複数アカウント不正の検知：1人のユーザーが50人になる仕組み

5万件の新規サインアップは、成長グラフです。人数ではありません。どのプラットフォームの「ユーザー」にも、同じ少数の運用者が別の名前を名乗っている部分が一定数含まれています。そして、それらのアカウントはどれも、単独で調べれば問題なく見えます。これが複数アカウント不正の決定的な特徴です。不正の単位はアカウントではないため、アカウント単位では不正が見えません。単位は運用者なのです。このガイドでは、誰がなぜ重複アカウントを運用するのか、1人を50人に見せかけるツール群、そして集団を1人の行為者へと集約し直すシグナルを取り上げます。シグナルの大部分はネットワークレイヤーにあり、IP 不正スコアとそのリスク帯を支えているのと同じ証拠です。

1つの行為に5つの名前

コミュニティは同じ行為に次々と別の名前を付けています。検知に関する文献がこの5つの用語すべてに分散しているため、知っておく価値があります。

動機はほぼどこでも金銭に結びついています。プロモーション・クーポン悪用の検知で取り上げたインセンティブの再取得、BAN やレート制限の回避、レビューや投票の水増し、マーケットプレイスでの自己取引（自分から買い、自分でレビューする）、そしてエアドロップのような ID ごとの報酬の獲得です。エアドロップでは、1人の運用者が数万ものウォレットの「ID」を1回の配布に投入した例もあります。

ツール群：1人が50人になる仕組み

OWASP は、これを産業化したものを OAT-019 Account Creation、つまり「後の悪用のための」アカウントの大量作成として分類しています。それを支えるツールは安価で、合法的に購入できます。

• メールエイリアスと使い捨て受信箱。 プラスアドレス、ドットのトリック、使い捨てドメインを使えば、「ユニークな」メールアドレスがいくらでも無料で手に入ります。
• フォンファームと VoIP 番号。 SMS 認証は、1コードあたり数セントで越えられる減速帯にすぎません。
• アンチディテクトブラウザとデバイスファーム。 プロファイルごとのフィンガープリント偽装により、各アカウントが別々のハードウェアに見えます。これが、デバイスフィンガープリントには IP インテリジェンスを併用する必要がある理由の1つです。
• プロキシと VPN のローテーション。 各アカウントに専用の出口 IP が割り当てられます。手を抜いた集団ならデータセンター、本気で投資している集団ならレジデンシャルです（不正なトラフィックでレジデンシャルプロキシが主流になっている理由を参照）。

これが可能にする規模は公的な記録として残っています。Meta は四半期あたり約10億件の偽の Facebook アカウントに対処していると報告しており、2025年第4四半期だけで11億件に上り、その大半は作成から数分以内にブロックされています（Meta Community Standards Enforcement Report）。偽アカウントの作成は、どこにおいても例外的なケースではありません。それは製造業なのです。

アカウント単位のチェックが見逃し続ける理由

サインアップ時のチェックはアカウントを1件ずつ調べますが、1件ずつ見ればアカウントはクリーンです。有効なメールアドレス、認証済みの電話番号、もっともらしい名前、使えるカード。複数アカウント不正はアカウント同士の関係の中で初めて見えてきます。そして運用者は、その関係を断ち切るのが明らかに苦手です。

最も強力な証拠は、Wikipedia における8,551組の検証済み BAN 回避ペアを対象とした WWW 2022 の研究（Characterizing, Detecting, and Predicting Online Ban Evasion）から得られています。回避者は新しいユーザー名を使い、言葉遣いを抑えるなど、違って見えるよう積極的に努めました。それでも彼らは測定可能なほど同じ人物のままでした。新しいアカウントは同じページを編集し（重複率は無関係なペアの0.0001に対して0.12）、似た語彙を再利用し、平均逆順位（MRR）0.969 で BAN された元のアカウントに紐付けることができました。これは行動だけからほぼ完璧に再識別できることを意味します。BAN の時点での検知は AUC 0.902 に達しました。人は識別子を変えても、習慣は変えないのです。

この知見は一般化できます。メールアドレスを変える集団はサブネットを変えるのを忘れ、プロキシをローテーションする集団は活動時間帯がまったく同じままで、フィンガープリントを偽装する集団はすべてのアカウントに1つのウォレットから入金します。連携の痕跡は漏れ出します。あなたの仕事は、それが漏れ出す先の面をログに記録することです。

集団をあぶり出すネットワークシグナル

ID のフィールドは最も偽装しやすく、ネットワーク上の位置は最も偽装しにくいものです。だからこそ、IP リスクスコアリングが複数アカウント検知の中心にあります。

共有された発信元を、正しいキーで。 複数のアカウントが1つの IPv4 アドレスから登録や操作を行うのは典型的な手がかりです。しかし IPv6 では /64 プレフィックスをキーにする必要があります。1人の加入者がプレフィックス全体を管理しており、アカウントごとに新しいアドレスを無料で作り出せるからです（IPv6 の /64 単位でのレート制限）。IPv4 アドレスは決して再利用しない集団でも、/64 は平気で再利用します。

