接码平台把海外手机号摆上了货架。选好归属地和要注册的网站，付钱，等验证码；失败就换号。

威胁猎人基于2026年7月海外接码平台监测数据发现，这不是零散黄牛，而是一套可检索、可购买、失败后可重复调用的供给。

核心发现

这份监测真正要说的，不是验证码不可信。而是：接码号会上下架。它不是 VoIP 那样一种号码属性，而是一种会进入、退出、再被抛出的库存状态。

本报告的核心结论是：

01

资源汇聚，多国号码被做成可检索供给

海外接码平台把多个国家或地区的号码汇到同一处，并按归属地和目标网站、App 分类。从界面可以直接看到：归属地、可注册的网站或 App、单次价格被集中展示。

本文所称海外黑卡，是指被接码平台集中组织、用于批量注册或账号验证，并进入黑灰产账号链路的海外手机号资源。

FIG. 1　海外接码平台将号码检索、报价、取号与验证码接收整合在同一界面

这套供给由四类角色共同完成。交付方式既有页面购买，也有接口调用。原本分散的号码，进入同一套检索和售卖体系，并在验证失败后继续更换。   

FIG. 2　海外接码产业的四类角色。产业化结果：分散号码 → 可检索项目 → 按次购买 → 可重复调用。

02

覆盖广泛，234 个国家或地区出现可售供给

本次监测中，234 个国家或地区出现了可购买的接码号，归属范围遍及北美、欧洲、东南亚、拉美、中东和非洲。

这一数据描述的是接码产业的供给范围；海外手机号风险画像则围绕业务实际运营和重点关注的国家或地区，给出相应判断。

对海外业务而言，只看号码归属地，无法判断它是否来自接码平台、是否曾被批量使用。

03

成本较低，近九成报价不超过 6.8 元

在威胁猎人监测到的约 117.7 万条有效报价记录中，中位报价为 2.9 元，中间 50% 分布在 1.7 至 4.5 元之间，89.3% 的报价不高于6.8 元。

以上价格由平台美元页面报价折算，不代表最终成交价，也不等于获得一个可用账号的全部成本。

FIG. 3  海外接码报价的整体分布。69.0% 的报价 ≤ 3.4 元，89.3% ≤ 6.8 元。统计的是单条报价占比，不是中位报价。

进一步观察号码供应较多的常见网站和 App，部分国家或地区的中位报价可低至 0.7—1.4 元；图示 8 个国家或地区均低于 4.1 元。低价并不只出现在少数市场。

价格差异更多体现在国家或地区之间，通常与当地号码数量、通信成本和平台在售情况有关；不同网站或 App 之间的报价差距相对有限。

FIG. 4  部分国家或地区高频供给项目的中位报价。各国选取库存较高的项目，以减少长尾样本对地区价格的放大。

04

超过一半的号码只出现一次，或渠道活跃周期不超过 30 天

威胁猎人把一个号码第一次和最后一次被监测到之间的时间，称为「渠道活跃周期」；如果只出现过一次，就单独归为「仅监测到一次」。在 48,222 个号码样本中，仅监测到一次占 26.4%，0—30 天合计 29.6%，两类相加约56%。

与此同时，90—365 天占 24.8%，365 天以上占 7.9%。一部分号码隔了数月甚至一年后再次出现，可能被平台反复展示，或在停用一段时间后重新投入使用。 

FIG. 5  号码样本的渠道活跃周期分布。寿命是双峰的：短周期与 90–365 天复用同时存在。「渠道活跃周期」只表示两次监测记录之间的跨度，不等于全程可用，也不同于运营商在网时间。

因此不能把「流转快」理解成全部号码都是一次性的。大量号码只在短时间内出现，长期不更新的黑名单很快就会失真；一个号码曾被用于接码，也不代表它当前仍在流通。更可靠的判断，要看它最近一次何时出现，并持续跟踪风险是否变化。

05

流向集中，社交、游戏、邮箱与电商占已标注供给的六成

部分海外接码平台会在售卖页面标注号码可用于注册的网站或 App。

威胁猎人共识别出 93,227 条用途明确的号码供给记录；社交与即时通讯 20.8%，游戏 14.7%，邮箱云服务 14.6%，电商与零售 14.0%，四类合计 64.1%。

FIG. 6 已标注供给的主要网站和 App 类型。占比反映接码平台主要向哪些业务提供号码，并非已确认攻击事件的行业占比。文中出现的具体应用名称，均指平台标注的可注册项。

表中风险是根据号码用途归纳出的常见滥用方式，不是已确认事件清单。

06

案例示意：低价接码降低了黑产反复换号验证的成本

按本文监测到的 2.9 元中位报价计算，攻击者发起100 次账号登陆尝试接码验证的成本仅约需 290 元。

当某个号码无法收码、已被网站或App限制，或验证失败时，操作者可以低成本更换号码或接码平台继续尝试。成功完成验证的账号随后可能进入优惠领取、虚假活跃、恶意引流或其他滥用环节。

这只是页面基础报价的演算，未计入验证失败、平台服务费、账号环境和后续操作成本，也不代表一次已确认的攻击事件。

FIG. 7　机制示意，非已确认事件。风险不在某一个手机号，而在找号、收码、失败换号已经被串成可重复操作。

07

账号风控需关注号码动向，而不是看号码类型

广泛供给、低价、短活跃周期和主要流向，共同指向一个操作问题：要判断一个号码是否可信，需要回答三件事：它是否曾出现在接码平台，最近一次是什么时候，历史风险是否已经达到需要直接限制的程度。

08

威胁猎人持续追踪黑产用号，直接看号码是否进过接码渠道

威胁猎人持续监测接码平台中被黑产使用的手机号，并将首次出现、最近一次出现和历史风险整理成持续更新的风险画像。

这套判断不只看号码是否属于 VoIP，而是看它是否真实进入过黑产接码渠道。这样既能发现非 VoIP 的黑产用号，也能避免把正常 VoIP 号码简单判为风险。

这份监测真正要说的，不是验证码不可信。是：接码号会上下架。它不是 VoIP 那样一种号码属性，而是一种会进入、退出、再被抛出的库存状态。

在威胁猎人发现的这48000+样本里，超过一半只出现一次，或渠道活跃周期不超过 30 天。90 天以上合计 32.7%（90–365 天24.8%，365 天以上 7.9%）。

而另外两件事也需要明确边界。价格差异更多体现在国家或地区之间，应用之间的差距相对有限，这是报价分布，不是「按应用加码无效」的证明。

而234 个国家或地区是货架覆盖，社交、游戏、邮箱、电商占已标注供给的 64.1%，这是卖家在卖什么，不是攻击打在哪，更不是每家业务都该按全球货架来建名单。

威胁猎人已建立海外手机号风险识别能力，围绕业务实际运营和重点关注的国家或地区，持续监测接码平台中被黑产使用的手机号，并将号码首次出现、最近一次出现和历史风险等信息整理成持续更新的风险画像，为业务判断一个手机号当前是否值得信任提供更及时的依据。

专注黑灰产情报和反欺诈技术研究

你抢不到的演唱会门票、刚开售就秒空的限量商品，甚至一些看起来正在正常浏览、点赞、聊天的账号，背后执行操作的，未必是真人。

过去，自动化作弊更多让人想到手机里的脚本、群控软件或者自动点击工具。但在实际调研中，我们发现，自动化操作正在出现另一种形态：软件可以不装在手机里，操作却依然能够自动完成。

为验证这一问题，威胁猎人研究团队测试了8台不同类型的自动化设备，并将软件脚本与真人操作作为对照，累计采集超过7.5万条操作数据，从压力、接触面积、速度、轨迹和设备运动等9个维度进行比较。

本轮实验得到三个主要结论：

第一，机器已经能够在部分单一指标上接近真人。 如机械臂可以真实触碰屏幕，产生压力、接触面积、速度变化和曲线轨迹，“有真实触屏”“轨迹有弯曲”等特征已经不能直接等同于真人。

第二，不同自动化方式仍然会留下不同的行为模式。 软件脚本往往过度稳定，HID和鼠标缺少真实触屏特征，物理滑屏设备可能出现明显机械波动，机械臂则在多个维度上介于传统脚本与真人之间。

第三，多维行为组合比单一指标更有识别价值。 在测试中，接触面积和滑动的轨迹区分度最高，压力相关指标同样具有较高价值；轨迹、曲率和设备传感器更适合作为辅助证据。机器可以针对某一个特征进行模仿，但同时复制多个彼此关联的人体行为，难度更高。

01

自动化操作已从软件脚本延伸到外部硬件

传统自动化识别往往首先关注手机环境，例如设备是否Root、是否开启异常无障碍能力、是否运行在虚拟环境中，或者是否存在明显的自动化脚本。但外部硬件的出现正在改变问题。

本次研究购买的8台自动化设备，价格从18.3元到1535元不等，从操作原理来看，这些设备大致可以分成三类。

因此，面对这类自动化方式，仅判断手机有没有Root、虚拟机、异常无障碍等环境特征已经不够。即使手机本身完全正常，屏幕甚至发生了真实物理触摸，当前操作仍然可能来自机器。研究对象由此从“设备有没有异常”，进一步延伸到“操作行为本身是不是真实”。

02

覆盖高频点击、持续滑动和社交互动三类场景

不同设备所具备的自动化能力，对应的业务动作并不完全相同。

需要说明的是，本次研究主要验证的是这些设备本身能够完成的操作能力，并不意味着每一类设备已经被实际用于所有上述业务场景。

03

7.5万+实验数据，从9个维度比较真人与自动化操作

3.1 实验对象

本次研究将操作方式分为三组：真人操作、软件自动化和硬件自动化。

软件侧包括代码脚本、屏幕录制、无障碍等自动化方式；硬件侧包括HID、鼠标点击器、电容点击器、物理滑屏器、自动滑屏点赞器和机械臂等。

覆盖多轮次，不同场景的测试。并设置桌面平放、支架、手持、行走等不同操作状态，测试点击、滑动、长按及组合操作。

3.2 数据采集

威胁猎人研究团队开发了专门的行为数据采集程序，在操作过程中记录触摸坐标、时间、压力、接触面积、轨迹点、速度、加速度和曲率等数据，同时获取加速度计、陀螺仪等设备传感器信息，采样间隔约为10—20毫秒。

实验阶段累计采集超过7.5万条操作数据。最终重点选择9个维度进行横向分析：压力强度、压力波动、接触面积、滑动平均速度、滑动速度波动、路径冗余率、平均曲率、线性加速度、陀螺仪。

这9个指标大致可以回答三个问题：

一是屏幕有没有发生真实物理接触，主要由接触面积和压力体现；

二是操作过程是否符合自然人体动作，主要观察速度、速度波动、轨迹和曲率；

三是触摸行为与手机当前物理状态是否匹配，主要结合线性加速度和陀螺仪分析。

04

不同自动化方式，会留下不同的行为特征

4.1 软件脚本的突出特征是“过于稳定”

软件脚本最明显的特征是过于稳定。部分代码脚本和屏幕录制类自动化在压力、速度和轨迹上都表现出较高一致性。真人滑动通常会经历自然的加速、峰值和减速过程，而部分软件自动化的速度和压力变化更加固定，大量重复操作也更容易形成高度一致的模式。

（真人与软件脚本滑动速度曲线对比）

4.2 HID和鼠标可以产生输入事件，但缺少真实触屏特征

接触面积是区分部分外部输入设备的重要特征。

真人手指触摸屏幕时会形成真实接触区域，而且接触面积会随着力度、角度及动作变化。实验中，真人整体接触面积最大、分布范围更宽；机械臂、电容点击器、刷屏器等真实作用于屏幕的设备同样存在接触面积，但分布更加集中。

而HID、鼠标点击器等没有直接产生真实屏幕接触的方式，在测试中接触面积表现为0。

（真人、机械臂、HID、鼠标接触面积分布）

4.3 机械臂已经能够在部分单一指标上接近真人

机械臂是本次实验中最值得关注的一类设备。

与软件脚本不同，机械臂真实作用于屏幕，因此能够产生接触面积和压力；机械结构本身还会带来速度变化和轨迹弯曲。从单一指标观察，它已经可以表现出不少传统意义上的“真人特征”。

4.4 接触面积和滑动的轨迹，是本轮实验区分度最高的两个指标

首先是接触面积，主要反映操作是否发生了真实物理触碰。 真人手指触摸屏幕时会形成明显的接触区域，而且随着力度、角度和动作发生变化；HID、鼠标等非真实触屏方式在实验中则缺少正常的接触面积。机械臂、电容点击器等虽然同样能够产生真实接触，但其分布模式与真人仍存在差异。

其次是滑动的轨迹。主要反映不同操作方式在路径形态和重复程度上的差异。

真人呈现出较为明显的分散情况。起点、终点、弯曲程度均呈现出随机分布；而机械臂呈现出较为明显的分散情况，但较真人呈现出一定的聚集情况；

鼠标点击器的起点和终点虽然存在变化，但滑动路径基本保持为直线，轨迹形态相对单一。其余5款自动化工具的轨迹均为高度统一的直线或曲线。

05

单一指标容易被模仿，多维组合更具有识别价值

本次实验中，多项结果都说明单一规则存在明显边界。

接触面积不为0不一定是真人，机械臂和电容设备同样会真实触屏；轨迹形成曲线不一定是真人，机械结构同样能够制造曲线；速度波动较大也不一定是真人，部分机械设备甚至高于真人；手机发生晃动同样不能直接证明操作来自真人。

本次研究沉淀了9个行为分析维度、不同自动化方式的典型特征和初步多维识别规则，为行为真实性识别提供了进一步验证基础。

而从实际监测情况来看，企业敏感信息外部暴露并非小概率事件。2025年，威胁猎人在在线云盘、公开文库、代码托管及API协作工具等公开渠道共监测到敏感信息公开暴露风险事件4,246起，其中87%发生在在线云盘和公开文库。大量风险并非由黑客攻击直接造成，而是源于文件过度公开、协作权限配置不当、代码误提交、第三方传播以及人员流动等日常业务行为。

针对企业“外部到底已经暴露了哪些敏感信息”的问题，威胁猎人可为企业提供敏感信息外部暴露面诊断报告，帮助企业快速了解当前暴露渠道、风险类型及重点问题，为后续整改建立风险基线。

与黑客攻击、恶意窃取等导致的数据泄露不同，还有一类风险发生在正常办公和协作过程中：企业敏感信息因为公开分享、权限配置不当、代码误提交或第三方传播，被暴露到了超出原本授权范围的外部渠道，这类情况可以称为“敏感信息过度公开”。

例如，员工将内部文件上传至公共网盘，研发人员误将密钥提交到公开代码仓库，合作方将企业资料上传至文库平台。这些行为通常没有明显攻击行为，也不一定触发安全告警，但敏感信息已经离开企业的可控边界，甚至可能长期处于公开状态。

随着云盘、在线文档、代码托管和协作工具广泛使用，过度公开已经不只是个别员工的操作疏忽，而是数字化协作环境下需要持续关注的一类敏感信息外部暴露风险。

从威胁猎人DRP监测情况来看，企业敏感信息的外部暴露并不集中在单一平台，而是分布在网盘文库、代码及API协作平台，以及暗网和匿名群聊等不同渠道。不同渠道的风险特点也存在明显差异：网盘文库发生频率最高，代码和API信息直接可利用性更强，而暗网和匿名群聊则最难被企业主动感知。

威胁猎人监测数据显示，上述公开渠道共发现敏感信息暴露事件4,246起，其中在线云盘和公开文库合计占比87%，是过度公开的主要发生地。

2.1 在线云盘与公开文库：最常见的敏感信息暴露出口

云盘和文库成为主要暴露渠道，与企业日常办公习惯直接相关。员工上传文件、生成分享链接、与客户或合作方共享资料，本身都是正常业务行为，但一旦分享权限设置不当，或者文件被接收方再次转载，原本限定范围内使用的资料就可能进入公开互联网。

在监测实践中发现，企业对文库平台的覆盖往往存在盲区。多数企业只关注百度文库、豆丁等主流平台，但垂直研报平台、技术文档平台、小众网盘以及海外文件分享网站，同样可能成为企业资料的传播出口。

这类案例说明，网盘和文库风险治理真正困难的地方，不只是“能不能找到文件”，而是企业是否能够覆盖足够多的外部平台，并在发现后及时完成处置。

2.2 代码仓库与API工具：占比虽低但可利用性最高

代码托管平台和API协作工具的泄露虽然只占12.9%，但风险等级最高。源代码、配置文件、API密钥、数据库连接字符串等信息一旦公开，攻击者可以直接利用。

代码仓库还存在明显的历史残留问题。当前版本已经删除敏感信息，并不意味着Git历史Commit中不存在；员工个人仓库、Fork仓库、镜像仓库和历史项目中，也可能长期残留企业代码和认证信息。

因此，对于代码和API类风险，敏感信息泄露排查不能只看当前页面，还需要检查历史版本和关联仓库，并进一步验证泄露凭证当前是否仍然有效。

2.3 暗网与匿名群聊：企业不可见的数据交易市场

网盘、文库、代码平台上的暴露至少还在公开互联网上，企业理论上可以通过搜索发现。但暗网和匿名群聊中的数据交易，企业如果没有专门的情报能力，几乎完全无感知。

黑产在暗网论坛发布数据样本和价格，在Telegram群里进行交易和交付，使用虚拟币结算。根据威胁猎人数据泄露平台的持续监测发现，目前活跃的暗网交易市场和论坛有98个，其中包括34个勒索组织官网，平均每月新增5个；黑产数据交易群达到21万个，其中2万个为需要邀请才能进入的私密群，平均每天新增约200个群。

