منع الاحتيالإساءة استخدام العروض: كيف تكشف احتيال القسائم والإحالات وتوقفه
إساءة استخدام العروض هي مشغّل واحد ينتحل صفة عملاء جدد كثيرين. أربعة استعلامات IP حية تُظهر كيف يغيّر عنوان الاسترداد ما ينبغي أن يفعله مسار القسيمة.
إساءة استخدام العروض هي مشغّل واحد ينتحل صفة عملاء جدد كثيرين لجمع القسائم ومكافآت الإحالة وأرصدة التسجيل. تلتقطها عند خطوة الاسترداد، لأن كل حساب مزيف يجب أن يتصل من عنوان شبكة، ونوع ذلك العنوان يحدد هل تكرم الحافز أم تعلّقه أم تتحدّاه أم ترفضه. فيما يلي: كيف تعمل المخططات، والاستجابات التي سنعطيها لأربعة عناوين استرداد حقيقية بحثنا عنها بتاريخ 2026-10-23، والإشارات التي تقف خلف درجة احتيال IP ونطاقاتها من السماح إلى الحظر، وأين تصبح طبقة IP عمياء.
ما الذي يُعد إساءة استخدام للعروض
يغطي هذا الوصف ستة مخططات متمايزة، ويستدعي كل منها استجابة مختلفة:
| المخطط | كيف يعمل | الهدف المعتاد |
|---|---|---|
| حصد قسائم العملاء الجدد | مشغّل واحد ينشئ حسابات «أولى» متكررة ليعيد استخدام خصومات التعريف | التجارة الإلكترونية، والتوصيل، والاشتراكات |
| شبكات الإحالة (الإحالة الذاتية) | المشغّل نفسه يتحكم في المُحيل والمُحال، فيدفع كل تسجيل مزيف مكافأة مرتين | الأسواق الإلكترونية، والتقنية المالية، ومنصات العمل الحر |
| حصد التسجيل والمكافآت | إنشاء حسابات بالجملة لحصد الأرصدة ومكافآت الترحيب أو الإيردروب | التقنية المالية، والألعاب القمارية عبر الإنترنت، والعملات المشفرة |
| تعداد الرموز | بوتات تجرب رموز قسائم يسهل تخمينها حتى تستجيب رموز صالحة | أي موقع برموز قصيرة أو متسلسلة |
| تكديس العروض واستغلال الثغرات | الجمع بين الرموز أو استغلال منطق الاسترداد بما يتجاوز الحدود المقصودة | مسارات الدفع في التجزئة |
| حصد الولاء والنقاط | نشاط مزيف أو آلي لتكديس نقاط قابلة للاستبدال | الطيران، والفنادق، وولاء التجزئة |
يفهرس OWASP الإصدارات الآلية في مشروعه للتهديدات الآلية. فـ OAT-002 كسر الرموز هو «التعداد الجماعي لأرقام القسائم ورموز الإيصالات ورموز الخصم وغيرها»، وOAT-019 إنشاء الحسابات هو «إنشاء حسابات متعددة لإساءة الاستخدام لاحقًا». خمسة من المخططات الستة في الجدول مبنية على هذين الأساسين. التكديس هو الاستثناء، لأنه يسيء استغلال منطق الدفع لا الهوية.
لماذا يتسع احتيال القسائم والإحالات الآن
يتسع احتيال القسائم والإحالات لأن الخسائر بلغت مليارات والأدوات تُباع كخدمة.
المبالغ كبيرة. تتوقع Juniper Research أن يرتفع الاحتيال في السلع الرقمية من 10.4 مليار دولار في 2025 إلى 27 مليار دولار بحلول 2030، بزيادة 162%، وتسمّي إساءة استخدام العروض واحدًا من ثلاثة محركات رئيسية، إلى جانب الهويات الاصطناعية والاحتيال الودّي (Juniper Research، ديسمبر 2025). وكل دولار مفقود يكلّف أكثر من دولار. فدراسة LexisNexis التكلفة الحقيقية للاحتيال تضع المتوسط لتجار التجزئة والتجارة الإلكترونية الأمريكيين عند 4.61 دولار لكل دولار احتيال بعد احتساب العمالة والنفقات العامة (LexisNexis Risk Solutions، أبريل 2025).