非コンシューマー向けインフラからのコンシューマー的な行動。 実在のユーザーはレジデンシャルやモバイルの回線からサインアップしますが、アカウント工場はクラウドインスタンスや VPS のレンジで動いています。「独立した」アカウントの一群がデータセンターの IP 空間や単一のホスティング ASN から発信されているなら、それは人格リストのスプレッドシートを持ったスクリプトです。

バッチ全体の性質としての匿名化。 1人のユーザーが VPN を使っているのはありふれたことで、プライバシーツールは今や主流です。しかし、1つのコホートに属する40件の新規アカウントがすべて VPN やプロキシの出口を経由して、特に同じ事業者のプールからやってくるなら、それは連携の特徴です。このフラグが最も意味を持つのは、集計したときと、登録、ボーナス請求、投票、レビューといった重要な場面です。

レジデンシャルプロキシのプール。 本気で投資している集団は、レジデンシャルの出口を借りて、各アカウントがもっともらしい家庭の IP から届くようにします。これによりネットワーク上の発信元が隠されるため、IP がクリーンに見える場合は、他のクラスタキー（デバイス、決済、タイミング）が重みを担う必要があります。

相関したタイミングと、ありえない地理。 足並みをそろえて起き、行動し、眠るアカウントや、50人のユーザーを名乗りながらなぜかそろって都市を移動するアカウントは、他の識別子がすべて異なっていても、タイミングとジオロケーションでクラスタになります。

誠実さを保つための注意点。 キャリアグレード NAT は数百から数千の正規の加入者を1つのアドレスの背後に置きます。Cloudflare の測定では、bot の比率は同程度であるにもかかわらず、CGNAT の IP は同等のトラフィックに比べて約3倍多くレート制限を受けていました（Cloudflare）。家庭、学生寮、オフィスは正当な理由で IP を共有しており、インターネットユーザーのおよそ4人に1人が VPN を使っています（Security.org）。共有された発信元や匿名化された発信元はクラスタリングのキーであり、決して判定ではありません。

運用者を標的にする複数アカウント検知のプレイブック

1. サインアップ時と重要な操作の時点でクラスタキーを記録する。 IP と /64 プレフィックス、ASN と接続タイプ、匿名化フラグ、デバイスフィンガープリント、決済手段です。複数アカウント不正が確認されるのは、登録時よりも、ボーナス請求、投票、出金の時点であることの方が多いのです。
2. グラフを構築し、それを読み解く。 独立したキーを2つ以上共有するアカウントを紐付けます。共有キーが1つだけなら日常の一部です（CGNAT、1つの家庭）。ネットワークと決済、あるいはネットワークとデバイスのように、独立した系統で2つ以上の重なりがあれば、調べる価値のある集団の仮説になります。
3. アカウントではなくクラスタを判定する。 50個のアカウントを1件ずつレビューすれば50件の調査が必要になり、しかも本質を見失います。共有キーを先頭に置いて、クラスタを1つの案件としてキューに入れましょう。
4. 段階的に対応する。 疑わしいクラスタに対しては、インセンティブを保留し、紹介報酬に上限を設け、投票やレビューを制限し、出金を遅らせます。大量 BAN は裏付けの取れた集団のために取っておきます。不正スコアに用いるのと同じしきい値の規律が、クラスタに対する措置にも当てはまります。
5. 事後にさかのぼって洗い出す。 集団はサインアップ時に実行したチェックに合わせて最適化してきますが、後から実行するチェックには対応できません。蓄積されたログに対して定期的にクラスタリングをやり直すことで、エアドロップのシビル狩りは配布後に数百万ドルを回収しました。クリーンな状態で入り込んだ集団を捕まえる方法もこれです。
6. 常習者を監視する。 BAN 回避は、恨みを伴った複数アカウント不正です。前述の研究によると、回避者はより巧妙に偽装して戻ってきますが、それでも紐付けは可能です。新規サインアップを最近 BAN されたアカウントのキーと照合する処理を、常設のジョブとして実行しましょう。

クリーンなスコアでもクラスタキーになりうる

単一アカウントの不正スコアは「このアカウントは危険か？」に答えるものですが、複数アカウント不正の検知には「他に誰がこれを共有しているか？」に答えるフィールドが必要です。2026年10月5日に、公開されている2つのインフラ IP をルックアップしました（レンジが変動すると結果も変わります）。DigitalOcean の Droplet と Mullvad VPN のサーバーです。

Droplet のスコアは15で recommended_action: "allow" です。単独で見ればそれが妥当です。ホスティングであるだけでは不正ではありません。しかし集団を見つけるうえでは、asn.asn の14061と connection_type: "datacenter" こそが役に立つ部分です。40件の「コンシューマー」のサインアップが1つのホスティング ASN を共有しているなら、それはアカウント工場の特徴であり、アカウント単位のスコアはもともとそれを捕捉するためのものではありません。Mullvad のサーバーはスコア100で block ですが、クラスタリングにとって重要なフィールドは detection.vpn_provider: "Mullvad" です。これにより「同じ VPN プール」が group-by で扱えるようになります。Mullvad のユーザーが1人いるだけなら、プライバシー意識の高い顧客にすぎません。その block は操作ごとのしきい値判断として扱い、2つ目のアカウントの証拠とはみなさないでください。

