Prevención del fraudeAbuso de promociones: cómo detectar y detener el fraude con cupones y referidos
El abuso de promociones es un solo operador haciéndose pasar por muchos clientes nuevos. Cuatro consultas de IP reales muestran cómo la dirección que canjea cambia lo que debe hacer tu flujo de cupones.
El abuso de promociones es un solo operador haciéndose pasar por muchos clientes nuevos para cobrar cupones, bonificaciones por referidos y créditos de registro. Lo detectas en el paso de canje, porque cada cuenta falsa tiene que conectarse desde una dirección de red, y el tipo de esa dirección decide si respetas, dejas en espera, desafías o deniegas el incentivo. A continuación: cómo funcionan los esquemas, las respuestas que daríamos a cuatro direcciones de canje reales que consultamos el 23 de octubre de 2026, las señales detrás de una puntuación de fraude de IP y sus franjas de allow a block, y dónde se queda ciega la capa de IP.
Qué se considera abuso de promociones
La etiqueta abarca seis esquemas distintos, y cada uno requiere una respuesta diferente:
| Esquema | Cómo funciona | Objetivo típico |
|---|---|---|
| Cultivo de cupones para clientes nuevos | Un operador crea repetidamente cuentas "primerizas" para reutilizar descuentos de bienvenida | Ecommerce, reparto, suscripciones |
| Redes de referidos (autorreferencia) | El mismo operador controla al referente y al referido, así que cada registro falso paga una bonificación doble | Marketplaces, fintech, plataformas de economía colaborativa |
| Cultivo de registros y bonificaciones | Creación masiva de cuentas para recolectar créditos, bonos de bienvenida o airdrops | Fintech, iGaming, cripto |
| Enumeración de códigos | Bots prueban códigos de cupón adivinables hasta que responden los válidos | Cualquier sitio con códigos cortos o secuenciales |
| Acumulación y explotación de fallos | Combinar códigos o explotar la lógica de canje más allá de los límites previstos | Flujos de checkout de retail |
| Cultivo de fidelidad y puntos | Actividad falsa o automatizada para acumular puntos canjeables | Aerolíneas, hoteles, fidelización en retail |
OWASP cataloga las versiones automatizadas en su proyecto Automated Threats. OAT-002 Token Cracking es la "mass enumeration of coupon numbers, voucher codes, discount tokens, etc." (enumeración masiva de números de cupón, códigos de vale, tokens de descuento, etc.), y OAT-019 Account Creation consiste en "create multiple accounts for subsequent misuse" (crear múltiples cuentas para un uso indebido posterior). Cinco de los seis esquemas de la tabla se basan en esas dos primitivas. La acumulación es la excepción, porque abusa de la lógica del checkout y no de la identidad.
Por qué el fraude con cupones y referidos está creciendo ahora
El fraude con cupones y referidos está creciendo porque las pérdidas ya ascienden a miles de millones y las herramientas se venden como servicio.
El dinero es considerable. Juniper Research prevé que el fraude en bienes digitales pase de 10.400 millones de dólares en 2025 a 27.000 millones en 2030, un aumento del 162 %, y señala el abuso de promociones como uno de sus tres impulsores clave, junto con las identidades sintéticas y el fraude amistoso (Juniper Research, diciembre de 2025). Además, cada dólar perdido cuesta más de un dólar. El estudio True Cost of Fraud de LexisNexis cifra el coste medio para los comercios minoristas y de ecommerce de EE. UU. en 4,61 dólares por cada dólar de fraude una vez contados el trabajo y los gastos generales (LexisNexis Risk Solutions, abril de 2025).
Las herramientas también se han industrializado: bots de creación de cuentas, navegadores antidetección, alias de correo y pools de proxies alquilados permiten a un solo operador hacerse pasar por muchos clientes.
Dentro del manual: cómo un solo operador se convierte en muchos clientes nuevos
Todos los manuales terminan igual: muchas cuentas, un solo operador e infraestructura compartida por debajo. Dos casos públicos muestran ambos extremos.
