渠道反欺诈（下）：刷单团伙、中介包装与黑产渠道的特征画像

渠道反欺诈（下）：刷单团伙、中介包装与黑产渠道的特征画像

上一篇讲的是机器造假：假点击、假安装、假事件。它的破绽在技术层——时间戳、CTIT、事件时序。

这一篇讲人造假。人这一层的欺诈，技术信号会明显变弱，因为每一个环节看起来都像是真人干的：有真人下载、有真人填表、有真人接电话、甚至还有真人来还款。

但人这一层也不是无迹可寻。它有一条机器造假没有的线索：组织性。

一个人可以伪造一次安装，但伪造不了”三百个用户在同一周、用同一批设备特征、走同一条申请路径、然后在第七天集体失联”。人这一层的破绽不在个体，在模式。

上篇讲流量反作弊，这篇讲三件事：刷单团伙怎么运转、中介怎么包装、黑产渠道有哪些共同特征，最后落到处置。

一、先分清三种”假用户”

海外现金贷遇到的人造假，按目的分三种，处置方式完全不同。

第一种，骗贷型。 目的就是拿到钱不还。特征是：身份可能真（甚至就是本人），但从一开始就没有还款意图。这类人往往多头借贷、专门挑放款快的小额产品下手，几百到几千块一笔，不心疼也不怕。

第二种，骗佣型。 目的是赚你付给渠道的佣金，不是赚贷款本身。人可能是真的、申请可能是真的、甚至可能按时还款——但它不是为了借钱而来，是为了拿佣金而来。这是刷单团伙的核心特征：借款人本身不亏，亏的是你。

第三种，包装型。 借款人有真实资金需求，也想还，但资质不够，于是通过中介把材料”做”到能过审。这一类最复杂：既不是纯欺诈，也不是正常客户，它骗取的是你的定价——你用低风险价格批了一笔高风险业务。

分不清这三种，处置就会错。骗贷的抓人、骗佣的砍渠道、包装的补流程，三把刀不能混用。

二、刷单团伙：组织化是怎么暴露的

刷单团伙的运作逻辑，说白了是在借款人和渠道之间插一层，把佣金套出来。

动作链条通常长这样：团伙拿到你的渠道推广链接或推荐码，在社交群里招人（”帮忙点个申请，给你两百块”），让这些人以真实身份走完申请流程，放款后团伙从渠道拿佣金，分一部分给申请人，剩下的自己留下。申请人可能根本不需要这笔钱，甚至当场就把本金还了。

这类团伙最麻烦的地方是：每一个个体指标都正常。 身份真、设备真、行为真、甚至还款也可能是真的。你按单点审核，一个都拦不下来。

能识别的是组织痕迹，几条主要的：

第一条，申请的时间聚集。 三百个互不相识的真实用户，不会在同一到两天内集中完成申请。真实的自然增长是平缓的、有波动的；团伙作案是脉冲式的——一批人同一时段涌入，下一批隔几天再来。

第二条，设备的隐性关联。 团伙为了控制成本，往往不会给每个申请人配独立设备。设备指纹里能挖出同 Wi-Fi、同基站、同系统版本加同机型、同 IP 段这类弱关联。单个信号都不硬，但叠加起来就是一个团伙的形状。这也是为什么设备指纹的价值不在单点拦截，而在关联图。

第三条，社交关系网。 申请人之间在通讯录、紧急联系人、甚至备注上互相出现。真实用户是分散的，团伙是互相咬合的——A 的紧急联系人是 B，B 的又是 C。这一层信号在有通讯录权限的产品里尤其明显，但要注意：印度等市场已明令禁止访问通讯录，采集方式必须先看当地法规（印度 RBI 2025 数字借贷准则明确禁止访问通讯录和文件，违者重罚）。

第四条，还款行为的怪相。 骗佣型刷单最典型的破绽是提前还款。一笔小额、短期的贷款，在放款后几天内就提前结清、或者按最省的方式还完，然后这个人再也没出现过——真实的短期周转用户，很少会这么干。一个渠道带来的用户里，提前还款率显著高于全体均值的，值得立刻查。

