多账户检测：一个用户如何变成五十个

五万个新注册用户是一张增长曲线，而不是一份人员名单。每个平台的“用户”里，总有一部分其实是同样的几个操作者换了不同的名字，而这些账户单独检查时，每一个看起来都没问题。这正是多账户行为的决定性特征：欺诈在账户层面是不可见的，因为账户并不是欺诈的单位，操作者才是。本指南介绍如何检测这种行为，内容包括谁在运营重复账户以及为什么，让一个人看起来像五十个人的工具箱，以及能把团伙还原成单一行为者的信号。其中大部分信号位于网络层，也就是支撑 IP 欺诈评分及其风险区间的同一类证据。

一种行为，五个名字

各个社区不断给同一种行为起新名字，值得了解这一点，因为相关的检测研究分散在这五个术语之下：

几乎在所有场合，动机都指向钱：重复刷取促销和优惠券滥用检测中讲到的奖励，规避封禁和速率限制，抬高评价和投票，在交易平台上自买自卖（向自己购买、给自己好评），以及攫取空投之类按身份发放的奖励，已有单一操作者用数万个钱包“身份”去领取同一次分发。

工具箱：一个人如何变成五十个

OWASP 将其工业化版本归类为 OAT-019 账户创建，即批量创建账户“用于后续滥用”，而配套工具既便宜，购买也合法：

• 邮箱别名和一次性邮箱。 加号地址、点号技巧和一次性域名，让“唯一”的邮箱在任何规模下都是免费的。
• 手机农场和 VoIP 号码。 短信验证只是一个减速带，每条验证码只需几分钱。
• 反检测浏览器和设备农场。 针对每个配置文件伪造指纹，让每个账户看起来都是不同的硬件，这也是设备指纹需要与 IP 情报搭配使用的原因之一。
• 代理和 VPN 轮换。 每个账户都有自己的出口 IP：团伙偷懒就用数据中心 IP，投入较大就用住宅 IP（参见住宅代理为何在滥用流量中占主导）。

由此带来的规模是公开记录。Meta 报告称，其每季度处理约十亿个虚假 Facebook 账户，仅 2025 年第四季度就达 11 亿个，其中大多数在创建后几分钟内就被拦截（Meta 社区准则执行报告）。虚假账户的创建在任何地方都不是边缘情况，它是一个制造业。

为什么逐账户检查总是漏掉它

注册时检查是逐个检查账户的，而逐个看，这些账户都是干净的：有效的邮箱、已验证的手机、合理的姓名、可用的银行卡。多账户行为只有在账户之间的关系中才会显现，而操作者在切断这些关系方面表现得很差。

最有力的证据来自一项 WWW 2022 的研究，涉及维基百科上 8,551 对经核实的规避封禁账户（Characterizing, Detecting, and Predicting Online Ban Evasion）。规避者努力让自己看起来不同，换了新用户名，措辞也变得克制，但仍然明显保留着自己的特征：他们的新账户编辑相同的页面（重叠度为 0.12，而无关账户对仅为 0.0001），使用相似的词汇，并且能以 0.969 的平均倒数排名匹配回被封禁的原账户，仅凭行为就接近完美地重新识别出身份。在封禁时进行检测的 AUC 达到 0.902。人们会改变标识符，却不会改变习惯。

这一发现具有普遍性：变换邮箱的团伙会忘记变换子网；轮换代理的团伙保持着相同的活跃时段；伪造指纹的团伙用同一个钱包为每个账户充值。协同行为总会泄露痕迹。您的工作是把它会泄露到的那些位置记录下来。

能还原团伙的网络信号

身份字段最容易伪造，网络位置最难伪造，这就是为什么 IP 风险评分处于多账户检测的核心：

共享来源，使用正确的键。 多个账户从同一个 IPv4 地址注册或操作，是经典的破绽；但对于 IPv6，您必须以 /64 前缀为键，因为单个订阅用户控制着整个前缀，可以零成本地为每个账户生成一个新地址（参见按 /64 对 IPv6 限速）。绝不会重复使用 IPv4 地址的团伙，却会毫不犹豫地重复使用同一个 /64。