El extremo del robo de identidad. En mayo de 2021, fiscales federales en Massachusetts acusaron a 19 personas por un esquema que funcionó desde enero de 2019 hasta al menos abril de 2021. Usó más de 2.000 identidades robadas para abrir cuentas de conductor en apps de transporte compartido y reparto, creó cuentas falsas cuyo "sole purpose" (único propósito) era referir a otras cuentas falsas y utilizó "automated bots and GPS spoofing technology" (bots automatizados y tecnología de suplantación de GPS) para inflar las ganancias (NBC Boston, mayo de 2021). En 2022, dos acusados se declararon culpables de conspiración para cometer fraude electrónico y robo de identidad agravado. Otro proceso independiente en San Diego contra una red de cinco personas dedicada a cuentas de conductores terminó con la condena de su líder.
El extremo de las multicuentas puras. Los airdrops de tokens pagan por cada wallet elegible, así que los cultivadores crean wallets en lugar de identidades. Tras su airdrop de junio de 2024, zkSync defendió su filtrado de sybils argumentando que ser más agresivo "might falsely flag many organic users" (podría marcar por error a muchos usuarios orgánicos) (Cointelegraph, junio de 2024). Es el mismo dilema al que se enfrenta todo equipo de promociones. Unos filtros más estrictos detectan a más cultivadores y rechazan a más clientes reales.
Ambos comparten un punto débil. Las identidades falsas son baratas y los correos son gratis, pero cada cuenta tiene que conectarse desde algún sitio. Las ubicaciones de red de consumo limpias y distintas son el único recurso que una red no puede fabricar a demanda, así que reutiliza infraestructura, y esa reutilización aparece en tus logs.
Cómo eran cuatro IPs de canje el 23 de octubre de 2026
La misma promoción necesita cuatro respuestas distintas para cuatro tipos de dirección, y en dos de ellos el propio recommended_action de la puntuación de fraude no es la decisión sobre la promoción. El 23 de octubre de 2026, entre las 05:03:02 y las 05:03:17 UTC, hicimos consultas sin clave sobre cuatro direcciones públicas, una por cada tipo que ve un endpoint de cupones o referidos. Ninguna de ellas nos envió canjes reales. Representan los tipos de origen:
| IP que canjea (qué es) | fraud_score | recommended_action | Métodos que se activaron | Qué debería hacer el flujo de cupones o referidos |
|---|---|---|---|---|
45.33.32.156 (servidor de Linode, scanme.nmap.org) | 10 | allow | datacenter_ip | Dejar en espera para revisión. Deja pasar la venta a precio completo y pon el descuento en cola |
185.213.155.73 (servidor de Mullvad, Fráncfort) | 100 | block | known_vpn_server, wireguard_open, datacenter_with_vpn_proxy, no_ptr_datacenter | Añadir verificación. Pide una comprobación de tarjeta o de teléfono antes de aplicar el incentivo |
104.28.46.99 (salida de iCloud Private Relay) | 9 | allow | relay_ip | Respetar, y contarlo en la regla de velocidad por prefijo |
185.220.101.1 (nodo de salida de Tor, Hamburgo) | 100 | block | tor_exit, datacenter_blocklisted, no_ptr_datacenter, known_spammer | Denegar el incentivo. La venta a precio completo puede seguir adelante |
Las dos discrepancias son lo importante. El servidor de Linode obtiene 10 y allow, porque un servidor en la nube sin más no es fraude: APIs, integraciones y sistemas de monitorización funcionan desde la nube todo el día. Sin embargo, un cupón de primer pedido no tiene ninguna razón honesta para reclamarse desde un rack. La salida de Mullvad obtiene 100 y block, porque la API la encontró en la propia lista de servidores de Mullvad, que la etiqueta como servidor WireGuard. Pero el informe sobre VPN de 2026 de Security.org, una encuesta a 1.008 adultos de EE. UU. realizada en agosto de 2026, encontró que el 42 % usa una VPN, así que un canje desde una VPN es a menudo un cliente real. Una comprobación de tarjeta o por SMS le cuesta a ese cliente unos segundos y a una red le cuesta una tarjeta de pago o un número de teléfono por cuenta.
