Rilevazione di frodi per evitare utenti falsi

1

So che non esiste una soluzione al 100% per il rilevamento delle frodi, ma almeno desidero impostare un certo livello di fiducia in questo caso d'uso.

Supponiamo di avere un sistema in cui:

  • Un utente deve effettuare una registrazione
  • Un utente può pubblicare solo una recensione per prodotto aziendale

Sto facendo 4 passaggi per evitare le frodi (ad esempio, i post multipli di account falsi):

Step 1 - Each account allow only one vote per product.

  • The malicious user need to create multiples accounts to fake reviews.
  • He need a new email to create a new account.
  • He have to complete the google recaptcha

Step 2 - invalid review if this combination is true:

  • user IP + user browser fingerprint combination already exist for the chosen company product (using the IP to avoid collisions of browser fingerprint)

Step 3 - invalid review if this combination is true:

  • same user IP used for the chosen company product in the last two days

Step 4 - If everything fail, the user can post a review:

  • In moderation area, if same product has a duplicated fingerprint, then the review will be marked as potentially faked and needs to be approved accordingly

C'è un modo semplice per migliorare questo meccanismo di rilevamento delle frodi?

Qualche consiglio sulle collisioni con le impronte digitali?

    
posta user455318 11.02.2016 - 12:28
fonte

4 risposte

2

Modifica: se il tuo sito web parla di crowdsourcing, probabilmente dovresti averlo menzionato subito nella domanda perché è un argomento molto specifico e diverso dagli scenari dei venditori online.

Eppure la soluzione rimane la stessa. Il modo più semplice sarebbe quello di tenere qualsiasi attività verificata per ciascun utente in un database e verificare quindi se un utente ha davvero realizzato qualcosa. È così che negozi come Amazon e progetti di crowdsourcing come Wikipedia lo fanno e non è davvero difficile da implementare, specialmente quando tutti gli utenti devono registrarsi comunque.

Avrai sempre dati come ID membro o ID progetto che possono essere mappati 1: 1 a una persona esistente. Non riesco nemmeno a immaginare un'azienda in cui il proprietario non tenga nemmeno traccia dei partecipanti alla sua attività.

    
risposta data 11.02.2016 - 12:43
fonte
1

Suggerirei di far usare agli utenti l'autenticazione a due fattori "qualcosa che ho". Un esempio è l'invio di messaggi di testo per verificare l'utente al momento della registrazione o della pubblicazione.

O limita la possibilità ai clienti di pubblicare se l'account è nuovo e ha un "Tempo di attesa".

Potresti andare oltre e richiedere la geo-localizzazione su un'app mobile che controlla se la persona si trova nell'area in cui viene inserita la recensione.

Il secondo passo sarebbe limitare il numero di recensioni per ora / minuto per ogni azienda / prodotto.

Ancora una volta. Tutto ciò non è facile da implementare e comporta un onere maggiore per il cliente.

    
risposta data 12.02.2016 - 04:21
fonte
0

Complimenti per aver tentato di presentare recensioni oneste - un risultato un po 'insolito quando la maggior parte dei modelli di business che coinvolgono recensioni inviate dagli utenti tendono a non favorire tale approccio.

Per quanto riguarda ciò che stai facendo attualmente ....

Ci hai detto solo parte del processo qui. Una caratteristica comune di molti siti online è che insistono nel creare una fiducia in primo piano prima di consentire a un utente di fare qualsiasi cosa. Trovo questo particolarmente fastidioso. Non desidero fornire il mio indirizzo postale, la mia età e le dimensioni della scarpa prima che sia consentito a condividere la mia esperienza di un prodotto, buono o cattivo. In effetti, sono propenso a saltare attraverso questi cerchi se voglio davvero pubblicare una recensione al vetriolo. Quindi suggerirei che qualsiasi parte del processo che coinvolge direttamente l'utente avvenga dopo che la recensione è stata registrata (ma prima che venga visualizzata). L'invio di un'e-mail con un link di conferma è un modo facile e minimamente invadente per farlo.

L'utilizzo del fingerprinting del browser, sia per l'invio della recensione che per la convalida, darà una buona indicazione se lo stesso browser ha inviato la recensione e lo ha confermato, ma le persone possono avere più dispositivi.

user IP + user browser fingerprint combination already exist

Gli indirizzi IP per i client sono raramente statici. Anche l'utilizzo di una sottorete non è tutto ciò che è efficace. L'ASN (o il suo record ORG associato) fornirà risultati meno dettagliati, ma molto più coerenti e accurati. L'utilizzo del numero ASN semplifica inoltre il processo di identificazione della località dell'indirizzo del cliente; potresti voler limitare le recensioni ai paesi in cui il prodotto è disponibile. Ci sono organizzazioni (la mia esperienza è che c'è una densità insolita nelle Filippine e nell'Europa orientale) che realizzeranno il marketing dei black-op.

Any advice about fingerprint collisions?

Cerca di evitarli?

Per qualche ragione, le aziende che offrono questi servizi sono piuttosto reticenti a pubblicare statistiche sull'unicità della loro soluzione - e sembra esserci molta letteratura (al di là dello studio originale panopticlick) che confronti metodologie.

Potresti trovare alcuni utili suggerimenti nel post del blog qui . In precedenza avevo segnalato 1056 hash unici da 1160 dispositivi diversi utilizzando alcuni di questi metodi. Da allora ho aggiornato la mia metodologia per includere il fingerprinting del canvas che aumenta moltissimo l'unicità.

Prima o poi scoprirai di avere molti dati per ogni recensione: più indirizzi IP, cookie, impronte digitali (e potenzialmente vocabolari, stile di scrittura e altri). Potresti trovare più appropriato associare una ponderazione ai diversi flag rilevati in modo simile a come funziona lo spamassassin.

    
risposta data 11.02.2016 - 13:57
fonte
0

L'utente malintenzionato può semplicemente modificare l'impronta digitale del browser. Almeno, può avere due o più browser diversi installati sulla sua macchina. Inoltre, riguardo ai diversi utenti che utilizzano lo stesso indirizzo IP (ad es. Dietro NAT) o utilizzano un computer condiviso condiviso.

Ti consiglierei di consultare Rilevazione spam degli utenti: rilevamento di recensioni e revisori falsi

Penso che questo ti aiuterà a capire come pensano i recensori di spam. In generale, proverei a calcolare un punteggio per ogni recensione.

Le recensioni fasulle create dallo stesso recensore dello spam condivideranno alcuni modelli. per esempio. ora del giorno in cui è stata inviata la recensione, velocità di digitazione (quanto tempo ha impiegato per digitare la recensione) la geolocalizzazione del revisore, lo stile della lingua e l'errore di battitura, ecc.

    
risposta data 23.03.2016 - 21:38
fonte