試想一下，如果你收到了這樣的私信：
某交友平臺(tái)上：看你照片覺(jué)得挺帥的，能加下微信聊聊嗎，我微信**********
某音樂(lè)平臺(tái)上：發(fā)現(xiàn)你聽(tīng)的歌我都愛(ài)聽(tīng)，要是可以的話(huà)交個(gè)朋友，我qq**********
某運(yùn)動(dòng)健身平臺(tái)上：以前我是一個(gè)100多斤的小胖子，自從用了她家的減肥產(chǎn)品都瘦了二十斤了，效果真的不錯(cuò)，有需要的朋友加他qq**********
某二手交易平臺(tái)上：阿迪達(dá)斯，耐克，LV，你喜歡的應(yīng)有盡有，價(jià)格非常便宜，和正品沒(méi)區(qū)別，加我的V信**********，支持貨到付款
對(duì)于這類(lèi)信息，我們似乎已經(jīng)司空見(jiàn)慣，有的APP一段時(shí)間沒(méi)清理，私信就變成99+。但其實(shí)，給我們發(fā)送這些私信的，既不是寂寞的帥哥美女，也不是與你音樂(lè)品味相同的“知音”，更不是減肥成功的勵(lì)志小胖，他們甚至都不是真實(shí)的“人”。
“他們”很可能只是黑產(chǎn)用來(lái)引流的自動(dòng)化腳本。
黑產(chǎn)為了實(shí)現(xiàn)發(fā)廣告、賣(mài)東西、吸粉、導(dǎo)流、詐騙等目的，會(huì)利用平臺(tái)的私信功能，批量一對(duì)一給用戶(hù)發(fā)送信息，最終目的只有一個(gè)：獲利。
為了使利益達(dá)到最大化，黑產(chǎn)手中的商品信息、導(dǎo)流信息、詐騙信息需要快速、大量、低成本的曝光，因此黑產(chǎn)不會(huì)真的一條一條手動(dòng)給用戶(hù)發(fā)送私信，這種方式成本高且效率低下。此時(shí)，腳本模擬、數(shù)據(jù)打接口等手段提高了黑產(chǎn)的“生產(chǎn)力”。也就是說(shuō)，黑產(chǎn)們無(wú)需自己動(dòng)手，只需要設(shè)計(jì)并運(yùn)行引流腳本，就能自動(dòng)將一條條私信、評(píng)論源源不斷地發(fā)送給用戶(hù)。
自動(dòng)化引流腳本從哪獲得，又如何運(yùn)行？
目前市面上存在各類(lèi)大大小小的腳本工作室，他們根據(jù)不同平臺(tái)的特點(diǎn)，設(shè)計(jì)出專(zhuān)門(mén)針對(duì)電商平臺(tái)、直播平臺(tái)、交友平臺(tái)、網(wǎng)購(gòu)平臺(tái)的引流腳本，有的賣(mài)家還會(huì)提供針對(duì)不同場(chǎng)景的引流話(huà)術(shù)，再將腳本和話(huà)術(shù)打包賣(mài)給需要引流的用戶(hù)。
用戶(hù)拿到引流腳本，第一步需要下載模擬器；
（模擬器是一種讓手機(jī)APP在電腦上運(yùn)行的軟件，能夠在電腦上模擬安卓系統(tǒng)，實(shí)現(xiàn)安卓應(yīng)用的安裝、使用和卸載）
第二步，下載、安裝客戶(hù)端和引流腳本；
第三步，運(yùn)行客戶(hù)端，注冊(cè)賬號(hào)；
第四步，設(shè)置引流腳本的功能、話(huà)術(shù)、操作時(shí)間；
第五步，在客戶(hù)端界面運(yùn)行腳本。
自動(dòng)化引流腳本開(kāi)始運(yùn)行，黑產(chǎn)就能“坐收漁利”，無(wú)須手動(dòng)操作，即可給用戶(hù)24小時(shí)不間斷地發(fā)送私信、評(píng)論，獲得免費(fèi)的流量。
某音樂(lè)平臺(tái)中用戶(hù)收到的腳本引流私信
致命弱點(diǎn)，讓引流黑產(chǎn)被“抓包”
自動(dòng)化引流腳本看似一勞永逸，實(shí)則存在一個(gè)致命的弱點(diǎn)。
