1、2022营销活动中的黑产薅羊毛分析报告GeeTest 营销活动中的黑产薅羊毛分析报告Product Brief营销活动中的黑产薅羊毛分析报告Product B一、报告概述01二、活动数据总览01三、活动用户分布03?年龄分?设备分?地域分布四、活动数据分析07?参与时间维?参与次数维?邀请关系维?验证耗时维?验证行为维度五、行为验的拦截趋势10六、总结10目录营销活动中的黑产薅羊毛分析报告Product Brief网络黑产，通常指利用互联网技术实施网络攻击、窃取信息、勒索诈骗、盗窃钱财等网络违法行为，以及为这些行为提供工具、资源、平台和非法获利变现的渠道与环节。常见的形式有垃圾注册、薅羊毛、黄

2、牛刷单、虚假内容引流、数据非法售卖等。根据艾瑞咨询2020年发布的现代网络诈骗分析报告，全国黑产从业者已经超过40万人，依托其进行网络诈骗的行业人数至少有160万人，“年产值”在1000亿元以上。以营销活动中大家熟知的薅羊毛为例，潜伏在我们四周的“羊毛党”会第一时间瞄准红包、优惠券，抢夺平台资源，使营销活动无法触达真实用户，给企业造成巨额损失。为了解黑产薅羊毛究竟有多大的规模及危害，业务安全公司极验首创了一个真实的“人与黑产对抗”的活动（Geetest 抽卡），通过模拟运营方案，发放爱奇艺会员月卡作为奖励，吸引真实 C 类用户以抽卡兑奖的形式来参与活动。同时，黑产也闻讯而至，开始和用户来抢夺资

3、源。Geetest 抽卡活动共持续10天（2022年10月22日-2022年10月31日），每天10：00开始抽卡，卡片分人物卡、机器人卡和炸弹卡三种。每个账号每天共9次抽卡机会，每邀请一位好友参与可增加9次抽卡机会。集满6张机器人卡自动合成一张人物卡，集满4张人物卡即可兑换奖励。10月27日，极验开始设置验证码防护来平衡用户的便捷性和黑产的安全性，并将真实的活动数据公开，体验在真实的营销活动中，将有多少资源被黑产薅走。一、报告概述二、活动数据总览营销活动中的黑产薅羊毛分析报告Product Brief从10月22日至10月31日，累计参与用户9725503人，领奖用户30000人。10月25

4、日，日访问量达到顶峰。日访问次数 41.79 万10.25增加了行为验证10.27共 166.44万真人参与10.25共 23.23万黑产参与10.27共 4.02万黑产参与10.25真人领奖 654 次10.25黑产领奖 2346 次10.25增加了行为验证10.2710月25日，参与抽卡的黑产数量只占抽卡总数的2.36%，但被黑产领取的奖励却占奖励总数的63.2%。02营销活动中的黑产薅羊毛分析报告Product Brief三、活动用户分布2.设备分布?年龄分布参与用户主要以18-39岁年龄段的人群为主，其中18-24岁的参与用户最多，占比38.39%。以抽卡形式呈现的活动趣味性较高，更容

5、易吸引年轻人的参与；且视频会员奖励符合年轻人的需求，黑产察觉到了变现获利的机会，通过恶意刷量等方式，将原本发放给用户的福利收入囊中。03营销活动中的黑产薅羊毛分析报告Product Brief3.地域分布2022年10月22日2022年10月31日20000=20000=15000=10000=5000=1000从用户设备画像分析，使用 iOS（占比52.36%）和 Android（占比47.64%）平台机型的用户比例基本相当，但 Android 系统的设备机型大多数无法获取具体的机型参数。相较于 iOS 封闭的系统环境，Android 生态更适合黑产在设备上效率最大化。以过往和黑产对抗经验来

6、看，大部分工作室、黑产团伙会更改设备配置、篡改设备系统参数，伪装成一部新的设备，从而躲避风控工具的检测；此次活动交叉数据显示大部分有模拟器、群控设备嫌疑的数据均未获取到具体的机型参数。从用户地域分布来看，沿海地区的参与度普遍更高，如广东、浙江、上海、江苏、福建等。来自广东的用户占15.49%，来自浙江的用户占9.07%。这些省份资源汇集，有更多的发展机会，因此年轻人占比更多，对于此类抽卡活动的参与度也更高。用户地域画像04营销活动中的黑产薅羊毛分析报告Product Brief从黑产地域分布来看，经济发达的沿海地区遭受自动化攻击的比例也更高。00506332022年10月

