Sorteios e fraude participativa: identificar bots sem perder vencedores reais

A fraude participativa num sorteio designa qualquer tentativa de obter prémios ou participações adicionais por meios contrários ao regulamento: contas múltiplas, scripts automatizados, participação coordenada ou manipulação dos mecanismos de sorteio. Para a detetar, o organizador combina três famílias de sinais: os indícios técnicos (dispositivo, rede, duplicados), os indícios comportamentais (ritmo, encadeamento das ações, timing) e os indícios de coerência entre o registo e o resto dos dados. Nenhum sinal isolado é suficiente para provar uma fraude; é a sua acumulação, documentada e aplicada segundo critérios escritos antecipadamente, que permite justificar uma exclusão.

Porque é que a fraude participativa está a aumentar nos sorteios online?

Um sorteio online recompensa uma ação simples e repetível: preencher um formulário, partilhar uma publicação, votar, apadrinhar um amigo. Esta simplicidade torna a automatização tentadora. Um script pode submeter formulários a grande velocidade, uma rede de contas pode votar de forma coordenada, e um grupo de participantes pode distribuir os apadrinhamentos entre si para inflacionar artificialmente uma classificação.

As fraudes mais frequentes pertencem a quatro famílias:

• Contas múltiplas: uma mesma pessoa cria várias identidades para multiplicar as suas chances.
• Automatização: bots preenchem os formulários ou desencadeiam as ações a um ritmo impossível para um humano.
• Coordenação: um grupo organizado (por vezes remunerado) produz participações ou votos em bloco.
• Desvio das regras: usurpação de identidade para reclamar um prémio, apadrinhamentos fictícios, criação de contas para terceiros sem o seu consentimento.

O ponto importante para um organizador é que estas fraudes não se parecem todas umas com as outras. Um bot deixa sobretudo vestígios de velocidade e regularidade. Uma rede coordenada deixa vestígios de sincronização entre contas. Um fraudador isolado que utiliza vários endereços de e-mail deixa sobretudo vestígios técnicos e documentais. É por isso necessário ter controlos diferentes para cada caso.

Que sinais comportamentais devem ser monitorizados?

A deteção técnica (endereços IP, VPN, impressões digitais do navegador, duplicados de e-mail ou de número de telefone) é necessária mas insuficiente. Não vê um participante que utiliza uma VPN legítima, nem um bot que muda de endereço a cada pedido. Os sinais comportamentais, por sua vez, descrevem a forma como uma ação é realizada.

O timing suspeito

Um participante humano tem um ritmo irregular. Lê o regulamento, hesita, volta atrás, fecha o separador, volta a abri-lo. Um bot tem um ritmo demasiado regular ou demasiado rápido. Os sinais a examinar são:

• Submissões emitidas a intervalos quase idênticos (por exemplo, a cada três segundos durante várias horas).
• Participações concentradas nos primeiros segundos após a abertura do sorteio, ou logo após um lembrete publicado pelo organizador.
• Picos de atividade fora das horas em que o público-alvo está realmente ligado, sobretudo se a atividade estiver repartida por vários fusos horários sem lógica aparente.

As trajetórias anómalas

A trajetória designa o encadeamento das páginas e das ações. Um percurso humano é frequentemente desordenado: uma página inicial, depois a página do sorteio, depois uma pausa, depois o formulário. Um script segue geralmente um caminho direto, sem consultar o regulamento, sem deslocamento na página, e por vezes salta etapas obrigatórias (por exemplo, submeter o formulário sem nunca carregar a página de confirmação do e-mail).

Um sinal forte é o caminho invariável: centenas de participações que seguem exatamente a mesma sequência de eventos, ao milissegundo, são muito improváveis em humanos.

A velocidade de envolvimento impossível

Certas ações têm uma duração mínima realista. Introduzir um nome, um e-mail, um endereço e responder a uma pergunta de cultura geral leva um tempo não nulo. Se a submissão completa chega em menos tempo do que a leitura da pergunta, é um indício forte de automatização ou de cópia de respostas.

