منع الاحتيالكشف تعدد الحسابات: كيف يتحول مستخدم واحد إلى خمسين
كشف تعدد الحسابات: رصد مشغّل واحد ينتحل صفة عشرات المستخدمين لحصد المكافآت وتجاوز الحظر والتلاعب بالتقييمات، والإشارات التي تفضح الشبكة.
خمسون ألف تسجيل جديد هو منحنى نمو، وليس عدد أشخاص. شريحة من «مستخدمي» كل منصة هي في الحقيقة المشغّلون القلة أنفسهم بأسماء مختلفة، وكل حساب من هذه الحسابات يبدو سليمًا حين يُفحص منفردًا. وهذه هي السمة المميزة لتعدد الحسابات: الاحتيال غير مرئي على مستوى الحساب لأن الحساب ليس وحدة الاحتيال، بل المشغّل هو الوحدة. يتناول هذا الدليل في كشفه من يدير حسابات مكررة ولماذا، والأدوات التي تجعل شخصًا واحدًا يبدو خمسين، والإشارات التي تعيد الشبكة إلى فاعل واحد. ومعظمها يقع على طبقة الشبكة، وهو الدليل نفسه الذي يغذي درجة مخاطر IP ونطاقاتها.
سلوك واحد بخمسة أسماء
تواصل المجتمعات إعادة تسمية الفعل نفسه، وهذا مهم لأن أدبيات الكشف موزعة على هذه المصطلحات الخمسة كلها:
| المصطلح | أين يُستخدم | المخطط |
|---|---|---|
| تعدد الحسابات (Multi-accounting) | فرق الاحتيال والثقة والسلامة | مشغّل واحد، حسابات كثيرة، أي دافع |
| Sockpuppetry | المنتديات والموسوعات والمنصات الاجتماعية | شخصيات مزيفة يدعم بعضها بعضًا أو تتجاوز الحظر |
| Smurfing | الألعاب التنافسية | لاعبون محترفون بحسابات جديدة لتفادي التصنيف أو الحظر |
| Gnoming | المراهنات والألعاب القمارية عبر الإنترنت | حسابات مكررة لإعادة المطالبة بالمكافآت وتجاوز الحدود |
| هجوم سايبيل (Sybil attack) | العملات المشفرة والأنظمة الموزعة | هويات مستعارة كثيرة للاستحواذ على المكافآت أو النفوذ |
الدوافع ترتبط بالمال في معظم الحالات: إعادة حصد الحوافز التي يتناولها كشف إساءة استخدام العروض والقسائم، وتجاوز الحظر وحدود المعدل، وتضخيم التقييمات والأصوات، والتعامل الذاتي في الأسواق الإلكترونية (الشراء من نفسك وتقييم نفسك)، والاستحواذ على مكافآت تُمنح لكل هوية مثل الإيردروب (airdrop)، حيث شغّل أفراد عشرات آلاف «هويات» المحافظ ضد توزيع واحد.
الأدوات: كيف يصبح شخص واحد خمسين
يصنّف OWASP النسخة الصناعية من هذا النشاط ضمن OAT-019 إنشاء الحسابات، أي إنشاء الحسابات بالجملة «لإساءة الاستخدام لاحقًا»، والأدوات المساندة رخيصة وشراؤها قانوني:
- الأسماء البديلة للبريد وصناديق البريد المؤقتة. العناوين بإضافة علامة + وحيلة النقاط والنطاقات المهملة تجعل البريد «الفريد» مجانيًا بأي حجم.
- مزارع الهواتف وأرقام VoIP. التحقق عبر الرسائل النصية عائق بسيط يُسعَّر بالسنتات لكل رمز.
- متصفحات مكافحة الكشف ومزارع الأجهزة. انتحال البصمة لكل ملف تعريف يجعل كل حساب يبدو بجهاز مختلف، وهذا أحد أسباب حاجة بصمة الجهاز إلى ذكاء عناوين IP بجانبها.
- تدوير البروكسي وVPN. يحصل كل حساب على عنوان IP خروج خاص به: من مركز بيانات إن كانت الشبكة متهاونة، ومن شبكة سكنية إن كانت مستثمرة (راجع لماذا تهيمن البروكسيات السكنية على الحركة المسيئة).
