Abuso de promoções: como detectar e impedir fraudes com cupons e indicações

O abuso de promoções é um único operador se passando por vários clientes novos para coletar cupons, bônus de indicação e créditos de cadastro. Você o pega na etapa de resgate, porque toda conta falsa ainda precisa se conectar a partir de um endereço de rede, e o tipo desse endereço decide se você honra, retém, desafia ou recusa o incentivo. A seguir: como os esquemas funcionam, as respostas que daríamos a quatro endereços de resgate reais que consultamos em 23 de outubro de 2026, os sinais por trás de uma pontuação de risco de IP e suas faixas de allow a block, e onde a camada de IP fica cega.

O que conta como abuso de promoções

O rótulo abrange seis esquemas distintos, e cada um pede uma resposta diferente:

A OWASP cataloga as versões automatizadas em seu projeto Automated Threats. OAT-002 Token Cracking é a "mass enumeration of coupon numbers, voucher codes, discount tokens, etc." (enumeração em massa de números de cupom, códigos de voucher, tokens de desconto etc.), e OAT-019 Account Creation é "create multiple accounts for subsequent misuse" (criar várias contas para uso indevido posterior). Cinco dos seis esquemas da tabela são construídos sobre essas duas primitivas. O acúmulo é a exceção, porque abusa da lógica de checkout, e não da identidade.

Por que a fraude com cupons e indicações está crescendo agora

A fraude com cupons e indicações está crescendo porque as perdas agora chegam a bilhões e as ferramentas são vendidas como serviço.

O dinheiro é sério. A Juniper Research projeta que a fraude com bens digitais vai crescer de US$ 10,4 bilhões em 2025 para US$ 27 bilhões até 2030, um aumento de 162%, e aponta o abuso de promoções como um dos três principais motores, ao lado das identidades sintéticas e da fraude amigável (Juniper Research, dezembro de 2025). Cada dólar perdido também custa mais de um dólar. O estudo True Cost of Fraud da LexisNexis estima o custo médio para varejistas e e-commerces dos EUA em US$ 4,61 para cada US$ 1 de fraude quando se contabilizam mão de obra e custos indiretos (LexisNexis Risk Solutions, abril de 2025).

As ferramentas também se industrializaram: bots de criação de contas, navegadores antidetecção, e-mails com alias e pools de proxies alugados permitem que um único operador se passe por vários clientes.

Por dentro do playbook: como um operador vira vários clientes novos

Todo playbook termina do mesmo jeito: muitas contas, um operador e infraestrutura compartilhada por baixo. Dois casos públicos mostram os dois extremos.

O extremo do roubo de identidade. Em maio de 2021, promotores federais em Massachusetts acusaram 19 pessoas por um esquema que funcionou de janeiro de 2019 até pelo menos abril de 2021. Ele usou mais de 2.000 identidades roubadas para abrir contas de motorista em aplicativos de transporte e entrega, criou contas falsas cujo "sole purpose" (único propósito) era indicar outras contas falsas e usou "automated bots and GPS spoofing technology" (bots automatizados e tecnologia de falsificação de GPS) para inflar os ganhos (NBC Boston, maio de 2021). Em 2022, dois réus se declararam culpados de conspiração para cometer fraude eletrônica e roubo de identidade qualificado. Um processo separado em San Diego contra um grupo de cinco pessoas que operava contas de motoristas terminou com a condenação do seu líder.

O extremo das múltiplas contas puras. Airdrops de tokens pagam por carteira elegível, então os cultivadores criam carteiras em vez de identidades. Após seu airdrop de junho de 2024, a zkSync defendeu sua filtragem de sybils argumentando que ser mais agressiva "might falsely flag many organic users" (poderia sinalizar por engano muitos usuários orgânicos) (Cointelegraph, junho de 2024). É o mesmo dilema que toda equipe de promoções enfrenta. Filtros mais rígidos pegam mais cultivadores e recusam mais clientes reais.

Os dois têm um ponto fraco em comum. Identidades falsas são baratas e e-mails são de graça, mas toda conta ainda se conecta de algum lugar. Localizações de rede de consumo limpas e distintas são o único recurso que um grupo não consegue fabricar sob demanda, então ele reutiliza infraestrutura, e essa reutilização aparece nos seus logs.

