0
拼多多承認(rèn)自己被薅羊毛了，還嚷嚷著要報(bào)警。
1 月 20 日，據(jù)新浪微博“互聯(lián)網(wǎng)的那點(diǎn)事”爆料：“從20號(hào)凌晨開(kāi)始，拼多多出現(xiàn)了一個(gè)超級(jí)大Bug，用戶(hù)可以領(lǐng)取100元無(wú)門(mén)檻券，注意是領(lǐng)取，不是搶購(gòu)。專(zhuān)職羊毛黨發(fā)現(xiàn)了這個(gè)大Bug，半夜打電話(huà)喊人薅羊毛！有的大牛已經(jīng)領(lǐng)了上千張100元無(wú)門(mén)檻券，怕被抓進(jìn)去于是把領(lǐng)券方式公布于眾，于是大批用戶(hù)開(kāi)啟了薅羊毛節(jié)奏?！?/p>
不過(guò)，200 億可能是沒(méi)有的，在拼多多1月 20 日發(fā)表的聲明里，這一數(shù)額達(dá)到了“數(shù)千萬(wàn)元”。
拼多多新浪官方微博聲明：1月20日晨，有黑灰產(chǎn)團(tuán)伙通過(guò)一個(gè)過(guò)期的優(yōu)惠券漏洞盜取數(shù)千萬(wàn)元平臺(tái)優(yōu)惠券，進(jìn)行不正當(dāng)牟利。針對(duì)此行為，平臺(tái)已第一時(shí)間修復(fù)漏洞，并正對(duì)涉事訂單進(jìn)行溯源追蹤。同時(shí)我們已向公安機(jī)關(guān)報(bào)案，并將積極配合相關(guān)部門(mén)對(duì)涉事黑灰產(chǎn)團(tuán)伙予以打擊。
微信公眾號(hào)“黑奇士”稱(chēng)，羊毛群里大概九點(diǎn)半左右出現(xiàn)線(xiàn)報(bào)，但此時(shí)這場(chǎng)羊毛黨狂歡已經(jīng)接近尾聲。在某賺客論壇上，不少羊毛黨紛紛曬出自己的戰(zhàn)績(jī)，一半以上都擼了 500 元以上的話(huà)費(fèi)或Q幣，其中大部分人擼的虛擬物品已到賬。
［圖片來(lái)源：黑奇士（id hqssima）］
一知情人士對(duì)雷鋒網(wǎng)編輯確認(rèn)，1 月 20 日凌晨，羊毛黨們開(kāi)啟了這場(chǎng)集體行動(dòng)。
在一些報(bào)道中，有人評(píng)判拼多多的風(fēng)控能力不足，還有一個(gè)待查證的匿名消息在脈脈的爆料平臺(tái)上稱(chēng)，這張 100 元的無(wú)門(mén)檻優(yōu)惠券其實(shí)只是一張測(cè)試券，因?yàn)橄到y(tǒng)錯(cuò)誤重新上線(xiàn)才引發(fā)了這場(chǎng)羊毛黨的狂歡（雷鋒網(wǎng)注：1月20日下午6點(diǎn)左右，拼多多已經(jīng)辟謠，稱(chēng)在“脈脈”網(wǎng)站上署名“鹿杖客”發(fā)表所謂“整個(gè)部門(mén)年終獎(jiǎng)被扣”一事，并不屬實(shí)，且“鹿杖客”并非拼多多員工）。
無(wú)論真實(shí)原因是什么，拼多多不要哭，薅羊毛在互聯(lián)網(wǎng)上是很普遍的現(xiàn)象，比如運(yùn)營(yíng)商行業(yè)、互聯(lián)網(wǎng)及互聯(lián)網(wǎng)金融行業(yè)經(jīng)常會(huì)見(jiàn)到，相關(guān)案例也不在少數(shù)，雷鋒網(wǎng)就曾報(bào)道過(guò)多起。
一般來(lái)說(shuō)，羊毛黨大都是采取群控軟件+改碼軟件的手段，不斷刷新移動(dòng)設(shè)備的 Mac 地址，imei 等手段，把原有設(shè)備偽造成 N 多新的設(shè)備，繞過(guò)中小平臺(tái)的風(fēng)控策略，以薅取電商平臺(tái)的優(yōu)惠券或者低價(jià)購(gòu)買(mǎi)平臺(tái)產(chǎn)品。因此，在很短的時(shí)間內(nèi)，會(huì)有重復(fù)的 IP 地址、Mac地址、imei等信息不斷出現(xiàn)，但中小電商從自身平臺(tái)看到的上述數(shù)據(jù)，都是一個(gè)個(gè)真實(shí)的設(shè)備。