وحجم ما يتيحه ذلك معلن. تذكر Meta أنها تتصرف حيال نحو مليار حساب فيسبوك مزيف في الربع الواحد، منها 1.1 مليار في الربع الرابع من 2025 وحده، وأن معظمها يُحظر خلال دقائق من إنشائه (تقرير Meta لإنفاذ معايير المجتمع). إنشاء الحسابات المزيفة ليس حالة هامشية في أي مكان، بل هو صناعة تصنيع.
لماذا تفوّتها الفحوصات على مستوى الحساب باستمرار
فحوصات وقت التسجيل تفحص الحسابات واحدًا واحدًا، وفرادى تبدو الحسابات سليمة: بريد صالح، وهاتف موثّق، واسم معقول، وبطاقة تعمل. لا يظهر تعدد الحسابات إلا في العلاقات بين الحسابات، والمشغّلون يثبتون أنهم سيئون في قطع هذه العلاقات.
أقوى دليل على ذلك دراسة في مؤتمر WWW 2022 شملت 8,551 زوجًا مؤكدًا من حالات تجاوز الحظر في ويكيبيديا (توصيف تجاوز الحظر عبر الإنترنت وكشفه والتنبؤ به). حاول المتجاوزون عمدًا أن يبدوا مختلفين، بأسماء مستخدمين جديدة ولغة أخف حدة، لكنهم بقوا أنفسهم بصورة قابلة للقياس: فحساباتهم الجديدة حرّرت الصفحات نفسها (تداخل 0.12 مقابل 0.0001 للأزواج غير المرتبطة)، وأعادت استخدام مفردات متشابهة، وأمكن مطابقتها مع حسابها الأصلي المحظور بـ متوسط رتبة تبادلية 0.969، أي إعادة تعريف شبه تامة اعتمادًا على السلوك وحده. وبلغ الكشف وقت الحظر 0.902 AUC. الناس يغيّرون المعرّفات ولا يغيّرون العادات.
وهذه النتيجة تنطبق على الحالات الأخرى: الشبكة التي تنوّع بريدها تنسى أن تنوّع شبكتها الفرعية، والتي تدوّر البروكسيات تُبقي ساعات النشاط متطابقة، والتي تنتحل البصمات تموّل كل حساب من محفظة واحدة. التنسيق يتسرب. ومهمتك أن تسجّل الأسطح التي يتسرب إليها.
إشارات الشبكة التي تفكك الشبكة المنسّقة
حقول الهوية هي أسهل ما يمكن تزييفه، وموقع الشبكة هو أصعبه، ولهذا يتوسط تسجيل مخاطر IP كشفَ تعدد الحسابات:
أصل مشترك، بمفتاح صحيح. تسجيل حسابات متعددة أو عملها من عنوان IPv4 واحد هو العلامة الكلاسيكية، لكن في IPv6 يجب أن تعتمد البادئة /64 مفتاحًا، لأن مشتركًا واحدًا يتحكم في البادئة كاملة ويستطيع توليد عنوان جديد لكل حساب مجانًا (تحديد المعدل في IPv6 بحسب /64). والشبكات التي لا تعيد استخدام عنوان IPv4 أبدًا تعيد استخدام بادئة /64 بكل سرور.
إجراءات المستهلكين من بنية غير استهلاكية. يسجّل المستخدمون الحقيقيون من اتصالات سكنية ومحمولة، بينما تعمل مصانع الحسابات على نُسخ سحابية ونطاقات VPS. مجموعة من الحسابات «المستقلة» تنشأ من فضاء عناوين مركز البيانات أو من ASN استضافة واحد هي سكربت معه جدول شخصيات.
التجهيل كخاصية للدفعة. مستخدم واحد على VPN أمر عادي، فأدوات الخصوصية صارت شائعة. أما أربعون حسابًا جديدًا في دفعة واحدة تصل كلها عبر مخارج VPN أو بروكسي، وخاصة من مجموعة المزود نفسه، فهي بصمة تنسيق. وتكتسب الإشارة أهميتها في التجميع وفي اللحظات الحساسة: التسجيل، والمطالبة بالمكافآت، والتصويت، والتقييم.
