Detección de cuentas múltiples: cómo un usuario se convierte en cincuenta

Cincuenta mil registros nuevos son una gráfica de crecimiento. No son un recuento de personas. Una parte de los "usuarios" de cualquier plataforma son los mismos pocos operadores con nombres distintos, y cada una de esas cuentas, revisada por separado, parece correcta. Esa es la propiedad que define las cuentas múltiples: el fraude es invisible a nivel de cuenta porque la cuenta no es la unidad del fraude. Lo es el operador. Esta guía para detectarlo explica quién opera cuentas duplicadas y por qué, las herramientas que hacen que una persona parezca cincuenta y las señales que reducen la red a un único actor. La mayoría están en la capa de red, la misma evidencia que alimenta una puntuación de fraude IP y sus bandas de riesgo.

Un comportamiento, cinco nombres

Las comunidades no dejan de rebautizar el mismo acto, y conviene saberlo porque la literatura sobre detección está repartida entre los cinco términos:

Los motivos se traducen en dinero casi en todas partes: volver a acumular los incentivos que se tratan en la detección del abuso de promociones y cupones, evadir bloqueos y límites de tasa, inflar reseñas y votos, autocontratarse en marketplaces (comprarte a ti mismo, reseñarte a ti mismo) y captar recompensas por identidad como los airdrops, donde operadores individuales han usado decenas de miles de "identidades" de wallet contra una misma distribución.

Las herramientas: cómo una persona se convierte en cincuenta

OWASP clasifica la versión industrial como OAT-019 Account Creation, la creación masiva de cuentas "para un uso indebido posterior", y las herramientas que la sostienen son baratas y legales de comprar:

• Alias de email y buzones desechables. El plus-addressing, los trucos con puntos y los dominios desechables hacen que los emails "únicos" salgan gratis en cualquier volumen.
• Granjas de teléfonos y números VoIP. La verificación por SMS es un simple reductor de velocidad que cuesta céntimos por código.
• Navegadores antidetección y granjas de dispositivos. La suplantación de la huella digital por perfil hace que cada cuenta se presente como hardware distinto, y esa es una de las razones por las que la huella digital del dispositivo necesita inteligencia IP a su lado.
• Rotación de proxies y VPN. Cada cuenta recibe su propia IP de salida: de centro de datos si la red es perezosa, residencial si está dispuesta a invertir (consulta por qué los proxies residenciales dominan el tráfico abusivo).

La escala que esto permite es de dominio público. Meta informa que actúa sobre alrededor de mil millones de cuentas falsas de Facebook por trimestre, 1.100 millones solo en el cuarto trimestre de 2025, y que la mayoría se bloquea a los pocos minutos de crearse (Meta Community Standards Enforcement Report). La creación de cuentas falsas no es un caso marginal en ningún sitio; es una industria manufacturera.

Por qué los controles por cuenta siguen sin detectarlo

Los controles en el momento del registro revisan las cuentas de una en una, y de una en una las cuentas están limpias: email válido, teléfono verificado, nombre verosímil, tarjeta que funciona. Las cuentas múltiples solo se vuelven visibles en las relaciones entre cuentas, y está demostrado que a los operadores se les da mal cortar esas relaciones.

La evidencia más sólida procede de un estudio de WWW 2022 sobre 8.551 pares verificados de evasión de bloqueos en Wikipedia (Characterizing, Detecting, and Predicting Online Ban Evasion). Quienes evadían el bloqueo intentaban activamente parecer distintos, con nombres de usuario nuevos y un lenguaje más moderado, y aun así seguían siendo medibles como ellos mismos: sus cuentas nuevas editaban las mismas páginas (solapamiento de 0,12 frente a 0,0001 en pares sin relación), reutilizaban un vocabulario similar y podían asociarse con su cuenta original bloqueada con un rango recíproco medio de 0,969, es decir, una reidentificación casi perfecta solo a partir del comportamiento. La detección en el momento del bloqueo alcanzó un AUC de 0,902. Las personas cambian de identificadores; no cambian de hábitos.

Ese hallazgo se puede generalizar: la red que varía sus emails se olvida de variar su subred; la que rota proxies mantiene horas de actividad idénticas; la que falsifica huellas digitales financia todas las cuentas desde una misma wallet. La coordinación se filtra. Tu trabajo es registrar las superficies por las que se filtra.

Las señales de red que desarman la red de cuentas

Los campos de identidad son lo más fácil de falsificar y la posición en la red es lo más difícil, y por eso la puntuación de riesgo IP está en el centro de la detección de cuentas múltiples:

Origen compartido, con la clave correcta. Que varias cuentas se registren o actúen desde una misma dirección IPv4 es la señal clásica, pero en IPv6 debes usar como clave el prefijo /64, porque un solo abonado controla todo el prefijo y puede generar gratis una dirección nueva para cada cuenta (limitar la tasa de IPv6 por /64). Las redes que nunca reutilizarían una dirección IPv4 reutilizan sin problema un /64.

