顶象进攻云业务平安情报中心监测发现，自政府生产券发放以来存在着大量套现、虚伪交易的危险，从而起不到真正促销费、拉动生产的杠杆作用，相同，政府的资金很大部分落到了歹意用户的口袋中。
黑灰产盯上政府生产券“蛋糕”
疫情之下，政府生产券胜利成为了促成生产的重要杠杆。
据顶象进攻云业务平安情报中心统计，疫情产生以来，全国有 28 个省市、170 多个地市兼顾中央政府和社会资金，累计已发放生产券 190 多亿元。2022 年，各地政府都在陆续进行分批发放各类生产券（文旅、餐饮、电商、购车、加油、家居、购房 / 车位等），通过收集各地政府发放生产券报道，在 2022 年内（截止 7 月 20 号），全国生产券发放规模已大于 166 亿，预估往年政府总体发放生产券规模会超过 200 亿。
而巨额的生产券发放大潮下，也让黑灰产再次盯上了这块“蛋糕”。在百度键入关键词政府生产券套现，其相干新闻多达 8800000 个。而在具体的新闻报道中更是不乏惊人的数字呈现。
诸如羊毛党细节生产券，套现获利一套房，190 亿的生产券，消费者只抢到 29%、太原某夫妇通过 POS 机扫码套现 20 多万、政府发放生产券累计应用 215.07 万，被套现生产补贴款约 120 多万元、生产券欺骗团体招揽青少年“套现”，涉款约 31 万港元等等。由此不难看出生产券背地的暴利。
黑灰产充当黑产中介，集中组织套现
那么，黑灰产是如何舞弊的？
据顶象进攻云业务平安情报中心剖析，黑产通过疏导用户舞弊的形式获取生产券后，通过实体店刷单的形式疾速将生产券耗费实现，在进行三方分成和返款。这一过程理论并未给当地经济带来任何刺激，对当地发放政府造成微小经济损失。
顶象进攻云业务平安情报中心显示，波及政府生产券、抢券、薅羊毛套现交易的 QQ 群将近 500 个，QQ 群聊人数最高达到 2500 多人，在线人数高达 600 多人，将近四分之一的人在参加生产券的抢购和套现流动；群里波及总人数近几十万人都在参加或关注生产券的交易信息，实在规模只会更大。
自 22 年 6 月份起，依据顶象进攻云业务平安情报中心跟踪发现，黑灰产针对政府生产券变现场景曾经有成熟的变现渠道。依据目前从黑产渠道获取的舞弊形式剖析来看，次要是通过黑产发放工作，刷手们通过真人真机刷取，并集中组织套现。因为生产券发放的平台次要在支付宝、微信、云闪付及建行生存 App 等各个大平台发放且各大平台本身风控能力较强；
另一方面，依据各地的生产券发放规定，获取生产券的用户根本都须要实现实人认证，并且须要开启相应的线上领取性能。黑产若想通过模拟器等舞弊软件，进行批量注册、养号等形式去实现批量刷券和套现，难度大、周期长，其投入的老本也十分高。而通过建设社交组群，以发放工作的形式可能通过刷手们在其实在账户真人操作，疾速实现刷券和套现，响应度较高，老本也绝对较低。从目前收集的情报来看，现阶段黑产在整个政府生产券套现的链路中表演中介的角色，赚取相应的佣金。后期筹备阶段，黑产会在各个社交平台建设生产券组群，并且在国内外社交平台，公布费解的广告信息，招揽刷手入群。同时，有套现需要的消费者也能够在 QQ 等社交平台，通过关键词搜寻的形式疾速找到相应的生产券套现群。
在招募肯定数量级的刷手后，黑产中介会通过人肉线上搜寻或机器爬虫的形式，抓取线上各地政府发放生产券的公布信息。通过整顿后，黑产会在各个生产券群公布各地生产券具体内容（包含发券工夫、地点、公布 app、生产券金额及应用办法等），疏导刷手们在指定的工夫内集中刷取生产券。
依据生产券的发放规定，生产券的支付除了要求参加账户须要实名认证外，还须要参加人必须要在生产券发放的当地能力支付，并且只能在当地的线下实体商铺进行生产。而群内招募来的刷手们通常来自全国各地甚至局部为境外用户。此时群内的黑产中介为了不便更多的刷手可能顺利参加其中，会提供更改定位的教程，并提供相应的软件。通过舞弊软件更改 IP、GPS 等，刷手们可能立即模仿成当地的用户，胜利参加领券。
商家单干 + 二手转让，最高套现金额可达千万
