Concursos y fraude participativa: identificar bots sin perder a ganadores reales

La fraude participativa en un concurso designa cualquier intento de obtener premios o participaciones adicionales por medios contrarios a las bases: cuentas múltiples, scripts automatizados, participación coordinada o manipulación de los mecanismos de sorteo. Para detectarla, el organizador combina tres familias de señales: los indicios técnicos (dispositivo, red, duplicados), los indicios de comportamiento (ritmo, secuencia de acciones, timing) y los indicios de coherencia entre el registro y el resto de los datos. Ninguna señal aislada basta para probar una fraude; es su acumulación, documentada y aplicada según criterios escritos de antemano, lo que permite justificar una exclusión.

¿Por qué progresa la fraude participativa en los concursos en línea?

Un concurso en línea recompensa una acción simple y repetible: rellenar un formulario, compartir una publicación, votar, apadrinar a un amigo. Esta simplicidad hace tentadora la automatización. Un script puede enviar formularios a gran velocidad, una red de cuentas puede votar de forma coordinada, y un grupo de participantes puede repartirse los apadrinamientos para inflar artificialmente una clasificación.

Las fraudes más frecuentes pertenecen a cuatro familias:

• Cuentas múltiples: una misma persona crea varias identidades para multiplicar sus posibilidades.
• Automatización: bots rellenan los formularios o activan las acciones a una cadencia imposible para un humano.
• Coordinación: un grupo organizado (a veces remunerado) produce participaciones o votos en bloque.
• Elusión de las reglas: suplantación de identidad para reclamar un premio, apadrinamientos ficticios, creación de cuentas para terceros sin su consentimiento.

El punto importante para un organizador es que estas fraudes no se parecen todas entre sí. Un bot deja sobre todo rastros de velocidad y regularidad. Una red coordinada deja rastros de sincronización entre cuentas. Un defraudador aislado que utiliza varias direcciones de correo electrónico deja sobre todo rastros técnicos y documentales. Por lo tanto, se necesitan controles diferentes para cada caso.

¿Qué señales de comportamiento hay que vigilar?

La detección técnica (direcciones IP, VPN, huellas del navegador, duplicados de correo electrónico o de número de teléfono) es necesaria pero insuficiente. No ve a un participante que utiliza una VPN legítima, ni a un bot que cambia de dirección en cada solicitud. Las señales de comportamiento, por su parte, describen la manera en que se realiza una acción.

El timing sospechoso

Un participante humano tiene un ritmo irregular. Lee las bases, duda, vuelve atrás, cierra la pestaña, la vuelve a abrir. Un bot tiene un ritmo demasiado regular o demasiado rápido. Las señales que hay que examinar son:

• Envíos emitidos a intervalos casi idénticos (por ejemplo, cada tres segundos durante varias horas).
• Participaciones concentradas en los primeros segundos tras la apertura del concurso, o justo después de un recordatorio publicado por el organizador.
• Picos de actividad fuera de las horas en que el público objetivo está realmente conectado, sobre todo si la actividad se reparte entre varias zonas horarias sin lógica aparente.

Las trayectorias anómalas

La trayectoria designa la secuencia de páginas y acciones. Un recorrido humano suele ser desordenado: una página de inicio, luego la página del concurso, luego una pausa, luego el formulario. Un script sigue generalmente un camino directo, sin consultar las bases, sin desplazamiento, y a veces se salta etapas obligatorias (por ejemplo, enviar el formulario sin cargar nunca la página de confirmación del correo electrónico).

Una señal fuerte es el camino invariante: cientos de participaciones que siguen exactamente la misma secuencia de eventos, al milisegundo, son muy poco probables en humanos.

La velocidad de interacción imposible

Algunas acciones tienen una duración mínima realista. Introducir un nombre, un correo electrónico, una dirección y responder a una pregunta de cultura general lleva un tiempo no nulo. Si el envío completo llega en menos tiempo que la lectura de la pregunta, es un indicio fuerte de automatización o de copia de respuestas.

