Détection du multi-comptes : comment un utilisateur en devient cinquante

Cinquante mille nouvelles inscriptions, c'est une courbe de croissance. Ce n'est pas un effectif. Une partie des « utilisateurs » de chaque plateforme, ce sont les mêmes quelques opérateurs sous des noms différents, et chacun de ces comptes, examiné isolément, semble irréprochable. C'est la propriété qui définit le multi-comptes : la fraude est invisible au niveau du compte, parce que le compte n'est pas l'unité de la fraude. L'opérateur l'est. Ce guide de détection présente qui exploite des comptes en double et pourquoi, la panoplie qui permet à une personne de passer pour cinquante, et les signaux qui ramènent le réseau à un seul acteur. La plupart se situent au niveau du réseau, les mêmes preuves qui alimentent un score de fraude IP et ses tranches de risque.

Un comportement, cinq noms

Les communautés renomment sans cesse le même acte, ce qu'il est utile de savoir, car la littérature sur la détection est dispersée entre ces cinq termes :

Les motivations se ramènent presque partout à l'argent : récupérer à répétition les incitations décrites dans la détection des abus de codes promo et de coupons, contourner les bannissements et les limites de débit, gonfler les avis et les votes, s'auto-traiter sur les places de marché (acheter à soi-même, s'évaluer soi-même) et capter des récompenses par identité comme les airdrops, où des opérateurs isolés ont fait tourner des dizaines de milliers d'« identités » de portefeuille sur une même distribution.

La panoplie : comment une personne en devient cinquante

L'OWASP classe la version industrielle sous OAT-019 Account Creation, la création de comptes en masse « en vue d'un usage abusif ultérieur », et les outils qui la soutiennent sont bon marché et légaux à acheter :

• Alias e-mail et boîtes jetables. Le plus-addressing, les astuces de points et les domaines jetables rendent les adresses « uniques » gratuites, quel que soit le volume.
• Fermes de téléphones et numéros VoIP. La vérification par SMS n'est qu'un ralentisseur facturé quelques centimes par code.
• Navigateurs anti-détection et fermes d'appareils. L'usurpation d'empreinte par profil fait apparaître chaque compte comme un matériel distinct, ce qui explique en partie pourquoi l'empreinte d'appareil a besoin de l'intelligence IP à ses côtés.
• Rotation de proxys et de VPN. Chaque compte reçoit sa propre IP de sortie : datacenter si le réseau est paresseux, résidentielle s'il investit (voir pourquoi les proxys résidentiels dominent le trafic abusif).

L'échelle que cela permet est de notoriété publique. Meta indique agir sur environ un milliard de faux comptes Facebook par trimestre, 1,1 milliard au seul quatrième trimestre 2025, la plupart étant bloqués quelques minutes après leur création (Meta Community Standards Enforcement Report). La création de faux comptes n'est un cas marginal nulle part ; c'est une industrie manufacturière.

Pourquoi les contrôles par compte continuent de le manquer

Les contrôles à l'inscription examinent les comptes un par un, et un par un, les comptes sont propres : e-mail valide, téléphone vérifié, nom plausible, carte fonctionnelle. Le multi-comptes ne devient visible que dans les relations entre comptes, et les opérateurs sont manifestement mauvais pour couper ces relations.

Les preuves les plus solides proviennent d'une étude présentée à WWW 2022 portant sur 8 551 paires vérifiées de contournement de bannissement sur Wikipédia (Characterizing, Detecting, and Predicting Online Ban Evasion). Les contrevenants essayaient activement de paraître différents, avec de nouveaux noms d'utilisateur et un langage adouci, mais restaient mesurablement eux-mêmes : leurs nouveaux comptes modifiaient les mêmes pages (recoupement de 0,12 contre 0,0001 pour des paires sans lien), réutilisaient un vocabulaire similaire et pouvaient être rattachés à leur compte parent banni avec un rang réciproque moyen de 0,969, soit une réidentification quasi parfaite à partir du seul comportement. La détection au moment du bannissement atteignait une AUC de 0,902. Les gens changent d'identifiants ; ils ne changent pas d'habitudes.

Ce constat se généralise : le réseau qui varie ses e-mails oublie de varier son sous-réseau ; celui qui fait tourner ses proxys garde des heures d'activité identiques ; celui qui falsifie ses empreintes alimente tous ses comptes depuis un seul portefeuille. La coordination fuit. Votre travail consiste à journaliser les surfaces par lesquelles elle fuit.

Les signaux réseau qui démasquent le réseau

Les champs d'identité sont ce qu'il y a de plus facile à falsifier et la position réseau ce qu'il y a de plus difficile, c'est pourquoi le scoring de risque IP est au cœur de la détection du multi-comptes :

Une origine partagée, avec la bonne clé. Plusieurs comptes qui s'inscrivent ou agissent depuis une même adresse IPv4, c'est l'indice classique, mais en IPv6, la clé doit être le préfixe /64, car un seul abonné contrôle tout le préfixe et peut générer gratuitement une nouvelle adresse par compte (limiter le débit IPv6 par /64). Des réseaux qui ne réutiliseraient jamais une adresse IPv4 réutilisent volontiers un /64.