7、22日2022年10月31日数据显示，正常用户与黑产在参与时间、抽卡频次、邀请人数、验证失败次数及验证耗时方面的表现均有差异。4.活动引流方式分布黑产地域画像05营销活动中的黑产薅羊毛分析报告Product Brief本次活动新参与的用户主要来自群聊分享，群聊分享是裂变类活动获取新用户最普遍最有效的方式；从黑产变现角度来看，运营大量的微信群，逐渐建立起私域流量，会加大变现效率和收益。06营销活动中的黑产薅羊毛分析报告Product Brief抽卡活动每天10:00后方能参与，而接口日志显示，部分请求在10:00前已经发出。正常用户一般不会在无效时间发起抽卡，提前请求的这一行为非常吻合定时脚本的

8、运作特征，提前启动，在时间上保障效率最大化。数据显示，正常用户与黑产在参与时间、抽卡频次、邀请人数、验证失败次数及验证耗时方面的表现均有差异。四、活动数据分析1.参与时间维度2.参与频次维度IP最早抽卡时间最晚抽卡时间223.xxx.xx.212022/10/23 00:02:272022/10/23 13:39:01218.xxx.xxx.412022/10/23 00:16:492022/10/23 12:51:30224.xxx.xxx.572022/10/23 02:41:322022/10/23 14:18:4659.xxx.xxx.2242022/10/23 03:12:15202

9、2/10/23 15:31:19184.xxx.xxx.1042022/10/23 06:47:022022/10/23 16:08:2207营销活动中的黑产薅羊毛分析报告Product Brief活动规则规定机器人只能抽到机器卡，6张机器卡自动合成一张任务卡。因此，黑产想要集齐4张人物卡兑换奖励，需要每天抽24次；而正常用户每天只需要抽15次以内。为了获取更多的抽卡次数，相比正常用户，黑产会想方设法邀请更多的下级用户来增加抽卡次数。随着群体的扩大，黑产内部也越来越有组织性，分工越来越明确。3.邀请关系维度真实用户黑产真人与黑产抽卡次数对比08营销活动中的黑产薅羊毛分析报告Product Br

10、ief根据验证耗时来看，黑产的验证时长普遍高于正常用户；模型最复杂的验证形式，黑产完成验证耗时在5-6秒；正常用户在3秒左右。10月27日，极验开始在兑奖环节设置验证码防护，只有成功通过验证码才能领取奖励。数据显示，黑产验证失败的普遍次数是4-5次；正常用户验证失败的普遍次数是0-1次。4.验证耗时维度5.验证行为维度纵坐标：真人/黑产数量；横坐标：验证通过时长纵坐标：真人/黑产数量；横坐标：验证失败次数09营销活动中的黑产薅羊毛分析报告Product Brief五、行为验的拦截趋势六、总结10月22日至10月26日，在不设置任何防御的情况下，越来越多的黑产加入到这场资源争夺大战，共薅取了40

11、.54%的奖励。10月26日，被黑产领取的奖励高达78.2%。从10月27日起，极验在领奖环节增加了行为验证防护，真人与黑产的领奖数据也开始发生了变化：27日、28日黑产领奖数骤降，验证码防护效果初见成效。然而，10月29日，黑产领奖数再次回升。为了平衡用户体验，极验升级了验证模式策略：面对有风险的请求，验证AI大脑会自动强化对抗策略，如动态切换验证形式、自动更新视觉模型等。动态变化的验证码模型给黑产带来极大的挑战，增加了破解成本和时间，拦截能力提升。升级验证模型策略后，最后两天的黑产领奖数再次降低。10月31日，黑产领奖数仅占领奖总数的3.1%。黑产都是无效的机器流量，给企业造成直接损失的同时，还会破坏业务平衡，给真实用户造成糟糕的体验。互联网63%的流量来自自动化程序脚本产生，每年将给企业造成数亿的经济损失。在不加以防御的营销活动中，绝大部分资源都会被黑产薅走。因此，各行业都应该提高警惕，提前部署好安全防御措施，避免活动过程中遭遇黑灰攻击形成巨额损失。精准全面的全栈式风控，才能保障业务免受攻击，极验提供分析、处置、决策全流程风控系统，通过行为、设备、身份三个维度建立风控模型，为客户保驾护航。增加了行为验证10.27加大了验证难度10.2910