2024年ღ◈，互联网黑灰产攻击依旧严峻ღ◈。不管是在黑灰产团伙规模ღ◈，还是攻击资源ღ◈、攻击技术的应用以及攻击场景的演变ღ◈，均出现了较大的变化ღ◈。
在攻击资源方面ღ◈，2024年威胁猎人捕获全球新增作恶手机号1600多万例ღ◈，日活跃作恶IP1170万例ღ◈，较2023年大幅提升ღ◈。为躲避风控监测ღ◈，黑灰产不断升级技术寻找更加隐蔽的攻击资源ღ◈，如通过在正常用户设备植入木马将其IP作为攻击资源ღ◈、“商户洗钱”产业链快速发展等ღ◈。
在攻击技术方面ღ◈，2024年黑产团伙对通用技术的应用也有新的发展ღ◈，如滥用“子母机”绕过身份认证ღ◈、利用“NFC远程传输软件”进行境外洗钱ღ◈、定制化云手机系统提升攻击效率等等ღ◈。
在攻击场景方面ღ◈，线上业务欺诈ღ◈、金融贷款欺诈ღ◈、品牌广告欺诈ღ◈、API攻击ღ◈、钓鱼仿冒ღ◈、数据泄露ღ◈、电信网络诈骗等场景热度持续高涨ღ◈。线上业务欺诈已进入深水区ღ◈，全行业ღ◈、全业务环节无差别攻击ღ◈；“王星事件”更是进一步提升了公众对电信网络诈骗的关注度ღ◈。
威胁猎人发布《2024年互联网黑灰产趋势年度总结》ღ◈，基于对2024年互联网黑色产业链的深入研究ღ◈，从2024年黑灰产攻击资源ღ◈、攻击技术ღ◈、攻击场景等维度进行分析ღ◈，客观呈现2024年互联网黑灰产的整体发展态势ღ◈，旨在从情报维度帮助各行各业企业提升对黑灰产的认知ღ◈，从而进一步完善风控策略凯时APPღ◈。
1.1.1 2024国内作恶手机号新增数量超800万ღ◈，较2023年提升30%据威胁猎人情报数据显示ღ◈，近年来国内作恶手机号数量持续上涨ღ◈，2024年新增量级
从2024年国内猫池卡数量的变化趋势来看ღ◈，2月ღ◈、6月到9月期间ღ◈，新增国内猫池手机卡数量呈现下滑趋势ღ◈。
2丰丸ღ◈、6-9月期间ღ◈，由于监管机构加强打击ღ◈，多个发卡平台被关停ღ◈，部分卡商被捕ღ◈，造成供应减少ღ◈，导致新增猫池卡数量下降ღ◈。
威胁猎人情报数据统计显示ღ◈，2024年国内新增猫池卡归属地省份（含直辖市）主要集中在上海ღ◈、北京和辽宁省ღ◈。
ღ◈。威胁猎人关注到ღ◈，今年上海的猫池卡在全年各月均保持较高数量ღ◈，活跃在发卡平台的头部卡商今年也持续提供上海猫池卡ღ◈。
值得关注的是ღ◈，威胁猎人情报数据显示丰丸ღ◈，自2024年3月起ღ◈，归属地为中国香港的风险手机卡交易数量大幅增长ღ◈，9月份达到峰值ღ◈。
由于下游诈骗黑产需求旺盛ღ◈，中国香港手机号因可注册国内外应用ღ◈、成本低ღ◈、可用时间长等特点ღ◈，仍被黑产大量需求ღ◈。
香港手机卡接码服务的在线使用时间相对其他境内卡更长ღ◈，一般可保证一个月重复使用ღ◈，而其他境内手机卡一般为数日ღ◈；
香港卡支持多种接码形式ღ◈，目前威胁猎人在接码平台ღ◈、发卡网站ღ◈、私域接码均发现了香港相关手机卡的作恶记录ღ◈。
威胁猎人情报数据显示ღ◈，今年国内新增猫池卡的归属运营商主要为基础运营商ღ◈，占比高达76.42%ღ◈，相比去年提升了14.51%ღ◈。
威胁猎人情报人员通过调研发现ღ◈，今年三大运营商占比提升ღ◈，主要是很多企业进一步提升对虚拟运营商手机卡的风险控制ღ◈，导致黑产对国内三大运营商的手机卡资源需求增加ღ◈。
威胁猎人持续监控黑灰产作恶资源来源渠道变化趋势ღ◈，发现作为猫池卡主要贡献渠道的发卡平台在2024年数量大幅增加ღ◈，但生存周期缩短ღ◈：
2024年新出现了171个猫池卡发卡平台ღ◈，同步2023年增长39.37%ღ◈，但其中有24%的猫池卡发卡平台运营时间不足一周ღ◈。威胁猎人进一步调研发现ღ◈，
此外ღ◈，威胁猎人对目前还存活的猫池卡相关发卡平台进行测试发现ღ◈，一些黑灰产为了防止被监管打击ღ◈，会采取一些较高的安全措施ღ◈，包括但不限于
据威胁猎人情报数据显示ღ◈，2024年国内新增拦截卡大幅增加ღ◈，共有196.64万例ღ◈，较2023年增长405.50%ღ◈。
威胁猎人研究发现ღ◈，一月份拦截卡数量大幅提升是因为去年年底新出现的一个拦截卡渠道ღ◈，投放了大量拦截卡资源ღ◈，2024年该渠道贡献拦截卡数量近百万余例ღ◈，占今年整体数量的48.82%ღ◈。但该渠道在2024年6月到7月期间暂停活跃ღ◈，最终在2024年12月停止运营ღ◈。
威胁猎人情报数据统计显示ღ◈，2024年国内新增拦截卡归属地省份（含直辖市）主要集中在广东ღ◈、山东和四川ღ◈。
