Abus de promotions : comment détecter et stopper la fraude aux coupons et au parrainage

L'abus de promotions, c'est un seul opérateur qui se fait passer pour de nombreux nouveaux clients afin de collecter coupons, primes de parrainage et crédits d'inscription. Vous le repérez à l'étape d'utilisation, car chaque faux compte doit encore se connecter depuis une adresse réseau, et le type de cette adresse détermine si vous honorez, suspendez, vérifiez ou refusez l'incitation. Ci-dessous : le fonctionnement des stratagèmes, les réponses que nous donnerions à quatre adresses d'utilisation réelles interrogées le 23 octobre 2026, les signaux derrière un score de fraude IP et ses tranches de allow à block, et les angles morts de la couche IP.

Ce qui relève de l'abus de promotions

L'étiquette recouvre six stratagèmes distincts, et chacun appelle une réponse différente :

L'OWASP répertorie les versions automatisées dans son projet Automated Threats. OAT-002 Token Cracking désigne la « mass enumeration of coupon numbers, voucher codes, discount tokens, etc. » (énumération massive de numéros de coupons, de codes de bons, de jetons de remise, etc.), et OAT-019 Account Creation consiste à « create multiple accounts for subsequent misuse » (créer de multiples comptes pour un usage abusif ultérieur). Cinq des six stratagèmes du tableau reposent sur ces deux primitives. Le cumul fait exception, car il abuse de la logique de paiement plutôt que de l'identité.

Pourquoi la fraude aux coupons et au parrainage prend de l'ampleur aujourd'hui

La fraude aux coupons et au parrainage prend de l'ampleur parce que les pertes se chiffrent désormais en milliards et que l'outillage est vendu en tant que service.

Les sommes sont considérables. Juniper Research prévoit que la fraude sur les biens numériques passera de 10,4 milliards de dollars en 2025 à 27 milliards de dollars d'ici 2030, soit une hausse de 162 %, et cite l'abus de promotions comme l'un des trois principaux moteurs, aux côtés des identités synthétiques et de la fraude amicale (Juniper Research, décembre 2025). Chaque dollar perdu coûte en outre plus d'un dollar. L'étude True Cost of Fraud de LexisNexis évalue le coût moyen pour les commerçants américains du commerce de détail et de l'e-commerce à 4,61 dollars pour chaque dollar de fraude, main-d'œuvre et frais généraux compris (LexisNexis Risk Solutions, avril 2025).

L'outillage s'est lui aussi industrialisé : bots de création de comptes, navigateurs anti-détection, alias d'e-mail et pools de proxys loués permettent à un seul opérateur de se faire passer pour de nombreux clients.

Dans les coulisses : comment un opérateur devient de nombreux nouveaux clients

Tous les modes opératoires aboutissent au même résultat : de nombreux comptes, un seul opérateur, et une infrastructure partagée en dessous. Deux affaires publiques en montrent les deux extrémités.

L'extrémité usurpation d'identité. En mai 2021, des procureurs fédéraux du Massachusetts ont inculpé 19 personnes dans une affaire qui s'est déroulée de janvier 2019 à au moins avril 2021. Elle utilisait plus de 2 000 identités volées pour ouvrir des comptes de chauffeurs sur des applications de VTC et de livraison, créait de faux comptes dont le « seul but » était de parrainer d'autres faux comptes, et recourait à des « automated bots and GPS spoofing technology » (bots automatisés et usurpation de GPS) pour gonfler les gains (NBC Boston, mai 2021). En 2022, deux accusés ont plaidé coupables d'association en vue de commettre une fraude électronique et d'usurpation d'identité aggravée. Une poursuite distincte à San Diego, visant un réseau de cinq personnes exploitant des comptes de chauffeurs, s'est conclue par la condamnation de son meneur.

L'extrémité multicomptes pure. Les airdrops de jetons paient par portefeuille éligible : les fermiers créent donc des portefeuilles plutôt que des identités. Après son airdrop de juin 2024, zkSync a défendu son filtrage anti-sybil en arguant qu'être plus agressif « might falsely flag many organic users » (risquerait de signaler à tort de nombreux utilisateurs authentiques) (Cointelegraph, juin 2024). C'est le même compromis que toute équipe promotion doit faire. Des filtres plus stricts attrapent plus de fermiers et refusent plus de vrais clients.

Les deux partagent un point faible. Les fausses identités sont bon marché et les e-mails gratuits, mais chaque compte doit encore se connecter depuis quelque part. Des emplacements réseau grand public propres et distincts sont la seule ressource qu'un réseau ne peut pas fabriquer à la demande : il réutilise donc son infrastructure, et cette réutilisation apparaît dans vos journaux.