總而言之，羊毛世界水很深，下面，讓我們復(fù)盤(pán)下雷鋒網(wǎng)曾經(jīng)對(duì)羊毛江湖的報(bào)道，拼多多可以來(lái)劃個(gè)重點(diǎn)。
1、初期是小作坊。
一個(gè)人有多個(gè)賬號(hào)，邀請(qǐng)親朋好友可以拿到一些返現(xiàn)紅包、邀請(qǐng)紅包。這個(gè)在電商時(shí)代比較典型，也是商家愿意看到的一些正常引流方式。
2、包工頭。
一個(gè)稍具有規(guī)模的羊毛黨的團(tuán)體，接到單，對(duì)某個(gè)店鋪進(jìn)行交易量的刷單，還有一些廣告任務(wù)。這個(gè)規(guī)模主要是以學(xué)生、家庭主婦為主，擼個(gè)小錢(qián)，最典型的可能就是一些注冊(cè)賬號(hào)，綁定一些身份證賬號(hào)或者是銀行卡號(hào)，還有是做一些人臉認(rèn)證，還包括一些下單的刷單交易、點(diǎn)擊廣告。
其實(shí)，在這一塊兒有比較多的欺詐產(chǎn)生。之前經(jīng)常會(huì)看到新聞，學(xué)生被騙，或者是某某被騙，主要也是在這里，他刷單自己投入資金，前期他投資會(huì)給他一定的返現(xiàn)，隨著后面投的錢(qián)多，就會(huì)被騙，會(huì)遇到直接拿著錢(qián)跑路的情況。
3、專(zhuān)業(yè)刷手。
這個(gè)團(tuán)體已經(jīng)是比較專(zhuān)業(yè)的了，基本上已經(jīng)形成了上下游完整的產(chǎn)業(yè)鏈。
像專(zhuān)業(yè)刷手，是一個(gè)團(tuán)隊(duì)，可以直接對(duì)活動(dòng)進(jìn)行狂擼、狂薅，月入萬(wàn)元是很輕松的，甚至是更多。這個(gè)比較典型的場(chǎng)景就像 O2O、電商，還有在共享、互聯(lián)網(wǎng)、互金等。在互聯(lián)網(wǎng)業(yè)務(wù)全面開(kāi)花，規(guī)模也成型了。
2014年之后，開(kāi)始出現(xiàn)針對(duì)互金的羊毛黨。
主要就是有一些內(nèi)部平臺(tái)，因?yàn)閮?nèi)部人員也想拉新、募集資金，可能就和羊毛團(tuán)的團(tuán)長(zhǎng)直接談判，談判一些拉新的返現(xiàn)，還有一些能力不強(qiáng)的團(tuán)長(zhǎng)（羊頭），可能還有一些上級(jí)的代理，這個(gè)代理可能是一些廣告公司或者第三方平臺(tái)。
隨著政策的收緊，包括網(wǎng)站平臺(tái)的跑路，羊毛黨也有風(fēng)險(xiǎn)的，所以這一塊兒相對(duì)比 2014、2015年，2015 年是羊毛黨發(fā)展最好的，現(xiàn)在羊毛黨也有一些風(fēng)險(xiǎn)。
產(chǎn)業(yè)鏈里主要是各種活動(dòng)信息的共享，還有薅羊毛經(jīng)驗(yàn)的交流。網(wǎng)上有好多社區(qū)、論壇、QQ 群，群里會(huì)有羊頭，他從平臺(tái)內(nèi)部或者上級(jí)代理拿一些任務(wù)，進(jìn)行任務(wù)分發(fā)。
職業(yè)刷手也會(huì)在論壇或群里發(fā)一些作案的手法還有教程出售，由黑客來(lái)尋找漏洞，制作一些軟件和工具。比如批量注冊(cè)的軟件、刷單的軟件、IP 的代理、各種模擬器、群控軟件等。
有了這些工具之后，職業(yè)的刷手還需要一些賬號(hào)，賬號(hào)有卡商和專(zhuān)門(mén)出售賬號(hào)的團(tuán)伙，卡商基本上會(huì)從運(yùn)營(yíng)商內(nèi)部或者代理處拿一些卡，有專(zhuān)業(yè)的設(shè)備來(lái)養(yǎng)卡。