Como eram quatro IPs de resgate em 23 de outubro de 2026

A mesma promoção precisa de quatro respostas diferentes para quatro tipos de endereço, e o próprio recommended_action da pontuação de risco não é a decisão sobre a promoção em dois deles. Em 23 de outubro de 2026, entre 05:03:02 e 05:03:17 UTC, executamos consultas sem chave em quatro endereços públicos, um para cada tipo que um endpoint de cupom ou de indicação recebe. Nenhum deles nos enviou resgates reais. Eles representam os tipos de origem:

As duas divergências são o ponto central. O servidor Linode tem pontuação 10 e allow, porque um servidor de nuvem comum não é fraude: APIs, integrações e monitoramento rodam em nuvens o dia todo. Um cupom de primeira compra, porém, não tem nenhum motivo honesto para ser resgatado a partir de um rack. A saída da Mullvad tem pontuação 100 e block, porque a API a identificou na própria lista de servidores da Mullvad, que a marca como servidor WireGuard. Mas o relatório de VPN de 2026 da Security.org, uma pesquisa com 1.008 adultos dos EUA em agosto de 2026, constatou que 42% usam VPN, então um resgate via VPN muitas vezes é um cliente real. Uma checagem de cartão ou de SMS custa segundos a esse cliente e custa a um grupo um cartão de pagamento ou um número de telefone por conta.

Aqui está a consulta resumida do endereço de hospedagem (deixamos de fora seu PTR armazenado, que não corresponde ao DNS reverso ao vivo):

Sua regra, portanto, precisa ler detection.is_hosting e asn.connection_type diretamente, porque uma regra que espera por block pagaria esse cupom. Versões anteriores deste post usavam um droplet da DigitalOcean, 104.248.50.21. Em 23 de outubro de 2026 ele teve pontuação 12 com datacenter_ip mais fcrdns_mismatch, um sinal de DNS reverso sem relação com cupons, então trocamos de amostra.

A saída do relay é o caso oposto:

is_relay é verdadeiro, enquanto is_proxy e is_vpn são falsos. Trata-se de um usuário Apple com o Private Relay do iCloud+ ativado, e um resgate via relay é um cliente. O nó de saída Tor trazia anonymity_level: "high" e uma listagem na Spamhaus ZEN, e é por isso que recusar o incentivo ali custa pouco.

Endereços compartilhados recebem uma regra de velocidade, não um bloqueio

Na GeoIPHub, endereços compartilhados nunca podem ser bloqueados apenas pela pontuação, por design. Um endereço de NAT de nível de operadora tem teto de 50, dentro de review, e um endereço do iCloud Private Relay tem teto de 60, dentro de step_up. Bloquear qualquer um deles bloquearia todos os clientes reais por trás. Então, o grupo que se esconde ali precisa ser pego pela contagem, não pela pontuação:

• IPv4: conte os resgates de uma promoção por /24 por hora. Nosso ponto de partida sugerido, que não é uma taxa medida do setor, é três: retenha para revisão o quarto resgate e os seguintes vindos de um mesmo /24 e depois ajuste o número com base nos seus próprios resultados.
• IPv6: conte por /64, não por endereço completo. Um assinante normalmente detém o /64 inteiro, então alternar dentro dele não custa nada. Indexar por endereços completos transforma um único agente em milhares. Residências e empresas muitas vezes detêm um /56 ou /48, então amplie para esses prefixos quando /64s novos continuarem chegando de uma mesma alocação (veja limitar a taxa e bloquear IPv6 por /64).
• Relay e CGNAT: mantenha os mesmos contadores, mas eleve o limite, porque uma única saída de relay ou um único endereço de operadora atende legitimamente muitos clientes.

Os sinais de IP que revelam o abuso de promoções

Três sinais de IP revelam o abuso de promoções: origem compartilhada entre clientes "diferentes", origem em hospedagem e anonimização concentrada no resgate. Cada um revela uma coordenação que as verificações por conta deixam passar.

Origem compartilhada entre clientes "diferentes". Muitas contas novas resgatando uma mesma promoção a partir de um mesmo endereço, /24 ou /64 é o sinal mais direto, e as regras de velocidade acima o transformam em decisão.

