2.1 欺诈1——恶意“薅羊毛”
“薅羊毛”是很多企业进行促销让利的一种形式。羊毛分两种：一种是企业通过打折促销等营销活动主动让利，吸引消费者来“薅”，从而提升销售额，增强用户体验，这称之为推广促销；另一种是黑灰产利用企业的业务漏洞，借助技术手段，批量抢夺原本属于消费者的优惠和福利，并给平台或主办方带来经济损失的欺诈行为，这称之为恶意“薅羊毛”。
1.专事“薅羊毛”的“羊毛党”
如今，黑灰产的恶意“薅羊毛”已形成产业化，这种欺诈行为门槛低、人数多、危害大、组织化明显，已成为造成企业数字业务安全风险的最主要因素之一。
参与“薅羊毛”的人员称之为“羊毛党”。根据操作与分工不同，羊毛党分为多个层级，如图2-1所示。
图2-1 “羊毛党”的多层等级
初级“羊毛党”称为“刷手”，一般处于最下线位置，主要做注册账号、刷交易量、点击广告、刷单等简单任务，以在校学生、无固定职业的居家人员为主；稍高一级的“羊毛党”负责给“刷手”下达具体任务、发放酬劳、接受上级平台任务，被称为“包工头”；再高一级的“羊毛党”称之为“小作坊”；小作坊一般在多平台拥有多个账号，能够为平台导流量、完成推广任务，并由此赚取相应佣金；更高级的“羊毛党”称之为“专业刷手”，多是几个人的小团伙或以工作室的形式存在，他们手里拥有大量账号，拥有各种注册登录、改号群控的软件工具，并拥有专业的开发人员；再向上一级就是“团长”，多是公司化运作，主要为行业、企业以及UGC（User Generated Content，用户生成内容）平台提供推广、营销等服务。
2.恶意“薅羊毛”的危害
“双十一”“6·18”等网购节既是“剁手党”的重要节日，也是“羊毛党”疯狂牟利的饕餮盛宴。网购节正式启动的时刻，消费者登录电商平台几乎都会遇到两个问题：页面“打不开”或商品“已售罄”，前者的背后是电商平台遇到了网络安全风险，后者则是遇到了业务安全风险。
页面“打不开”背后的原因是用户瞬间涌入，平台瞬时负载过大，于是出现平台App或网站页面“打不开”；而商品“已售罄”的主要原因是“羊毛党”利用软件批量抢购原本属于正常用户的优惠福利、特价商品，当消费者到了预定时间去购买，点击原本加入购物车、收藏夹的商品时，却发现“已售罄”。
很多热门、限售商品或者低价商品在抢购时需要拼速度。在拼手速方面，普通消费者抢拍靠的是神经反应，通过人的眼手协作来完成，而“羊毛党”利用批量下单软件，设置好运行时间，选择想要参与的活动、抢购的商品，软件到时即自动运行，抢拍速度远远超过人的操作。部分软件甚至集成破解功能，能破解各电商平台加密的下单协议、绕过验证码、自动更换IP地址、伪造设备编号，疯狂抢夺优惠和福利。
“羊毛党”抢优惠券、秒杀特价商品等行为，不仅损害了消费者合法利益，更给消费者、商家、电商平台带来重大的经济损失。据了解，零售企业70%～80%的电商营销费用会被“羊毛党”们吞噬。
2018年12月17日，某知名咖啡品牌发起“注册新人礼”活动。凡通过官方App成功注册的俱乐部新会员，均可获得一份“圣诞特饮邀请券”。凭借此券，可以在国内门店免费兑换任意一杯中杯圣诞节特饮。
据监测显示，短短一天之内，“羊毛党”就注册了近40万个虚假账号去领取该咖啡品牌的优惠券。按照每张优惠券可以兑换一杯30～35元的饮料计算，估算下来价值千万元的优惠券被“羊毛党”们领走。
2018年8月上线的某电商，估值曾达到2.47亿美元。为了追求用户规模，利用红包补贴的方式疯狂扩张。门槛极低、返现高，推荐朋友加入还能够从他的消费当中分得佣金的拉新活动，吸引了大批的“羊毛党”加入，通过大量虚假账号恶意“薅羊毛”。补贴返现高，用户与交易额就多，就会制造出拉新活动很成功的假象；而活动一旦停止，用户与交易额就急降，该电商官方不得已只能重启拉新活动，如此反复，短短16个月后，该电商资金耗尽，公司宣布倒闭。
3.恶意“薅羊毛”的技术特征
在长期与“羊毛党”的攻防大战中，总结出了“羊毛党”恶意“薅羊毛”的几个显著的技术特征，如图2-2所示。
● IP地址高度统一：正常用户来自五湖四海，注册登录操作的IP地址各不相同。而“羊毛党”们的注册设备和软件通常使用同一个宽带线路接入网络，注册和登录平台的IP地址基本固定，或来自于同一批代理IP。
● 账号注册登录多集中在非业务时间段：正常用户一般是在正常作息时间内注册登录操作，一旦出现问题可以及时联系工作人员解决。而“羊毛党”则喜欢在休息时间段操作，此时平台的系统监控会相对放松，“羊毛党”批量操作时会占用平台带宽或接口，在非业务时间段操作可以避免引起运营者的警惕。
图2-2 “羊毛党”的特征
● 账号注册登录行为流畅：正常用户注册登录时，要人工输入用户名、密码、手机号，收到验证码后还要再次手动输入，整个过程不规律且有一定延迟，过程中可能会因为不熟悉规则或因为其他事情而耽搁中止。而“羊毛党”使用自动化的软件工具进行账户注册，流程化作业如行云流水般一气呵成，在速度和节奏上是人工速度的数倍。
● 设备特征长时间无变化：正常用户注册登录时，可能坐在椅子上、躺在床上、坐在车上，手机会根据动作进行不同角度的调整，手机的水平高度也会不停地调整。“羊毛党”使用软件操控批量设备，这些设备大多是放置在不同机架上，24小时保持角度和水平线无变化。
● 操控的手机型号比较统一：“羊毛党”为了牟利，会尽量降低设备投入成本以实现利润最大化，因此价格低廉的手机或者二手手机是他们重要的设备来源。手机批量购入，型号相同，比较单一。