Обнаружение кампаний
Реконструкция настоящей кампании с поддельными подарками. Каждая строка — одно наблюдение; полоса — накопленная уверенность.
Мошенническая страница живёт несколько часов. От запуска до попадания в список блокировок проходит в среднем от нескольких часов до двух суток. Когда блокировка приходит, деньги уже собраны, а домен сменён.
Анализ страницы тоже не помогает: вредоносный сайт смотрит, кто запрашивает. Если это дата-центр, он отдаёт чистую страницу. Сканер видит магазин, жертва видит кражу.
Ни один признак сам по себе не достигает порога. Действовать по одному признаку — это ровно тот способ, которым блокируют невиновных.
Это вопрос, который топит подобные системы. У легитимной ссылки, ставшей популярной, больше аккаунтов и больше серверов, чем у кампании, поэтому эти два признака ничего не различают и весят мало.
Чего у легитимной ссылки быть не может: аккаунтов трёхдневной давности, окна в сорок минут и одного и того же скопированного текста. Туда и уходят баллы.
| случай | аккаунтов | серверов | уверенность |
|---|---|---|---|
| Кампания с поддельными подарками | 4 | 3 | 12 |
| Видео становится вирусным | 12 | 6 | 6 |
Измерено: кампания из примера набирает 12, а вирусное видео от двенадцати человек на шести серверах остаётся на 6 — при втрое большем числе аккаунтов.
- Один человек, разославший свою ссылку на десять серверов, — не кампания: нужны несколько аккаунтов.
- Десять человек на одном сервере, обсуждающих новость, — тоже нет: кампания расходится по сообществам, которые друг друга не знают.
Он не строит ничей профиль. Наблюдение — это четыре числа и ни одного имени: какая ссылка, какой сервер, какой аккаунт и сколько ему дней. Первые три передаются хешами.
Считается, сколько разных аккаунтов, а не какие именно. Вердикт выносится о ссылке. Никто не помечается, а данные забываются через шесть часов.