مجموعات البروكسي السكني. تستأجر الشبكات المستثمرة مخارج سكنية ليصل كل حساب على عنوان IP منزلي يبدو حقيقيًا. وهذا يخفي أصل الشبكة، فإذا بدا عنوان IP نظيفًا فعلى مفاتيح المجموعة الأخرى (الجهاز والدفع والتوقيت) أن تحمل الثقل.
توقيت مترابط وجغرافيا مستحيلة. الحسابات التي تستيقظ وتعمل وتنام بتزامن، أو التي تدّعي أنها خمسون مستخدمًا ينتقلون معًا بين المدن، تتجمع على التوقيت والموقع الجغرافي حتى لو اختلفت كل المعرّفات الأخرى.
التحفظ الذي يبقيك منصفًا. يضع CGNAT مئات أو آلاف المشتركين الحقيقيين خلف عنوان واحد، وقد قاست Cloudflare أن عناوين CGNAT تتعرض لتحديد المعدل بنحو 3 أضعاف ما تتعرض له حركة مماثلة رغم تشابه معدلات البوتات (Cloudflare). والأسر وسكنات الطلاب والمكاتب تتشارك عناوين IP بصورة مشروعة، ويستخدم نحو واحد من كل أربعة من مستخدمي الإنترنت VPN (Security.org). الأصل المشترك أو المجهَّل مفتاح تجميع، وليس حكمًا.
دليل عملي لكشف تعدد الحسابات يستهدف المشغّل
- سجّل مفاتيح المجموعة عند التسجيل وعند الإجراءات الحساسة. عنوان IP وبادئة /64، وASN ونوع الاتصال، ووسوم التجهيل، وبصمة الجهاز، ووسيلة الدفع. يُؤكَّد تعدد الحسابات عند المطالبة بالمكافآت والتصويت والسحب أكثر مما يُؤكَّد عند التسجيل.
- ابنِ الرسم البياني ثم اقرأه. اربط الحسابات التي تتشارك مفتاحين مستقلين أو أكثر. مفتاح واحد مشترك أمر طبيعي (CGNAT، أو أسرة واحدة)، أما عائلتان مستقلتان أو أكثر من التداخل، مثل الشبكة والدفع أو الشبكة والجهاز، فتجعلان فرضية الشبكة المنسّقة جديرة بالنظر.
- احسم المجموعات لا الحسابات. مراجعة خمسين حسابًا واحدًا واحدًا تكلّف خمسين تحقيقًا وتفوّت الفكرة. ضع المجموعة في الطابور بوصفها حالة واحدة تتصدرها مفاتيحها المشتركة.
- استجب بخطوات متدرجة. للمجموعات المشتبه بها: امنع الحوافز، وضع سقفًا لمدفوعات الإحالة، وقيّد التصويت والتقييم، وأخّر السحب. واحتفظ بالحظر الجماعي للشبكات المؤكدة. وانضباط العتبات الذي تتبعه مع درجات الاحتيال ينطبق على إجراءات المجموعات.
- أجرِ مسحًا بأثر رجعي. تتحسن الشبكات ضد الفحوصات التي أجريتها عند التسجيل، لا ضد التي تجريها لاحقًا. إعادة التجميع الدورية على السجل المتراكم هي ما مكّن عمليات صيد سايبيل في الإيردروب من استرداد ملايين بعد التوزيع، وهي ما يمسك الشبكة التي دخلت نظيفة.
- راقب العائدين. تجاوز الحظر هو تعدد حسابات مع ضغينة، وتقول الأبحاث أعلاه إن المتجاوزين يعودون أكثر تمويهًا لكنهم يبقون قابلين للربط. قارن التسجيلات الجديدة بمفاتيح الحسابات المحظورة حديثًا كمهمة دائمة.
درجة نظيفة قد تبقى مفتاح تجميع
درجة احتيال حساب واحد تجيب عن سؤال «هل هذا الحساب خطِر؟»، بينما يحتاج تعدد الحسابات إلى الحقول التي تجيب عن «من غيره يتشارك هذا؟». بحثنا عن عنوانَي IP لبنية عامة بتاريخ 2026-10-05 (تتغير النتائج بتحرك النطاقات): خادم DigitalOcean droplet وخادم Mullvad VPN.
