASN, cookies, direcciones.

5. Almacenamiento de incidentes y marcas: formación activa de modelos, RCA.

6. Orkestrator de las respuestas: blok/chellendzh/zamorozka/limit/ruchnaya la comprobación.

7. Observabilidad/SLO: métricas de calidad (TP/FP/FN), tiempo de decisión, impacto en la conversión.

Señales e «impresiones»

Cliente y dispositivo

Fingerprint de dispositivo: Derivaciones de agente de usuario, plataforma/CPU/GPU, renderizado de Canvas/WebGL, fuentes, timezone, lenguaje, sensores; resistencia a la rotación.
Altavoz del navegador: eventos ratón/ratón, velocidad/ritmo de entrada, enfoque/blur, skroll, secuencias de transición, patrones idle.
Métricas móviles: jailbreak/root, signos emulatorios, banderas debag, señales SDK.
Red: IP/ASN/geo, proxy/VPN/hosting-ASN, frecuencia de cambio IP, estabilidad RTT, impresión JA3/TLS.

Comportamiento y contexto empresarial

Velocity-métricas (registros/logins/depósitos/apuestas por ventana).
Anomalías de zonas temporales/local/moneda, no coincidencia del dispositivo geo.
Patrones repetitivos de rutas/consultas, secuencias de formularios (típicos de scripts).
Economía de la acción: inconsistencia LTV, combinaciones no naturales de promociones/conclusiones.

Análisis gráfico (familias y clústeres)

Vértices: usuarios, dispositivos, IP/ASN, herramientas de pago, direcciones, cookies.
Costilla: «lógica con», «paga a través», «comparte el dispositivo», «coincide la huella dactilar».

• 'k-core ≥ 3' usuarios por herramienta de pago → verificación manual.
• Componente de conectividad con tamaño> X creado tras <24 h → congelar la promo y el rugido KYC.
• Alta centralización por nodo IP (índice Gini) en el área de registro → desafío antibot.

Reglas (determinista) y puntuación (ML)

Características del enfoque híbrido

Reglas: rápido y explicable (CUS/cumplimiento, bloque «de frente»).
ML: atrapa «zonas grises» y nuevos patrones; trabajar en modo shadow antes de activar las acciones.

Reglas típicas (ejemplo de pseudocódigo)

yaml
- id: ATO_LoginBurst when:
path: "/login"
failures_last_10m_by_ip > 20 distinct_accounts_last_10m_by_ip > 5 action: challenge_mfa

- id: Bonus_MultiAccount when:
promo_code = "WELCOME100"
devices_shared_with_accounts >= 2 first_deposit_time_delta < 10m action: freeze_bonus_and_review

- id: Payment_CardTesting when:
card_decline_rate_30m_by_ip > 0. 6 unique_cards_attempted_30m_by_ip > 5 action: block_24h_and_notify

Ficha ML (con ejemplos)

Temporalidad: frecuencias/intervalos, estacionalidad por hora/día.
Categóricos: ASN, país, dispositivo, navegador.
Gráfico: node degree, clustering coefficient, pagerank nodo IP/dispositivos.
Técnico: duración de la sesión, entropía de los datos introducidos, rareza de secuencias de clics.
Financiero: cheque medio, varianza, time-to-withdraw, porcentaje de rechazos de pago.

Soft: JS-challenge, proof-of-work, revalidación de correo electrónico/teléfono, límite de velocidad/cuota.
Strong: MFA/JIT-KYC, congelación temporal de fondos/bonos, ban temporal.
Adaptive: crecimiento del umbral de alto riesgo (TOR/hosting ASN), hojas grace para VIP/partners.
Principios de UX: verificaciones invisibles por defecto; Los desafíos explícitos son sólo por riesgo.

Antifraude para promociones y juegos

Integración promocional: límites en la promoción per-device/per-payment-instrument; paquete promocional con estado KYC.
Multiaccounting: gráficos de dispositivo/IP, similitudes de trayectorias de comportamiento; «familia» → límite de recompensas/congelación.
Aumento de ganancias: correlación anómala de apuestas entre cuentas vinculadas → investigación.
iGaming KPI: protección de conversión (registratsiya→depozit), Time-to-Wallet; no «estrangular» a los jugadores legit.

Antifraude de pago (en resumen)

3-D Secure/multifactor: dinámicamente por riesgo.
mTLS/firma de webhooks PSP: obligatorio.
Idempotencia: clave para las operaciones de retiro/depósito.
Señales de pago: BIN/issuer, resultados AVS/CVV, tasa de fallas, geo-inconsistencia.