À quoi ressemblaient quatre IP d'utilisation le 23 octobre 2026

La même promotion appelle quatre réponses différentes pour quatre types d'adresses, et la recommended_action du score de fraude n'est pas la décision promotionnelle dans deux d'entre eux. Le 23 octobre 2026, entre 05:03:02 et 05:03:17 UTC, nous avons effectué des requêtes sans clé sur quatre adresses publiques, une par type qu'un point de terminaison de coupon ou de parrainage voit passer. Aucune ne nous a envoyé de véritable utilisation. Elles représentent les types d'origine :

Les deux écarts sont l'essentiel. Le serveur Linode obtient 10 et allow, car un simple serveur cloud n'est pas de la fraude : API, intégrations et supervision tournent depuis le cloud en permanence. Un coupon de première commande, en revanche, n'a aucune raison honnête d'être réclamé depuis une baie de serveurs. La sortie Mullvad obtient 100 et block, car l'API l'a trouvée dans la propre liste de serveurs de Mullvad, qui l'identifie comme un serveur WireGuard. Mais le rapport VPN 2026 de Security.org, une enquête menée auprès de 1 008 adultes américains en août 2026, a constaté que 42 % utilisent un VPN : une utilisation via VPN est donc souvent le fait d'un vrai client. Une vérification par carte ou par SMS coûte quelques secondes à ce client et coûte à un réseau une carte de paiement ou un numéro de téléphone par compte.

Voici la requête abrégée pour l'adresse d'hébergement (nous omettons son PTR stocké, qui ne correspond pas au DNS inverse actuel) :

Votre règle doit donc lire directement detection.is_hosting et asn.connection_type, car une règle qui attendrait block paierait ce coupon. Les versions précédentes de cet article utilisaient un droplet DigitalOcean, 104.248.50.21. Le 23 octobre 2026, il obtenait 12 avec datacenter_ip plus fcrdns_mismatch, un signal de DNS inverse sans rapport avec les coupons : nous avons donc changé d'exemple.

La sortie de relais est le cas inverse :

is_relay vaut true tandis que is_proxy et is_vpn valent false. Il s'agit d'un utilisateur Apple avec iCloud+ Private Relay activé, et une utilisation via relais est le fait d'un client. Le nœud de sortie Tor présentait anonymity_level: "high" et une inscription sur Spamhaus ZEN, ce qui explique que refuser l'incitation à cet endroit coûte peu.

Les adresses partagées ont droit à une règle de vélocité, pas à un blocage

Dans GeoIPHub, les adresses partagées ne peuvent jamais être bloquées par le seul score, par conception. Une adresse de NAT de niveau opérateur est plafonnée à 50, dans review, et une adresse iCloud Private Relay est plafonnée à 60, dans step_up. Bloquer l'une ou l'autre bloquerait tous les vrais clients qui se trouvent derrière. Le réseau qui s'y cache doit donc être repéré par le comptage, et non par le score :

• IPv4 : comptez les utilisations d'une même promotion par /24 et par heure. Notre point de départ suggéré, et non un taux mesuré dans le secteur, est de trois : mettez en attente de vérification la quatrième utilisation et les suivantes provenant d'un même /24, puis ajustez ce chiffre selon vos propres résultats.
• IPv6 : comptez par /64, et non par adresse complète. Un abonné détient généralement le /64 entier, donc alterner à l'intérieur ne coûte rien. Se baser sur les adresses complètes transforme un acteur en milliers. Les foyers et les entreprises détiennent souvent un /56 ou un /48 : élargissez à ceux-ci lorsque de nouveaux /64 continuent d'arriver d'une même attribution (voir limiter le débit et bloquer l'IPv6 par /64).
• Relais et CGNAT : conservez les mêmes compteurs, mais relevez le seuil, car une sortie de relais ou une adresse d'opérateur dessert légitimement de nombreux clients.

Les signaux IP qui révèlent l'abus de promotions

Trois signaux IP révèlent l'abus de promotions : une origine partagée entre des clients « différents », une origine d'hébergement et une anonymisation concentrée à l'utilisation. Chacun révèle une coordination que les contrôles compte par compte ne voient pas.

Une origine partagée entre des clients « différents ». De nombreux nouveaux comptes qui utilisent une même promotion depuis une même adresse, un même /24 ou un même /64, c'est le signal le plus direct, et les règles de vélocité ci-dessus le transforment en décision.

