從註冊,拉新到活動,我們是如何被薅垮的

編輯導讀:每一個商家都會不定期地進行一些拉新活動,用低價或者免費的方式來吸引新使用者。但是這樣羊毛黨就不可避免,如果不加以控制,很有可能會成為活動中的一大隱患。本文作者結合自身經歷,在產品/運營基礎層面對註冊, 活動, 支付等方面提出一些安全建議,希望對你有幫助。

從註冊,拉新到活動,我們是如何被薅垮的

伴隨灰產行業的日益猖獗,幾乎所有有利可圖的平臺都會成為他們的“獵物”。結合自身經歷,本文將在產品/運營基礎層面對註冊, 活動, 支付等方面做一些安全建議。

一、註冊

註冊/登入是最基礎也是最重要的安全防護第一道閘門,這一層做好了, 日後能免去諸多煩惱。

介紹一下目前市面上針對註冊/登入這一塊的安全風險點和防範措施。

1. 虛擬號段註冊

所謂虛擬號段,是虛擬運營商的專屬號段,獲牌企業可以租用基礎電信運營商的行動通訊網路為使用者提供基於自身品牌的通訊服務。簡單理解為是運營商的“特殊代理”,但是實際的管理運營是脫離運營商的,所以個人去營業廳開卡,一般是不會給你虛擬號段的號碼。(一些鄉鎮和偏遠地區存在主動兜售虛擬號的情況)。

那麼利用這些虛擬號能做什麼 ?批次在平臺註冊小號,養號,賣號。

這是一個定時炸彈, 一旦平臺上新活動, 數十萬的小號一起上分分鐘讓我們知道什麼是“社會”。影響活動效果不說,嚴重的會導致很大的經濟損失,這是目前註冊環節最大的安全風險和挑戰。 金融類的產品在敏感操作的時候都會讓使用者實名認證,人臉識別,在一定程度上可以規避這種情況的發生,但是沒有辦法完全規避,後面會提到。

防範措施:

在註冊的時候,不允許虛擬號段註冊,並且在“修改手機號”,第三方登入後繫結手機號等環節均需要做統一處理。這是目前最簡單直接且消耗成本最低的防範方法。但是並非所有的平臺都要這麼做, 如果本身平臺有諸多不涉及經濟的業務功能,比如資訊,工具類,開放服務的平臺根據自身業務環境可以酌情放開。如果害怕因此導致了此類使用者流失,可以在使用者註冊的時候提示“使用者當前正在用虛擬號碼註冊, 為確保賬戶安全, 請撥打***** 獲取驗證資訊”,這一步的操作是為了確保當前操作的不是程式,是擁有通訊工具的真實個人。但是隨著灰產整體技術水平的提升,以及語音識別的技術升級,這個方法所起到的作用正在被減弱。

上文提到的是平臺自身建立安全規則,比較被動且手段單一,一旦有新的號段出來,我們就要去維護,消耗一定的管理和更新成本。目前市面上主流的雲平臺, 阿里,騰訊,網易等雲服務平臺均提供了針對註冊安全方面的服務,基於平臺掌握的大資料,配合相應的安全措施,實際體驗下來效果比自己搭建安全規則要好。有實力且使用者體量大的可以考慮。

目前已知開放的虛擬號段:

移動 1703 1705 1705 165

聯通 1704 1707 1708 1709 171 167

電信 1700 1701 1702 162

以及14開頭的上網絡卡專屬號段。

2. 換量/買量

透過流量呼喚或購買流量的方式來獲取新使用者。這裡有很多見不得光的操作:

純假量,進來的量來到平臺後動都不動, 好點的還註冊一下,從此就不活躍了

分時段分比例摻量:比1稍微智慧一點,多少還有點有價值的新使用者進來

“二道販子”:這裡的二道不是說轉手賺差價,是指用劣質或不想幹的流量來糊弄買方,如開發商在一個房產平臺買量,房產平臺用從同人平臺弄過來的流量把一群初中生的號扔過去了,你可知道開發商那邊的畫面是有多精彩 ~

防範措施:

