拼多多“自曝”如何被黑灰产团伙薅羊毛

原标题：拼多多"自曝"如何被黑灰产团伙薅羊毛!官方最新回复来了,涉事订单已被批量冻结

1月20日,拼多多被曝遭黑灰产团伙利用规则漏洞“薅”走数千万元,拼多多方面回复称,Bug优惠券系定制,同时也曝光了“遭黑灰产批量盗取”的操作手法。

被薅走200亿?事情是何原委?详情见券商中国推出“拼多多被曝出现大Bug,4毛钱能充100元话费,一晚被灰黑产团伙薅走200亿?前三季度营收才75亿”报道。

最新消息显示,拼多多已迅速向公安机关报案。目前公安机关正在调查过程中,因涉案金额巨大,预计将会对涉嫌套券诈骗、牟取巨额不当利益的涉事黑灰产团伙追究刑事责任。

针对该事件,目前上海警方已以“网络诈骗”的罪名立案并成立专案组,并依据“财产保全”的相关规定,对涉事订单进行批量冻结。拼多多方面称,本次事件不涉及任何数据安全问题,平台消费者原本正常领取的优惠券使用不会受到影响。

手法曝光!拼多多:黑灰产团伙批量盗取

1月20日凌晨,拼多多被曝一起Bug,有用户称购花4毛钱可购买100元无门槛话费充值券;有用户称,不少人获悉消息后集中购买了话费、Q币等虚拟商品以及油卡,或是以五折或者更低的价格进行购买。

刚刚拼多多解释该券系定制优惠券。拼多多官方人士称,“此次被盗取的优惠券系此前与非诚勿扰开展合作时的定制优惠券,仅供节目录制现场嘉宾使用;与此前某航空公司低价机票事件、某电商平台话费积分等事件具有根本性质差异。”

拼多多将其定义为遭“黑灰产批量盗取”并曝光了详细的操作手法:

该事件中的相关优惠券,均系黑灰产团伙通过非正常途径生成的二维码扫码后获得,该二维码多流传于社交平台相关黑灰产群。拼多多从未在APP及小程序中展示过此类优惠券相关信息及二维码。该二维码具体的生成及传播过程,正待警方调查后获得最终结论。

在拼多多的Bug券事件中,有网传截图显示,有网友还通过重复注册账号的形式,多次反复领取了拼多多的百元优惠券,有网友在1月20日当天充值了5万多元的Q币和3万多元的话费。

拼多多官方人士介绍,“通过该非正常途径生成的二维码,原本每个认证信息的用户可且仅可领取一张无门槛100元优惠券,而非此前网络流传的单个ID可以‘无限领取’。因此,有黑灰产团伙通过‘养猫池’(用手机卡蓄养大量虚拟账号)等不法手段,实现N张手机黑卡同时作业,批量盗取该种优惠券,并通过手机话费、Q币等虚拟充值的方式,试图在短时间内迅速转移此类不当所得,涉案优惠券总金额达数千万元。”

拼多多Bug漏洞事件出现后,有互联网安全技术人士进行剖析并得出“反欺诈体系不足,营销活动上线协调缺失,监控预警失效”等猜测。

在最新的回复中,拼多多官方进行了解释:事件发生时正值拼多多“年货节”大促,期间有大批量平台正常发放的优惠券被消耗。至20日上午9点,遭盗取优惠券和正常优惠券的总和突破平台预设阈值,系统监控到异常并自动报警后,拼多多在第一时间修复了相关漏洞。

拼多多官方人士称,为进一步加强“特殊优惠券”相关风控体系,拼多多已成立技术专组。

上海警方已成立专案组,对涉事订单批量冻结

“到底是Bug还是促销做到一半反悔?”广强律所非法集资犯罪辩护与研究中心执业律师曾杰此前向券商中国记者分析,如果用户是通过正常的购买支付手段使用的优惠券,从合同法到电商法的立法主旨来看,已经完成支付并到货的用户,不能追偿;已经支付尚未到货的用户,拼多多不能取消;已经领券尚未消费的用户,拼多多需要举证说明是自己的活动设计失误,对相关用户花费时间精力领券作出补偿。

拼多多风控团队负责人表示,黑灰产团伙在盗取金额巨大的优惠券并转移其不当所得后,期望达成“法不责众”的效果,迅速通过网络和社交群将二维码分享出去,诱导一些普通消费者跟风扫码,并在社交平台和群内编造“拼多多平台发券损失200亿等谣言”,以希望达到逃避刑责、混淆视听的结果。

拼多多的官方回复里透露了对Bug券的处理进展和细节:

事件发生后,拼多多迅速向公安机关报案。目前公安机关正在调查过程中,因涉案金额巨大,预计将会对涉嫌套券诈骗、牟取巨额不当利益的涉事黑灰产团伙追究刑事责任。

针对该事件,目前上海警方已以“网络诈骗”的罪名立案并成立专案组,并依据“财产保全”的相关规定,对涉事订单进行批量冻结。拼多多平台正配合警方,对涉事订单进行溯源追踪,并最终依据警方的调查结果对相关订单做出依法依规处理。

拼多多方面称,本次事件不涉及任何数据安全问题,平台消费者原本正常领取的优惠券使用不会受到影响。

同时,“拼多多平台期间及后续的正常订单,均不会受此事件影响。为充分保障正常参与平台各项活动的消费者的利益,在‘年货节‘和‘春节不打烊‘活动期间,拼多多将追加一亿元年货红包津贴,向平台消费者进行发放。”