临近618，电商平台每日都在上演“天天神券”、“每日免单”、“限量抢购”……明明活动名额不少，但作为普通线上购物消费者，是不是总是感觉很难成为这些大促活动的幸运儿？
如果普通消费者用户未能充分享受这些优惠活动，那么这些大规模的商家让利都进了谁的口袋呢？答案是，以“羊毛党”为代表的网络黑灰产团伙。
如今各大电商平台推出的优惠活动和促销手段越来越多，不少消费者更换设备、拼手速，只为最大限度抢到优惠。
然而，黑灰产团伙从中窥见了“商机”。他们潜入电商直播间，利用非法外挂软件抢购“秒杀”、“限购”的商品，再转手牟取暴利。这种利用非法手段“薅羊毛”牟利的行为，给各大电商网站、电商商家造成巨额损失的同时，也给普通消费者制造了不公平的购物环境。毕竟，优惠总量不变的前提下，正常消费者受损的利益就是黑灰产团伙不法所得的来源。
根据中国警察网的报道，近日，浙江宁波警方通报了一起非法抢购“秒杀”商品牟利案，抓获犯罪嫌疑人盛某、郑某，扣押作案手机25部、远程服务器3台、电脑2台，缴获抢单软件及源代码1套，现场查获名贵白酒200余瓶，涉案达1000余万元。
仅需少量人力物力投入，就能获得价值上千万的非法所得。
今年的618大促已拉开序幕，像618、双十一这样的大促节点，不仅商家准备充分，寄生虫一般的黑灰产团伙也早已蠢蠢欲动。网易易盾黑灰产研究院依托多年黑灰产对抗经验，针对零售电商面临的安全威胁，从基础安全到业务应用，为商家提供贯穿大促运营全链路的安全防范指南，助力电商商家专注大促。
01 起底黑灰产：知己知彼方能精准打击
起初，羊毛党只是薅点小利的分散个体，平台商家有时甚至会主动迎合他们的喜好，通过发放红包返现、优惠券、免单券来获得流量。
但是，随着电商行业的迅速发展，一些人看到了薅羊毛背后巨大的经济利益。
在尖端科技的推动下，有组织的羊毛党群体不仅在恶意机器人爬虫技术上持续创新，更趋向于采用"真人、真机、真行为"的策略。他们通过大规模数据分析和人工智能算法的应用，成功规避了图形验证码、手机短信验证、账号限制以及活动区域限制等传统反刷单措施。这导致平台的补贴资金落入黑产之手，营销预算被大量浪费，不仅损害了真实消费者的利益，也对品牌形象和声誉造成了严重破坏。
网易易盾黑灰产研究院针对黑灰产营销活动攻击产生的舆情进行分析后，发现：“活动”、“教程”、“接单”、“注册”、“邀请”等词，出现很高频。这说明，黑灰产往往会在各平台举办活动时寻找突破口，一旦有方法突破风控，就会把方法在内部进行传播，或者转卖能力为“接单盈利的模式”，而他们的攻击场景，往往集中出现在新用户注册、邀请拉新等优惠权益较高的活动上面。
注册、登录是一切业务行为的入口。黑产会在平台注册/登录入口生产大批量账号并进行养号操作，为后续业务欺诈行为做铺垫，在这整个模式中，会有以下几类角色参与：
○ 工具开发者：开发改机工具、群控软件、打码工具等各种黑产工具。
○ 卡商：多以正常业务为幌子， 通过各种渠道从运营商或代理商获取手机卡资源向接码平台、号商等出售。其提供的手机卡按类型可分为：虚拟卡/实卡、语音卡/短信卡、海外卡/国内卡、流量卡/注册卡。
○ 接码平台：负责连接卡商和有手机验证码需求的群体，提供软件支持、业务结算等平台服务，通过业务分成获利。
○ 账号生产者：注册大量电商平台账号，并以人工或工具方式养号，借助账号代售平台出售账号。
○ 交易渠道：QQ群、Telegram群组以及自建或第三方交易网站。
近些年来，不乏被他们薅死的正规公司。因为五花八门的黑产工具就够正规电商公司头疼了，包括但不限于以下几种：
○ 模拟器，即Android模拟器，能够模拟几十部、上百部手机来操作。模拟器种类繁多且功能强大，几乎可以模拟一个真实手机的全部功能，比如GPS、MAC、摄像头等信息都可以模拟。
○ 分身工具，比模拟器更轻量级，也是为了对抗设备指纹、账号限制等情况而使用的工具，羊毛团伙使用多开分身、分身大师、应用双开等App，可以在一台手机上运行多个同类型的App，快速切换账号和设备信息，还能通过代理IP不断更换IP地址，大大提升薅羊毛的效率。
○ 群控真机，羊毛团伙往往可一人操控成百上千台的手机，使设备信息真实有效，结合代理IP可以控制大量账号执行预定的指令，包括注册，登录，抽奖，点赞，加好友，领红包等等。