Esta es la consulta recortada de la dirección de hosting (omitimos su PTR almacenado, que no coincide con el DNS inverso en vivo):
{
"ip": "45.33.32.156",
"asn": {
"asn": 63949,
"org": "AKAMAI-LINODE-AP - Akamai Connected Cloud",
"asn_type": "hosting",
"connection_type": "datacenter"
},
"detection": {
"is_proxy": false,
"is_vpn": false,
"is_tor": false,
"is_hosting": true,
"is_relay": false,
"anonymity_level": "low"
},
"threat": {
"is_cgnat": false
},
"scoring": {
"fraud_score": 10,
"confidence": 0.25,
"recommended_action": "allow",
"detection_methods": ["datacenter_ip"]
}
}
Por tanto, tu regla tiene que leer directamente detection.is_hosting y asn.connection_type, porque una regla que espere a block pagaría este cupón. Versiones anteriores de este artículo usaban un droplet de DigitalOcean, 104.248.50.21. El 23 de octubre de 2026 obtuvo 12 con datacenter_ip más fcrdns_mismatch, una señal de DNS inverso que no tiene nada que ver con los cupones, así que cambiamos de muestra.
La salida del relay es el caso contrario:
{
"ip": "104.28.46.99",
"asn": {
"asn": 13335,
"org": "CLOUDFLARENET - Cloudflare, Inc.",
"user_type": "consumer_privacy_network"
},
"detection": {
"is_proxy": false,
"is_vpn": false,
"is_hosting": false,
"is_relay": true,
"anonymity_level": "medium",
"relay_provider": "iCloud Private Relay"
},
"scoring": {
"fraud_score": 9,
"recommended_action": "allow",
"detection_methods": ["relay_ip"]
}
}
is_relay es true mientras que is_proxy e is_vpn son false. Se trata de un usuario de Apple con iCloud+ Private Relay activado, y un canje desde un relay es un cliente. El nodo de salida de Tor tenía anonymity_level: "high" y aparecía en Spamhaus ZEN, por eso denegar el incentivo ahí cuesta poco.
Las direcciones compartidas reciben una regla de velocidad, no un bloqueo
En GeoIPHub, las direcciones compartidas nunca pueden bloquearse solo por la puntuación, por diseño. Una dirección de NAT de operador tiene un tope de 50, dentro de review, y una dirección de iCloud Private Relay tiene un tope de 60, dentro de step_up. Bloquear cualquiera de ellas bloquearía a todos los clientes reales que hay detrás. Así que la red que se oculta ahí hay que detectarla contando, no puntuando:
- IPv4: cuenta los canjes de una promoción por /24 y por hora. Nuestro punto de partida sugerido, no una tasa medida del sector, es tres: deja en espera para revisión el cuarto canje y los siguientes desde un mismo /24, y luego ajusta la cifra según tus propios resultados.
- IPv6: cuenta por /64, no por dirección completa. Un abonado suele tener todo el /64, así que rotar dentro de él es gratis. Usar como clave las direcciones completas convierte a un solo actor en miles. Los hogares y las empresas suelen tener un /56 o un /48, así que amplía a esos prefijos cuando sigan llegando /64 nuevos desde una misma asignación (consulta limitar la tasa y bloquear IPv6 por /64).
- Relay y CGNAT: mantén los mismos contadores, pero sube el umbral, porque una salida de relay o una dirección de operador da servicio legítimamente a muchos clientes.
Las señales de IP que revelan el abuso de promociones
Tres señales de IP revelan el abuso de promociones: un origen compartido entre clientes "distintos", el origen en hosting y la anonimización concentrada en el canje. Cada una revela una coordinación que las comprobaciones por cuenta pasan por alto.
Origen compartido entre clientes "distintos". Muchas cuentas nuevas canjeando una promoción desde una misma dirección, /24 o /64 es la señal más directa, y las reglas de velocidad anteriores la convierten en una decisión.
Rangos de hosting donde debería haber consumidores. Los clientes nuevos reales canjean desde banda ancha doméstica y líneas móviles. Los canjes desde rangos de IP de datacenter, es decir, instancias en la nube, proveedores de VPS y ASNs de hosting, son scripts mientras no se demuestre lo contrario. GeoIPHub clasifica el hosting a partir de 853 ASNs de hosting seleccionados más los rangos oficiales de 10 proveedores de nube, lo que convierte esto en el filtro de primera pasada más barato para la elegibilidad de las promociones.