威胁猎人情报数据显示ღ◈，今年国内新增拦截卡的归属运营商98.99%为基础运营商ღ◈，归属其他运营商的占比1.01%ღ◈。
威胁猎人研究发现ღ◈，拦截卡的接码方式也逐渐从传统的拦截卡平台接码模式转变为“群接码”模式 ღ◈。
这种模式下ღ◈，拦截卡卡商隐藏真实号码ღ◈，仅展示打码号码ღ◈，只有黑卡购买者可获取完整号码完成接码作恶ღ◈。
卡商可通过“群接码”模式隐蔽真实的平台信息ღ◈，不将平台的敏感信息暴露于使用者ღ◈。目前ღ◈，通过“群接码”渠道日均捕获作恶短信记录1269例ღ◈，作恶记录最高峰为11月ღ◈，捕获作恶短信记录近6万例ღ◈：
1.2.1 2024年日活跃作恶IP有1178万ღ◈，较2023年提升95.68%据威胁猎人情报数据显示ღ◈，近年来日活跃作恶IP数量持续上升ღ◈，2024年日活跃作恶IP数量达到1178万ღ◈，较2023年增长95.68%ღ◈。
威胁猎人研究发现ღ◈，2024年国内作恶IP的大幅增长主要是劫持共用代理IP数量急剧增长导致ღ◈。2024年ღ◈，国内劫持共用代理平台发展迅速丰丸ღ◈，威胁猎人捕获劫持共用代理IP数量超4000万ღ◈，占比从去年14.91%提升至今年的51.47%ღ◈，且超过普通代理IP的占比ღ◈。
指被黑产恶意劫持的正常用户IP资源ღ◈。黑产通过在正常用户设备中植入木马ღ◈，通过木马在正常用户网络上建立代理通道ღ◈，且每次使用时间很短ღ◈，因此普通用户难以感知到自己的IP被盗用ღ◈。威胁猎人在2024年1月已把这类IP标记为“劫持共用代理IP”风险标签ღ◈。
威胁猎人情报数据统计显示ღ◈，2024年国内活跃的作恶IP归属省份（含直辖市）主要集中在江苏省ღ◈、广东省和河南省ღ◈。其中ღ◈，河南省量级提升最大ღ◈，提升了54.45%ღ◈，排名也从23年的第六到了第三ღ◈。
随着网络安全监管及企业风控策略的增强ღ◈，为规避风控检测和追踪ღ◈，黑产也在升级技术尝试挖掘更加隐蔽的IP攻击资源ღ◈。
近年来ღ◈，威胁猎人陆续发现正常用户与不法分子混合使用的作恶IP类型ღ◈，并对其进行深入研究ღ◈，于2024年推出「劫持共用代理IP」ღ◈、
是指被黑产恶意劫持的正常用户IP资源ღ◈。威胁猎人发现ღ◈，黑产通过在正常用户设备中植入木马ღ◈，通过木马在正常用户网络上建立代理通道ღ◈，且每次使用时间很短ღ◈，因此普通用户难以感知到自己的IP被盗用ღ◈。劫持共用IP大部分时间是正常用户的常规行为ღ◈，仅少数时间被黑产劫持用于短暂恶意行为ღ◈，因此
ღ◈，这就使得黑产使用劫持共用IP的成功率往往高于普通代理IPღ◈，导致越来越多的平台转向劫持共用代理IP资源ღ◈。这类劫持共用代理IP在2023年底出现ღ◈，2024年快速发展ღ◈、数量急剧增加ღ◈，2024年威胁猎人捕获劫持共用代理IP超4000万ღ◈，同比增长341.81%ღ◈，且超过了普通代理IP的数量ღ◈。
云服务技术为各行业带来便利的同时ღ◈，也在被黑产滥用ღ◈。一些黑产将云技术成果转为作恶工具ღ◈，如借助云服务搭建代理IP资源池ღ◈、利用云手机的群控设置向企业发起攻击等ღ◈。
威胁猎人发现ღ◈，一些攻击者为了掩盖真实源IPღ◈，会利用云计算平台的云函数IP搭建代理IP池执行攻击ღ◈，或者利用云手机的群控配置执行批量攻击ღ◈，威胁猎人将这两种方式产生的IP定义为「云服务IP」ღ◈、「云手机IP」ღ◈。
不管是云服务IP还是云手机IPღ◈，都是广泛服务众多正常用户ღ◈，因此平台风控一般会直接将其视为正常用户ღ◈，忽视了它们的作恶行为ღ◈。
2024年ღ◈，威胁猎人加强对海外作恶IP进行的监测ღ◈，2024年共捕获海外作恶IP4479万个ღ◈，相比2023年提升了102.14%ღ◈。
国内作恶IP主要以家庭宽带IP为主ღ◈，占比将近90%ღ◈，国内作恶代理IPღ◈、秒拨IP和劫持共用代理 IP都与家庭宽带密切相关ღ◈；
虽然家庭宽带占比也是最大ღ◈，但移动网络占比也比较高ღ◈，超过40%ღ◈，进一步分析发现ღ◈，这些IP主要来自流量卡ღ◈，通过频繁切换飞行模式来实现IP变化ღ◈。
1.3.1 2024年涉及洗钱的银行卡资源分析威胁猎人对捕获到的33.6万张参与洗钱的银行卡进行分析ღ◈，主要分为涉赌卡ღ◈、跑分卡和涉诈卡三种类型ღ◈，其中涉诈卡占比最大ღ◈，达到42.03%凯时APPღ◈。
