黑产攻击资源及场景分析

自第三季度开始，有 4 个供应渠道进一步增大 192 号段手机卡的投入规模，使得第三季度新增量进一步增加。

1.2023 年黑产攻击资源分析

1.1 2023 年黑手机卡资源分析

2023 年猫池卡资源变化趋势 ：（1）2023 年国内猫池卡数量较。 2022 年增长 8.25% 据威胁猎人威胁情报运营平台数据显示，2023 年新捕获猫池卡 586.6 万个，较2022年上升 8.25%。从 2023 年国内猫池卡数量的变化趋势来看，1-3 月出现明显上升趋势，4-6月逐渐降低。 经威胁猎人情报专家分析，出现这一趋势的主要原因是： 1-3 月某头部接码平台对接的黑产持续上传大量新的接码手机号，使得该时间段内的新增作恶手机号数量持续上升；4-6 月该头部接码平台遭遇持续性 DDos 攻击而无法正常运营，导致该时间段内的作恶手机号数量持续下降。

 

（2）2023 年猫池卡归属最多的三个省份为：江苏、山东、河南 威胁猎人情报专家对 2023 年捕获到的国内猫池卡进行统计分析，发现江苏、山东、河南三省为猫池卡归属地最多的三个省份；针对归属城市分析发现，南京、上海、北京三城市为猫池卡归属地最多的城市。

（3）2023 年捕获的猫池卡中，归属国内三大运营商的占 41.78% 2023 年威胁猎人威胁情报运营平台捕获猫池卡 618 万张，其中归属国内三大运营商的拦截卡占比 41.78%，归属其他运营商的占比 58.2%。

1.22023 年拦截卡资源变化趋势

（1）2023 年国内拦截卡数量达 38.9 万，并于 3 月出现大幅上升 2023 年，威胁猎人最新捕获拦截卡达 38.9 万，并于 3 月捕获到大量新增拦截卡，经过持续监测分析发现，其主要原因是：2023 年 3 月出现一个新的拦截卡接码平台，导致3月新增拦截卡数量大幅上升。

（2）2023 年拦截卡归属最多的三个省份为：广西、山东、江苏 威胁猎人安全研究员对 2023 年捕获到的国内拦截卡进行统计分析，发现广西、山东、江苏三省为拦截卡归属地最多的三个省份，与猫池卡归属省份存在一定的重合；针对归属城市分析发现，南京、贵港、南宁三城市为拦截卡归属地最多的城市。

（3）2023 年捕获的拦截卡中，归属国内三大运营商的占 98.48% 2023 年威胁猎人威胁情报运营平台捕获拦截卡 87 万张，归属国内三大运营商的拦截卡占比达 98.48%，归属其他运营商占比 1.52%。

值得注意的是，2023 年威胁情报运营平台捕获到的 192 号段黑手机卡数量达到87.8万，黑产大量使用 192 号段的黑手机卡进行作恶。从 192 号段黑手机卡数量的变化趋势来看，7 月、8 月及 10 月出现大幅增长。

经威胁猎人情报专家分析，7 月、8 月及 10 月新增量较大的主要原因是：自第三季度开始，有 4 个供应渠道进一步增大 192 号段手机卡的投入规模，使得第三季度新增量进一步增加。10 月，部分黑产开始将目光投向非头部互联网平台并展开攻击，直到11 月这些平台开始察觉到攻击情况并对其进行风控，192 号段的新增量开始逐渐下降。

 

发卡平台成为黑产投放高价值接码手机卡的主流渠道之一

从威胁猎人威胁情报运营平台捕获的数据来看，提供接码服务的发卡平台及发卡店铺数量呈明显上升趋势，同时通过发卡平台捕获到的接码手机号也呈现出明显上升趋势，由此可见，“发卡平台”成为黑产投放高价值接码手机卡的主流渠道之一

高质量接码手机号：手机号入网时间短，在网状态正常，绝大多数都是黑产卡商通过特定渠道及技术新开的实体手机卡。黑产多利用此类手机号对热门 APP 业务进行攻击并实现获利，如热门的视频 APP、互联网社交 APP 或电商 APP 的注册和换绑业务。

（1）2023 年每月捕获的涉及接码的发卡平台及发卡店铺数量持续上升自 2023 年 1 月起，每月捕获的涉及接码的发卡平台数量持续上升，截至2023 年12月，活跃发卡平台达到 28 个。在这些发卡平台中，直接向黑产提供手机号接码服务的发卡店铺数量亦也出现大幅度上升，2023 年 12 月，威胁猎人共捕获该类店铺322 家。