来自非消费者基础设施的消费者行为。 真实用户从住宅和移动连接注册；账户工厂运行在云实例和 VPS 网段上。一批“相互独立”的账户来自数据中心 IP 空间，或来自同一个托管 ASN，就是一个脚本配着一张人设表格。

匿名化作为批量属性。 一个用户使用 VPN 很平常，隐私工具已经很普及。但同一批四十个新账户全都经由 VPN 或代理出口到达，尤其是同一服务商的出口池，就是协同行为的特征。这个标记在汇总层面以及敏感时刻最有意义：注册、领取奖励、投票、评价。

住宅代理池。 投入较大的团伙会租用住宅出口，让每个账户都来自可信的家庭 IP。这隐藏了网络来源，所以当 IP 看起来干净时，其余聚类关键信息（设备、支付、时间）就必须承担起主要作用。

相关的时间和不可能的地理位置。 同时醒来、同时操作、同时休眠的账户，或者声称是五十个用户却一起搬迁城市的账户，即使其他所有标识符都不同，也会在时间和地理定位上聚成一团。

让您保持客观的提醒。 运营商级 NAT 会把成百上千名真实用户放在同一个地址后面，Cloudflare 测得 CGNAT IP 被限速的频率约为可比流量的 3 倍，尽管机器人比例相近（Cloudflare）。家庭、宿舍和办公室合理地共用 IP，而且大约四分之一的互联网用户在使用 VPN（Security.org）。共享或匿名化的来源只是聚类的键，绝不是裁决。

针对操作者的多账户检测实战手册

1. 在注册和敏感操作时记录聚类关键信息。 IP 和 /64 前缀、ASN 和连接类型、匿名化标记、设备指纹、支付工具。多账户行为更多是在领取奖励、投票和提现时被确认，而不是在注册时。
2. 构建关系图，然后解读它。 把共享两项或以上独立关键信息的账户关联起来。共享一项只是日常生活（CGNAT、同一个家庭）；在两类或以上独立维度上重叠，例如网络加支付或网络加设备，才使团伙假设值得一查。
3. 裁定聚类，而不是账户。 逐个审查五十个账户要花五十次调查，还抓不住重点。把聚类作为单个案件排入队列，并把其共享的关键信息放在最前面。
4. 分级响应。 对于疑似聚类：扣留奖励，限制推荐返佣，限制投票和评价，延迟提现。批量封号只留给得到印证的团伙。您用于欺诈评分的同一套阈值纪律同样适用于聚类处置。
5. 追溯扫描。 团伙针对的是您在注册时运行的检查，而不是之后运行的检查。定期对累积的日志重新聚类，正是空投女巫猎手在分发之后追回数百万的方法，也是您抓住那些干净混进来的团伙的方法。
6. 盯住惯犯。 规避封禁是带着怨气的多账户行为，上述研究表明，规避者回来时伪装得更好，但依然可以被关联。把新注册与近期被封账户的关键信息进行比对，作为一项常驻任务。

干净的评分也可以是聚类的键

单个账户的欺诈评分回答的是“这个账户有风险吗？”，而多账户行为需要的是回答“还有谁与它共享？”的字段。我们在 2026-10-05 查询了两个公开的基础设施 IP（结果会随网段变动而变化）：一台 DigitalOcean 云主机和一台 Mullvad VPN 服务器。

这台云主机的评分为 15，recommended_action: "allow"，单看它确实应该如此：仅仅是托管并不是欺诈。但对于团伙来说，真正有用的是 asn.asn 14061 和 connection_type: "datacenter"，因为四十个共用同一个托管 ASN 的“消费者”注册，正是该评分本来就不打算逐账户抓出的工厂特征。Mullvad 服务器评分 100 并给出 block，但对聚类而言重要的字段是 detection.vpn_provider: "Mullvad"，它把“同一个 VPN 出口池”变成了一次分组查询。单个 Mullvad 用户依然只是一位注重隐私的客户，所以请把这个 block 当作按操作设定阈值的决策，而不是存在第二个账户的证据。

