Pergunta que eu faria também. Compartilho o que sobrou depois de bastante erro.
Sinais fracos que valem mais que os fortes:
- Coincidência de sessão. Duas contas ativas ao mesmo tempo, alternando ações em sequência curta. Sozinho não prova nada; combinado com padrão de aposta parecido, é forte.
- Fingerprint de comportamento, não de dispositivo: velocidade de navegação, mercados escolhidos, valores arredondados da mesma forma.
- Grafo de instrumento de pagamento. Contas que compartilham destino de saque, mesmo com titularidade diferente.
- Reação a mudança de oferta. Grupo coordenado se move junto quando a promoção muda. Jogador legítimo não.
Sobre agir na suspeita: a gente não bloqueia, limita. Suspeita alta remove elegibilidade a promoção e coloca a conta em revisão no saque, sem impedir o jogo. O custo do erro cai muito, e o abuso perde a economia, porque o que o farm quer é a promoção, não a diversão.
Contestação: existe, é humana, e tem prazo. E a taxa de reversão é métrica de qualidade do modelo, acompanhada mensalmente. Quando a reversão sobe, o problema é a regra, não o analista.
Falso positivo: medimos por amostragem, revisão manual cega de um lote aleatório de contas sinalizadas. Dá trabalho, é o único jeito de ter número real, e todo mundo que não faz isso está estimando por intuição.
Sobre a revisao humana obrigatoria: voces documentam o criterio que levou ao bloqueio ou so a decisao final? Pergunto porque auditoria costuma pedir o criterio, e e onde a maioria das operacoes descobre que so tem o resultado.