这四条信号里，单看任何一条都会误伤；四个同时出现，基本可以定性。

三、中介包装：把不合格做成”合格”

中介包装的目标和刷单相反：刷单是造出假用户，包装是把一个真人做成你的目标客户。

它的动机可能”善意”——借款人真的想借钱、也想还，只是资质不够；也可能完全恶意——中介收一笔包装费之后就跑，债务留给借款人。但对风控来说，结果是一样的：你用错误的定价，承担了错误的客户。

包装的手法，从轻到重有一条链：

第一层，信息美化。 收入证明注水、工作单位美化、联系人填”看起来更靠谱”的人。这一层最难识别，因为它没有明确的假，只有模糊的真。

第二层，材料伪造。 假流水、假工作证明、假公积金记录。这一层开始有硬伤了——伪造的材料经不起交叉验证：流水里的工资入账时间对不上单位发薪日、单位地址对不上地图、社保缴纳记录查不到。

第三层，AI 换脸应对视频审核。 这是 2026 年冒出来的新东西，而且已经成规模。金融黑灰产的最新特征里，”AI 化造假”被明确列为核心特征之一，最典型的就是用换脸视频绕过人脸核验。这一层是对你反欺诈基础设施的直接攻击——如果你的活体检测还停留在”看看是不是一张真人脸”，它已经不够用了。

第四层，”AB 贷”和职业背债。 这是最恶的一层。中介告诉 A：”你自己资质不够，找个征信好的朋友 B 来做担保/加分就行。”实际上贷款是以 B 的名义申请的，钱被 A 拿走，债由 B 背。与之配套的是”职业背债人”——中介专门招征信良好的”白户”（从没贷过款、征信干净的人），包装成客户去申请大额贷款，放款后中介拿走绝大部分，只给背债人一点报酬然后失联。

对出海团队来说，AI 换脸和 AB 贷这两层必须提前布防，因为它们在东南亚和非洲市场正在快速扩散，而很多平台的反欺诈规则还完全是国内那套思路。

包装的识别，核心是“合理性校验”，不是查有没有假：

• 收入与消费是否匹配：报的收入很高，但账户流水、手机消费档位、设备档次全对不上；
• 资料之间是否自洽：工作单位、居住地、联系人所在地是否在同一个生活半径里；
• 申请路径是否异常：用户是不是被一个链接、一个二维码、一个”客服”直接推过来的；
• 设备是否”第一次出现”：一个申请人用的是一台从未在你系统里出现过的设备，且设备上有其他借款类应用——这是中介集中作业的常见特征。

四、黑产渠道的六个共同特征

前面讲的是手法。落到渠道上，黑产渠道有一组反复出现的共同特征，可以做成一张提前筛查的清单。

特征一，量来得太快。 新渠道上线第一周就给你带来大量进件，而且转化率好得不真实。渠道是有爬坡期的，快本身就是信号。

特征二，客群高度同质。 同一个渠道来的用户，年龄、地区、设备型号、申请时段高度集中。真实渠道的客群应该是有分布的，没有分布的客群意味着有人在筛，而筛选者不是你。

特征三，首次逾期集中在特定时段。 黑产渠道的用户第一笔就不还，往往在放款后的头一两个还款周期集中违约。看首逾率（FPD）比看整体坏账更早、更准——因为坏账要几个月才显形，而首逾当期就能看到。

特征四，你的获客成本异常低。 一个流量质量好到爆、价格却便宜得离谱的渠道，要么在做慈善，要么在骗你。低于真实市场价的量，本身就是最大的可疑点。

特征五，下游指标断崖。 渠道给你的进件量、放款量都很漂亮，但首借率、次月复借率、活跃度全线趴平。这和上篇讲的”安装后行为平线”是同一个道理：上游可以刷，下游刷不出来。

特征六，看不到真实的”人”。 说不上具体哪里不对，但你能感觉到这些用户背后没有具体的人——没有真实的消费行为、没有正常的社交痕迹、没有合理的生活节奏。这一条没有公式，但它往往是最早的直觉，而直觉之后的取证通常都能坐实。

