Detección de campañas
Reconstrucción de una campaña real de regalos falsos. Cada línea es un avistamiento; la barra es la certeza acumulada.
Una estafa vive unas horas. Entre que empieza y entra en una lista de bloqueo pasan, de media, entre varias horas y dos días. Cuando llega el bloqueo, ya cobró y cambió de dominio.
Y analizar la página no ayuda: el sitio malicioso mira quién se la pide. Si es un centro de datos, devuelve una página limpia. El escáner ve una tienda; la víctima ve el robo.
Ninguna señal llega al umbral por su cuenta. Actuar por una sola es exactamente como se bloquea a gente inocente.
Es la pregunta que hunde a los sistemas de este tipo. Un enlace legítimo que se hace popular tiene más cuentas y más servidores que una campaña, así que esas dos señales no distinguen nada y valen poco.
Lo que un enlace legítimo no puede tener es cuentas de tres días, cuarenta minutos de ventana y el mismo texto copiado. Ahí van los puntos.
| caso | cuentas | servidores | certeza |
|---|---|---|---|
| Campaña de regalos falsos | 4 | 3 | 12 |
| Vídeo que se hace viral | 12 | 6 | 6 |
Medido: la campaña del ejemplo suma 12 puntos y un vídeo viral de doce personas en seis servidores se queda en 6, teniendo el triple de cuentas.
- Una persona que pega su enlace en diez servidores no es una campaña: hacen falta varias cuentas.
- Diez personas del mismo servidor comentando una noticia tampoco: una campaña se reparte entre comunidades que no se conocen.
No construye un perfil de nadie. Un avistamiento son cuatro números y ningún nombre: qué enlace, qué servidor, qué cuenta y cuántos días tiene. Los tres primeros van como hash.
Se cuenta cuántas cuentas distintas, no cuáles. El veredicto es sobre el enlace. Ninguna persona queda marcada, y los datos se olvidan a las seis horas.