拼多多被薅羊毛：损失上千万 “黑灰产”浮出水面

　　拼多多“优惠券遭遇黑灰产事件”正在持续发酵，1月21日，拼多多对和讯网披露了此次事件的详细过程。

　　1月20日凌晨,有网友曝出拼多多存在重大系统漏洞,用户可领100元无门槛券，该券全场通用(特殊商品除外),有效期一年。此后有大批用户开始薅羊毛,并网传拼多多一夜损失近200亿。

　　优惠券遇黑灰产事件：网传拼多多损失200亿

　　拼多多对和讯网称，黑灰产团伙所利用的“优惠券漏洞”盗取的相关优惠券，系拼多多此前与一档电视节目（江苏卫视《非诚勿扰》）开展合作时，因节目录制需要特殊生成的优惠券类型，仅供现场嘉宾使用。除此之外，此种类型优惠券，从未在任何时候、以任何方式出现在平台正常的线上促销活动当中，甚至从未有任何线上入口，这与“某航空公司在官网由于误操作发放低价机票”等事件具有根本性质差异。

　　该事件中的相关优惠券，均系黑灰产团伙通过非正常途径生成的二维码扫码后获得，该二维码多流传于社交平台相关黑灰产群。拼多多从未针对该类型优惠券生成任何二维码，更从未在APP及小程序中展示过此类优惠券相关信息及二维码。该二维码具体的生成及传播过程，正待警方调查后获得最终结论。

　　据悉，通过该非正常途径生成的二维码，原本每个认证信息的用户可且仅可领取一张无门槛100元优惠券，而非此前网络流传的单个ID可以“无限领取”。因此，有黑灰产团伙通过“养猫池”（用手机卡蓄养大量虚拟账号）等不法手段，实现N张手机黑卡同时作业，批量盗取该种优惠券，并通过手机话费、Q币等虚拟充值的方式，试图在短时间内迅速转移此类不当所得，涉案优惠券总金额达数千万元。夸张的是，由于有大批用户开始薅羊毛,网传拼多多一夜损失近200亿元。

　　拼多多风控团队负责人表示，黑灰产团伙在盗取金额巨大的优惠券并转移其不当所得后，期望达成“法不责众”的效果，迅速通过网络和社交群将二维码分享出去，诱导一些普通消费者跟风扫码，并在社交平台和群内编造“拼多多平台发券损失200亿等谣言”，以希望达到逃避刑责、混淆视听的结果。

　　该负责人进一步表示，该事件与此前某航、某电商平台等一系列因bug所致资损事件存在本质差别，前者为平台错误操作、非正常发放所致的民事问题，此次拼多多优惠券事件则为“套券诈骗”的网络诈骗案件。打个比方后者类似于犯罪团伙撬开家门实施盗窃之后自己也有些害怕，打开大门招呼更多普通路人进入受害者家中搬取。如按照网络中前者被以“ATM机误吐钞”现象做类比，后者则相当于非法团伙撬开ATM机后实施盗窃。

　　　　数据安全被质疑 回应称损失不足千万

　　值得注意，拼多多优惠券遇黑灰产事件后，其风控水平以及数据是否存在安全问题也备受质疑。

　　据悉，事件发生时正值拼多多“年货节”大促，期间有大批量平台正常发放的优惠券被消耗。至20日上午9点，遭盗取优惠券和正常优惠券的总和突破平台预设阈值，系统监控到异常并自动报警后，拼多多对和讯网称在第一时间修复了相关漏洞。

　　针对该事件，目前上海警方已以“网络诈骗”的罪名立案并成立专案组，并依据“财产保全”的相关规定，对涉事订单进行批量冻结。

　　值得注意的是，依据目前该事件相关统计及进展，拼多多方面预计，本次事件造成的最终实际资损大概率低于千万元，而非网传的200亿。

　　另外，拼多多强调，本次事件不涉及任何数据安全问题，平台消费者原本正常领取的优惠券使用不会受到影响。为进一步加强“特殊优惠券”相关风控体系，拼多多已成立技术专组。

　　识别互联网黑灰产，谁来买单？

　　北京市中闻律师事务所合伙人王维维律师对和讯网表示，互联网黑灰产，指的是电信诈骗、钓鱼网站、木马病毒、黑客勒索等利用网络开展违法犯罪活动的行为。二者之间的主要区别在于，“黑产”指的是直接触犯国家法律的网络犯罪，“灰产”则是游走在法律边缘，往往为“黑产”提供辅助的争议行为。

　　南都大数据研究院等机构发布的《2018网络黑灰产治理研究报告》指出，黑灰产共有四种类型：虚假账号注册等源头性黑灰产；用于进行非法交易、交流的平台；木马植入、钓鱼网站、各类恶意软件等；大多以恶意注册、虚假认证、盗号等形式实现的网络黑账号。

　　对于“薅羊毛”的用户，王维维认为一分为二的来看，不能一概视之。对于由网络黑灰产人员运作的垃圾用户，应该根据其行为性质追究其法律责任，可能会涉嫌盗窃罪、侵害知识产权罪等罪名；但是，针对只是捡了个便宜的普通用户，一般不会涉嫌犯罪。

　　刚刚正式实施的《电子商务法》第四十九条明确规定：“电子商务经营者发布的商品或者服务信息符合要约条件的，用户选择该商品或者服务并提交订单成功，合同成立。当事人另有约定的，从其约定。电子商务经营者不得以格式条款等方式约定消费者支付价款后合同不成立；格式条款等含有该内容的，其内容无效。”

　　因此，王维维表示，虽然拼多多在其《服务协议》中规定了“用户不能利用拼多多平台中的bug来获得不正当利益”，但是这一格式条款可能会被依法认定为无效。即便拼多多此次的优惠券事件真的是bug，用户如果通过正常的支付流程拿到优惠，拼多多也不能认定支付了价款的消费者完成的订单无效。