拼多多稱警方已以“網(wǎng)絡(luò)詐騙”的罪名立案，律師表示可能涉嫌盜竊罪。

一個(gè)過期的優(yōu)惠券漏洞，可能引發(fā)國(guó)內(nèi)資損規(guī)模最大的黑灰產(chǎn)事件。

1月20日凌晨，有網(wǎng)友稱拼多多存在重大Bug，“只需支付4毛錢，就可以充值100元話費(fèi)”“有大批用戶開始薅羊毛，一晚上200多億都是話費(fèi)充值”。根據(jù)網(wǎng)友曬出的截圖，此次拼多多的100元無(wú)門檻券全場(chǎng)通用（特殊商品除外），有效期為一年。

拼多多方面表示，當(dāng)日凌晨有黑灰產(chǎn)團(tuán)伙通過一個(gè)過期的優(yōu)惠券漏洞盜取數(shù)千萬(wàn)元平臺(tái)優(yōu)惠券，進(jìn)行不正當(dāng)牟利。

針對(duì)該事件，拼多多稱目前上海警方已以“網(wǎng)絡(luò)詐騙”的罪名立案并成立專案組，并依據(jù)“財(cái)產(chǎn)保全”的相關(guān)規(guī)定，對(duì)涉事訂單進(jìn)行批量?jī)鼋Y(jié)。拼多多平臺(tái)正配合警方，對(duì)涉事訂單進(jìn)行溯源追蹤，并最終依據(jù)警方的調(diào)查結(jié)果對(duì)相關(guān)訂單做出依法依規(guī)處理。

對(duì)于損失高達(dá)200億的說(shuō)法，拼多多回應(yīng)稱這一數(shù)字不實(shí)。拼多多稱黑灰產(chǎn)團(tuán)伙大量盜取優(yōu)惠券，涉案總金額達(dá)數(shù)千萬(wàn)元，預(yù)計(jì)本次事件造成的最終實(shí)際資損大概率低于千萬(wàn)元。

1月20日上午9點(diǎn)5分，小南在自己的“閨蜜群”里收到一條鏈接，閨蜜告訴她，只要點(diǎn)擊這個(gè)鏈接，就可以領(lǐng)取拼多多的100元優(yōu)惠券。

“我以為就是一般的促銷或者拉新優(yōu)惠活動(dòng)，就下載了拼多多App，選來(lái)選去，訂了一個(gè)一直想買的智能音響?！毙∧细嬖V記者，她領(lǐng)取的這個(gè)優(yōu)惠券是“無(wú)門檻，一年有效期”。

“這個(gè)鏈接是我的室友在她的朋友群里看到的，然后再轉(zhuǎn)發(fā)到我們閨蜜群里。后來(lái)看到網(wǎng)上的熱搜，我才知道自己的行為可能涉及薅羊毛?！毙∧媳硎?，“1月20日上午10點(diǎn)20分，我用優(yōu)惠券購(gòu)買的商品就已經(jīng)聯(lián)系了順豐快遞，連快遞單號(hào)都告訴我了，但截至現(xiàn)在該商品還處在‘商家正通知快遞公司取件’的狀態(tài)?！?/p>

在最新的情況說(shuō)明中，拼多多表示黑灰產(chǎn)團(tuán)伙所利用的“優(yōu)惠券漏洞”盜取的相關(guān)優(yōu)惠券，為拼多多此前與江蘇衛(wèi)視《非誠(chéng)勿擾》開展合作時(shí)，因節(jié)目錄制需要特殊生成的優(yōu)惠券類型，僅供現(xiàn)場(chǎng)嘉賓使用。

然而，黑灰產(chǎn)團(tuán)伙通過非正常途徑生成的二維碼掃碼后獲得相關(guān)優(yōu)惠券，該二維碼多流傳于社交平臺(tái)相關(guān)黑灰產(chǎn)群。通過該二維碼，原本每個(gè)認(rèn)證信息的用戶可且僅可領(lǐng)取一張無(wú)門檻100元優(yōu)惠券，而非此前網(wǎng)絡(luò)流傳的單個(gè)ID可以“無(wú)限領(lǐng)取”。

因此，黑灰產(chǎn)團(tuán)伙通過“養(yǎng)貓池”（用手機(jī)卡蓄養(yǎng)大量虛擬賬號(hào)）等不法手段，實(shí)現(xiàn)N張手機(jī)黑卡同時(shí)作業(yè)，批量盜取該種優(yōu)惠券，并通過手機(jī)話費(fèi)、Q幣等虛擬充值的方式，試圖在短時(shí)間內(nèi)迅速轉(zhuǎn)移此類不當(dāng)所得，涉案優(yōu)惠券總金額達(dá)數(shù)千萬(wàn)元。

拼多多風(fēng)控團(tuán)隊(duì)負(fù)責(zé)人表示，黑灰產(chǎn)團(tuán)伙在盜取金額巨大的優(yōu)惠券并轉(zhuǎn)移其不當(dāng)所得后，期望達(dá)成“法不責(zé)眾”的效果，迅速通過網(wǎng)絡(luò)和社交群將二維碼分享出去，誘導(dǎo)一些普通消費(fèi)者跟風(fēng)掃碼。

