拼多多漏洞()

相信不久前大家都被拼多多的100元无门券信息刷爆了。回想最近东航的“乌龙指”和Airbnb的货币结算BUG，互联网的盛宴自然离不开羊毛党。只是这一次，所有的上市公司都很痛苦，拼多多直接报警。笔者有幸参与了这个据说上百亿的大项目，从产品流程上发现了拼多多的风控漏洞。

回想事件，一天足够吃一年。1月20日凌晨1:00-9:30，一个关于100元无门券的提示，拼多多爆了羊毛群。从渠道到羊头，从羊头到羊毛党，层层沟通，一场“盛宴”拉开了。设备不限，IP不限，账号不限，每户可领取100元无门槛代金券。这个早晨注定是不平静的，卡商、收码平台、软件商、羊毛党，整个黑色产业链疯狂运转。

截至20日上午9点，拼多多工作人员上班后开始封堵漏洞。21日9点半左右，全平台作废券入口基本完成&禁止无门槛使用券。网上平台估计损失几千万。事故发生后，拼多多平台冻结了丢失的大额现金虚拟物品，并要求商家对实物订单停止配送快递，使损失控制在百万以内。

在此次事件中，品多多的战略流程、技术支持、内部风控支持或多或少都存在一些问题。针对这一事件，我们来做一个反向推送，重现BUG券的生命过程，拆解分析每一步，从中吸取教训，为下一步业务流程的改进打下坚实的基础。

重现BUG券产生业务流程

首先，生成BUG优惠券。这次事件最大的问题是优惠券无门槛的设置。现在稍微有点规模的电商，或多或少都会设置一些推广和反作弊的门槛。我们常见的无门槛优惠券是电商为了促销商品而设置的一种优惠券。虽然经常号称“无门槛”，但在实际使用中设置了很多门槛，比如必须新开一个账户(这个新的包括新的身份证、新的手机号甚至新的设备ID)，所以我们常说的“无门槛”就是最大的门槛。

从BUG券的产生、使用、诞生，理论上外人是不知道的，那么是什么导致了无门槛券的信息泄露、事件裂变，最后在各大羊毛群体中疯狂流传。

1.bug券的生成和上线可能存在的漏洞(1)技术支持环节的漏洞。

SA工程师在更新代码时，对于代码变更前后的变化没有风险提示，或者工程师在得到一些批准后匆忙在线更新代码，对变更后的代码没有严格审核。最后，具体优惠券代码更新到官方服务。

(2)企业内部业务流程存在漏洞。

优惠券必须在后台系统的优惠券模块中在一些特定的环节生成。因为一些特殊场景的需要，没有检查阈值、类别、用户群等风险规则。很多企业或多或少都会有这样的事情。鉴于这种情况，这种优惠券在使用后必须销毁或封存。并记录在操作手册上或做标记。当人员变动交替时，规避人员变动可能带来的流程风险。

2.bug券泄露可能存在的问题(1)技术支持有待加强。

羊毛党技校使用python爬虫收集拼多多平台的所有优惠券信息，通过数据筛选，很容易找到现有的无门槛优惠券信息。加强技术支持，实现技术到后台的安全墙。当“安全墙”受到攻击或进入预警机制时。

(2)企业内部管理存在的问题

拼多多有员工泄露优惠券信息，与羊毛党合作谋取不正当利益。在这种情况下，就要加强企业内部管理，适当加大企业流程审批力度，依法处理这类员工。

3. BUG券传播裂变过程中风险监控存在的缺陷

实时风险监控尚未实施。这件事发生在凌晨，微信群和QQ群已经疯了。甚至在早上8点，笔者甚至看到了朋友圈里的分享信息。也说明拼多多没有做好实时风险监控，大量地方羊毛党的信息系统没有自己的眼睛，直到上午九点半才处理掉。

而整个事件的裂变，如果用一个词来形容，就是疯狂。看来钱确实是最大的裂变驱动力。

4. BUG发现后的补救措施

作者记录当时比较准确的补救时间应该是上午9:30左右。一是关闭了领取优惠券的地址，防止用户领取优惠券。然后将无界券作废，让曾经领券的用户无法使用BUG券进行商品结算。同时对拼多多所有三方商家进行了沟通，要求商家不要在订单结算中使用无界券。直到下午，所有无门槛订单被取消，已领券用户账户中的优惠券被删除。

从事件补救的响应速度来看，拼多多平台虽然没有在第一时间发现BUG优惠券，但在后续的处理过程中，补救措施相对得当。据笔者网上报道，大部分将券值变现为虚拟物的账号被关闭，并没有造成更大的二次扩散，损失得到了一定程度的挽回，让原本预计几千万的损失最终可以降到几百万的可承受范围。这是拼多多平台在风险管理方面可以借鉴的。