Acciones de consumidor desde infraestructura que no es de consumo. Los usuarios reales se registran desde conexiones residenciales y móviles; las fábricas de cuentas funcionan en instancias en la nube y rangos de VPS. Un grupo de cuentas "independientes" que se origina en el espacio IP de centros de datos, o en un único ASN de hosting, es un script con una hoja de cálculo de personajes.

La anonimización como propiedad del lote. Un usuario con VPN es lo normal; las herramientas de privacidad son de uso general. Cuarenta cuentas nuevas de una misma cohorte que llegan todas por salidas de VPN o proxy, sobre todo del pool del mismo proveedor, son una firma de coordinación. El indicador importa sobre todo en conjunto y en los momentos sensibles: registro, reclamación de bonos, votos, reseñas.

Pools de proxies residenciales. Las redes dispuestas a invertir alquilan salidas residenciales para que cada cuenta llegue desde una IP doméstica creíble. Eso oculta el origen de red, así que cuando la IP parece limpia, las demás claves del grupo (dispositivo, pago, horarios) tienen que soportar el peso.

Horarios correlacionados y geografía imposible. Las cuentas que se activan, actúan y duermen al unísono, o que dicen ser cincuenta usuarios que de algún modo se mudan juntos de ciudad, se agrupan por horarios y geolocalización aunque todos los demás identificadores difieran.

La advertencia que te mantiene honesto. El NAT de operador (CGNAT) coloca a cientos o miles de abonados auténticos detrás de una sola dirección, y Cloudflare midió que las IP con CGNAT sufren limitación de tasa unas 3 veces más a menudo que tráfico comparable pese a tener tasas de bots similares (Cloudflare). Los hogares, las residencias de estudiantes y las oficinas comparten IP de forma legítima, y aproximadamente uno de cada cuatro usuarios de internet usa una VPN (Security.org). Un origen compartido o anonimizado es una clave de agrupación, nunca un veredicto.

Un plan de detección de cuentas múltiples centrado en el operador

1. Registra las claves de agrupación en el alta y en las acciones sensibles. IP y prefijo /64, ASN y tipo de conexión, indicadores de anonimización, huella digital del dispositivo, medio de pago. Las cuentas múltiples se confirman más a menudo en la reclamación de bonos, los votos y las retiradas de fondos que en el registro.
2. Construye el grafo y después léelo. Vincula las cuentas que compartan dos o más claves independientes. Una clave compartida es la vida misma (CGNAT, un mismo hogar); dos o más familias independientes de coincidencia, como red más pago o red más dispositivo, forman una hipótesis de red que merece un vistazo.
3. Resuelve grupos, no cuentas. Revisar cincuenta cuentas de una en una cuesta cincuenta investigaciones y no capta lo esencial. Pon el grupo en cola como un único caso, con sus claves compartidas arriba.
4. Responde de forma gradual. Para los grupos sospechosos: retén incentivos, limita los pagos por referidos, restringe votos y reseñas, retrasa las retiradas de fondos. Reserva los bloqueos masivos para las redes corroboradas. La misma disciplina de umbrales que aplicas a las puntuaciones de fraude se aplica a las acciones sobre grupos.
5. Haz barridos retroactivos. Las redes se optimizan contra los controles que ejecutaste en el registro, no contra los que ejecutas después. Volver a agrupar periódicamente sobre el registro acumulado es la forma en que las cacerías de cuentas Sybil en airdrops recuperaron millones después de la distribución, y es la forma de atrapar a la red que entró limpia.
6. Vigila a los reincidentes. La evasión de bloqueos son cuentas múltiples con rencor, y la investigación citada dice que quienes evaden vuelven más camuflados pero siguen siendo vinculables. Compara los registros nuevos con las claves de las cuentas bloqueadas recientemente como tarea permanente.

Una puntuación limpia puede seguir siendo una clave de agrupación

La puntuación de fraude de una sola cuenta responde a "¿es arriesgada esta cuenta?", mientras que las cuentas múltiples necesitan los campos que responden a "¿quién más comparte esto?". El 5 de octubre de 2026 consultamos dos IP públicas de infraestructura (los resultados cambian a medida que se mueven los rangos): un droplet de DigitalOcean y un servidor VPN de Mullvad.

El droplet obtiene 15 con recommended_action: "allow", y por sí solo es lo correcto: el hosting por sí mismo no es fraude. Sin embargo, para una red de cuentas lo útil es asn.asn 14061 y connection_type: "datacenter", porque cuarenta registros de "consumidores" que comparten un mismo ASN de hosting son la firma de fábrica que la puntuación nunca pretendió detectar cuenta por cuenta. El servidor de Mullvad obtiene 100 y block, pero el campo que importa para agrupar es detection.vpn_provider: "Mullvad", que convierte "el mismo pool de VPN" en un group-by. Un usuario de Mullvad sigue siendo simplemente un cliente que cuida su privacidad, así que trata ese block como una decisión de umbral por acción, no como prueba de una segunda cuenta.

