Volgens het MRC Global eCommerce Payments and Fraud Report 2026 rapporteert 64% van de merchants een betekenisvolle toename van first-party misbruik. Multi-accounting is een van de meest consistente drijfkrachten achter dat getal: één echte persoon die meerdere accounts aanmaakt om waarde te onttrekken die het platform bedoelt te distribueren per echte gebruiker. Aanmeldingsbonussen twee keer claimen. Referral-beloningen genereren via zelfreferral. Gratis proefperiodes voor onbepaalde tijd verlengen via een reeks nieuwe e-mailadressen. Seatlimieten omzeilen door elke gelijktijdige gebruiker te presenteren als een afzonderlijke accounthouder.
Snelheidsregels stoppen de operator die tien accounts aanmaakt vanaf hetzelfde IP-adres in dertig minuten. Ze stoppen niet de operator die die drempel begrijpt, een andere e-mailprovider en een VPN gebruikt voor elk account, en aanmaak verspreidt over drie dagen. Device fingerprinting detecteert de tweede operator, omdat hun apparaat moeilijker te roteren is dan hun e-mailadres of IP. Email domain intelligence detecteert de derde operator, degene die ook apparaten roteert maar wiens e-mailinfrastructuur signalen achterlaat die regelgebaseerde controles niet kunnen zien.
Dit artikel legt uit hoe multi-account fraude daadwerkelijk werkt in fintech en SaaS, waar snelheidsregels ophouden bruikbaar signaal te geven, en wat device fingerprinting gecombineerd met email domain intelligence toevoegt aan de detectiedekking.
Hoe multi-account fraude er daadwerkelijk uitziet in fintech en SaaS
Kort antwoord: Multi-account fraude in fintech omvat bonusstapeling, referral reward farming, het vermijden van tariefstructuren en het omzeilen van opname- of blootstellingslimieten. In SaaS gaat het voornamelijk om farming van gratis proefperiodes en het omzeilen van seatlimieten. De gemeenschappelijke draad is een enkele echte identiteit die zich verschuilt achter meerdere geregistreerde accounts om waarde te benaderen die bedoeld is om één keer per persoon te worden gedistribueerd.
De fintechversie van multi-accounting heeft verschillende vormen. Bonusstapeling is de meest directe: een aanmeldingsbonus wordt één keer per account gecrediteerd, dus een operator die vijf accounts aanmaakt en elk financiert, claimt de bonus vijf keer. De accounts kunnen worden gefinancierd vanuit dezelfde bankrekening of kaart, wat een detecteerbaar signaal kan zijn op de betalingslaag, maar operators die op schaal werken gebruiken meerdere financieringsbronnen of mule-accounts om die link te maskeren.
Referral reward farming is een nauwe tweede. Een referralprogramma betaalt de verwijzer een beloning wanneer een nieuwe gebruiker lid wordt en een activiteitsdrempel bereikt. Een operator die zowel de verwijzersaccount als de verwezen account beheert, kan referralbeloningen genereren zonder echte nieuwe gebruikerswerving. Zelfreferral-loops zijn de eenvoudige versie; gecoördineerde netwerken waarbij de operator vele accounts over meerdere deelnemers beheert, zijn moeilijker te identificeren.
Het vermijden van tariefstructuren is specifieker voor gereguleerde financiële platforms. Transferlimieten, opnameplafonds en transactiekostenlagen zijn vaak per account gestructureerd. Een operator die hun activiteit verspreidt over meerdere accounts om onder tariefdrempels op elk account te blijven, onttrekt waarde die de tariefstructuur was bedoeld te herwinnen.
In SaaS is het patroon eenvoudiger maar niet minder kostbaar. Farming van gratis proefperiodes is de meest voorkomende vorm: een nieuw e-mailadres genereert een nieuwe proefperiode, en de operator rouleert door e-mailproviders om continue toegang tot functies van de proefperiode te onderhouden zonder te converteren. Omzeiling van seatlimieten is geavanceerder: de operator gebruikt één betaalde seat en distribueert inloggegevens aan extra gebruikers, waarbij wordt gerouleerd wie op een gegeven moment actief is om te voorkomen dat limieten voor gelijktijdige sessies worden getriggerd.
Waarom e-mailverificatie en snelheidsregels het meeste missen
Kort antwoord: Snelheidsregels markeren accounts die in bursts worden aangemaakt van hetzelfde IP of met hetzelfde e-mailpatroon. Wegwerpbare e-maildiensten verslaan e-mailuniciteitcontroles. VPN's en residentiële proxies verslaan IP-snelheid. Een georganiseerde operator die die drempels begrijpt en binnen die grenzen werkt, kan tientallen accounts registreren zonder een enkele melding te triggeren.
