关于黑产账号多开，设备和 IP 的识别方案

[seekseat]

最近公司搞了一个新用户注册有奖活动，发现被职业羊毛党薅惨了，真实用户没有几个。

由于之前没有这块经验，想请教各位前辈，这种防范方案，是公司自行开发，还是购买第三方的一些解决方案？

搜了下没看到很成熟的方案，自己开发的话，能想到的主要是账号，设备和 IP 的打标。

由于账号支持使用邮件注册，所以理论上很难据此判断用户是否是一人多账号，只能想到设备和 IP 。

我是服务端，公司的产品有 web ，移动端。 前端同事说可以获取到浏览器指纹信息，客户端同学，Android 应该能拿到设备(相对)唯一的标识(但安卓改机貌似非常简单)，iOS 则很难获取到。

请教大家，都是怎么做的

[seekseat]

@qikexiu 3 是为了防止接口刷吗？ 但看起来都是 app 点击的，不知道是不是用啥按键精灵之类的

[seekseat]

@icloudguizhou 这个应用开发者拿不到吧。。这边做 ios 的同事说，苹果把这些信息都作为用户隐私

[seekseat]

@yueji 这个不是一回事

[seekseat]

@w3xse7en 因为用户主要面向校园，很多学校出口 ip 就一个。不敢对 ip 限制太多...

[seekseat]

@xguanren 这报警用啥理由...证据不绝对充分不太行吧

[seekseat]

@vivisidea 我理解易盾是验证码啥的，没法识别设备和 ip 吧

[seekseat]

@esee 怎么检查自己的浏览器指纹？这个一般不好换吧

[seekseat]

@hopingtop B 站这个答题太劝退了...

[esee]

@seekseat 那些做跨境的经常用到一种浏览器，可以模拟各种浏览器环境，方便应付各个电商的一些简单检测，这都是很商业化的技术了，只要变了一些参数，浏览器指纹就变了。这对于用代码来实现模拟请求的，更方便

[vivisidea]

@seekseat #66 有的，我们有智能风控的业务 https://dun.163.com/product/risk-engine

[xguanren]

@seekseat ...报警有什么理由..公司权益被侵犯了..提供各种记录,又不是没抓过.之前各种 app 拉新.钱包什么的.而且这种一抓基本上都涉及买卖个人信息.警察蜀黍乐易抓这种 现在严抓侵犯个人信息.因为这种拉新 app 都需要实名.黑产的需要刷你活动.肯定需要买各种身份证 手机号 一抓一长溜..为什么不抓?

[xguanren]

@seekseat 识别设备 id 是易盾那边做的事.不光是验证码.还涉及到行为验证.设备指纹.你可以理解为 易盾那边验证通过之后 会告诉你服务器 这个人没问题 他是真人.你再入库.至于识别设备和 ip 易盾那边已经做了 不需要你操心.

[egen]

@seekseat #44

腾讯天御 活动防刷
网易易盾

[llsquaer]

可以注册随便薅，但是实际 领物品/领金额 需要实名认证。 就是前面步骤等他们折腾。。到最后需要公司实际兑付奖励的时候，再去对接支付宝或者微信的实名。

这些人能搞到很多微信，但是很难搞到实名后的微信、支付宝。除非你的奖励给的真的太高了。

[proxytoworld]

@seekseat ua 不是随便改吗...

[lisxour]

@llsquaer 同意，这种东西不接实名，根本就不可能有很好的限制作用。

[ZnductR0MjHvjRQ3]

@seekseat 建议不要管 IP 了 还是实名吧 你可能没买过国内的代理 IP 动态家用代理 一周 无限用才不到两百块，国外的很贵，所以其实对于国内的活动来说 IP 成本不高

[249239432]

看了大部分人的回答，要么是来推广自己的产品，要么就是根本没接触过灰产
我直接给出答案
1 、浏览器指纹，没有卵用。adspower 、VMLoginMain 去了解一下是干什么的
2 、设备指纹，一样没卵用，灰产几千台手机，随便你识别，更别说还有一键换新机的功能
3 、ip ？别搞笑了
4 、微信绑定---先不说会流失客户，灰产卡商一机一微信号过微信风控，往死里给你薅
5 、实名手机号---卡商的手机卡就是去收购的实名手机卡
6 、手机号与实名验证---大家没了解过地推这个职业吧？要多少实名有多少，除非你能拿到手机号的实名信息，跟实名验证结果对比


综合各种因素，我觉得能较低成本实现的一个方案
注册的时候先判断是不是高风险手机，注册完了以后，一天后发一个短信验证，原因嘛，我不说

[icloudguizhou]

@seekseat uber lyft 小红书高德地图都能拿到，https://developer.apple.com/documentation/devicecheck,高德大号打车不付钱刷机恢复备份用小号打车也打不了

[daodao]

如果你是初次遇到这种情况，你是解决不了的。直接简单粗暴 限制 ip 、设备指纹、验证码、短信等等各种交集做限制，别考虑什么误杀不误杀的，不是你作为技术考虑的问题，好过被黑产薅羊毛然后你背锅。

回想我当年刚毕业第一家公司，第一个参与策划的运营活动，就活生生被黑产薅走了 好几台 MacBook ，价值几万的电话卡。。。。原本应该是负责统一账号、40 人的团队应该负责考虑的问题，最后让我这个刚毕业的应届生，只是负责前端活动策划的背锅。

做黑产在你们这个行业斗智斗勇了十几二十年了。