暗网数据交易还存在历史数据和虚假数据混杂的问题；黑产经常将几年前泄露的旧数据重新包装售卖，甚至发布虚假数据钓鱼。

威胁猎人的真实性验证引擎可识别约35%的历史数据，帮助企业排除干扰、聚焦真实风险。近一年共捕获23,827起真实数据泄露事件，暗网和群聊渠道的平均预警时效在30分钟内。

结合长期监测数据和真实处置案例，当前企业敏感信息外部暴露主要集中在以下三类场景。

3.1 研报与付费内容未授权传播

研报、行业报告、内部方案、制度文件和培训资料等内容，原本只应在企业内部或授权范围内使用，但可能因为网盘公开分享、文库上传或第三方转载进入公开互联网。

其中，疑似未授权传播的研报类风险占全部公开暴露事件的43.18%，是目前最主要的一类暴露内容。

这类风险的特点是传播门槛低、复制速度快。一份文件一旦进入公开平台，可能很快被下载、转载至其他文库和网盘，仅处理首发链接往往无法彻底消除传播。

3.2 凭证与密钥公开暴露

代码仓库和API协作工具中的密钥、Token、Cookie、数据库连接字符串等信息具有较强的直接利用价值。

与普通文件相比，这类风险不能只按照“是否公开”判断等级，还需要进一步验证凭证是否仍然有效。如果凭证仍能访问系统，风险优先级通常应高于普通文档泄露。

同时，技术类信息还存在明显的历史残留特征。即使当前代码已经整改，也需要继续检查历史Commit、分支、Fork仓库及镜像仓库，避免敏感信息仍然残留在外部。

3.3 员工信息与内部文档外泄

劳动合同、员工信息、组织架构、操作手册、客户名单、联系方式及业务数据等，同样是企业敏感信息外部暴露的重要组成部分。

这类信息可能通过员工网盘分享、第三方合作、离职交接、外包人员留存等方式进入外部环境，而且往往在暴露较长时间后才被企业发现。

与内容版权风险相比，此类信息一旦涉及个人信息、客户数据或企业内部经营资料，还可能进一步带来合规、诈骗利用和商业风险。

敏感信息外部暴露并不是简单通过搜索企业名称就能完整发现。真正的难点集中在“查全、查准、处置”三个环节。

威胁猎人DRP（数字风险保护）围绕企业外部数字风险，构建了从发现、验证到处置、交付的完整闭环，覆盖敏感信息过度公开涉及的全部7类渠道。

敏感信息过度公开是一个持续发生的风险。

一次排查能发现当下的问题，但新的文件分享、代码提交、人员流动和数据交易会持续改变企业的外部暴露状态。排查建立基线，持续监测让基线不过期，从一次性排查走向7×24小时持续防护，才是应对这一风险的有效方式。

如您的企业正在开展敏感数据排查，

可扫码获取外部敏感信息暴露面排查诊断报告

专注黑灰产情报和反欺诈技术研究

如您的企业也有类似问题

请咨询威胁猎人安全专家

在电商平台输入“代下单”，搜索框下方会出现多个连锁餐饮、咖啡和茶饮品牌的关联词。消费者购买后，打开一条链接，输入兑换码，选择附近门店，几分钟后就能拿到一份价格明显低于官方渠道的套餐。

但这些订单究竟从哪里来？为什么有人能够长期、稳定地提供多个品牌的低价套餐？威胁猎人沿着这笔订单向上回溯，看到了一套将品牌会员账号、营销权益、技术工具和销售渠道组织起来的黑产生意。

近期，威胁猎人情报研究团队通过对一个真实运营的快消餐饮代下单平台进行持续调查，分析其业务数据库发现，该平台已经管理5000+个会员账号，累计产生近16万笔业务订单，控制账号所关联的储值及权益资产面值高达300万元。形成了从账号与权益供给、订单履约到外部分销的完整运营体系。

更值得关注的是，这套系统并非只服务于单一品牌，而是已经在多个连锁餐饮品牌中实现真实订单履约。

低价套餐背后并不是简单的优惠券转卖，而是一条已经具备上游资源供应、核心平台生产和下游代理分销能力的完整的快消餐饮代下单黑产产业链。

1.1 上游：黑产通过接码、账号授权和代理IP批量获取会员账号

这条产业链的起点，是大量可以正常登录、领取权益和完成下单的品牌会员账号。

1.1.1 批量注册：接码与账号授权形成账号生产流水线

威胁猎人在平台数据中发现，相关会员账号呈现明显的批量注册特征。

部分账号集中从同一网络环境注册，大量账号没有正常昵称、生日和社交账号绑定，与真实消费者长期使用的账号存在明显差异。该平台已经接入外部接码、手机号和账号授权服务，将验证码接收、账号授权和会员注册等环节组合成一条批量化流程。

与此同时，平台还采购动态代理IP，用于持续切换访问网络。原本由同一团队控制的大量账号，因此可以表现为来自不同地区和不同网络环境的普通用户，在品牌侧"看起来"像分布在全国各地的独立用户。

1.1.2 账号养成：围绕品牌营销活动将账号分类管理

平台还会根据用途对账号进行分类，例如新人账号、早餐权益账号和测试账号。用于区分账号所承载的业务和权益类型。

在该案例中，威胁猎人还发现，平台可以通过接口批量修改会员生日信息。部分账号的生日被集中设置在同一时间段，甚至出现未来日期，其目的指向触发品牌针对生日会员发放的优惠券。

黑产只需要采购并组合这些低成本服务，就能够持续补充账号池，并降低批量账号被简单规则识别的概率。

1.2 中游：自动化订单生产系统将账号和权益变成订单

黑产的中游，是整条产业链的生产中心。黑产利用自动化订单生产系统，将上游提供的账号资源，加工成可以真实核销、可以批量分销的餐饮订单。

从实际运营规模看，这套系统已经并非局限于单一品牌；威胁猎人发现，该系统已有6个连锁餐饮品牌的真实业务订单。

1.2.1 逆向品牌点餐小程序：模拟真实会员提交订单

在该案例中，威胁猎人在订单数据中发现了品牌点餐系统内部使用的订单状态、渠道编码和小程序来源字段，说明相关订单并非通过品牌正式授权的接口生成，而是通过模拟和重放小程序请求完成。

平台掌握会员账号的有效访问凭证和小程序身份信息后，可以模拟小程序客户端发送HTTP请求，直接调用品牌点餐系统的后端接口，完成门店选择、商品提交和订单创建。

这意味着，只要平台仍然持有有效的账号凭证，就能够以“会员本人”的身份在品牌系统中提交订单。

从品牌后端单独观察某一笔交易，请求使用的是真实账号，订单进入的是真实点餐系统，消费者获得的也是真实取餐码。品牌很难仅凭单笔订单，判断它来自普通消费者还是黑产自动化平台。

1.2.2 储值与权益调度：建立统一的“权益资产池”

威胁猎人研究发现，该黑产平台并不是随机选择会员账号完成订单，而是会持续同步每个账号的储值余额、优惠券和订阅卡状态，再根据消费者选择的套餐和门店统一调度。

原本分散在不同会员账号中的储值余额、早餐卡和优惠券，被平台集中同步和管理后，形成了一个可以统一查看、匹配和消耗的“权益资产池”。消费者下单后，平台会优先使用账号余额，占成交订单的 98%；余额不足时才走自动化现金补付。

1.2.3 利用AutoJs自动化支付

当账号余额不足、需要真实付款时，该黑产平台启用一套手机自动化方案：

至此，原本分散的账号注册、权益管理、订单提交和支付操作，被连接成了一套自动化订单生产系统，加工成为可以由下游代理直接销售的餐饮订单。

1.3 下游：公开搜索只是入口，代理网络才是黑产的销售系统

整条产业链中另一个关键环节，是黑产建立的代理分销网络。自动化平台解决了“怎么生产订单”的问题，但能否持续找到消费者，才决定这条黑产产业链能否真正形成规模。

威胁猎人在平台数据库中发现了完整的代理管理、套餐配置和兑换码生成功能。

代理进入后台后，可以选择相应套餐并批量生成兑换码。系统再将兑换码与独立H5下单页面组合，由代理通过社群、电商店铺等渠道向消费者出售。

消费者购买后，只需要打开页面、输入兑换码并选择门店。至于具体使用哪个会员账号、如何完成支付和怎样生成取餐码，均由核心平台统一处理。

1.3.1 销售渠道主要集中于头部电商平台及二手交易平台

威胁猎人进一步对渠道字段、外部订单号、兑换凭证和最终使用状态进行分析后发现，下游代理主要通过社群、头部电商平台及二手交易平台等渠道向消费者销售兑换码。

在这一模式中，核心平台与下游代理形成了明确分工。

1.3.2 头部代理集中出货：下游已形成稳定分销网络

从代理集中度来看，某头部电商渠道Top3代理贡献了近8成的外部订单，而在某头部二手交易渠道中，订单则几乎全部集中在少数头部代理手中；这说明平台下游并不是大量零散卖家随机出货，而是存在明显的头部代理集中分销特征。

与此同时，平台还存在批量预生成兑换凭证的“直发库存”模式，某餐饮品牌仅一个代理就持有超过5万张预生成凭证，表现出明显的批量备货和后续分销特征。

从表面看，代下单似乎是一种“低价进货、高价卖出”的订单差价生意。但从平台账号、订单和支付数据来看，黑产变现的不是套餐差价，而是品牌补贴形成的权益资产。

这些资产包括储值余额、新人权益、生日券、早餐订阅卡等。它们原本由品牌投入营销成本，用于拉新、促活、提高储值和促进会员复购；黑产通过批量账号和技术平台，将原本分散在会员体系中的权益集中起来，再通过代下单转换成真实商品。

整条链路实际上完成了两次转换：

品牌的营销预算，首先被转化为会员账号中的储值和优惠权益；随后，这些权益又被黑产通过真实商品和代理渠道转化为现金。

从该案例的资金规模来看，这套代下单系统已经形成百万元级的资金流转，截至调查时间，该代下团伙累计对外销售的金额高达230万元。

这正是代下单黑产与普通消费者偶尔使用优惠之间的本质区别。个人消费者使用一张优惠券，是一次消费行为；黑产批量控制账号、集中获取权益、自动生成订单并通过代理渠道销售，当上游资源、自动化生产和下游分销连接起来，品牌原本用于拉新、促活和会员经营的权益，就被黑产重新包装成了一种可以批量生产、代理分销和持续变现的商品。

从单笔交易来看，代下单似乎只是消费者以更低的价格买到了一份套餐。但当这种行为被黑产批量化、自动化并通过代理渠道持续放大后，品牌承担的就不只是优惠权益损失，还包括营销成本转移、经营数据污染和价格体系受冲击等一系列风险。

而对消费者而言，选择“代下单”看似可以节省一部分费用，但实际交易并非通过品牌官方渠道完成。提交手机号、地址、门店及订单等信息，都被留存在黑产平台中，一旦平台遭到数据泄露，或相关信息被黑灰产二次打包和交易，这些数据就可能被用于精准营销、诈骗引流、账号关联等活动，表面上节省的是一笔订单费用，实际承担的却可能是个人信息泄露、纷以及非官方渠道带来的长期风险。

围绕平台规则、营销补贴和信息差进行套利，长期以来都是黑灰产的重要获利方式，也始终是平台风控需要持续面对的问题。

威胁猎人在后续复测中也发现，相关黑产平台会主动下线高风险资产、迁移业务入口并调整部署方式，说明其运营形态并非静止不变。只有持续更新对代下单黑产资源、技术手法和分销渠道的认知，并结合长期威胁情报监测，品牌才能更早发现风险变化，减少营销权益被系统性套取，并维护正常的会员经营体系与市场交易秩序。

因此，对代下单黑产的治理不能只依靠封禁个别账号、限制优惠券次数或拦截某一笔异常订单。品牌需要同时关注账号注册、权益领取、订单行为、设备与网络关联，以及外部电商店铺、代理社群和独立下单页面等多个环节，从单点风控转向对整条产业链的持续识别和治理。

专注黑灰产情报和反欺诈技术研究

如您的企业也有类似问题

请咨询威胁猎人安全专家

2025年下半年起，在监管持续收紧、金融机构风控不断升级的背景下，金融黑灰产整体活跃空间受到压缩，但风险并未消失，而是加速向真实化、精细化和产业化方向演变。职业背债、企业贷、消费贷、房贷和车贷等场景均出现新的操作方式。基于威胁猎人长期监测到的风险情报，威胁猎人发布《2026年上半年信贷欺诈研究报告》，报告将重点拆解2026年上半年信贷欺诈手法及主要场景的最新变化。

总体来看，信贷欺诈正在从“伪造数据”转向“操纵真实数据”，从单点材料造假转向跨场景、跨角色的产业链协同。金融机构需要重点识别真实数据背后的形成目的、业务背景和关联关系。

以下是报告正文

1.1 2026年上半年金融恶意欺诈舆情较2025年上半年同比增长37%

2026年上半年威胁猎人共捕获金融贷款舆情达358万条，恶意贷款欺诈舆情112万条，占总量31%，恶意贷款欺诈舆情较2025年上半年同比增长37%，较2025年下半年环比增长2%。

2026年上半年威胁猎人共监控到活跃金融贷款群组3.1万个，其中恶意欺诈群组1.4万个，占总量45%，活跃金融贷款群组较2025年下半年增长32%，恶意欺诈群组较2025年下半年增长17%。

2026年上半年威胁猎人共捕获活跃贷款服务账户22.8万个，其中提供恶意贷款服务的欺诈账户（信贷黑中介/黑产）5.6万个，占总量24%。

1.2 2026年上半年恶意贷款欺诈业务类型热度TOP3：企业贷、信用贷、车贷

2026年上半年恶意贷款欺诈业务类型热度排名前五的是：企业贷、信用贷、车贷、公积金贷、房贷

1.3 2026年上半年恶意贷款主要欺诈类型TOP3：职业背债、债务优化、代理续贷

2026年上半年数据显示，恶意贷款主要涉及职业背债、债务优化、代理续贷、违规提额、征信修复、材料造假、融车欺诈、债务重组等超过10类欺诈行为。

其中职业背债风险占比高达28%，居首位，为黑产核心攻击手段；债务优化、代理续贷、违规提额分别位列第二、第三、第四位，违规提额增速明显。

1.4 2026年上半年恶意贷款欺诈风险地区TOP5：四川、湖南、山东、广东、安徽

其中四川地区风险值明显高于其他地区。

1.5 2026年上半年恶意贷款欺诈风险城市TOP5：上海、重庆、北京、成都、青岛

其中上海、重庆风险舆情远高于其他城市。

2.1  信贷黑灰产欺诈手法新变化

2025年下半年以来，在监管对金融黑灰产的严打与金融机构风控升级下，治理成效逐步显现，但受高额利益驱动，黑产仍在持续调整并衍生出新的欺诈模式。

当前新型欺诈模式集中表现为以下三个方面：

1、攻击技术升级化： 面对金融机构日益完善的反欺诈防御体系，黑灰产已逐步摒弃简单粗暴的伪冒包装方式，转向规模化、系统化的技术攻击升级。典型手段包括：开始规模化利用插件劫持官方数据以替代纸质材料、伪冒App造假实施信息包装，技术对抗能力显著增强。

2、欺诈手法真实化： 低成本、粗放式的包装手段逐渐失效，黑产转向更高精度的“真实化”包装策略。具体表现为：通过真实补缴方式包装个人资质以通过直连核验；通过真实经营与“真实数据”组合包装打造看似正常的企业画像；甚至通过假结婚构建夫妻共签关系以规避审查，显著提升了欺诈识别难度与通过率。

3、角色分工产业化：为提升欺诈通过率，黑产组织通过跨区域、跨环节的资源整合，已构建起分工明确、闭环运转的独立欺诈产业链。产业链内部形成严密的“上中下游”核心角色层，各层级各司其职，精准对接不同金融服务渠道，确保欺诈行为高效、有序推进。

黑产在各场景中的欺诈手法与表现亦呈现差异化演变，具体如下：

各场景具体分析，详见第四章。

职业背债风险，是指与职业背债行为相关的信贷风险，主要涉及住房按揭、汽车消费贷、企业经营贷及个人消费贷等各类贷款场景。

3.1 2026年上半年职业背债风险舆情量较2025年下半年下降31%

2026年上半年，威胁猎人监测系统共捕获职业背债风险舆情超22万条，其中，2026年上半年舆情量较2025年下半年下降31%。

2026年上半年，国家持续加大对黑灰产的打击力度，部分黑产团伙被依法查处，其余从业者活动空间显著收窄，进一步推动舆情走低。

3.2 2026年上半年背债地区热度TOP5省份：四川、重庆、广东、山东、河南

3.3 2026年上半年背债城市热度TOP5城市：重庆、成都、上海、深圳、广州

2026年上半年监测数据显示，重庆地区的背债风险舆情规模显著高于全国其他城市，居各城市之首。威胁猎人研究人员分析后发现：

重庆房贷背债已形成较完整的区域性产业链。

威胁猎人数据显示，重庆房贷背债风险集中度较高，相关舆情占当地背债舆情的36%。与其他地区相比，重庆已形成由房源方主导的房贷背债闭环产业链，覆盖房源获取、人员招募、资质包装、贷款申请与资金套现等环节，呈现组织化、闭环化和分工精细化特征。完成单笔房贷后，背债人还可能被调配至其他地区或继续办理其他类型贷款，形成跨区域、跨场景的人员循环利用与风险扩散。

