关于黑产账号多开，设备和 IP 的识别方案

[seekseat]

最近公司搞了一个新用户注册有奖活动，发现被职业羊毛党薅惨了，真实用户没有几个。

由于之前没有这块经验，想请教各位前辈，这种防范方案，是公司自行开发，还是购买第三方的一些解决方案？

搜了下没看到很成熟的方案，自己开发的话，能想到的主要是账号，设备和 IP 的打标。

由于账号支持使用邮件注册，所以理论上很难据此判断用户是否是一人多账号，只能想到设备和 IP 。

我是服务端，公司的产品有 web ，移动端。 前端同事说可以获取到浏览器指纹信息，客户端同学，Android 应该能拿到设备(相对)唯一的标识(但安卓改机貌似非常简单)，iOS 则很难获取到。

请教大家，都是怎么做的

[seekseat]

@wxw752 会再加上设备信息，二者作一个”唯一索引“去筛人

[seekseat]

@proxytoworld 指纹指的是浏览器端的 user agent 啥的吧

[seekseat]

@hopingtop 想和老哥探讨下最后这段，这算是用户行为分析吗？ 主要是正常用户可能日常活跃度并不比灰产高到哪里，最多会每天多打开几次，恐怕很难有效甄别二者

[seekseat]

@egen 他们这种防刷，是指的防 DDOS 的高防吧

[seekseat]

@vivisidea 好的，怎么联系下

[seekseat]

@dada88xyxy ”微信红包开启防刷等级设置为高“ 微信红包还有这功能吗

[seekseat]

@249239432 学到了，感谢！

[seekseat]

@chendl111 很多用户对实名有抵触

[xguanren]

@seekseat 海外的话上一个 5 秒盾 akamai 国内的话 数美 极验 易盾 人机验证平台很多的 多上几个.基本上就能过掉一大批的黑产账号了.如果你们项目产值特别高的话 那只能是带上实名手机号之类的.发现黑产账号报警处理 物理打击

[linyongxin]

实名手机号+微信

[vivisidea]

@seekseat 网易易盾，直接联系客服就行

[incubus]

机器人检测

[skull]

注册加个只能人工识别的校验码，加大薅羊毛的成本

[runking]

注册不行，得后续比如充值些，根据你们的产品来提高羊毛党的成本

[GOliberation]

建议 IP + 浏览器唯一 ID + 身份证 + 手机号 做唯一验证。

[EsWann]

如果你们是支持邮箱注册的话，Github 有临时邮箱的列表项目，可以将这类邮箱后缀列入黑名单。

[esee]

浏览器指纹没用，现在我们都可以随便变更浏览器指纹，你怎么搜集呢，这是防君子不防小人，除非转接到支付宝微信实名认证，否则你能想到的方法都有相应的对策。人家干了这么多年的灰产哪有你那么容易对付的

[hopingtop]

@seekseat #43 我说一个简单的指标，然后你去扩展思路，因为有些东西不能说的太明白了。
第一个的系统级的 API 版本验证，比如说灰产或者群控大多数设备，客户端等级都比较低
第二个是客户端的传感器，比如光感，陀螺仪，这些随环境变化而变化的。

举个例子，你玩手机怎么玩的，群控玩手机怎么玩的。当然这些也是一些比较简单的思路。

防灰真的是系统工程，但是有一定的防护能拦截大部分。

如果你们的业务本身不是灰，可以去了解一下大厂的方案，看看投入回报比

[hopingtop]

@seekseat #43 在补充一点，如果要防灰，最好是在一些放开的口子看是否能收回，如果不能收回，那就要区别对待，比如说你们的邮箱注册，验证邮箱可能就不要是单纯的验证码了。比如来一份答题，学习一下 B 站的模式。 这种至少来说可以部分防止批量注册， 如果用户真上心，也会搞，但是会慢很多。

因为你整体领取流程加长了，那么在这个过程中，就非常有利于 你们业务本身 去埋点，去获取特征，做具体的分析防御

[Greatshu]

招几个电话客服，联系客户完成一个问卷后再给奖励