Faixas de hospedagem onde deveriam estar consumidores. Clientes novos reais resgatam a partir de banda larga doméstica e linhas móveis. Resgates vindos de faixas de IP de datacenter, ou seja, instâncias de nuvem, provedores de VPS e ASNs de hospedagem, são scripts até prova em contrário. A GeoIPHub classifica a hospedagem a partir de 853 ASNs de hospedagem curados, mais as faixas oficiais de 10 provedores de nuvem, o que faz deste o filtro inicial mais barato para a elegibilidade à promoção.

Anonimização concentrada no resgate. Flags de VPN e Tor na navegação comum são evidência fraca. As mesmas flags disparando em envios de indicação e resgates de código são outra coisa: o operador está alternando os pontos de saída para driblar a verificação de origem compartilhada.

IPs compartilhados são normais, então trate esses sinais como motivos para olhar mais de perto. A Cloudflare constatou que IPs de CGNAT sofrem limitação de taxa três vezes mais do que outros IPs, embora a taxa mediana de bots seja quase idêntica, 4,8% contra 4,7% (Cloudflare, outubro de 2025). Uma flag de CGNAT deveria amortecer sua resposta, não amplificá-la.

Onde a camada de IP fica cega: proxies residenciais e fazendas de cliques

Uma consulta de IP não consegue ver um resgate que chega por um proxy residencial ou de um celular de fazenda de cliques em uma linha doméstica ou móvel real. Essas conexões vêm de endereços de provedores de consumo, que é exatamente a aparência de um cliente novo real. A GeoIPHub não detecta proxies residenciais. Um endereço de provedor doméstico pode até receber o sinal de provedor residencial, que reduz a pontuação em 20.

Um grupo que aluga saídas residenciais pagou para driblar as verificações de rede, então a evidência precisa vir de outro lugar:

• Velocidade no grafo de contas. Muitos indicados creditados a um mesmo indicador em poucas horas, quaisquer que sejam seus IPs.
• Sobreposição de dispositivos. Contas que compartilham um fingerprint de dispositivo apesar de endereços diferentes.
• Sobreposição de pagamento e contato. Um cartão, uma conta bancária ou um número de telefone por trás de vários clientes "novos".
• Qualidade da coorte. Quem resgata e nunca faz uma segunda compra.

Para entender por que saídas residenciais alugadas são a origem mais difícil de avaliar, veja fraude com proxy residencial e por que IPs confiáveis agora são arriscados. Para a versão geral deste problema, detecção de múltiplas contas mostra como um único usuário vira cinquenta.

Um playbook de detecção que você pode colocar em produção esta semana

A detecção funciona quando você pontua três eventos, age sobre o incentivo e revisa grupos em vez de contas.

1. Instrumente três eventos, não um. Registre o IP e seus sinais no cadastro, no envio da indicação e no resgate. A maioria das equipes só pontua o cadastro (como impedir cadastros falsos cobre essa verificação), enquanto o abuso se concentra no resgate.
2. Pontue quem indica e quem é indicado. Em um laço de autoindicação, os dois lados são o mesmo operador. Um indicador cujos recrutas se concentram em um mesmo /24, um mesmo ASN ou um mesmo provedor de VPN é a própria contabilidade do grupo.
3. Aplique velocidade por /24 e por /64 por promoção. Conte por campanha, não globalmente, como descrito acima.
4. Controle a elegibilidade à promoção, não as compras. Origem em hospedagem, nós de saída Tor ou histórico conhecido de abuso no resgate deveriam reter o desconto enquanto a venda pelo preço cheio segue adiante. Isso elimina o lucro sem gerar chamados de suporte.
5. Envie as faixas intermediárias para verificação. Uma pontuação de 26 a 75, ou uma flag de VPN com qualquer pontuação, justifica uma etapa de cartão, telefone ou desafio, a mesma lógica dos limiares de pontuação de risco por ação.
6. Revise grupos, não contas. Coloque na fila os grupos que compartilham um IP, um prefixo ou um dispositivo e julgue o grupo de uma só vez. Investigar um endereço IP passo a passo mostra como ler a evidência de um endereço antes de agir sobre o seu grupo.
7. Meça a qualidade da coorte. Acompanhe a relação entre resgate e segunda compra por campanha. Uma promoção cujos participantes nunca voltam mostra para onde foi o orçamento.