一次 IP 查询即可得到聚类所需的键

上述聚类关键信息都来自对每个 IP 的一次查询：asn、asn_type 和 connection_type 将住宅和移动的消费者与数据中心和托管来源区分开来；检测部分用 proxy_type、anonymity_level 标记 VPN、代理、Tor 和中继出口，并在识别出商业服务商时给出 vpn_provider 名称，于是“四十个账户，一个 VPN 出口池”成了一次查询而不是一种直觉；is_cgnat 标记共享的运营商地址，使家庭永远不会被当作团伙；而可解释的 0-100 欺诈评分附带 recommended_action 以及触发的确切信号，包括起减分作用的信号。每个字段在免费套餐中都可使用，每天 1,500 次查询，足以为大多数平台上的每一次注册和敏感操作评分，您也可以先无需 API 密钥查询任意 IP，了解响应的结构。

先建立聚类日志

多账户行为是几种在仪表盘上看起来各不相同的欺诈背后的引擎：它推动着前面所说的优惠券和推荐返佣刷取，为账户接管和撞库攻击背后的身份更替提供素材，并隐藏在VPN 与代理检测如何工作中所讲的匿名流量里。请先建立聚类日志。一旦您的平台能够问出的不再是“这个账户有风险吗？”，而是“这个人占了我多少个用户？”，上述每一项防御都会变得更加锐利。

常见问题

什么是多账户行为？

多账户行为是指一个人或一个团伙在期望每人一个账户的平台上运营多个账户。在不同社区里，它有不同的叫法：sockpuppetry（论坛和维基，即马甲账号）、smurfing（竞技游戏，即小号）、gnoming（博彩和 iGaming）、sybil attack（加密货币和 web3，即女巫攻击）。动机包括刷注册奖励和推荐返佣、规避封禁、操纵评价和投票，以及在交易平台上洗白反馈。

网站如何检测同一个人的多个账户？

平台会关联账户难以避免共享的信息：网络来源（相同的 IP 地址或 IPv6 /64 前缀、相同的 VPN 或代理出口池）、设备和浏览器指纹、支付工具、联系方式及其别名，以及相同活跃时段或交互顺序等行为模式。没有任何单一信号是决定性的，因此检测的做法是把共享其中多项关键信息的账户聚类，并把该聚类作为一个案件来审查。

使用 VPN 能掩盖多账户行为吗？

它能躲过简单的相同 IP 检查，但同时也带来了自己的信号：商业 VPN 和代理出口可以被识别出来，因此一批“互不相关”的新账户全都经由匿名化基础设施到达，这本身就是协同行为的迹象。针对规避封禁的研究也表明，操作者依然可以通过行为被关联。在一项涉及 8,551 对维基百科规避封禁账户的研究中，仅凭编辑模式，就能以近乎完美的准确率把规避者的新账户匹配回被封禁的原账户。

多账户行为违法吗？

通常这属于违反服务条款，处理方式是封停账户，而不是犯罪。如果与身份盗用、伪造文件或欺诈获利的计划结合，就进入了刑事领域。美国检察官已对批量创建账户以刷推荐奖励的团伙提起电信欺诈和加重身份盗窃指控。对于 iGaming 等受监管行业，重复账户还可能给运营商带来合规风险。

如何在不误伤共享网络的前提下阻止多账户行为？

绝不要仅把共享 IP 当作证据，因为运营商级 NAT、校园网、办公室和家庭都会合理地让许多真实用户共用一个地址。在采取行动前，先检查 CGNAT 标记和连接类型，要求在相互独立的信号类别之间互相印证（网络加设备加支付加行为），并分级响应：对疑似聚类扣留奖励并限制权限，把封号留给得到印证的团伙。