当然，不管拼多多事后做了多少努力，挽回了多少损失，减少了多少影响，我们都要清醒地认识到，这是一种补救措施，面对风险最重要的是规避。

御守互联网羊毛党

你问我有没有办法彻底杜绝羊毛党。我觉得以后可能会有，但是现在绝对不会有。

通用风险控制阻止薅羊毛的数据风险控制，如下所示:

账号信息：身份证、预留银行卡、手机号等等；设备信息：设备IMEI码、Android_ID、序列号、SIM卡号等等；网络信息：SSID值、Mac地址等等。

从信息收集层面，我们知道很多信息来自App本身，是从设备上获取的。如果我告诉你这是假的呢？

技术羊毛党已经为这类模型找到了对应的方法，如下图所示:

作弊和反作弊一直在斗争和反抗。要想建立完善的制度和规则，就要深入群众，深入羊毛党做产品。

历史上惊人的反作弊案例:

1929年以前，美国证券市场没有完善的法律法规体系。第一次世界大战后，美国的经济繁荣吸引了大量投资者。他们只想着赚钱，没有考虑到当时股市失控的风险和股市操作中的欺诈行为。1929年股市崩盘，到1932年，纽约证券交易所的市值从890亿美元跌至150亿美元。

为了挽救公众对资本市场的信心，重振经济，美国国会于1934年制定了《证券交易法》。美国政府也为《交易法》的顺利过关做出了很多让步，其中最大的让步就是SEC的成立。SEC的第一任主席是约瑟夫·肯尼迪，华尔街最大的博彩公司之一。

约瑟夫·肯尼迪将来会很好地利用他过去的非法经验，成为证券行业非法交易者的一大杀手。就连主张加强监管的兰德斯和道格拉斯也被任命为副手。道格拉斯是第二任主席，兰德斯是第三任主席。

对了，他还有个儿子叫约翰·肯尼迪，特别有名。我们经常称他为肯尼迪总统。

重建整个事件过程后，可以看出一些问题。核心本质无非是业务流程存在漏洞，缺乏风险控制意识。所以，在需要做整体风控的时候，所有小伙伴形成跨部门、跨团队的反作弊风控意识是非常重要的。

所以风控部门在做风控的时候，除了联合BI大数据部门，还需要业务层面的潜在风险，哪怕是协同业务团队在策划用户增长和用户推广的活动。使每个人都具备识别风险、预警风险、监控风险和应对风险的基本意识和一定的能力。

做为一名羊毛党的笔者这里有三个小小的建议1. 异常数据预警

数据异常预警一般包括两个方面，一是价格异常预警，二是商品销售预警。

(1)价格异常预警

这个功能阿里电商后台目前比较完善。淘宝把原来固有的叠加优惠券模式变成了平行优惠券模式。一段时间内，运营乌龙指事件经常发生，直接导致用户花费十几元甚至几元购买原值几十万元的商品，直接伤害了商家的利益。

根据淘宝的规则，订单创建后，就代表一份合同，商家要延迟发货或者取消订单。因为规则的改变，一些商家并没有重视，直接导致了巨大的损失。(请参考作者之前的文章，产品思维双十一薅羊毛。在水货券的逻辑下，也很容易废除商家)。目前这个价格预警已经改进了，估计以后很难再出现错价的情况了。

(2)商品销量预警

做过电子商务的人都知道，一个成熟的系统中商品的销量是周期性变化的，正常的日常营销系统中商品的销量除了大的促销活动，不会有大的变化。当某种商品在短时间内突然以一种不寻常的状态大量销售，一定是受到了某种新闻的影响，比如“非典买盐”等特殊情况。如果不是，那么最有可能是风控失控的表现。

2. 创建个人信息白名单

现在太多的非法产品利用信息不对称，伪造信息甚至买卖身份信息。我认为彻底杜绝黑产是一项长期而艰巨的任务，绝不是一家公司可以实现的。但是我们来做一个用户白名单。我觉得理论上是可以的。

这里常见的商业手段一般是推出XX盾服务，为其他企业提供对其他企业信息的访问，并整合到自己的大数据中，不断丰富个人信息白名单。对于中小电商企业来说，这显然是一件困难的事情。中小企业的痛点无非是用户数据基础薄弱，资金有限。如果能和苏秦共享用户信息的黑/白名单，消除信息孤岛，那么相信整体市场环境会越来越好。

3. 优化企业内部风控流程

增加审批机制。所有涉及“钱”的运营活动的策划都必须以“面向集团”的模式报批。项目活动结束后，应做好项目收尾工作。

每一个营销活动都有预算，预算的构成来自于很多方面。对于企业来说，市场战略代表着未来。这就是为什么我们看到各种各样的黑客成长和裂变。本质是花钱买现在的喊单和口碑为以后的反馈打基础。

那么，有利益就有灰色生产，这是必然的。那么我们能做的就是尽可能的通过企业内部的审批流程机制来控制风险的发生和蔓延。

本文由@四月春波原创发布。每个人都是产品经理。未经许可，禁止复制。

图片来自网络