Detecção de multicontas: como um usuário vira cinquenta

Cinquenta mil cadastros novos são um gráfico de crescimento. Não são uma contagem de pessoas. Uma fatia dos "usuários" de toda plataforma são os mesmos poucos operadores usando nomes diferentes, e cada uma dessas contas, analisada isoladamente, parece normal. Essa é a propriedade que define o uso de multicontas: a fraude é invisível no nível da conta porque a conta não é a unidade da fraude. O operador é. Este guia de detecção mostra quem opera contas duplicadas e por quê, o kit de ferramentas que faz uma pessoa parecer cinquenta e os sinais que reduzem a rede de volta a um único ator. A maioria deles está na camada de rede, a mesma evidência que alimenta uma pontuação de fraude de IP e suas faixas de risco.

Um comportamento, cinco nomes

As comunidades vivem renomeando o mesmo ato, e vale a pena saber disso porque a literatura sobre detecção está dividida entre os cinco termos:

Os motivos levam ao dinheiro quase sempre: explorar de novo os incentivos tratados em detecção de abuso de promoções e cupons, driblar banimentos e limites de taxa, inflar avaliações e votos, transações consigo mesmo em marketplaces (comprar de si mesmo, avaliar a si mesmo) e capturar recompensas por identidade, como airdrops, em que operadores individuais já usaram dezenas de milhares de "identidades" de carteira contra uma única distribuição.

O kit de ferramentas: como uma pessoa vira cinquenta

A OWASP classifica a versão industrial como OAT-019 Account Creation, a criação de contas em massa "para uso indevido posterior", e as ferramentas de apoio são baratas e legais de comprar:

• Aliases de e-mail e caixas de entrada descartáveis. Endereços com sinal de mais, truques com pontos e domínios descartáveis tornam e-mails "únicos" gratuitos em qualquer volume.
• Fazendas de celulares e números VoIP. A verificação por SMS é um quebra-molas que custa centavos por código.
• Navegadores antidetecção e fazendas de dispositivos. A falsificação de impressão digital por perfil faz cada conta se apresentar como um hardware distinto, e esse é um dos motivos pelos quais a impressão digital de dispositivo precisa da inteligência de IP ao lado.
• Rotação de proxy e VPN. Cada conta recebe seu próprio IP de saída: de datacenter se a rede for preguiçosa, residencial se ela investir (veja por que proxies residenciais dominam o tráfego abusivo).

A escala que isso permite é de conhecimento público. A Meta relata agir sobre cerca de um bilhão de contas falsas do Facebook por trimestre, 1,1 bilhão só no quarto trimestre de 2025, com a maioria bloqueada minutos após a criação (Meta Community Standards Enforcement Report). A criação de contas falsas não é um caso extremo em lugar nenhum; é uma indústria de manufatura.

Por que verificações por conta continuam deixando passar

As verificações no momento do cadastro analisam as contas uma de cada vez, e uma de cada vez as contas estão limpas: e-mail válido, telefone verificado, nome plausível, cartão funcionando. O uso de multicontas só se torna visível nas relações entre as contas, e os operadores são comprovadamente ruins em cortar essas relações.

A evidência mais forte vem de um estudo da WWW 2022 com 8.551 pares verificados de evasão de banimento na Wikipédia (Characterizing, Detecting, and Predicting Online Ban Evasion). Quem driblava o banimento tentava ativamente parecer diferente, com novos nomes de usuário e linguagem mais contida, mas continuava mensuravelmente o mesmo: as novas contas editavam as mesmas páginas (sobreposição de 0,12 contra 0,0001 em pares sem relação), reutilizavam vocabulário semelhante e podiam ser associadas à conta banida de origem com uma classificação recíproca média (MRR) de 0,969, ou seja, reidentificação quase perfeita apenas pelo comportamento. A detecção no momento do banimento chegou a 0,902 de AUC. As pessoas mudam de identificadores; não mudam de hábitos.

Essa constatação se generaliza: a rede que varia os e-mails esquece de variar a sub-rede; a que rotaciona proxies mantém horários ativos idênticos; a que falsifica impressões digitais financia todas as contas a partir de uma única carteira. A coordenação vaza. O seu trabalho é registrar as superfícies por onde ela vaza.

Os sinais de rede que desmontam a rede de contas

Campos de identidade são a coisa mais fácil de falsificar e a posição na rede é a mais difícil, e é por isso que a pontuação de risco de IP fica no centro da detecção de multicontas:

Origem compartilhada, com a chave certa. Várias contas se registrando ou agindo a partir de um mesmo endereço IPv4 é o sinal clássico, mas em IPv6 você precisa usar como chave o prefixo /64, porque um único assinante controla o prefixo inteiro e pode gerar um endereço novo por conta de graça (limitação de taxa de IPv6 por /64). Redes que nunca reutilizariam um endereço IPv4 reutilizam um /64 sem problema.