黑產(chǎn)在利用腳本發(fā)送私信的過(guò)程中，一般需要給機(jī)器操作設(shè)置兩個(gè)時(shí)間：
某短視頻平臺(tái)引流腳本
“操作延時(shí)”是指給一個(gè)用戶(hù)發(fā)完私信，切換到下一個(gè)用戶(hù)的間隔時(shí)間；“話(huà)術(shù)延時(shí)”是指給同一個(gè)用戶(hù)發(fā)多句話(huà)時(shí)的間隔時(shí)間。
正常人發(fā)送私信時(shí)，時(shí)間間隔是不固定的，秒回、十分鐘說(shuō)一句話(huà)或者不回復(fù)都是有可能的。
而黑產(chǎn)的私信腳本就沒(méi)有這么“人性化”了：由于機(jī)器操作的穩(wěn)定性，腳本在給同一個(gè)人發(fā)多句話(huà)時(shí)，會(huì)存在穩(wěn)定的時(shí)間間隔，這一點(diǎn)有別于真人與真人的對(duì)話(huà)。給一個(gè)人發(fā)完內(nèi)容，需要切換到下一個(gè)用戶(hù)的私信界面繼續(xù)操作，在切換過(guò)程中，機(jī)器操作也會(huì)出現(xiàn)穩(wěn)定的時(shí)間間隔，這也不屬于正常人的行為特征。
數(shù)美科技基于自動(dòng)化腳本所表現(xiàn)出來(lái)的時(shí)域特征，能夠評(píng)估出發(fā)送信息的賬號(hào)是機(jī)器操作的可能性。
“時(shí)域”就是指時(shí)間和地域。黑產(chǎn)的行為在時(shí)間上、地域上都會(huì)暴露一定特征，同時(shí)時(shí)間和地域的特征也存在高度關(guān)聯(lián)性。因此通過(guò)時(shí)域方面的特征分析，我們就能夠順藤摸瓜，找到黑產(chǎn)留下的蛛絲馬跡。
操作過(guò)快、操作時(shí)間間隔穩(wěn)定，這類(lèi)都是自動(dòng)化引流腳本運(yùn)行過(guò)程中所產(chǎn)生的不同于正常用戶(hù)的時(shí)序特征。針對(duì)這些特征，數(shù)美科技實(shí)時(shí)風(fēng)控引擎能夠分成多個(gè)時(shí)間窗口，統(tǒng)計(jì)賬號(hào)的行為頻度，一旦操作快到一定程度，遠(yuǎn)遠(yuǎn)超出人所能達(dá)到的速度，就會(huì)識(shí)別此賬號(hào)存在機(jī)器操作，從而做出攔截動(dòng)作。
這種簡(jiǎn)單的頻度策略，首先能夠保證簡(jiǎn)黑產(chǎn)作惡的有限性。
批量發(fā)送消息被攔截后，黑產(chǎn)也不會(huì)就此罷休。他們會(huì)試探風(fēng)控系統(tǒng)的閾值并試圖繞過(guò)，此時(shí)簡(jiǎn)單的頻度策略很難將他們攔住，需要依靠行為特征進(jìn)行識(shí)別。正常人的行為是雜亂無(wú)序的，我們可能在一個(gè)小時(shí)內(nèi)切換使用不同的軟件，進(jìn)行各種操作。以短視頻APP為例，正常用戶(hù)進(jìn)行會(huì)瀏覽、點(diǎn)贊、評(píng)論等操作，但這些操作是無(wú)規(guī)律的，停留在某一頁(yè)面的時(shí)間、是否點(diǎn)贊、評(píng)論內(nèi)容都不固定。與之不同的是，機(jī)器操作行為穩(wěn)定，或者存在某種周期規(guī)律，即使黑產(chǎn)有意識(shí)地加入隨機(jī)數(shù)，仍然會(huì)被察覺(jué)出與正常人的操作有所區(qū)別。
通過(guò)分析賬號(hào)的頻度特征和行為特征，利用自動(dòng)化腳本引流的黑產(chǎn)基本上就浮出水面了。
時(shí)域特征：辨別黑產(chǎn)團(tuán)伙蛛絲馬跡
