威胁猎人受邀参加公安部网安局专题研讨，分享网络黑灰产态势及治理实践

近日，威胁猎人情报专家受公安部网安局邀请，参加以“网络黑灰产态势及治理要点”为主题的专题研讨，并围绕当前网络黑灰产总体态势、产业链结构变化、新型技术滥用风险及重点行业治理路径开展专题课程分享。

本次分享基于威胁猎人长期积累的黑灰产情报监测数据、产业链研究成果和真实风险事件案例，系统呈现了当前欺诈黑灰产从渠道、资源、人力、工具到资金结算方式的结构性变化，并针对电商、保险、出行等高风险业务场景提出了相应的治理框架和协同处置思路。

01

黑灰产活动持续高位运行，近半年相关攻击情报量超8.43亿

根据威胁猎人反欺诈情报平台持续监测发现，2025年12月1日至2026年6月11日期间，累计监测网络黑灰产相关信息超过8.43亿条，日均约437万条。整体消息规模长期维持在每月1.1亿至1.5亿条的高位，显示网络黑灰产已经形成高度专业化、规模化和持续化的产业生态。

从活动渠道来看，Telegram已经成为黑灰产组织、引流、交易和结算的重要基础设施，占整体监测信息的84.9%。叠加Potato等境外加密通讯工具，境外平台承载的黑灰产活动占比已经超过86%。

境外即时通讯平台已经长期成为网络黑灰产组织、引流、交易和结算的重要阵地。传统围绕单一账号、单一群组和单一平台开展的封禁处置，越来越难以切断其完整链路。治理工作需要从单点内容清理，进一步转向对账号矩阵、群组网络、引流关系、交易渠道和资金路径的关联研判。

02

资金通道与注册资源，构成黑灰产运行的基础设施

从风险类型来看，虚拟币结算、洗钱跑分、接码卡商和账号交易等风险保持较高活跃度。其中，近半年，威胁猎人监测到的虚拟币地下结算相关信息接近897万条，是当前热度最高的风险类型之一。

与此同时，接码养号、实名认证资源和众包任务正在成为多类黑灰产业务共同依赖的上游能力。威胁猎人监测发现近半年接码记录超过468万条，相关号码资源主要来自海外；众包任务信息超过686万条，累计涉及大量低佣金、批量化的真人操作任务。

黑灰产通过低成本任务招募，将大量真实用户、真实设备和真实账号转化为可以随时调用的灰产人力资源。相较于传统机器脚本，这种“真人、真机、真账号”的操作方式更容易绕过设备指纹、行为验证和账号环境检测，也使营销套利、刷单刷量、批量注册、引流获客等活动更难通过单一技术规则识别。

从产业链角度看，接码、养号和众包并不是孤立风险，而是账号交易、营销欺诈、电信诈骗、黑产引流等多种违法犯罪活动的共同上游。治理过程中，需要围绕任务发布者、资源提供者、结算账户和下游使用场景开展关联分析，才能从源头压缩黑灰产的资源供给能力。

03

AI滥用正在由概念讨论进入工具化、商品化阶段

AI技术滥用是本次分享重点关注的新变量之一。

监测数据显示，仅在6月前11天，AI换脸相关信息命中量已经达到10.5万条，超过5月全月的两倍，是2025年12月监测量的七倍。AI去衣等相关风险也在同期明显增长，相关内容高度集中于境外即时通讯平台。

从情报内容来看，AI滥用已经不再停留于技术教程和概念讨论，而是逐步发展为“成品软件、使用教程、定制服务和售后支持”相结合的商品化模式。部分工具开始向色情合成敲诈、冒充熟人诈骗、人脸核身绕过和虚假身份包装等场景延伸。

技术门槛下降、工具获取便利和产业链服务完善，使AI生成能力正在被加速嵌入既有黑灰产链路。面对这一变化，仅依靠内容审核或单一技术检测难以解决问题，还需要持续追踪工具开发者、销售渠道、传播群组、使用账户和获利路径，建立覆盖技术样本、风险账号和关联团伙的长期监测机制。

04

黑灰产作恶高度集中于"有资金、有流量、有补贴"的高频业务领域

在威胁猎人监测到的1887条典型风险事件中，电商零售、银行、支付与金融科技是受影响较为集中的行业，三者合计占比超过一半。

本地生活、外卖、出行、在线旅游、短视频和内容平台同样面临不同程度的业务欺诈风险。从作恶手段来看，刷单众包、营销薅羊毛和引流套现是当前较为规模化的三类欺诈方式。

不同行业面临的主要风险存在明显差异。如电商零售行业的高发问题主要集中在营销补贴套利、刷单炒信、恶意赔付和黄牛代下；银行和支付机构更容易被黑灰产利用为诈骗收款、赌博代收和资金洗白通道；本地生活与出行平台主要受到刷单、虚假交易和技术作弊影响；内容平台则面临黑产引流、收款码套现和账号资源交易等问题。