该部分黑产详细操作手法分析，详见4.1.3 房贷场景分析

3.4 职业背债黑产加速升级：背债人群优质化、包装真实化、内部分工精细化

2026年上半年，在监管持续加码和金融机构风控不断收紧的背景下，职业背债黑产的生存空间明显收窄，作恶成本上升、贷款通过率下降，部分团伙被查处、转型或退出。

但风险并未消失，部分黑产开始主动升级作案模式，由过去低成本、粗放式的材料造假，转向更精准的客群筛选、更真实的资质包装和更隐蔽的产业链协同。

背债黑产作案模式迭代升级，其核心特征集中体现在以下三个方面：

1、客户画像全面升级：从“高龄三无”转向“年轻优质”

黑产对“背债人”的筛选标准大幅提高。年龄50—60岁的群体已从过去的“可消化”变为“被嫌弃”，甚至45岁以上且资质较差的客户，黑产已普遍拒收。与此同时，目标人群从“三无人员”转向具有一定真实资质的群体，采取“真实资质+轻度包装”的组合模式，以规避金融机构风控筛查与合规审查。

2、欺诈手法日益逼真：高成本投入换取高通过率

为提升贷款申请通过率，黑产开始投入更高成本，采用更真实的包装手段，如通过真实账户虚增经营数据、利用真实补缴虚增工作年限与收入水平等。这一趋势导致黑产作案成本明显上升，利润空间受到进一步挤压，但也使其骗贷行为更具隐蔽性和欺骗性。

3、核心角色分工切割化：以“隔离断层”规避合规风险

为降低被追踪和查处的风险，背债产业链内部分工日趋精细，各环节各司其职。同一黑产团伙的组织架构被有意拆分为多个独立单元，每个单元仅负责单一环节，不掌握上下游流程信息，通过信息隔离与组织断层的方式，阻断风险核查链条，提升自身安全性。

4.1 房贷欺诈风险现状分析

4.1.1 2026年上半年房贷欺诈风险舆情较2025年下半年下降21%

4.1.2 2026年上半年房贷欺诈地区热度TOP5省份（含直辖市）：重庆、四川、贵州、山东、河南

4.1.3 2026年上半年房贷欺诈地区热度TOP5城市（含直辖市）：重庆、成都、贵阳、广州、深圳

前文提到，相比其他地区，重庆背债领域的房贷风险欺诈手段尤为突出，且运作模式已呈现高度组织化、闭环规模化、分工精细化等特征。具体表现如下：

4.1.4 （核心变化）高压之下，房贷欺诈模式与利润空间同步收缩

随着按揭贷款欺诈案件持续曝光、银行风控政策不断收紧，职业背债黑产在房源选择、客户筛选和套利方式上均发生明显变化。

1、操作模式三大转变

2、利润空间显著压缩

受上述风控升级影响，黑产操作单套房产的套利空间大幅收窄，利润较以往下降约一半。以贷款额100万元的房产为例：

• 历史水平：扣除黑产相关费用后，支付至借款人端（背债人）的金额约为5万—10万元；

• 当前水平：支付至借款人端（背债人）的金额已降至2万—5万元；

• 极端情况：部分小额房贷中，背债人到手金额甚至仅有1万元或更少。

整体来看，房贷已不再是职业背债黑产的主要利润来源，而更多被用于构建资产记录、提升表面资质，为后续背债链条申请其他类型贷款提供增信。

4.2 企业贷欺诈风险现状分析

4.2.1 2026年上半年企业贷欺诈舆情持稳，2026年上半年较2025年上半年同比增长19%

4.2.2 2026年上半年企业贷欺诈地区热度TOP5省份（含直辖市）：湖南、安徽、四川、河北、山东

4.2.3 2026年上半年企业贷欺诈地区热度TOP5城市（含直辖市）：合肥、青岛、长沙、重庆、石家庄

4.2.4 （核心变化）2026年上半年企业贷欺诈风险态势：码牌增量与科技提额风险突出

2026年上半年，企业贷款欺诈风险舆情较2025年下半年发展持稳，风险欺诈类型主要集中于五大类别：以“空壳主体”为核心的企业背债、以篡改数据为手段的科技提额、涉及抵押物高估的经营性抵押贷欺诈、以商户陪跑刷收款码流水虚增经营数据的码牌增量，以及通过虚构经营数据实施的包装骗贷。其中，码牌增量与科技提额增长较快，成为当前企业贷场景中最值得关注的两类风险。

4.2.4.1 码牌增量是传统刷流水的迭代升级

2026年上半年码牌增量欺诈风险舆情较2025年下半年环比增长87%

码牌增量是传统刷流水手法的进阶形态，黑产通过构建商户代销假象，实则组织全国商户线上互刷流水，虚增经营数据、虚构贸易背景，操控真实的银联清算流水，营造订单量、营业额、营收稳步增长的假象，从而骗取银行贷款。

其核心特点为：交易真实但需求虚假，数据可查但背景伪造。与其他刷流水方式对比差异如下：

4.2.4.2 科技提额升级：从技术篡改走向“技术＋关系”复合攻击

2026年上半年，科技提额欺诈风险舆情呈持续攀升态势，较2025年下半年增长10%

科技提额是黑产通过非法篡改企业经营数据、虚增营收规模与经营实力等手段，欺诈性提升企业在金融机构的授信额度，骗取金融机构贷款的行为。其核心逻辑在于通过“数据美化”实现企业资质的虚假升级，使原本不符合授信条件的企业获得远超其实际经营能力的信贷额度。

当前科技提额欺诈手法正经历重要转变：

1. 从纯技术攻击转向“技术+关系”复合模式：早期科技提额主要以篡改数据、伪造财务报表等技术手段、攻击线上产品为主；如今黑产更倾向于线下渗透银行内部关系，通过贿赂、利益输送等方式打通银行信贷审批环节，形成“技术篡改数据+行口内部放水”的复合攻击模式。 

2. 欺诈策略呈现区域选择性：黑产会根据不同地区银行的风控策略差异、授信政策宽松程度、内部管理漏洞等因素，有选择性地实施欺诈，在风控较弱的区域集中攻击，在政策收紧后迅速转移，形成动态迁移的作案特征。 

3. 从单点突破向系统化攻击升级：科技提额已不再是孤立的技术行为，而是与企业背债、包装骗贷、码牌增量等其他欺诈手法相互配合，形成针对同一企业的多维度、系统化攻击链路，进一步加大了银行防范难度。

4.3 购车贷款欺诈风险现状分析及主要变化

4.3.1 2026年上半年，购车贷款欺诈风险舆情较2025年下半年下降8%

4.3.2 2026年上半年购车贷款欺诈地区热度TOP5省份：广东、四川、山东、安徽、河北

威胁猎人研究发现，2026年上半年，广东省购车贷款欺诈风险显著高于全国其他地区，居各地区之首。从月度走势看，风险舆情于5月集中爆发，达到上半年峰值；进入6月后，相关舆情出现大幅回落。

广东地区购车贷款欺诈手法较其他地区更为隐蔽，具体表现为：客户筛选上，从“来者不拒”转向精准锁定有真实资质、急缺资金的优质目标；操作手法上，放弃过度包装，改用真实资质+轻度包装的新模式，规避风控与合规审查。

监测显示，广东地区汽车贷款欺诈风险已从新车市场大范围蔓延至二手车市场，两类业务舆情均维持高活跃度，区域整体融资欺诈风险处于较高水平。

4.3.3 2026年上半年车贷欺诈地区热度TOP5城市：深圳、重庆、上海、杭州、西安

4.3.4 2026年上半年车贷欺诈风险品牌分布显示，风险主要集中在高端燃油车及某头部新能源品牌

4.3.5 2026年上半年购车贷款欺诈风险舆情呈普降态势

威胁猎人监测数据显示，2026年上半年全国购车贷款欺诈风险舆情总量呈现下降态势，绝大多数地区风险水平较2025年下半年有所回落。

从地区结构看，仅16%的区域风险舆情环比正增长，且涨幅整体偏弱，其中上海、山西、天津、陕西四地增长率超过10%，但增长动能有限。与此同时，84%的地区风险舆情呈负增长，其中重庆、贵州、北京、湖南下降幅度均超过50%，表明这些区域的购车贷款欺诈风险得到明显遏制。

购车欺诈风险整体风险下行主要与监管政策收紧及联合打击力度加大密切相关。在严打态势下，黑产有所忌惮，部分暂缓欺诈活动以避风头，部分则开始转型或退出，致使整体舆情活跃度明显回落。

4.4 消费贷欺诈风险现状分析及主要变化

4.4.1 2026年上半年消费贷欺诈风险舆情较2025年下半年下降9%

4.4.2 2026年上半年消费贷欺诈风险地区热度TOP5省份：四川、贵州、山东、河南、重庆

4.4.3 2026年上半年消费贷欺诈风险城市热度TOP5城市：重庆、贵阳、成都、唐山、太原

4.4.4 2026年上半年消费贷骗贷升级：真实补缴成为主流

在与金融机构的持续攻防博弈中，黑产攻击手法也在不断演变，近半年呈现显著升级：从以往依赖技术伪造的纯虚假包装，正规模化转向采用真实数据包装，即通过真实补缴等方式大幅提升欺诈行为的仿真度。

从技术伪造到“真实补缴”，黑产的欺诈手法、目标客群画像、操作周期及资金流转等核心要素均发生显著变化。新旧模式具体特征对比如下：

以下为黑产在对抗前后不同阶段发布的消费贷骗贷招募广告样例。通过对比这些样例，可以清晰观察到黑产在目标客户画像及操作模式上的演变趋势。

关于真实补缴场景的具体变化，可阅读：【信贷欺诈】2026年消费贷骗贷新变化：“真实补缴”成为主流手法

2026年上半年，在监管整治与金融机构风控持续升级的背景下，部分信贷欺诈场景有所回落，但黑产并未退出，而是加速向真实化、精细化和产业化方向演变。职业背债、房贷、企业贷、消费贷与车贷等场景均出现新的操作方式，真实补缴、码牌增量、科技提额等手法进一步提升了欺诈的隐蔽性和识别难度。

作为长期深耕金融情报与风险研究领域的专业机构，我们始终坚持对黑产动态的深度追踪、对攻击逻辑的精准拆解、对风险趋势的前瞻研判，致力于为行业提供前沿、务实、可落地的风险洞察与应对参考。本报告所呈现的分析与发现，仅是我们阶段性研究成果的缩影。我们深知，在这场没有终局的动态博弈中，只有持续追踪、专业研判与开放合作，才能构筑起真正主动、前置的防御屏障。

继《2026年上半年互联网黑灰产研究报告》发布后，威胁猎人进一步将观察视角聚焦于企业品牌风险场景，正式发布《2026年上半年企业品牌外部风险研究报告》。

2026年上半年，企业品牌保护正在经历一次深层转变，从处置单一仿冒资产，转向保护企业与用户之间的可信连接。数据泄露、身份冒用、渠道截流与公开披露等风险，正在从不同位置共同影响品牌身份、官方渠道、客户关系与公共声誉。

威胁猎人情报研究团队围绕品牌外部风险全景、风险形成机制、重点行业差异与典型案例四个板块，梳理五项核心判断；这五项判断共同呈现出一套相互关联的风险变化：品牌保护由此不再只是发现和下架仿冒资产，而是需要同时识别信息暴露、渠道滥用及其对用户信任的持续影响。

01

品牌外部风险的两类核心风险面

企业外部风险并非只集中于某一个仿冒页面或某一次数据泄露事件。数据和身份可能在企业控制范围之外持续流通，用户触点也可能分散在搜索、内容、社交、下载和私域渠道之中。品牌保护面对的核心问题，正在从“是否存在假冒资产”扩展为“企业与用户之间的可信连接是否仍然可识别、可控制”。

1.1 品牌保护围绕四类对象展开

围绕上述四类保护对象，企业面临的外部风险可以概括为两类相对独立的风险面：数据、身份与权限暴露，以及品牌、渠道与流量滥用。二者既可独立发生，也可能相互叠加，共同影响客户关系、用户信任和品牌声誉。

1.2 数据泄露事件总量小幅增长，重大风险向暗网集中

2026年上半年，经数据泄露情报平台验证确认的有效数据泄露事件共23,645起，较2025年下半年的22,102起增长6.98%。其中，暗网渠道记录由2,353起增至4,952起，增幅明显高于整体事件增幅。

与总体事件量相比，重大数据泄露风险事件增长更为明显。2026年上半年共确认重大数据泄露风险事件542起，较2025年下半年的441起增长22.90%。

本报告所称重大数据泄露风险事件，是指数据量级较大、字段敏感度较高、涉及核心业务信息、被公开披露，或可能造成较大合规、声誉及公共安全影响的事件。

其中暗网渠道在重大风险事件中的占比由76.64%升至95.02%，增加18.38%。暗网已成为重大数据泄露风险公开披露和传播的主要外部渠道。

从已识别的风险来源看，泄露数据涉及第三方服务、短信通道、运营商流量、系统渗透、API越权和内部权限等多个环节，反映出企业数据暴露面已从单一系统安全问题，延伸至供应链、通信链路和权限管理等多类外部及内部节点。

企业面临的风险已不再局限于“数据是否泄露”，还包括外部主体掌握了哪些业务数据、账号与访问权限，企业名称、数据样本和攻击声明是否被公开披露并持续扩散，以及这些信息是否持续影响客户、合作伙伴以及外部舆情压力。

1.3 品牌与渠道滥用：用户接触风险分布在多类入口

2026年上半年，威胁猎人共监测到钓鱼仿冒与品牌滥用风险事件45,321起。相关风险出现在搜索结果、仿冒网站、社交媒体、客服电话、应用程序和下载渠道等多类用户主动搜索入口。

从风险类型分布看，SEO污染记录20,726起，占比45.73%；仿冒网站占比29.56%。搜索结果和仿冒页面仍是品牌被滥用的重要位置：前者可能在用户寻找客服电话、账户异常处理、退款理赔、贷款办理或应用下载时截获需求，后者则可能承担信息收集、恶意下载、假客服联系或资金欺诈等承接作用。

2026年上半年，SEO污染、仿冒网站、仿冒社交媒体、仿冒客服电话、仿冒应用、非授权下载渠道和侵权网站等多类入口在半年内持续并行，品牌滥用并未集中于单一渠道。

用户对企业的信任，既来自企业名称、网站、账号和客服电话等身份标识，也来自对方能否准确说明与自身相关的业务信息。信息暴露可能为外部主体提供真实业务细节，身份冒用则提供接触用户的入口。两类风险虽然表现形式不同，但都会削弱用户识别真实企业身份、官方渠道和正常业务关系的能力。

品牌保护需要同时关注外部主体可能掌握的信息，以及企业身份可能被冒用的入口。只有将信息暴露与身份冒用并行观察，才能更完整地识别用户信任和官方渠道面临的风险。

02

品牌外部风险如何形成？

第一章呈现了两类风险的规模和分布，本章进一步回答这些外部信号如何进入企业与用户之间的可信关系。风险形成于信息、身份、入口和公共传播等不同位置，并不遵循一条固定的攻击链。

客户接到客服、催收、退款处理或账户异常处置相关通知时，判断对方是否可信的重要依据，往往是对方能否说出与自身业务经历相符的细节。机构名称、金额、时间、状态和联系方式等字段一旦进入外部渠道，黑产无需掌握完整档案，也可能通过字段组合还原一段足以支撑冒充的客户背景。

从风险形成过程看，最初暴露的可能只是分散字段；经过筛选、交叉比对和按业务阶段分类后，字段可以转化为对象画像和话术线索。而真正面向用户的风险发生在下一步：黑灰产借用企业身份，通过电话、短信、社交账号或仿冒页面接触用户，让真实业务细节成为错误信任的依据。

企业可以通过漏洞修复、账号处置和供应商整改，阻断新的数据暴露与滥用路径，但这些措施无法自动清除已经外流、复制和转存的数据。即使初始安全事件已经完成处置，相关数据仍可能被黑灰产反复利用。因此，客户关系风险往往不会随着安全事件结束而同步消失，而可能持续转化为身份冒用、精准诈骗、客户投诉和品牌信任受损等后续影响。

当用户主动搜索客服电话、贷款办理、账户异常处理、退款理赔或应用下载等信息时，往往具有明确的业务需求。黑产通过在搜索结果、内容页面、社交账号和广告位中投放虚假信息，冒充企业官方客服、业务渠道或合作机构，在用户进入官方网站或接触官方服务之前将其拦截。随后，黑产再利用二维码、跳转链接、中转页面或私域账号，将用户引导至仿冒网站、虚假客服或其他欺诈渠道。

