ща мы у Егорыча спросим

ну а по теме..
без реферера можно, но там играет фактор юзера =)
юзер заходит на фейк (без внутренней авторизации, к примеру), вводит данные - заносятся в базу, редиректит на ..... (вот тут уже то, о чем я говорю) затем юзер заходит на ВК, на страницу, которую завлекали текстом в спаме.
реферер исключен, но это тупо по эффективности ))) просто это проще реализовать.