[
{
"ip": "104.248.50.21",
"asn": {
"asn": 14061,
"org": "DIGITALOCEAN-ASN - DigitalOcean, LLC",
"asn_type": "hosting",
"connection_type": "datacenter"
},
"geo": { "country_code": "US", "city": "North Bergen" },
"detection": { "is_hosting": true, "is_vpn": false, "vpn_provider": "none" },
"scoring": {
"fraud_score": 15,
"recommended_action": "allow",
"detection_methods": ["datacenter_ip", "no_ptr_datacenter"]
}
},
{
"ip": "185.213.155.73",
"asn": {
"asn": 39351,
"org": "ESAB-AS - 31173 Services AB",
"asn_type": "hosting",
"connection_type": "datacenter"
},
"geo": { "country_code": "DE", "city": "Frankfurt am Main (Innenstadt I)" },
"detection": {
"is_hosting": true,
"is_vpn": true,
"is_anonymous": true,
"vpn_provider": "Mullvad",
"vpn_provider_tier": "premium",
"vpn_confidence": 95
},
"scoring": {
"fraud_score": 100,
"recommended_action": "block",
"detection_methods": ["known_vpn_server", "wireguard_open", "datacenter_with_vpn_proxy", "no_ptr_datacenter"]
}
}
]
يحصل الخادم الأول على 15 مع recommended_action: "allow"، وهذا صحيح بمفرده: الاستضافة وحدها ليست احتيالًا. أما بالنسبة إلى شبكة منسّقة فإن asn.asn 14061 وconnection_type: "datacenter" هما الجزء المفيد، لأن أربعين تسجيلًا «استهلاكيًا» تتشارك ASN استضافة واحدًا هي بصمة المصنع التي لم تُصمَّم الدرجة لالتقاطها لكل حساب. وخادم Mullvad يحصل على 100 وblock، لكن الحقل المهم للتجميع هو detection.vpn_provider: "Mullvad"، الذي يحوّل «مجموعة VPN نفسها» إلى عملية تجميع (group-by). ومستخدم Mullvad واحد يبقى عميلًا مهتمًا بالخصوصية، فتعامل مع ذلك الـ block بوصفه قرار عتبة لكل إجراء، لا دليلًا على حساب ثانٍ.
مفاتيح التجميع من استعلام IP واحد
تعود مفاتيح التجميع أعلاه من استعلام واحد لكل عنوان IP: فـ asn وasn_type وconnection_type تفصل المستهلكين السكنيين ومستخدمي المحمول عن أصول مراكز البيانات والاستضافة؛ وتشير كتلة الكشف إلى مخارج VPN والبروكسي وTor والترحيل عبر proxy_type وanonymity_level، وعند تحديد مزود تجاري تُعرض قيمة vpn_provider، فيصبح «أربعون حسابًا، ومجموعة VPN واحدة» استعلامًا بدل حدس؛ ويحدد is_cgnat عناوين المشغّلين المشتركة فلا تُعامل الأسر كشبكات منسّقة؛ وتصل درجة الاحتيال القابلة للتفسير من 0 إلى 100 مع recommended_action ومع الإشارات الدقيقة التي أُثيرت، بما فيها المبرِّئة. وكل حقل متاح في الخطة المجانية بواقع 1,500 استعلام يوميًا، وهو يكفي لتقييم كل تسجيل وكل إجراء حساس في معظم المنصات، ويمكنك البحث عن أي IP دون مفتاح API لترى شكل الاستجابة أولًا.
ابنِ سجل المجموعات قبل أي شيء
تعدد الحسابات هو المحرك الكامن تحت عدة أنواع احتيال تبدو منفصلة على لوحة المتابعة: فهو يقف خلف حصد القسائم والإحالات الذي وصفناه سابقًا، ويغذي تنقل الشخصيات وراء الاستيلاء على الحسابات وحشو بيانات الاعتماد، ويختبئ داخل الحركة المجهَّلة التي تناولها كيف يعمل كشف VPN والبروكسي. ابنِ سجل المجموعات أولًا. فكل واحد من هذه الدفاعات يزداد حدة في اللحظة التي تستطيع فيها منصتك أن تسأل لا «هل هذا الحساب خطِر؟» بل «كم من مستخدميّ هو هذا الشخص؟»
الأسئلة الشائعة
ما هو تعدد الحسابات؟
تعدد الحسابات هو أن يدير شخص أو مجموعة حسابات متعددة على منصة تفترض حسابًا واحدًا لكل مستخدم. وتختلف تسميته بحسب المجتمع: sockpuppetry في المنتديات والموسوعات، وsmurfing في الألعاب التنافسية، وgnoming في المراهنات والألعاب القمارية عبر الإنترنت، وهجوم سايبيل (sybil attack) في العملات المشفرة وويب 3. وتتراوح الدوافع بين حصد مكافآت التسجيل وعمولات الإحالة، وتجاوز الحظر، والتلاعب بالتقييمات والتصويت، وغسل التقييمات في الأسواق الإلكترونية.