截流入口本身未必是假页面。真实存在的内容平台、媒体页面或广告位也可能承载未经授权的品牌活动。因此，页面是否真实、发布主体是否获授权、跳转链路最终到达哪里，是三个需要分别判断的问题。第四章将以具体样本展示这一差异。

仿冒网站或应用、侵权网站和非授权下载渠道，都可能使用企业名称、商标、产品信息或应用素材，表面上具有较高相似性，但三类风险的识别依据和主要危害并不相同。判断时需要重点观察三个方面：相关主体是否伪造企业官方身份，网站或下载渠道是否获得品牌方授权，以及当前证据中是否已经出现账号窃取、恶意下载、虚假客服、诱导付款等直接欺诈行为。

三类风险之间可能发生转化。例如，非授权下载页在后续替换安装包或增加虚假客服后，风险性质会发生变化；侵权网站如果开始收集凭据或诱导付款，也不再只是品牌信息被未经授权使用。分类的意义在于准确描述当前证据，而不是把所有非官方入口都写成同一种欺诈。

03

不同行业面临的外部风险结构存在明显不同

不同行业所依赖的业务关系、用户触点和外部平台存在差异，品牌外部风险的主要载体、传播路径和影响结果也各不相同。

2026年上半年，金融相关行业在数据泄露风险和钓鱼仿冒风险中均处于较高位置。在23,645起数据泄露风险事件中，银行记录5,251起，占22.2%；消费金融记录3,359起，占14.2%。在45,321起钓鱼仿冒风险事件中，银行和消费金融分别占44.74%和16.33%，支付行业占5.74%。

这一分布反映出，金融行业既面临客户和业务信息进入外部渠道的风险，也长期受到仿冒网站、虚假客服、搜索引流和非官方应用等身份冒用问题影响。除金融行业外，电商、社交工具、软件应用、证券、快递、短视频和保险等行业也呈现不同规模的外部暴露。

3.1.1 金融行业真实业务数据外流加剧身份冒用风险

金融与借贷业务覆盖申请、审批、放款、支付、还款、催收和客户服务等多个环节，相关记录通常包含客户身份、业务状态、交易金额和联系方式等信息。一旦这些信息进入外部渠道，不仅可能造成个人信息和业务数据暴露，也可能被用于提高虚假客服、假催收和其他身份冒用行为的迷惑性。

据威胁猎人分析，在2026年上半年泄露的借贷数据样本中，放款料约占64.6%，申请料约占28.6%，其余主要涉及多头借贷等贷前查询信息。相关记录覆盖贷前申请、审批放款及贷后管理等不同业务阶段，表明外部流通的数据已不仅限于基础联系方式，还可能反映客户与金融机构之间的真实业务关系。

威胁猎人监测发现，较2025年下半年，2026年上半年借贷数据风险记录由5,807起增至6,016起；资产管理数据由428起增至799起；支付数据由310起增至730起,资产管理和支付数据的增幅较为突出。

相关借贷数据涉及国有大型银行、股份制银行、城商行和农商行、消费金融公司、网络小贷及助贷平台、互联网金融和科技企业等多类机构，反映出风险并非集中于单一机构类型，而是分布于金融服务链条的不同参与方。

从已识别的暴露环节看，主要涉及第三方服务、运营商流量、系统渗透、接口权限、内部人员和短信通道等多个节点。金融数据可能从机构自身系统流出，也可能出现在外包服务、通信链路、接口调用和合作机构等业务连接环节。

金融机构的品牌风险因此不仅表现为名称、网站或客服电话被冒用，也与客户业务信息是否脱离控制密切相关。当外部主体掌握贷款状态、交易金额、还款时间或服务记录时，冒充客服、催收或业务人员的内容更容易获得用户信任，并可能进一步引发信息泄露、资金损失、客户投诉和品牌声誉风险。

2026年上半年，电商行业共发现钓鱼仿冒风险事件6,736起，是资金交易类行业之外风险最集中的场景。

从风险类型看，仿冒网站是电商行业最主要的风险类型，共4,910起，占比72.89%；SEO污染1,171起，占17.38%；仿冒社交媒体359起，占5.33%。其中，仿冒网站与SEO污染合计占比达到90.27%，表明电商行业的钓鱼仿冒风险主要集中在“搜索引流”和“仿冒页面承接”两个环节。

相关风险通常围绕促销活动、订单异常、退款理赔、物流通知和平台客服等高频场景展开。攻击者利用用户对价格优惠、订单时效和售后处理的关注，通过搜索结果、内容广告或二维码截获需求，再将用户导向虚假活动页、登录页、支付页面或私域客服，实施信息收集、恶意下载或资金欺诈。

（某仿冒某电商平台网站页面）

2026年上半年，制造业重大数据泄露风险事件较2025年下半年的增长82.14%；零售业增长59.26%。制造业增幅更为突出，重大风险事件对企业生产经营、合作关系和公共声誉的潜在影响进一步上升。

在制造业与零售业发现的重大风险事件中，68.3%出现在勒索组织或相关站点的公开发布页面。企业名称、攻击声明和数据样本被公开展示，已成为相关风险进入客户、供应商、合作伙伴及公共传播视野的重要方式。

从2026年上半年中国地区制造业与零售业相关公开披露事件看，The Gentlemen记录23起，Qilin记录17起，事件数明显高于其他主体；Akira与Inc Ransom各记录10起，LockBit 5.0与DragonForce各记录9起。

整体上，相关事件呈现头部主体较为突出，同时参与主体较为分散，制造业与零售业持续成为勒索组织公开挂牌和发布攻击声明的重要目标。

注：上述数据仅反映威胁猎人监测范围内中国地区制造业和零售业相关事件，不代表相关组织在全球范围内的整体活跃情况。

2026年上半年，制造业与零售业重大风险事件中，超过三分之二通过相关组织或站点进入公开传播。

这意味着，相关风险的影响已不再局限于企业内部的技术处置。制造业事件可能进一步影响生产安排、供应商协作和业务连续性；零售业事件则可能直接触发消费者对交易安全、个人信息保护及服务可靠性的担忧。随着企业名称、攻击声明和数据样本被公开展示，客户信任、合作伙伴审查、供应链关系和公共声誉均可能受到持续影响。

2026年上半年共记录相关风险77,816起，其中仿冒社交媒体56,071起、商品侵权19,350起、其他风险2,395起。该总量不应与前述数据直接加总或横向比较。

注：游戏行业采用专项监测口径，与其他场景相比，监测对象和统计口径存在差异。

仿冒社交内容通常以福利、兑换码、稀缺资源或版本优势吸引玩家，再引导其进入私域渠道。商品侵权则主要涉及私服、BT服、修改版、成品账号、外挂、辅助和脚本等电商商品，直接造成收入分流，并可能影响账号安全、游戏公平性和用户体验。

在威胁猎人监测到的19,350起商品侵权专项记录中，私服、BT服及修改版7,933起，账号交易6,305起，外挂、辅助及脚本1,198起；游戏仿冒事件主要聚焦电商平台上的私服、账号和外挂等商品，与前文所述侵权网站属于不同风险形态。

（游戏行业仿冒社交媒体与商品侵权样本）

游戏风险的观察对象主要是社交账号和电商商品，难点在于平台分散、内容变体多、账号重建快和商品反复上架。其识别和处置路径，与金融行业围绕搜索入口、客服和高仿页面的风险路径明显不同。

*如需了解您所在的行业存在的风险，请联系威胁猎人

04

品牌外部风险典型案例

品牌外部风险很少停留在单一页面或一条数据记录上。内容发布、跳转控制、数据包装和身份冒用往往分散在不同环节。沿样本继续核验，有助于还原用户最终接触的内容及品牌被冒用的环节。以下是威胁猎人监测到的2个典型案例。

2026年上半年，威胁猎人发现一种利用媒体公信力实施仿冒引流的新型手法。黑灰产不再仅依赖自建网站或低权重社交账号传播，而是以“广告投放”名义接触融媒体、行业媒体及地方资讯类公众号，通过正规内容渠道发布冒用某头部电商品牌的促销文章，借助媒体账号的权威属性降低用户戒备。

典型文章正文仅包含活动长图和二维码，以连续签到免费领取日用品、小家电及智能数码产品为诱饵，引导用户扫码、下载安装应用并完成注册。经品牌方核验，相关活动并未获得授权，投放方提交的品牌授权文件及授权公章均系伪造。

（威胁猎人监测到的融媒体仿冒促销内容观测样本）

4.1.1 黑产作恶链路

与传统仿冒网站相比，该手法的风险重点不只在最终落地页面，更在于攻击者利用正规传播渠道完成“信任转移”。用户容易将“发布渠道可信”等同于“活动真实可信”；媒体运营方在广告审核过程中，也往往更关注资质文件、宣传内容和首次扫码结果，难以持续观察二维码背后的访问目标。由于二维码始终指向同一中转入口，服务端换链不需要修改文章内容或二维码图案。审核时看到的页面与用户后续访问的页面可能不同，常规审核和单次扫码因而难以及时发现异常。

该模式体现出三项明显变化：

• 传播渠道可信化。 黑灰产由低权重账号转向融媒体和地方资讯渠道，利用媒体影响力完成初次背书。

• 诱导内容图片化。 品牌名称、促销话术和二维码集中在活动长图中，减少可供文本规则识别的风险特征。

• 审核规避动态化。 二维码入口保持不变，后端访问目标可以分阶段调整，单次核验难以反映后续风险。

这类攻击会同时影响用户、媒体和被仿冒品牌：用户可能因信任发布渠道而降低核验意识；媒体账号可能在不知情的情况下成为风险流量入口；被仿冒品牌则需承担非官方活动引发的咨询、投诉和信任损耗。其危害已经从单一品牌冒用，进一步延伸至对媒体公信力和品牌渠道秩序的双重侵蚀。

假催收是信息暴露与身份冒用在同一业务场景中结合的典型案例。威胁猎人监测发现，部分诈骗团伙会从非法数据交易市场购买借贷用户数据，在获得用户的申请、放款或逾期信息后，再通过虚假催收短信、客服电话和高仿还款页面接触用户。用户面对的并非一条毫无依据的陌生信息，而是一套同时包含真实业务细节与企业品牌标识的“官方催收”假象。

4.2.1 真实业务信息先补足“催收”所需的细节

地下渠道流通的借贷数据通常按申请、放款和逾期等业务状态分类。除姓名、手机号等基础信息外，相关样本还可能包含贷款平台、申请或放款时间、借款金额、逾期状态及银行卡信息。与普通联系方式名单相比，这些字段能够还原用户与某一金融机构之间的真实业务关系，也为后续冒充客服或催收人员提供更具迷惑性的交流依据。

4.2.2 虚假短信和高仿页面共同强化“官方催收”假象

获得相关数据后，诈骗团伙通过催收短信、虚拟号码或社交工具向用户发起接触。短信内容可能直接出现贷款平台、借款金额、申请时间或逾期状态，并附带所谓的“查询合同”“协商还款”链接。用户点击后进入的页面进一步使用企业名称、标识、业务话术和还款流程，使前一环节中的真实业务信息得到视觉和渠道上的“验证”。

4.2.3 用户看到的是一条连续的“官方催收”链路

在这一过程中，真实业务信息回答了用户“对方为什么了解我的情况”，企业名称、短信、客服和还款页面则回答了“对方为什么看起来像官方”。两类信息在连续触点中相互强化，使用户更难识别真实服务主体与非官方渠道。

4.2.4 诈骗发生在企业边界之外，影响却会回到品牌方

假催行为虽发生在企业控制范围之外，但用户接触到的却是企业名称、真实贷款信息和高度相似的服务页面。一旦发生骚扰、信息泄露或资金损失，用户往往会将相关体验与被冒用的金融品牌联系起来，并进一步形成投诉、质疑和对官方催收渠道的不信任。

而即使初始数据暴露入口已经修复，进入地下渠道的历史数据仍可能被复制、转卖，并通过新的短信号码、客服账号和仿冒页面再次利用。因此，相关风险不会随着单一漏洞修复或页面下架自动结束，而可能以新的接触载体持续回到用户侧。

本报告由威胁猎人反欺诈情报研究团队基于长期监测数据、真实风险样本与行业治理实践编写。企业品牌外部风险不会止于单一仿冒页面或一次数据泄露，数据暴露、身份冒用、渠道截流与公开传播等风险仍将持续演变，并不断影响企业与用户之间的信任关系。威胁猎人将持续与各行业企业协同，共同提升品牌外部风险的发现、研判与处置能力，守护企业品牌安全与用户权益。

希望本报告能够帮助品牌保护、安全、风控及业务从业者更准确地理解企业品牌外部风险变化，识别不同行业的主要风险结构与形成路径，并为企业制定更具针对性的品牌保护和外部风险治理策略提供参考。

专注黑灰产情报和反欺诈技术研究

如您的企业也有类似问题

请咨询威胁猎人安全专家

2026年上半年，在监管打击、平台治理与企业风控持续加强的背景下，传统黑产资源有所收缩，但风险并未消退，而是加速向境外资源、更隐蔽的基础设施和更复杂的作恶链路迁移。

基于对互联网黑灰产生态的持续监测，威胁猎人反欺诈情报研究团队发布《2026年上半年互联网黑灰产研究报告》，系统呈现黑产资源变化、产业链演进及典型作恶场景。除本报告外，威胁猎人还将陆续发布《2026年上半年信贷欺诈风险研究报告》和《2026年上半年品牌外部风险趋势研究报告》，分别聚焦信贷欺诈、数据泄露，以及钓鱼仿冒、品牌侵权等重点风险场景。

2026年上半年互联网黑灰产研究报告概要

本报告的核心发现如下：

1.1.1 2026年上半年新增国内风险手机号总量较2025年下半年环比下降53.6%

2026年上半年，威胁猎人监测发现新增国内风险手机号总量出现下滑趋势，新增数量为351.6万，较2025年下半年环比下降53.6%。

从风险类型结构看，本轮总量下滑与国内猫池卡、拦截卡两类核心黑卡资源同步收缩高度相关：2026年上半年国内猫池卡较2025年下半年减少26.7%，国内拦截卡较2025年下半年减少68.35%。其中，拦截卡降幅更为显著，对整体新增风险手机号规模下降形成主要拉动。

1.1.2 2026年上半年猫池卡资源变化趋势

（1）2026年上半年国内猫池卡较2025年下半年减少26.7%

据威胁猎人情报平台数据显示，2026年上半年捕获新增猫池卡91.19万例，较2025年下半年环比下降26.7% 。

综合来看，发卡平台被攻击与主流接码平台阶段性停服共同削弱了国内猫池卡供给能力，是2026年上半年新增猫池卡规模下降的重要原因。

（2）2026年上半年新增猫池卡归属最多的三个省份为：重庆、广东、浙江

威胁猎人对2026年上半年新增国内猫池卡进行统计分析，发现重庆、广东、浙江三省（含直辖市）为猫池卡归属地最多的三个省份。

（3）2026年上半年新增猫池卡归属最多的三个城市为：重庆、长沙、成都

威胁猎人对2026年上半年新增国内猫池卡进行统计分析，发现重庆、长沙、成都三地为猫池卡归属地最多的三个城市。

（4）2026年上半年捕获的新增猫池卡中，归属国内四大运营商的占81.71%

威胁猎人情报数据显示，2026年上半年监测到新增猫池卡91.19万例，其中归属国内四大运营商的猫池卡占比81.71%，归属虚拟运营商的猫池卡占比为18.29%。

1.1.3 2026年国内拦截手机卡资源变化趋势

拦截卡：黑产通过病毒木马劫持手机短信收发权限，从而控制的手机号码，号码主人为正常用户。

（1）2026年上半年国内拦截卡较2025年下半年减少68.35%

据威胁猎人情报平台数据显示，2026年上半年，威胁猎人捕获新增拦截卡达202.3万，较2025年下半年减少68.35%。

2026年上半年国内拦截卡新增规模大幅下降，核心原因之一是拦截卡供给侧在年初出现了明显收缩。多个拦截卡相关群组在1月至3月期间陆续发布"停机"、"关服"等公告，说明部分拦截卡平台、号商和通道在年初主动停服、暂停更新或退出供给，导致拦截卡新增供给断档。与此同时，6月下旬群组中又出现"拦截卡商被监管打击"、"市面号商、卡量较少"等信息，反映拦截卡市场仍处于供给不稳定、可信货源减少的状态。

（2）2026年上半年拦截卡归属最多的三个省份为：四川、河南、山东

针对2026年上半年捕获到的国内拦截卡统计分析发现，四川、河南、山东三省为拦截卡归属地最多的三个省份。

（3）2026年上半年新增拦截卡归属最多的三个城市为：重庆、成都、菏泽

威胁猎人对2026年上半年新增国内拦截卡进行统计分析，发现重庆、成都、菏泽三地为拦截卡归属地最多的三个城市。

（4）2026年上半年捕获的新增拦截卡中，归属国内四大运营商的占97.89%

2026年上半年威胁猎人情报运营平台捕获新增拦截卡达202.3万张，归属国内四大运营商的拦截卡占比达97.89%，虚拟运营商拦截卡占比为2.11%。

1.1.4 2026年[非中国大陆地区恶意手机卡]资源变化趋势

非中国大陆地区：包含中国香港、中国澳门、中国台湾及其他海外地区。

（1）2026年上半年非中国大陆地区猫池卡较2025年下半年增长110.55%

据威胁猎人情报平台数据显示，2026年上半年捕获新增猫池卡294万例，较2025年下半年环比增长110.55%。

结合黑灰产侧情况，2026年5月海外某头部接码平台集中上线了一批猫池卡，短期内显著扩大了可用卡源供给，使大量新增号码进入接码流通链路并在平台被捕获。观察该平台，呈现每年规律性批量放卡特征，并非偶发性异常批量放卡，反映非中国大陆地区黑产供给侧较为稳定。