1回の IP ルックアップで得られるクラスタキー

上記のクラスタキーは、IP ごとに1回のルックアップで返ってきます。asn、asn_type、connection_type は、レジデンシャルやモバイルのコンシューマーを、データセンターやホスティングの発信元と区別します。detection ブロックは、VPN、プロキシ、Tor、リレーの出口に proxy_type と anonymity_level でフラグを立て、商用事業者が特定された場合は vpn_provider の名前も返します。そのため「40件のアカウント、1つの VPN プール」は勘ではなくクエリになります。is_cgnat は共有されたキャリアのアドレスを示すため、家庭が集団として扱われることはありません。そして説明可能な0〜100の不正スコアは、recommended_action と、疑いを晴らすものも含めて発火したシグナルそのものと一緒に返されます。すべてのフィールドは1日1,500回のルックアップまでの無料プランで提供されており、ほとんどのプラットフォームでは、すべてのサインアップと重要な操作をスコアリングするのに十分な量です。まずはレスポンスの形を確認したい場合は、API キーなしで任意の IP をルックアップできます。

何よりも先にクラスタログを構築する

複数アカウント不正は、ダッシュボード上ではそれぞれ別のものに見えるいくつもの不正の根底にあるエンジンです。前述のクーポンや紹介報酬の荒稼ぎを支え、アカウント乗っ取りとクレデンシャルスタッフィングの背後にある人格の使い捨てを供給し、VPN とプロキシの検知の仕組みで取り上げた匿名化トラフィックの中に潜んでいます。まずクラスタログを構築しましょう。プラットフォームが「このアカウントは危険か？」ではなく「この人物は自社のユーザーの何人分にあたるのか？」と問えるようになった瞬間から、これらの防御はどれも鋭さを増します。

よくある質問

複数アカウント不正（マルチアカウント）とは何ですか？

複数アカウント不正とは、1ユーザーにつき1アカウントを想定しているプラットフォーム上で、1人の人物またはグループが複数のアカウントを運用することです。コミュニティによって呼び名が異なり、ソックパペット（フォーラムや Wiki）、スマーフィング（競技ゲーム）、ノーミング（ベッティングや iGaming）、シビル攻撃（暗号資産や web3）などと呼ばれます。動機は、サインアップボーナスや紹介報酬の荒稼ぎから、BAN の回避、レビューや投票の操作、マーケットプレイスの評価ロンダリングまでさまざまです。

Web サイトは同一人物による複数アカウントをどのように検知しているのですか？

プラットフォームは、アカウント同士がどうしても共有してしまうものを相関分析します。ネットワーク上の発信元（同じ IP アドレスや IPv6 の /64 プレフィックス、同じ VPN やプロキシの出口プール）、デバイスやブラウザのフィンガープリント、決済手段、連絡先とそのエイリアス、そして活動時間帯や操作の順序が同じといった行動パターンです。単一のシグナルで確定できるものはないため、こうしたキーのうち複数を共有するアカウントをクラスタリングし、そのクラスタを1つの案件としてレビューすることで検知します。

VPN を使えば複数アカウント不正を隠せますか？

単純な同一 IP チェックはすり抜けられますが、VPN 自体が別のシグナルを生みます。商用の VPN やプロキシの出口はそれとして識別できるため、「無関係な」新規アカウントの一群がそろって匿名化インフラ経由でやってくること自体が、連携の指標になります。BAN 回避に関する研究でも、運用者は行動によって引き続き紐付けられることが示されています。Wikipedia における8,551組の BAN 回避ペアを対象とした研究では、回避用アカウントは編集パターンだけから、ほぼ完璧な精度で BAN された元のアカウントに紐付けられました。

複数アカウント不正は違法ですか？

通常は利用規約違反であり、犯罪ではなくアカウント停止で対処されます。ただし、なりすまし、偽造書類、または欺罔によって金銭を得るスキームと組み合わされると、犯罪の領域に入ります。米国の検察は、紹介ボーナスを荒稼ぎするためにアカウントを大量作成した集団に対し、電信詐欺罪や加重なりすまし罪で起訴しています。iGaming のような規制業種では、重複アカウントが事業者側のコンプライアンス上のリスクを生むこともあります。

共有ネットワークを罰することなく複数アカウント不正を防ぐにはどうすればよいですか？

共有 IP だけを証拠として扱ってはいけません。キャリアグレード NAT、大学のネットワーク、オフィス、家族などは、正当な理由で多くの実在ユーザーを1つのアドレスの背後に置いています。対応する前に CGNAT フラグと接続タイプを確認し、独立したシグナル群（ネットワーク、デバイス、決済、行動）にまたがる裏付けを求め、段階的に対応してください。疑わしいクラスタに対してはインセンティブを保留して権限を制限し、アカウントの BAN は裏付けの取れた集団に限定します。