賬號(hào)基本上從地下施工庫(kù)，還有一些黑客進(jìn)行一些脫庫(kù)、撞庫(kù)包括一些木馬來(lái)采集的一些用戶(hù)的隱私信息。還有一些釣魚(yú)網(wǎng)站，當(dāng)然還有一部分就是內(nèi)鬼泄漏一些我們的用戶(hù)隱私信息。比如，大家之前經(jīng)常接到一些廣告電話(huà)，包括從房產(chǎn)中介、甚至是物業(yè)都會(huì)泄露一些用戶(hù)信息。還有一些批量的注冊(cè)軟件注冊(cè)一些賬號(hào)。
這些賬號(hào)也分等級(jí)，不同等級(jí)的賬號(hào)賣(mài)的價(jià)格不一樣，有些最初的賬號(hào)可能信息有限，還有一批賬號(hào)可能綁定了一些身份證、銀行卡，這個(gè)賬號(hào)可能質(zhì)量稍微高一些，賣(mài)的價(jià)錢(qián)貴一些。也專(zhuān)門(mén)有團(tuán)伙來(lái)進(jìn)行賬號(hào)的清洗，還有對(duì)賬號(hào)進(jìn)行養(yǎng)白，養(yǎng)白就是這些白賬號(hào)可以正常地參加活動(dòng)或其它的交易。
接碼平臺(tái)，主要就是有工具、賬號(hào)之后，大家注冊(cè)后一般會(huì)收到短信驗(yàn)證或者是用圖文驗(yàn)證、或是語(yǔ)音說(shuō)幾句話(huà)，這些都有專(zhuān)業(yè)的接碼平臺(tái)，用戶(hù)發(fā)送的這些信息直接就通過(guò)卡上的號(hào)碼，直接被電腦提取到一個(gè)軟件上，這個(gè)軟件后面就有一些人工進(jìn)行讀碼，讀取到我這個(gè)短信是多少，然后再返回給前端的軟件。
最后面的就是一些套現(xiàn)和協(xié)助銷(xiāo)贓，比如某一次活動(dòng)搞的一些充值卡、優(yōu)惠卡，這個(gè)銷(xiāo)贓的時(shí)候會(huì)折扣收買(mǎi)給代理商、店鋪，比如說(shuō)充值卡，充值卡搶到的是多少面額的，可能折扣賣(mài)給商家，商家再以一定的折扣再賣(mài)給用戶(hù)，中間就會(huì)賺取一些差價(jià)。
還有一些實(shí)物的二手市場(chǎng)的一些轉(zhuǎn)賣(mài)，這個(gè)是信息共享的一些論壇和 QQ 群，基本上各種活動(dòng)信息，包括一些網(wǎng)盤(pán)上的工具，還有一些 QQ 群，基本上都是信息的共享和任務(wù)的分發(fā)。
還有群控軟件，基本上通過(guò)主控設(shè)備做操作，就能同步到所有的設(shè)備上，通過(guò)這個(gè)就可以登錄多個(gè)賬號(hào)進(jìn)行一些操作。
電商購(gòu)物節(jié)點(diǎn)促銷(xiāo)活動(dòng)上遭遇的薅羊毛往往呈現(xiàn)出集群化作弊的現(xiàn)象，成百上千部手機(jī)刷同一個(gè)APP的新手紅包、優(yōu)惠券。電商平臺(tái)推出的幾萬(wàn)個(gè)限量紅包就會(huì)在極短的時(shí)間內(nèi)，被羊毛黨薅走，這樣在大促時(shí)電商拿出的推廣費(fèi)用，全都被羊毛黨薅走，并不能達(dá)到預(yù)期的推廣效果，也不能給平臺(tái)用戶(hù)帶來(lái)真正的實(shí)惠。
當(dāng)然，大部分黑產(chǎn)還是老的薅羊毛手法，目前存在的一些新手法，其實(shí)技術(shù)思路其實(shí)都是和以前一樣的，比如去年發(fā)現(xiàn)了一些通過(guò)投毒一些通用組件，做插入惡意js做引流或者通過(guò)惡意js挖礦的案例。
不過(guò)，相對(duì)前幾年而言，當(dāng)前薅羊毛有幾個(gè)新的關(guān)注點(diǎn)：
一些高級(jí)的技巧，比如利用數(shù)據(jù)庫(kù)主從分離和緩存使用高并發(fā)的條件競(jìng)爭(zhēng)進(jìn)行優(yōu)惠券獲取或者刷單。