（2）2023 年通过发卡店铺每月捕获的高价值接码手机号数量持续走高自2023年1月起，威胁猎人通过发卡店铺捕获到用于作恶的接码手机号数量出现大幅上升。2023 年 12 月，威胁猎人共捕获作恶手机号 12.9 万个。

威胁猎人安全研究员发现：“黑灰产手机号接码服务愈发成熟，已呈现出明显分工趋势”。例如手机卡商提供黑卡物料，代理商汇集多个卡商渠道，通过在发卡平台开设店铺的形式为黑产提供隐蔽的接码服务。

1.3 2023 年风险 IP 资源分析

2023 年风险 IP 资源变化

近年来国内互联网平台业务不断开拓海外市场，如何识别海外风险 IP 已成为各大企业亟需重视的问题。威胁猎人海外风险 IP 监测能力的提升，也为互联网平台优化海外风控规则提供了有力支持。 2023 年威胁猎人持续监测国内风险 IP5906 万个，国外风险 IP7172 万个。

黑产通过植入木马恶意使用正常用户IP 的行为更加猖獗

威胁猎人发现，黑产通过在正常用户设备中植入木马，实现在其网络上建立代理通道，且每次使用时间很短，因此普通用户难以感知到自己的 IP 被盗用。从甲方风控视角来看，正常用户的 IP 被黑产恶意使用，这类 IP 属于“好坏共用-代理”IP。 这类 IP 由于大部分时间是正常用户进行操作，如点击、充值、浏览等行为均正常，少量时间会出现短暂的作恶行为。因此平台可能会认定该用户为正常用户，进而忽视其短暂的作恶行为，给黑产可乘之机。 通过对代理 IP 平台的持续监测，我们发现黑产通过植入木马恶意使用正常用户IP 的行为更加猖獗，以威胁猎人 2023 年 11 月及 12 月捕获到的数据为例：11 月捕获被劫持IP 数量达508 万，12 月捕获被劫持 IP 数量达 934 万，较 11 月增加 83.85%。

1.4 2023 年网络洗钱资源分析

2023 年数字人民币资源变化

随着社会公众对零售支付便捷性、安全性等需求日益提高，数字人民币支付正在成为消费新趋势。 由于数字人民币“第四类钱包”无需绑定用户身份信息，有手机号即可注册，洗钱团伙会利用专门提供手机小号并接收验证码的平台，批量注册数字人民币钱包账户，或直接租用、购买普通民众的数字人民币账户，用于收取赌资。

（1）2023 年捕获涉及洗钱的数字人民币钱包数量达 23 万，月增幅超270%2023 年威胁猎人共捕获涉及洗钱的数字人民币钱包 23.2 万个，同时发现黑产利用数字人民币进行洗钱的情况整体呈上升趋势，尤其是 9 月，月增幅超过了 270%。调查发现，9 月出现较大增幅的主要原因是：9 月出现大量支持数字人民币洗钱的第四方支付平台，使得利用数字人民币进行洗钱的情况变得更加高频。

 

（2）涉及洗钱的数字人民币支付中，归属国有银行的占比超 80% 目前，威胁猎人监测到数字人民币洗钱涉及银行数十家，其中国有银行占比超80%。就支持开通数字人民币的银行用户数量而言，国有六大行的银行用户总数远大于其余银行之和，因此其潜在的数字人民币用户也相对较多。

2023 年对公账户资源变化

银行对公账户具有收款额度大、转账次数多等特点，这使得“对公账户”常常作为黑钱转账的集中点及发散点，在黑产洗钱链条中担任极其重要的位置。 在打击洗钱犯罪过程中，银行对涉及洗钱的对公账户进行风控也是十分重要的一环。因为一个对公账户的收款额度往往在几百万到几千万不等，及时发现涉嫌洗钱的对公账户并进行针对性风控，往往能中断某个黑产团伙的某一洗钱链条。 2023 年威胁猎人持续覆盖及监测黑产在洗钱过程中所使用的银行对公账户资源，发现涉及洗钱的对公账户数量持续上升。

