2.1 欺詐1——惡意“薅羊毛”

“薅羊毛”是很多企業進行促銷讓利的一種形式。羊毛分兩種：一種是企業通過打折促銷等營銷活動主動讓利，吸引消費者來“薅”，從而提升銷售額，增強用戶體驗，這稱之為推廣促銷；另一種是黑灰產利用企業的業務漏洞，借助技術手段，批量搶奪原本屬于消費者的優惠和福利，并給平臺或主辦方帶來經濟損失的欺詐行為，這稱之為惡意“薅羊毛”。

1.專事“薅羊毛”的“羊毛黨”

如今，黑灰產的惡意“薅羊毛”已形成產業化，這種欺詐行為門檻低、人數多、危害大、組織化明顯，已成為造成企業數字業務安全風險的最主要因素之一。

參與“薅羊毛”的人員稱之為“羊毛黨”。根據操作與分工不同，羊毛黨分為多個層級，如圖2-1所示。

初級“羊毛黨”稱為“刷手”，一般處于最下線位置，主要做注冊賬號、刷交易量、點擊廣告、刷單等簡單任務，以在校學生、無固定職業的居家人員為主；稍高一級的“羊毛黨”負責給“刷手”下達具體任務、發放酬勞、接受上級平臺任務，被稱為“包工頭”；再高一級的“羊毛黨”稱之為“小作坊”；小作坊一般在多平臺擁有多個賬號，能夠為平臺導流量、完成推廣任務，并由此賺取相應傭金；更高級的“羊毛黨”稱之為“專業刷手”，多是幾個人的小團伙或以工作室的形式存在，他們手里擁有大量賬號，擁有各種注冊登錄、改號群控的軟件工具，并擁有專業的開發人員；再向上一級就是“團長”，多是公司化運作，主要為行業、企業以及UGC（User Generated Content，用戶生成內容）平臺提供推廣、營銷等服務。

2.惡意“薅羊毛”的危害

“雙十一”“6·18”等網購節既是“剁手黨”的重要節日，也是“羊毛黨”瘋狂牟利的饕餮盛宴。網購節正式啟動的時刻，消費者登錄電商平臺幾乎都會遇到兩個問題：頁面“打不開”或商品“已售罄”，前者的背后是電商平臺遇到了網絡安全風險，后者則是遇到了業務安全風險。

頁面“打不開”背后的原因是用戶瞬間涌入，平臺瞬時負載過大，于是出現平臺App或網站頁面“打不開”；而商品“已售罄”的主要原因是“羊毛黨”利用軟件批量搶購原本屬于正常用戶的優惠福利、特價商品，當消費者到了預定時間去購買，點擊原本加入購物車、收藏夾的商品時，卻發現“已售罄”。

很多熱門、限售商品或者低價商品在搶購時需要拼速度。在拼手速方面，普通消費者搶拍靠的是神經反應，通過人的眼手協作來完成，而“羊毛黨”利用批量下單軟件，設置好運行時間，選擇想要參與的活動、搶購的商品，軟件到時即自動運行，搶拍速度遠遠超過人的操作。部分軟件甚至集成破解功能，能破解各電商平臺加密的下單協議、繞過驗證碼、自動更換IP地址、偽造設備編號，瘋狂搶奪優惠和福利。

“羊毛黨”搶優惠券、秒殺特價商品等行為，不僅損害了消費者合法利益，更給消費者、商家、電商平臺帶來重大的經濟損失。據了解，零售企業70%～80%的電商營銷費用會被“羊毛黨”們吞噬。

3.惡意“薅羊毛”的技術特征

在長期與“羊毛黨”的攻防大戰中，總結出了“羊毛黨”惡意“薅羊毛”的幾個顯著的技術特征，如圖2-2所示。

● IP地址高度統一：正常用戶來自五湖四海，注冊登錄操作的IP地址各不相同。而“羊毛黨”們的注冊設備和軟件通常使用同一個寬帶線路接入網絡，注冊和登錄平臺的IP地址基本固定，或來自于同一批代理IP。

● 賬號注冊登錄多集中在非業務時間段：正常用戶一般是在正常作息時間內注冊登錄操作，一旦出現問題可以及時聯系工作人員解決。而“羊毛黨”則喜歡在休息時間段操作，此時平臺的系統監控會相對放松，“羊毛黨”批量操作時會占用平臺帶寬或接口，在非業務時間段操作可以避免引起運營者的警惕。

● 賬號注冊登錄行為流暢：正常用戶注冊登錄時，要人工輸入用戶名、密碼、手機號，收到驗證碼后還要再次手動輸入，整個過程不規律且有一定延遲，過程中可能會因為不熟悉規則或因為其他事情而耽擱中止。而“羊毛黨”使用自動化的軟件工具進行賬戶注冊，流程化作業如行云流水般一氣呵成，在速度和節奏上是人工速度的數倍。

● 設備特征長時間無變化：正常用戶注冊登錄時，可能坐在椅子上、躺在床上、坐在車上，手機會根據動作進行不同角度的調整，手機的水平高度也會不停地調整。“羊毛黨”使用軟件操控批量設備，這些設備大多是放置在不同機架上，24小時保持角度和水平線無變化。

● 操控的手機型號比較統一：“羊毛黨”為了牟利，會盡量降低設備投入成本以實現利潤最大化，因此價格低廉的手機或者二手手機是他們重要的設備來源。手機批量購入，型號相同，比較單一。