Comptes créés sur vrai appareil ou sur émulateur

Ce qu'un téléphone laisse échapper et qu'un logiciel ne peut pas produire

Un vrai téléphone tenu par une vraie personne produit des données de capteurs continues et désordonnées. L'accéléromètre enregistre le léger tremblement d'une main. Le gyroscope note l'inclinaison quand vous bougez sur un canapé. La batterie se vide selon une courbe façonnée par la luminosité de l'écran et l'usage de la radio. L'écran tactile remonte une surface et une pression de contact qui varient à chaque appui.

Un émulateur ne produit rien de tout ça nativement. On peut lui faire rejouer un enregistrement, mais des données de capteurs rejouées se répètent, et la répétition sur des milliers de comptes est exactement ce que cherchent les algorithmes de regroupement.

L'empreinte de l'appareil

Au-delà des capteurs, une application peut lire une longue liste de propriétés stables : le modèle matériel, l'empreinte de build, l'ensemble des paquets système installés, la chaîne d'identification du moteur de rendu GPU, la liste des polices, les dimensions exactes de l'écran en pixels et son taux de rafraîchissement, la présence de fonctions matérielles précises.

Les émulateurs doivent répondre à tout ça. Ils répondent en général de la même façon à chaque fois, ou avec le petit jeu de variations que gère le logiciel de la ferme. Cent comptes qui partagent une chaîne de moteur de rendu GPU qu'on ne trouve nulle part dans le monde réel, ce n'est pas subtil.

Pourquoi les fermes utilisent quand même des émulateurs

L'économie. Une ferme de téléphones a besoin de téléphones physiques, de SIM physiques, de place, d'électricité, et de quelqu'un pour les manipuler. Une ferme d'émulateurs a besoin d'un serveur.

Une seule machine fait tourner des dizaines d'instances en parallèle, donc le coût marginal d'un compte tend vers zéro. C'est toute la raison d'être des comptes à $20 — et aussi la raison pour laquelle ils n'ont aucune garantie de remplacement : le vendeur n'a aucune idée de ceux qui seront encore en vie la semaine suivante.

Ce que le réseau ajoute

L'appareil, c'est la moitié. L'autre moitié, c'est la connexion. Les plages IP de datacenter sont publiées et repérables en un instant, et les pools de proxys résidentiels se grillent à mesure qu'ils sont revendus.

Un compte créé sur une connexion domestique ou mobile ordinaire, dans le pays dont il se réclame, sur un appareil qui n'a jamais fait tourner que ce compte-là, n'offre rien d'anormal à trouver. C'est toute l'astuce — il n'y a pas de technique maligne, juste une absence d'anomalies.

Ce qu'un proxy ne peut pas corriger

La réponse habituelle à la détection, c'est le proxy résidentiel : on fait passer l'émulateur par une vraie connexion domestique et la moitié réseau du problème disparaît. Ça marche, brièvement.

Les pools de proxys résidentiels sont revendus, si bien que la même poignée d'adresses de sortie porte le trafic de milliers de comptes sans aucun rapport entre eux, sur des dizaines de services. Une adresse qui a servi à inscrire deux cents comptes ce mois-ci n'est pas un signal neutre — c'est un signal pire qu'une IP de datacenter, parce qu'elle est désormais spécifiquement associée à des inscriptions automatisées.

Et ça laisse quand même l'appareil intact. Une IP résidentielle parfaite rattachée à un appareil qui ne remonte aucun mouvement, aucune rotation et aucune caméra forme une combinaison plus étrange que chacun des deux problèmes pris séparément. Les deux moitiés doivent concorder, ce qui est une autre façon de dire que l'installation doit vraiment être ce qu'elle prétend être.

Comment savoir ce que vous achetez

Demandez combien de comptes ont été créés ce jour-là. Une personne qui crée les comptes un par un annonce un nombre à un seul chiffre.

Demandez ce que devient l'appareil ensuite. Dans une opération sur vrai appareil, le téléphone reste chez la personne qui a créé le compte, et ce même téléphone n'en fait pas tourner vingt autres.

Demandez l'adresse email du compte dès le départ. Les vendeurs qui travaillent à partir d'un lot ne peuvent souvent pas vous la donner, parce que le lot a été créé sur des boîtes mail qu'ils contrôlent encore.

Posez la question de la première semaine. Un vendeur sûr de la façon dont le compte a été créé le remplacera s'il meurt tôt. Un revendeur vous expliquera pourquoi ce n'est pas son problème.

La limite, honnêtement

Un vrai appareil ne rend pas un compte immortel. Il supprime les raisons pour lesquelles un compte se fait tuer pour ce qu'il est, plutôt que pour ce qu'il fait. Ce qui arrive ensuite dépend de l'usage qu'on en fait — et d'un taux d'échec résiduel que personne ne peut supprimer.

C'est pour ça que la vraie question n'est pas « est-ce garanti ? » mais « qu'est-ce qui se passe quand un compte lâche ? »