（2）2026年上半年非中国大陆地区新增猫池卡归属地TOP3：美国、加拿大、沙特阿拉伯

威胁猎人情报数据统计显示，2026年上半年非中国大陆地区新增猫池卡归属地主要集中在美国、加拿大、沙特阿拉伯。

1.2.1 2026年上半年日均活跃风险IP总量较2025年下半年环比下降16.31%

2026年上半年，威胁猎人监测发现日均活跃风险IP数量持续下降，风险IP数量达到1165万，较2025年下半年下降16.31%。

2026年上半年海外作恶 IP 数量下降，与全球住宅代理网络及海外代理平台基础设施遭到集中打击有关。2026年1月，某头部全球大型住宅代理网络平台关闭了数十个用于控制设备和代理流量的域名，部分代理节点失效，代理服务可用性下降，黑灰产可调用的代理资源受到压缩。

1.2.2 2026年上半年国内作恶IP资源分析

（1） 2026年上半年国内作恶IP有4631万个，环比2025年下半年下降5.3%

（2）2026年上半年国内作恶IP归属省份TOP3：广东、浙江、河南

威胁猎人情报数据统计显示，2026年上半年国内活跃的作恶IP归属省份（含直辖市）主要集中在广东省、浙江省和河南省。

（3）2026年上半年“劫持共用代理”IP攻击占总量83.91%，IP资源供应更稳定、计费模式更多元

威胁猎人对代理IP平台持续监测，从2026年上半年捕获数据来看，“劫持共用代理”IP月均捕获数量达1630万。

由于这类IP大部分时间是正常用户使用，如进行点击、充值、浏览等行为，少量时间会被黑产劫持共用，出现短暂的作恶行为，因此平台可能会认定该用户为正常用户，进而忽视其短暂的作恶行为，给黑产可乘之机。

（4）IP画像升级：新增静态代理IP覆盖能力

针对黑产利用静态代理IP伪造用户位置、规避风控策略并发起批量攻击的风险场景，威胁猎人IP画像能力新增静态代理IP识别覆盖。该能力通过持续沉淀静态代理IP资源特征与行为模式，实现对异常代理网络的精准识别与覆盖。

数据显示，静态代理IP月度去重覆盖规模整体保持在40万以上，并在2026年5月提升至52.5万，较2025年11月增长约26.6%，覆盖能力持续增强。该能力可辅助客户识别虚假注册、刷单、薅羊毛、批量登录等风险行为，提升业务风控拦截的准确性与前置识别能力。

1.2.3 2026年上半年国外作恶IP资源分析

（1）2026年上半年捕获国外作恶IP 974万个，环比2025年下半年下降16.1%

（2）2026年上半年国外作恶IP归属国家TOP3：美国、巴西、印度

威胁猎人情报数据统计显示，2026年上半年国外活跃的作恶IP国家主要集中在美国、巴西和印度。

威胁猎人发现不同国家的作恶IP类型分布存在差异，如下是国外TOP3国家的黑IP类型分布。

1.3.1 2026年上半年洗钱银行卡资源分析

（1）2026年上半年涉及洗钱的银行卡中，涉赌卡占比最大，占比68.87%

威胁猎人对2026年上半年监控到的8万张洗钱银行卡进行分析后发现，风险类型主要集中在涉赌卡与涉诈卡两大类。其中涉赌卡占比最高，占比达到68.87%。

（2）2026年上半年洗钱银行卡中六大国有银行占比保持稳定，较2025年下半年变化不大

（3）2026年上半年涉及洗钱的银行卡归属城市中，TOP3城市分别是：深圳、重庆、广州

1.3.2 2026年上半年洗钱对公账户资源分析

（1）2026年上半年洗钱对公账户新增环比下降70.81%，相关洗钱团伙减少21.29%

2026年上半年威胁猎人监测数据显示，用于洗钱的对公账户新增数量较2025年下半年下降70.81%，相关洗钱团伙数量同步减少21.29%。整体来看，对公洗钱活动规模和组织化程度均明显收缩。

主要原因是黑产资金通道连续受挫：2025年5月“好旺”、2026年1月“土豆担保”先后被连续打击，黑产资金流转渠道被反复切断；同时担保体系频繁出问题，黑产内部信任下降，协作受阻，进一步压缩了洗钱活动空间。

（2）2026年上半年洗钱对公账户所属银行中，呈现从农村信用社转向六大国有银行的趋势

2026年上半年威胁猎人监测数据显示，洗钱对公账户的银行分布发生明显变化：农村信用社占比由2025年下半年的17.55%下降至6.78%；六大国有银行占比则由11.66%上升至20.34%。整体来看，洗钱对公账户出现从农村信用社向六大国有银行转移的趋势。

（3）2026年洗钱对公账户归属省份中，TOP3省份是广东、江苏、浙江

（4）2026年洗钱对公账户归属城市中，TOP3城市是深圳、上海、成都

（5）2026年洗钱对公账户归属行业中，TOP3行业是批发业、商务服务业、零售业

1.3.3 2026年上半年洗钱商户资源分析

（1）2026年上半年被黑产用来洗钱的商户数量环比下降48.23%

2026年上半年，黑产用于洗钱的商户数量环比2025年下半年下降48.23%，呈明显下降趋势。主要与上述担保类黑产通道被打击有关。

（2）2026年上半年洗钱商户归属省份中，TOP3省份是广东、广西、湖北

（3）2026年上半年洗钱商户归属城市中，TOP3城市是广州、武汉、深圳

（4）2026年上半年洗钱商户归属行业中，TOP3行业是零售业、批发业、餐饮业

1.3.4 2026年上半年洗钱受害人资源分析

（1）2026年上半年涉诈交易以手机银行转账为主，占比达72.46%

威胁猎人基于上半年新增监测到的3.5万笔受害人涉诈交易数据分析，手机银行转账在诈骗资金流转环节中占据主导地位，占全部涉诈交易的72.46%，是黑产引导受害人完成资金转出的主要渠道。

（2）2026年上半年涉诈交易中，资金转出方与黑产收款方银行均高度集中于六大国有银行

威胁猎人监测涉诈交易数据显示，受害人资金转出银行中，六大国有银行占比达69.97%；黑产洗钱收款银行中，六大国有银行占比达59.43%。数据显示，涉诈资金流转链路中的收付款双方银行均呈现较高集中度。

（3）2026年上半年涉诈交易峰值集中在14:00–16:00

威胁猎人分析发现，2026年上半年涉诈交易时间分布呈现2个特征：

（4）2026年上半年涉诈转账金额集中于千元整数档，1000元和5000元最明显

威胁猎人对涉诈交易金额分布分析发现，受害人涉诈转账金额并非随机分布，而是在多个整数金额区间出现明显聚集，主要集中在约1000元、2000元、3000元、4000元和5000元附近。

其中，1000元和5000元附近的交易数量更为突出，表明黑产在引导受害人转账时，倾向于围绕特定金额区间进行操作，部分金额档位可能已成为涉诈资金转移中的常见额度。

1.4.1 2026年上半年临时邮箱域名占比达66.09%，新增规模较25年下半年增长50倍

威胁猎人在2026年上半年新增临时邮箱域名15.92万个，占新增邮箱域名总量的66.09%。较2025年下半年，新增规模增长约50倍。增长主要来源于全球400+主流临时邮箱服务站点，显著提升了临时邮箱识别能力。

2.1.1 2026年上半年业务欺诈风险态势

2026 年上半年，威胁猎人反欺诈情报平台累计捕获业务欺诈风险线报约 9 亿条。峰值出现在 6 月，约 2.43 亿条，占上半年超四分之一。黑产活动量本质上跟随平台营销预算的投放节奏：补贴集中投放的大促节点，就是黑产集中收割的节点。

上半年共预警业务欺诈风险事件 2088 起，二季度 1302 起，较一季度（786 起）增长约 65.54%。与线报量的单点冲顶不同，事件量自 4 月起连续三个月维持在 400 起以上；黑产不是在大促节点爆发一次，而是整个二季度都保持了高强度攻击。

电商以 27.44% 居首；金融板块（银行 14.16% + 支付 11.10%）合计 25.26% 紧随其后；本地生活（13.46%）与出行旅游（14.26%）分列其后——四大板块合计占比80.24%。补贴和流量在哪里，黑产就在哪里：大促补贴、营销权益、高频订单，构成上半年黑产套利的三条主要现金流入口。

2026年上半年电商风险情报量为 1615万条，较2025年下半年的 883万条增加 732万条，环比增长83%。

威胁猎人反欺诈情报平台上半年月均捕获黑产作恶群组及论坛约 8 万个，6 月骤增至约 13.8 万个，接近此前月份的两倍。群组是黑产的组织动员单元，这次放量说明大促前黑产进行了有组织的临时扩编；而非存量团伙的自然活跃，节后是否回落、留存多少，是下半年值得跟踪的信号。

上半年月均捕获活跃作恶账号约 115 万个，6 月峰值约 135 万个。账号是黑产的作案耗材，对比5月份，其增幅远小于同时间黑产群组的扩张速度——大促节点黑产主要靠新建群聊作恶，账号池本身是长期养成的存量资产，这正是平时养号、大促集中变现数据印证。

2.1.2 2026 年上半年黑产攻击重点趋势与典型案例

2026 年上半年，业务欺诈黑灰产呈现出更强的"产业化、组织化、对抗化"特征。本章选取了几个最具代表性、且在过往报告中较少系统披露的产业趋势：品牌"回收—窜货—假货—拉踩"一体化侵权链、世界杯赛事赌博引流的"代发产业化"、快消品牌代下单产业链，并逐一拆解其产业结构、规模演进与作案链路，并附实捕案例。

上游回收正品。黑产长期在社交平台和二手交易平台发布“高价回收”信息，明确标注回收价格、起收数量及联系方式，并在多地设置收货点和集散仓。回收的正品集中汇集后，持续流入非授权销售渠道。

中游低价窜货。回收商品主要通过抖音直播间、综合电商平台新开店铺及社交电商“工作室”等非授权渠道销售。部分商家通过商品贴码、同一主体注册多家店铺等方式规避品牌核查，并以明显低于官方渠道的价格销售，冲击品牌正常价格体系。

下游假货混售与仿冒。部分非授权渠道存在正品与假货、高仿品混售的风险，消费者评价中出现“产品质量与官方自营不同”“使用后出现不适”等真伪质疑。同时，部分第三方商家通过模仿产品名称、包装和视觉设计，搭蹭品牌知名度与流量。

内容拉踩引流。部分账号以产品测评、竞品对比等形式，持续发布贬低该品牌的内容，并将消费者引导至其推广的其他品牌或非授权商品，进一步影响品牌口碑和购买决策。

威胁猎人通过持续监测与历史情报关联发现，6月捕获的一条回收信息，其收货人与地址与3月发现的黑产信息高度重合；7月再次出现的另一名收货人，也与2月实际交易过的回收方一致。说明相关团伙并非短期零散作案，而是在持续运营稳定的回收网络。

非授权渠道低价窜货。黑产在头部综合电商平台开设多家“海外专营”店铺，相关店铺均于2026年4月至5月新开，经品牌官方核查均未获得授权。6月，威胁猎人研究人员实测发现，部分商品叠加优惠券后的到手价低至约77.66元/罐。与此同时，威胁猎人还分别于1月和5月发现多个抖音母婴直播账号以“贴码”方式销售该品牌商品，相关发货店铺多为个体工商户，其营业执照及法人信息均已完成取证。

恶意仿冒。3月20日，威胁猎人在社交电商平台发现一款高仿商品，其产品名称、包装设计与该品牌正品高度相似。当消费者询问两者区别时，客服刻意回避相关问题。目前，仿冒店铺的经营主体及营业执照信息已完成取证。

竞品拉踩。自2025年1月起，部分账号持续发布该品牌与两款竞品的对比内容，相关话术、内容结构和发布节奏高度一致。其主要通过对比产品成分含量等方式贬低该品牌，并引导消费者转向其他品牌，具有较明显的组织化营销特征。

黄牛优惠套利。2026年2月至3月，威胁猎人连续发现部分微信群发布该品牌商品的黄牛代下任务。可通过叠加直播间红包、平台优惠券等方式降低购买成本，部分订单甚至实现“0元购”，随后可能进入转售或其他非授权流通渠道。

组织层： 黑产通过 TG/群聊/众包渠道（群名如"公群 XXXX-供押 1000U-盘口直招 抖音快手小红书视频号 评论代发"）发布代发任务，将赌博引流需求拆解为标准化任务包，任务包通常包含代发素材、入口要求、账号要求、发布位置、截图回传及验收规则。

代发层： 通过真人号、小号、他人号或账号池承接代发任务，形成发布号、评论号、链接号等角色分工。相比黑产自营账号，真人账号具备更强的自然活跃特征，可降低单点账号被识别和封禁的风险。

投放层： 代发内容不再集中于单一入口，而是分散投放至作品/直播、评论区、主页资料及平台功能入口等场景。例如以世界杯预测、足球话题、视频/图文/直播作为内容外壳，在评论区发布图片或表情包，或通过头像简介、链接卡、应用条、收藏夹等入口承载引流线索。

对抗层： 黑产通过“赛事热点伪装 + 多模态藏链 + 话术/域名变体”规避识别。一方面将跳转线索隐藏在图片、视频闪现、音频或主页资料中，并配合谐音、短链、随机前缀、低风险互动话术等方式降低关键词和正则命中（域名如 sm84.my、sw33.me、7sx.my、22xx.me 等）。另一方面评论区采用"双簧+域名拆分"——A 号晒盈利、B 号追问，A 号再把域名拆成两段分别回复以规避正则检测。

落地层： 站内内容主要承担筛选和触达作用，后续通过评论互动、私信、群聊、短链或 APP/网站完成站外承接，形成“站内种草/互动筛选 - 站外转化承接”的赌博引流链路。

风险研判：该手法将真人代发、双号互动和域名拆分结合，使恶意评论更接近正常用户交流，传统关键词和正则检测容易出现漏判。平台应重点识别异常评论互动关系、连续回复中的域名片段、重复话术和账号协同行为，并结合世界杯等重大赛事节点提前布设风险策略。

代理生成兑换码：代理在后台选定套餐、点击生成，系统产出一个指向自建 H5 站点的兑换码链接。该"兑换码"是平台自造的电子提货凭证，与品牌官方券码无关，仅能在平台自有站点核销。

对外分销出货：代理通过社群、电商店铺将兑换码售卖给消费者，套餐命名常嵌入营销渠道标记，伪装成"品牌活动福利"。

消费者核销：打开 H5 链接 → 输入兑换码 → 选城市/门店 → 确认下单 → 获得真实取餐码 → 到店取餐。

盈利本质：并非赚订单差价，而是把品牌贴钱的储值与权益资产，通过代下单低价变现为现金——平台的核心"家底"即是养号沉淀的资产规模。

直接财务失血：品牌用于拉新、储值和提升复购的营销预算被系统化套现，最终需要以真实商品、门店人工和履约成本完成兑付，形成直接财务损失。

幽灵会员污染数据资产：大量通过接码平台注册和批量运营的账号进入会员体系，会污染新客数量、活跃用户、复购率和储值增长等关键经营指标，使品牌难以准确判断真实用户增长和营销活动效果。

价格体系与品牌声誉冲击：商品长期通过非官方渠道以明显低于原价的价格销售，也会冲击品牌价格体系和加盟商利益。消费者一旦发现低价订单来自黑产渠道，还可能进一步引发对品牌管理能力和会员安全的质疑。

单笔行为合规：每一笔下单在品牌后端看都是"一个有效会员用自己的余额买了一单"，孤立看毫无破绽，问题只存在于跨账号、跨订单的关联分析；

风控与营销的内部博弈：被薅的优惠从营销预算列支，营销侧看到的是增长，缺乏整改动力；

黑产的反侦察投入：动态代理 + 设备分散 + 余额支付（不触发异常支付风控），系统性规避现有规则；

黑产具备应急响应能力：监测中发现，平台在感知异常后会快速下线、迁移、重建资产——一次性安全评估难以捕捉，必须依托持续威胁情报监测形成发现—溯源—处置闭环。

2.2.1 品牌外部风险全景

企业外部风险并非只集中于某一个仿冒页面或某一次数据泄露事件。数据和身份可能在企业控制范围之外持续流通，用户触点也可能分散在搜索、内容、社交、下载和私域渠道之中。品牌保护面对的核心问题，正在从“是否存在假冒资产”扩展为“企业与用户之间的可信连接是否仍然可识别、可控制”。

2026年上半年，SEO污染、仿冒网站、仿冒社交媒体、仿冒客服电话、仿冒应用、非授权下载渠道和侵权网站等多类入口在半年内并行存在。月度分布显示，多类风险入口在半年内持续并行，品牌滥用并未集中于单一渠道。

