互联网信贷欺诈深度调研报告-鲲鱼科技-2019.2-64页.pdf

深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 鲲鱼科技反欺诈实验室新流财经 联合发布 深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 目 录 第一篇 信贷业务的发展：大势所趋 第二篇 技巧的加持，技术的对抗 肆虐攻击背后的“神秘”武器 1 改机工具 2 脚本 3 群控平台 助贷者的“瞒天过海”术 1“山积波委”的资料信息库 2“面目全非”的借贷者 3 内鬼：致命之剑 AI 时代，无所不破：生物验证的局限性 1 人脸认证靠不靠谱？“换脸”怎么做到？2 一块橘子皮就能秒开你的手机指纹锁 3 虹膜识别：酷炫的同时也潜藏安全隐患 第三篇 人性的黑暗：凶恶与欲望 海面下的冰山：风控蛮荒中的欺诈 狼突鸱张：骗贷黑产的疯狂 1 黑产：一个最好的时代来临了 2 今天，我是谁？-分裂的黑产从业者 跗骨之蛆：中介助贷的狂妄 1 情报和攻略中介 深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 2 资质包装中介 3 销赃套现中介 暴戾恣雎：“高炮”的嚣张 1 高炮的全球化现状 2 消费信贷升级外衣下的互联网高炮 饮鸩止渴：借贷的绝望 1 第一次的初体验 2 上瘾，不可自拔 3 从撸工资到走向绝望 第四篇 信贷反欺诈的困境 从业人员的技能知识结构 数据寡头的信息孤岛 金融科技服务商的良莠不齐 深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 第一篇 信贷业务的发展：大势所趋 1 消费信贷发展大势所趋 根据商务部消息，2017 年，我国社会消费品零售总额 36.6 万亿元，同比增长 10.2%。2012-2017 年间，社会消费品零售总额占 GDP 比重呈上升趋势。“刺激内需”政策效果明显，消费对经济的推动作用越来越强，对经济增长的贡献度不断提升，拉动经济的“三驾马车”力量得到合理改善。（数据来源：国家统计局，易宝研究院整理）从 2011 年开始，逐渐有玩家开始涉足消费信贷市场，这其中以捷信为代表。而到了 2015 年，随着中国经济结构和主力消费群体的变化，消费信贷市场逐渐迎来了蓬勃的发展。根据苏宁金融发布的中国互联网消费金融发展报告及展望整理，主要有以下几方面原因：（1）政策环境 2016 年政府工作报告中 18 次提及消费，2017 年政府工作报告提出要进一步释放国内需求潜力。因此，这两年促进消费升级产业政策持续出台，涉及信息消费、旅游消费、健康消费、体育消费、养老消费等领域。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 （2）经济环境 从 2016 开始，我国年人均 GDP 5.4 万元，约合 8800 美元，超过 8000 美元这一国际上公认的消费结构变化拐点，2017 年人均 GDP 上升到 9480 美元，居民可支配收入显著提高。中产阶级人口达 1.09亿，超过美国 9200 万的中产数量，位居全球第一。而根据 2019 年 1 月 20 日国家统计局公布的数据，2018 年人均 GDP 已经破 10000 美元。但是从中美的消费信贷市场规模上看，截止 2017 年国内消费信贷余额仅有美国的 40%，而中国人口是美国的 4.2 倍，人均消费信贷仅有美国的十分之一，市场发展空间巨大。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 从消费信贷余额占 GDP 比重看，中国仅占 12%，远远低于美国等发达国家 20%的平均水平。随着居民收入及消费水平的提升，国内消费金融发展潜力得到释放，消费金融将再现蓝海市场。（3）社会环境 居民生活方式更加注重休闲娱乐和身心健康，居民消费观念也更加讲究生活品质格调。80 后、90 后成长为消费市场主流人群，超前消费、信用消费、追求个性品质成为潮流。80、90 后成为消费人群中的主力，随着国内老龄化的发展趋势，居民收入的不断增加、社保体系的逐步健全、消费环境的逐渐改善，消费者开始敢于消费也愿意消费。消费金融市场的信贷结构也发生了明显的变化，除房贷、车贷外的短期贷款由 2010 年的 12.7%增加到 2017 年的 21.6%，年轻一代的消费观念发生转变，消费模式逐渐升级。（数据来源：中国人民银行）（4）技术环境 互联网的便捷性让网购、海淘成为潮流，使得国内外高品质产品触手可及。