過(guò)去薅羊毛可能僅僅是‘錢(qián)’，而現(xiàn)在更多的還有可能是數(shù)據(jù)，比如有做信用評(píng)級(jí)的公司，很有可能通過(guò)接口來(lái)獲取信息，而本來(lái)這些信息是需要第三方付費(fèi)才能使用的。
一些開(kāi)放平臺(tái)存在漏洞，比如微博這樣的大社交平臺(tái)，如果存在漏洞可以進(jìn)行引流，從而變現(xiàn)。
最開(kāi)始的就是弱防護(hù)，弱防護(hù)基本像專(zhuān)業(yè)殺手或者是黑灰產(chǎn)就通過(guò)模擬器，基本上就可以達(dá)到集中式的一些方位，或者做一些薅羊毛的事情。
隨著弱防護(hù)加上了，還有一些基礎(chǔ)手段，比如設(shè)備識(shí)別，識(shí)別 IMEI 號(hào)或者是其它一些信息甄別這個(gè)設(shè)備。這個(gè)也有針對(duì)性地出現(xiàn)了一些設(shè)備牧場(chǎng)，設(shè)備牧場(chǎng)的這種攻擊，基本上在一部分上就繞過(guò)了對(duì)真機(jī)的檢測(cè)。
驗(yàn)證（電話(huà)驗(yàn)證），電話(huà)驗(yàn)證上下形成一些短信，包括一些語(yǔ)音驗(yàn)證，這是攻的手段，防的手段也有專(zhuān)業(yè)的設(shè)備，比如說(shuō)貓池，卡商就會(huì)把一些卡放到貓池的設(shè)備上，可以簡(jiǎn)單理解成虛擬的手機(jī)，手機(jī)設(shè)備可以插多張卡，這個(gè)設(shè)備連接到電腦，就可以直接讀取上行的短信，并且下行發(fā)短信。
后期的一些防范手段又出現(xiàn)了各種驗(yàn)證碼，像圖文的、文字、問(wèn)答式的，包括現(xiàn)在出現(xiàn)了一些滑動(dòng)的行為式的，還有點(diǎn)擊式的。攻的手段也有打碼平臺(tái)，后臺(tái)是人工打碼，就是人工來(lái)識(shí)別驗(yàn)證碼。所以，攻防對(duì)抗是不斷在持續(xù)演進(jìn)。
除了產(chǎn)業(yè)鏈這些攻防對(duì)抗的手段，還需要做哪些？
1.端上做保護(hù)。
比如說(shuō)針對(duì)一些批量刷接口的情況，可以做一些接口協(xié)議上的保護(hù)，還有業(yè)務(wù)邏輯上的一些防護(hù)，比如一些活動(dòng)的一些邏輯防護(hù)（推理的一些算法，或函數(shù)之類(lèi)的）。
2.完善產(chǎn)品邏輯。
比如剛才的薅樣毛案例一，天貓商城的生日積分，它就是業(yè)務(wù)規(guī)則上有漏洞，包括有些產(chǎn)品邏輯上也有漏洞，比如限制這個(gè)活動(dòng)只能參加一次，或者一天只能參加幾次，這個(gè)是業(yè)務(wù)上的漏洞。還有開(kāi)發(fā)代碼上有一些漏洞，實(shí)際上也是邏輯上的遺漏。
3.防撞庫(kù)和脫庫(kù)、用戶(hù)的信息保護(hù)。
主要是進(jìn)行一些弱密檢測(cè)，還有泄露的一些賬號(hào)，包括黑灰產(chǎn)拿賬號(hào)進(jìn)行撞庫(kù)清洗，這塊兒也要做一些防護(hù)。
你還可以閱讀雷鋒網(wǎng)以下報(bào)道，獲得更多信息：
黑產(chǎn)過(guò)雙11：薅一天，吃一年？這里有防“薅羊毛”最強(qiáng)指南 | 硬創(chuàng)公開(kāi)課（總結(jié)+視頻）
薅東鵬羊毛，讓蘋(píng)果哭泣，扒皮黑灰產(chǎn)服務(wù)型產(chǎn)業(yè)鏈
618購(gòu)物節(jié)前夕，我發(fā)現(xiàn)了一個(gè)薅羊毛群
雷峰網(wǎng)版權(quán)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。