Hay que fijar este umbral a partir de pruebas reales, cronometrando a varias personas que rellenan el formulario en dispositivos diferentes, y no a partir de una intuición. Un umbral demasiado estricto penaliza a las personas rápidas, a los usuarios de autocompletado y a quienes copian y pegan legítimamente sus datos.

La coherencia entre los datos

Una cuenta puede parecer normal de forma aislada y volverse sospechosa cuando se compara con otra información: una dirección postal que no corresponde a ninguna zona de entrega aceptada por las bases, un número de teléfono ya utilizado por varios registros, una fecha de nacimiento incompatible con el grupo de edad exigido, o un nombre de usuario calcado de una serie (user2481, user2482...).

Lista de verificación operativa de las señales de alerta

He aquí una lista utilizable tal cual para preparar el control de un concurso. Cada señal debe anotarse, y no tratarse como una prueba.

1. Más de cinco registros que comparten la misma huella de navegador o el mismo identificador de dispositivo durante la duración del juego.
2. Una cadencia de envío regular con unos segundos de diferencia, en más de diez participaciones consecutivas.
3. Un tiempo de rellenado del formulario inferior al umbral mínimo medido en sus pruebas.
4. Correos electrónicos con dominio desechable o con patrón generado automáticamente (cadenas aleatorias, sufijos numéricos incrementados).
5. Apadrinamientos que forman un grafo cerrado: un pequeño grupo de cuentas se apadrina exclusivamente entre sí.
6. Una concentración de participaciones en pocos minutos tras una publicación de recordatorio en las redes sociales.
7. Votos o likes procedentes de un mismo bloque de direcciones IP o de un mismo proveedor de acceso en un periodo corto.
8. Datos postales o telefónicos incoherentes con las condiciones de participación.
9. Cuentas creadas poco antes del inicio del juego y que no tienen ninguna otra actividad.
10. Participaciones que fallan en las etapas de validación (enlace de confirmación nunca abierto) pero que aun así se contabilizan.

Un solo punto no justifica nada. Tres puntos o más, convergentes y documentados, justifican una verificación manual. Una exclusión debe basarse en un conjunto de indicios, no en uno solo.

¿Cómo construir una puntuación de riesgo sin automatizar las injusticias?

Una puntuación de riesgo atribuye un valor a cada señal y luego agrega estos valores para decidir una acción: aceptar, verificar, suspender. El principio es simple, la implementación exige prudencia.

Tomemos el caso hipotético de una marca de cosméticos que organiza un sorteo con participación por formulario y apadrinamiento. El servicio de marketing podría atribuir puntos así: 2 puntos por una cadencia sospechosa, 3 por un duplicado de teléfono, 1 por un dominio de correo desechable, 2 por un apadrinamiento en grafo cerrado. Un participante que alcanza 4 puntos pasa a la cola de verificación manual; nunca se le excluye automáticamente.

Las reglas de diseño que hay que respetar:

• Documentar cada criterio y su ponderación antes del lanzamiento del juego, y conservar ese registro.
• Separar la puntuación de la decisión: la puntuación prioriza las verificaciones, es un humano quien decide.
• Probar los falsos positivos: volver a ejecutar el modelo sobre las participaciones pasadas o sobre una muestra de pruebas para ver cuántos participantes reales serían señalados.
• Evitar los criterios sensibles: ningún criterio debe basarse en un dato que revele un origen, una opinión o una característica protegida.

En cuanto a las herramientas, existen soluciones de verificación de identidad, de detección de bots y de análisis de reputación de direcciones IP o correo electrónico. La elección depende del volumen, del presupuesto y de la capacidad del equipo para interpretar los resultados. Una herramienta que produce una puntuación opaca sin explicación es difícil de defender en caso de impugnación. Priorice aquellas que exponen las razones de una alerta.

¿Cómo excluir a un participante sin crear un litigio RGPD?