全新体验购物方式推动消费潜力的不断释放，互联网消费金融的发展有力促进了居民消费水平的升级加速。依托金融业务的高速发展，这几年能够走向 IPO 的金融科技公司也越来越多。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 2 消费信贷业务发展现状 根据2018 年消费金融行业发展研究报告中的数据显示：2017 年，持牌系消费金融公司迎来盈利大爆发，整个行业营业收入及净利润都实现了大幅度增长。捷信作为唯一一家外商独资消费金融公司，2007年入驻中国，由派富集团有限公司 100%控股，其营业规模和收入水平一直处于行业领先地位。相较而言，招联消费金融营业收入虽远不及捷信，但通过线上运营的方式缩小了成本，仅用两年时间就在净利润上实现反超，逆袭捷信。中银消费金融依靠优质的资金渠道和良好的获客渠道在净利润上领先行业。（数据来源：上市公司财报，易宝研究院整理）深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 但是从另一个视角看，上市平台股价缩水、头部平台放贷规模下降、明星平台转型失利，裁撤门店、裁减人员，互金平台断臂求生的勇气与无奈，格外令人感慨。依托消费升级的大风口，政策层面不断释放鼓励与友善信号，银行等持牌机构大举推进，放贷金额再创新高；巨头通过开放平台合纵连横，处处繁华景象。根据苏宁财富咨询的 展望 2019：年轻人的消费欲望，消费金融行业走出低谷的希望？的报告认为：分化的产生原因可追溯至现金贷新规，某种程度上是监管为了遏制“融资贵”问题的有意为之。现金贷最大的问题并非无场景依托，而是利率太高。自 2016 年以来，现金贷业务带动消费金融行业利率定价中枢上移，经过舆论层层发酵，“高利贷”的标签与现金贷紧紧捆绑在一起，至今也没撕下来。当高利贷与校园贷、暴力催收等话题结合时，更是引爆了舆论关注，在各方口诛笔伐下，现金贷新规应时而生。现金贷新规直接明确了利率上限，用合规经营这把利剑斩断了“融资贵”的根源。头部平台开始转型引流平台，将客户传导给资金成本更低的银行，银行市场份额快速提升，互联网平台的自营业务不断萎缩，分化开始了。问题是，道德层面的制高点通常都是双刃剑。当我们以为消灭了融资贵时，融资难便会浮出水面。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 现金贷的野蛮增长，给我们最大的启示就是：只要允许融资贵，便能消灭融资难。融资难的存在，本质上源于金融机构对于风险的规避态度。当银行等持牌机构无法准确识别风险时，应对策略通常是战略性放弃，不做这个群体的业务，这才有了融资难。而现金贷平台的应对策略则是调整利率定价，用高利率覆盖高风险，50%不行就 100%，100%不行就 500%，没有做不了的用户，哪里还有融资难一说。所以，随着银行等持牌机构逐步成为消费金融行业的主流供给者，高风险人群进入主流融资市场的大门刚被互金机构打开，便要被关上了。2018 年下半年以来，各类地下高利贷和高炮口子（超短期高息现金贷）重出江湖，灰色经营、不服监管，随着正规的高息贷款产品退出市场，这类机构倒成为了受益者。提到高风险人群，很多人脑子里映出的是多头借贷群体、不良嗜好群体和骗贷群体，这类群体的融资难，是好事。不过，在金融机构眼中，所有无法准确识别风险的客户都是高风险人群，征信白户、初入社会的年轻人，也是高风险群体的一种，这类群体的融资难，需要各方加以重视。“人们的开放性、外倾性和个人主义往往会在刚成年时达到巅峰，而此时正是免疫系统最强盛的时期，而随着他们的健康状况在整个中年时期走下坡路，这些特质也会随之减弱。”通俗点说，年轻人的免疫系统处于最强盛时期，更愿意承担风险，消费欲望强烈，也更容易接受借钱消费的理念。那么，年轻人的数量有多大呢？人口普查数据显示，2017 年，20 岁-29 岁之间的人口占比为 15.18%，总计约 2.13 亿人。这 2 亿多人口，既是金融机构眼中风险较高的群体，也是拉动社会消费升级的火车头。近日，CBNData 综合来自天猫、淘宝等 20 多家合作伙伴数据，发布了中国互联网消费生态大数据报告，表明“80 后仍是中国互联网消费的中坚力量，但 90 后的消费力正迎头赶上，线上人均消费持续走高，成为本轮消费升级的重要驱动力，二线及以下城市的小镇青年群体消费潜力巨大”。从 2016-2018 三年数据看，90 后的人均线上消费迅速走高。