Rilevamento dei bot e della logica antifrode

Breve riepilogo

Una protezione efficace da bot e frodi è una combinazione di livelli (client, rete, dispositivo, comportamento), mapping dei rischi in tempo reale, regole (deterministic) + modelli ML (probabilistic), analisi grafica delle relazioni e processi rigorosi di escalation. Lo scopo è quello di bloccare i danni, mantenendo al contempo UX e conversione.

Minacce e vettori

Bot e screen: registrazione, login-eccessivo, pharma di bagnaggio, promozioni di bilanci, automatizzazione delle offerte/scommesse.
Account Takeover (ATO): credential stuffing, phishing, furti di sessione.
Payment fraud: mappe rubate, test dei limiti, chargeback-farming.
Bonus abuse: multi-accunting, «famiglie» di dispositivi/indirizzi, proxy/emulatori.
Affiliate/CPA-abuso: falsi registri/depositi, click-frod.

Architettura antibot/antifrode stack

1. Sensori e telemetria: fronte-JS/SDK (human signals), mobile SDK, network/NTR metriche, backend eventi.

2. Feature Store (online/offline): normalizzazione, unità per le finestre T + N (1 min, 1 h, 24 h).

3. Motore Real Time: regole + ML inference (ritardo basso), orchestrazione challenge.

4. Grafico motore: connessioni utente su dispositivi, pagamenti, IP/ASN, cookie, indirizzi.

5. Archiviazione degli incidenti e marcatura: formazione attiva dei modelli, RCA.

6. L'orchestratore di risposta è un blocco/challenge/congelamento/limite/controllo manuale.

7. Osservabilità/SLO: metriche di qualità (TP/FP/FN), tempo di decisione, impatto sulla conversione.

Segnali e impronte digitali

Client e dispositivo

Device fingerprint: derivazione user-agente, piattaforma/CPU/GPU, rendering di Canvas/WebGL, caratteri, timezone, lingua, sensori; resistenza alla rotazione.
Altoparlante browser: eventi mouse/macchina, velocità/ritmo di input, focus/blur, scroll, sequenze di transizione, idle-pattern.
Metriche mobili: jailbrake/ruth, segni emulatori, bandiere di debag, segnali SDK.
Rete: IP/ASN/geo, proxy/VPN/hosting-ASN, frequenza dei turni IP, stabilità RTT, JA3/TLS.

Comportamento e contesto aziendale

Velocity metriche (registrazione/login/depositi/rate per finestra).
Anomalie delle zone temporali/locali/valute, non corrispondenza del dispositivo geo.
Pattern ripetuti di percorsi/query, sequenze di moduli (tipiche degli script).
Economia d'azione: non conformità LTV, combinazioni innaturali di promo/conclusioni.

Analisi grafica (famiglie e cluster)

I vertici sono: utenti, dispositivi, IP/ASN, strumenti di pagamento, indirizzi, cookie.
Costole: «È andato con», «ha pagato attraverso», «ha diviso il dispositivo», «ha combinato il fingerprint».

• «k-core» 3 utenti per strumento di pagamento, controllo manuale.
• Componente di connettività con dimensioni> X creato in <24 ore per congelare il promo e la gelosia KYC.
• Elevata centralizzazione del sito IP (Gini-Index) nell'area di registrazione dell'antibot challenge.

Regole (determinate) e stesura (ML)

Caratteristiche dell'approccio ibrido

Regole: veloci e spiegabili (CUS/Compilation, blocco frontale).
ML: cattura «zone grigie» e nuovi pattern; lavorare in modalità shadow prima di attivare le azioni.

Regole tipiche (esempio di pseudo-codice)

yaml
- id: ATO_LoginBurst when:
path: "/login"
failures_last_10m_by_ip > 20 distinct_accounts_last_10m_by_ip > 5 action: challenge_mfa

- id: Bonus_MultiAccount when:
promo_code = "WELCOME100"
devices_shared_with_accounts >= 2 first_deposit_time_delta < 10m action: freeze_bonus_and_review

- id: Payment_CardTesting when:
card_decline_rate_30m_by_ip > 0. 6 unique_cards_attempted_30m_by_ip > 5 action: block_24h_and_notify

File ML (con esempi)

Temporali: frequenze/intervalli, stagionalità ore/giorni.
Categorici: ASN, paese, dispositivo, browser.
Grafica: node degree, clustering coefficient, pagerank del nodo IP/dispositivo.
Tecnica: lunghezza della sessione, entropia dei dati immessi, rarità delle sequenze di clic.
Finanziaria: assegno medio, dispersione, time-to-withdraw, percentuale di rifiuti di pagamento.

Challenge e risposte (response orchestration)

Soft: JS challenge, proof-of-work, rivisitazione e-mail/telefono, limite di velocità/quota.
Strong: MFA/JIT-KYC, congelamento temporaneo dei fondi/bonus, ban temporaneo.
Adattive: aumento della soglia a high-risk (TOR/Hosting ASN), fogli grace per VIP/partner.
Principi UX - Controlli predefiniti invisibili chiari challenge, solo a rischio.