○ 打码平台，常规的验证码可以用OCR识别，但一些难以通过机器进行识别的验证码就要用打码平台进行破解。打码平台是一个非常成熟的破解验证码的手段，平台的背后是打码人员，纯手工破解验证码。
以上是网易易盾黑灰产研究院长期监控黑灰产以来对产业链中的参与人群、作案工具和运转模式进行深度洞察的结论。每年618、双十一等节点，上游卡商电话号需求暴涨，主流电商平台所遭受的攻击流量激增，中游工作室利用接码平台等工具批量注册假号。
阳光下，消费者在购物狂欢。暗地里，黑灰产团伙也在吸血狂欢。
02 六大营销场景，一套方案360度全防护
今年的618看起来像是比往年都要安静了些。
但深入研究去看，实际上，各大电商平台都将重点聚焦在“让利用户”。这表示会有更大规模、更大空间的“天天神券”、“每日免单”、“限量抢购”活动出现，意味着在正常消费者用户享受福利的同时，黑灰产也迎来了更大的不法获利空间。
对抗愈加疯狂的“黑”，需要更加安全的“白”。
网易易盾黑灰产研究院通过长期研究发现，在电商营销上，主要存在以下几个常见的黑灰产作案场景：新用户注册薅优惠券、营销活动薅羊毛、推广流量作弊、虚假用户裂变、黄牛套利、修改地址薅特定优惠券等。
对此，网易易盾开发了全链路风控解决方案，提供最新技术和庞大数据库为电商业务护航。
具体方案包括——
（1）贯穿事前—事中—事后的全流程风控机制
○ 事前预防：通过数据采集收集用户侧信息、通过业务规则来限定参与活动的门槛、通过身份核验来确认用户身份等手段，防止风险事件的发生。
○ 事中检测处置：通过实时在线的手段来检测风险，并做相应的风险处置，最大限度地防控风险事件。
○ 事后分析回馈：基于长周期的离线数据分析，计算用户侧、设备侧、IP侧、业务侧的各种风险特征，并作用于事前风控和事中风控。
（2）精准覆盖各场景下的安全产品
○ 行为式验证码：搭载风险感知引擎，智能切换验证难度，有着超10亿次完美验证，形成了业务安全第一道防线。
○ 注册保护：能够有效识别批量注册、手机黑卡注册等恶意注册行为，防御垃圾账号产生，识别注册风险。
○ 登录保护：实时监测撞库攻击、模拟器登录、代理IP登录等恶意登录行为。
○ 营销反作弊：实时识别刷单、刷票、刷券等营销作弊行为，能够从源头上防范作弊损失，保障实施效果。
（3）升级智能对抗，构建更加安全的防护体系
作弊方式在持续升级，新的黑产工具利用业务逻辑漏洞，使用真人托、真实账号挂机等手段，常规的安全服务难以再继续满足防护需求，为此，网易易盾从以下层面进行了全方位的智能对抗升级：
○ 工智能+大数据：机器的行为总是有规律可循的。可以通过人工智能对触摸、陀螺仪的数据，以及浏览器上的鼠标移动、点击等行为，结合设备指纹、业务场景等进行建模分析。网易易盾已经积累了非常丰富的人机样本数据，训练出了高准确率的行为模型，能有效识别机器行为。
○ 关联分析+快速模型迭代：首先，可以基于用户在一段时间内所有业务相关的数据建立关系链，这些关系链将构成一个总网络；然后，搜索网络中的所有子网络，进行连通图分割；其次，遍历每个子网络，获取网络标签，挖掘网络特征；最后，通过机器学习构建识别黑灰产的网络模型。通过上述四层技术的加码，网易易盾为客户提供了更加全面安全防护体系，我们称之为“全流程”防御体系。其覆盖了用户注册到注销的所有行为节点，记录了上千个维度的用户行为数据，进而分析亿级的用户关系网络，利用机器学习平台每日处理数TB级别的数据。
以网易易盾对某跨境电商的服务实践为例：
——该跨境电商在2019年频繁遭受营销黑产侵害，每月都有千万级推广资源被截取，也极大损害了正常消费者的购物体验。恶意订单高于平时正常水平一倍，每月营销推广费用损失数百万以上。
——网易易盾成为该平台的安全服务伙伴后，采取了“人机识别+业务风控”的组合拳，打击范围覆盖垃圾注册、刷库撞库、营销作弊、黄牛刷单、海关风险、用户恶意行为等多种风险，从拍、评、退、投多链路监控和识别，同时增加价格异常类的监测和拦截。
——最终实现单季度挽回资损超1000万元，投诉来电量下降70%，成功帮助该电商在减少利益损失的同时，提升客户体验满意度。
数字化为零售电商行业带来了多样化的营销渠道和广阔的市场拓展机会。然而，这也使得商家面临更加多变和复杂的安全挑战。在与黑灰产的持续对抗中，网易易盾安全团队就像“守夜人”，于无声处战黑、斗黑，竭尽全力助力伙伴们的618、双十一都于光明中圆满收官。点击了解易盾零售电商智能风控服务