Почему блокируют аккаунт с идеальными параметрами: как антифрод читает поведенческие сигналы

Главный вывод: уровень параметров отвечает на вопрос, похожа ли конфигурация на настоящее устройство; уровень поведения отвечает на вопрос, похожи ли действия на живого человека. Полная картина для оценки риска складывается только из двух уровней вместе. Модель читает траекторию мыши, ритм набора текста, длительность сессий: часть этих сигналов можно улучшить привычками и расписанием, часть накапливается только со временем. Если проверка параметров ничего не выявила, смотреть нужно на уровень поведения.

Вторая неделя прогрева, и аккаунт заблокировали. Прогнали конфигурацию через сайты проверки отпечатков: Canvas совпадает, часовые пояса выровнены, разрешение экрана ничего не выдаёт. На уровне параметров придраться не к чему. Подобные случаи в работе с несколькими аккаунтами встречаются нередко. Тупик в том, что всё настраиваемое уже настроено, и непонятно, какая переменная ещё осталась. Переменная живёт на уровне поведения: это запись того, как именно вы работаете с аккаунтом. Она не привязана к настройкам браузера, и смена параметров её не стирает.

MostMate выделяет каждому аккаунту отдельное окружение: конфигурации отпечатков и данные не пересекаются, и этим закрываются проблемы уровня устройства. На уровне поведения нет переключателя, который решает всё одним кликом: оно выращивается ритмом. В этой статье разберём, какие поведенческие сигналы читает антифрод, как модели их используют, какие действия можно натренировать, а какие нет, и как в MostMate встроить ритм в расписание.

Что антифрод читает помимо уровня параметров

Параметры отпечатков фиксируются после настройки, а поведенческие сигналы идут непрерывным потоком и покрывают весь период работы аккаунта. Уровень параметров описывает, как выглядит окружение; в статье о принципах браузерного отпечатка мы разбирали Canvas, WebGL и другие поверхности сбора, и именно этот слой тестируют сайты проверки. Насколько полна такая настройка, можно сверить по большинству показателей из пяти сигнальных зон доверия Iphey.

Уровень поведения устроен совсем иначе. В антифрод-индустрии это направление называют поведенческой биометрией. SEON в руководстве по поведенческой биометрии определяет её так: анализ того, как человек печатает, двигает мышью и перемещается между страницами, на основе которого строится поведенческий профиль в реальном времени. Такая проверка продолжается и после того, как пароль и устройство прошли проверку, и длится всю сессию.

У Sardine вывод ещё прямее. Device intelligence стала стандартом, но IP можно скрыть, отпечаток подделать, устройство замаскировать: одного уровня устройства уже недостаточно, и поведенческие сигналы закрывают пробел «кто на самом деле стоит за этим устройством» (см. разбор Sardine о связке устройств и поведения). Два уровня дополняют друг друга, а не заменяют. Если параметры не сходятся, антифрод срабатывает сразу. Если параметры в порядке, проверка не заканчивается, а просто переходит на другой уровень.

Список поведенческих сигналов: от траектории мыши до длительности сессии

Поведенческие сигналы, которые читает модель, делятся на четыре группы, и каждая привязана к конкретным действиям. Сверьтесь с этим списком и посмотрите, где в повседневной работе остаются следы.

• Ввод: ритм набора текста, интервалы между клавишами, заполняются ли формы вручную или вставкой, используется ли автозаполнение.
• Движения: кривизна траектории мыши, ускорение и замедление, скорость прокрутки, частота кликов.
• Сессии: длительность одной сессии, число просмотренных страниц, время на каждой странице, похож ли маршрут действий на то, что проходит обычный человек.
• Ритм: часы активности, интервалы между действиями, пауза от регистрации до первого действия.