Des plages d'hébergement là où devraient se trouver des particuliers. Les vrais nouveaux clients utilisent leurs promotions depuis leur connexion haut débit à domicile et leurs lignes mobiles. Les utilisations depuis des plages d'IP de datacenter, c'est-à-dire des instances cloud, des fournisseurs de VPS et des ASN d'hébergement, sont des scripts jusqu'à preuve du contraire. GeoIPHub classe l'hébergement à partir de 853 ASN d'hébergement sélectionnés, plus les plages officielles de 10 fournisseurs cloud, ce qui en fait le premier filtre le moins coûteux sur l'éligibilité aux promotions.

Une anonymisation concentrée à l'utilisation. Des signaux VPN et Tor sur une navigation ordinaire constituent une preuve faible. Les mêmes signaux qui grimpent en flèche sur les soumissions de parrainage et les utilisations de codes, c'est différent : l'opérateur fait tourner ses points de sortie pour déjouer le contrôle d'origine partagée.

Les IP partagées sont normales : traitez ces signaux comme des raisons d'y regarder de plus près. Cloudflare a constaté que les IP en CGNAT sont soumises à une limitation de débit trois fois plus souvent que les autres IP, alors que le taux médian de bots est presque identique, 4,8 % contre 4,7 % (Cloudflare, octobre 2025). Un signal CGNAT doit atténuer votre réponse, pas l'amplifier.

Les angles morts de la couche IP : proxys résidentiels et fermes à clics

Une requête IP ne peut pas voir une utilisation qui arrive par un proxy résidentiel ou depuis le téléphone d'une ferme à clics sur une véritable ligne résidentielle ou mobile. Ces connexions proviennent d'adresses de FAI grand public, ce qui est exactement l'apparence d'un vrai nouveau client. GeoIPHub ne détecte pas les proxys résidentiels. Une adresse de FAI résidentiel peut même recevoir le signal de FAI résidentiel, qui réduit le score de 20.

Un réseau qui loue des sorties résidentielles a payé pour déjouer les contrôles réseau : les preuves doivent donc venir d'ailleurs :

• La vélocité sur le graphe des comptes. De nombreux filleuls crédités à un même parrain en quelques heures, quelles que soient leurs IP.
• Le recoupement d'appareils. Des comptes qui partagent une empreinte d'appareil malgré des adresses différentes.
• Le recoupement de paiement et de contact. Une même carte, un même compte bancaire ou un même numéro de téléphone derrière plusieurs « nouveaux » clients.
• La qualité des cohortes. Des bénéficiaires qui ne font jamais de second achat.

Pour comprendre pourquoi les sorties résidentielles louées sont l'origine la plus difficile à juger, voir la fraude par proxy résidentiel et pourquoi des IP de confiance sont désormais risquées. Pour la version générale de ce problème, la détection des multicomptes explique comment un utilisateur en devient cinquante.

Un plan de détection à déployer cette semaine

La détection fonctionne lorsque vous évaluez trois événements, agissez sur l'incitation et examinez des réseaux plutôt que des comptes.

1. Instrumentez trois événements, pas un seul. Enregistrez l'IP et ses signaux à l'inscription, à la soumission du parrainage et à l'utilisation. La plupart des équipes n'évaluent que l'inscription (comment stopper les fausses inscriptions couvre ce contrôle), alors que l'abus se concentre à l'utilisation.
2. Évaluez le parrain et le filleul. Dans une boucle d'auto-parrainage, les deux côtés sont le même opérateur. Un parrain dont les recrues se regroupent sur un même /24, un même ASN ou un même fournisseur VPN, c'est la comptabilité du réseau lui-même.
3. Appliquez la vélocité par /24 et par /64 pour chaque promotion. Comptez par campagne, et non globalement, comme décrit ci-dessus.
4. Conditionnez l'éligibilité à la promotion, pas les achats. Une origine d'hébergement, un nœud de sortie Tor ou un historique d'abus connu à l'utilisation doit retenir la remise tandis qu'une vente au prix plein se poursuit. Cela supprime le profit sans créer de tickets de support.
5. Envoyez les tranches intermédiaires en vérification. Un score de 26 à 75, ou un signal VPN quel que soit le score, justifie une étape de vérification par carte, par téléphone ou par challenge, selon la même logique que les seuils de score de fraude par action.
6. Examinez des groupes, pas des comptes. Mettez en file d'attente les groupes qui partagent une IP, un préfixe ou un appareil et jugez le réseau en une seule passe. Enquêter sur une adresse IP étape par étape montre comment lire les éléments d'une adresse avant d'agir sur son groupe.
7. Mesurez la qualité des cohortes. Suivez le passage de l'utilisation au second achat pour chaque campagne. Une promotion dont les bénéficiaires ne reviennent jamais montre où est passé le budget.

