10月10日，某大型电商平台上一家名为“长虹厨房电器旗舰店”的商家公告称，因为某推广机构的恶意欺骗，标价60多元的电热水壶，被不到10元钱买下拍了20万单。由此产生巨大的损失，甚至有破产倒闭风险，恳请消费者退款。

有网友认为“薅羊毛”不能薅倒了羊毛，决定申请退款；也有网友观点认为，消费者并无过错，商家理应为自己的行为负责，营销活动中出现了问题不应该将责任推给消费者，电商平台应该加强对没有契约精神商家的监管。

长期以来，“薅羊毛”已经成为电商行业不可承受之重。尤其是组织化、团伙化的“羊毛党”，在每年的双十一、618等电商促销节大肆“薅羊毛”，不仅批量哄抢优惠券、折扣券、积分等，更将消费者心仪的、高性价比的商品“薅”走。数据显示，电商零售企业70%~80%的营销费用会被等“羊毛党”等吞噬。

“薅羊毛”的流程与攻击特征

电商“薅羊毛”利用业务存在逻辑漏洞或技术漏洞，通过技术工具，批量抢夺原本属于用户的优惠和福利，再转售出去进行获利。这种抢优惠券、秒杀特价商品等行为，不仅损害了消费者合法利益，更给商家、电商平台带来经济损失。

业务安全公司顶象在长期与黑灰产的攻防中总结出“羊毛党”的作案流程：

首先，“羊毛党”安排专人去各个电商平台、社群搜集优惠、促销、折扣、积分信息，并进行汇总和梳理。

其次，通过熟悉活动流程，“羊毛党”分析活动或业务存在的漏洞，进而破解业务逻辑，测试出能够进行批量操作的薅羊毛方案。

然后，“羊毛党”准备各类工具和资料，如从卡商或黑市购买/租赁的手机号、身份信息等数据，编写各类自动程序软件等。

第四步，通过自动化的注册软件、接码平台、群控工具等，进行虚假账户的批量注册，或进行批量登录等操作。

第五步，促销正式开时候，“羊毛党”批量操控账号对特价商品、打折券等优惠商品进行哄抢。

最后，将抢到的商品、优惠券等通过社群、电商平台转售出去。

“羊毛党”的防控难点

“羊毛党”是一群有计划、有预谋的团伙化，彼此分工明确、合作紧密、协同作案，形成一条完整的产业链。“羊毛党”对电商的各项业务流程非常熟悉，很清楚需求和风控规则及业务漏洞，能够娴熟的运用移动互联网、云计算、人工智能各种新技术，进行各种风险欺诈操作，由此给电商反欺诈带来诸多新挑战。

并且，电商业务中涉及到的优惠系统、客户系统等，规则使用上互相重叠，风控流程上很容易互相矛盾，甚至相互打架，这就导致在风险防控上存在若干难点。

综合来看，“薅羊毛”防控有以下难点：

1、秒拨IP、模拟器等专业工具不断更新，新手段层出不穷，对抗难度大。

2、“羊毛党”手握大量账号，个体行为合法、群体非法，识别难度大。

3、业务风险点多，账户、订单等各系统均有可能出现漏洞，单点防控难度大。

4、业务防护体系中积累的风险核验数据量不够，更新不及时。

5、攻击来源复杂，既有不良用户，又有专业黑灰产，还有可能是恶意同行。

6、业务防护影响店铺业绩，一旦出现误判，将直接影响网店交易量和排名。

电商平台需要专业防控体系

分析显示，“羊毛党”有以下特征：

1、IP地址高度统一：正常用户来自五湖四海，注册登录操作的IP地址各不相同。而羊毛党们的注册设备和软件通常使用同一个宽带线路接入网络，注册和登录平台的IP地址基本固定，或来自于同一批代理IP。

2、账号注册登录多集中非业务时间段：正常用户一般是在正常作息时间内注册登录操作，一旦出现问题可以及时联系工作人员解决。而羊毛党则喜欢在休息时间段操作，此时平台的系统监控会相对放松，羊毛党批量操作时会占用平台带宽或接口，在非业务时间段操作可以避免引起运营者警惕。

3、账号注册登录行为非常流畅：正常用户注册登录时，要人工输入用户名、密码、手机号，收到验证码后还要再次手动输入，整个过程不规律且有一定延迟，过程中可能会因为不熟悉规则或因为其他事情而耽搁中止。而羊毛党使用自动化的软件工具进行账户注册，流程化作业如行云流水般一气呵成，速度和节奏上是人工速度的数倍。

4、设备特征24小时无变化：正常用户注册登录时，可能坐在椅子上、躺在床上、坐在车上，手机会根据动作进行不同角度的调整，手机的水平高度也会不停的调整。羊毛党使用软件操控批量设备，这些设备大多是放置在不同机架上，24小时保持角度和水平线无变化。

因此，电商企业需要构建自主可控的安全体系，以有效防范“羊毛党”风险。

顶象业务安全专家张晓科介绍，根据“羊毛党”的特征和防控难点，顶象全链路防控体系从多个流程节点着手：通过端安全，防止黑灰产获取业务逻辑接口信息、防止被入侵破解；通过对通讯链路保护，防止数据传输过程中被劫持篡改；通过人机识别技术的验证码，防止机器注册风险；通过设备核验技术，防止多开、模拟器、秒拨IP等风险；针对真人用户的风险操作，通过风控引擎的操作特征和交叉验证，防止异常操作等。

由此，帮助电商平台构建一条全流程的纵深防控体系构，有效防范电商“薅羊毛”。