Detectarea bot și logica antifraudă

Scurt rezumat

Protecția eficientă împotriva roboților și fraudei este o combinație de straturi: colectarea semnalului (client, rețea, dispozitiv, comportament), notarea riscului în timp real, reguli (deterministe) + modele ML (probabilistice), analiza graficului conexiunilor și procese stricte de escaladare. Scopul este de a bloca daunele păstrând în același timp UX și conversie.

Amenințări și vectori

Boți și răzuitori: înregistrare, căutare de autentificare, coduri promoționale agricole, promovarea soldurilor, auto-crearea de aplicații/tarife.
Preluarea contului (ATO): umplutură de acreditare, phishing, furt de sesiune.
Fraudă de plată: carduri furate, testare limită, agricultură chargeback.
Abuz bonus: multiaccounting, „familii” de dispozitive/adrese, proxy-uri/emulatoare.
Abuz afiliat/CPA: înregistrări/depozite false, fraudă clic.

Arhitectura anti-boti/stiva antifrauda

Straturi și componente:

1. Senzori și telemetrie: front-JS/SDK (semnale umane), SDK mobil, metrici de rețea/HTTP, evenimente backend.

2. Feature Store (online/offline): normalizare, agregate pe ferestre T + N (1 min, 1 h, 24 h).

3. Motor în timp real: reguli + inferență ML (latență scăzută), orchestrarea provocărilor.

4. Motor grafic: conexiuni de utilizator prin dispozitive, plăți, IP/ASN, cookie-uri, adrese.

5. Stocarea și marcarea incidentelor: formare activă a modelului, RCA.

6. Răspuns orchestrator: bloc/provocare/congelare/limită/verificare manuală.

7. Observabilitate/SLO: valori de calitate (TP/FP/FN), timp de decizie, impact asupra conversiei.

Semnale și amprente digitale

Client și dispozitiv

Amprenta dispozitivului: derivații utilizator-agent, platformă/CPU/GPU, redare Canvas/WebGL, fonturi, fus orar, limbă, senzori; rezistență la rotație.
Dinamica browser-ului: evenimente mouse/touch, viteza de intrare/ritm, focus/blur, defilare, secvențe de tranziție, modele inactive.
Măsurători mobile: jailbreak/root, caracteristici emulator, steaguri de depanare, semnale SDK.
Rețea: IP/ASN/geo, proxy/VPN/hosting-ASN, frecvență de schimbare IP, stabilitate RTT, amprente JA3/TLS.

Comportament și context de afaceri

Valori ale vitezei (înregistrări/logări/depozite/rate per fereastră).
Anomalii ale fusurilor orare/localizări/valute, neconcordanță a dispozitivului geo.
Repetarea modelelor de traseu/interogare, secvențe de formă (tipice scripturilor).
Economie de acțiune: neconcordanță LTV, combinații nenaturale promo/inferență.

Analiza graficului (familii și clustere)

Topuri: utilizatori, dispozitive, IP/ASN, instrumente de plată, adrese, cookie-uri.
Coaste: „logat cu”, „plătit prin intermediul”, „partajat dispozitivul”, „amprenta potrivită”.

Exemple de reguli:

"k-core ≥ 3 'users per instrument de plată → verificare manuală.

💡 X componentă de conectivitate creată în <24 h → promo congela și revizuire KYC.

Centralizare mare prin IP-nod (Gini-index) în zona de înregistrare → provocare anti-barca.

Reguli (deterministe) și scoring (ML)

Caracteristicile abordării hibride

Reguli: rapid și explicabil (CUS/conformitate, cap-on bloc).
ML: captează „zone gri” și modele noi; lucrați în modul umbră înainte de a activa acțiunile.

Reguli tipice (exemplu pseudocod)

yaml
- id: ATO_LoginBurst when:
path: "/login"
failures_last_10m_by_ip > 20 distinct_accounts_last_10m_by_ip > 5 action: challenge_mfa

- id: Bonus_MultiAccount when:
promo_code = "WELCOME100"
devices_shared_with_accounts >= 2 first_deposit_time_delta < 10m action: freeze_bonus_and_review

- id: Payment_CardTesting when:
card_decline_rate_30m_by_ip > 0. 6 unique_cards_attempted_30m_by_ip > 5 action: block_24h_and_notify

Caracteristici ML (cu exemple)

Timp: frecvențe/intervale, sezonalitate pe oră/zi.
Categoric: ASN, țară, dispozitiv, browser.
Grafic: grad nod, coeficient de grupare, nod IP/dispozitiv pagerank.
Tehnic: lungimea sesiunii, entropia datelor de intrare, raritatea secvențelor de clic.
Financiar: verificare medie, variație, timp-în-interior, ponderea refuzurilor de plată.

Orchestrarea răspunsului

Soft: JS-challenge, dovada de lucru, revalidarea e-mail/telefon, limita de viteză/cota.
Puternic: MFA/JIT-KYC, fonduri temporare/congela bonus, interdicție temporară.
Adaptive: prag de creștere la risc ridicat (TOR/hosting ASN), liste de grație pentru VIP/parteneri.
Principii UX: controale invizibile în mod implicit; provocări explicite - numai riscuri.

Anti-fraudă pentru promo și jocuri de noroc

Promo-integrare: limite pentru promo per-device/per-payment-instrument; pachet promo cu status KYC.
Multiaccounting: grafice dispozitiv/IP, similitudinea traiectoriilor comportamentale; „familie” → limita de recompensă/congela.
Creșterea câștigurilor: corelarea anormală a pariurilor între conturile aferente → investigație.
iGaming KPI: protecție de conversie (registratsiya→depozit), Time-to-Wallet; nu „sufoca” jucătorii legit.