在 2019 年中央经济工作会议中，明确指出“促进形成强大国内市场，要努力满足最终需求，提升产品质量，加快教育、育幼、养老、医疗、文化、旅游等服务业发展，改善消费环境”。2018 年 8 月，银保监会曾发布关于进一步做好信贷工作提升服务实体经济质效的通知，释放了鼓励消费金融发展的政策信号：深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告“积极发展消费金融，增强消费对经济的拉动作用。适应多样化多层次消费需求，提供和改进差异化金融产品与服务。支持发展消费信贷，满足人民群众日益增长的美好生活需要。创新金融服务方式，积极满足旅游、教育、文化、健康、养老等升级型消费的金融需求。”艾媒咨询数据显示，中国在线消费金融市场今年发展迅速，根据 2016-2020 年在线消费金融市场规模和预测结果，预计消费金融市场规模年均复合增长率为 82.8%；2018 年市场规模为 19211.7 亿元，2019年更有望突破 3 万亿元关口。近年移动互联网及大数据技术日益成熟促进互联网消费金融的高速发展，互联网消费金融产品应更多地探索与新技术的结合，发挥比传统消费信贷更多的科技优势。不过外表的繁荣和希望，却掩盖不住隐藏在背后的隐患和问题，随着消费金融市场的爆发式的增长，其问题也愈发放大，甚至会产生严重的社会问题。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 海面下的冰山：风控蛮荒中的欺诈 1 风控蛮荒现状 1.1 个人隐私泄漏 2018 年 11 月，多位知情人透露：“行业部分头部大数据公司的高层，均被警方带走调查。”而这其中很多知情人反馈可能是涉及到用户隐私数据泄漏。消费信贷业务天然的可以拿到用户的诸多隐私数据，而在消费信贷行业的风控和同业竞争中，这种客户数据的需求也愈发强烈。信贷行业玩家的不规范、玩家链条过长、缺乏有效的法律监管等问题突出，其中最重要的是数据泄漏贩卖带来高额的利益和危害：在黑市上，一个有效的白名单借贷用户可以卖到数百元的价格，用户的隐私数据可以卖到数十元的价格，这样的利润在缺乏有效监管的情况下很少有人能坚守原则和底线。1.2 控制不住的坏账率 优质用户逐渐被头部平台截取，而新进来的玩家为了扩大市场份额只能不断下沉客群，客群下沉一方面导致信用风险提升，另外一方面也会导致欺诈频发。一般现金贷平台的低级玩家的坏账率普遍能到 30%左右，这就导致了劣币驱逐良币，合规的玩家玩不下去，只有那种高炮才能在这个市场上生存，进而造成了这个行业的恶性循环。1.3 畸高利率 为了覆盖高坏账率，畸高利率是生存下去的唯一玩法，而这个也成为这个行业最为诟病的地方，畸形的利率形成了一种逆向淘汰，只有对资金极度渴望的人才会进入这个行业，要么是重度借贷患者，要么是欺诈。1.4 暴力催收 暴力催收一直是消费信贷行业最大的问题，而从聚投诉的数据来看，投诉排行靠前的是一直都是信贷平台（该投诉平台包含淘宝、京东这么大体量的电商平台），信贷的投诉远远超过电商的投诉。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 1 大量个人数据泄漏一方面侵犯公民隐私权，另外一方面也为欺诈提供了大量的素材 2 欺诈是消费信贷产生逾期最重要的原因之一，且基本可以确认坏账 3 因为欺诈的存在，只能用畸高利率覆盖坏账成本，这种畸高利率反过来成为暴力催收的推手 2 贷后视角下的欺诈 由于身份证验证和人脸识别等新技术的进步，传统意义上的伪冒客户（人头户：即虚假客户）越来越少，取而代之的是新欺诈客户（老哥）的特征，总结下来主要有以下 3 个方面：1.不符合借款资质 2.资料造假 3.具有一定反催收能力 这些欺诈客户比传统意义上的黑产危害更大，他们有各种群/微信号/公众号，交流撸口子经验和反催收经验。1.不符合借款资质 深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 这种情况的客户，往往是本身已经在一些黑名单库里了，容易被拒，但他们往往会让自己爱人或者亲戚来办理贷款，通过 1 个新的白户在短期内大量借贷，借款之后就不还了。而实际借款人往往对贷款并不知情，又或者信用意识淡薄，觉得只是单纯在搞钱，所以就算最后逾期了，也会使用各种理由推诿，拒绝还款。要防这类欺诈客户，还需要借助于关系图谱这种强有力的工具，不光是用客户本人的手机号去撞黑名单库，更重要的是把客户的前几层联系人手机，也匹配下黑名单。关系图谱 由于现在第三方数据管制越来越严，更多公司都是基于自有数据去搭建知识图谱，一般消金和网贷公司都只能防范联系人涉及黑名单的情况，这也给了这些欺诈分子可乘之机。