涉赌卡ღ◈：活跃在赌博平台中ღ◈，为赌博平台内收款使用的银行卡ღ◈，常被用于赌博平台内进行充值收款行为凯时APPღ◈，关联的资产涉及到赌博洗钱行为ღ◈。威胁猎人通过人工和自动化结合的方式ღ◈，从各类赌博平台中采集用于收款行为的银行卡账号信息ღ◈。
活跃在跑分平台ღ◈，为跑分份子使用的银行卡ღ◈，常被用于各种非法来源资金的流通交易ღ◈。威胁猎人通过自动化的方式ღ◈，从跑分平台APP中获取到跑分订单中的银行卡账号信息ღ◈。
在各类匿名社交黑产群聊中ღ◈，被诈骗团伙购买用于洗钱的银行卡ღ◈，常用于诈骗类黑资金转移ღ◈。威胁猎人通过自动化的方式ღ◈，从各大匿名社交黑产群聊中发送的记录中ღ◈，提取出诈骗团伙所使用的银行卡账号信息ღ◈。
威胁猎人通过对三类洗钱卡的监测数据发现ღ◈，归属为六大国有银行的洗钱卡占比最大ღ◈。这主要是因为其覆盖范围广ღ◈、客户基数大ღ◈，因此也更容易被黑产利用作为洗钱工具ღ◈。
1ღ◈、三种类型的洗钱银行卡归属省份TOP10（排名有先后）都是广东ღ◈、广西ღ◈、江苏ღ◈、湖北ღ◈、山西ღ◈、河南ღ◈、重庆ღ◈、四川ღ◈、山东ღ◈、云南ღ◈，
2ღ◈、三种类型的洗钱银行卡归属城市TOP10（排名有先后）都是深圳ღ◈、广州ღ◈、重庆ღ◈、东莞ღ◈、上海ღ◈、武汉ღ◈、晋城ღ◈、郑州ღ◈、成都ღ◈；且
威胁猎人研究发现ღ◈，2024年参与洗钱的银行卡ღ◈，超过50%的卡只在1天内活跃ღ◈，其中涉诈卡在1天内活跃的占比达到84.03%ღ◈，高于跑分卡的66.33%ღ◈，和涉赌卡的52.58%ღ◈。
这也说明ღ◈，洗钱场景下ღ◈，黑产更倾向于快速完成交易ღ◈，具有明显的短期ღ◈、高频操作特点ღ◈，尤其是在诈骗洗钱场景下更明显ღ◈。
对公账户指以公司名义在银行开立的账户ღ◈，洗钱对公账户指被黑产用于非法资金清洗的银行对公账户ღ◈，因对公账户具有收款额度大ღ◈、转账次数多等特点ღ◈，使得“对公账户”常常作为黑钱转账的集中点及发散点ღ◈。
2024年ღ◈，威胁猎人持续监测黑产在洗钱过程中所使用的银行对公账户资源ღ◈，根据威胁猎人情报监测洗钱对公账户数据显示ღ◈，2024年ღ◈，新增洗钱对公账户数量大幅上涨ღ◈，同比2023年增长了58.05%ღ◈。
威胁猎人情报数据显示ღ◈，参与洗钱的对公账户归属银行类型分布中ღ◈，城市商业银行排行第一ღ◈，占比30.63%ღ◈。
进一步分析发现ღ◈，今年城商行对公账户数量较2023年上升8.13%ღ◈，农信社和农商行的对公数量较比2023年分别上升5.48%和3.48%ღ◈，而六大国有占比下降11.21%ღ◈。
威胁猎人研究发现ღ◈，洗钱团伙除了使用个人银行卡ღ◈、对公账号等进行洗钱外ღ◈，也会利用“商户账号”进行洗钱ღ◈。
“商户”通常指具有合法营业资格的商户商家及商户账号ღ◈。近年来ღ◈，诈骗或洗钱团伙开始利用商户账户收取“黑钱”来洗钱ღ◈，使用商家资质开通的收款账户基本没有收款额度限制ღ◈，可支持花呗ღ◈、信用卡等多种付款方式ღ◈，相比传统洗钱方式会更隐蔽和高效ღ◈。
威胁猎人在2024年针对“商户洗钱”产业链进行重点研究ღ◈，发现目前已出现了“商户代收”（商家码）ღ◈、“扫街码”ღ◈、“商户反扫”ღ◈、“商户代付”（核销码）等多种商户洗钱方式ღ◈。
威胁猎人情报数据显示ღ◈，2024年参与洗钱的商户数量持续增多ღ◈，下半年相比上半年增长了141.42%ღ◈。
威胁猎人情报人员对参与洗钱的商户进一步分析发现ღ◈，这些商户涉及80多个行业ღ◈，其中零售业商户占比最多ღ◈，超过了40%ღ◈，其次是批发业ღ◈、餐饮业ღ◈。这类行业具备资金流动频率高ღ◈、交易对象多ღ◈、资金结算快等特征ღ◈，这些特征正符合黑产洗钱的要求ღ◈，黑产利用此类商户洗钱更不容易触发风控ღ◈。
ღ◈。收单机构既有企业性质的第三方收单机构ღ◈，也有银行自身作为收单机构角色ღ◈。在威胁猎人监控的300多家涉及商户洗钱风险的收单机构中ღ◈，银行自身作为收单机构的占比最多ღ◈，达到84.17%ღ◈。
从2024年不同类型邮箱数量来看ღ◈，2024年捕获邮箱20.41万个ღ◈，其中低风险企业邮箱占总量76.58%ღ◈，高风险邮箱（临时邮箱）占比4.57%ღ◈，今年新增邮箱主要集中在企业邮箱ღ◈。
威胁猎人研究发现ღ◈，由于各企业拥有不同的业务环境和风险控制措施ღ◈，黑产组织针对这些企业所采用的恶意工具ღ◈、攻击服务也呈现出多样性ღ◈，但通过深入分析这些工具的底层技术特征ღ◈，我们可以将攻击服务划分为“过身份”ღ◈、“多身份”ღ◈、“批量化”三大模块ღ◈，其中每个模块涉及到多种底层攻击技术ღ◈，这些技术是实现各类具体攻击行为的关键所在ღ◈。
