1.1　黑产组织结构

根据中国互联网络信息中心在2019年8月发布的《第44次中国互联网络发展状况统计报告》，截至2019年6月，我国网民规模已达8.54亿，手机网民规模已达8.47亿。

如此大规模的互联网用户群体产生了巨大的互联网业务需求和交互流量，形成了两个互联网生态，一个是看得见的，另一个是看不见的。看得见的生态，是互联网厂商用网站、APP、小程序和线上线下的服务构建起来的。它是由很多优秀的产品团队设计产生的，有监管、有秩序、有规则。看不见的生态，是围绕主流互联网产品和服务衍生出的一条条黑灰色产业链，聚集了规模庞大的黑产群体。普通网民看不到它的形态，但是却真实存在并且拥有强大的力量。

黑产群体组织分工明细，如有“羊头”、“推手”和“羊毛”之分的羊毛党群体（后文我们会详细介绍这些术语），并且善于伪装。黑产从业者有全职或兼职，在兼职人群中，有各行各业人员，辨认难度大。同时黑产群体技术更新迭代迅速，可以在短时间内对厂商的防护手段破解并更新多个版本的作弊工具。据不完全统计，在这个庞大的黑色产业链条中，黑产从业人员已达数十万余人，每年给互联网公司造成的经济损失超过百亿元。

黑产群体有各种各样的工具，利用这些工具极大地提升了黑产作案效率，同时也更加扩大了企业厂商的危害。这些工具往往是为了某种特定的应用场景而设计的，被黑产发现之后，开始大规模利用，对互联网带来了巨大的影响。

经过长期对黑色产业链的跟踪调查，我们整理出了黑色产业链结构，如图1.1所示。

图1.1　黑色产业链结构

在整个黑色产业链中，各个环节都已有专业分工，相互之间紧密配合，其中技术类黑产负责提供丰富的代理IP、虚假号码和各类自动化工具。

互联网黑产远不止羊毛党一种，只是很多自媒体会把参与营销、优惠、满减活动并以此牟利的黑产统称为羊毛党。在业务安全的视角上分析，我们会把不同行业、不同场景中的风险行为分门别类，针对特定的风险，使用特定的规则或模型进行防控。

在此，我们整理了一份“反欺诈词典”，用于定义各类黑产的具体行为和名词术语，列举如下：

· 垃圾注册：在注册环节中，使用虚假、不稳定的身份信息，如虚假号码、通信小号、临时邮箱、虚假邮箱注册，或者使用脚本、注册机进行批量注册的行为，称为垃圾注册。注册完的垃圾账号，在直播视频行业中被用于关注、点赞、观看视频量、批量评论等，在电商行业被用于刷店铺访问量、关注量等。此类账号在账号命名上也有所特征，常见的有不规则英文组合、古诗词句截取等。

· 薅羊毛：使用虚假身份信息或自动化工具参与各类营销活动的行为，营销活动包括但不限于折扣、返现、抽奖、满减等形式，并且不能给平台带来实际的活跃用户或订单交易。执行薅羊毛行为的人称为羊毛党。

· 黄牛/刷单：在合法销售途径以外，垄断、销售限量参与权或商品，并以此牟利的中介人称为黄牛。从业务安全的视角上看，黄牛和刷单在行为上相似度极高，都发生在交易场景中，并且具有爆发性，会大量使用自动化工具。黄牛和刷单的区别在于，刷单过程中买到的产品，即使加价出售，也比商品原来的价格要低。而黄牛在倒卖的时候，价格会远高于商品原本的价格。还有区别在于价格和目标商品类目上，在刷单过程中刷手需提前确认收货好评垫付商品金额，为了控制刷单成本一般选择低价商品。但黄牛的目标多为热门稀缺的热点商品，便于后期加价出售获利。如某热门手机，某海外热门歌手演唱会门票每年必遭黄牛哄抢，单价商品倒卖价格已达上万元。在智能风控引擎中，这两种欺诈行为的表现几乎是一致的，不做详细区分。

· 众包：由多个独立的个体共同参与完成的一项任务被称为众包。有羊头发起，众多羊毛党在线参与的薅羊毛行为称为众包薅羊毛。一个典型的案例，在某微信群中，羊头和羊毛党配合，羊头负责收集线报并同步到微信群内，一般是商品折扣或满减形式。同时，羊头在群内收购商品，羊毛党参与活动，低价购买了商品，可以直接转售给羊头，羊头支付商品成本和手工费用。羊头借此囤积了大量的低价商品，再通过其他线下渠道转售出去。所有参与此次薅羊毛行为的用户都是独立的真实用户。

· 炒信：通过各种途径和手段进行虚假交易，快速提升商户交易量、信用等级的行为统称为炒信。

· 套利：由商户端发起的薅羊毛行为被定义为套利。例如，在银联活动中，某家银行的活动形式是，用户到指定门店消费，消费满100元返50元，同时商户也可以获得50元奖励。活动期间出现了商家和羊毛党联合欺诈，羊毛党到店扫码支付，商家会退回支付的钱，没有发生任何实质上的交易，但是羊毛党和商家都能够获得奖励，以此骗取奖励。

· 空包：虚假发送快递，发送空的快递或包裹。在电商场景中，订单提交后，商家将商品打包，通过快递方式发送给用户。在套利或炒信时，商家必须给平台提交物流单号完成发货动作，买家签收后钱款打入卖家账号，一笔交易才算完成。此时，如果商户选择发送空的快递，或者提交已经完成的、其他平台的快递单号，则可以节约成本。市面上也有很多打着代发快递名头的空包网站，代发一单快递的售价为0.6元～0.8元，并且可以提供真实的物流信息来规避甲方平台的风控策略。

以上仅列举了一些常见的、在黑产中间已经比较成熟的行为术语。这些名词对于从事互联网风控和业务安全的读者来说，应该都不陌生，每一类业务风险在不同的行业中都会有不同的表现。还有很多欺诈行为是隐性的，需要长期监控和挖掘才能发现。