Anonimización concentrada en el canje. Los indicadores de VPN y Tor en la navegación normal son una evidencia débil. Esos mismos indicadores disparándose en los envíos de referidos y en los canjes de códigos son otra cosa: el operador está rotando puntos de salida para burlar la comprobación de origen compartido.
Las IPs compartidas son normales, así que trata estas señales como motivos para mirar más de cerca. Cloudflare descubrió que las IPs CGNAT sufren limitación de tasa tres veces más a menudo que otras IPs, aunque la tasa mediana de bots es casi idéntica, un 4,8 % frente a un 4,7 % (Cloudflare, octubre de 2025). Un indicador de CGNAT debería atenuar tu respuesta, no amplificarla.
Dónde se queda ciega la capa de IP: proxies residenciales y granjas de clics
Una consulta de IP no puede ver un canje que llega a través de un proxy residencial o desde un teléfono de una granja de clics en una línea doméstica o móvil real. Esas conexiones vienen de direcciones de ISPs de consumo, que es exactamente el aspecto de un cliente nuevo real. GeoIPHub no detecta proxies residenciales. Una dirección de un ISP doméstico puede incluso recibir la señal de ISP residencial, que reduce la puntuación en 20.
Una red que alquila salidas residenciales ha pagado para burlar las comprobaciones de red, así que la evidencia tiene que venir de otra parte:
- Velocidad en el grafo de cuentas. Muchos referidos atribuidos a un mismo referente en cuestión de horas, sean cuales sean sus IPs.
- Coincidencia de dispositivos. Cuentas que comparten una huella digital de dispositivo pese a tener direcciones distintas.
- Coincidencia de pago y de contacto. Una misma tarjeta, cuenta bancaria o número de teléfono detrás de varios clientes "nuevos".
- Calidad de la cohorte. Personas que canjean y nunca hacen una segunda compra.
Para saber por qué las salidas residenciales alquiladas son el origen más difícil de juzgar, consulta el fraude con proxies residenciales y por qué las IPs de confianza ahora son un riesgo. Para la versión general de este problema, la detección de multicuentas explica cómo un usuario se convierte en cincuenta.
Un manual de detección que puedes poner en marcha esta semana
La detección funciona cuando puntúas tres eventos, actúas sobre el incentivo y revisas redes en lugar de cuentas.
- Instrumenta tres eventos, no uno. Registra la IP y sus señales en el registro, en el envío de referidos y en el canje. La mayoría de los equipos solo puntúan el registro (cómo detener los registros falsos cubre esa comprobación), mientras que el abuso se concentra en el canje.
- Puntúa al referente y al referido. En un bucle de autorreferencia, ambos lados son el mismo operador. Un referente cuyos reclutas se agrupan en un mismo /24, un mismo ASN o un mismo proveedor de VPN es la propia contabilidad de la red.
- Aplica velocidad por /24 y por /64 en cada promoción. Cuenta por campaña, no de forma global, como se describe arriba.
- Controla la elegibilidad para la promoción, no las compras. Un origen en hosting, nodos de salida de Tor o un historial de abuso conocido en el canje deberían retener el descuento mientras la venta a precio completo sigue adelante. Eso elimina el beneficio sin generar tickets de soporte.
- Envía las franjas intermedias a verificación. Una puntuación de 26 a 75, o un indicador de VPN con cualquier puntuación, justifica un paso de tarjeta, teléfono o desafío, con la misma lógica que los umbrales de puntuación de fraude por acción.
- Revisa clústeres, no cuentas. Pon en cola los grupos que comparten una IP, un prefijo o un dispositivo y juzga la red de una sola pasada. Investigar una dirección IP paso a paso muestra cómo leer las evidencias de una dirección antes de actuar sobre su clúster.
- Mide la calidad de la cohorte. Haz seguimiento de la tasa de canje a segunda compra por campaña. Una promoción cuyos usuarios no vuelven nunca muestra adónde fue el presupuesto.