依託自身能力搭建渠道監管平臺,或使用第三方渠道資料管理平臺對所有的渠道進行監控。在此之前公司需要根據自身曾經的經驗和友商的相關渠道轉化資料作為一個對比,用以衡量渠道質量的優劣

優先找認識的人,或知名平臺合作

儘量採用cps ,cpa 的計費方式,

CPC

和cpm是有錢人玩的

合作的條款明確列出流量的有效比例,從法律層面約束對方的行為

3. 驗證碼

驗證碼作為目前最基礎適用範圍最廣的登入手段, 是最容易被攻擊的薄弱點。

1)刷碼

暴力刷碼發生的情況不多, 但是一旦發生,就是直接的經濟損失。 如果你的驗證碼獲取次數是3次,刷子用100萬的訪問來刷你, 按照目前簡訊群發的價格在0。3 – 1毛之間計算, 直接的經濟損失是9千-3萬,這個月績效沒了。此類事情多發生在有正面衝突導致的蓄意行為, 或者被第三方當做肉雞,成為“簡訊轟炸機”的簡訊源。

有些平臺看似每天的驗證碼的服務訪問量沒有異常, 其實早已經是別人的‘肉雞’了。【簡訊轟炸機】沒用過也至少聽過,在‘黑帽’領域早已是一個成熟的基礎技能,在刷碼的時候可以虛擬出比真機還真的環境, 任你有千萬張良計, 我只靠“構建虛擬機器環境‘一招過牆梯打敗你。近幾年隨著各種與計算和大資料的投入,對於此類的安全時間的防禦有所提升, 但是基本是防禦手段剛出來,轉身就被攻破了,防守總是在供給之後,被動至極。

防範手段:

1、平日低調,多積德,不要逞強裝橫 。暴力刷碼是違F行為, 如若沒有特殊的情況一般不會引起這種事情發生。

2、搭建健全的驗證碼安全機制

APP獲取使用者手機的,裝置型號,IMEI號碼,篩出模擬器,必要時可以抓陀旋儀資料

驗證碼獲取時間間隔60s

設定每自然日【連續】獲取次數上限(單次機制, 不可重複使用)

當用戶連續獲取?次驗證碼,且沒有登入平臺, 開啟圖形/滑塊驗證。(此處不推薦鵝廠某些業務讓使用者傳送簡訊到固定號碼用以驗證當前是自然人在操作真實通訊裝置的措施。)

超過每日連續獲取上限,啟動號碼/IP鎖定機制。可分段鎖定,2小時,半天,一天;也可以直接鎖一天。分段鎖定需要根據情況設定解鎖後的獲取次數,一般這個次數都小於每日連續獲取閾值,這裡建議只給一次

設定每自然日【最多】獲取次數上限,超過將不能再觸發獲取驗證碼

連續?次觸發下發驗證碼,但是使用者未收到,提示使用者啟用語音驗證。這裡擴充套件一下語音驗證,作為簡訊驗證的輔助,一方面一定程度上防止被刷碼,一方面解決使用者獲取不到的情況。(不用擔心弱網環境下,使用者收不到驗證碼是否能撥打/接聽電話的問題。我們語音通訊所使用的底層技術還是2,3G的技術,對網路的要求比資料通訊的低,感興趣的自己去查資料)

驗證碼連續輸入錯誤?次, 即開啟圖形/滑塊驗證機制, 或開啟號碼/IP鎖定機制

避免將簡訊驗證碼暴露在返回中,驗證碼只存在服務端中並不能透過任何api直接獲取(測試環境隨意)

說一段扎心的真實情況,對於真·灰產大佬來說, 如果真的想在註冊,驗證碼上做手腳,以上的多種方法都是直接無效的。 雲控 + 雲手機(下圖)目前的技術已經非常成熟,且呈現規模化,團體化的趨勢。做金融和遊戲的對於這種應該都不陌生,可以說深惡痛疾,APP拉新, 拼團, 有羊毛可褥的地方他們就會出現,而且往往損失慘重。 可見我們所面臨的安全風險形勢依舊極其嚴峻 ,Pony哥一直在說的’科技向善‘是多麼的重要。