Ações de consumidor vindas de infraestrutura que não é de consumidor. Usuários reais se cadastram a partir de conexões residenciais e móveis; fábricas de contas rodam em instâncias de nuvem e faixas de VPS. Um grupo de contas "independentes" originado em espaço de IP de datacenter, ou em um único ASN de hospedagem, é um script com uma planilha de personas.

Anonimização como propriedade do lote. Um usuário em uma VPN é rotina; ferramentas de privacidade são comuns. Quarenta contas novas em uma mesma leva, todas chegando por saídas de VPN ou proxy, especialmente do pool do mesmo provedor, são uma assinatura de coordenação. O sinalizador importa mais no agregado e em momentos sensíveis: cadastro, resgate de bônus, votos, avaliações.

Pools de proxies residenciais. Redes que investem alugam saídas residenciais para que cada conta chegue em um IP doméstico crível. Isso esconde a origem de rede, então, quando o IP parece limpo, as outras chaves de agrupamento (dispositivo, pagamento, horário) precisam carregar o peso.

Horários correlacionados e geografia impossível. Contas que acordam, agem e dormem em sincronia, ou que dizem ser cinquenta usuários que de alguma forma mudam de cidade juntos, se agrupam por horário e geolocalização mesmo quando todos os outros identificadores diferem.

A ressalva que mantém você honesto. O CGNAT (NAT em nível de operadora) coloca centenas ou milhares de assinantes genuínos atrás de um endereço, e a Cloudflare mediu que IPs de CGNAT sofrem limitação de taxa cerca de 3 vezes mais do que tráfego comparável, apesar de taxas de bots semelhantes (Cloudflare). Casas, repúblicas e escritórios compartilham IPs legitimamente, e cerca de um em cada quatro usuários de internet usa uma VPN (Security.org). Uma origem compartilhada ou anonimizada é uma chave de agrupamento, nunca um veredito.

Um manual de detecção de multicontas que mira o operador

1. Registre chaves de agrupamento no cadastro e nas ações sensíveis. IP e prefixo /64, ASN e tipo de conexão, sinalizadores de anonimização, impressão digital do dispositivo, meio de pagamento. O uso de multicontas é confirmado com mais frequência em resgates de bônus, votos e saques do que no cadastro.
2. Monte o grafo e depois leia-o. Vincule contas que compartilham duas ou mais chaves independentes. Uma chave compartilhada é a vida real (CGNAT, uma casa); duas ou mais famílias independentes de sobreposição, como rede mais pagamento ou rede mais dispositivo, formam uma hipótese de rede que vale uma análise.
3. Julgue grupos, não contas. Analisar cinquenta contas uma de cada vez custa cinquenta investigações e perde o ponto principal. Coloque o grupo na fila como um único caso, com as chaves compartilhadas no topo.
4. Responda em etapas graduais. Para grupos suspeitos: retenha incentivos, limite pagamentos por indicação, restrinja votos e avaliações, atrase saques. Reserve os banimentos em massa para redes corroboradas. A mesma disciplina de limites que você usa para pontuações de fraude se aplica às ações sobre grupos.
5. Faça varreduras retroativas. As redes se otimizam contra as verificações que você fez no cadastro, não contra as que você faz depois. Reagrupar periodicamente o log acumulado é como as caçadas a sybils em airdrops recuperaram milhões após a distribuição, e é como você pega a rede que entrou limpa.
6. Fique de olho nos reincidentes. Evasão de banimento é multicontas com rancor, e a pesquisa acima mostra que quem dribla volta mais camuflado, mas ainda vinculável. Compare cadastros novos com as chaves de contas banidas recentemente como uma tarefa permanente.

Uma pontuação limpa ainda pode ser uma chave de agrupamento

A pontuação de fraude de uma única conta responde "esta conta é arriscada?", enquanto a detecção de multicontas precisa dos campos que respondem "quem mais compartilha isto?". Consultamos dois IPs públicos de infraestrutura em 05/10/2026 (os resultados mudam à medida que as faixas se movem): um droplet da DigitalOcean e um servidor da Mullvad VPN.

O droplet tem pontuação 15 com recommended_action: "allow", e sozinho é o que deve ter: hospedagem por si só não é fraude. Para uma rede de contas, porém, o asn.asn 14061 e o connection_type: "datacenter" são a parte útil, porque quarenta cadastros de "consumidores" compartilhando um ASN de hospedagem são a assinatura de fábrica que a pontuação nunca foi feita para pegar conta a conta. O servidor da Mullvad tem pontuação 100 e block, mas o campo que importa para o agrupamento é detection.vpn_provider: "Mullvad", que transforma "mesmo pool de VPN" em um group-by. Um usuário da Mullvad continua sendo apenas um cliente preocupado com privacidade, então trate esse block como uma decisão de limite por ação, não como prova de uma segunda conta.