É necessário fixar este limiar a partir de testes reais, cronometrando várias pessoas que preenchem o formulário em dispositivos diferentes, e não a partir de uma intuição. Um limiar demasiado estrito penaliza as pessoas rápidas, os utilizadores de preenchimento automático e os que copiam e colam legitimamente os seus dados.

A coerência entre os dados

Uma conta pode parecer normal isoladamente e tornar-se suspeita quando comparada com outras informações: um endereço postal que não corresponde a nenhuma zona de entrega aceite pelo regulamento, um número de telefone já utilizado por vários registos, uma data de nascimento incompatível com a faixa etária exigida, ou um nome de utilizador copiado de uma série (user2481, user2482...).

Checklist operacional dos sinais de alerta

Eis uma lista utilizável tal como está para preparar o controlo de um sorteio. Cada sinal deve ser registado, e não tratado como prova.

1. Mais de cinco registos que partilham a mesma impressão digital do navegador ou o mesmo identificador de dispositivo durante a duração do sorteio.
2. Uma cadência de submissão regular com alguns segundos de diferença, em mais de dez participações consecutivas.
3. Um tempo de preenchimento do formulário inferior ao limiar mínimo medido nos seus testes.
4. E-mails com domínio descartável ou com padrão gerado automaticamente (cadeias aleatórias, sufixos numéricos incrementados).
5. Apadrinhamentos que formam um grafo fechado: um pequeno grupo de contas apadrinha-se exclusivamente entre si.
6. Uma concentração de participações em poucos minutos após uma publicação de lembrete nas redes sociais.
7. Votos ou likes provenientes de um mesmo bloco de endereços IP ou de um mesmo fornecedor de acesso num período curto.
8. Dados postais ou telefónicos incoerentes com as condições de participação.
9. Contas criadas pouco tempo antes do início do sorteio e que não têm qualquer outra atividade.
10. Participações que falham nas etapas de validação (link de confirmação nunca aberto) mas que são, apesar disso, contabilizadas.

Um único ponto não justifica nada. Três pontos ou mais, convergentes e documentados, justificam uma verificação manual. Uma exclusão deve basear-se num conjunto de indícios, não num único.

Como construir uma pontuação de risco sem automatizar injustiças?

Uma pontuação de risco atribui um valor a cada sinal e depois agrega esses valores para decidir uma ação: aceitar, verificar, suspender. O princípio é simples, a implementação exige prudência.

Tomemos o caso hipotético de uma marca de cosméticos que organiza um sorteio com participação por formulário e apadrinhamento. O serviço de marketing poderia atribuir pontos assim: 2 pontos por uma cadência suspeita, 3 por um duplicado de telefone, 1 por um domínio de e-mail descartável, 2 por um apadrinhamento em grafo fechado. Um participante que atinja 4 pontos passa para a fila de verificação manual; nunca é excluído automaticamente.

As regras de conceção a respeitar:

• Documentar cada critério e a sua ponderação antes do lançamento do sorteio, e conservar esse registo.
• Separar a pontuação da decisão: a pontuação prioriza as verificações, é um humano que decide.
• Testar os falsos positivos: reaplicar o modelo às participações passadas ou a uma amostra de testes para ver quantos participantes reais seriam sinalizados.
• Evitar critérios sensíveis: nenhum critério deve basear-se num dado que revele uma origem, uma opinião ou uma característica protegida.

Quanto às ferramentas, existem soluções de verificação de identidade, de deteção de bots e de análise de reputação de endereços IP ou e-mail. A escolha depende do volume, do orçamento e da capacidade da equipa para interpretar os resultados. Uma ferramenta que produz uma pontuação opaca sem explicação é difícil de defender em caso de contestação. Privilegie as que expõem as razões de uma sinalização.

Como excluir um participante sem criar um litígio RGPD?