Des actions de particuliers depuis une infrastructure qui n'est pas grand public. Les vrais utilisateurs s'inscrivent depuis des connexions résidentielles et mobiles ; les usines à comptes tournent sur des instances cloud et des plages de VPS. Un groupe de comptes « indépendants » provenant de l'espace d'adresses IP de datacenter, ou d'un seul ASN d'hébergeur, c'est un script accompagné d'un tableur de personnages.

L'anonymisation comme propriété d'un lot. Un utilisateur sous VPN, c'est un mardi ordinaire ; les outils de confidentialité sont courants. Quarante nouveaux comptes d'une même cohorte qui arrivent tous par des sorties VPN ou proxy, surtout du pool d'un même fournisseur, c'est une signature de coordination. L'indicateur compte surtout en agrégat et aux moments sensibles : inscription, réclamation de bonus, votes, avis.

Les pools de proxys résidentiels. Les réseaux qui investissent louent des sorties résidentielles pour que chaque compte arrive sur une IP domestique crédible. Cela masque l'origine réseau : quand l'IP paraît propre, ce sont les autres clés de regroupement (appareil, paiement, timing) qui doivent porter le poids.

Un timing corrélé et une géographie impossible. Des comptes qui se réveillent, agissent et s'endorment au même rythme, ou qui prétendent être cinquante utilisateurs qui changent de ville ensemble, se regroupent par timing et par géolocalisation même lorsque tous les autres identifiants diffèrent.

La précaution qui vous garde honnête. Le CGNAT des opérateurs place des centaines ou des milliers d'abonnés réels derrière une seule adresse, et Cloudflare a mesuré que les IP CGNAT étaient soumises à une limitation de débit environ 3 fois plus souvent qu'un trafic comparable, malgré des taux de bots similaires (Cloudflare). Les foyers, les résidences étudiantes et les bureaux partagent légitimement des IP, et environ un internaute sur quatre utilise un VPN (Security.org). Une origine partagée ou anonymisée est une clé de regroupement, jamais un verdict.

Une méthode de détection du multi-comptes qui cible l'opérateur

1. Journalisez les clés de regroupement à l'inscription et lors des actions sensibles. IP et préfixe /64, ASN et type de connexion, indicateurs d'anonymisation, empreinte d'appareil, moyen de paiement. Le multi-comptes se confirme plus souvent lors des réclamations de bonus, des votes et des retraits qu'à l'inscription.
2. Construisez le graphe, puis lisez-le. Reliez les comptes qui partagent au moins deux clés indépendantes. Une clé partagée, c'est la vie courante (CGNAT, un même foyer) ; deux familles de recoupement indépendantes ou plus, comme réseau et paiement ou réseau et appareil, justifient d'examiner l'hypothèse d'un réseau.
3. Statuez sur des groupes, pas sur des comptes. Examiner cinquante comptes un par un coûte cinquante enquêtes et passe à côté de l'essentiel. Mettez le groupe en file comme un seul dossier, avec ses clés partagées en tête.
4. Répondez par paliers. Pour les groupes suspects : retenez les incitations, plafonnez les primes de parrainage, restreignez les votes et les avis, retardez les retraits. Réservez les bannissements en masse aux réseaux corroborés. La même rigueur de seuils que vous appliquez aux scores de fraude vaut pour les actions sur les groupes.
5. Balayez rétroactivement. Les réseaux s'optimisent contre les contrôles que vous avez effectués à l'inscription, pas contre ceux que vous effectuez plus tard. Le regroupement périodique sur le journal accumulé, c'est ainsi que les chasses aux Sybil des airdrops ont récupéré des millions après la distribution, et c'est ainsi que vous attraperez le réseau entré proprement.
6. Surveillez les récidivistes. Le contournement de bannissement, c'est du multi-comptes avec de la rancune, et les recherches citées plus haut montrent que les contrevenants reviennent mieux camouflés mais toujours reliables. Comparez en permanence les nouvelles inscriptions aux clés des comptes récemment bannis.

Un score propre peut tout de même être une clé de regroupement

Le score de fraude d'un compte isolé répond à « ce compte est-il risqué ? », alors que le multi-comptes a besoin des champs qui répondent à « qui d'autre partage ceci ? ». Nous avons interrogé deux IP d'infrastructure publiques le 5 octobre 2026 (les résultats changent à mesure que les plages évoluent) : un droplet DigitalOcean et un serveur VPN Mullvad.

Le droplet obtient 15 avec recommended_action: "allow", et pris isolément, c'est justifié : l'hébergement seul n'est pas une fraude. Pour un réseau, en revanche, asn.asn 14061 et connection_type: "datacenter" sont la partie utile, car quarante inscriptions « grand public » partageant un même ASN d'hébergeur constituent la signature d'usine que le score n'a jamais été conçu pour détecter compte par compte. Le serveur Mullvad obtient 100 et block, mais le champ qui compte pour le regroupement est detection.vpn_provider: "Mullvad", qui transforme « même pool VPN » en simple regroupement. Un utilisateur Mullvad reste simplement un client soucieux de sa vie privée : traitez donc ce block comme une décision de seuil propre à une action, pas comme la preuve d'un second compte.