Datos, fichas, ventanas de agregación

Unidades en línea (baja latencia): 1/5/15 minutos para velocity, singularidad, fallos.
Near-real-time: 1-24 horas para promo y bonus-lógica.
Fichas offline: 7-90 días para la formación de modelos.
Calidad de los datos: desduplicación de eventos, protección contra re-entrega, esquemas de validación.

Observabilidad, SLO y métricas de calidad

• p95 decisión (antifraude) ≤ 50 ms en vías críticas (inicio de sesión, depósitos).
• Disponibilidad del motor de puntuación ≥ 99. 95 %/mes.
• Proporción de eventos «incógnito» sin fich ≤ 0. 1%.

• TP/FP/FN sobre escenarios de ATA/promo/pagos; business-cost FP.
• Conversion impact (Δ registratsii→depozit, Δ checkout success).
• Challenge Hit-rate (cuántos challenge confirman el riesgo).
• Drift-monitorización (fichas/evaluaciones/latencia).

Privacidad y cumplimiento

Minimización de datos: almacenar exactamente lo necesario; PII - tokenizar/cifrar.
Transparencia: la explicabilidad de las decisiones (especialmente en los fallos y restricciones).
GDPR/PCI DSS: segmentación de dominios de datos, acceso sólo por roles; lógica de acceso y cambios de reglas.
Ética y bias: auditoría periódica de los umbrales fich/discriminación.

Operaciones e incidentes

Runbooks: spike ATO, prueba de tarjetas, asalto promocional, degradación de SDK.
Flags de función: flexibilización/mejora rápida de las reglas, cambio de modelo, «kill-switch» challenge.
Enseñanzas: réplica de ataques históricos, campañas «grises», deriva repentina de signos.
RCA/marcado: los casos fronterizos marcan y devuelven al dataset de formación (aprendizaje activo).

Ejemplos de artefactos

1) Agregados SQL para puntuación (concepto)

sql
-- velocity of logins by IP in 10 minutes
SELECT COUNT() AS logins_10m
FROM auth_events
WHERE ip =:ip AND ts > now() - interval '10 minutes';

-- unique accounts by device_id in 24 hours
SELECT COUNT(DISTINCT user_id) AS accounts_24h
FROM sessions
WHERE device_id =:device_id AND ts > now() - interval '24 hours';

2) Regla en OPA/Rego (simplificado)

rego package antifraud. login

default action:= "allow"

high_risk_ip {
input. ip. asn in {"AS9009, ""AS14061,"" AS16509"} # example input. metrics. failures_10m_by_ip > 20 input. metrics. distinct_accounts_10m_by_ip > 5
}

action:= "challenge_mfa" { high_risk_ip }

3) Pseudocodo de orquestación Challenge

python risk = score(features) # 0..1 if risk >= 0. 9: block()
elif risk >= 0. 7: challenge("MFA")
elif risk >= 0. 5: throttle(rate="low")
else: allow()

Errores típicos

La apuesta es solo para el capchu: los bots la eluden; necesita una pila multifactorial de señales.
Largos retrasos en la puntuación: se rompe el UX, crece el fracaso.
Globe Bans IP/ASN para siempre: corta el tráfico de legit; utilice TTL y revisión.
No hay grafo: los multiaccounts permanecen «invisibles».
Reglas duras sin Canarias/sombra: un repunte de FP en venta.
Ciclo de fidbeck cero: los modelos no se vuelven a incrustar, las reglas no se actualizan.

Hoja de ruta de implementación

1. Inventario de vías de riesgo: registro, inicio de sesión, promoción, depósitos/retiros.
2. Recolección de señales y SDK: front-JS/mobile, red, eventos de servidor; un circuito único.
3. Fichero en línea: ventanas de 1/5/15/60 minutos; deduplicación y SLA fich.
4. Perfil básico de reglas: velocity + anomalías + heurísticas gráficas simples.
5. ML en modo sombra: comparar ROC/PR, evaluar el efecto de negocio, habilitar parcialmente.
6. Gráfico-análisis: agrupamiento de familias, etiquetado automático cuando se confirma manualmente.
7. Orquestación de respuestas: matriz (risk×stsenary→deystviye), control A/B en UX.
8. Observabilidad y SLO: dashboards de calidad y técnicas, alerting, pools de prueba post-incidente.
9. Privacidad/cumplimiento: minimización de PII, tokenización, acceso por roles, reporting.

Resultado

Un sistema antifraude fuerte es un circuito multicapa y adaptativo donde los sensores y el comportamiento se convierten en fiches, las decisiones son tomadas por un híbrido de reglas y ML, y el gráfico de conexiones identifica familias de abuso. Agregue una orquestación de respuesta de tiempo real, observabilidad con SLO y privacidad, y proporcionará un equilibrio entre seguridad, UX y métricas de negocio, incluso bajo la presión de robots y redes de frod bien organizadas.