除了大数据解决类似的问题之外，很多线下贷款，特别是三四线城市的线下风控人员，会成立一个小贷群，互相之间交流坏客户的信息，很多时候通过单位，住址，门牌号，就能判断是否跟坏客户有联系。再一种解决方案就是面签或者网上视频审核。前者大多时候是线下小贷用的比较多，会在放款前让客户来门店签约通过各种问题，以此判断客户质量。而后者是属于新技术，可以跟客户进行远程的视频交流。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 这两种方法的目的都是通过面对面的沟通，以及一些有针对性的问题，去观察客户的标签和反馈，通过面签审核人员的经验，去判断客户本身是否有还款意愿，是否为欺诈客户。（因为往往替他人办理贷款的客户，对贷款本身的性质并不了解，而且普遍怕承担风险。）2.资料造假 现在很多风控不严的网贷平台，为了提高客户转化率，简化了相关资料的提供，就给了很多欺诈客户可乘之机。资料造假又分几种类型：中介包装、工作单位造假、联系方式造假。2.1 中介包装 社会上，无处不在的中介，很多时候是有一定便利性的，比如一个客户本身贷款资质不足，但有还款意愿，中介包装一下其实问题不大。这里讨论的是完全没有还款意愿的欺诈客户，通过中介包装一个假身份，比如假的居住证，工作，住址，全套材料帮你搞定。但是会抽取比例比较高的提成，实际客户本人拿到手的钱并不多，客户本人就会觉得大头让别人给赚了，还要自己承担息费，就会逐渐变得无还款意愿。甚至很多中介会跟贷款销售勾结，压 3 个月的贷款每月帮客户还，3 个月之后就停了。既不影响销售业绩，风险表现也不是立刻显示出来，把一个欺诈用户，变成了信用风险。2.2 工作单位造假 正常情况下很多线下的小贷都是需要客户开工作证明的，必须要确认工作有效，这个款才能贷出来。当然不少线上贷款也需要填工作单位、职位等等。但由于很多金融公司为了追求放款量，风控并不严谨，比如对线下贷款没有亲核亲访的环节。这样的话对于纸质工作证明，基本上没法有效的验证。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 另外，线上贷款为了追求时效，减少了人工审批环节，又或者人审环节不要求核实单位。就会给很多欺诈客户有机可乘，随便造一份工作证明，私刻公章或者 ps 一份，让很多无工作和无偿债能力的客户也能贷到款。2.3 联系方式造假 传统意义上，让信贷客户提供联系人和联系地址等资料，目的就是为了后续一旦发生逾期，可以通过上述资料进行电话和上门催收。但是如果碰到联系方式和地址造假，那基本后续就没法进行有效的催收。数据表明，逾期 90 天以上的坏客户中，90%以上的都是失联客户，所以联系方式造假的危害性特别大。大多数贷款审核的时候，都需要客户填写联系地址。但是对联系地址的真伪，往往不会去进行验证。因为联系地址的真假，必须是亲核亲访（上门进行尽职调查，访问和拍照），又或者人工审批才能发现（通过百度地图，问些相关的问题）。现在催收的主要手段就是电催，所以联系方式造假的具体类型，又分好几种情况。通讯录造假：通过一些 app 软件，可以很容易做到通讯录的导出和导入，同时也可以通过对平台软件的通讯录的允许读取和限制读取，制造出假的通讯录。同样，人工审核环节核实联系人，可以进行有效防范，但现在线上贷款，人审环节的简化，比例的减少，让这种欺诈行为，很难被有效防范。通话详单造假：有些风控手段会要求验证通话详单，其目的主要是确认客户手机号的使用年限和频次，背后的原因是确认客户更换手机号的违约成本。因为如果客户手机号是长期使用的，一旦更换等于整个亲戚朋友和关系网都会丢失一部分，所以客户就不会轻易更换号码，减少失联风险。但是很多欺诈客户有自己的办法，注册好多个手机号，平时不常使用，但是会人为制造一些通话记录，一般养个半年到 1 年左右就开始贷各种小贷，贷完把号码注销，达到失联的目的。联系人串通造假：这是所有欺诈手段中，最凶悍也是最难防的。往往是欺诈客户跟通讯录里面几个主要联系人串通好，在人工审核及电话回访的时候，表示客户资质良好，并配合说客户有一定经济能力。等到逾期之后，这些原本的联系人均表示不认识客户，拒绝沟通。由于目前监管对于恶意骚扰联系人要求比较严，一不小心就会扣上暴力催收的帽子，所以当联系人不配合的时候，自然而然这个客户就会逐渐失联。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 3.反催收 欺诈客户把钱贷到手之后，并不是完全高枕无忧了，他们还有一道坎要过，就是贷款机构的催收。