Des clés de regroupement issues d'une seule requête IP

Les clés de regroupement ci-dessus proviennent d'une seule requête par IP : asn, asn_type et connection_type distinguent les particuliers résidentiels et mobiles des origines datacenter et hébergement ; le bloc detection signale les sorties VPN, proxy, Tor et relais avec proxy_type, anonymity_level et, lorsqu'un fournisseur commercial est identifié, le nom vpn_provider, si bien que « quarante comptes, un pool VPN » devient une requête plutôt qu'une intuition ; is_cgnat signale les adresses partagées des opérateurs pour que les foyers ne soient jamais traités comme des réseaux ; et le score de fraude explicable de 0 à 100 est accompagné d'une recommended_action et des signaux exacts qui se sont déclenchés, y compris ceux qui disculpent. Tous les champs sont inclus dans l'offre gratuite à 1 500 requêtes par jour, ce qui suffit pour évaluer chaque inscription et chaque action sensible sur la plupart des plateformes, et vous pouvez interroger n'importe quelle IP sans clé d'API pour voir d'abord la forme de la réponse.

Construisez le journal de regroupement avant tout le reste

Le multi-comptes est le moteur de plusieurs fraudes qui paraissent distinctes sur un tableau de bord : il alimente le cumul de coupons et de parrainages décrit plus haut, fournit le renouvellement de personnages derrière la prise de contrôle de compte et le credential stuffing, et se cache dans le trafic anonymisé traité dans le fonctionnement de la détection des VPN et des proxys. Construisez d'abord le journal de regroupement. Chacune de ces défenses devient plus précise dès que votre plateforme peut se demander non plus « ce compte est-il risqué ? » mais « combien de mes utilisateurs cette personne représente-t-elle ? »

Questions fréquentes

Qu'est-ce que le multi-comptes ?

Le multi-comptes, c'est une personne ou un groupe qui exploite plusieurs comptes sur une plateforme qui en prévoit un par utilisateur. Selon la communauté, on parle de faux-nez ou sockpuppetry (forums et wikis), de smurfing (jeu compétitif), de gnoming (paris et iGaming) ou d'attaque Sybil (crypto et web3). Les motivations vont du cumul de bonus d'inscription et de primes de parrainage au contournement de bannissements, en passant par la manipulation d'avis et de votes et le blanchiment d'évaluations sur les places de marché.

Comment les sites web détectent-ils plusieurs comptes appartenant à la même personne ?

Les plateformes mettent en corrélation ce que les comptes ne peuvent s'empêcher de partager : l'origine réseau (la même adresse IP ou le même préfixe IPv6 /64, le même pool de sortie VPN ou proxy), les empreintes d'appareil et de navigateur, les moyens de paiement, les coordonnées et leurs alias, ainsi que des schémas comportementaux comme des heures d'activité ou des séquences d'interactions identiques. Aucun signal n'est concluant à lui seul : la détection consiste donc à regrouper les comptes qui partagent plusieurs de ces clés et à examiner le groupe comme un seul dossier.

Un VPN permet-il de masquer le multi-comptes ?

Il met en échec les contrôles naïfs de même IP, mais il introduit son propre signal : les sorties de VPN et de proxys commerciaux sont identifiables comme telles, si bien qu'un lot de nouveaux comptes « sans rapport » arrivant tous par une infrastructure anonymisée constitue en soi un indicateur de coordination. Les recherches sur le contournement de bannissement montrent aussi que les opérateurs restent reliables par leur comportement. Dans une étude portant sur 8 551 paires de contournement de bannissement sur Wikipédia, le compte de contournement pouvait être rattaché à son compte parent banni avec une précision quasi parfaite à partir des seuls schémas de modification.

Le multi-comptes est-il illégal ?

En général, il s'agit d'une violation des conditions d'utilisation, sanctionnée par une suspension plutôt que d'un délit. Il bascule dans le pénal lorsqu'il est combiné à une usurpation d'identité, à des faux documents ou à des montages visant à obtenir de l'argent par tromperie. Des procureurs américains ont engagé des poursuites pour fraude électronique (wire fraud) et usurpation d'identité aggravée contre des réseaux qui créaient des comptes en masse pour cumuler des primes de parrainage. Dans les secteurs réglementés comme l'iGaming, les comptes en double peuvent aussi exposer l'opérateur à des risques de conformité.

Comment stopper le multi-comptes sans pénaliser les réseaux partagés ?

Ne considérez jamais une IP partagée comme une preuve à elle seule, car le CGNAT des opérateurs, les réseaux de campus, les bureaux et les familles placent légitimement de nombreux utilisateurs réels derrière une seule adresse. Vérifiez l'indicateur CGNAT et le type de connexion avant d'agir, exigez une corroboration par des familles de signaux indépendantes (réseau, appareil, paiement et comportement) et répondez par paliers : retenez les incitations et restreignez les privilèges des groupes suspects, et réservez les bannissements de comptes aux réseaux corroborés.