另外著重說一下對‘影象識別’安全機制自信的大佬們, 市面上已經有成熟的平臺來攻克該機制,而且支援的場景幾乎可以囊括市面上所有的圖形驗證方法。看下某平臺的打碼功能介紹,感受一波技術的力量:

從註冊,拉新到活動,我們是如何被薅垮的

二、活動

幾乎每個平臺都會做活動, 商品促銷, 拉新促活,品牌營銷 。在設計玩活動主體功能和流程以後, 請務必把活動的安全性列入必填項。

1. 以【簽到抽獎】為例介紹其中被忽略的安全漏洞

單裝置多次切換賬戶操作,這個也可以歸類到註冊的安全

未設定每日獎池價值上限。運營方案考慮的很完善的前提下可以忽略,但是如果獎品都是實打實的,請務必考慮這個問題。

未設定每日高價值獎品的數量上限,若單一獎品的價值非常高, 考慮其被抽中機率的同時,也要考慮被抽中的次數

大量小號簽到積累簽到積分,養號,積分兌換獎勵 。多見於金融平臺

2. 拉新

作為褥羊毛重災區的拉新活動, 幾乎所有有價值的拉新活動都沒能倖免。大多數情況, 我們對此束手無策,羅列一下拉新活動被褥時的慘狀:

巨量小號,抽底式襲擊活動, 短時間大量新人權益\獎品被褥走

一旦第一個“點火人”發現有漏洞可鑽, 《***攻略》一天內全網傳播,雖然也會帶來一定的傳播和新人註冊, 但是來的多是白嫖黨,對平臺意義不大,徒增很多“殭屍”使用者,且一定會伴隨公司的經濟損失或公司的公關/法務資源介入

對於滿足一定要求才能獲得獎勵的拉新活動,使用者可以完成要求條件獲得並使用獎勵後,發起售後\退款。這時候如果你和訂單狀態繫結即收貨以後獎勵才生效,會影響活動效果,如何取捨看公司對本次活動拉新轉化的重視程度和成本投入

使用者多個手機號, 自己拉自己,註冊量上去了,但是對於後續的業務轉化起不到很大作用

其他還有很多類似打榜/投票的活動,只要花點錢,大量的第三方投票平臺可以滿足你的各式各樣的花式需求,包括且不限於 :投票人的性別, 年紀, IP地址,裝置型號,投票頻次等等要求。價格可以低到幾分錢一個,花幾百塊弄個高價值的獎品,太值了。

再說個極端的銀行消費打榜的活動:在單位時間內消費金額達到多少即可參與活動, 金額前十名有額外的高價值獎品。只要獎勵價值足夠高,你設定多高的消費額度門檻都沒用,為什麼 ?因為屠榜的大佬人手十幾臺pos機,可設定消費的所在城市,商鋪型別甚至指定商鋪,刷到銀行懷疑本行持卡人消費竟然能如此兇猛!到最後才發現, 這不過是別人的常規操作, 損失就是套X 的手續費, 但是相比獎品完全可以忽略。後面把套出來的米還進去, 一出一進獎品到手還能累計大量的積分, 積分又能在平臺兌換一波獎品, 騷操作能把策劃整的哭暈在大堂的櫃檯 ,拉都拉不起來 ~

那~ 有沒有切實可行的方案解決褥羊毛的行為,讓平臺免受損失。

答案 :

沒有

為什麼這麼肯定,我們來看看強大如開水團的種果樹的活動被擼成啥樣了?!獲取獎勵的核心操作是拿到大量的化肥和水滴去澆灌果樹,促進果實成熟獲得獎品。提煉一下我們要的資源:化肥,水滴。化肥可以透過抽獎和購物獲得,水滴送的就用不完。平臺大量的1分錢的商品/服務,購買即可獲得大額水滴和話費,2、3天一箱水果真的不要太香啊。

活動開始還發生了我上面提到的使用者購買後拿到獎勵發起退款的現象,後面更新了活動規則:退款過多會永久刪掉獎勵對應的任務。但是還是架不住’智慧‘的人民,有的是購買超低價商品,有的則是買了券以後不消費等過期平臺自動退款, 但是化肥&水滴獎勵我已經拿到。這個是使用者在平臺規則下正大光明的鑽你的規則漏洞,無可奈何。