كما تحولت الأدوات إلى صناعة: بوتات إنشاء الحسابات، ومتصفحات مكافحة الكشف، والبريد ببدائل الأسماء، ومجموعات البروكسي المستأجرة تتيح لمشغّل واحد أن ينتحل صفة عملاء كثيرين.
داخل الدليل التشغيلي: كيف يصبح مشغّل واحد عملاء جددًا كثيرين
تنتهي كل الأدلة التشغيلية بالنهاية نفسها: حسابات كثيرة، ومشغّل واحد، وبنية مشتركة تحتها. وتُظهر حالتان معلنتان الطرفين.
طرف سرقة الهوية. في مايو 2021 وجّه مدّعون فيدراليون في ماساتشوستس اتهامات إلى 19 شخصًا في مخطط امتد من يناير 2019 إلى أبريل 2021 على الأقل. استخدم أكثر من 2,000 هوية مسروقة لفتح حسابات سائقين في تطبيقات النقل التشاركي والتوصيل، وأنشأ حسابات مزيفة كان «غرضها الوحيد» إحالة حسابات مزيفة أخرى، واستخدم «بوتات آلية وتقنية انتحال GPS» لتضخيم الأرباح (NBC Boston، مايو 2021). وفي 2022 أقرّ متهمان بالذنب بالتآمر لارتكاب احتيال عبر الاتصالات وسرقة هوية مشددة. وانتهت ملاحقة منفصلة في سان دييغو لشبكة حسابات سائقين من خمسة أشخاص بـالحكم على زعيمها.
طرف تعدد الحسابات الصرف. توزع إيردروبات الرموز مكافآتها لكل محفظة مؤهلة، فينشئ المحصّلون محافظ بدل هويات. وبعد إيردروب zkSync في يونيو 2024، دافعت عن تصفيتها لهجمات سايبيل بالقول إن التشدد أكثر «قد يضع وسمًا خاطئًا على كثير من المستخدمين الحقيقيين» (Cointelegraph، يونيو 2024). وهذه المفاضلة نفسها تواجه كل فريق عروض. المرشحات الأشد تلتقط محصّلين أكثر وترفض عملاء حقيقيين أكثر.
يشترك الطرفان في نقطة ضعف. الهويات المزيفة رخيصة والبريد مجاني، لكن كل حساب يتصل من مكان ما. ومواقع الشبكة الاستهلاكية النظيفة والمتمايزة هي المورد الوحيد الذي لا تستطيع الشبكة إنتاجه عند الطلب، فتعيد استخدام البنية، وإعادة الاستخدام تظهر في سجلاتك.
كيف بدت أربعة عناوين IP مستردة بتاريخ 2026-10-23
يحتاج العرض نفسه إلى أربع استجابات مختلفة لأربعة أنواع من العناوين، وrecommended_action الخاص بدرجة الاحتيال ليس قرار العرض في اثنين منها. في 2026-10-23 بين 05:03:02 و05:03:17 بالتوقيت العالمي المنسق أجرينا استعلامات بلا مفتاح على أربعة عناوين عامة، واحد لكل نوع تراه نقطة نهاية القسيمة أو الإحالة. لم يرسل لنا أي منها استردادات حقيقية. فهي تمثل أنواع الأصول:
| IP المسترد (ما هو) | fraud_score | recommended_action | الطرق التي أُثيرت | ما ينبغي أن يفعله مسار القسيمة أو الإحالة |
|---|---|---|---|---|
45.33.32.156 (خادم Linode، scanme.nmap.org) | 10 | allow | datacenter_ip | علّق للمراجعة. مرّر عملية البيع بالسعر الكامل وضع الخصم في الطابور |
185.213.155.73 (خادم Mullvad، فرانكفورت) | 100 | block | known_vpn_server, wireguard_open, datacenter_with_vpn_proxy, no_ptr_datacenter | ارفع مستوى التحقق. اطلب فحص بطاقة أو هاتف قبل تطبيق الحافز |
104.28.46.99 (مخرج iCloud Private Relay) | 9 | allow | relay_ip | أكرمه، واحتسبه في قاعدة معدل الطلبات لكل بادئة |
185.220.101.1 (مخرج Tor، هامبورغ) | 100 | block | tor_exit, datacenter_blocklisted, no_ptr_datacenter, known_spammer | ارفض الحافز. يمكن أن تمر عملية البيع بالسعر الكامل |
