Wedstrijden en deelnemersfraude: bots identificeren zonder echte winnaars te verliezen

Deelnemersfraude bij een wedstrijd omvat elke poging om prijzen of extra deelnames te verkrijgen via middelen die in strijd zijn met het reglement: meerdere accounts, geautomatiseerde scripts, gecoördineerde deelname of manipulatie van de lotingsmechanismen. Om dit op te sporen combineert de organisator drie soorten signalen: technische aanwijzingen (apparaat, netwerk, duplicaten), gedragsaanwijzingen (ritme, opeenvolging van acties, timing) en aanwijzingen van samenhang tussen de inschrijving en de overige gegevens. Geen enkel geïsoleerd signaal volstaat om fraude te bewijzen; het is hun accumulatie, gedocumenteerd en toegepast volgens vooraf opgestelde schriftelijke criteria, die een uitsluiting rechtvaardigt.

Waarom neemt deelnemersfraude toe bij online wedstrijden?

Een online wedstrijd beloont een eenvoudige en herhaalbare actie: een formulier invullen, een bericht delen, stemmen, een vriend aanbrengen. Deze eenvoud maakt automatisering verleidelijk. Een script kan formulieren op hoge snelheid indienen, een netwerk van accounts kan gecoördineerd stemmen, en een groep deelnemers kan de aanbrengingen onder elkaar verdelen om een ranglijst kunstmatig op te blazen.

De meest voorkomende fraude valt in vier categorieën:

• Meerdere accounts: dezelfde persoon creëert meerdere identiteiten om zijn kansen te vergroten.
• Automatisering: bots vullen formulieren in of activeren acties in een tempo dat onmogelijk is voor een mens.
• Coördinatie: een georganiseerde groep (soms betaald) produceert deelnames of stemmen in blok.
• Omzeiling van de regels: identiteitsdiefstal om een prijs op te eisen, fictieve aanbrengingen, het aanmaken van accounts voor derden zonder hun toestemming.

Het belangrijke punt voor een organisator is dat deze fraudes niet allemaal op elkaar lijken. Een bot laat vooral sporen van snelheid en regelmaat achter. Een gecoördineerd netwerk laat sporen van synchronisatie tussen accounts achter. Een geïsoleerde fraudeur die meerdere e-mailadressen gebruikt, laat vooral technische en documentaire sporen achter. Er zijn dus verschillende controles nodig voor elk geval.

Welke gedragssignalen moeten worden gemonitord?

Technische detectie (IP-adressen, VPN's, browserfingerprints, duplicaten van e-mail of telefoonnummer) is noodzakelijk maar onvoldoende. Ze ziet geen deelnemer die een legitieme VPN gebruikt, noch een bot die bij elk verzoek van adres verandert. Gedragssignalen daarentegen beschrijven de manier waarop een actie wordt uitgevoerd.

Verdachte timing

Een menselijke deelnemer heeft een onregelmatig ritme. Hij leest het reglement, aarzelt, gaat terug, sluit het tabblad en opent het opnieuw. Een bot heeft een te regelmatig of te snel ritme. De signalen om te onderzoeken zijn:

• Inzendingen met vrijwel identieke tussenpozen (bijvoorbeeld elke drie seconden gedurende meerdere uren).
• Deelnames geconcentreerd in de eerste seconden na de opening van de wedstrijd, of net na een herinnering die door de organisator is gepubliceerd.
• Activiteitspieken buiten de uren waarop het doelpubliek werkelijk online is, vooral als de activiteit over meerdere tijdzones is verdeeld zonder duidelijke logica.

Afwijkende trajecten

Het traject is de opeenvolging van pagina's en acties. Een menselijk parcours is vaak wanordelijk: een startpagina, dan de wedstrijdpagina, dan een pauze, dan het formulier. Een script volgt doorgaans een direct pad, zonder het reglement te raadplegen, zonder te scrollen, en slaat soms verplichte stappen over (bijvoorbeeld het formulier indienen zonder ooit de bevestigingspagina van de e-mail te laden).

Een sterk signaal is het invariante pad: honderden deelnames die exact dezelfde opeenvolging van gebeurtenissen volgen, tot op de milliseconde, zijn zeer onwaarschijnlijk bij mensen.

Onmogelijke engagementsnelheid

Sommige acties hebben een realistische minimale duur. Het invoeren van een naam, een e-mail, een adres en het beantwoorden van een algemene kennisvraag kost een niet-nul tijd. Als de volledige inzending sneller aankomt dan de leestijd van de vraag, is dat een sterk teken van automatisering of het kopiëren van antwoorden.