哪怕他们当时提供的资料是虚假的，催收员们也会通过一些信息修复手段，把客户找到。所以催收这关，是所有欺诈客户必须要过的关卡，熬过了，才算这笔钱真正骗到手了。笔者从事贷后管理多年，遇到过的反催收手段，总结下来有这样几点：反套路催收员：要么不接催收电话，接了电话先录音，然后想办法去激怒催收员，态度很凶，但是语言内容不提不还钱，就是说暂时没钱。然后不停的拿态度说事儿，如果催收员经验不够丰富，情绪激动说了些不该说的话。就以录音进行投诉。由此引申开的还有微信聊天记录等等，方法就是套路催收员说了些不该说的话，进行录音和截图，然后投诉。拒绝沟通，洗白通讯录：不接电话，不回短信，不加微信，不加 QQ。然后给所有联系人，群发类似以下内容的短信：模版 1:紧急通知！我是某某某！信息时代，骗子肆虐，因之前误扫描群里不明来源二维码导致手机病毒，导致骗子获取了我的通讯录信息，近期接到不少诈骗电话要求还贷，扬言不给钱就爆通讯录打亲朋好友电话帮忙还钱，更有些发一些恶心恐吓侮辱类的短信，本人已经报警处理，希望亲朋好友也不要轻信骗子的片面之词，并吸取教训，不要轻易扫描二维码。扫码需谨慎啊，特别通知！模版 2:你好，关于某某某先生/女士诈骗贷款的事情打扰到您，非常不好意思，我们与某某某先生/女士已经取得联系，在沟通过程中发现他身份证掉了，到现在都还没来的及补办，导致他的信息被盗用在我司诈骗贷款，现在我司已经报警立案调查，如在有收到类似短信可以不用理会，避免上当受骗，及时转告某某某先生/女士及时把身份证补办，避免再出现这样的情况，打扰到您不好意思。通过这些短信，来恢复通讯录里面家人朋友的信任，进行洗白。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 4.无中生有，投诉到底 编造一些被恶意催收的短信，在微博，贴吧，聚投诉等平台进行投诉，博取同情。比如下图中的短信内容 上述短信分别表达了无视监管，地域歧视，辱人父母三种情绪。然后在平台上投诉，说是被暴力催收了，引起大众的共鸣和敌视。其实像这种跟催收还款无任何关系的短信，催收员是不会发的。但同样没有证据去洗白。往往只能通过私下协商来解决，更多是平台停止催收，息事宁人。5.举报监管 比投诉行为更恶劣的，是举报监管。由于 2018 年愈演愈烈的 p2p 倒闭潮，导致很多欺诈客户，在网贷机构倒闭的过程中尝到了甜头。只要平台倒了，这个钱自然不用还了。所以这些欺诈客户多了一些恶搞平台的手段：一个方法是通过天眼查，查到要投诉的平台全称和企业相关信息，然后去中国互联网金融协会公众号或者网站举报，每条可以举报五次，而且投诉之后不跟平台协商，直到平台放弃催收为止。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 另一个方法是查企业备案的工商局，然后编一些假材料去工商局投诉，并且发动群里的老哥们一起投诉，一般工商局不会验证材料和事实的真伪，只会关注投诉量，然后让平台想办法解决。特别是现在 12315可以进行网上投诉，让老哥们的投诉渠道更加快捷。逼平台方放弃催收，息事宁人。黑产、中介、信贷机构、借贷者，这些都是在这场信贷欺诈中的节点，扮演着不同的角色。“我们在凝视着深渊的同时，深渊也同时在凝视着我们”。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 第二篇 技巧的加持，技术的对抗 随着互联网金融的快速发展，“寄生”其上的黑灰产规模和技术也在不断壮大和改进，薅羊毛、骗贷等技巧层出不穷。在监管从严、竞争日益激烈的大背景下，互联网金融与黑灰产的对抗是一项艰巨而持久的任务。据雷锋网报道：就像组织严密的现代黑帮一样，网络黑灰产如今已经商业化得非常成熟，拥有着复杂精巧的产业链，每天在全球黑产网络中流转的交易额数以亿计，整体规模更难以估测。根据角色的不同，黑灰产业链可分为产业链上游、中游和下游。上游工作者会不断生产各类黑灰产“作案”资源来满足中游和下游的需求。整体来讲，黑灰产“作案”离不开两样东西：资料和工具。根据应用场景的不同，所需的资料和工具也会有较大差异。笔者在此就跟大家从工具和资料的角度聊聊互联网信贷平台中黑灰产常用的“作案”手段。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 肆虐攻击背后的“神秘”武器 随着与风控的对抗升级，黑灰产的作案工具也在不断升级。作为上游的工具开发者，具备较强的研发能力，大多使用Python、Lua、易语言，具备很强的反侦查和版本快速迭代能力，不断给黑灰产提供大量的自动化作弊工具、脚本、插件等，极大的提升黑灰产的作业效率。