عدم التطابق في الحالتين هو بيت القصيد. يحصل خادم Linode على 10 وallow، لأن خادمًا سحابيًا عاديًا ليس احتيالًا: فواجهات API والتكاملات والمراقبة تعمل من السحب طوال اليوم. لكن ليس لقسيمة الطلب الأول سبب مشروع لأن تُطالَب من رف خوادم. ويحصل مخرج Mullvad على 100 وblock، لأن API طابقه في قائمة خوادم Mullvad نفسها التي تصنفه خادم WireGuard. لكن تقرير Security.org لـ VPN لعام 2026، وهو استطلاع لـ 1,008 بالغين أمريكيين في أغسطس 2026، وجد أن 42% يستخدمون VPN، فاسترداد عبر VPN كثيرًا ما يكون عميلًا حقيقيًا. وفحص البطاقة أو الرسائل النصية يكلّف ذلك العميل ثوانيَ، ويكلّف الشبكة بطاقة دفع أو رقم هاتف لكل حساب.
وهذا هو الاستعلام المختصر لعنوان الاستضافة (حذفنا PTR المخزَّن فيه، لأنه لا يطابق DNS العكسي الحي):
{
"ip": "45.33.32.156",
"asn": {
"asn": 63949,
"org": "AKAMAI-LINODE-AP - Akamai Connected Cloud",
"asn_type": "hosting",
"connection_type": "datacenter"
},
"detection": {
"is_proxy": false,
"is_vpn": false,
"is_tor": false,
"is_hosting": true,
"is_relay": false,
"anonymity_level": "low"
},
"threat": {
"is_cgnat": false
},
"scoring": {
"fraud_score": 10,
"confidence": 0.25,
"recommended_action": "allow",
"detection_methods": ["datacenter_ip"]
}
}
لذلك يجب أن تقرأ قاعدتك detection.is_hosting وasn.connection_type مباشرةً، لأن قاعدة تنتظر block ستدفع قيمة هذه القسيمة. استخدمت نسخ سابقة من هذا المقال خادم DigitalOcean droplet بعنوان 104.248.50.21. وفي 2026-10-23 حصل على 12 مع datacenter_ip وfcrdns_mismatch، وهي إشارة DNS عكسي لا علاقة لها بالقسائم، فبدّلنا العيّنة.
مخرج الترحيل هو الحالة المعاكسة:
{
"ip": "104.28.46.99",
"asn": {
"asn": 13335,
"org": "CLOUDFLARENET - Cloudflare, Inc.",
"user_type": "consumer_privacy_network"
},
"detection": {
"is_proxy": false,
"is_vpn": false,
"is_hosting": false,
"is_relay": true,
"anonymity_level": "medium",
"relay_provider": "iCloud Private Relay"
},
"scoring": {
"fraud_score": 9,
"recommended_action": "allow",
"detection_methods": ["relay_ip"]
}
}
قيمة is_relay صحيحة بينما is_proxy وis_vpn خاطئتان. هذا مستخدم Apple فعّل iCloud+ Private Relay، واسترداد واحد عبر المرحِّل هو عميل. أما مخرج Tor فحمل anonymity_level: "high" وإدراجًا في Spamhaus ZEN، ولهذا فإن رفض الحافز هناك قليل الكلفة.
العناوين المشتركة تحصل على قاعدة لمعدل الطلبات لا على حظر
لا يمكن حظر العناوين المشتركة بالدرجة وحدها في GeoIPHub، وهذا بالتصميم. عنوان CGNAT له سقف 50، داخل نطاق review، وعنوان iCloud Private Relay له سقف 60، داخل نطاق step_up. فحظر أي منهما يحظر كل عميل حقيقي خلفه. لذلك يجب كشف الشبكة المختبئة هناك بالعدّ لا بالتقييم:
- IPv4: عُدَّ استردادات عرض واحد لكل /24 في الساعة. نقطة البداية التي نقترحها، وليست معدلًا صناعيًا مقيسًا، هي ثلاثة: علّق الاسترداد الرابع وما بعده من /24 واحد للمراجعة، ثم اضبط الرقم على نتائجك أنت.