六个特征里，特征三（FPD 异常）和特征五（下游断崖）是最硬的证据，因为它们直接指向损失；特征一、二、六是最早的预警，因为它们在你损失之前就出现了。

五、发现之后怎么处置

识别只是第一步。处置有一条分级链，从轻到重。

第一级，暂停新流量，不宣布。 发现异常的第一个动作不是断交，是先停增量。断太多会惊动对方、也会误伤可能只是质量差的渠道；停增量既能止损，又能留出取证时间。

第二级，回溯审计，取硬证据。 把这个渠道的历史数据拉出来，按上面六个特征逐条核对，把能定性的证据（首逾率对比、设备关联、还款怪相）整理出来。没有硬证据的指证，对方一定否认，而且会先声夺人。

第三级，冻结未结佣金，启动扣回。 这是为什么结算触发点必须后置。如果佣金按”放款”就结了，你连谈判筹码都没有。按”首期还款后 T+30 天”结算、并保留 hold 期的做法，才能在发现欺诈时真正扣得回来。这一条是渠道反欺诈里唯一能让你减少实际损失的机制。

第四级，正式终止合作，并纳入名单。 终止合作的同时要把这个渠道的主体、结算账户、关联人员信息沉淀到黑名单。原因很简单：同一批人换个名字重新来谈合作，是行业常态。 没有名单，你会在半年后再被同一伙人骗一遍。

第五级，必要时移交执法。 涉及金额大、有明确组织证据的，可以向监管或警方举报。但务实的顺序是止损优先、追责其次——海外市场跨国追责的成本极高、周期极长，把资源先花在”不再被同一伙人骗第二次”上，回报更高。

整个处置过程有一条铁律：先停增量、后取证据、再谈终止。 顺序反了，要么赔更多钱，要么打草惊蛇拿不到证据。

六、为什么这一层比上篇更难，也更值得做

和上篇的流量作弊比，人造假有三个不一样的地方。

第一，它是可迁移的、也是可复用的。 流量作弊的规则一旦被堵，作弊方要重新研究技术；但人这一层是组织性的——一伙人在你这个平台被识破，可以换个平台、换个国家的市场立刻重新开张。所以防守方必须共建名单、共享信号，单打独斗一定吃亏。

第二，它的损失更隐蔽、也更晚显形。 假安装当天就能看出来，刷单团伙和包装客户要等到第一个还款周期才露馅。这意味着你必须有跨周期的渠道回溯能力——不是按周看渠道报表，而是按放款批次和还款账龄去看渠道质量。

第三，防住它的收益最高。 流量层省的是营销预算，人这一层省的是本金。一笔被骗走的贷款是实打实的现金流出，而且金额远大于它的获客成本。在出海现金贷里，渠道反欺诈的价值不在”少花多少广告费”，而在”少赔多少本金”。

七、小结

三句话收尾。

人这一层的破绽不在个体，在模式。 单个申请人可以是完美的，但一伙人做不到——时间、设备、关系、还款行为里，总会有组织的形状露出来。把反欺诈的重点从”审单个人”转到”看一群人有没有共同点”。

防住它的关键动作是”结算后置”。 识别再准，如果佣金早就结完了，你还是只能干看着。把结算触发点绑在还款上、留出持有期和扣回权，是渠道反欺诈里唯一能直接换来现金的机制。

这一层的目标是止损，不是追责。 海外市场追责的成本高到不划算。把目标定在”同一伙人骗不了你第二次”，比定在”把钱追回来”现实得多。

到这里，”获客渠道与 Affiliate 风控”的两篇反欺诈就讲完了。下一篇换个角度，讲归因与回传本身的坑——MMP、SKAN、last-click 与增量、数据被篡改，这些技术设施层面的问题，往往比作弊本身更容易让一个好渠道看起来像个坏渠道，也让一个坏渠道看起来像个好渠道。

下篇预告：《归因与回传的坑》