2.2.2 重点行业的品牌风险差异

金融与借贷业务覆盖申请、放款、支付、还款和催收等多个环节，相关数据一旦进入外部渠道，可能被用于还原客户真实业务关系，增强虚假客服、假催收及仿冒渠道的可信度。

2026年上半年泄露的借贷数据样本中，放款料约占64.6%，申请料约占28.6%，风险涉及银行、消费金融、网络小贷、助贷平台等多类机构，并可能来源于第三方服务、接口权限、通信链路及内部人员等多个环节。金融机构面临的品牌风险因此不只表现为网站、客服电话和企业身份被冒用，也与客户业务信息是否脱离控制密切相关。

2026年上半年，威胁猎人专项监测到游戏行业相关风险77,816起，其中仿冒社交媒体56,071起、商品侵权19,350起。由于游戏行业采用独立监测对象和统计口径，相关数据不与前述风险总量直接加总或横向比较。

游戏行业风险主要集中在两类场景：一类是通过福利、兑换码和稀缺资源等内容吸引玩家进入私域渠道；另一类是围绕私服、账号交易、外挂、辅助和脚本形成的商品侵权生态。相关风险具有平台分散、内容变体多、账号重建快和商品反复上架等特点。

关于不同行业所面临的品牌保护风险，威胁猎人将于后续发布《2026年上半年中国企业品牌外部风险趋势报告》。报告将围绕数据泄露、身份冒用、渠道截流和公开披露等外部风险展开分析，系统呈现品牌保护如何从处置单一仿冒资产，扩展至品牌身份、官方渠道、客户关系与公共声誉等关键对象。

报告还将进一步拆解金融与借贷、电商、制造与零售、游戏等重点行业的风险差异，并结合典型案例，还原真实业务信息与仿冒身份、非官方渠道结合后，如何增强欺诈可信度，以及黑灰产如何借助搜索、内容平台、社交媒体、客服入口和动态二维码实施引流与身份冒用。

2.3.1 2026年上半年金融贷款恶意欺诈舆情发展持稳，但规模有所收缩

2026年上半年，威胁猎人共捕获恶意贷款欺诈舆情112万条，月度风险舆情呈持续增长态势，较2025年下半年增长2%。

2026年上半年威胁猎人共监控到活跃恶意欺诈群组1.4万个，较2025年下半年增长17%

2026年上半年，威胁猎人共监控到提供恶意贷款服务的欺诈账户（信贷黑中介/黑产）5.6万个，较2025年下半年下降3%。

威胁猎人情报数据显示，2026年上半年恶意贷款欺诈活跃热度TOP5的省份（含直辖市）是四川、湖南、山东、广东、安徽。

2.3.2 2026年上半年职业背债风险有所遏制

2026年上半年，威胁猎人共捕获职业背债风险舆情22万条。整体来看，在监管持续严打的态势下，职业背债风险得到一定遏制，上半年舆情量较2025年下半年下降31%。

2026年上半年监测数据显示，活跃背债群组数量超7400个，较2025年下半年小幅增长3%，黑产线上聚集态势依然活跃。

2026年上半年，活跃背债服务账户数超1.3万个，较2025年下半年下降31%，表明黑产服务端活跃度有所收缩。

威胁猎人情报数据显示，2026年上半年背债相关的贷款欺诈，活跃热度TOP5的省份（含直辖市）是四川、重庆、广东、山东、河南。

职业背债产业链已高度组织化、规模化，并呈现跨地域化、技术化与产业化并存特征。近年来，该产业链引发的金融不良资产持续攀升，已成为威胁金融稳定的重要风险源。

2026年上半年，监管持续加码、刑事震慑力不断增强，在监管与风控政策收紧双重挤压下，黑产作恶通过率明显受限，整体利润大幅下滑，生存空间显著收窄。批量黑产团伙被依法捣毁，业内出现“各地经侦关押场所中挤满了金融从业者”的说法。

总体来看，高压之下，背债黑产正经历一轮深度的洗牌与重塑。低端参与者被加速出清，但留存下来的黑产团伙手段更精细、更隐蔽，会持续衍生出新的欺诈手法，攻防博弈仍在持续升级。

2.3.3 各贷款场景风险及变化

在当前严打整治环境下，2026年上半年房贷、消费贷、企业贷、车贷等主要贷款场景的风险舆情较2025年下半年整体有所回落，黑产活动面临一定阻力。但面对多重压力，黑产在各场景中的欺诈手法与表现亦呈现差异化演变，具体如下：

2026年上半年，信贷欺诈风险呈现出跨场景蔓延、专业化升级、产业化运作的显著特征，职业背债、房贷、企业贷、消费贷等领域手法不断翻新、变体层出不穷，整体防控形势依然严峻复杂。

威胁猎人将于后续发布《2026年上半年信贷欺诈风险趋势报告》。进一步分析信贷欺诈风险的变化趋势、重点场景差异及典型攻击链路。

本报告由反欺诈情报研究团队基于长期监测数据、真实风险样本与行业治理实践编写。黑灰产对抗没有终点，黑产攻击手法会持续演变，黑产攻击技术也会继续迭代。面对不断变化的黑灰产生态，威胁猎人将会持续和各行业企业紧密协同，共同守护企业业务安全与用户权益。

希望本报告能够帮助反欺诈、安全、风控及业务从业者更准确地理解黑灰产生态变化，识别风险迁移与手法升级，并为企业制定更具前瞻性和针对性的治理策略提供参考。

本报告研究的是中国境内被黑产劫持并用于承载或转发恶意流量的智能终端样本，其中大部分为智能电视和智能电视盒子，少量涉及其他联网设备。报告重点分析这些终端承载或转发的恶意流量指向了哪些业务对象、可能对应哪些风险场景，以及流量通过何种公网网络环境对外访问。

适用边界：本报告描述的是特定数据来源下的一类智能终端黑产流量样本，不代表中国全部网络恶意流量的总体特征，也不能据此推断全国智能设备受控规模、地区感染率、运营商安全水平或平台实际受攻击总量。

01

四类黑产恶意流量场景及主要目标

本章先观察四类风险场景在样本中的构成，再比较各场景的目标集中度，并列出主要目标域名。它分别回答“恶意流量主要指向哪些业务环节”和“每类风险集中在少数入口，还是分散覆盖多个平台”。

风险构成：账号身份与广告相关流量合计占69.7%

关键结论：

账号身份与广告流量合计占已识别场景69.7%，是样本中最主要的两类风险指向。

目标集中度：账号身份场景Top1占85.1%，显著高于其他场景

关键结论：

账号身份场景仅Top1就覆盖85.1%，目标最集中；广告流量、电商交易及内容互动需要覆盖更多目标才能达到相近比例。

主要目标：四类场景呈现不同的平台覆盖结构

以下按各场景内部占比排序，展示样本恶意流量主要连接哪些互联网服务。域名对应的样本占比反映目标指向，不等于平台已经遭受同等程度的实际损失。

1）账号身份：两个微软认证入口合计占93.7%

关键结论：

两个微软认证入口合计占账号身份场景93.7%，目标高度集中于登录、认证、授权与令牌相关入口；详细风险解释见第2章。

2）广告流量：前三个日志与监测端点合计占60.8%

关键结论：

前三个广告日志与监测目标合计占60.8%，样本流量明显集中于广告上报、监测和归因入口。

3）内容互动：Top10仅覆盖50.6%，目标分散于多平台

关键结论：

Top10目标合计占50.6%，且Top1仅占7.4%；样本连接分散覆盖搜索、社交、短视频、直播和资讯平台。

4）电商交易：Amazon多站点合计占34.1%

关键结论：

Amazon多站点合计约占34.1%，Top10目标合计占59.2%；样本同时覆盖综合电商、旅行交易、数字商店和游戏交易平台。

02

四类场景可能对应哪些具体风险

以下四张图分别解释账号、广告、内容和电商场景。每张图严格区分样本事实、风险解释与可能业务影响：样本可直接确认的是连接目标及其占比；风险行为和业务后果是结合目标功能作出的研判，不代表已经获得完整请求内容，也不代表每条连接都对应一次攻击或攻击已经成功。

账号身份风险：认证入口可能被用于撞库、密码喷洒和账号枚举

样本依据：

login.live.com与login.microsoftonline.com合计占账号身份场景93.690%，样本重心高度集中在登录、认证、授权与令牌入口。

微软认证入口为何成为样本头部？

在威胁猎人观察到的样本中：

login.live.com与login.microsoftonline.com合计占全部有效连接的15.6%，占账号身份场景的93.7%。在较小的login.microsoftonline.com公网地址集合中，97.3%也出现在login.live.com集合，说明前者高度嵌套于后者；两个入口可能被相关自动化任务共同覆盖，但现有连接关系不足以确认其属于同一活动。

为什么微软占比高。微软账号是跨产品的集中身份入口，个人账号可连接Windows、Outlook、OneDrive、Office和Xbox等服务，Microsoft Entra又为Microsoft 365、Azure及第三方应用提供统一认证。一次正常登录还可能包含跳转、授权、令牌兑换、刷新和设备码轮询，因此连接天然集中在少数域名，且一个逻辑登录可能产生多条连接。

广告流量风险：异常上报可能污染计费与归因

样本依据：

前三个广告日志或监测端点合计占广告流量场景60.815%，目标名称集中出现日志、监测、追踪、分析和Beacon等功能语义。

内容互动风险：跨平台自动化可能制造虚假互动并干扰榜单

样本依据：

Top10目标合计占内容互动场景50.576%，覆盖搜索、短视频、社交、直播和资讯平台，呈现明显的跨平台分布。

电商交易风险：自动化行为可能采集价格、滥用补贴并扰乱库存

样本依据：

Amazon多站点合计约占电商交易场景34.1%，Top10目标合计占59.181%，同时覆盖国内电商、旅行交易、游戏资产和数字商店。

03

恶意流量公网IP的地域与网络环境

本章描述样本恶意流量通过哪些公网地址对外访问，以及这些地址通常属于哪类网络环境。所有比例均按唯一公网IP去重；同一公网IP只计一次，不等于一台设备。IP归属和场景标签只反映地址库中的网络位置及典型用途，不能据此推断地区感染率、运营商安全水平、具体家庭受控或终端型号。

地域分布：河南占比最高但不足一成，样本覆盖多省

关键结论：

Top10省份合计占56.1%，其余21个省份仍占43.9%，样本公网IP分布较为分散，没有单一省份主导。统计口径：同一公网IP仅计一次，省份由GeoIP归属匹配；该分布不等于地区设备感染率。

网络环境：95.6%的样本公网IP位于家庭宽带地址段

关键结论：

家庭宽带地址段占95.6%，数据中心/云不足0.5%。

统计口径：同一公网IP仅计一次；地址段用途不代表设备类型、所有者或受控状态。

专注黑灰产情报和反欺诈技术研究

如您的企业也有类似问题

请咨询威胁猎人安全专家

近日，威胁猎人情报专家受公安部网安局邀请，参加以“网络黑灰产态势及治理要点”为主题的专题研讨，并围绕当前网络黑灰产总体态势、产业链结构变化、新型技术滥用风险及重点行业治理路径开展专题课程分享。

本次分享基于威胁猎人长期积累的黑灰产情报监测数据、产业链研究成果和真实风险事件案例，系统呈现了当前欺诈黑灰产从渠道、资源、人力、工具到资金结算方式的结构性变化，并针对电商、保险、出行等高风险业务场景提出了相应的治理框架和协同处置思路。

01

黑灰产活动持续高位运行，近半年相关攻击情报量超8.43亿

根据威胁猎人反欺诈情报平台持续监测发现，2025年12月1日至2026年6月11日期间，累计监测网络黑灰产相关信息超过8.43亿条，日均约437万条。整体消息规模长期维持在每月1.1亿至1.5亿条的高位，显示网络黑灰产已经形成高度专业化、规模化和持续化的产业生态。

从活动渠道来看，Telegram已经成为黑灰产组织、引流、交易和结算的重要基础设施，占整体监测信息的84.9%。叠加Potato等境外加密通讯工具，境外平台承载的黑灰产活动占比已经超过86%。

境外即时通讯平台已经长期成为网络黑灰产组织、引流、交易和结算的重要阵地。传统围绕单一账号、单一群组和单一平台开展的封禁处置，越来越难以切断其完整链路。治理工作需要从单点内容清理，进一步转向对账号矩阵、群组网络、引流关系、交易渠道和资金路径的关联研判。

02

资金通道与注册资源，构成黑灰产运行的基础设施

从风险类型来看，虚拟币结算、洗钱跑分、接码卡商和账号交易等风险保持较高活跃度。其中，近半年，威胁猎人监测到的虚拟币地下结算相关信息接近897万条，是当前热度最高的风险类型之一。

与此同时，接码养号、实名认证资源和众包任务正在成为多类黑灰产业务共同依赖的上游能力。威胁猎人监测发现近半年接码记录超过468万条，相关号码资源主要来自海外；众包任务信息超过686万条，累计涉及大量低佣金、批量化的真人操作任务。

黑灰产通过低成本任务招募，将大量真实用户、真实设备和真实账号转化为可以随时调用的灰产人力资源。相较于传统机器脚本，这种“真人、真机、真账号”的操作方式更容易绕过设备指纹、行为验证和账号环境检测，也使营销套利、刷单刷量、批量注册、引流获客等活动更难通过单一技术规则识别。

从产业链角度看，接码、养号和众包并不是孤立风险，而是账号交易、营销欺诈、电信诈骗、黑产引流等多种违法犯罪活动的共同上游。治理过程中，需要围绕任务发布者、资源提供者、结算账户和下游使用场景开展关联分析，才能从源头压缩黑灰产的资源供给能力。

03

AI滥用正在由概念讨论进入工具化、商品化阶段

AI技术滥用是本次分享重点关注的新变量之一。

监测数据显示，仅在6月前11天，AI换脸相关信息命中量已经达到10.5万条，超过5月全月的两倍，是2025年12月监测量的七倍。AI去衣等相关风险也在同期明显增长，相关内容高度集中于境外即时通讯平台。

从情报内容来看，AI滥用已经不再停留于技术教程和概念讨论，而是逐步发展为“成品软件、使用教程、定制服务和售后支持”相结合的商品化模式。部分工具开始向色情合成敲诈、冒充熟人诈骗、人脸核身绕过和虚假身份包装等场景延伸。

技术门槛下降、工具获取便利和产业链服务完善，使AI生成能力正在被加速嵌入既有黑灰产链路。面对这一变化，仅依靠内容审核或单一技术检测难以解决问题，还需要持续追踪工具开发者、销售渠道、传播群组、使用账户和获利路径，建立覆盖技术样本、风险账号和关联团伙的长期监测机制。

04

黑灰产作恶高度集中于"有资金、有流量、有补贴"的高频业务领域

在威胁猎人监测到的1887条典型风险事件中，电商零售、银行、支付与金融科技是受影响较为集中的行业，三者合计占比超过一半。

本地生活、外卖、出行、在线旅游、短视频和内容平台同样面临不同程度的业务欺诈风险。从作恶手段来看，刷单众包、营销薅羊毛和引流套现是当前较为规模化的三类欺诈方式。

不同行业面临的主要风险存在明显差异。如电商零售行业的高发问题主要集中在营销补贴套利、刷单炒信、恶意赔付和黄牛代下；银行和支付机构更容易被黑灰产利用为诈骗收款、赌博代收和资金洗白通道；本地生活与出行平台主要受到刷单、虚假交易和技术作弊影响；内容平台则面临黑产引流、收款码套现和账号资源交易等问题。

因此，企业业务欺诈治理不能只建立一套通用规则，而应当结合行业的资金模式、补贴机制、流量入口、账号体系和交易流程，确定各行业最需要优先治理的攻击面。

05

从发现风险走向“货、钱、人、链”一体化治理

针对当前网络黑灰产跨平台、跨行业和跨区域的特点，威胁猎人在本次分享中提出，应当围绕“货、钱、人、链”建立一体化治理思路。

在电商行业假冒商品治理中，不能只处置直播间或售假店铺，而应顺着异常商品、物流仓储、供货关系和资金归集路径，向上追查制假、囤货和分销环节，识别源头制假窝点、仓储节点及组织化销售团伙。

在电商行业黄牛代下和补贴套利场景中，应结合任务群、异常订单、集中收货地址、认证资料和分佣账户，识别任务发布者、账号资源提供者、集中收货方和二手转卖渠道，避免只对末端下单账号进行单点处置。

在保险行业恶意代理退保场景中，需要围绕引流广告、投诉模板、服务费账户和客户信息来源开展链路分析，将信息泄露、代理投诉、资金截留和二次销售等环节进行关联研判。

在出行行业抢单外挂和自动化作弊场景中，则需要从工具开发、渠道销售、卡密交易、异常设备和作弊使用账号入手，形成覆盖“开发、分发、使用、获利”的完整治理链条。

上述场景虽然表现形式不同，但治理逻辑具有共性：从任务群、引流入口和工具售卖渠道切入，围绕资格、设备、地址、账户、物流和分佣关系逐层倒查，最终识别真正的组织者、资源提供者和资金归集方。

*如需获取具体场景解决方案，请联系威胁猎人

06

典型刷单工具已经形成双端软件和规模化账号池

本次研讨还分享威胁猎人近期调研和复现的一类电商远程自助刷单工具。

该工具由商家端和买手端两套软件组成。商家可以通过商家端远程操控买手提供的真实设备和账号完成下单，买手则通过挂机软件出租设备和账号资源。相关工具内置超过4万个可跨平台调用的刷单及挂机账号，并能够对账号、设备和任务进行集中调度。