注册机、改机工具和群控平台等作案工具越来越完善，呈现出一体化、定制化趋势。1 改机工具 各类优惠活动都会对一台设备注册/登陆账号数做一定限制，导致黑灰产从业人员需要更多的新设备来获取利益，大大增加了黑灰产作案的成本。而改机工具可以解决黑灰产在移动端的设备成本问题。改机工具通过劫持系统函数，篡改移动端设备的信息（如型号、分辨率、IMEI、MAC地址、IDFV等）。由于改机工具能够从系统层面劫持获取设备基本信息的接口，因此APP获取到的设备参数都是被修改后的假数据，而依据这些参数来判断设备唯一性的方法将会失效。利用改机工具，原有的设备将会被识别为一台新的设备，实现单部手机的复用。随着技术的不断改进，新型的改机工具不论是在价格还是在功能上较以往都有明显的优势，黑灰产的从业门槛逐渐降低。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 设备系统设备系统 改机条件改机条件 主要功能主要功能 Android l 安装 Hook 框架（常用：Xposed，需要 root）（最新版本的 virtualXposed 无需root）一键新机 虚拟定位 虚拟网络 防检测 l 无需 Hook 基于定制 ROM 的模拟器，无需 Hook，具有一键新机功能，较难检测。IOS l 安装 Hook 框架（常用：cydia）l 需要越狱 全息备份 虚拟定位 一键新机 虚拟网络 2 脚本 计算机脚本程序是确定的一系列控制计算机进行运算操作动作的组合。由于脚本可以大大提高执行效率，广泛应用于黑灰产作案的各个环节。尽管市面上已经存在大量的各式各样的通用性的作弊工具，但是并不能满足特定场景下的特定需求，因此需要使用特定的插件或者在作弊工具的基础上进行改造。常用的Xposed插件、群控插件、按键精灵脚本等，都有非常丰富的插件资源可以使用。同时存在很多厂商或者开发者群，接受各种定制化的需求。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 上图为某插件安卓版运行界面 3 群控平台 群控即用一台电脑控制大量手机（可达上千部手机），实现批量化管理。按照实现方式，可分为线控和云控。线控需要自己搭建服务器，用数据线将每个真实的手机连接至服务器。云控不需要自己搭建服务器，不受数据线地域的限制，搭载了云技术可以实现远程控制，可以用任意一台PC通过云端控制手机终端。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 云控线控示意图 线控 VS 云控 成本成本 需要购买辅助硬件设备，安装繁琐，成本较高。不需要购买本地服务器，不需要 HUB传输线，不需要高配置的电脑。手机手机 一般为安卓手机，需要指定型号，用久了会卡顿。可以使用 IOS 手机，寿命长，运行流畅。使用限制使用限制 1、固定在同一个场所或局域网内才可以操作 2、不能实时操控 3、可操作的手机数量有限制 1、可随时随地操控 2、手机可在任何位置 3、手机数量没有严格限制 安全系数安全系数 保存在本地电脑，有丢失风险。保存在云端，安全，稳定。3.1 线控 线控一般由低价定制的安卓手机、设备陈列架、服务器和群控系统组成，常用的线控有30控、60控和100控，当然用户可根据实际情况调节个数，各设备间需要在同一个局域网内才可操作。线控基本上都是通过adb对设备进行控制，即使手机不进行root，或者不刷机直接插到集线器上也是可以批量控制的，只是不能执行某些脚本。如果不能使用脚本，无异于走路缺少了腿，因此，市面上的群控使用的手机基本上需要root和安装Xposed框架（这个框架关系到一些功能能否批量操作以及正常使用）。随着技术的进步，已出现不需要手机root也可以进行批量管理的线控平台。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 线控的典型连接方式 常见的线控系统大都围绕微信展开，早期服务于微商，现在越来越多的应用于互联网公司营销和黑灰产赚取毛利场景中。其功能也由最初的摇一摇、自动添加附近的人、发朋友圈发展到监控微信消息自动发送文字及图片功能，可同时实现通过好友请求后自动发文字及图片功能。若已有脚本不能满足需要，可联系厂家定制或者自己写脚本。