Implemente primeiro a verificação no resgate

O abuso de cupons e indicações é uso de múltiplas contas apontado para o seu orçamento de marketing. Comece com uma consulta no resgate: leia is_hosting, is_vpn, is_relay, is_tor e scoring.detection_methods, mapeie-os para honrar, reter, aumentar a verificação ou recusar, e adicione os contadores por prefixo. O plano gratuito cobre 1.500 consultas por dia com todos os campos, e o verificador de pontuação de risco de IP mostra a mesma pontuação e os mesmos motivos para um único endereço, sem código. A visão geral de prevenção de fraude explica como a pontuação é construída.

Os mesmos sinais defendem portas vizinhas: a camada de anonimização em como funciona a detecção de VPN e proxy, a segurança da conta em detectar tomada de conta e credential stuffing e a disciplina contra falsos positivos em detectar tráfego anonimizado sem bloquear clientes reais. Implemente primeiro a verificação no resgate. É o lugar mais barato para transformar um programa de recompensas de volta em orçamento de crescimento.

Perguntas frequentes

O que é abuso de promoções?

Abuso de promoções é a exploração de incentivos de marketing, como cupons para novos clientes, bônus de indicação, créditos de cadastro, pontos de fidelidade e testes gratuitos, por pessoas que nunca foram os destinatários pretendidos. Vai desde um cliente que cria um segundo endereço de e-mail para reutilizar um desconto de primeira compra até grupos organizados que operam milhares de contas falsas para esgotar orçamentos de indicação e de bônus.

Abuso de código promocional é crime?

Muitas vezes é uma violação dos termos de serviço, e não um crime, e por isso as plataformas lidam com a maior parte dele por meio de detecção e banimento de contas. Torna-se crime quando envolve roubo de identidade, documentos falsificados ou fraude coordenada em grande escala. Em 2021, promotores federais dos EUA em Massachusetts acusaram 19 pessoas por um esquema de contas de motoristas de aplicativos de transporte e entrega que usou mais de 2.000 identidades roubadas e criou contas falsas cujo único propósito era indicar outras contas falsas. Dois réus se declararam culpados em 2022 de conspiração para cometer fraude eletrônica e roubo de identidade qualificado.

Como as pessoas abusam de programas de indicação?

O movimento central é a autoindicação por meio de múltiplas contas: o mesmo operador controla tanto quem indica quanto o 'novo cliente', então cada cadastro falso paga um bônus. Os grupos escalam isso com e-mails com alias, navegadores antidetecção, fazendas de dispositivos, VPNs e proxies residenciais alugados. Uma consulta de IP não consegue distinguir a saída de um proxy residencial de um usuário doméstico real, então essas contas precisam ser pegas por sobreposições de velocidade, dispositivo e pagamento.

Quais sinais de IP indicam abuso de promoções?

Os sinais de rede mais fortes são muitas contas novas 'diferentes' resgatando a mesma promoção a partir de um mesmo /24 IPv4 ou de um mesmo prefixo /64 IPv6; resgates vindos de faixas de hospedagem quando o tráfego de consumidores deveria vir de linhas domésticas ou móveis; e flags de VPN ou Tor concentradas na etapa de resgate. Cada um precisa de contexto. O NAT de nível de operadora e o iCloud Private Relay colocam muitos usuários reais atrás de um único endereço, então a GeoIPHub limita as pontuações de CGNAT a 50 e as de relay a 60, e uma regra de velocidade, não um bloqueio, cuida desses endereços.

Como impedir o abuso de promoções sem bloquear clientes reais?

Aja sobre a elegibilidade à promoção, e não sobre a conta: quando os sinais de risco dispararem, retenha ou suspenda o desconto e o bônus em vez de rejeitar o cadastro ou a venda. Honre os resgates de baixo risco, coloque em revisão os resgates com origem em hospedagem, aumente a verificação nos resgates via VPN com uma checagem de pagamento ou de telefone e recuse o incentivo em nós de saída Tor. Pontue tanto quem indica quanto quem é indicado e trate os endereços compartilhados com um limite de velocidade por prefixo em vez de um bloqueio.