最近果樹成熟的進度已經擴充套件到小數點後三位了,而且每次澆水的進度提升比例也降了不少。一方面可以看出’智慧‘的使用者佔比不少,另一方面也看出這個活動在一定程度上對促活和訂單轉化確實起了很大作用。

大廠尚且如此,初創和中小規模的企業的狀況就不用多言了。但是我們在做活動的時候,是不是要嚴格控制活動規則?恰恰相反,不能。使用者已經被十分甜的蜂蜜甜過了,如果給他們七分甜、半糖,那活動效果勢必要打折扣的。建議還是設定常態化的規則,且在成本允許的範圍內儘量基於新使用者更多的獎勵,而產品和運營要費心思在

獎勵的規則的制定

上。目前常見的操作是:時效性(如當日有效),範圍設定(不一定是使用者需要的商品,但是一定是高利潤 或 壓倉庫存),連續性(一環獎勵被用掉後面還有新獎勵,程度逐步遞減)。

無論如何設定無外乎從2個方面做文章 :時間成本,訂單總額/量。短時間內促進使用者使用獎勵下單,或持續的訂單才能獲取持續的獎勵,不斷的用獎勵提升使用者的復購頻率,以此獲取的營收來抵消部分平臺損失。但是現實中活動通盤算下來計入採購,運輸,倉儲,人力成本過半的活動都是虧錢的,而透過活動引入的流量如果運營得當能夠在平臺持續活躍&留存,時間疊加最終會轉虧為盈,前提是公司能撐得住。

關於活動說的有點囉嗦,這塊遇到的騷操作實在太多,還有些騷斷腿的案例就不拿出來了,以免有心人有樣學樣。

三、支付

移動支付的興起,在方便大家生活的同時在一定程度上讓大家的財產不那麼安全了,目前對於人民群眾的支付安全多有以下幾種 :

使用者端:

木馬和病毒:司空常見的事情,縱然國家、單位都非常重視宣傳了, 但是奈何每年都有這樣的事情發生

釣魚簡訊,郵件:開啟不明連結輸入手機號, 獲取驗證碼。銀行轉賬簡訊就過來了

二維碼:替換收款二維碼,識別二維碼後是個病毒連結

小渠道下載的APP:這條針對男士,不細說,懂得都懂。

平臺端:

惡意下訂不支付:字面意思很明白就是到了支付頁面不支付,鎖定商家庫存,干擾正常銷售。近期鬧得非常厲害的“顯示卡爭奪戰”,再一次上演了這種操作。主要影響的是平臺端的個別商家/黃牛的利益,於平臺和品牌形象來說,這樣的操作打出來的傷害還不如拔罐,很快就過去了

惡意退款:使用者頻繁的購買大額商品,後發起退款。這種操作對平臺影響不大,但是像吃了蒼蠅一樣難受,早期曾用於信用卡提額,目前主流的支付平臺都和政府監管平臺打通 ,這個現象少了很多

洗Q : 主要是針對金融, 遊戲,以及某些大宗交易平臺來說,目前仍然是灰濛濛的一片,雖然國內已經出現了可以處理相關業務的公司,但是還沒有切實有效的全面防禦手段,只能寄希望政府能出面牽頭聯合各大金融機構一起提升該方面的數字化建設

網路攻擊:主要有協議漏洞(靜默簡訊,偽基站,IMSI捕獲,GSM中間人),程式碼實現漏洞(TMSI溢位,intel/Comneon,AUTU溢位,Qualcomm,SMS PDU溢位)等手段替換或篡改支付資料,使用者的touchID、faceID一旦被攔截並複製,後果 …

無論我們只是一個有支付收銀臺頁面的小可愛,還是具有支付中心平臺支撐能力的大中型企業,都應該足夠重視支付環境的安全,保護使用者的財產安全。

最後:真誠希望以上所述大家永遠遇不到, 真誠希望人心向善,每個個體都用善意的心態去推動這個國家的經濟建設和商業發展不斷先前。

本文由 @漢武帝 原創釋出於人人都是產品經理,未經作者許可,禁止轉載。

題圖來自Unsplash,基於CC0協議。

頂部