- IPv6: عُدَّ لكل /64 لا لكل عنوان كامل. عادةً يملك مشترك واحد الـ /64 كاملة، فالتدوير داخلها مجاني. والعدّ على العناوين الكاملة يحوّل فاعلًا واحدًا إلى آلاف. وتملك المنازل والشركات غالبًا /56 أو /48، فوسّع إليها حين تتوالى /64 جديدة من تخصيص واحد (راجع تحديد المعدل وحظر IPv6 بحسب /64).
- الترحيل وCGNAT: أبقِ العدادات نفسها لكن ارفع العتبة، لأن مخرج ترحيل واحدًا أو عنوان مشغّل واحدًا يخدم عملاء كثيرين بصورة مشروعة.
إشارات IP التي تكشف إساءة استخدام العروض
ثلاث إشارات IP تكشف إساءة استخدام العروض: أصل مشترك بين عملاء «مختلفين»، وأصل استضافة، وتجهيل متركز عند الاسترداد. وتكشف كل منها تنسيقًا تفوّته الفحوصات على مستوى الحساب.
أصل مشترك بين عملاء «مختلفين». حسابات جديدة كثيرة تسترد العرض نفسه من عنوان واحد أو /24 أو /64 هي أفظ الإشارات، وقواعد معدل الطلبات أعلاه تحوّلها إلى قرار.
نطاقات استضافة حيث يُفترض أن يكون المستهلكون. يسترد العملاء الجدد الحقيقيون من النطاق العريض المنزلي وخطوط المحمول. والاستردادات من نطاقات IP مراكز البيانات، أي النسخ السحابية ومزودي VPS وASNات الاستضافة، هي سكربتات حتى يثبت العكس. تصنف GeoIPHub الاستضافة من 853 ASN استضافة منتقاة إضافة إلى النطاقات الرسمية لـ 10 مزودي سحابة، ما يجعل ذلك أرخص مرشح أولي لأهلية العروض.
تجهيل متركز عند الاسترداد. وسوم VPN وTor أثناء التصفح العادي دليل ضعيف. أما ارتفاع الوسوم نفسها في طلبات الإحالة واستردادات الرموز فمختلف: المشغّل يدوّر نقاط الخروج ليتغلب على فحص الأصل المشترك.
العناوين المشتركة طبيعية، فاعتبر هذه الإشارات أسبابًا للتمحيص. وجدت Cloudflare أن عناوين CGNAT تتعرض لتحديد المعدل ثلاثة أضعاف غيرها، رغم أن متوسط معدل البوتات شبه متطابق، 4.8% مقابل 4.7% (Cloudflare، أكتوبر 2025). ينبغي لوسم CGNAT أن يخفف استجابتك لا أن يضخمها.
أين تصبح طبقة IP عمياء: البروكسيات السكنية ومزارع النقرات
لا يستطيع استعلام IP رؤية استرداد يصل عبر بروكسي سكني أو من هاتف في مزرعة نقرات على خط منزلي أو محمول حقيقي. تأتي تلك الاتصالات من عناوين مزودي إنترنت استهلاكيين، وهو بالضبط ما يبدو عليه العميل الجديد الحقيقي. ولا تكشف GeoIPHub البروكسيات السكنية. وقد يلتقط عنوان مزود إنترنت منزلي حتى إشارة مزود الإنترنت السكني، التي تخفض الدرجة بمقدار 20.
والشبكة التي تستأجر مخارج سكنية دفعت لتتغلب على فحوصات الشبكة، لذا يجب أن تأتي الأدلة من مكان آخر:
- معدل الطلبات على رسم الحسابات. مُحالون كثيرون يُنسبون إلى مُحيل واحد خلال ساعات، مهما كانت عناوينهم.
- تداخل الجهاز. حسابات تتشارك بصمة جهاز رغم اختلاف العناوين.