كيف تكتشف المواقع الحسابات المتعددة التي يديرها الشخص نفسه؟
تربط المنصات بين ما لا تستطيع الحسابات إلا أن تتشاركه: أصل الشبكة (عنوان IP نفسه أو بادئة IPv6 من النوع /64 نفسها، أو مجموعة مخارج VPN أو البروكسي نفسها)، وبصمات الجهاز والمتصفح، ووسائل الدفع، وبيانات الاتصال وأسمائها المستعارة، والأنماط السلوكية مثل ساعات النشاط المتطابقة أو تسلسلات التفاعل نفسها. لا تكفي إشارة واحدة للحسم، ولذلك يعمل الكشف بتجميع الحسابات التي تتشارك عدة مفاتيح من هذه وبمراجعة المجموعة بوصفها حالة واحدة.
هل يخفي استخدام VPN تعدد الحسابات؟
هو يُبطل فحوصات عنوان IP المشترك الساذجة، لكنه يضيف إشارة خاصة به: فمخارج VPN والبروكسي التجارية يمكن التعرف عليها بوصفها كذلك، وبالتالي فإن دفعة من الحسابات الجديدة «غير المترابطة» وصلت كلها عبر بنية مجهِّلة هي بحد ذاتها مؤشر على التنسيق. كما تُظهر أبحاث تجاوز الحظر أن المشغّلين يبقون قابلين للربط عبر سلوكهم. ففي دراسة شملت 8,551 زوجًا من حالات تجاوز الحظر في ويكيبيديا، أمكن مطابقة الحساب المتجاوز مع الحساب الأصلي المحظور بدقة شبه تامة اعتمادًا على أنماط التحرير وحدها.
هل تعدد الحسابات غير قانوني؟
في الغالب هو مخالفة لشروط الخدمة تُعالج بالإيقاف وليس جريمة. ويدخل في نطاق الجريمة حين يقترن بسرقة الهوية أو تزوير المستندات أو مخططات الحصول على المال بالخداع. وقد وجّه مدّعون أمريكيون تهم الاحتيال عبر الاتصالات وسرقة الهوية المشددة إلى شبكات أنشأت حسابات بالجملة لحصد مكافآت الإحالة. وفي القطاعات الخاضعة للتنظيم مثل الألعاب القمارية عبر الإنترنت، قد تُعرّض الحسابات المكررة المشغّل أيضًا لمخاطر امتثال.
كيف أوقف تعدد الحسابات دون معاقبة الشبكات المشتركة؟
لا تعتبر عنوان IP مشتركًا وحده دليلًا أبدًا، لأن NAT على مستوى مزود الخدمة (CGNAT) وشبكات الجامعات والمكاتب والعائلات تضع مستخدمين حقيقيين كثيرين خلف عنوان واحد بصورة مشروعة. تحقق من وسم CGNAT ونوع الاتصال قبل اتخاذ أي إجراء، واشترط تعزيزًا من عائلات إشارات مستقلة (الشبكة والجهاز والدفع والسلوك)، وتدرّج في الاستجابة: امنع الحوافز وقيّد الصلاحيات للمجموعات المشتبه بها، واحتفظ بحظر الحسابات للشبكات المؤكدة.
الفريق الذي يقف وراء واجهة GeoIPHub API
بقلم فريق GeoIPHub، وهم من يبنون واجهة GeoIPHub API لاستخبارات IP وماسحها. تُعَدّ المسودات بمساعدة الذكاء الاصطناعي ويحررها الفريق، وأمثلة API استعلامات حقيقية على واجهة API الحية ما لم تُوصف بأنها توضيحية.