Deze drempel moet worden vastgesteld op basis van echte tests, door meerdere personen te timen die het formulier op verschillende apparaten invullen, en niet op basis van een intuïtie. Een te strikte drempel benadeelt snelle personen, gebruikers van automatische aanvulling en degenen die hun gegevens legitiem kopiëren en plakken.

Samenhang tussen de gegevens

Een account kan op zichzelf normaal lijken en verdacht worden wanneer het met andere informatie wordt vergeleken: een postadres dat niet overeenkomt met een door het reglement aanvaarde leveringszone, een telefoonnummer dat al door meerdere inschrijvingen is gebruikt, een geboortedatum die onverenigbaar is met de vereiste leeftijdscategorie, of een gebruikersnaam die op een reeks is gebaseerd (user2481, user2482...).

Operationele checklist van waarschuwingssignalen

Hier is een lijst die direct kan worden gebruikt om de controle van een wedstrijd voor te bereiden. Elk signaal moet worden genoteerd en niet als bewijs worden behandeld.

1. Meer dan vijf inschrijvingen die dezelfde browserfingerprint of hetzelfde apparaat-ID delen gedurende de looptijd van de wedstrijd.
2. Een regelmatig inzendingsritme met enkele seconden verschil, over meer dan tien opeenvolgende deelnames.
3. Een invultijd van het formulier die korter is dan de minimale drempel die tijdens uw tests is gemeten.
4. E-mails met een wegwerpdomein of een automatisch gegenereerd patroon (willekeurige tekenreeksen, opgehoogde numerieke suffixen).
5. Aanbrengingen die een gesloten graaf vormen: een kleine groep accounts brengt uitsluitend elkaar aan.
6. Een concentratie van deelnames binnen enkele minuten na een herinneringspublicatie op sociale media.
7. Stemmen of likes afkomstig van hetzelfde blok IP-adressen of dezelfde provider in een korte periode.
8. Post- of telefoongegevens die onverenigbaar zijn met de deelnamevoorwaarden.
9. Accounts die kort voor de start van de wedstrijd zijn aangemaakt en geen andere activiteit hebben.
10. Deelnames die falen bij de validatiestappen (bevestigingslink nooit geopend) maar toch worden meegeteld.

Eén enkel punt rechtvaardigt niets. Drie of meer convergente en gedocumenteerde punten rechtvaardigen een handmatige verificatie. Een uitsluiting moet berusten op een geheel van aanwijzingen, niet op één enkele.

Hoe bouw je een risicoscore zonder onrechtvaardigheden te automatiseren?

Een risicoscore kent een waarde toe aan elk signaal en aggregeert deze waarden om een actie te beslissen: accepteren, verifiëren, opschorten. Het principe is eenvoudig, de uitvoering vereist voorzichtigheid.

Laten we het hypothetische geval nemen van een cosmeticamerk dat een loting organiseert met deelname via formulier en aanbrenging. De marketingdienst zou punten kunnen toekennen als volgt: 2 punten voor een verdacht ritme, 3 voor een duplicaat van telefoonnummer, 1 voor een wegwerpdomein van e-mail, 2 voor een aanbrenging in een gesloten graaf. Een deelnemer die 4 punten bereikt, gaat naar de wachtrij voor handmatige verificatie; hij wordt nooit automatisch uitgesloten.

De ontwerpregels die moeten worden gerespecteerd:

• Documenteer elk criterium en de weging ervan vóór de lancering van de wedstrijd, en bewaar dit spoor.
• Scheid de score van de beslissing: de score prioriteert de verificaties, een mens beslist.
• Test de fout-positieven: speel het model opnieuw af op eerdere deelnames of op een steekproef van tests om te zien hoeveel echte deelnemers zouden worden gemeld.
• Vermijd gevoelige criteria: geen enkel criterium mag berusten op een gegeven dat een afkomst, een mening of een beschermd kenmerk onthult.

Wat de tools betreft, er bestaan oplossingen voor identiteitsverificatie, botdetectie en reputatieanalyse van IP-adressen of e-mail. De keuze hangt af van het volume, het budget en het vermogen van het team om de resultaten te interpreteren. Een tool die een ondoorzichtige score zonder uitleg produceert, is moeilijk te verdedigen in geval van betwisting. Geef de voorkeur aan tools die de redenen van een melding blootleggen.

Hoe sluit je een deelnemer uit zonder een AVG-geschil te creëren?

Dit is het punt waarop organisatoren zich het vaakst vergissen. De uitsluiting van een deelnemer is een beslissing die een persoon raakt en die de verwerking van persoonsgegevens impliceert. Ze moet dus berusten op een duidelijke rechtsgrond en een traceerbare procedure.