威胁猎人研究发现ღ◈，2024年黑灰产利用“子母机”技术ღ◈，可使两台手机同时登录同一平台账号ღ◈，利用这一技术ღ◈，黑产可实现两个人同时共用一个平台账户完成平台相关操作ღ◈。“子母机”的应用逻辑是ღ◈：黑产先用母手机登录账号完成身份认证ღ◈，在通过代码劫持获取账号的Cookieღ◈、设备环境等信息ღ◈，再将这些信息复制到子设备上ღ◈，替换其原始文件ღ◈，并让子设备读取新信息ღ◈。
目前ღ◈，出行ღ◈、外卖等行业已出现此类工具的售卖ღ◈，可能导致未经培训或资质不符的司机/外卖员违规上岗ღ◈，不仅影响平台的服务质量ღ◈，还可能危及平台用户的人身安全ღ◈，给平台带来更大的损失和名誉受损ღ◈。
② 然后ღ◈，通过劫持等方式把A手机上的cookie和设备环境信息等ღ◈，复制到B手机上ღ◈；③ B手机此时掌握在B师傅上ღ◈，但B手机上的信息ღ◈，是A师傅的账号信息ღ◈；
④ 每次人脸认证时ღ◈，只需要在A手机上进行认证ღ◈，即可在两台手机上都生效ღ◈，A丰丸ღ◈、B师傅都可继续使用账号进行业务操作ღ◈。
NFC（近场通信）是一种短距离无线通信技术ღ◈，有效距离通常在10cm以内ღ◈，广泛应用于移动支付（如Apple Payღ◈、Google Pay）ღ◈、门禁卡ღ◈、数据交换等领域ღ◈。所谓NFC远程传输ღ◈，指的是先通过NFC技术读取设备信息ღ◈，再借由网络远程传输这些信息ღ◈。例如ღ◈，设备A读取IC卡信息后ღ◈，通过特定应用将信息发送至服务器或设备Bღ◈，设备B即可模拟该IC卡使用ღ◈。
黑灰产正是利用这一技术ღ◈，实现IC卡信息的远程读取与复原ღ◈。即使手机设备B与IC卡物理上分离ღ◈，也能执行如POS机支付等操作ღ◈。
黑产将国内信用卡信息远程传输至国外设备ღ◈，利用这些信息进行POS机消费ღ◈，购买奢侈品ღ◈、珠宝等ღ◈，从而绕过信用卡交易的地理限制ღ◈，完成洗钱行为ღ◈。
① 该软件介绍“不受时间及国界限制ღ◈，无论何时何地都能完成交易”ღ◈、“可实体ღ◈，可虚拟ღ◈，支持所有钱包”ღ◈；
威胁猎人在2023年发布的《互联网黑灰产研究年度报告》中指出ღ◈，云手机平台的配套服务日益丰富ღ◈，黑产技术呈现出集成化ღ◈、服务化的特点ღ◈。2024年ღ◈，我们继续跟踪观察发现ღ◈，云手机平台不仅集成化ღ◈、服务化趋势愈发明显ღ◈，定制化趋势也愈发成熟ღ◈。
服务化主要提供完善的基础攻击工具ღ◈，让用户基于这些工具实施攻击ღ◈。而定制化则是云手机平台针对特定app进行风控绕过ღ◈、开发对应的作恶脚本ღ◈，并集成到云手机系统中ღ◈，供用户直接使用ღ◈。
黑产为其定制开发的云手机系统涵盖了注册ღ◈、养号ღ◈、引流变现等完整攻击流程的自动化实现ღ◈。这不仅降低了攻击者的准入门槛ღ◈，使新手也能进行傻瓜式操作ღ◈，还让攻击者无需关注风控层面的对抗ღ◈，从而极大提升了攻击效率ღ◈。
本报告中的线上业务欺诈场景不局限于传统营销活动欺诈攻击ღ◈，只要是所有干扰业务正常运营ღ◈，从正常的业务开展中牟利的恶意行为ღ◈，都被称之为“业务欺诈攻击”ღ◈，如营销欺诈ღ◈、恶意引流ღ◈、刷量欺诈ღ◈、认证绕过等ღ◈。
ღ◈。2024年12月业务欺诈相关情报出现暴涨现象ღ◈，威胁猎人情报人员进一步分析发现ღ◈，12月增长量中超过一半源自匿名群聊上的情报信息ღ◈，这一现象主要是因为一些大型赌博黑产团伙线上赌博活动频繁ღ◈，以及跑分洗钱团伙通过多账号进行广告“招商”和暴力引流所导致ღ◈。
2024年ღ◈，威胁猎人捕获业务欺诈活跃作恶网站/论坛（暗网除外）月均163个ღ◈，全年作恶帖子总量926万例ღ◈：
威胁猎人风险情报平台为客户提供风险情报挖掘和事件预警服务ღ◈，支持将黑灰产原始线索深入分析并结构化为有效的攻击事件ღ◈。
ღ◈。通过对这些攻击事件进一步分析ღ◈，我们发现业务欺诈攻击已经渗透到多个行业ღ◈、多个业务ღ◈。也就是说ღ◈，线上业务欺诈针对不同行业ღ◈、不同业务环节呈现“无差别攻击”ღ◈，任何有利可图的地方都是黑灰产的攻击目标ღ◈。
通过对攻击事件进行热词提取ღ◈，我们发现当前业务欺诈攻击不局限于过去专攻注册登录ღ◈、领券抢单等业务ღ◈，
随着业务风控能力的不断提升ღ◈，大多数典型的机器作弊行为已被有效识别ღ◈。尽管一些高端黑产仍在使用定制化技术进行对抗ღ◈，但越来越多的黑灰产开始转向真人众包作弊方式进行攻击ღ◈。
