Boa tarde, Goularte!
Então, eu acredito que não exista uma bala de prata pra isso. O que eu posso te recomendar são duas coisas:
- Salvar o IP de quem fez o acesso (é o mais comum);
- Tentar coletar o maior número de informações disponíveis do usuário em questão (Fingerprint¹).
Mas é aquilo, sempre vai existir uma forma de burlar isso, porque tudo isso está passível de Spoofing² infelizmente só com autenticação.
¹O device fingerprint ou, em português, a impressão digital do dispositivo é um método para identificar um dispositivo utilizando uma combinação de atributos fornecidos pela configuração do dispositivo e de que forma será usado.
²O termo spoofing vem do verbo em inglês spoof (imitar, fingir), que em Tecnologia da Informação é um jargão usado para falsificação. Em geral, o termo descreve o ato de enganar um site, um serviço, um servidor ou uma pessoa afirmando que a fonte de uma informação é legítima, quando não é.