业务安全情报第20期 | 一个阅读活动，却吸引来大批羊毛党

某新媒体小程序推出了一项有奖阅读活动，吸引了大量用户参与。该活动允许用户通过阅读推文任务获得红包奖励，并可直接提现。不过，这一活动很快遭遇了黑灰产问题，导致用户福利无法实现。

背景

看新闻，领红包并不是新鲜事，2018年9月15日，号称一款新生代内容资讯APP的去趣头条，凭借着“看资讯赚零花”的口号一路驰骋，在纳斯达克挂牌交易。

当时的趣头条有两种“赚钱”方式。一种是趣头条的资讯内容页右下角会有一个阅读计时器，可以根据用户浏览时间来给予一定的奖励，奖励主要以金币的方式呈现。另一种是用户可以向好友/推荐人询问邀请码或手机号，可以得到金币奖励。并且被邀请人如果注册了趣头条，其阅读收益也会给邀请人回馈一部分。最终这些金币可以兑换成现金，10000金币可以兑换1元钱。

这种通过社交裂变进行推广的方式深谙互联网从业者拥趸，并成为无数新媒体服务上线推广、开疆拓土的必选方式。

拉新活动却吸引来羊毛党

根据顶象防御云业务安全情报中心BSI-2023-ugwf号情报监测显示，某新媒体小程序为了增加用户数量、提升用户活跃度和吸引更多用户进行分享和裂变二次传播，推出了阅读打卡领红包活动。该活动设定了多个奖项档次，例如连续打卡7天可领取2.8-18元的现金红包，连续打卡14天则可领取20-50元的奖励。

然而，这一活动遇到了薅羊毛的问题，恶意用户大量注册虚假账号，并进行批量操控账号登录领取红包。这导致大量红包被恶意抢夺，正常用户无法获得应有的奖励，同时也导致了推广资金的白白消耗。

这种黑灰产行为对该新媒体和用户都带来了严重的风险和危害。

资金浪费和效果下降：新媒体的推广资金被杨毛毛当抢夺，导致投入与效果不匹配，成本增加而收益减少。新媒体需要支付的推广费用并没有达到预期的回报，这将对新媒体的运营战略和财务状况产生负面影响。

成本和形象受损：由于恶意用户大量注册虚假账号并操控登录领取红包，新媒体不仅损失了大量的推广资金，还造成了用户福利无法实现。这将增加运营成本，同时更影响了新媒体的形象和信誉。

正常用户利益受损：由于黑灰产行为的存在，正常用户无法获得应有的奖励。这不仅失去了用户对平台的信任度，还可能导致用户流失和不再参与后续活动。

安全性与可信度降低：恶意用户通过大量虚假账号注册和操控登录，给新媒体安全性带来威胁。这可能会导致用户数据被滥用、隐私泄露等问题。同时，由于活动的利益受到破坏，用户可能对该新媒体的可信度产生质疑，从而不再相信类似的活动，对长期发展造成负面影响。

媒体小程序的阅读打卡领红包活动遇到了黑灰产，成本和形象受损、正常用户利益受损、安全性与可信度降低，以及资金浪费和效果下降等。新媒体需要加强对恶意账号注册和操控登录的识别和防范，同时提高活动的安全性和可信度，以保护用户利益和平台的长期发展。

羊毛党风险特征分析

根据顶象防御云业务安全情报中心的监测数据，该新媒体小程序在上线运营第二周开始，登录新用户量急剧增加，同时用户请求风险识别量高达72%。通过查看日趋势图，发现请求存在聚集性特征，主要集中在下午16:00-17:00之间，而异常流量访问持续时间约为20分钟左右。

结合线上统计数据分析，可以得出以下关于攻击风险威胁的特征及过程：

首次登录时间集中：攻击者通过虚假账号注册大批新用户，并在特定时间段进行登录操作。这些虚假账号在注册后会迅速进行打卡操作，并且每天都坚持打卡，没有中断。这种行为使得新媒体错误地认为这些用户是真实活跃用户，从而给予奖励。

登录阅读打卡间隔短：虚假账号登录和阅读打卡的时间间隔极短，几乎是在秒级别内完成。这可能是利用自动化脚本或恶意软件进行操作，以达到快速领取奖励的目的。此外，攻击者还会在不同的设备和IP地址之间进行切换，以掩盖他们的真实身份。

同设备关联多个账号：攻击者可能利用某些手段使得同一个设备能够关联多个虚假账号。这种行为使得新媒体难以准确识别和区分真实用户和虚假用户。

账号关联IP地址异常：攻击者可能使用代理工具或其他技术手段，使得虚假账号在不同的IP地址下进行操作。这样的异常IP地址关联情况会增大平台对用户真实性的判断难度。

攻击风险的过程可以描述为攻击者通过虚假账号注册大批新用户，并在特定时间段集中登录和打卡以获取奖励。他们利用快速登录和打卡的方式，同时切换设备和IP地址，以及关联多个虚假账号，进一步混淆平台对真实用户和虚假用户的识别。这种恶意行为不仅损害了新媒体的运营成本和形象，还对用户利益和安全性造成了威胁。新媒体需要加强用户注册与登录的安全策略，采取多种手段进行身份验证，识别和防范这类恶意攻击行为。

一些有用的防控措施

新媒体在活动设计和技术防范方面需要更加谨慎和周全，以确保用户能够真正获得福利，并提升整体用户体验。在解决这一问题时，技术分析显得尤为重要。应加强用户注册和登录的安全性策略，采取多种手段进行身份验证，以防止虚假账号的注册和操控行为。此外，建立完善的数据分析系统可以帮助平台及时发现异常操作和异常流量，进而采取相应措施。应用先进的反作弊技术和用户行为分析算法也能帮助平台快速识别恶意行为，并及时进行反制。

设别并预警风险IP地址。接入IP风险库，对用户所关联IP进行风险匹配，识别代理、秒拨IP风险，拦截恶意IP地址。

设别并预警风险设备。识别客户端的设备指纹是否合法，是否存在注入、hook、模拟器等风险，识别客户端的设备指纹是否合法，快速识别刷机改机、Root、越狱、劫持注入等风险。快速识别同设备多次激活、同设备关联IP行为异常，同IP短时间大量聚集、同一渠道中老设备型号占比异常、同一渠道中老操作系统占比异常等维度。

识别并拦截风险账号。判断完成验证时的验证环境信息和 token，及时发现异常和风险操作。检测账号异常行为。基于用户行为进行策略布控，针对同设备切换大量账号进行订单发起的账号进行布控。

分析与预测未来风险行为变化。建立本地名单动态运营维护机制，基于注册数据、登录数据、激活数据，沉淀并维护对应黑白名单数据，包括用户ID、手机号、设备等维度的黑名单。线上数据有一定积累以后，通过风控数据以及业务的沉淀数据，对注册、登录、下单、抢购行为进行建模，模型的输出可以直接在风控策略中使用。

光靠红包奖励和激励机制去吸引用户并非长久之计，优质内容仍然是吸引用户的核心。作为一个资讯平台，如果没有优质的内容支撑，仅靠奖励机制去吸引用户的传播和分享，将导致用户只关注于赚钱而非真正阅读、参与内容的意愿。这样一来，新媒体的运营成本会大幅增加，而用户对内容的真实关注度和活跃度可能大打折扣。

业务安全产品：免费试用

业务安全交流群：加入畅聊