E-mailverificatie bewijst dat een e-mailadres bestaat en dat iemand toegang heeft tot de inbox. Het bewijst niet dat twee verschillende e-mailadressen bij twee verschillende echte mensen horen. Een wegwerpbare e-maildienst zoals Mailinator, Guerrilla Mail, Temp Mail of 10 Minute Mail genereert in seconden een functionele inbox. Elke inbox produceert een uniek e-mailadres dat formatvalidatie doorstaat en verificatiecodes ontvangt. Vanuit het perspectief van de registratieflow is elk een afzonderlijke nieuwe gebruiker. Vanuit het perspectief van de aanvaller zijn ze allemaal dezelfde operator.
Operators die op schaal werken buiten wegwerpbare e-maildiensten, gebruiken vers geregistreerde domeinen. Een domein dat 48 uur geleden is geregistreerd met geldige MX-records zal elke e-mailformaat- en blocklist-controle doorstaan. De operator genereert een willekeurig aantal inboxen op dat domein en gebruikt ze voor accountaanmaak. De domeinkosten zijn laag; de registraties die het mogelijk maakt zijn onbeperkt.
IP-snelheidsregels worden verslagen door proxyrotatie. Residentiële proxydiensten bieden toegang tot IP-adressen toegewezen aan echte consumenteninternetverbindingen, waardoor elk verzoek lijkt te komen van een ander huishouden. Een operator die door residentiële IP-adressen roteert voor elke accountaanmaakpoging zal geen per-IP snelheidsregel triggeren.
De tijddimensie is de meest onderschatte kloof. Snelheidsregels werken op tijdvensters: vijf accounts van hetzelfde IP in één uur is verdacht; één account van hetzelfde IP elke dag gedurende vijf dagen misschien niet. Een operator die accounts aanmaakt op een tempo dat binnen de per-IP- en per-e-mail tijdvensterdrempels blijft, terwijl ze IP-adressen en e-mailproviders roteren tussen registraties, omzeilt bijna elk regelgebaseerd systeem zonder een enkele melding te genereren.
Wat device fingerprinting toevoegt aan multi-account detectie
Kort antwoord: Een device fingerprint is moeilijker te wijzigen dan een e-mailadres of IP-adres. Een operator die een multi-accounting campagne uitvoert vanaf dezelfde hardware, laat een consistente device fingerprint achter over alle registraties, zelfs wanneer ze e-mailproviders en proxy IP-adressen roteren. Cross-account fingerprint-matching identificeert multi-account operators wier individuele registraties elke regelgebaseerde controle doorstaan.
Het apparaat dat een multi-accounting campagne genereert, de browserconfiguratie, hardware-karakteristieken, canvas-renderinggedrag, lettertype-set, timingsignalen en tientallen andere attributen, is stabieler dan het IP-adres of de e-mailprovider die het gebruikt voor elk account. Een operator die voor elk account hun e-mail en IP wijzigt maar dezelfde laptop gebruikt, genereert elke keer dezelfde device fingerprint.
Cross-account fingerprint-matching is waar dit actiegericht wordt. Een enkel account met een gegeven device fingerprint is geen fraudesignaal. Dezelfde device fingerprint die verschijnt over vijftien accountregistraties aangemaakt gedurende zeven dagen, allemaal met verschillende e-mailadressen, is een sterk multi-accounting signaal, zelfs als elke individuele registratie elke snelheidsregel schoon doorstond.
Het anti-detect browserprobleem is een bekende tegenmaatregel. Operators die device fingerprinting begrijpen, gebruiken tools zoals Multilogin of Linken Sphere, die geïsoleerde browserprofielen aanmaken met afzonderlijke, gesynthetiseerde fingerprints voor elk account. De detectie van cside pakt dit aan door de anti-detect browser zelf te identificeren: de gesynthetiseerde fingerprintparameters, de consistentie-artefacten van profielgegenereerde waarden, en de browseromgevingskenmerken die een beheerd anti-detect profiel onderscheiden van de browser van een echte gebruiker.
De combinatie van device fingerprint-correlatie en anti-detect browserdetectie dekt twee afzonderlijke operatorprofielen. De operator die niet weet van fingerprinting wordt gevangen door cross-account fingerprint-matching. De operator die een anti-detect browser gebruikt om fingerprinting te verslaan, wordt gevangen door anti-detect browserdetectie.
Meer over de device fingerprinting en cross-account correlatie van cside.
Hoe email domain intelligence de accounts detecteert die device fingerprinting mist
Kort antwoord: Een operator die apparaten roteert, verslaat device fingerprint-correlatie maar brengt nog steeds hun e-mailinfrastructuur mee naar de registratie. De email domain intelligence van cside, lijsten met wegwerpbare providers, resolver-v2 domeinsignalen en Brontar LLM-analyse, detecteert vers geregistreerde domeinen, gedeelde hostinginfrastructuur en op bedrijven gelijkende domeinen die device fingerprinting niet kan zien. De twee lagen zijn complementair: verschillende ontwijkingsstrategieën, verschillende detectiemechanismen.