- تداخل الدفع والاتصال. بطاقة واحدة أو حساب مصرفي واحد أو رقم هاتف واحد خلف عدة عملاء «جدد».
- جودة الفوج. مستردّون لا يجرون عملية شراء ثانية أبدًا.
ولمعرفة لماذا تُعد المخارج السكنية المستأجرة أصعب الأصول حكمًا، راجع الاحتيال عبر البروكسي السكني ولماذا صارت عناوين IP الموثوقة محفوفة بالمخاطر. وللنسخة العامة من هذه المشكلة، يتناول كشف تعدد الحسابات كيف يصبح مستخدم واحد خمسين.
دليل كشف يمكنك إطلاقه هذا الأسبوع
ينجح الكشف حين تقيّم ثلاثة أحداث، وتتصرف في الحافز، وتراجع الشبكات لا الحسابات.
- سجّل ثلاثة أحداث لا حدثًا واحدًا. سجّل عنوان IP وإشاراته عند التسجيل وتقديم الإحالة والاسترداد. معظم الفرق تقيّم التسجيل فقط (يغطي كيف توقف التسجيلات المزيفة ذلك الفحص)، بينما تتركز الإساءة عند الاسترداد.
- قيّم المُحيل والمُحال. في حلقة الإحالة الذاتية الطرفان هما المشغّل نفسه. المُحيل الذي يتجمع من أحالهم على /24 واحد أو ASN واحد أو مزود VPN واحد هو دفتر حسابات الشبكة نفسها.
- شغّل معدل الطلبات لكل /24 ولكل /64 لكل عرض. عُدَّ لكل حملة لا عالميًا، كما وُصف أعلاه.
- قيّد أهلية العرض لا المشتريات. ينبغي أن يحجب أصل الاستضافة أو مخارج Tor أو سجل الإساءة المعروف الخصمَ عند الاسترداد بينما تمضي عملية البيع بالسعر الكامل. وذلك يزيل الربح دون إنشاء تذاكر دعم.
- أرسل النطاقات الوسطى إلى التحقق. درجة من 26 إلى 75، أو وسم VPN عند أي درجة، تستدعي خطوة بطاقة أو هاتف أو تحدٍّ، بالمنطق نفسه لـعتبات درجة الاحتيال لكل إجراء.
- راجع المجموعات لا الحسابات. ضع في الطابور المجموعات التي تتشارك IP أو بادئة أو جهازًا واحكم على الشبكة دفعة واحدة. ويوضح التحقيق في عنوان IP خطوة بخطوة كيف تقرأ أدلة عنوان واحد قبل أن تتصرف في مجموعته.
- قِس جودة الفوج. تتبّع نسبة الاسترداد إلى الشراء الثاني لكل حملة. العرض الذي لا يعود مستردّوه يُظهر أين ذهبت الميزانية.
اربط فحص الاسترداد أولًا
احتيال القسائم والإحالات هو تعدد الحسابات موجَّهًا إلى ميزانيتك التسويقية. ابدأ باستعلام واحد عند الاسترداد: اقرأ is_hosting وis_vpn وis_relay وis_tor وscoring.detection_methods، وقابلها بالإكرام أو التعليق أو رفع التحقق أو الرفض، وأضف العدادات لكل بادئة. تغطي الخطة المجانية 1,500 استعلام يوميًا بكل الحقول، ويعرض فاحص درجة احتيال IP الدرجة والأسباب نفسها لعنوان واحد دون كود. ويشرح نظرة عامة على منع الاحتيال كيف تُبنى الدرجة.
وتدافع الإشارات نفسها عن أبواب مجاورة: طبقة التجهيل في كيف يعمل كشف VPN والبروكسي، وأمان الحسابات في كشف الاستيلاء على الحسابات وحشو بيانات الاعتماد، وانضباط الإيجابيات الكاذبة في كشف الحركة المجهَّلة دون حظر العملاء الحقيقيين. اربط فحص الاسترداد أولًا. فهو أرخص مكان لتحويل برنامج مكافآت مفتوح إلى ميزانية نمو من جديد.