Este es el punto en el que los organizadores se equivocan con más frecuencia. La exclusión de un participante es una decisión que afecta a una persona y que implica el tratamiento de datos personales. Por lo tanto, debe basarse en una base jurídica clara y en un procedimiento trazable.

¿Qué base jurídica adoptar?

Para la lucha contra la fraude, se invoca habitualmente el interés legítimo del organizador, siempre que se realice y documente un análisis de equilibrio entre este interés y los derechos de los participantes. También es necesario que las bases del juego informen claramente a los participantes de que se realizan controles antifraude, qué datos se analizan y durante cuánto tiempo se conservan. Esta información debe ser accesible antes de la participación, no descubierta después de una exclusión.

Verifique la posición de su delegado de protección de datos o de su asesor jurídico: la calificación exacta depende del tratamiento, del país de residencia de los participantes y de las herramientas utilizadas.

¿Qué procedimiento seguir antes de una exclusión?

Un procedimiento defendible se desarrolla por etapas:

1. Calificar la alerta: enumere las señales observadas, con las marcas de tiempo y los datos técnicos que las justifican.
2. Verificar manualmente: una segunda mirada, idealmente distinta de la persona que configuró la puntuación, examina el expediente. También busca explicaciones legítimas (mismo hogar, misma red de empresa, teléfono compartido).
3. Informar a la persona cuando sea posible y proporcionado, describiendo el motivo de manera factual, sin acusación teatral y sin revelar el detalle del modelo de detección que permitiría eludirlo.
4. Dejar una posibilidad de respuesta en un plazo razonable, por un canal identificado.
5. Decidir y consignar la decisión, con su motivación, en un registro interno.
6. Limitar la conservación de los datos del análisis al tiempo necesario para tratar las reclamaciones y responder a las obligaciones legales.

¿Cómo evitar la crisis reputacional?

Una exclusión mal gestionada aparece rápidamente en las redes sociales, a menudo en forma de captura de pantalla fuera de contexto. Algunos principios limitan este riesgo:

• No publicar nunca el nombre o el seudónimo de un participante excluido.
• No emplear formulaciones acusatorias públicas del tipo «defraudadores»; prefiera «participaciones que no respetan las bases».
• Preparar de antemano una respuesta tipo para las impugnaciones, validada por el departamento jurídico.
• Explicar, en las bases, cómo se enmarca el sorteo y cómo se realizan las verificaciones. Unas bases claras protegen más que una comunicación reactiva.

Errores frecuentes que hay que evitar

• Excluir solo por la dirección IP, que puede ser compartida por miles de personas (operador móvil, red de empresa, residencia de estudiantes).
• Rechazar a un ganador sin avisarle: el silencio se percibe como una sanción arbitraria.
• Modificar las reglas durante el juego para excluir a participantes sin que ello figure en las bases iniciales.
• Conservar indefinidamente los datos de fraude presunta.
• Tratar como sospechoso a un ganador sorteado antes de haber verificado las señales, lo que expone a acusaciones difíciles de retirar.

¿Cómo proteger a los ganadores reales durante el control?

El control antifraude no debe retrasar la atribución de los premios para todos. Una buena práctica consiste en realizar el sorteo sobre la base de las participaciones válidas y luego verificar únicamente a los ganadores designados, antes del anuncio. También es posible prever un sorteo de reserva, descrito en las bases, para sustituir a un ganador cuya participación se invalide tras la verificación.

Esta elección tiene dos ventajas. Limita el número de personas sometidas a un control en profundidad y evita hacer pesar una sospecha sobre el conjunto de la base de participantes. Exige, en cambio, que las bases precisen el orden de las operaciones y el plazo de verificación.

Para un juego organizado por un equipo pequeño, la regla más útil sigue siendo la más simple: documentar los criterios antes del lanzamiento, no excluir nunca por una sola señal y conservar un registro de cada decisión. Esto es lo que permite, en caso de impugnación, demostrar que el tratamiento fue coherente, proporcionado e idéntico para todos.