与传统脚本刷单不同，这类模式使用真实手机、真实账号和真实交易流程执行任务，能够在一定程度上绕过传统设备环境和自动化行为识别。同时，刷单款项和返佣资金通常直接在商家与买手个人账户之间流转，工具平台只负责监控任务和提供交易担保，进一步增加了资金追踪和证据固定的难度。

上述分享也说明，当前企业面临的企业威胁，早已不是零散攻击者的碰运气试探。而是具备情报、工具、流程和严密分工的“产业化黑灰产” 。

结合企业实际业务场景，威胁猎人可为企业提供业务安全成熟度评估服务。通过对抗式评估、攻击链路验证和真实黑产手法复现，对企业在账号体系、身份核验、营销活动、交易风控、接口防护和异常处置等环节进行系统检验，识别现有规则与防控机制中的薄弱点，并按照SR1—SR5成熟度等级输出风险评级、整改优先级和能力建设建议，帮助企业从单一风险事件处置，进一步建立覆盖风险发现、验证、研判、响应和持续运营的业务安全能力体系。

07

持续沉淀一线情报能力，支撑网络黑灰产协同治理

网络黑灰产正在由分散、低技术含量的个体行为，逐步演变为依托境外渠道、虚拟币结算、众包人力、账号资源和自动化工具运行的专业化产业体系。渠道出海、资源海外化、资金虚拟币化和AI工具商品化，将进一步提高黑灰产活动的隐蔽性与治理难度。

面对持续变化的风险形态，治理工作需要建立更加系统的协同机制，由公安机关牵头，平台企业、行业机构和支付机构共同参与，从异常账号、订单、设备、行为和资金流向等多个环节共享线索、联合研判，形成跨部门、跨平台、跨行业的联合治理能力。

未来，威胁猎人将继续发挥在黑灰产情报监测、产业链研究、工具样本分析和风险事件研判等方面的长期积累，持续跟踪新型黑灰产手法和技术滥用趋势，为有关部门及企业机构提供更加及时、专业和可落地的情报与研究支持，共同推动网络黑灰产治理从单点处置走向全链条、常态化和体系化治理。

专注黑灰产情报和反欺诈技术研究

如您的企业也有类似问题

请咨询威胁猎人安全专家

近日，数世咨询正式发布《新质·数字安全专精百强（2026）》榜单。威胁猎人凭借在反欺诈情报、黑灰产监测、业务安全攻防与风险场景研究等领域的长期积累，入选“单项冠军”榜单，获评“反欺诈情报”领域代表企业。此次入选，是对威胁猎人长期深耕业务安全与反欺诈情报领域的专业认可，也体现出反欺诈情报能力正在成为数字安全体系中不可或缺的重要组成部分。

数世咨询作为国内数字安全领域独立第三方机构，长期关注数字安全产业发展趋势、企业技术创新能力与细分领域专业化价值。

在《新质·数字安全专精百强（2026）》榜单中，单项冠军代表在某一细分产品或服务领域，无论是市场占比还是品牌影响力，均处于领先位置的企业。威胁猎人此次获评“反欺诈情报”单项冠军，意味着公司在反欺诈情报能力建设、黑灰产对抗研究、业务风险场景理解及行业实践落地等方面，获得了专业机构的认可。

（威胁猎人产品体系全景图，专注黑灰产情报和反欺诈技术研究）

十年黑灰产情报沉淀

构建面向真实业务风险的安全能力

威胁猎人长期深耕黑灰产情报与业务安全领域，形成了从情报采集、风险识别到防控的完整能力体系，覆盖情报、产品、场景三大关键要素。

情报数据方面：基于威胁猎人十年黑灰产情报沉淀，持续追踪黑灰产攻击工具、作弊资源、欺诈社群、数据交易市场及风险链变化，构建了国内规模领先的反威胁情报库。企业可基于此提前感知外部风险信号、理解黑灰产攻击路径，从而将情报转化为可落地的风险研判与业务决策支撑。

产品体系方面：威胁猎人已构建覆盖企业反欺诈情报、数字风险防护（DRP）、业务风险画像与API安全的四大产品线，从外部监测风险、黑灰产系统攻击识别、风险对象画像，到关键业务接口防护，形成闭环。今年，公司进一步推出黑灰产情报 AI Agent——ThreatHunter，企业用户通过单一对话入口，即可获取跨域风险情报、趋势分析与行动建议，重新定义业务情报的获取方式和应用门槛。

业务场景层面：威胁猎人深度覆盖金融、电商、互联网、政务等高风险行业的核心业务场景，包括账号安全、营销反欺诈、支付风控、业务威胁等，能够结合不同行业的黑灰产攻击特征，提供更加贴合真实业务场景的风险解决方案。

在行业影响力方面，威胁猎人是国内唯一入选 Gartner 技术成熟度曲线报告的 API 安全品牌。目前，威胁猎人已长期服务金融、电商、互联网、政务等 300+ 客户，覆盖 85% 头部互联网平台及知名金融机构，并与全球 Top 5 电商平台及中国多数头部数字化企业建立长期合作关系。

在数字业务持续发展的同时，黑灰产对抗也将长期存在；面对更加隐蔽化、组织化和产业化的外部风险，企业需要的不只是单点防护能力，更需要能够持续感知风险、理解攻击链路、辅助业务决策的情报能力。

未来，威胁猎人将继续深耕反欺诈情报领域，以持续迭代的情报能力、更深入的场景理解和更智能的产品服务，推动企业构建面向真实业务风险的主动防御体系，守住数字化增长过程中的安全底线。

专注黑灰产情报和反欺诈技术研究

如您的企业也有类似问题

请咨询威胁猎人安全专家

在企业真实业务中，风险往往并不是在损失发生后才出现。品牌仿品在海外平台悄然流传，企业账号在地下市场出现，员工违规进入泄露数据包，异常账号价格与供应量正在释放新的风险信号——这些，通常发生在损失出现之前。

问题在于，这些信号通常分散在不同来源、不同数据形态和不同业务场景中。企业即使看见了线索，也未必能够快速判断：这和我们的业务有关吗？风险在往哪个方向转变？下一步该优先处理什么？

今天，ThreatHunter——企业黑灰产情报 AI Agent，正式开放体验。

它可以帮助企业持续发现来自外部世界的业务风险信号，并通过AI将分散的情报数据转化为可理解、可追问、可处置的风险分析。你可以把它理解为：一个懂你业务的人工智能情报分析师，随时在线，用自然语言回答你关于外部风险的任何问题。

对话即交付，让情报获取更简单

过去，企业开展外部风险分析，往往需要专业人员配置查询条件、切换多个系统、整理原始数据，再进一步形成判断和建议。

ThreatHunter 提供了一种更直接的方式：用户可以通过自然语言直接提问，AI 会结合企业、品牌、平台、账号体系、支付链路及重点市场等业务上下文，对相关风险进行分析、归纳与研判。

例如，你可以直接提问：

• 我们公司最近 30 天有哪些外部风险？

• 我们品牌是否存在仿品流通情况？

• 最近是否出现涉及我们的数据泄露事件？

回答不只是数据罗列——ThreatHunter 会进一步提出趋势变化、异常信号、风险研判与处置建议。每次回答后，您还可以继续追问来源、影响范围、关联团伙或下一步行动方向。5–60秒，交付包含事件、趋势、研判与建议的完整情报报告。

（点击视频了解详情）

三大核心价值

洞察风险、解读风险、推动处置

1、洞察风险：持续发现外部业务风险信号

基于十年黑灰产数据沉淀，ThreatHunter 覆盖 14 大类、68 个细分风险场景，持续识别品牌、账号、数据、支付及平台链路中的异常信号，帮助企业更早发现潜在风险。

2、解读风险：将分散情报转化为结构化判断

ThreatHunter 不只是返回数据，而是结合企业真实业务场景，将原始线索、趋势变化和异常信息转化为业务、安全和管理团队都能理解的风险结论。

3、推动处置：提供可执行的行动建议

针对已识别风险，ThreatHunter 可进一步生成风险优先级、异常原因分析和处置建议，帮助团队快速形成响应路径，推动风险从发现走向闭环处理。

🙋🏻无论是安全团队、风控团队、品牌保护负责人，还是关注企业外部风险变化的管理者，都可以通过 ThreatHunter 更早发现风险信号、更快理解风险影响，并将外部威胁情报纳入日常决策。

立即体验

让外部风险更早进入企业决策视野

无需复杂配置，通过一个对话入口即可获取跨域风险情报、趋势分析与行动建议，帮助企业安全、风控和管理团队更早发现、理解并处置外部风险。

扫码试用，即刻开启 AI 外部业务风险分析体验！

专注黑灰产情报和反欺诈技术研究

如您的企业也有类似问题

请咨询威胁猎人安全专家

每年的618，都上演着关于“增长”的战争。平台在抢用户，品牌在抢流量，商家在抢转化，主播在抢曝光。与此同时，另一群人也在同步“备战”——黑灰产。而且，他们的备战时间，往往比品牌的活动上线早。

公开数据显示，2025年618电商大促期间，全网综合电商销售达到8556亿元，同比增长15.2%。这是一场规模空前的营销增长盛宴，也是黑灰产一年中收益最高的作战窗口。

从威胁猎人反欺诈情报平台监测数据来看，2025年年全年，威胁猎人共监测到线上业务欺诈相关攻击情报约13.1亿条，全年攻击强度持续高位运行，并在6月中大促期间达到高峰。从行业分布来看，电商行业风险事件占比达到20.5%，连续多年居各行业之首。

一个值得关注的趋势是：黑灰产活动往往会随着618、双11等大促节点同步升温。

品牌在制定活动规则、投放计划和优惠策略的同时，黑产也在研究规则漏洞、套利路径和攻击方式。很多企业对大促风险的认知，仍停留在“账号被盗、优惠券被刷、异常订单增加”等单点问题上。但实际上，营销欺诈已经贯穿注册、领券、下单、直播互动、返利结算、售后投诉和品牌口碑传播等多个环节。

对企业而言，大促中的损失往往不止于优惠券被薅、异常订单增加。更隐蔽的代价是：营销预算被持续消耗，风控模型被异常数据干扰，平台生态真实性下降，品牌信任被长期透支，用户认知也在无形中被污染。

基于长期黑灰产情报监测与业务风险研究，威胁猎人梳理了618电商大促期间高频出现的典型业务欺诈场景，帮助企业将风险防控从“事后止损”前移到“事前预警”，更早发现攻击链路，更快完成风险响应。

基于以类场景的情报数据与案例分析，威胁猎人研究团队观察到618大促黑灰产攻击贯穿全周期、且呈现出明显的阶段性特征。

因此，企业对618大促风险的防控，不能只停留在活动当天的异常识别，而应覆盖活动前预警、活动中拦截和活动后追踪治理的完整周期。

基于对以上高频欺诈场景的长期情报积累与风险研究，威胁猎人进一步梳理形成《电商大促业务欺诈场景解决方案》，覆盖不同营销场景下的风险识别方法、攻击链路拆解与典型案例参照，帮助企业在大促前发现潜在风险，在大促中快速识别异常行为，在大促后持续评估业务与品牌影响。

如需了解完整方案内容，可联系威胁猎人

获取《电商大促业务欺诈场景解决方案》

面向群体

专注黑灰产情报和反欺诈技术研究

如您的企业也有类似问题

请咨询威胁猎人安全专家

随着全球数字业务加速拓展，企业面临的安全威胁，早已从传统系统漏洞，演变为围绕开户注册、身份核验、授信放款、支付提现、广告投放、营销活动等关键链路展开的“业务级攻击”。

对于企业管理层而言，真正需要回答的问题已经不是“我们部署了哪些安全系统”，而是：

基于长期业务安全攻防实践和黑灰产情报积累，威胁猎人正式发布《业务安全成熟度评估》服务。该服务以真实黑灰产攻击能力为评估标尺，以标准化攻击模块和场景化验证为方法，对企业关键业务场景进行系统性对抗评估，最终为企业出具清晰、可解释、可横向对比的 SR（Security Rating）安全评级结论 。

当前企业面临的企业威胁，早已不是零散攻击者的碰运气试探。而是具备情报、工具、流程和严密分工的“产业化黑灰产” 。

对企业而言，这意味着“有没有风控能力，已经不够”，更重要的是：能否在真实攻击场景下，证明你的关键业务链路仍然有效。

情报驱动，场景验证，评级交付

威胁猎人《业务安全成熟度评估》服务，是一项面向企业关键业务场景的对抗式安全评估服务。基于长期积累的黑灰产情报、业务安全攻防经验和标准化评估方法论，模拟真实黑产攻击路径与作恶方式，对企业真实业务场景开展实战化攻击验证与风险评估。

评估结束后，威胁猎人将结合验证结果、风险影响范围与业务对抗表现，输出对应的 SR1-SR5 业务安全成熟度评级，并提供针对性的风险分析与优化建议，帮助企业建立更贴近真实黑产环境的业务安全防护体系。

以黑灰产能力定义业务安全评估标准

威胁猎人《业务安全成熟度评估》以真实黑灰产能力为核心基准的业务安全评估体系，整个评估体系基于全球黑灰产情报、真实攻击链路与产业化作恶能力构建，采用可量化评级结论的的三层评估体系，每一层均有明确的方法论支撑与工具体系，确保评估过程可复用、可复制、可度量，而不依赖单次经验判断。

评估更关注企业在真实对抗场景中的业务防御能力，包括身份核验可靠性、账号体系抗攻击能力、策略识别有效性、自动化风险拦截能力以及跨场景联动防护能力等关键指标。

第一层：真实黑灰产能力底座

评估所采用的攻击手法，并非来自实验室假设或公开漏洞库，而是基于全球外部情报与内部实验室研究，持续提取黑灰产最新攻击手法，代表当前全球黑灰产的真实攻击能力。这是与传统评估体系最根本的差异所在。

第二层：标准化攻击能力模块库

围绕业务场景，威胁猎人构建了包含20个核心模块的标准化攻击能力库，涵盖证件材料伪造、AI生体仿造、摄像头劫持、代理IP替换、设备指纹仿真、批量注册、行为节奏仿真、规则对抗仿造、OCR辅助录入、语言行为映射等完整攻击链路所需的工具与方法。每个模块均包含方法说明、操作手册、工具脚本与证据模板。

第三层：标准化攻击场景库

针对不同客户类型与业务场景，快速匹配标准场景模板，覆盖海外信贷欺诈、全球KYC对抗、广告欺诈、账号安全、营销套利、行业横评测试等核心业务场景。

通过六步对抗还原关键业务链路风险

在具体评估过程中，威胁猎人通过六步对抗闭环，将攻击验证过程标准化，确保评估结论具备明确依据、完整证据和复测基础。

用五级标准呈现业务安全真实水位

1.评级标准与定义

SR（Security Rating），指业务安全成熟度评级。威胁猎人业务安全成熟度评估采用SR1至SR5五级评级体系，以关键业务目标是否被达成为首要判断依据，结合复现稳定性、攻击成本/门槛、规模化潜力四个维度进行综合评定。

该评级体系适用于信贷欺诈、KYC对抗、广告欺诈、账号安全、营销套利、支付欺诈等多类业务场景，能够帮助企业将复杂的业务安全问题转化为更清晰、可理解、可对比的评级结论。通过这一评级体系，企业可以将原本复杂、分散、难以解释的业务安全问题，转化为管理层可理解、技术团队可整改、业务团队可复盘的标准化结论。

2.四维判级矩阵：综合判断攻击达成、复现稳定、成本门槛与规模化潜力

评级依据四个核心维度综合判断，判级原则：先看是否达成攻击关键业务目标，再看复现稳定性，最后结合攻击成本/门槛与规模化潜力进行综合判断。

从风险结论到策略建议，支撑管理决策与技术落地

威胁猎人每次业务安全成熟度评估交付，包含面向管理层与技术团队的两大维度专业报告，确保评估结果既能支撑管理层决策，也能落地为技术整改路径。

覆盖跨行业、多场景的评估交付与评级输出

截至目前，威胁猎人已在信贷欺诈、KYC对抗、广告欺诈、营销套利、支付欺诈、账号安全等多个业务场景中完成系统性评估交付，输出标准化业务安全评测报告与评级结论，帮助客户识别当前业务安全水位，明确核心风险点与整改优先级。

我们的服务已涵盖互联网、金融科技、数字支付、加密金融等多个行业的头部标杆客户 。

威胁猎人核心团队长期深耕业务安全与黑灰产对抗领域，创始及技术骨干成员来自腾讯、猎豹等一线安全团队，具备多年反欺诈情报、网络攻防与业务安全实战经验，团队成员曾多次获得Pwn2Own等国际黑客大赛荣誉。

依托海量黑灰产情报数据、持续的情报获取与分析能力，以及“鬼谷实验室”在网络攻防对抗、产业链研究和业务风险情报挖掘方面的长期积累，威胁猎人持续将真实攻防经验沉淀为产品能力与解决方案，帮助企业从攻击者视角识别业务安全现状，减少对抗盲区，提升风险发现与响应效率。