从威胁猎人捕获到的情报信息来看ღ◈，2024年ღ◈，真人作弊行为变得更加定制化ღ◈，角色多样化ღ◈，且界限模糊ღ◈。主要体现在以下几方面ღ◈：
2024年以来ღ◈，威胁猎人共捕获到889万个众包任务ღ◈，月均超过63万个ღ◈，高峰时期甚至达到100万个ღ◈。
这些专项任务可能包括变相刷单ღ◈、浏览酒店页面以增加浏览量ღ◈、或使用真人账号挂机爬取平台商品数据等ღ◈。
参与者按照APP提供的教程ღ◈，针对指定的入住平台ღ◈、日期ღ◈、地区和酒店名称ღ◈，截取酒店页面的价格信息并上传ღ◈。APP会自动通过OCR技术识别并提取价格信息ღ◈，参与者随后可以领取相应的佣金ღ◈。
黑灰产以兼职名义创建群组ღ◈，组织ღ◈、招募真人使用其账号对指定电商平台商品链接进行访问ღ◈，按要求获取商品对应件数ღ◈、对应活动条件的到手价格上传表格ღ◈。
欺诈角色边界逐渐模糊ღ◈，越来越多的真人用户通过研究和利用平台业务的“正当”规则进行恶意牟利ღ◈。
近几年ღ◈，各平台层出不穷的多倍赔付ღ◈、仅退款教程ღ◈、价保退款攻略ღ◈，更多反映了在黑灰产“引导”下ღ◈，以平台真人用户为主的欺诈趋势ღ◈。案例ღ◈：威胁猎人捕获了一起羊毛用户利用平台保价政策结合支付券识别漏洞丰丸ღ◈，“0撸”或低价购买平台商品ღ◈，该类攻击短时间内对平台和开通价保的商家造成了大额的损失和退款ღ◈。
羊毛党发现某平台某类商品可领取满减优惠券和支付券（合作银行或平台品类）ღ◈，但二者只能选择其一使用ღ◈；羊毛党通过支付券购买了这款商品ღ◈，然后利用商家的保价政策规则申请店铺满减优惠券保价金额（商家看不到用户使用了支付券ღ◈，因为是不同平台）ღ◈，最终达到0撸或低价购入ღ◈。
威胁猎人情报人员针对这类型漏洞攻击进行分析ღ◈，发现羊毛党主要利用了两个方面的漏洞ღ◈：首先ღ◈，他们利用了保价政策中对店铺优惠券的补偿机制ღ◈，该机制原本是为了在短时间内对用户发放补偿ღ◈；其次ღ◈，他们利用了保价政策无法识别已使用支付券优惠的漏洞ღ◈。这使得黑产分子能够同时“享受”两种优惠券的优惠ღ◈。这种行为在短时间内对平台和开通价保的商家造成了大额的损失和退款ღ◈。
黑灰产业链能够持续不断地高效运作离不开上游资源交易和下游套利变现ღ◈，上游黑产通过特定渠道采购账号ღ◈、工具ღ◈、手机号等攻击资源ღ◈，下游黑产通过各种渠道（发卡网站和二手闲置交易平台等）ღ◈，将持有的上游攻击资源以及攻击所得的优惠券ღ◈、现金券ღ◈、会员权益ღ◈、实体商品等进行变现ღ◈。
ღ◈，大量活跃交易商品和丰富品类表明黑灰产攻击活动仍处上升期ღ◈、持续运转ღ◈。商品交易市场的流动ღ◈，实则破坏了平台用户和玩家的平等权益ღ◈，缩减ღ◈、损害了业务方的预期收益ღ◈。
各商品大类下存在多个细分丰富商品ღ◈，如会员权益类包含合作平台联合权益的会员转卖ღ◈、等级vip权益ღ◈；优惠券类包含平台红包ღ◈、优惠券ღ◈、折扣券转卖ღ◈；教程工具类则是包含了一体机ღ◈、绕过人脸验证ღ◈、改定位ღ◈、抢购ღ◈、抢单等自动化ღ◈、批量化作弊工具ღ◈、搬砖项目教程等ღ◈；代下单服务类型包含了收取使用费ღ◈，使用业务方折扣账号ღ◈、会员权益ღ◈、补贴名额进行代下单和抢单等ღ◈；代理服务类型与代注册ღ◈、资质绕过相关ღ◈，其中有大量商品触及违规ღ◈。
违规绕过服务ღ◈，如利用信息差和内部渠道等手段ღ◈，为申请资质不合规的商家店铺ღ◈、司机等ღ◈，直接入驻平台运营ღ◈。
各类低价卡券代下和自助下单商品凯时APPღ◈，通过代下服务和上游搭建的自助对接下单系统ღ◈，黑产将回收的券出售套利ღ◈，羊毛党低于原价获取商品ღ◈。
威胁猎人关注到ღ◈，相比过去主要在普通社交平台发布ღ◈，现在更多业务欺诈黑产逐渐转向更隐秘的渠道ღ◈，如在Telegram等匿名群聊渠道上建立大量与业务欺诈相关的讨论频道ღ◈。
2024年ღ◈，威胁猎人监测到围绕业务欺诈风险的讨论量在匿名渠道上达到了46万起ღ◈，且每月呈现增长趋势凯时APPღ◈。
威胁猎人研究发现ღ◈，金融贷款欺诈已经形成了一条分工明确ღ◈、利益瓜分的成熟产业链ღ◈。以“职业背债”为例ღ◈，其上游操作方ღ◈、中间黑产ღ◈、下游中介以及背债人等角色各司其职ღ◈，通过严密的协作机制组织骗贷活动ღ◈。这种黑产的存在不仅破坏了金融市场的正常运行ღ◈，给金融机构造成巨大的损失ღ◈，还会对社会的稳定和经济的健康发展构成严重威胁ღ◈。3.2.1 2024年贷款欺诈风险依旧严峻ღ◈，欺诈热度持续上涨