Een operator die geavanceerd genoeg is om een ander apparaat te gebruiken voor elke multi-account registratie, heeft het fingerprint-probleem opgelost maar het e-mailprobleem niet. Ze hebben nog steeds e-mailadressen nodig voor accountverificatie, en de infrastructuur die ze gebruiken om die adressen te genereren, laat signalen achter op domeinniveau.
Laag 2 van de email domain intelligence van cside detecteert de voor de hand liggende gevallen: Mailinator, Guerrilla Mail, Temp Mail, 10 Minute Mail en honderden vergelijkbare wegwerpbare e-mailproviders worden onmiddellijk geblokkeerd op domeinniveauvergelijking.
Het meer geavanceerde patroon zijn vers geregistreerde domeinen. Een operator die appworklijst.com twee dagen voor hun multi-accounting campagne registreert, zal elke blocklist-controle doorstaan. resolver-v2 detecteert dit door de WHOIS-registratieleeftijd te evalueren naast de kwaliteit van DNS/MX/SPF/DMARC-configuratie en de hosting-ASN-reputatie van het opgeloste IP.
De Brontar-laag behandelt het ambigue middengebied: domeinen die niet vers genoeg zijn voor resolver-v2 om betrouwbaar te markeren, maar die nog steeds geen echte operationele bedrijven vertegenwoordigen. Brontar voert een webzoekopdracht op het domein uit om te beoordelen of er enige coherente bedrijfspresence bestaat, lost het domein op naar zijn IP, voert reverse DNS uit op dat IP om co-gehoste domeinen te identificeren, en correleert die domeinen met het corpus van met fraude geassocieerde infrastructuur van cside.
Het operationele resultaat is dat de email domain intelligence van cside multi-account operators detecteert bij registratie op basis van hun e-mailinfrastructuur, zelfs wanneer hun apparaatsignalen er schoon uitzien.
Wat dit betekent voor fraude- en groeiteams
Kort antwoord: Multi-account detectie bij cside werkt bij registratie en over bestaande accountpopulaties. Bij registratie voorkomen email domain intelligence en browser-laag fingerprinting dat dubbele accounts worden aangemaakt. Over bestaande accounts identificeert device fingerprint-correlatie accounts die al zijn aangemaakt vanaf dezelfde hardware. Beide outputs voeden hetzelfde risicosignaal waarop het fraudeteam al handelt.
Registratietijddetectie is de hoogste-hefboom-interventie. Het juiste moment om een multi-account operator te stoppen is voordat hun tweede account bestaat. Elk account dat wordt aangemaakt voor detectie verlengt de periode waarin de operator waarde kan onttrekken, en elk account vereist herstelwerk achteraf.
Cross-account correlatie pakt de accounts aan die al bestaan. In elke accountpopulatie met historische registratiegegevens, identificeert device fingerprint-correlatie over accounts die in hetzelfde tijdvenster zijn aangemaakt, clusters van waarschijnlijke multi-account operators. Dit is met name nuttig voor platforms die detectie hebben geïmplementeerd nadat een multi-accounting campagne al is begonnen.
De risicokalibratie verschilt significant tussen fintech en SaaS. Een consumentenfintech-platform waarbij multi-accounting directe bonusuitbetalingen genereert, heeft hoge urgentie en lage fout-positieventolerantie. Een developer-tools SaaS waarbij farming van gratis proefperiodes conversie vertraagt maar geen directe verliezen genereert, heeft een andere urgentie.
Voor groeiteams is de integratie met beheer van referralprogramma's bijzonder relevant. Referralfraude-detectie vereist dezelfde signalen als multi-accounting detectie: cross-account fingerprint-correlatie identificeert zelfreferral-loops; email domain intelligence identificeert ontvangers van referral-uitnodigingen die opereren vanuit dezelfde e-mailinfrastructuur als de verwijzer.
In de cross-account fingerprint-monitoring van cside is het meest consistente multi-account patroon dezelfde device fingerprint die verschijnt over registraties die verschillende e-mailproviders gebruiken op domeinen die binnen hetzelfde venster van 72 uur zijn aangemaakt. E-mailinfrastructuurrotatie is vrijwel universeel onder georganiseerde operators; hardware-rotatie is zeldzaam. Deze asymmetrie maakt cross-account fingerprint-correlatie de hoogste-signaaldetectielaag voor georganiseerde multi-accounting campagnes.
cside is SOC 2-gecertificeerd. De volledige beveiligingshouding is gedocumenteerd op trust.cside.com.