الأسئلة الشائعة
ما هي إساءة استخدام العروض؟
إساءة استخدام العروض (promotion abuse) هي استغلال الحوافز التسويقية مثل قسائم العملاء الجدد ومكافآت الإحالة وأرصدة التسجيل ونقاط الولاء والتجارب المجانية من أشخاص لم يكونوا المستفيدين المقصودين. وتتراوح بين عميل ينشئ عنوان بريد ثانيًا ليعيد استخدام خصم الطلب الأول، وصولًا إلى شبكات منظمة تدير آلاف الحسابات المزيفة لاستنزاف ميزانيات الإحالات والمكافآت.
هل إساءة استخدام رموز الخصم غير قانونية؟
في الغالب هي مخالفة لشروط الخدمة لا جريمة، ولهذا تعالج المنصات معظمها بالكشف وحظر الحسابات. وتصبح جنائية حين تنطوي على سرقة هوية أو مستندات مزورة أو خداع منسق على نطاق واسع. ففي 2021 وجّه مدّعون فيدراليون أمريكيون في ماساتشوستس اتهامات إلى 19 شخصًا في مخطط حسابات سائقين لتطبيقات النقل التشاركي والتوصيل استخدم أكثر من 2,000 هوية مسروقة وأنشأ حسابات مزيفة كان غرضها الوحيد إحالة حسابات مزيفة أخرى. وأقرّ متهمان بالذنب في 2022 بالتآمر لارتكاب احتيال عبر الاتصالات وسرقة هوية مشددة.
كيف يسيء الناس استخدام برامج الإحالة؟
الحيلة الأساسية هي الإحالة الذاتية عبر تعدد الحسابات: يتحكم المشغّل نفسه في المُحيل و«العميل الجديد» معًا، فيدفع كل تسجيل مزيف مكافأة. وتوسّع الشبكات ذلك باستخدام بريد ببدائل أسماء، ومتصفحات مكافحة الكشف، ومزارع أجهزة، وVPN، وبروكسيات سكنية مستأجرة. ولا يستطيع استعلام IP تمييز مخرج بروكسي سكني عن مستخدم منزلي حقيقي، لذا يجب كشف تلك الحسابات عبر معدل الطلبات وتداخل الجهاز والدفع.
ما إشارات IP التي تدل على إساءة استخدام العروض؟
أقوى إشارات الشبكة هي: حسابات جديدة «مختلفة» كثيرة تسترد العرض نفسه من نطاق IPv4 من النوع /24 واحد أو بادئة IPv6 من النوع /64 واحدة؛ واستردادات من نطاقات استضافة حيث يُفترض أن تأتي الحركة الاستهلاكية من خطوط منزلية أو محمولة؛ ووسوم VPN أو Tor المتركزة عند خطوة الاسترداد. وتحتاج كل منها إلى سياق. فـ NAT على مستوى مزود الخدمة (CGNAT) وiCloud Private Relay يضعان مستخدمين حقيقيين كثيرين خلف عنوان واحد، ولذلك تضع GeoIPHub سقفًا لدرجات CGNAT عند 50 ولدرجات الترحيل عند 60، وتعالج قاعدة لمعدل الطلبات، لا حظر، تلك العناوين.
كيف أوقف إساءة استخدام العروض دون حظر العملاء الحقيقيين؟
تصرّف في أهلية العرض لا في الحساب: حين تُطلق إشارات المخاطر، احجب الخصم والمكافأة أو علّقهما بدل رفض التسجيل أو البيع. أكرم الاستردادات منخفضة المخاطر، وعلّق للمراجعة الاستردادات القادمة من الاستضافة، وارفع مستوى التحقق في استردادات VPN بفحص دفع أو هاتف، وارفض الحافز عند مخارج Tor. قيّم المُحيل والمُحال معًا، وعالج العناوين المشتركة بحد لمعدل الطلبات لكل بادئة بدل الحظر.
الفريق الذي يقف وراء واجهة GeoIPHub API
بقلم فريق GeoIPHub، وهم من يبنون واجهة GeoIPHub API لاستخبارات IP وماسحها. تُعَدّ المسودات بمساعدة الذكاء الاصطناعي ويحررها الفريق، وأمثلة API استعلامات حقيقية على واجهة API الحية ما لم تُوصف بأنها توضيحية.