2024年ღ◈，威胁猎人共捕获贷款欺诈攻击情报414万条ღ◈，监控活跃的作恶社交群组34697个ღ◈，作恶黑产11.5万名ღ◈；不管是欺诈情报热度ღ◈，还是作恶群组数ღ◈、作恶黑产数（包括恶意贷款中介）ღ◈，均呈逐渐上升趋势ღ◈。
随着社会经济大环境的不断变化ღ◈、金融消费文化的转变ღ◈，越来越多消费者开始崇尚“卖征信换钱”ღ◈，“背债”热度持续上涨ღ◈。
2024年ღ◈，威胁猎人捕获“背债”相关攻击情报呈上升趋势ღ◈，背债热度上升ღ◈，并在9月达到峰值ღ◈，下半年比上半年增长56%ღ◈。
威胁猎人情报数据显示ღ◈，2024年“背债”相关的贷款欺诈ღ◈，活跃热度TOP3的省份（含直辖市）是广东ღ◈、四川ღ◈、重庆ღ◈。
威胁猎人情报数据显示ღ◈，2024年“背债”相关的贷款欺诈ღ◈，活跃热度TOP3的城市（含直辖市）是重庆ღ◈、深圳ღ◈、长沙ღ◈。
威胁猎人研究发现ღ◈，黑产在选择背债人选的时候ღ◈，逐渐更偏向于选择征信条件好ღ◈、资质好ღ◈、外貌条件好的客户ღ◈。很多金融机构现有的反欺诈模型ღ◈、评分卡等很难识别这类优质的高风险客户ღ◈，自动化审批通过的背债人占比也越来越高ღ◈。
的旗号ღ◈，召集一些无法通过正常贷款融资但有资金需求的人群ღ◈，如征信为白户ღ◈、花户ღ◈、黑户等ღ◈，通过身份包装后进行“假购车ღ◈、真套现”的合同诈骗ღ◈、贷款诈骗ღ◈。
威胁猎人研究发现ღ◈，黑产通过召集一些自身无贷款资质但有资金需求的人群ღ◈，在黑产链的组织ღ◈、垫资ღ◈、包装及客户配合下ღ◈，一人可以办理多笔车贷ღ◈、一辆汽车也可以办理多家金融机构贷款ღ◈。
威胁猎人研究发现ღ◈，有些人因资质不符ღ◈、缺乏条件等问题无法正常申请贷款ღ◈，会通过虚假工作信息ღ◈、虚假流水等“假数据”来达到借贷目的ღ◈。
3.3.1 遭受欺诈的品牌广告主中ღ◈，食品饮料类成为遭受广告欺诈占比最大的广告主威胁猎人基于广告暗刷流量监测捕获到大量广告欺诈数据ღ◈，涉及到多个行业ღ◈，涉及到食品饮料ღ◈、电子消费品等多个行业ღ◈，食品饮料行业依旧是遭受欺诈占比最大的广告主ღ◈。
设备暗刷伪造并上报的广告中ღ◈，大部分都是完整播放完毕的ღ◈，100%播完的占比达到70.02%ღ◈，这一数据明显不符合正常用户的行为ღ◈，现实情况下有耐心将广告看完的用户并不多ღ◈。
视频广告包括开始播放ღ◈、播放中ღ◈、完成播放等阶段ღ◈，不同阶段都会进行广告追踪ღ◈，并将流量上报至广告监测平台ღ◈，实际上这些广告并未播放ღ◈，仅仅是通过设备暗刷伪造了虚假的广告播放情况ღ◈，并将虚假追踪情况上报
在广告欺诈刷量的作弊链路中ღ◈，上报的作弊广告流量往往会包含动态变化的伪造设备参数信息ღ◈，模拟真实的设备信息及其展现广告的数据情况ღ◈，以欺骗广告主ღ◈。
威胁猎人针对伪造的广告播放数据进行分析发现ღ◈，伪造并上报的虚假广告数据里ღ◈，覆盖了三大类终端ღ◈：移动端ღ◈、OTT端ღ◈、PC端ღ◈。
ღ◈，包含了智能电视ღ◈、电视盒子ღ◈、智慧屏ღ◈、智能音箱（带屏）ღ◈、唱歌机ღ◈、投影仪等ღ◈，覆盖多个OTT终端品牌ღ◈。
数字化与线上化趋势下ღ◈，API接口作为应用连接ღ◈、数据传输的重要通道ღ◈，近年来大规模增长ღ◈。API应用的增速与其安全发展的不平衡ღ◈，使其成为恶意攻击的首选目标ღ◈，围绕API安全的攻防较量愈演愈烈ღ◈。威胁猎人情报数据显示ღ◈，2024年遭受攻击的API数量超过了250万ღ◈，涉及音视频ღ◈、软件应用ღ◈、汽车ღ◈、电商ღ◈、政务等多个行业ღ◈。
从2024年API攻击的行业分布数据来看ღ◈，音视频行业受攻击热度最高ღ◈。黑产利用音视频平台有安全缺陷的API非法爬取内容ღ◈、用户信息等数据ღ◈，通过贩卖音视频内容或用户信息获取高额利益ღ◈，如非法分发ღ◈、转售ღ◈、侵犯版权ღ◈，以及利用用户信息进行钓鱼攻击ღ◈、诈骗等ღ◈。
发起批量登陆攻击ღ◈，使用历史版本的登录API接口获取用户凭证ღ◈，再访问“当前版本应用”利用积分免费兑换商品业务ღ◈，给企业带来损失ღ◈。从威胁猎人蜜罐捕获的攻击流量发现ღ◈，从2024年9月至11月ღ◈，攻击者使用代理IPღ◈，对该历史版本的登录API发起攻击超13万次ღ◈，超10W左右的账号使用积分兑换商品ღ◈。
如下图所示ღ◈，该登录API接口中账号密码参数并未进行加密ღ◈，均为明文传输ღ◈，且缺失简单的人机验证方式ღ◈，导致成为了黑产发起批量登录攻击的主要对象ღ◈。