Claves de agrupación a partir de una sola consulta IP

Las claves de agrupación anteriores llegan en una sola consulta por IP: asn, asn_type y connection_type separan a los consumidores residenciales y móviles de los orígenes en centros de datos y hosting; el bloque de detección marca las salidas de VPN, proxy, Tor y relay con proxy_type, anonymity_level y, cuando se identifica un proveedor comercial, el nombre en vpn_provider, de modo que "cuarenta cuentas, un pool de VPN" es una consulta y no una corazonada; is_cgnat marca las direcciones compartidas de operador para que los hogares nunca se traten como redes de cuentas; y la puntuación de fraude explicable de 0 a 100 llega con una recommended_action y las señales exactas que se activaron, incluidas las exculpatorias. Todos los campos están incluidos en el plan gratuito con 1.500 consultas al día, suficiente para puntuar cada registro y cada acción sensible en la mayoría de las plataformas, y puedes consultar cualquier IP sin clave de API para ver primero la forma de la respuesta.

Construye el registro de grupos antes que nada

Las cuentas múltiples son el motor que hay debajo de varios fraudes que en un panel parecen distintos: impulsan la acumulación de cupones y referidos descrita antes, suministran la rotación de personajes que hay detrás del robo de cuentas y el credential stuffing y se esconden dentro del tráfico anonimizado que se trata en cómo funciona la detección de VPN y proxies. Construye primero el registro de grupos. Cada una de esas defensas se vuelve más precisa en cuanto tu plataforma puede preguntar no "¿es arriesgada esta cuenta?", sino "¿cuántos de mis usuarios es esta persona?".

Preguntas frecuentes

¿Qué son las cuentas múltiples (multi-accounting)?

Las cuentas múltiples consisten en que una persona o un grupo opera varias cuentas en una plataforma que espera una cuenta por usuario. Según la comunidad, se habla de cuentas títere o sockpuppets (foros y wikis), smurfing (videojuegos competitivos), gnoming (apuestas e iGaming) o ataque Sybil (cripto y web3). Los motivos van desde acumular bonos de registro y pagos por referidos hasta evadir bloqueos, manipular reseñas y votos y blanquear valoraciones en marketplaces.

¿Cómo detectan los sitios web varias cuentas de la misma persona?

Las plataformas correlacionan lo que las cuentas no pueden evitar compartir: el origen de red (la misma dirección IP o el mismo prefijo IPv6 /64, el mismo pool de salida de VPN o proxy), las huellas digitales del dispositivo y del navegador, los medios de pago, los datos de contacto y sus alias, y patrones de comportamiento como horas de actividad o secuencias de interacción idénticas. Ninguna señal es concluyente por sí sola, así que la detección funciona agrupando las cuentas que comparten varias de estas claves y revisando el grupo como un único caso.

¿Usar una VPN oculta las cuentas múltiples?

Burla las comprobaciones ingenuas de misma IP, pero introduce su propia señal: las salidas de VPN y proxy comerciales se pueden identificar como tales, así que un lote de cuentas nuevas "sin relación" que llegan todas por infraestructura anonimizada es en sí mismo un indicador de coordinación. La investigación sobre evasión de bloqueos también muestra que los operadores siguen siendo vinculables por su comportamiento. En un estudio de 8.551 pares de evasión de bloqueos en Wikipedia, la cuenta que evadía el bloqueo pudo asociarse con su cuenta original bloqueada con una precisión casi perfecta solo a partir de sus patrones de edición.

¿Tener cuentas múltiples es ilegal?

Normalmente es una infracción de los términos de servicio que se resuelve con una suspensión, no un delito. Entra en terreno penal cuando se combina con robo de identidad, documentos falsificados o esquemas para obtener dinero mediante engaño. Los fiscales de Estados Unidos han presentado cargos de fraude electrónico y robo de identidad agravado contra redes que crearon cuentas en masa para acumular bonos por referidos. En sectores regulados como el iGaming, las cuentas duplicadas también pueden suponer un riesgo de cumplimiento normativo para el operador.

¿Cómo freno las cuentas múltiples sin castigar las redes compartidas?

Nunca trates una IP compartida por sí sola como prueba, porque el NAT de operador (CGNAT), las redes de campus, las oficinas y las familias colocan legítimamente a muchos usuarios reales detrás de una sola dirección. Comprueba si hay un indicador de CGNAT y el tipo de conexión antes de actuar, exige corroboración entre familias de señales independientes (red, más dispositivo, más pago, más comportamiento) y responde de forma gradual: retén incentivos y restringe privilegios en los grupos sospechosos, y reserva el bloqueo de cuentas para las redes corroboradas.