В сценарии регистрации Sardine отдельно назвала два сигнала, которые легко упустить: вставка номера карты через копипаст и переключение на другую вкладку посреди заполнения формы. Живой человек, занятый настоящим делом, делает такое сплошь и рядом, а скрипт нет, поэтому это доказательства «похожести на человека». И наоборот: мышь идёт по идеальной прямой от точки к кнопке, паузы каждый раз абсолютно равные, это доказательства «похожести на скрипт».

Каждый из этих сигналов по отдельности слаб. Задача модели состоит в том, чтобы сложить их в одну оценку. В этом и сложность уровня поведения: нельзя поправить что-то одно, менять приходится весь набор рабочих привычек.

Как антифрод строит модель: базовый уровень, отклонения и согласованность

Ядро антифрод-модели сводится к сравнению: с собственной историей аккаунта, с распределением среди похожих пользователей, со связанными аккаунтами. У каждого из трёх сравнений своё назначение.

• Личный базовый уровень: первое сравнение. Модель сначала изучает обычный ритм каждого аккаунта. По объяснению SEON, лёгкие колебания скорости печати считаются нормой, а вот резкая смена навигационных паттернов вызывает предупреждение. Чем стабильнее стиль работы аккаунта, тем понятнее модели границы допустимого, и случайный сбой легче распознаётся как колебание.

• Групповой базовый уровень: второе сравнение. Сколько времени у живого человека уходит на цепочку «регистрация, просмотр, заказ» и как выглядит его маршрут, модель знает из статистического распределения по огромной выборке. Слишком быстро, слишком гладко, мышь по прямой: всё это лежит вне распределения. SEON отдельно упоминала случай, когда мышь проходит от пикселя A до пикселя B идеальной прямой линией. Это один из самых классических проколов поведенческого анализа.

• Согласованность: третье сравнение, и для сценариев с несколькими аккаунтами это отдельная тема. Одно устройство, много аккаунтов; всплеск регистраций из одной подсети; несколько аккаунтов с похожими действиями в одно и то же время. По отдельности каждый признак нормален, вместе это профиль одной группы. Граф связей Sardine делает именно это: рисует сеть из совместного использования устройств, аккаунтов и платёжных инструментов. В сфере аирдропов эту проверку используют жёстче всего: в статье о логике Sybil-скрининга мы рассказывали, как команды проектов отбирают людей по сигналам согласованности.

Многие каскадные блокировки начинаются не с параметров, а со связанности. Это накопленный ущерб: после того как связь образована, распутать её очень сложно (как сдерживать круговые блокировки).

Какие действия натренировать можно, а какие нет

Разделите поведенческие сигналы на две колонки, «натренировать можно» и «только со временем», и силы прогрева тратьте на первую. В части, которую натренировать не выйдет, честное признание только упрощает жизнь.

Часть, которую натренировать можно, держится на привычках и расписании:

• Замедлиться: у живого человека есть колебания, возвраты и промахи; интервалы между действиями не должны быть выровнены как по линейке.
• Печатать вместо вставки: при регистрации и правке профиля вставка является сигналом ввода повышенного риска; ключевые данные вводите руками.
• Естественные маршруты: не ходите после входа каждый раз в одну и ту же страницу функций; иногда заглядывайте в другие разделы.
• Часы по целевому рынку: будьте активны в таймзоне целевого рынка; аккаунт не должен выходить в сеть с точностью будильника в три часа ночи.

Часть, которую не натренировать, даётся только временем:

• Долгая история: возраст аккаунта, стабильность прошлых сессий, история покупок; это архив, который не восстановить.
• Личный базовый уровень: модели нужно время, чтобы узнать «именно этот аккаунт». Осторожность на ранней стадии прогрева и есть кормление модели нормальными образцами.
• Следы согласованности: если аккаунты уже связались в графе связей, потом их не разъединишь никакими действиями. Изоляцию нужно делать с первого дня.

Если аккаунт уже ограничен из-за поведенческих отклонений, в чек-листе первые 60 минут после блокировки первый шаг состоит в том, чтобы понять, что сработало: сигнал устройства или сигнал поведения. Дальнейшие действия в этих двух случаях полностью разные.