É o ponto onde os organizadores se enganam mais frequentemente. A exclusão de um participante é uma decisão que afeta uma pessoa e implica o tratamento de dados pessoais. Deve, portanto, basear-se numa base jurídica clara e num procedimento rastreável.

Que base jurídica adotar?

Para a luta contra a fraude, o interesse legítimo do organizador é frequentemente invocado, desde que seja feita e documentada uma análise de equilíbrio entre esse interesse e os direitos dos participantes. É também necessário que o regulamento do sorteio informe claramente os participantes de que são efetuados controlos antifraude, que dados são analisados e durante quanto tempo são conservados. Esta informação deve estar acessível antes da participação, e não ser descoberta após uma exclusão.

Verifique a posição do seu encarregado de proteção de dados ou do seu departamento jurídico: a qualificação exata depende do tratamento, do país de residência dos participantes e das ferramentas utilizadas.

Que procedimento seguir antes de uma exclusão?

Um procedimento defensável desenrola-se por etapas:

1. Qualificar a sinalização: liste os sinais observados, com os registos temporais e os dados técnicos que os justificam.
2. Verificar manualmente: um segundo olhar, idealmente distinto da pessoa que configurou a pontuação, examina o processo. Procura também explicações legítimas (mesmo agregado familiar, mesma rede empresarial, telefone partilhado).
3. Informar a pessoa quando possível e proporcionado, descrevendo o motivo de forma factual, sem acusação teatral e sem revelar o detalhe do modelo de deteção que permitiria contorná-lo.
4. Deixar uma possibilidade de resposta num prazo razoável, através de um canal identificado.
5. Decidir e registar a decisão, com a sua fundamentação, num registo interno.
6. Limitar a conservação dos dados da análise ao período necessário para tratar as reclamações e responder às obrigações legais.

Como evitar a crise reputacional?

Uma exclusão mal gerida aparece rapidamente nas redes sociais, frequentemente sob a forma de uma captura de ecrã retirada do contexto. Alguns princípios limitam este risco:

• Nunca publicar o nome ou o pseudónimo de um participante excluído.
• Não empregar formulações acusatórias públicas do tipo «fraudadores»; preferir «participações que não respeitam o regulamento».
• Preparar antecipadamente uma resposta-tipo para as contestações, validada pelo departamento jurídico.
• Explicar, no regulamento, como o sorteio é enquadrado e como são feitas as verificações. Um regulamento claro protege mais do que uma comunicação reativa.

Erros frequentes a evitar

• Excluir apenas com base no endereço IP, que pode ser partilhado por milhares de pessoas (operadora móvel, rede empresarial, residência de estudantes).
• Recusar um vencedor sem o avisar: o silêncio é percebido como uma sanção arbitrária.
• Alterar as regras durante o sorteio para excluir participantes sem que isso conste do regulamento inicial.
• Conservar indefinidamente os dados de fraude presumida.
• Tratar um vencedor sorteado como suspeito antes de ter verificado os sinais, o que expõe a acusações difíceis de retirar.

Como proteger os verdadeiros vencedores durante o controlo?

O controlo antifraude não deve atrasar a atribuição dos prémios para todos. Uma boa prática consiste em efetuar o sorteio com base nas participações válidas e depois verificar apenas os vencedores designados, antes do anúncio. É também possível prever um sorteio de reserva, descrito no regulamento, para substituir um vencedor cuja participação seja invalidada após verificação.

Esta escolha tem duas vantagens. Limita o número de pessoas sujeitas a um controlo aprofundado e evita lançar suspeitas sobre toda a base de participantes. Exige, em contrapartida, que o regulamento precise a ordem das operações e o prazo de verificação.

Para um sorteio organizado por uma pequena equipa, a regra mais útil continua a ser a mais simples: documentar os critérios antes do lançamento, nunca excluir com base num único sinal e manter um registo de cada decisão. É isso que permite, em caso de contestação, mostrar que o tratamento foi coerente, proporcionado e idêntico para todos.