2024年6月ღ◈，威胁猎人风险情报平台监测到攻击者对国内某银行发起扫号攻击ღ◈。经过流量分析与复现ღ◈，发现该银行资产接口存在
ღ◈，黑产可大量验证手机号信息是否为平台注册用户ღ◈，导致有效账号暴露ღ◈，用户隐私泄露ღ◈，威胁系统安全ღ◈。从威胁猎人蜜罐捕获的攻击流量发现ღ◈，在2024年6月ღ◈，攻击者在一周内ღ◈，对该银行资产接口发起攻击超24万次ღ◈，导致大量有效账号暴露ღ◈。
如下图所示ღ◈，黑产对请求体进行构造ღ◈，使用不同的手机号ღ◈，而其他鉴权参数信息特征保持不变ღ◈，如验证码idღ◈、操作记录变量等ღ◈，如果手机号码为
ღ◈，如果手机号码为有效账号ღ◈，平台回显“没有找到对应短信验证码信息”ღ◈，黑产可通过回显来判断手机号是否为有效账号ღ◈。
进行批量注册ღ◈，注册后访问医生挂号信息并进行抢号ღ◈，抢占医疗资源ღ◈。通过对威胁猎人蜜罐捕获的流量进行分析ღ◈，发现攻击者使用大量的黑卡进行批量注册ღ◈，并伪装为正常病人ღ◈，后续使用注册的账号进行登录ღ◈，登录后开始不断访问医生挂号信息并进行预约抢号ღ◈。
如下图所示ღ◈，由于挂号接口没有限制访问频率ღ◈，攻击者可以不断的获取医生挂号信息并在第一时间进行抢号ღ◈。
3.5.1 2024年全年年监测钓鱼仿冒风险事件超4万ღ◈，波及数百家企业2024年ღ◈，威胁猎人共监测到钓鱼仿冒风险事件 44640 例ღ◈，涉及 671 家企业ღ◈，较 2023 年监测总量增长 150%ღ◈，整体呈现持续增长趋势ღ◈。
相较去年ღ◈，威胁猎人今年进一步加强对仿冒社媒的监控力度ღ◈，新增了多个主流平台ღ◈，从渠道多样性ღ◈、监测深度和覆盖面等角度全面提升监控能力ღ◈，为企业提供更广泛的风险防护支持ღ◈。
从2024年钓鱼仿冒事件的行业分布数据来看ღ◈，钓鱼仿冒行业占比TOP3的行业为电商ღ◈、证券行业和消费金融行业ღ◈，其中电商行业成为钓鱼仿冒最为严重的行业ღ◈，电商行业仿冒相关的风险案例占总量的46.41%ღ◈。
随着跨境贸易的火热ღ◈，海外电商平台为吸引新手卖家推出低门槛政策ღ◈，导致大量缺乏经验的卖家涌入ღ◈，成为骗子的目标ღ◈。
“海外商城盘”就是其中一种以“开网店创业”为幌子的骗局ღ◈，诈骗者冒用知名海外电商平台身份ღ◈，以“零成本开店”和“高收益分销”吸引受害者注册仿冒电商平台进行诈骗ღ◈，这种行为不仅给商家带来直接经济损失ღ◈，还严重损害电商平台品牌资产ღ◈；破坏了平台的商家准入机制ღ◈，影响品牌公信力ღ◈。
骗子通过分享网店创业经验ღ◈、用“零成本开店”和“高收益分销”为诱饵ღ◈，让受害者注册仿冒电商平台ღ◈。
在受害者注册后ღ◈，诈骗者引导开设店铺并通过虚拟订单和伪造盈利截图ღ◈，营造生意兴隆的假象ღ◈，诱导受害者不断充值垫资发货ღ◈，逐步加大资金投入ღ◈。
当受害者投入大量资金后ღ◈，诈骗者以延迟物流ღ◈、冻结账户等为借口ღ◈，进一步要求缴纳违约金或保证金ღ◈，直到受害者资金被完全掏空ღ◈。整个骗局伪装成合法创业ღ◈，利用受害者对快速赚钱的渴望逐步完成诈骗闭环ღ◈。
3.6.1 2024年监测数据泄露事件37575起ღ◈，涉及金融ღ◈、电商ღ◈、快递等行业2598家企业威胁猎人数据泄露风险监测平台数据显示ღ◈，2024年1月至12月全网监测了3.03亿条关于数据泄露的情报ღ◈，基于威胁猎人真实性验证引擎以及DRRC专业人工分析验证出有效的数据泄露事件共计37575起ღ◈，涉及金融ღ◈、电商ღ◈、快递等行业2598家企业ღ◈。
从行业分布来看ღ◈，2024年1月至12月数据泄露事件中涉及88个行业ღ◈，前五行业分别是银行ღ◈、电商ღ◈、消费金融ღ◈、保险以及快递ღ◈。其中银行行业数据泄露事件数量高达6333起ღ◈，连续两年为数据泄露事件数最多的行业ღ◈。
此外ღ◈，今年本地生活行业数据泄露事件行业排名相比2023年有所上升ღ◈，从之前的Top14上升至Top10ღ◈。数据显示ღ◈，2024年本地生活行业共发现700多起数据泄露事件ღ◈，较2023年大幅上涨7.22倍ღ◈。进一步分析发现丰丸ღ◈，
威胁猎人在2024年发现了一种新的查档类型——“强登”ღ◈，泄露信息主要涉及用户的网购订单ღ◈、外卖配送订单ღ◈、出行打车订单ღ◈、快递订单信息等ღ◈，涵盖了电商ღ◈、快递ღ◈、本地生活服务（主要是外卖行业）和出行服务等多个行业的头部平台ღ◈。