2.2023年黑产攻击场景分析

2.1 2023 年业务欺诈场景分析

营销活动

（1）营销活动攻击情报 928 万条，涉及作恶黑产人数达 15.9 万 今年各企业平台营销活动遭受黑产攻击的现状依旧严峻，2023 年威胁猎人共捕获营销活动攻击情报 928 万条，监测到活跃的作恶社交群组 1.2 万个，涉及作恶黑产人数达15.9 万名。

（2）大量黑产利用业务规则漏洞薅取用户优惠 2023 年 12 月，威胁猎人发现大量黑灰产和羊毛党通过“第三方渠道购买后在官方渠道退款”的方式来薅取银行、平台立减优惠，导致合作平台出现大量异常退款单的同时，活动立减金也被白白薅走。主要由于黑产利用了提供购买服务的第三方平台与官方平台之间信息不互通这一特点。

（3）众包平台“私域化”，作恶行为更加隐蔽 2023 年，威胁猎人研究人员发现，黑灰产为了避免众包平台被监测和风控，推出了更为复杂、安全的众包发布渠道。其复杂性主要体现在： 1、首先众包人员需要先进入特定的社交群聊才能获取到众包平台的网站链接；2、而后众包人员需要访问链接并注册登录后，才能执行接单任务。这种方式做单虽增加了执行时间和操作成本，但其隐蔽性使得平台的监测及风控难度大大提升。

除了私域众包平台外，威胁猎人还观察到部分公开的众包平台也开始推出新的策略，防止平台被监测及风控，例如： 1、刷量任务中，刷量链接使用短链接代替真实的刷量链接；2、拉新任务中，需注册、实名众包 APP，并领取任务后才能获取详细的任务步骤及教程。

（4）电商代下现状严峻，日化快消和美妆护肤品成为电商代下重灾区2023 年，威胁猎人捕获的代下方案中，代下品类 Top3 为日化快消、美妆护肤和医药器械类，分别占总数的 55.35%、20.09%和 8%，余下 16.56%的品类与保健品、家电、手机数码、时尚服饰、酒类等相关。

信贷作弊

（1）信贷欺诈攻击情报 196 万条，监测到活跃群组 4486 个 2023 年，威胁猎人共捕获信贷欺诈攻击情报 196 万条，监测活跃的作恶社交群组4486个，作恶黑产 2.8 万名；虽然 2023 年活跃的作恶群组数及作恶黑产数量变化相对平稳，平台仍需警惕信贷欺诈黑灰产的作恶情况。

（2）反催收手法及案例 反催收通常指的是一些组织或个人通过非正常手段帮助债务人恶意躲避债务的行为，帮助债务人延长还款期限、减免利息费用，或者通过其他方式减少债务人的还款责任。例如反催收中介让债务人寄个人电话卡或者设置呼叫转移，由反催收团伙这边所谓的法务人员代替债务人进行协商沟通，达成减免利息和延期/分期还款等目的，最终基于反催收结果向债务人收取一定比例手续费，由此来获利。

内容刷量

2023 年，整体刷量作弊情况依旧严峻，威胁猎人共捕获直播平台、内容平台、电商平台及应用下载平台刷量作弊攻击线报 42.5 万条，监测活跃的刷量作恶社交群组4364 个，作恶黑产人数达 5759。 就刷量方式而言，随着各大平台对恶意刷量行为的识别能力提升，众多刷量工作室逐渐减少协议刷量及基于真实设备的群控刷量，转而使用真人刷量。

2.2 2023 年数据泄露场景分析

（1）2023 年监测数据泄露事件超 19500 起， 金融、物流、航旅等行业是数据泄露重灾区 据威胁猎人数据泄露风险监测平台数据显示，2023 年全网监测到的近1.5 亿条情报中，分析验证有效的的数据泄露事件超过 19500 起。从行业分布来看，2023 年数据泄露事件涉及二十余个行业，数据泄露事件数量 Top5 行业分别为金融、物流、航旅、电商、汽车。

（2）金融行业数据泄露事件 8758 起位列第一，航旅行业跃居第三2023 年，金融行业依旧是个人信息泄露重灾区，数据泄露事件数量8758 起，涉及银行、保险、证券等行业高净值人群信息，主要源于下游黑产用于营销推广以及诈骗的收益价值更高。 从金融细分行业来看，数据泄露事件数量发生最多的是银行业，全年共发生4293 起，其次为网络借贷、保险、证券及支付行业。