抢到券后如何应用？如何套现？依据顶象进攻云业务平安情报中心目前监测到的套现伎俩来看，次要有两种，一种是与商家单干刷单套现，一种是通过二手转让套现。黑灰产与商家单干刷单套现的规定个别是黑灰产中介首先会在群中公布生产券回收的价格、抽佣比例、返款工夫、返款形式等信息。并会协同当地的商家，提供线下实体店铺的收款二维码，用于批量虚伪交易。有动向发售生产券的刷手能够私信给中介进行接下来的“扫码”下单领取。前期商家会依照约定的比例返款给中介，中介在抽取佣金后，再将钱款返款给理论领取的刷手。
以一张通过云闪付发放的黔东南满 300-100 的生产券为例，中介首先通过微信发来一张具备核销生产券资质的商家的免费二维码，并告知出券人应领取金额，如 305 元，出券人扫描二维码理论收入 205 元后，把订单详情截图发回给中介，中介转给出券人 231 元，其中 26 元即为出券人“卖券”所赚的钱。
套现中介分为两种，一般中介和“高价车”，二者的区别是一般中介是秒返，即交易完结后立马返现，然而利润绝对较低；“高价车”利润较高，但不是秒返，个别会在交易完结的第二天返现。两者套现都是通过主扫（被动扫描商家二维码付款），而后通过支付宝返现给出券人。但这样的生产券套现形式也存在欺诈的危险。因为此笔订单理论是虚伪交易，现金支付后理论并未失去任何理论的商品或服务，商家或者黑产中介存在携款叛逃的可能。
除了通过商家“单干”变现生产券，黑灰产还将生产券以票面价值 5 折到 6 折的价格转卖给别人获利。顶象进攻云业务平安情报中心也在某二手交易平台发现有大量转手生产券的信息，波及山东、广东、安徽、江西、江苏等多地。单张生产券面值少则 20 元，多则 200 多元。有的发布者打包多种面值生产券以半价转卖，有的是单张半价发售。其交易的对象可能是当地的商铺进行单干套现，也有实在有购物需要的消费者为其进行代购行为。
通过以上套现形式，局部参与者获利颇多。一般参与者，一人一天，通过套现其中的一种生产券，牟利就达 4 千多元。
多端防控，阻断黑灰产套现路径
针对以上生产券套现的舞弊伎俩，顶象进攻云业务平安情报中心给出以下几个防控倡议：
1、终端危险环境监测客户端可集成平安 SDK，使其定期对 App 的运行环境进行检测，对于存在代码注入、VPN、hook、模拟器等危险，可能做到实时监控并拦挡。
2、客户端平安防护参加发券流动的 APP 或网页，能够别离部署 H5 混同防护及端平安加固，以保障客户端平安。
3、业务安全策略防控针对生产券刷券及套现的危险特色，可将领券及下单场景的申请接入业务平安风控系统。将终端采集的设施指纹信息、用户行为数据等传输给风控系统，通过在风控系统配置相应的平安防控策略，无效地对危险进行辨认和拦挡。
4、风控维度倡议
1）设施终端环境检测。辨认客户端（或浏览器）的设施指纹是否非法，是否存在注入、hook、模拟器等危险。同时针对伪造 GPS、IP 地址等行为进行检测和拦挡。
2）用户行为检测。基于用户下单付款行为进行策略布控。在生产券应用环节，依据下单行为重点对于商户短时间内取得大量扫码交易订单进行策略布控。同时联合生产券的面额和收款路径，对商户通过收款码取得大量等值面额的订单进行辨认和监控。
3）名单库保护。基于风控历史数据，对于存在异样行为的店铺或者刷手账号进行标注，积淀到相应的名单库。以便在后续发展的生产券流动中间接拦挡。
4）算法模型。线上数据有肯定积攒当前，通过风控数据以及业务的积淀数据进行建模，模型的输入能够间接在风控策略中应用。针对领券时辨认为存在危险的申请进行实时拦挡，如间接反馈“领券失败”，“网络拥挤”等。也可在生产券应用环节间接使其生产券应用失败。
5、防控产品组合倡议
1) 设施指纹 + 决策引擎：设施指纹能够针对端上危险进行辨认，例如注入、hook、模拟器等，配合决策引擎应用，能够实时发现危险并给予处理。
2) 业务平安感知（挪动版）：平安感知能够辨认发现挪动端危险，不仅能够笼罩设施指纹产品发现的危险，而且无需决策引擎，能够间接对挪动端危险进行处理，但与设施指纹 + 决策引擎组合的区别在于平安感知无奈应用业务字段，只防控挪动端层面危险。
最初，简略介绍下顶象进攻云业务平安情报中心。业务平安情报中心是顶象进攻云的集成服务。
顶象进攻星散成业务感知进攻平台、验证码、设施指纹和端加固等产品，以及业务平安情报、云策略等服务，领有丰盛的技术工具、数万个安全策略及数百个业务场景解决方案，具备情报、感知、剖析、策略、防护、处理的能力，提供模块化配置和弹性扩容，助企业疾速、高效、低成本构建自主可控的业务平安体系。