數(shù)美科技曾幫助某社交APP解決違規(guī)廣告引流問(wèn)題，接入數(shù)美科技全棧式智能風(fēng)控產(chǎn)品天網(wǎng)后，我們嘗試用模擬器上登錄該APP，嘗試3次均提示“當(dāng)前版本過(guò)低，請(qǐng)更新到最新版本！”，查看數(shù)美后臺(tái)，拒絕理由為虛擬機(jī)+安裝引流軟件，絕大多數(shù)引流腳本均會(huì)被我們識(shí)別并攔截。為此，我們專(zhuān)門(mén)詢(xún)問(wèn)了腳本的賣(mài)家，得到的答復(fù)如下：
數(shù)美黑產(chǎn)研究同學(xué)與腳本賣(mài)家交涉
從時(shí)域上來(lái)看，黑產(chǎn)所表現(xiàn)出來(lái)的特征遠(yuǎn)不止頻度特征和機(jī)器操作特征，地域離散、重要節(jié)點(diǎn)不一致以及各種相似聚集特征，都是我們追蹤黑產(chǎn)的重要抓手。
依靠頻度特征、行為特征、地域離散、重要節(jié)點(diǎn)地域特征，能夠做到一個(gè)賬號(hào)的單點(diǎn)識(shí)別。但是黑產(chǎn)也會(huì)批量注冊(cè)賬號(hào)，讓每個(gè)賬號(hào)保持正常活躍度，也就是我們常說(shuō)的“養(yǎng)號(hào)”。如果對(duì)這些賬號(hào)的行為單獨(dú)進(jìn)行分析，很難發(fā)現(xiàn)其中的問(wèn)題。但如果能夠證明這樣的可疑人群是一個(gè)團(tuán)伙，事情就變得簡(jiǎn)單多了。
欺詐團(tuán)伙挖掘
“好人是多樣的好，壞人是相似的壞” 。一個(gè)黑產(chǎn)團(tuán)伙控制的一批賬號(hào)，具備高度一致性，雖然黑產(chǎn)也能意識(shí)到到這點(diǎn)，并試圖繞過(guò)，但是不能完全抹除這樣的一致性，一定會(huì)留下蛛絲馬跡。
數(shù)美科技曾總結(jié)出這樣一條反欺詐定律：“好人”的朋友通常也是“好人”，“壞人”的朋友通常也是“壞人”。正常賬號(hào)也有可能在時(shí)間和地域上表現(xiàn)出異常，但是如果某個(gè)分組下，幾乎全是這樣的異常可疑賬號(hào)，則可以判斷是團(tuán)伙作案。異常用戶(hù)存在本身是正常的，但是這些用戶(hù)應(yīng)該是分散的、關(guān)聯(lián)性低的，如果在某些方面存在多重聯(lián)系，就有足夠理由懷疑其是有問(wèn)題的。
時(shí)域特征在風(fēng)控策略中不是孤立存在的，時(shí)域信息和設(shè)備信息、賬號(hào)畫(huà)像、關(guān)聯(lián)網(wǎng)絡(luò)、團(tuán)伙挖掘、模型檢測(cè)相互聯(lián)系，從多個(gè)方面指證出黑產(chǎn)，才能給予精準(zhǔn)打擊。風(fēng)控就像一張大網(wǎng)，既有層級(jí)遞進(jìn)結(jié)構(gòu)、先后順序、通用和專(zhuān)用、保底和深挖的關(guān)系，同時(shí)還有層層聯(lián)系、互相配合的功能，這樣才能將這張大網(wǎng)“織密”，達(dá)到1+1>2的效果。
目前，數(shù)美科技已經(jīng)數(shù)美科技目前提供的風(fēng)控4.0版本的千人千面智慧風(fēng)控，從賬號(hào)層、設(shè)備層、內(nèi)容層三個(gè)層面形成用戶(hù)畫(huà)像的全面判定，以畫(huà)像輔助判斷賬號(hào)風(fēng)險(xiǎn)、設(shè)備安全和內(nèi)容和內(nèi)容合規(guī)性，并不斷通過(guò)新的行為輸入進(jìn)行畫(huà)像更新修正，實(shí)現(xiàn)風(fēng)險(xiǎn)識(shí)別能力和用戶(hù)畫(huà)像體系的相輔相成，真正做到天網(wǎng)恢恢疏而不漏。
