Resumen: qué es una granja de laptops
- Un rack físico de 30-100 dispositivos reales en ISPs residenciales, operado por humanos que rotan entre ellos.
- La reputación de IP, huella de dispositivo, CAPTCHAs y MFA fallan aquí. Cada dispositivo es real, cada IP está limpia, y un humano está en el teclado.
- Lo que realmente lo atrapa: correlación conductual entre cuentas, patrones de timing entre sesiones, ritmo de tecleo firma del operador.
Cómo funciona una laptop farm
Cada dispositivo en una laptop farm obtiene su propia dirección IP mediante un proxy dedicado o una SIM móvil. El operador carga diferentes cuentas, cookies y perfiles de navegador por dispositivo. Las configuraciones más sofisticadas usan navegadores anti-detect que generan valores de huella digital aleatorizados para cada sesión, incluidas diferentes cadenas de agente de usuario, resoluciones de pantalla y configuraciones de idioma.
El resultado es un conjunto de sesiones que parecen independientes para cualquier herramienta que monitoree la red. Desde el exterior, ves tráfico desde una IP residencial en una ciudad, un operador móvil en otra y un proxy de datacenter en una tercera. No ves que la misma persona escribió cada interacción.
| Capa de señal | Lo que controla el atacante | Lo que todavía se filtra |
|---|---|---|
| Dirección IP | Rotada por dispositivo o sesión | Agrupación de ASN cuando el pool de proxies es compartido |
| Agente de navegador | Falsificado mediante navegador anti-detect | Renderizador GPU, temporización de API de audio, jitter de hardware |
| Identidad de cuenta | Perfil separado por dispositivo | Ritmo de escritura y movimiento del ratón entre cuentas |
| Comportamiento de sesión | Clics y desplazamientos a velocidad humana | Biometría conductual consistente entre dispositivos |
Quién usa laptop farms
Las laptop farms aparecen en varios tipos de fraude con diferentes objetivos.
Trabajadores norcoreanos de TI. El FBI emitió un Comunicado de Servicio Público en mayo de 2024 advirtiendo que trabajadores patrocinados por el estado solicitan puestos de ingeniería remota en empresas occidentales mediante laptop farms, cobrando salarios que financian programas gubernamentales. KnowBe4 reveló en julio de 2024 que contrató a uno, descubriéndolo solo mediante análisis conductual posterior a la contratación. El CEO de cside Simon Wijckmans encontró el mismo ataque durante una ronda de contratación y utilizó la huella digital de dispositivos para filtrar candidatos, documentado aquí.
Fraude de clics en publicidad. Una farm de 20 dispositivos genera miles de clics publicitarios falsos por día, agotando los presupuestos de los anunciantes mientras cada sesión parece una persona real distinta de una ubicación diferente.
Abuso de bonos y promociones. Cada dispositivo reclama una oferta de bienvenida, crédito de referido o bono de primer depósito bajo una nueva cuenta. La farm repite el ciclo de creación de cuentas y retiro continuamente.
Relleno de credenciales. Al probar listas de credenciales robadas contra un endpoint de inicio de sesión, una laptop farm distribuye la carga entre direcciones IP para mantenerse bajo los límites de velocidad por IP.
Fraude de múltiples cuentas en juegos y servicios financieros. Los operadores ejecutan múltiples cuentas en juegos en línea, comercian con cuentas de alto rango, o reclaman recompensas de fidelidad entre identidades desde una sola ubicación.
Por qué la detección tradicional falla con las laptop farms
Las bases de datos de reputación de IP marcan las IPs de datacenter y proxy conocidas, pero los proxies residenciales y las tarjetas SIM móviles rara vez se marcan. La limitación de velocidad por IP se evita cuando cada dispositivo tiene una dirección separada.
La huella digital se evita cuando el atacante usa un navegador anti-detect que aleatoriza los valores que las herramientas de seguridad suelen leer: cadenas de agente de usuario, resolución de pantalla, fuentes instaladas y cadenas de renderizador WebGL.
La señal que estas herramientas pierden está en la capa conductual: la persona física cuyos hábitos son consistentes en todos los dispositivos de la farm.
Señales del navegador que exponen a los operadores de laptop farms
Biometría conductual. La cadencia de escritura, la duración de las teclas, las trayectorias de movimiento del ratón y la velocidad de desplazamiento son señales biométricas ligadas a cada individuo. Un operador que controla cinco cuentas en una sesión produce patrones de escritura y ratón consistentes en esas cuentas, aunque cada una muestre una IP diferente, un agente de navegador y una identidad. Esa consistencia entre la diversidad aparente es el indicador más claro de una persona en muchos dispositivos.
Huella digital a nivel de hardware. Los navegadores anti-detect falsifican los valores legibles, pero las señales de bajo nivel son más difíciles de enmascarar: cadenas del renderizador GPU (la salida de WebGLRenderingContext.UNMASKED_RENDERER_WEBGL), jitter de procesamiento de audio de la API AudioContext y comportamiento de temporizador de alta resolución de performance.now(). Los dispositivos del mismo lote, configurados de manera similar y ejecutándose en el mismo entorno, tienden a agruparse en estos valores incluso cuando las huellas digitales superficiales difieren.
Viaje imposible en la capa conductual. Si la misma firma conductual aparece en múltiples IPs en una ventana corta, eso es físicamente imposible para una persona en un teclado. La detección de viaje imposible de cside captura esto en la capa del navegador, no solo en la capa de red.
Agrupación de red. Incluso con rotación de proxies, las farms a menudo comparten el mismo ASN ascendente, el mismo bloque /24 de IP, o dispositivos con la misma configuración regional y de zona horaria. Estas señales de agrupación aumentan la confianza en la puntuación de origen coordinado.
Cómo detecta cside la actividad de laptop farms
cside monitorea la capa del navegador en sesiones de visitantes reales sin agregar latencia. La huella digital de dispositivos con más de 102 señales, incluidos datos de GPU y temporización de bajo nivel, combinada con biometría conductual y detección de viaje imposible, produce una puntuación de origen coordinado para cada grupo de sesiones.
Cuando las sesiones que afirman identidades separadas muestran señales de hardware correlacionadas y patrones de comportamiento coincidentes, cside marca el grupo como una posible laptop farm y lo enruta para revisión o bloqueo automático según la política configurada.
Relacionado: detección de amenazas internas: las señales del navegador capturan lo que SIEM no ve y detección de viaje imposible.