常见的线控界面和脚本功能区 深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 3.2 云控 云控使用先进的云端指令技术实现一机一号在云端操作，不需要搭建本地服务器和HUB数据线传输，任何一台电脑直接登入云端后台即可批量操控手机。云控手机可分为云控真机和云控虚拟机，随着技术的发展，云控虚拟机越来越流行。其实，模拟器批量操作也属于最早的云控虚拟机，但是模拟器有很多明显与真机不同的特征，随着风控技术手段的不断升级，模拟器很容易被识别。为了避开风控的检测，云手机应运而生（用服务器虚拟出来的，并不是真实手机，也不是模拟器）。（1）云控真机 云控真机系统是在群控系统基础上，突破了设备登录地域限制问题。不再需要数据线将手机连接至服务器，只要手机越狱/root且安装了云控系统，手机可以在任意位置，用户可以随时随地使用电脑通过云端指令操作来控制手机。由于使用真机，且手机不受地域和网络限制，更符合正常设备的使用行为，那么就更容易避开很多风控检测规则。目前市面上的云控系统价格较稳定，在不包含手机等硬件的情况下，每年大概需要1万元（100控），系统价格按照每年30%-50%续费。云控真机的另一种实现方式是一机多开（分身），不过这个要求是IOS手机和特定的越狱系统版本，一套系统可支持一台手机50个分身（越狱后IOS9.2以下系统），因为iOS对APP的运行有着特殊优化，因此运行50个APP的速度与运行1个APP的速度没有差别，可以极大压缩“作案”成本（成本：以100个号为例，5s手机2台，单价1000元*2，系统4000，共6000元）。（2）云控虚拟机 n 云手机 云手机，按照百度百科解释：就是将云计算技术运用于网络终端服务，通过云服务器实现云服务的手机。可以理解为架设在远程云服务器上的Android应用系统虚拟手机（是虚拟机，不同于模拟器）。客户可以通过远程连接软件，控制远程云服务器的无数台云手机。由于是基于云服务器开发出来的虚拟手机，具有一定的成本，所以市面上的云手机都是收费的，每个云手机的价格在12元不等，若增加虚拟定位、IP、多开、定制化脚本等功能需额外收费。目前市面上云手机的应用技术并不是很成熟，远程控制的时候会出现卡顿等情况。由于云手机不同于模拟器，更接近于真机，待技术提升后，其将成为黑灰产作案的强有力工具，也是风控人员需重点防范的一个方面。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 设备系统 云手机主流软件 主要功能 Android NEB 云手机 云控平板 红手指云手机 龙境云手机 蜂窝云手机 免 Root 权限 群控同步 24 小时在线 不占用本地电脑资源 n 模拟器 安卓模拟器最初主要服务于游戏行业，后来随着游戏市场的快速发展和模拟器技术的不断升级，模拟器的市场需求不断壮大，各种品牌和功能不断涌出，已由最初单纯的工具软件演变成一个独立行业。随着互联网技术的不断提升，改机技术的盛行，模拟器的功能在不断增强，曾一度成为黑灰产低成本“作案”的强有力工具。1）多开 由于设备指纹识别技术的升级，传统的通过安装多开分身软件对APP进行分身从而绕过设备聚集度规则的方法很容易被检测。为了与风控进行对抗，模拟器的功能也在不断升级，现阶段的模拟器通过内置的多开管理器，可以批量多开任意多个不同系统版本不同参数的模拟器。由于并没有针对某个APP进行分身，所以风控很难检测到其APP是否运行在多开环境中。不过，安卓模拟器的多开取决于配置，或者你所运行的应用占用系统资源的大小。因此，多开个数太多时，操作会很卡。此外，模拟器毕竟不是真机，其“天生”的某些缺陷导致其与正常设备还是有明显不同，随着风控技术的不断提升，大部分模拟器很容易被识别。因此，黑灰产的作案工具也越来越多的转向使用真机。不过，待日后云手机发展成熟，其将替代模拟器成为新一代黑灰产强有力的“低成本”作案工具。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 2）Hook 由于模拟器“天生”的一些有别于真机的特点（如wifi、cpu、蓝牙等），很容易被风控识别，因此，为了避开风控的检测，黑灰产借助于改机工具对模拟器参数进行全面的修改。模拟器常用的改机方法为基于Xposed框架做的插件（提供了一种在不修改APP的情况下，直接在内存中修改APP数据的可能），配合改机工具，通过Hook方式对模拟器参数进行全方位的修改，随机生成设备任意参数，含有模拟定位和模拟网络功能。在与 hook 检测对抗中，黑产开始逐步转向自定制ROM的Android模拟器。这些模拟器具有一键新机的功能，每次启动所有的系统参数都会随机变化。由于并没有安装 hook 框架，比较难识别。