Chaves de agrupamento a partir de uma única consulta de IP

As chaves de agrupamento acima vêm de uma única consulta por IP: asn, asn_type e connection_type separam consumidores residenciais e móveis de origens de datacenter e hospedagem; o bloco de detecção sinaliza saídas de VPN, proxy, Tor e relay com proxy_type, anonymity_level e, quando um provedor comercial é identificado, o nome em vpn_provider, de modo que "quarenta contas, um pool de VPN" vira uma consulta em vez de um palpite; is_cgnat marca endereços compartilhados de operadora para que famílias nunca sejam tratadas como redes de fraude; e a pontuação de fraude explicável de 0 a 100 chega com um recommended_action e os sinais exatos que dispararam, incluindo os que inocentam. Todos os campos estão disponíveis no plano gratuito, com 1.500 consultas por dia, o que basta para pontuar cada cadastro e cada ação sensível na maioria das plataformas, e você pode consultar qualquer IP sem chave de API para ver o formato da resposta antes.

Monte o log de agrupamento antes de qualquer outra coisa

O uso de multicontas é o motor por trás de várias fraudes que parecem distintas em um painel: ele alimenta a exploração de cupons e indicações descrita antes, fornece a rotação de personas por trás de account takeover e credential stuffing e se esconde dentro do tráfego anonimizado tratado em como funciona a detecção de VPN e proxy. Monte o log de agrupamento primeiro. Cada uma dessas defesas fica mais afiada no momento em que a sua plataforma consegue perguntar não "esta conta é arriscada?", mas "quantos dos meus usuários são esta pessoa?"

Perguntas frequentes

O que é o uso de multicontas?

Multicontas é quando uma pessoa ou grupo opera várias contas em uma plataforma que espera uma conta por usuário. Dependendo da comunidade, o nome muda: sockpuppetry (fóruns e wikis), smurfing (jogos competitivos), gnoming (apostas e iGaming) ou ataque sybil (cripto e web3). Os motivos vão de explorar bônus de cadastro e pagamentos por indicação até driblar banimentos, manipular avaliações e votos e lavar feedback em marketplaces.

Como os sites detectam várias contas da mesma pessoa?

As plataformas correlacionam o que as contas não conseguem deixar de compartilhar: origem de rede (o mesmo endereço IP ou prefixo IPv6 /64, o mesmo pool de saída de VPN ou proxy), impressões digitais de dispositivo e navegador, meios de pagamento, dados de contato e seus aliases, e padrões de comportamento como horários ativos ou sequências de interação idênticos. Nenhum sinal isolado é conclusivo, então a detecção funciona agrupando contas que compartilham várias dessas chaves e analisando o grupo como um único caso.

Usar uma VPN esconde o uso de multicontas?

Derrota verificações ingênuas de mesmo IP, mas introduz um sinal próprio: saídas comerciais de VPN e proxy são identificáveis como tal, então um lote de contas novas "sem relação" chegando todas por infraestrutura anonimizada já é um indicador de coordenação. Pesquisas sobre evasão de banimento também mostram que os operadores continuam vinculáveis pelo comportamento. Em um estudo com 8.551 pares de evasão de banimento na Wikipédia, a conta que driblava o banimento pôde ser associada à conta banida de origem com precisão quase perfeita apenas a partir dos padrões de edição.

Usar multicontas é crime?

Geralmente é uma violação dos termos de serviço tratada com suspensão, não um crime. Passa para o território criminal quando combinado com roubo de identidade, documentos falsificados ou esquemas para obter dinheiro mediante fraude. Promotores dos EUA já apresentaram acusações de fraude eletrônica (wire fraud) e roubo de identidade qualificado contra redes que criaram contas em massa para explorar bônus de indicação. Em setores regulados como o iGaming, contas duplicadas também podem gerar exposição regulatória para o operador.

Como impedir o uso de multicontas sem punir redes compartilhadas?

Nunca trate um IP compartilhado sozinho como prova, porque CGNAT (NAT em nível de operadora), redes de campus, escritórios e famílias colocam legitimamente muitos usuários reais atrás de um único endereço. Verifique o sinalizador de CGNAT e o tipo de conexão antes de agir, exija corroboração entre famílias de sinais independentes (rede mais dispositivo mais pagamento mais comportamento) e responda em etapas graduais: retenha incentivos e restrinja privilégios para grupos suspeitos e reserve os banimentos de contas para redes corroboradas.