Как встроить поведенческий ритм в расписание в MostMate

Трудность уровня поведения не в том, что непонятно, нужно ли его растить, а в том, что действия размазаны по повседневности и до конца их никто не доводит; менеджер прогрева превращает это в список задач. На странице прогресса прогрева в MostMate есть 30-дневный план прогрева: задачи каждого дня перечислены по пунктам, действия вроде пролистывания ленты, захода на профили и поиска по ключевым словам отмечаются галочками, а на 30-дневном календаре сразу видно, не разорвался ли ритм.

Список задач отвечает за разнообразие действий. Календарь отвечает за непрерывность ритма. В плане есть и список напоминаний «сегодня не делать», который очерчивает границы действий в чувствительный период: например, новому аккаунту в первые недели не трогать правку профиля и привязку платёжных средств. Что делать при появлении капчи или ограничений, расписано по шагам в руководстве по обработке аномалий.

RPA в этой системе отвечает за объём. Шаблоны RPA в MostMate умеют запускать автоматический просмотр и лайки на платформах вроде TikTok и Facebook, добирая объём базовых взаимодействий. Но траектории и интервалы RPA несут следы скрипта, и поведенческая модель их читает. Разделение труда должно быть чётким: объём отдайте автоматизации, ключевые действия оставьте человеку, а для чувствительных аккаунтов человек должен быть основным исполнителем.

Когда аккаунтов несколько, фундамент это стабильное окружение. Один аккаунт к одному окружению, только тогда поведенческая запись копится на одном и том же профиле устройства. Как организовать окружения по бизнес-линиям, подробно описано на лендинге безопасного управления несколькими аккаунтами.

Частые вопросы

Почему блокируют, если все параметры в порядке?

Уровень параметров и уровень поведения состоят из разных наборов сигналов. Годные параметры говорят лишь о том, что устройство похоже на настоящее; ритм действий, маршруты и согласованность между аккаунтами образуют отдельную плоскость оценки. Если при диагностике параметры чистые, пора поднять записи поведения и посмотреть интервалы действий, маршруты и признаки согласованности.

Обнуляется ли поведенческая история при смене окружения?

Нет. Окружение даёт чистый уровень устройства. Поведенческое досье, накопленное аккаунтом на стороне платформы, следует за аккаунтом, а не за окружением. Новое окружение отвечает на вопрос «можно ли доверять этому устройству», а доверие на уровне поведения аккаунту придётся заново копить самому: именно поэтому после смены окружения нужен переходный период.

Распознает ли поведенческий анализ RPA-автоматизацию?

Вполне возможно. Траектории и интервалы скриптовых действий несут характерные следы, и зрелые поведенческие модели их читают. Надёжнее разделить так: RPA берёт объём базовых взаимодействий, человек делает регистрацию, правку профиля, платежи и другие ключевые действия, а чувствительные аккаунты в целом ведутся вручную.

Сколько прогревать аккаунт, пока поведенческий базовый уровень не станет устойчивым?

Единого числа дней нет. 30-дневный план это рамка ритма, а модель формирует представление благодаря разнообразию и непрерывности действий, а не отсиженному сроку. Проверить просто: если повседневные действия аккаунта больше не вызывают частых проверок, базовый уровень стабилизируется.

Заключение

Оценивая аккаунт, антифрод опирается на уровень устройства и уровень поведения в равной мере. Конфигурация параметров закрывает вопрос «похоже ли устройство на настоящее», и эту часть тянет инструмент окружения. Поведенческий ритм закрывает вопрос «похожи ли действия на живого человека», и эту часть выращивают списком и расписанием. Когда два уровня ведутся раздельно, при блокировке остаётся понятное направление диагностики.

Устройство отдайте окружению, поведение отдайте ритму. Скачайте MostMate, сначала плотно займитесь изоляцией уровня устройства, а затем менеджером прогрева выстройте ритм уровня поведения.