（3）2023 年“公民个人信息”依旧是数据泄露的主要类型，占比超90%从数据泄露的类型来看，2023 年泄露数据类型主要有 3 种：公民个人信息共计18347起（93.68%）、敏感代码共计 727 起（3.71%）、敏感文件资料共计510 起（2.6%）。

（4）公民个人信息在夜间交易的超过 50%，在非工作日交易的超过30%威胁猎人研究统计发现，2023 年公民个人信息泄露事件中的数据交易时间中，非工作日（周末、节假日）发生的事件数量高达 31.21%，夜间发生的事件占比高达51.88%，超过一半。（夜间：18:30 至次日 09:30） 在防守最薄弱的时候，企业难以在数据泄露事件爆发时快速感知、及时响应，以至于错过最佳应对时机，给企业资金、品牌声誉及商业竞争带来重大影响。

（5）数据泄露原因包括运营商通道泄露、内鬼泄露、黑客攻击等 从数据泄露的具体原因来看，2023 年数据泄露原因包括运营商通道泄露、内鬼泄露、黑客攻击、安全意识问题等。其中，因运营商通道泄露引发的数据泄露事件数量最多。

（6）Telegram、暗网是数据泄露的主要渠道，占比高达 92% 2023 年威胁猎人监测到的数据泄露事件中，发生在 Telegram 及暗网的达92%以上，其中82.26%集中在 Telegram，10.01%发生在暗网，主要原因是 Telegram及暗网渠道的隐蔽性较高，难以追溯到黑产本人，是黑产沟通和交易的首选渠道。此外，威胁猎人在代码仓库（如 GitHub、GitLab 、Postman 等）、网盘文库等渠道也监测到了数据泄露事件。

截至 2023 年 12 月，威胁猎人数据泄露监测情报覆盖了 Telegram 近2 万个频道/群聊，在超过 1700 个频道/群聊中发现公民个人信息泄露风险事件。 

2.3 2023 年钓鱼仿冒场景分析

2023 年，威胁猎人共捕获到钓鱼网站 28794 例，涉及 234 家企业；捕获到仿冒APP1295例，涉及 67 家企业。此类网站及 APP 都是通过仿冒正常网站及 APP，获取用户信任并骗取用户的个人信息及钱财。 威胁猎人研究人员针对捕获到的案例进行分析发现：

（1）金融行业遭受的钓鱼仿冒情况最为严重 无论是钓鱼网站，还是仿冒 APP，金融行业成为黑产攻击的主要目标。由于金融行业的业务场景多涉及资金流转，且交易金额较大，故黑产往往在不引起受害者怀疑的同时，还能最大程度的获利。同时，大多数情况下，黑产为了尽可能取信于受害者，往往会选择行业头部企业进行仿冒。

（2）作恶手法以诱导下载仿冒理财及刷单 APP 进行转账为主 ① 诱导下载仿冒投资 APP 此类型诈骗套路相对隐蔽，用户在注册时，需要相关介绍人提供注册码才能注册成功。作恶的大致流程如下： 1、黑产通过技术手段实现精准获客，目标客群一般是拥有一定数额存款的高收入人群；2、介绍人（黑产口中的“理财/投资/分析师”）通过夸大理财收益诱导客户下载指定APP进行理财或投资；3、用户进行短期、多次理财投入，且每次都能获取到一定数额的收益；4、分析师再次诱导用户加大理财（投资）投入，累计一定数额锁定用户账号；5、客服再引导用户充值解冻用户账号，直到用户停止充值，平台直接“跑路”。

② 诱导下载仿冒电商刷单 APP 该仿冒类型表面上是仿冒电商平台的 APP，用户安装 APP 后会发现该APP 实际上是仿冒社交平台的 APP，再嵌入一个刷单诈骗的 H5 界面（也就是刷单系统）。用户需要通过上游提供的邀请码才能注册账号，并进入相关的刷单系统。

作恶套路大致为： 1、刷单系统需要用户充值一定的金额才能进行接单，充值的金额越多，用户的等级越高，每日接单的数量和刷单返回的金额就越高。这种模式会诱导用户不断充值，充值到一定程度，账号就会出现冻结状态。 2、当用户寻找客服解除账号冻结状态，客服会引导用户多充钱解除账号异常后才能提现。3、用户不进行充值或者发现平台异常后，用户的大量资金已经被黑产转移，平台也会“跑路”。