海外现金贷欺诈攻击实录：中介包装、设备农场、团伙欺诈如何一夜击穿风控防线

海外现金贷欺诈攻击实录：中介包装、设备农场、团伙欺诈如何一夜击穿风控防线

做海外现金贷，最怕的不是模型不准，而是流量里混进来的那批人，比你的模型还懂你的规则。

出海现金贷的客群，绝大部分靠代理、中介、Affiliate、ASA 和社交投放拿过来。这条获客链路上，天然同时跑着两股流量：一股是真想借钱、也还得起的真实用户；另一股是专门来”薅”的欺诈团伙——他们手里握着成套的养号产业链、成排的云手机、以及一套专门研究你怎么放款的逆向工程能力。

2026 年几个主力市场的监管动作，恰好把这套欺诈生态的规模摊开了：印尼金融服务管理局 OJK 在 2026 年 1 月至 7 月通过非法金融活动打击工作组（Satgas PASTI）关停了 951 家非法网贷实体，历史累计关停的非法 P2P 放贷机构已达 12,824 家；其下设的印尼反诈骗中心 IASC 自 2024 年 11 月运行至 2026 年 7 月 30 日，共收到 63.6 万份欺诈报告，核实并封锁 60.4 万个涉诈账户，冻结受害者资金约 7,237 亿印尼盾。印度储备银行 RBI 则在 2025 年 7 月 1 日上线了”数字借贷 App 目录”（DLA），把持牌机构的贷款 App 做成公开白名单，让借款人能一键核验 App 背后是不是真有受监管实体。

这些数字背后，是真实世界里每天都在发生的三类欺诈打法。这一篇，我们就把它们拆开讲透。

一、打法 A：中介包装——资料是真的，意图是假的

最难治的欺诈，往往看起来”完全合规”。

正规放贷要 KYC：身份证、自拍、收入证明、银行流水。黑产的做法是——这些材料我全都给你”做真”。越南 2026 年 3 月破获的一起案件中，诈骗团伙搭建了一个界面高度仿冒某知名金融公司的网站（我们称为 M*******g），用 TikTok 投低息无抵押贷广告，引流到 Zalo 上由”顾问”一对一沟通。整个流程里，借款人被要求预付”申请费””保险费””放款保证金”，钱通过大量他人名下的银行账户分流，难以追查。

这套手法的升级版，就是中介包装：黑产不骗借款人的钱，而是替”买家”把资料包装成合格借款人，再批量送进你的审批通道。身份证是真的、自拍是真人、甚至银行流水都 PS 得挑不出毛病——但这个人根本没打算还，或者说，他只是某个欺诈工单里的一个”壳”。

对风控来说，难点在于：传统规则卡看的是”资料齐不齐、格式对不对”，而包装过的资料在格式层完全过关。你以为你在审一个白领，其实你在审一个被中介喂过来的、精心打扮过的空壳。

二、打法 B：设备农场——一台”手机”跑出一千个账号

设备指纹，是反欺诈的地基。但设备农场专门拆这块地基。

所谓设备农场（device farm），就是成排的云手机、模拟器、改机工具。黑产用它们批量伪造设备身份：改 IMEI、改设备型号、改系统指纹，让风控系统看到的”一千个用户”，其实来自同一个机房里的一千个虚拟实例。

越南案的通报里提到一个关键细节：诈骗团伙”用一台设备多账号的 bot 行为”批量触达受害者。这恰恰是设备农场的标准动作——同一硬件特征下批量注册、批量申请。如果你的设备指纹只依赖 IMEI、MAC 这类”明文字段”，农场一改就废；更隐蔽的，是用群控系统模拟真人滑动、真人点击节奏，把行为层也伪装过去。

