Detecção de campanhas
Reconstrução de uma campanha real de prendas falsas. Cada linha é um avistamento; a barra é a certeza acumulada.
Uma burla vive umas horas. Entre começar e entrar numa lista de bloqueio passam, em média, várias horas a dois dias. Quando o bloqueio chega, já recebeu e mudou de domínio.
E analisar a página não ajuda: o site malicioso vê quem está a pedir. Se for um centro de dados, devolve uma página limpa. O scanner vê uma loja; a vítima vê o roubo.
Nenhum sinal chega ao limiar sozinho. Agir por um só é exactamente como se bloqueia gente inocente.
É a pergunta que afunda os sistemas deste tipo. Um link legítimo que fica popular tem mais contas e mais servidores do que uma campanha, por isso esses dois sinais não distinguem nada e valem pouco.
O que um link legítimo não pode ter é contas de três dias, quarenta minutos de janela e o mesmo texto copiado. É aí que vão os pontos.
| caso | contas | servidores | certeza |
|---|---|---|---|
| Campanha de prendas falsas | 4 | 3 | 12 |
| Vídeo que fica viral | 12 | 6 | 6 |
Medido: a campanha do exemplo soma 12 e um vídeo viral de doze pessoas em seis servidores fica em 6, tendo o triplo das contas.
- Uma pessoa a colar o seu link em dez servidores não é uma campanha: são precisas várias contas.
- Dez pessoas do mesmo servidor a comentar uma notícia também não: uma campanha espalha-se por comunidades que não se conhecem.
Não constrói o perfil de ninguém. Um avistamento são quatro números e nenhum nome: que link, que servidor, que conta e quantos dias tem. Os três primeiros viajam como hash.
Conta-se quantas contas distintas, não quais. O veredicto é sobre o link. Ninguém fica marcado, e os dados são esquecidos ao fim de seis horas.