某改机工具界面 深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 助贷者的“瞒天过海”术 在普惠金融大环境下，原本被传统金融机构拒之门外的庞大群体（普通人群和小微企业等）成为了互金平台的主要服务对象。客群质量的下降以及缺少传统风控手段下必备的条件，很多不成熟的互金平台为黑灰产提供了巨大的“口子”。这种长期无序的发展给“寄生”其上的黑灰产提供了大量的“滋长”空间。发展至今，黑灰产已经商业化得非常成熟，拥有着各种复杂完整的产业链。就骗贷产业链而言，已包含了信息盗取、伪造、中介助贷、贷款资金安全转移等各环节，其运作模式成熟而复杂，已然成为各风控部门不容小觑的对手。骗贷产业链 在巨大的欲望面前，助贷的利润显得极其“微薄”，于是就有了疯狂的骗贷。一份价值2000元的虚假资料，经过骗贷者的包装可骗几十甚至上百万，钱到账就失联。在骗贷产业链中，处于最前端的是助贷群体，负责在各类贷款平台去寻找风控规则，属于收集情报的“侦察兵”；然后，部分助贷群体将“情报”通过教学收学费的形式变现，每年可获利高达百万。还有部分助贷群体会作为贷款中介，帮助急需用钱的用户完成贷款，收取10%左右中介服务费，不过这些用户的资料会在不知不觉中被这些中介转手倒卖或者去其他平台贷款。大部分中介助贷者会成为真正的骗贷者，处于产业链核心位置，其中部分来源于中介所招收的学员，他们基于手中的资料（身份证、手机卡、银行卡等全套信息），通过包装手机、定位、通讯录、通话记录、工作单位、工资流水等等，骗取高额贷款，并通过多种渠道将资金转移。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 1“山积波委”的资料信息库 骗贷的第一步，便是搞到一套完整的资料。据一本财经报道，“身份证+银行卡+电话卡”的组合套餐，市场价格在1300到1500元之间。身份证有很多来源，有的骗贷组织会专门去偏远农村或火车站低价收取，用一篮子鸡蛋或者100元的低酬劳换取一张，一些急需用钱的人就会卖。还有些骗贷组织会从保洁、“扒手”、行骗者等那里以几十元低价购买用户丢失或者被盗的身份证。然后，骗贷者将各种渠道的身份证收集起来并“销赃”。初步估计目前因倒卖、遗失等原因而游离在市场上的身份证件达1000万张以上。有了身份证，骗贷者会利用在运营商、银行中的关系，通过内外勾结办理手机卡和银行卡，或者找来与身份证长相相似的人到银行和手机卡办理点进行办理。身份证、实名银行卡、实名手机号，这些都是信贷平台识别一个人的重要元素，当具备这些资料，基本可以以假乱真。2“面目全非”的借贷者 为了能够通过风控审核并借到更多的钱，骗贷着会给资料注入灵魂，使其“看起来”更加真实并拥有良好的信用。因此，骗贷者会花时间和精力着重包装资料，比如伪造职业资料，包括就职单位、单位地址、单位电话等信息，把信用记录养起来，比如将其芝麻信用分“养”到600分以上，再去骗贷，为了提高通过率，一套资料会“养”几个月甚至半年。深 渊 的 邪 恶 凝 视：互 联 网 信 贷 欺 诈 深 度 调 研 报 告 2.1“焕然一新”的通讯信息 信贷平台会要求获取用户的通讯录、通话记录和短信，否则不予放贷，其主要目的是通过查询用户短信中是否涉赌、涉黄或其他平台的逾期信息、通讯录中是否含有“黑户”、通话记录中是否有中介、老赖等来判断用户的还款意愿和还款能力。当然，通讯录还有一个重要的功能是催收，不少逾期借款人都经历过电话轰炸、爆通讯录等网贷催收方法。骗贷者为了骗过风控审核，会使用各种方法来包装通讯信息，如删除通讯录中的黑户和不干净的通话记录、制造大量连号或重复的虚假号码，为了以假乱真通讯录中会参杂一些官方通用真实号码，同时不定期拨打电话制造通话记录假象。为了应对部分小微信贷电话核实，中介助贷者或者骗贷者会填写虚假紧急联系人，从向机构提起贷款申请和接电话都有专门的人员来操作，或者临时买卡装到手机中冒充固话。2.2 白领？工人？各种职业任你选 据一本财经报道，为了能够获取更高的额度，助贷者会本着信息真实度高，实际审核难度也很高的“真实难求证”原则帮用户包装更加“逼真”的工作信息。比如，助贷者想把用户包装成富士康的工人，每月工资6000元，那么会填写一个需要转接的工厂主机，然后到附近商场找一个专柜，电话就填写商场电话或专柜的中国区总机。有时，为了应对电话回访，骗贷者会填写一家网上无法查到电话的公司，然后自己购买一部座机，公司电话换成自己的号码。为了使“角色”更加逼真，助贷者会在手机上安装一些如淘宝、京东、支付宝、微信