Welke rechtsgrond kiezen?

Voor de bestrijding van fraude wordt vaak het gerechtvaardigd belang van de organisator ingeroepen, op voorwaarde dat een evenwichtsanalyse tussen dit belang en de rechten van de deelnemers wordt gemaakt en gedocumenteerd. Het reglement van de wedstrijd moet de deelnemers ook duidelijk informeren dat anti-fraudcontroles worden uitgevoerd, welke gegevens worden geanalyseerd en hoe lang ze worden bewaard. Deze informatie moet toegankelijk zijn vóór de deelname, niet pas ontdekt worden na een uitsluiting.

Controleer het standpunt van uw functionaris voor gegevensbescherming of uw juridisch adviseur: de exacte kwalificatie hangt af van de verwerking, het land van verblijf van de deelnemers en de gebruikte tools.

Welke procedure volgen vóór een uitsluiting?

Een verdedigbare procedure verloopt in stappen:

1. Kwalificeer de melding: lijst de waargenomen signalen op, met de tijdstempels en de technische gegevens die ze rechtvaardigen.
2. Verifieer handmatig: een tweede blik, idealiter verschillend van de persoon die de score heeft geconfigureerd, onderzoekt het dossier. Hij zoekt ook naar legitieme verklaringen (zelfde huishouden, zelfde bedrijfsnetwerk, gedeelde telefoon).
3. Informeer de persoon wanneer dit mogelijk en proportioneel is, door de reden feitelijk te beschrijven, zonder theatrale beschuldiging en zonder het detail van het detectiemodel te onthullen dat het zou kunnen omzeilen.
4. Laat een mogelijkheid tot antwoord binnen een redelijke termijn, via een geïdentificeerd kanaal.
5. Beslis en leg vast: de beslissing, met haar motivering, in een intern register.
6. Beperk de bewaring van de gegevens van de analyse tot de duur die nodig is om klachten te behandelen en aan wettelijke verplichtingen te voldoen.

Hoe een reputatiecrisis vermijden?

Een slecht beheerde uitsluiting verschijnt snel op sociale media, vaak in de vorm van een uit zijn context gehaalde schermafbeelding. Enkele principes beperken dit risico:

• Publiceer nooit de naam of pseudoniem van een uitgesloten deelnemer.
• Gebruik geen publieke beschuldigende formulering zoals "fraudeurs"; geef de voorkeur aan "deelnames die niet aan het reglement voldoen".
• Bereid vooraf een standaardantwoord voor op betwistingen, gevalideerd door de juridische dienst.
• Leg in het reglement uit hoe de loting wordt omkaderd en hoe de verificaties worden uitgevoerd. Een duidelijk reglement beschermt meer dan reactieve communicatie.

Vaak voorkomende fouten om te vermijden

• Uitsluiten op basis van alleen het IP-adres, dat door duizenden mensen kan worden gedeeld (mobiele operator, bedrijfsnetwerk, studentenresidentie).
• Een winnaar weigeren zonder hem te verwittigen: stilte wordt ervaren als een arbitraire sanctie.
• De regels tijdens de wedstrijd wijzigen om deelnemers uit te sluiten zonder dat dit in het oorspronkelijke reglement staat.
• Onbeperkt bewaren van gegevens over vermeende fraude.
• Een uitgelote winnaar als verdachte behandelen voordat de signalen zijn geverifieerd, wat leidt tot beschuldigingen die moeilijk in te trekken zijn.

Hoe bescherm je echte winnaars tijdens de controle?

De anti-fraudcontrole mag de toekenning van prijzen voor iedereen niet vertragen. Een goede praktijk bestaat erin de loting uit te voeren op basis van de geldige deelnames en vervolgens alleen de aangewezen winnaars te verifiëren, vóór de aankondiging. Het is ook mogelijk een reserveloting te voorzien, beschreven in het reglement, om een winnaar te vervangen wiens deelname na verificatie ongeldig wordt verklaard.

Deze keuze heeft twee voordelen. Ze beperkt het aantal personen dat aan een grondige controle wordt onderworpen en vermijdt dat een vermoeden op de hele deelnemersbasis drukt. Ze vereist echter dat het reglement de volgorde van de verrichtingen en de verificatietermijn preciseert.

Voor een wedstrijd georganiseerd door een klein team blijft de nuttigste regel de eenvoudigste: documenteer de criteria vóór de lancering, sluit nooit uit op basis van één enkel signaal en bewaar een spoor van elke beslissing. Dat is wat het mogelijk maakt, in geval van betwisting, aan te tonen dat de verwerking samenhangend, proportioneel en identiek voor iedereen was.