后果很直接：你花大价钱买的流量、你给渠道的 CPS 佣金，最终喂给了一排没有还款意愿的虚拟账号。M1 还没到，你的获客成本就已经打水漂。

三、打法 C：团伙欺诈——同一拨人，换着马甲来

比设备农场更进一步的，是团伙化的链式欺诈。

塞内加尔 2025 年 12 月至 2026 年 4 月曝出的 H****h 案很典型：运营方 L*****e T*****e 公司靠一个贷款 App，打出”1 万西非法郎到手 6,500、7 天还清全款”的条款，实际周息 53.8%、年化逼近 2,800%，且无西非央行 BCEAO 的任何授权。调查发现，这个平台处理了 超 10 万笔贷款申请、总交易额约 30 亿西非法郎、预估损失约 10 亿，背后是一支约 70 人的队伍，其中 60 人专门做催收。最终被塞内加尔网络犯罪特别处（DSC）查封。

放大到出海现金贷场景，团伙欺诈的表现是：同一批黑产，用不同中介、不同渠道、甚至不同 App 马甲反复试探你的规则边界；今天被你拒了，明天换个设备、换个资料再来；你在一个市场收紧，他们就挪到另一个监管松的市场。这种”打一枪换一个地方”的链式攻击，最容易被当成孤立个案漏掉，等坏账集中爆发才发现是同一伙人。

四、为什么风控会被击穿？根因就三条

把上面三类打法合起来看，风控被击穿的根因其实高度集中：

第一，设备层只做了”表面指纹”。 依赖 IMEI、设备型号这类易篡改字段，农场一改就失效；没接行为生物特征（触控节奏、传感器噪声、安装时序），识别不出群控。

第二，渠道层没有实时止损。 很多团队把反欺诈放在”审批时”而不是”进量时”。渠道今天开始灌欺诈流量，你三天后看报表才发现；而这三天里，佣金已经结算、预算已经烧完。印度上 DLA 白名单目录的思路值得借鉴——先圈定”可信来源”，再对异常来源实时执法，而不是等坏账出来再查。

第三，KYC 只做了”资料核验”没做”意图核验”。 中介包装过的资料在格式层全过，说明你的 KYC 缺了活体检测、缺了和国家人口库的实时比对、缺了”这个人是不是被中介代填”的识别。资料真不等于人真，人真不等于意图真。

五、可复用的五道防线

讲完问题，给风控团队能直接落地的五条：

1. 设备层：明文字段 + 行为指纹双保险。 设备指纹不能只信 IMEI/MAC，要叠加触控动力学、传感器噪声、安装间隔、IP-设备关联图谱，识别模拟器与群控特征。越南案里”一台设备多账号”的 bot 行为，靠行为层最容易抓。

2. 渠道层：渠道质量分层 + 实时熔断。 给每个渠道打质量分，监控其进量的欺诈率、首逾率；一旦某渠道欺诈率超阈值，自动暂停结算并止损，而不是等月报。把反欺诈前置到”进量口”，不是”审批口”。

3. 中介层：中介 KYC + 养号识别。 对代理/中介做主体认证，禁止中介代填核心字段；用图搜、设备聚类的手段识别”同一中介喂过来的批量相似资料”，把养号产业链拦在门外。

4. 数据层：接权威库实时比对。 印度 2026 年框架明确”数据只能用于信用评估”、RBI 推 DLA 白名单，方向就是让可信身份可核验。出海团队应尽量接入所在国 eKYC、国家人口库或本地征信，做活体 + 实人比对，而不是停在”拍张照”层面。

5. 归因层：用增量归因替代 last-click。 渠道刷量骗佣金的本质，是归因模型被作弊。改用增量归因（incremental attribution）或转化去重，能把”本来就会借的人”和”渠道真带来的新人”分开，佣金只给后者。

六、小结

海外现金贷的欺诈，从来不是”几个坏人”的问题，而是一整条产业链在和你对冲。中介包装解决”资料真意图假”，设备农场解决”一千个号一台机”，团伙欺诈解决”打一枪换一地”。2026 年印尼、印度、越南的监管数据已经把这条产业链的规模摆在台面上——它不是会不会来的问题，是哪天集中爆的问题。

风控被击穿，根因几乎都在”只做表面”：表面指纹、表面 KYC、事后反欺诈。把防线从审批口前移到进量口、从格式核验升级到意图核验，才是真正扛得住打的法子。

下一篇我们聊另一个同样能一夜放血的坑：《海外现金贷汇率与资金出境踩坑实录》——借美元、放本币，汇率错配和利润汇不回，是怎么把账面盈利变成实际亏损的。