Спам-регистрации и фейковые аккаунты: как остановить
Содержание
Поделиться
Спам-регистрация — это массовое создание новых учётных записей через обычную форму, иногда с заполненным профилем, чтобы потом этими записями пользоваться. Каталог OWASP (OAT-019) отдельно говорит: это новые записи. Подбор и проверка уже существующих пар логин-пароль — другие события. Скликивание к созданию аккаунта не сводится.
Вам это нужно, если в кабинете растут регистрации, а в поддержку приходят пустые профили. Ниже — чем такие записи отличаются от входа чужим паролем и какой порядок останавливает их, не отрезая живых людей.
Новая запись и чужой пароль — разные события
Среди целей массового создания записей каталог называет спам, репутацию, поисковую оптимизацию, отзывы и опросы. Запись появляется там, где сайт сам предлагает регистрацию. Как устроена регистрация именно вашего сайта, каталог не разбирает: он задаёт тип события.
Проверка чужих пар — другое. OWASP различает три атаки на вход. Подбор — много паролей к одной учётной записи. Credential stuffing — проверка пар логин и пароль, утекших с другого сайта. Распыление — один слабый пароль по многим учётным записям. Лучшей защитой от большинства таких атак OWASP называет второй фактор. Цифру про долю компрометаций, которую остановил бы второй фактор, в статью не переносим: в источнике нет года и выборки.
Если вы закрываете регистрацию так же, как форму входа, вы мешаете не тому событию. На регистрации ещё нет украденной пары. Есть новый ящик и новый профиль.
Подтвердите почту до рабочей записи
OWASP для создания записей пишет: почту нужно подтвердить до того, как запись станет рабочей, а не только отправить письмо «вы зарегистрированы». Пока ссылка из письма не пройдена, запись не должна получать права: отзывы, рассылку, репутацию.
Для телефона смотрят тип линии оператора. Номеров VoIP много и они дёшевы — замечание без года и выборки, его нельзя читать как долю ваших регистраций. Одноразовые почтовые домены сверяют со списком. Порог «сколько регистраций с одного адреса» здесь не задан. Это и не правило Директа о неверном телефоне в рекламной заявке.
Поле email в браузере, по MDN, проверяет только формат: пустая строка или адрес вида имя@домен. Это не значит, что ящик существует, принадлежит этому человеку или годится для сайта. Пользователь может поменять HTML у себя, поэтому решение, от которого зависит безопасность, принимает сервер. Браузерная проверка формата такой границей не является.
Не отказывайте по первому слабому сигналу
Задача OWASP по ботам — не остановить всех. Краулеры поиска, мониторинг и инструменты доступности законны. Нужно поднять цену злонамеренной автоматизации. Один приём хрупок. Защиту собирают из края сети, приложения и бизнес-правил. До выбора приёма разложите события: вход, регистрация, каталог и заказ устроены по-разному. Регистрация — отдельная точка.
Жёсткий отказ по первому сигналу — ошибка. Ошибка и отказ всем, чей браузер усилен ради приватности: такие посетители часто похожи на бота. Предпочтение — проверка, а не отказ.
Слабое подозрение — записать и обслужить.
Средняя уверенность — дополнительная проверка.
Подтверждённое злоупотребление — разбор вручную.
Приёмы, которые портят ответ или специально его замедляют, в этот порядок не входят.
Порядок на регистрации
Отделите создание новой записи от входа. На входе думайте о чужих парах и втором факторе. На регистрации — о том, что запись ещё не должна стать рабочей.
Не доверяйте зелёной галочке поля email в браузере. Формат проверьте на сервере и не считайте это доказательством, что ящик есть.
Подтвердите почту до прав. Одноразовые домены сверьте со списком. Для телефона смотрите тип линии.
Первый слабый сигнал запишите и пустите человека дальше к подтверждению, а не в бан. Дополнительную проверку включите при средней уверенности.
Добавьте второй слой, кроме одного поля формы: край сети или бизнес-правило «без подтверждения нет прав». Одного приёма мало.
Руками вы успеваете разобрать десяток анкет. Поток новых записей с одноразовых доменов руками не разбирается: пока вы читаете профиль, следующая запись уже получает права, если письмо «вы зарегистрированы» их выдало сразу. Подтверждение до прав этот разрыв закрывает без капчи на каждом шаге. Второй фактор на входе остаётся отдельно: он про уже существующие пары, не про новую анкету.
Разложите одну регистрацию по слоям, чтобы увидеть, где приём уже стоит и где его нет. Край сети может ограничить частоту запросов к адресу регистрации, но порог частоты OWASP в это описание не включает: вам важно само место слоя, а не число. Приложение проверяет формат на сервере и не выдаёт права до перехода по ссылке из письма. Бизнес-правило решает, что профиль без подтверждённой почты не публикует отзыв и не копится в репутации. Если все три слоя отсутствуют и есть только зелёная галочка в браузере, запись становится рабочей в момент отправки.
Отдельно пройдите телефон. Тип линии оператора — сигнал из описания OWASP, а не запрет всех номеров, которые выглядят «не мобильными». VoIP назван многочисленным и дешёвым без выборки, поэтому вы не вычисляете по этой фразе долю фейковых аккаунтов за неделю. Список одноразовых доменов сверяете до выдачи прав. Если домена в списке нет, это не доказательство живого человека: список мог отстать, а ящик всё равно может не существовать. Серверная проверка формата и подтверждение ссылкой закрывают разные дыры. Формат отсекает строку без «@». Ссылка отсекает ящик, который никто не открывает.
Слабый сигнал на регистрации выглядит так: необычный клиент, один адрес, одна анкета. Его записывают и ведут человека к письму. Средняя уверенность — когда к необычному клиенту добавляется одноразовый домен или линия, которую вы заранее отнесли к дешёвым. Тогда включается дополнительная проверка, а не мгновенный бан. Подтверждённое злоупотребление — пачка новых записей с одной и той же последующей целью из каталога: спам, накрутка отзывов, опросы. Её разбирают вручную. Жёсткий отказ всем с приватным браузером в этот разбор не входит: такие посетители часто похожи на бота и при этом остаются людьми.
Не переносите на регистрацию защиту входа целиком. Второй фактор останавливает большинство атак на уже существующие пары. Новой записи пары ещё нет, фактор не к чему приложить, пока человек не подтвердил почту и не задал пароль. И наоборот: подтверждение почты не заменяет фактор на форме входа. Каталог прямо разводит новые записи и проверку уже существующих пар.
Кто скликивает рекламу, чем кликфрод отличается от скликивания, почему недействительные клики списывают не всегда и вернёт ли Яндекс деньги, регистрация не решает. Рекламный клик и новая учётная запись — разные потери.