因此，企业业务欺诈治理不能只建立一套通用规则，而应当结合行业的资金模式、补贴机制、流量入口、账号体系和交易流程，确定各行业最需要优先治理的攻击面。

05

从发现风险走向“货、钱、人、链”一体化治理

针对当前网络黑灰产跨平台、跨行业和跨区域的特点，威胁猎人在本次分享中提出，应当围绕“货、钱、人、链”建立一体化治理思路。

在电商行业假冒商品治理中，不能只处置直播间或售假店铺，而应顺着异常商品、物流仓储、供货关系和资金归集路径，向上追查制假、囤货和分销环节，识别源头制假窝点、仓储节点及组织化销售团伙。

在电商行业黄牛代下和补贴套利场景中，应结合任务群、异常订单、集中收货地址、认证资料和分佣账户，识别任务发布者、账号资源提供者、集中收货方和二手转卖渠道，避免只对末端下单账号进行单点处置。

在保险行业恶意代理退保场景中，需要围绕引流广告、投诉模板、服务费账户和客户信息来源开展链路分析，将信息泄露、代理投诉、资金截留和二次销售等环节进行关联研判。

在出行行业抢单外挂和自动化作弊场景中，则需要从工具开发、渠道销售、卡密交易、异常设备和作弊使用账号入手，形成覆盖“开发、分发、使用、获利”的完整治理链条。

上述场景虽然表现形式不同，但治理逻辑具有共性：从任务群、引流入口和工具售卖渠道切入，围绕资格、设备、地址、账户、物流和分佣关系逐层倒查，最终识别真正的组织者、资源提供者和资金归集方。

*如需获取具体场景解决方案，请联系威胁猎人

06

典型刷单工具已经形成双端软件和规模化账号池

本次研讨还分享威胁猎人近期调研和复现的一类电商远程自助刷单工具。

该工具由商家端和买手端两套软件组成。商家可以通过商家端远程操控买手提供的真实设备和账号完成下单，买手则通过挂机软件出租设备和账号资源。相关工具内置超过4万个可跨平台调用的刷单及挂机账号，并能够对账号、设备和任务进行集中调度。

与传统脚本刷单不同，这类模式使用真实手机、真实账号和真实交易流程执行任务，能够在一定程度上绕过传统设备环境和自动化行为识别。同时，刷单款项和返佣资金通常直接在商家与买手个人账户之间流转，工具平台只负责监控任务和提供交易担保，进一步增加了资金追踪和证据固定的难度。

上述分享也说明，当前企业面临的企业威胁，早已不是零散攻击者的碰运气试探。而是具备情报、工具、流程和严密分工的“产业化黑灰产” 。

结合企业实际业务场景，威胁猎人可为企业提供业务安全成熟度评估服务。通过对抗式评估、攻击链路验证和真实黑产手法复现，对企业在账号体系、身份核验、营销活动、交易风控、接口防护和异常处置等环节进行系统检验，识别现有规则与防控机制中的薄弱点，并按照SR1—SR5成熟度等级输出风险评级、整改优先级和能力建设建议，帮助企业从单一风险事件处置，进一步建立覆盖风险发现、验证、研判、响应和持续运营的业务安全能力体系。

07

持续沉淀一线情报能力，支撑网络黑灰产协同治理

网络黑灰产正在由分散、低技术含量的个体行为，逐步演变为依托境外渠道、虚拟币结算、众包人力、账号资源和自动化工具运行的专业化产业体系。渠道出海、资源海外化、资金虚拟币化和AI工具商品化，将进一步提高黑灰产活动的隐蔽性与治理难度。

面对持续变化的风险形态，治理工作需要建立更加系统的协同机制，由公安机关牵头，平台企业、行业机构和支付机构共同参与，从异常账号、订单、设备、行为和资金流向等多个环节共享线索、联合研判，形成跨部门、跨平台、跨行业的联合治理能力。

未来，威胁猎人将继续发挥在黑灰产情报监测、产业链研究、工具样本分析和风险事件研判等方面的长期积累，持续跟踪新型黑灰产手法和技术滥用趋势，为有关部门及企业机构提供更加及时、专业和可落地的情报与研究支持，共同推动网络黑灰产治理从单点处置走向全链条、常态化和体系化治理。

威胁猎人（Threat Hunter）成立于 2017 年，核心团队来自腾讯安全，拥有超 10 年黑产攻防实战经验。围绕企业业务安全场景，构建了覆盖风险数据画像、反欺诈情报、数据泄露监测、钓鱼仿冒监测、业务安全蓝军、API 安全等多个产品与服务体系，帮助企业提前识别潜在风险，减少欺诈损失。

威胁猎人产品体系全景图

专注黑灰产情报和反欺诈技术研究

如您的企业也有类似问题

请咨询威胁猎人安全专家

感谢阅读