Integra primero la comprobación en el canje
El abuso de cupones y referidos son multicuentas apuntando a tu presupuesto de marketing. Empieza con una consulta en el canje: lee is_hosting, is_vpn, is_relay, is_tor y scoring.detection_methods, asígnalos a respetar, dejar en espera, añadir verificación o denegar, y añade los contadores por prefijo. El plan gratuito incluye 1.500 consultas al día con todos los campos, y el comprobador de puntuación de fraude de IP muestra la misma puntuación y los mismos motivos para una sola dirección sin escribir código. La descripción general de la prevención de fraude explica cómo se construye la puntuación.
Las mismas señales defienden puertas contiguas: la capa de anonimización en cómo funciona la detección de VPN y proxy, la seguridad de las cuentas en detectar la toma de cuentas y el credential stuffing, y la disciplina frente a los falsos positivos en detectar tráfico anonimizado sin bloquear a clientes reales. Integra primero la comprobación en el canje. Es el lugar más barato para convertir un programa de recompensas de nuevo en un presupuesto de crecimiento.
Preguntas frecuentes
¿Qué es el abuso de promociones?
El abuso de promociones es la explotación de incentivos de marketing, como cupones para clientes nuevos, bonificaciones por referidos, créditos de registro, puntos de fidelidad y pruebas gratuitas, por parte de personas que nunca fueron sus destinatarias previstas. Abarca desde un cliente que crea una segunda dirección de correo para reutilizar un descuento de primer pedido hasta redes organizadas que gestionan miles de cuentas falsas para agotar los presupuestos de referidos y bonificaciones.
¿Es ilegal el abuso de códigos promocionales?
A menudo es una infracción de los términos de servicio más que un delito, por eso las plataformas gestionan la mayor parte con detección y suspensiones de cuentas. Se vuelve delictivo cuando implica robo de identidad, documentos falsificados o engaño coordinado a gran escala. En 2021, fiscales federales de EE. UU. en Massachusetts acusaron a 19 personas por un esquema de cuentas de conductores de transporte compartido y reparto que usó más de 2.000 identidades robadas y creó cuentas falsas cuyo único propósito era referir a otras cuentas falsas. Dos acusados se declararon culpables en 2022 de conspiración para cometer fraude electrónico y robo de identidad agravado.
¿Cómo se abusa de los programas de referidos?
La maniobra central es la autorreferencia mediante multicuentas: el mismo operador controla tanto al referente como al 'cliente nuevo', así que cada registro falso genera una bonificación. Las redes lo escalan con alias de correo, navegadores antidetección, granjas de dispositivos, VPN y proxies residenciales alquilados. Una consulta de IP no puede distinguir la salida de un proxy residencial de un usuario doméstico real, así que esas cuentas hay que detectarlas por velocidad y por coincidencias de dispositivo y de pago.
¿Qué señales de IP indican abuso de promociones?
Las señales de red más fuertes son muchas cuentas nuevas 'distintas' canjeando la misma promoción desde un mismo prefijo IPv4 /24 o IPv6 /64; canjes desde rangos de hosting cuando el tráfico de consumidores debería venir de líneas domésticas o móviles; y los indicadores de VPN o Tor concentrados en el paso de canje. Cada una necesita contexto. El NAT de operador (CGNAT) e iCloud Private Relay colocan a muchos usuarios reales detrás de una sola dirección, por eso GeoIPHub limita las puntuaciones de CGNAT a 50 y las de relay a 60, y esas direcciones se gestionan con una regla de velocidad, no con un bloqueo.
¿Cómo detengo el abuso de promociones sin bloquear a clientes reales?
Actúa sobre la elegibilidad para la promoción en lugar de sobre la cuenta: cuando se activen señales de riesgo, retén o deja en espera el descuento y la bonificación en vez de rechazar el registro o la venta. Respeta los canjes de bajo riesgo, deja en espera para revisión los canjes con origen en hosting, añade verificación a los canjes desde VPN con una comprobación de pago o de teléfono, y deniega el incentivo en los nodos de salida de Tor. Puntúa tanto al referente como al referido, y trata las direcciones compartidas con un límite de velocidad por prefijo en lugar de un bloqueo.
El equipo detrás de la API de GeoIPHub
Escrito por el equipo de GeoIPHub, las personas que crean la API de inteligencia IP de GeoIPHub y su escáner. Los borradores se preparan con ayuda de IA y el equipo los edita; los ejemplos de la API son consultas reales contra la API en producción, salvo que se indique que son ilustrativos.