Plata antifraudă (pe scurt)

3-D Secure/multifactor: dinamic prin risc.
mTLS/semnătura cârligelor web PSP: obligatorii.
Idempotence: cheie privind operațiunile de retragere/depunere.
Semnale de plată: BIN/emitent, rezultate AVS/CVV, rata de eșec, geo-discrepanță.

Date, fichester, ferestre de agregare

Agregate online (latență redusă): 1/5/15 minute pentru viteză, unicitate, eșecuri.
Aproape în timp real: 1-24 ore pentru promo și logica bonus.
Caracteristici offline: 7-90 de zile pentru a instrui modele.
Calitatea datelor: deduplicarea evenimentelor, protecția re-livrare, scheme de validare.

Observabilitate, SLO și măsurători de calitate

SLI tehnic/SLO:

p95 luarea deciziilor (antifraudă) ≤ 50 ms pe căi critice (autentificare, depozite).
Disponibilitatea motorului ≥ 99. 95 %/lună
Proporția evenimentelor „incognito” fără caracteristici ≤ 0. 1%.

Calitatea antifraudă:

TP/FP/FN pentru scenarii ATO/promo/plăți; business-cost FP.
Impact de conversie (Δ registratsii→depozit, Δ succes de finalizare a comenzii).
Provocări hit-rate (câte provocări confirmă riscul).
Monitorizarea derivei (caracteristici/scoruri/latență).

Confidențialitate și conformitate

Minimizarea datelor: stocați exact ceea ce aveți nevoie; PII - tokenize/criptare.
Transparență: explicabilitatea deciziilor (în special în cazul eșecurilor și restricțiilor).
GDPR/PCI DSS: segmentarea domeniului de date, acces numai după rol; accesul la exploatarea forestieră și modificările regulilor.
Etica și prejudecățile: auditul periodic al caracteristicilor/pragurilor de discriminare.

Operațiuni și incidente

Runbooks: ATO spike, card de testare, furtuna promo, degradarea SDK.
Steaguri caracteristice: slăbirea rapidă/consolidarea regulilor, modelele de comutare, provocările „kill-switch”.
Învățături: reluarea atacurilor istorice, campanii „gri”, derivă bruscă de semne.
RCA/marcaj: marcați și returnați cazurile de frontieră în setul de date de formare (învățare activă).

Exemple de artefacte

1) Agregate de punctaj SQL (concept)

sql
-- velocity of logins by IP in 10 minutes
SELECT COUNT() AS logins_10m
FROM auth_events
WHERE ip =:ip AND ts > now() - interval '10 minutes';

-- unique accounts by device_id in 24 hours
SELECT COUNT(DISTINCT user_id) AS accounts_24h
FROM sessions
WHERE device_id =:device_id AND ts > now() - interval '24 hours';

2) Regulă în OPA/Rego (simplificată)

rego package antifraud. login

default action:= "allow"

high_risk_ip {
input. ip. asn in {"AS9009, ""AS14061,"" AS16509"} # example input. metrics. failures_10m_by_ip > 20 input. metrics. distinct_accounts_10m_by_ip > 5
}

action:= "challenge_mfa" { high_risk_ip }

3) Pseudocodul orchestrării provocărilor

python risk = score(features) # 0..1 if risk >= 0. 9: block()
elif risk >= 0. 7: challenge("MFA")
elif risk >= 0. 5: throttle(rate="low")
else: allow()

Erori comune

Pariați numai pe captcha: boții îl ocolesc; nevoie de o stivă de semnal multifactorial.
Întârzieri lungi de notare: pauzele UX, eșecul crește.
Global IP/ASN interzice pentru totdeauna: reduce traficul legitim; utilizați TTL și revizuire.
Nu există grafic: Multi-conturi rămân „invizibile”.
Reguli dure fără canari/umbră: creșterea FP în vânzări.
Zero ciclu de feedback: modelele nu sunt reinstruite, regulile nu sunt actualizate.

Foaie de parcurs pentru implementare

1. Inventarul căilor de risc: înregistrare, autentificare, promo, depozite/concluzii.
2. Colectare semnal și SDK: front-JS/mobil, evenimente de rețea, server; sistem unic.
3. Fichestore online: 1/5/15/60 minute ferestre; eliminarea duplicatelor și caracteristica SLA.
4. Profilul regulii de bază: viteza + anomalii + euristica graficului simplu.
5. ML în modul umbră: comparați ROC/PR, evaluați efectul de afaceri, includeți parțial.
6. Analiza graficului: clustering familial, auto-marcare cu confirmare manuală.
7. Orchestrarea răspunsurilor: matrice (risk×stsenary→deystviye), control A/B pe UX.
8. Observabilitate și SLO: tablouri de bord de calitate și tehnică, alertă, bazine de testare post-incident.
9. Confidențialitate/conformitate: minimizare PII, tokenizare, acces la rol, raportare.

Rezultat

Un sistem antifraudă puternic este un circuit multi-stratificat și adaptiv în cazul în care senzorii și comportamentul se transformă în caracteristici, deciziile sunt luate de un hibrid de reguli și ML, iar graficul de conectare dezvăluie familii de abuz. Adăugați orchestrarea în timp real a răspunsurilor, observabilitatea cu SLO și confidențialitatea - și echilibrați valorile de securitate, UX și business chiar și sub presiunea roboților bine organizați și a rețelelor de fraudă.