Commencez par brancher le contrôle à l'utilisation

L'abus de coupons et de parrainage, c'est du multicomptes pointé sur votre budget marketing. Commencez par une seule requête à l'utilisation : lisez is_hosting, is_vpn, is_relay, is_tor et scoring.detection_methods, associez-les à honorer, suspendre, renforcer la vérification ou refuser, et ajoutez les compteurs par préfixe. L'offre gratuite couvre 1 500 requêtes par jour avec tous les champs, et l'outil de score de fraude IP affiche le même score et les mêmes raisons pour une adresse unique, sans code. La présentation de la prévention de la fraude explique comment le score est construit.

Les mêmes signaux défendent les portes voisines : la couche d'anonymisation dans le fonctionnement de la détection de VPN et de proxy, la sécurité des comptes dans détecter la prise de contrôle de compte et le credential stuffing, et la discipline face aux faux positifs dans détecter le trafic anonymisé sans bloquer de vrais clients. Commencez par brancher le contrôle à l'utilisation. C'est l'endroit le moins coûteux pour retransformer un programme de primes en budget de croissance.

Questions fréquentes

Qu'est-ce que l'abus de promotions ?

L'abus de promotions (promo abuse) est l'exploitation d'incitations marketing, comme les coupons pour nouveaux clients, les primes de parrainage, les crédits d'inscription, les points de fidélité et les essais gratuits, par des personnes qui n'en ont jamais été les destinataires prévus. Cela va du client qui crée une seconde adresse e-mail pour réutiliser une remise de première commande jusqu'aux réseaux organisés qui exploitent des milliers de faux comptes pour vider les budgets de parrainage et de bonus.

L'abus de codes promo est-il illégal ?

Il s'agit souvent d'une violation des conditions d'utilisation plutôt que d'un délit, ce qui explique que les plateformes le traitent majoritairement par la détection et le bannissement de comptes. Cela devient pénal lorsqu'il y a usurpation d'identité, faux documents ou tromperie coordonnée à grande échelle. En 2021, des procureurs fédéraux américains du Massachusetts ont inculpé 19 personnes dans une affaire de comptes de chauffeurs de VTC et de livraison qui utilisait plus de 2 000 identités volées et créait de faux comptes dont le seul but était de parrainer d'autres faux comptes. Deux accusés ont plaidé coupables en 2022 d'association en vue de commettre une fraude électronique (wire fraud) et d'usurpation d'identité aggravée.

Comment les gens abusent-ils des programmes de parrainage ?

Le geste de base est l'auto-parrainage par multicomptes : le même opérateur contrôle à la fois le parrain et le « nouveau client », si bien que chaque fausse inscription déclenche une prime. Les réseaux passent à l'échelle avec des alias d'e-mail, des navigateurs anti-détection, des fermes d'appareils, des VPN et des proxys résidentiels loués. Une requête IP ne peut pas distinguer une sortie de proxy résidentiel d'un vrai utilisateur à domicile : ces comptes doivent donc être repérés par la vélocité et par les recoupements d'appareils et de moyens de paiement.

Quels signaux IP indiquent un abus de promotions ?

Les signaux réseau les plus forts sont de nombreux nouveaux comptes « différents » qui utilisent la même promotion depuis un même /24 IPv4 ou un même préfixe /64 IPv6 ; des utilisations depuis des plages d'hébergement alors que le trafic grand public devrait venir de lignes résidentielles ou mobiles ; et des signaux VPN ou Tor concentrés à l'étape d'utilisation. Chacun demande du contexte. Le NAT de niveau opérateur et iCloud Private Relay placent de nombreux utilisateurs réels derrière une seule adresse : GeoIPHub plafonne donc les scores CGNAT à 50 et les scores de relais à 60, et c'est une règle de vélocité, et non un blocage, qui traite ces adresses.

Comment stopper l'abus de promotions sans bloquer de vrais clients ?

Agissez sur l'éligibilité à la promotion plutôt que sur le compte : lorsque des signaux de risque se déclenchent, refusez ou suspendez la remise et la prime au lieu de rejeter l'inscription ou la vente. Honorez les utilisations à faible risque, mettez en attente de vérification celles qui proviennent d'un hébergement, ajoutez une vérification de paiement ou de téléphone pour celles qui passent par un VPN, et refusez l'incitation aux nœuds de sortie Tor. Évaluez à la fois le parrain et le filleul, et traitez les adresses partagées avec une limite de vélocité par préfixe plutôt qu'avec un blocage.