自2024年6月起ღ◈，通过“强登”获取数据的方式开始出现ღ◈，到12月底已累计超过6600起ღ◈。最初主要集中在电商头部平台丰丸ღ◈，随后逐渐蔓延至外卖和快递等多个平台ღ◈。
指黑灰产通过多种复杂手法强行登录用户的平台账号ღ◈，获取账号下的具体订单等敏感信息ღ◈，再把这些信息提供给下游数据购买者ღ◈，在中游数据售卖时售卖广告会标注【强登】ღ◈。
信息获取ღ◈：首先ღ◈，攻击者通过手机号在其他渠道（如查档或社工库等）获取用户的身份证号和证件照等信息ღ◈。
最后ღ◈，通过平台的忘记密码或找回密码等接口ღ◈，绕过平台的校验机制ღ◈，强行登录用户的账号ღ◈，从而获取账号中的订单内容等敏感信息ღ◈。
上游团伙通过“强登”方式获取到电商ღ◈、外卖ღ◈、快递ღ◈、出行服务等行业订单信息后ღ◈，再由中游团伙在各种匿名群聊ღ◈、社交媒体等发布售卖广告ღ◈，吸引更多下游需求人群ღ◈。
近年来ღ◈，“隐私面单”技术不断发展ღ◈，通过隐藏用户真实手机号来保护个人信息安全ღ◈。过去一年ღ◈，在物流行业监管加强和企业的共同努力下ღ◈，隐私面单的推广有效减少了快递面单泄露事件ღ◈，整体治理效果明显（见下图）ღ◈。但道高一尺魔高一丈ღ◈，2024年黑产推出了新的查档服务——“解密”来破解隐私面单ღ◈，最近一年ღ◈，“解密”相关数据泄露事件逐渐增多ღ◈。
威胁猎人研究发现ღ◈，从2023年下半年开始至2024年第一季度ღ◈，泄露的数据字段中ღ◈，“IOS”字段增多ღ◈。从数贩卖黑产团伙与下游数据购买者的聊天记录来看ღ◈，下游数据购买者对于数据的复购要求中多次提及“IOS”设备数据的筛选要求ღ◈。
但从4月份开始ღ◈，“IOS”字段相关的风险事件呈下降趋势ღ◈，2024年下半年相比上半年下降了59.90%
威胁猎人情报人员针对下半年下降现象进一步分析原因ღ◈，下半年“IOS”相关数据下降主要是因为苹果官方针对Facetime诈骗出台相关打击措施导致的ღ◈。
2024年3月ღ◈，苹果官方升级iOS系统至iOS17.4.1版ღ◈，推出对陌生Facetime号码来电拒接的功能ღ◈，并在5月推送IOS 17.5版本ღ◈，增强了Facetime通话功能ღ◈。威胁猎人情报人员测试后确认ღ◈，该功能已实现对陌生来电的拒接ღ◈。
3.7.1 2024年诈骗形势依旧严峻ღ◈，活跃作恶群组超10000个2024年ღ◈，威胁猎人风险情报平台共监测到电信网络诈骗相关情报77万条ღ◈，活跃作恶社交群组10032个ღ◈。
电信网络诈骗已形成了成熟的产业链条ღ◈，电诈团伙内部有不同的角色和分工ღ◈，成员之间紧密配合ღ◈，共同开展诈骗活动ღ◈：
目标筛选ღ◈：筛选容易受骗的目标客群ღ◈，如老年人ღ◈、投资者ღ◈、求职者等ღ◈，并制定相应的诈骗策略（剧本）ღ◈。
推手引流ღ◈：“推手”指那些为诈骗活动提供帮助或支持的人员或团体ღ◈，虽然不直接参与诈骗行为ღ◈，但通过与受害者联系ღ◈，将受害者引流至微信ღ◈、QQ等社交渠道供其他诈骗人员进行诈骗ღ◈，即“推手引流”ღ◈。
前期就是诈骗团伙在微信群发布名为颜十六选角导演的试戏通知ღ◈，利用泰国著名娱乐公司的名义向王星发出试戏邀请ღ◈，
（可见前期诈骗团伙对王星的信息ღ◈，特别是职业及工作经历掌握非常细致）ღ◈，以泰国拍戏的工作机会为诱饵ღ◈，诱使王星前往泰国ღ◈。除了“王星事件”外ღ◈，威胁猎人还监控到多种类型的剧本ღ◈，分别利用不同人群的特定心理活动ღ◈，精心制作匹配人物特性和心理的诈骗剧本ღ◈，具体案例如下ღ◈：
近年来ღ◈，互联网黑灰产通过不断提升攻击技术ღ◈、挖掘隐蔽性更强的攻击资源等确保攻击的成功率ღ◈，这使得企业在感知和防御上面临更大压力和滞后性ღ◈。
对企业而言ღ◈，应该认识到与外部黑产的对抗是动态ღ◈、持续的ღ◈，及时依托基于全网多渠道监测的黑灰产情报数据ღ◈，
从黑产攻击准备阶段就开始溯源追踪ღ◈，知道攻击者正准备利用什么资源或工具ღ◈，这些资源或工具有什么特征ღ◈、攻击者会采用什么手段来攻击企
说明ღ◈：本报告所提供的数据信息系威胁猎人依据大样本数据抽样采集ღ◈、小样本调研ღ◈、外部情报数据采集ღ◈、数据模型预测及其他研究方法估算ღ◈、分析得出ღ◈，由于统计分析领域中的任何数据来源和技术方法均存在局限ღ◈。尊龙凯时人生就是搏ღ◈，尊龙凯时人生就是博·(中国)官网尊龙凯时-人生就是搏!ღ◈，尊龙凯时人生需要博尊龙凯时集团ღ◈，AI医疗应用ღ◈，尊龙登录入口ღ◈，