Antifrode per promo e gaming

Integratore promozionale: limiti per promo per-device/per-payment-impianto; collegamento promo con lo stato KYC.
Multiplacunting: diagrammi device/IP, traiettorie comportamentali simili; La famiglia ha un limite di premio/congelamento.
Busting vincitrice, correlazione anomala tra gli account collegati, indagine.
iGaming KPI: protezione della conversione (registratsiya→depozit), Time-to-Wallet; Non «strangolare» i giocatori.

Antifrode dei pagamenti (in breve)

3-D Secure/multifattore: dinamico a rischio.
mTLS/firma PSP Web è obbligatoria.
Idampotenza: chiave per le operazioni di output/deposito.
Segnali di pagamento: BIN/issuer, AVS/CVV risultati, velocità di guasto, geo-inadeguatezza.

Dati, fitsestore, finestre di aggregazione

Unità online (low-latency): 1/5/15 minuti per velocity, unicità, guasti.
Near-real-time: 1-24 ore per la logica promozionale e bonus.
Fici offline: 7-90 giorni per l'apprendimento dei modelli.
Qualità dei dati: deduplicazione degli eventi, protezione contro la ricarica, schemi di convalida.

Osservabilità, SLO e metriche di qualità

• p95 decisione (antifrode) per 50 ms su vie critiche (login, depositi).
• La disponibilità del motore è ≥ 99. 95 %/mes.
• La quota «incognito» degli eventi senza fiuto è 0. 1%.

• TP/FP/FN per gli script ATF/promo/pagamenti; business-cost FP.
• Conversion impact ( ), checkout success.
• Hit-rate challenge (quanti challenge confermano il rischio).
• Monitoraggio draft (fici/valutazioni/latitanza).

Privacy e conformità

Ridurre al minimo i dati: conservare esattamente i dati necessari PII - Toccare/cifrare.
Trasparenza: la spiegabilità delle soluzioni (soprattutto in caso di guasti e restrizioni).
GDPR/PCI DSS: segmentazione dei domini dei dati, accesso solo a ruoli logica l'accesso e le modifiche alle regole.
Etica e bias: controllo regolare delle soglie di discriminazione.

Operazioni e incidenti

Runbooks: spike ATO, card-testing, promozione, degrado SDK.
Feature flags: allentamento rapido/rafforzamento delle regole, cambio di modello, «kill-switch» challenge.
Esercitazioni, repliche di attacchi storici, campagne grigie, segni improvvisi di drift.
RCA/Marcatura - Le valigette di bordo vengono contrassegnate e restituite a training-dataset (active learning).

Esempi di manufatti

1) unità SQL per lo screening (concetto)

sql
-- velocity of logins by IP in 10 minutes
SELECT COUNT() AS logins_10m
FROM auth_events
WHERE ip =:ip AND ts > now() - interval '10 minutes';

-- unique accounts by device_id in 24 hours
SELECT COUNT(DISTINCT user_id) AS accounts_24h
FROM sessions
WHERE device_id =:device_id AND ts > now() - interval '24 hours';

2) Regola in OPA/Rego (semplificata)

rego package antifraud. login

default action:= "allow"

high_risk_ip {
input. ip. asn in {"AS9009, ""AS14061,"" AS16509"} # example input. metrics. failures_10m_by_ip > 20 input. metrics. distinct_accounts_10m_by_ip > 5
}

action:= "challenge_mfa" { high_risk_ip }

3) Pseudocode di orchestrazione challenge

python risk = score(features) # 0..1 if risk >= 0. 9: block()
elif risk >= 0. 7: challenge("MFA")
elif risk >= 0. 5: throttle(rate="low")
else: allow()

Errori tipici

L'unica scommessa è che i bot la aggirano. Ho bisogno di uno stack multifattore.
Lunghi ritardi di screening: distrugge UX, aumenta il guasto.
Bana globale IP/ASN per sempre: taglia il traffico legit; utilizzare TTL e revisione.
Niente conte, i multi - account rimangono invisibili.
Regole rigide senza canarini/shadow: l'esplosione di FP in vendita.
Ciclo fidback zero: i modelli non vengono modificati, le regole non vengono aggiornate.

Road map di implementazione

1. Inventario dei percorsi di rischio: registrazione, login, promo, depositi/conclusioni.
2. Raccolta dei segnali e SDK: fronte-JS/mobile, rete, eventi server; Un unico schema.
3. Phichestor online: finestre 1/5/15/60 minuti; deduplicazione e SLA fich.
4. Profilo di base delle regole: velocity + anomalie + semplice euristica grafica.
5. ML in modalità shadow: confronta ROC/PR, valuta gli effetti aziendali, attiva parzialmente.
6. Grafica: clustering delle famiglie, marcatura automatica durante la conferma manuale.
7. Le risposte sono: matrice (risk×stsenary→deystviye), controllo A/B su UX.
8. Osservabilità e SLO: dashboard di qualità e tecnica, alerting, test-valigetta post-incidente.
9. Privacy/compilation: riduzione del PI, tornizzazione, accesso ai ruoli, reporting.

Totale

Un sistema antifrode forte è un tracciato multistrato e adattativo, dove i sensori e i comportamenti si trasformano in feci, le decisioni vengono prese dall'ibrido delle regole e dall'ML, e il conte dei collegamenti individua le famiglie di abusi. Aggiungi una serie di risposte real-time, osservabilità con SLO e privacy - e assicurerai un equilibrio tra sicurezza, UX e metriche aziendali anche sotto la pressione di bot ben organizzati e reti di frode.