专注黑灰产情报和反欺诈技术研究

如您的企业也有类似问题

请咨询威胁猎人安全专家

这不是段子，是黑产圈正在全国多省操作的骗贷新手法。

威胁猎人监测发现：

黑产的具体操作模式为：

此类“真登记、假结婚”骗贷模式已在全国多个城市蔓延，涉及的贷款场景涵盖消费贷、房贷、企业贷及种植/养殖贷等，主要攻击设有夫妻共签要求的金融机构，如农商行、国有大行等，这些机构已确认为黑产的重点目标。

以下为银行贷款审核逻辑被黑产反向利用的典型表现分析：

1.1 风险定义

真登记假结婚骗贷：指有贷款需求的个人在黑产的操纵下，与另一名同样有融资需求的异性通过真实登记结婚的方式，虚构婚姻关系，进而以夫妻名义共同向银行等金融机构申请贷款。此类行为中，双方往往自身资质一般，通过婚姻组合、材料包装等手段虚增信用资质以骗取贷款。

这种假结婚双方通常由本地户籍一方担任主贷人，另一方（多为异地户籍）作为担保人或次贷人，双方共同承担债务。该婚姻关系完全建立在利益之上，贷款发放并完成分赃后，双方随即离婚、各自离场。

1.2 假结婚骗贷以消费贷为主，组合式背债隐蔽性增强

威胁猎人基于近半年来明确涉及假结婚的风险舆情，从中抽取近30个黑产团伙进行分析调研，从攻击场景、主借人分布、攻击场景数量等维度进行梳理，得出以下结论：

消费贷为被攻击重灾区： 55.6%的假结婚骗贷攻击集中在消费贷场景

从各大贷款场景中假结婚欺诈攻击占比分布来看，消费贷占比最高，为55.6%，其次是房贷，占比20%

主贷人以男性为主：90% 的主贷人为男性（本地户籍充当主贷人）

在假结婚骗贷中，男性主贷人占比高达90%，黑产通常安排本地户籍男性担任主贷人，以迎合银行对稳定性和还款能力的偏好，从而提高贷款审批通过率。

涉及多场景组合攻击：30% 的案件涉及多场景，隐蔽性极强

在假结婚欺诈中，尽管单一场景攻击占比达70%，但组合式背债（多场景联动）已占30%，其涉及多个贷款产品、跨机构套利的复合风险更隐蔽。

2.1 黑产招募手法

黑产通过社交群聊发布“女单身”“配婚担保”“接受婚配”等关键词，招募征信差、有资金需求的单身或离异人群，以“免费拿钱”为诱饵，此类广告旨在吸引同行黑产将手中符合条件的“劣质客户”进行“废物利用”，用于假结婚骗贷。

以下为黑产发布招募目标客户的舆情样例：

（聊天记录为脱敏模拟展示）

2.2 黑产核心操作

2.2.1 见面签约与结婚登记

客户双方到位后，黑产组织双方见面，签订口头或书面协议，明确利益分配与责任。随后，安排双方前往当地民政局真实办理结婚登记手续。

2.2.2 操作周期：多久“结”多久“离”

黑产会根据不同贷款场景，对夫妻关系的存续周期提出差异化要求，如多久结婚、到账后多久离婚。

2.2.3 利益分配模式

贷款成功后，黑产会根据实际贷款情况分配资金：

以下为黑产核心操作流程：

消费贷案例：山东莱州某银行“假结婚”骗贷

威胁猎人在日常监控中，捕获到一则黑产招募广告——门槛低到令人意外：无视负债、无视征信查询次数，贷款额度20万-70万元，操作周期仅需3天。值得注意的是，黑产收取的费用点位较高。

该广告面向山东莱州地区，招募单身或夫妻客户。其中，单身客户可通过“配对结婚”方式参与贷款。

黑产发布的广告舆情原文如下：

（聊天记录为脱敏模拟展示）

经与黑产进一步沟通获悉，该业务实际攻击的是莱州某银行的个人消费贷产品。该产品以家庭为单位申请，要求借款人与其家庭成员共同签署合同、提供担保（即夫妻共签）。黑产本次操作的正是“配对夫妻”模式：

双方必须真实登记结婚，伪造结婚证将被银行拒贷且风险高。

在该业务中，莱州户籍一方担任主贷人，另一方作为担保人，双方共担债务。贷款额度一般为30万至70万元，具体取决于主贷人资质：

此外，黑产透露，该业务属于 “行口知情”模式，即银行内部人员参与其中。每笔成功贷款，银行方会扣除一半费用作为回扣，并额外扣除3年期的先息后本利息。因此，客户实际到手的金额非常有限。

*如您是银行风控相关从业人员，想要了解该案例的具体详情，请联系威胁猎人。

“配婚”骗贷的本质，并不只是“假结婚骗贷款”这么简单。它背后反映的，是黑产正在从过去单点式、粗放式的骗贷，逐步升级为更具组织化、关系化、长期化的“组合型欺诈”。黑产不再单纯伪造资料，而是开始主动“制造关系”“养护身份”“包装家庭”“设计信用”，甚至反向利用金融机构的审批逻辑与风控偏好。

从消费贷到企业贷，从职业背债到组合式套利，黑产也正在将“配婚”模式标准化、产业化，并向更多贷款场景扩散。

威胁猎人长期深入监测黑灰产一线动态，已针对“配婚”骗贷等信贷风险提炼出可落地的识别信号与防御策略，为金融机构完善风控体系提供参考支持。

没有“点名攻击”，就不存在风险？金融领域黑灰产正在对金融机构进行“隐藏式攻击”

“码牌增量”欺诈：利用真实支付体系构造虚假经营能力的骗贷新模式

【信贷欺诈】2026年消费贷骗贷新变化：“真实补缴”成为主流手法

专注黑灰产情报和反欺诈技术研究

如您的企业也有类似问题

请咨询威胁猎人安全专家

作为长期扎根黑灰产攻防一线的威胁情报安全厂商，威胁猎人积累沉淀了大量与黑灰产作恶相关的黑话，并发布业内首个黑灰产《黑话词典》，对黑灰产常见黑话进行系统化梳理与揭秘，获得广泛关注。

在此基础上，内容持续升级迭代至黑灰产《黑话词典2.0》，在原有基础上进一步扩展，覆盖更多典型欺诈场景与语义变体。除词义释义外，本次内容更加侧重还原黑话在真实作恶场景中的使用语境，从“词汇识别”走向“场景理解”，为企业风控识别、情报分析及反诈实践提供更具实战价值的参考。

01 营销欺诈场景

营销活动场景相关的黑话词汇，揭示了在营销场景中，黑灰产通过虚假交易、刷单补单、账号操控、数据采集及风控绕过等实施各类欺诈行为的方式。

【释义】

在营销欺诈场景，补单是指通过刷单等手段虚构订单，目的是完成销售目标、规避处罚或提升商品排名的一种作弊行为。

【释义】

在营销欺诈场景，采集群发是指一种可以“数据抓取+批量发送”的工具，具体指可以通过自动化工具先 “采集”（非法抓取）用户数据（如社交账号、手机号、邮箱等），再 “群发”（批量推送）广告、诈骗信息的 全链条违规工具。

【释义】

在营销欺诈场景，采退是指“以退货为目的的采购行为”，黑灰产通过先大批采购商品再退货的方式，规避平台风控或套取返点补贴，常见于电商套利场景。

【释义】

CVV指“信用卡安全码”。常见于在线支付、信用卡交易等场景，是信用卡验证码，通常指信用卡背面三位或四位数字的安全码，目的是验证持卡人身份，提高交易安全性的一种安全码。

【释义】

在电商欺诈场景中，窜货是指商品未经授权在非指定渠道或区域内销售的行为。例如，品牌将不同区域的经销权分配给不同公司，但某经销商将货物私自销售到他人负责的区域。在平台电商中，窜货常表现为某平台（如平台 A）获得补贴或低价政策的商品，被搬运至其他平台（如平台 B）上销售，扰乱市场价格体系，规避平台规则。

【释义】

在营销欺诈场景，代挂是指“代理挂机服务”，由他人代替用户持续在线，自动完成任务以获取经验或收益，常见于游戏、电商刷量等领域，是黑灰产批量养号的手段之一。

【释义】

在营销欺诈场景，代注册即“代理账号注册服务”。常见于各类互联网平台，是代替他人注册账号，目的是为了批量注册账号或帮助不熟悉操作的用户完成注册的一种服务。

【释义】

在营销欺诈场景，盗u是指通过非法手段窃取用户虚拟货币的行为，常用于诈骗链条中获取高价值数字资产进行洗钱或变现。

【释义】

指“买真退假”的欺诈行为，利用平台宽松退货机制，将收到的正品掉包为假货退回，从中牟利。

【释义】

在营销欺诈场景中，端外直举是指通过平台外部渠道（例如12315消费者投诉热线、邮政信访等官方渠道）进行直接举报营销欺诈行为的行为。这种举报方式绕过平台内部举报系统，通常用于更正式或强制性维权。

【释义】

在营销欺诈场景，空号检测是指通过技术手段批量或实时检测电话号码的状态，判断其是否为空号、正常在网号码、停机、关机等的一种行为。

【释义】

指使用同一设备同时运行多个账号，如虚拟机、多开工具，用于批量刷量、养号等操作，绕过平台设备风控。

【释义】

撸毛即“撸羊毛”。常见于互联网产品推广、羊毛党等场景，是指通过参与活动获取奖励，目的是通过参与各种活动获取小额奖励的一种行为。

【释义】

在账号风控场景，秒死是指“账号或设备在登录后极短时间内被封禁”，常见于异常环境登录、黑设备、同质化行为等触发平台风控机制。

【释义】

在黑灰产技术场景，破限是指“绕过平台或系统设置的限制规则”，如解除提现上限、破解等级限制、突破封号封禁，常配合技术手段实施。

【释义】

在营销欺诈场景，刷单是指通过伪造订单数据（如销量、评价、信誉）以欺骗平台算法和消费者、获取不正当曝光和转化的一种虚假交易行为。

【释义】

在电商刷单场景中，收菜是指刷单买手在完成下单流程后，实际签收刷单商品、确认收货并发布好评的行为，是刷单流程中的关键一环。“菜”即指商品，“收菜”隐含任务完成、回款可期的意思。

【释义】

在恶意赔付或刷单套利场景中，上车是指黑产用户参与某个当前有效的套利项目或活动的行为。由于此类项目通常有短暂的存活周期，“上车”隐喻为搭上某一波套利机会，若错过则需等待下一波。该词常用于灰产交流群中提示用户“项目仍可操作，要抓紧参与”。

【释义】

在营销欺诈场景，套现是指通过活动套利、虚假交易等方式将虚拟资产、平台补贴等非现金资源转化为现金收益的一种变现行为。

【释义】

在营销欺诈场景，吞刀是指“营销活动中的无效助力行为”，指在活动助力或拉新任务中，表面完成了助力操作，但由于系统识别为无效账号或重复行为，导致助力未生效，常见于拼团砍价等社交裂变活动中。

【释义】

在营销欺诈场景，下机号即“已登出设备账号”。常见于各类互联网平台，是指那些曾经在某个设备上登录过，但现在已经登出的账号，可能被用于二次利用的一种账号状态。

【释义】

缩写“无违规教程”，指在平台账号无明显违规前提下，通过技术或运营漏洞实现账号处罚的操作攻略（如恶意举报教程）。

【释义】

在营销欺诈场景，炸码是指“通过攻击手段使二维码失效”的行为，黑灰产利用DDOS等方式攻击引流二维码，致使对手的二维码链接无法使用，用于打击竞争对手引流渠道。

【释义】

在营销欺诈场景中，直登号即“免验证登录账号”。常见于账号交易、批量操作等场景，是可以直接登录的账号，通常指无需验证码或密码，目的是方便快捷地使用账号的一种账号类型。

【释义】

在营销欺诈场景，籽料是“资料”的谐音写法，通常用于规避敏感词审查，指涉个人信息、账户信息等素材。

【释义】

在营销欺诈场景中，指同一人同时扮演买卖双方角色，进行虚构交易以骗取平台补贴或完成套现操作。

【释义】

在营销欺诈薅羊毛场景里，炸鱼是指通过发布虚假活动、误导信息等方式，引导他人参与所谓的“福利”或“薅羊毛”项目，但实际却趁机“反撸”他人、骗取对方首单投入或佣金的一种诱骗行为。常见于灰产项目“钓鱼引流+反向获利”环节。

02 直播欺诈场景

直播场景相关的黑话词汇，揭示了在直播场景中，黑产通过回收礼物、虚构活跃、操控账号等方式进行刷量与变现套利，套取平台补贴并扰乱正常运营秩序的行为。

【释义】

在直播行业场景中，超市是指在某一直播平台上，专门以低价回收游客包裹中礼物的黑灰产组织或账户。这类组织常长期活跃，通过折现变现方式从游客手中收购抽奖所得道具，实现灰色套利。

【释义】

在直播场景中，仓播是指在仓库场景进行直播，以展示大量商品并进行快速售卖。

【释义】

在直播行业场景中，蛋糕店是指在某一直播平台中，以低价回收游客包裹中礼物的黑灰产组织。与“超市”类似，其本质为第三方灰产套利通道，用于将平台虚拟物品快速变现。

【释义】

在直播行业场景中，倒礼是指通过多个账号之间转赠虚拟礼物，以绕过平台限制、提升活跃度、骗取平台补贴或达成任务奖励的行为。

【释义】

在直播行业场景中，挂机抽奖是指用户或程序长时间在线挂在直播间，通过自动化手段参与抽奖活动，以获取礼物或平台奖励的行为。该行为多由脚本或工具辅助完成，是黑产“集团号”常见的操作方式之一。

【释义】

在直播行业场景中，回流是指游客将抽奖或平台活动中获得的礼物，以低价转卖给第三方变现的行为，属于直播平台虚拟资产的“场外流通”方式，是灰产套利的常见环节之一。

【释义】

在直播行业场景中，薅礼物是指通过参与平台抽奖、活动或利用低成本手段大量获取虚拟礼物，并通过回流渠道进行变现的行为。该行为常被黑灰产利用批量操作实现套利，属于平台资源薅取的一种方式。

【释义】

在引流场景中，开波是“开播”的谐音，表示开启直播进行带货或引流操作。

【释义】

在直播行业场景中，集团号是指一类在特定时间段内，有组织、有计划地大规模参与抽奖或任务以谋取收益的账号群体。通常由灰产操控，用于批量博取高价值道具或平台奖励，属于作弊套利行为的重要载体。

【释义】

在直播行业场景中，打粉是指通过各种方式为账号批量增加粉丝，目的是制造账号影响力，获取流量或进行商业变现的一种操作行为。

03 引流欺诈场景

引流场景下的黑话词汇，揭示了黑产在获取流量、操纵用户行为、规避平台风控方面的专业化手段。

【释义】

在引流场景中，AB引流是指通过两个账号在评论区对话或互动，一问一答地引导用户关注产品或服务的一种隐性引流策略。 常见的比如评论区用小号去问“怎么才能彻底祛痘啊”，然后在评论区用另一个号出来说“我都是用xx祛痘啊”。

【释义】

在引流场景中，A种B收是一种规避平台风控的运营策略：即A账号专注内容创作与流量吸引，进入平台流量池后，为避免大号直接导流至私域导致的违规风险（如私信受限、作品禁发乃至账号封禁），采用B账号（小号）作为“背锅侠”接收并处理流量，确保A账号安全无忧，实现长期稳健运营。

【释义】

在引流场景中，车头是指引流链路或投放阵列中的第一个账号、节点或入口，负责发起流量引导，类似“车队”的“领头人”。车头账号往往具备较高权重或活跃度，用于带动后续多个账号或内容快速增长。 车头账号在投放中承担流量启动和吸引用户的核心作用。

【释义】

引流场景中，车位是指用于引导用户进入某一内容或渠道的可用入口位置，常用于指代平台上的内容展现位、广告位或账号发布位资源。例如短视频平台的“热榜车位”、信息流广告中的“推荐位”等，常被用于承接流量或导流转化。 车位 = 内容/广告的展现“坑位”或曝光机会，圈内也会说“抢车位”“挂车位”。

【释义】

在引流场景中，导粉是指将用户从社交平台导流到其他平台的行为。

【释义】

在引流场景中，端内直举指在客户端内直接对某个视频或账号发起举报行为，通常用于竞争干扰。

【释义】

在引流场景，高粉号是指拥有大量粉丝的社交账号，常被用于发布广告、推广信息或配合引流，提升营销效果的一种工具账号。

【释义】

在引流场景，号商是指专门从事账号买卖的灰产从业者，提供各类新老账号资源，用于刷量、评论、引流等欺诈活动。

【释义】

在引流场景中，后端是指流量转化的承接环节，如商品详情页、交易页、公众号主号、私域等，是用户从前端转入后的实际成交或沉淀场所。

【释义】

在引流场景，机刷即“机器自动化刷量行为”。常见于电商、社交媒体、应用商店等场景，是通过机器或软件进行刷单、刷量等操作，目的是快速提升数据指标，如销量、阅读量、下载量等的一种行为。

【释义】

在引流场景，假粉是指“虚假社交媒体粉丝”，通常通过购买或程序生成等方式获取，目的是制造虚假人气、虚增账号影响力，常见于社交媒体、直播平台等引流造势行为中。