拼多多強(qiáng)調(diào)，此種類型的優(yōu)惠券從未在任何時(shí)候、以任何方式出現(xiàn)在平臺(tái)正常的線上促銷活動(dòng)當(dāng)中，甚至從未有任何線上入口，拼多多亦未曾針對(duì)該類型優(yōu)惠券生成任何二維碼。但二維碼具體的生成及傳播過程，仍待警方調(diào)查后公布最終結(jié)論。

值得注意的是，職業(yè)羊毛黨看中充話費(fèi)和Q幣是自動(dòng)發(fā)貨，因此將優(yōu)惠券迅速兌現(xiàn)。對(duì)于拼多多而言，能否向三大運(yùn)營(yíng)商以及騰訊追討這一次損失成疑，目前拼多多亦未透露是否有追討資損的具體方案。

———————————————

收回優(yōu)惠券合理嗎

———————————————

出現(xiàn)Bug被用戶“薅羊毛”的現(xiàn)象在國(guó)內(nèi)互聯(lián)網(wǎng)行業(yè)中時(shí)有發(fā)生。

2018年元旦期間，騰訊視頻發(fā)起優(yōu)惠充值活動(dòng)，但因?yàn)榛顒?dòng)服務(wù)器后臺(tái)數(shù)據(jù)出現(xiàn)異常，有部分用戶在充值一個(gè)月時(shí)出現(xiàn)應(yīng)該支付優(yōu)惠價(jià)18元實(shí)際僅被扣費(fèi)0.2元的狀況。當(dāng)時(shí)這一漏洞共引來(lái)39萬(wàn)用戶參與。

其后騰訊公告稱，這是公司的工作失誤，公司將這些異常訂單全部?jī)冬F(xiàn)，且不再扣費(fèi)。最終，騰訊為這個(gè)Bug付出超過5000萬(wàn)元的代價(jià)，但同時(shí)贏得網(wǎng)友的好評(píng)。

但拼多多并未“順應(yīng)民意”自掏腰包。在發(fā)現(xiàn)漏洞后，拼多多在當(dāng)日9時(shí)左右緊急將所有優(yōu)惠券的領(lǐng)取方式下架，同時(shí)取消了用戶已領(lǐng)取但未使用的優(yōu)惠券，記者留意到，當(dāng)時(shí)拼多多還對(duì)App進(jìn)行了優(yōu)化更新。為了補(bǔ)償用戶，拼多多向受影響用戶發(fā)放5元無(wú)門檻優(yōu)惠券，有效期為50年。

拼多多表示，此次事件與其他公司一系列因Bug所致資損事件存在本質(zhì)差別，這一次是“套券詐騙”的網(wǎng)絡(luò)詐騙案件?！叭绨凑站W(wǎng)絡(luò)中前者被以‘ATM機(jī)誤吐鈔’現(xiàn)象做類比，后者則相當(dāng)于非法團(tuán)伙撬開ATM機(jī)后實(shí)施盜竊?！?/p>

電子商務(wù)研究中心主任曹磊認(rèn)為，從法律責(zé)任認(rèn)定和用戶權(quán)益保護(hù)角度出發(fā)，如果是平臺(tái)主動(dòng)推出的活動(dòng)，那么應(yīng)按照官方說(shuō)明來(lái)兌現(xiàn)承諾，也就相當(dāng)于在線跟用戶簽訂協(xié)議，平臺(tái)當(dāng)然要執(zhí)行?！暗炊喽嘞嚓P(guān)聲明已經(jīng)顯示，是通過一個(gè)過期的優(yōu)惠券漏洞盜取了優(yōu)惠券。根據(jù)《合同法》相關(guān)規(guī)定，拼多多取消或收回優(yōu)惠券是不需要承擔(dān)法律責(zé)任的?！?/p>

他表示，如果此次拼多多出現(xiàn)優(yōu)惠券漏洞是黑產(chǎn)羊毛黨惡意行為，這類交易屬于存在“重大誤解”訂立的合同，“（拼多多）是可以要求撤銷的?！?/p>

北京康達(dá)律師事務(wù)所律師韓驍亦認(rèn)為，拼多多收回已經(jīng)領(lǐng)取但還沒有使用的優(yōu)惠券，這一做法并不會(huì)和剛出臺(tái)的《電商法》相沖突。此次事件中，拼多多采用收回已領(lǐng)取但未使用的優(yōu)惠券這一方式來(lái)應(yīng)對(duì)，屬于合理的補(bǔ)救措施。

另?yè)?jù)記者了解，當(dāng)日11時(shí)左右，拼多多的工作人員已經(jīng)向部分商家發(fā)出通知，凡是已使用100元無(wú)門檻券的訂單不允許發(fā)貨。

根據(jù)《電商法》第四十九條規(guī)定，電子商務(wù)經(jīng)營(yíng)者發(fā)布的商品或者服務(wù)信息符合要約條件的，用戶選擇該商品或者服務(wù)并提交訂單成功，合同成立。當(dāng)事人另有約定的，從其約定。電子商務(wù)經(jīng)營(yíng)者不得以格式條款等方式約定消費(fèi)者支付價(jià)款后合同不成立;格式條款等含有該內(nèi)容的，其內(nèi)容無(wú)效。

曹磊表示，拼多多這一做法與《電商法》不沖突?！皭阂饫孟到y(tǒng)漏洞獲取的優(yōu)惠券，不能有效地折抵付款中的相應(yīng)付款義務(wù)，所以應(yīng)該視為未完成付款義務(wù)，不受《電商法》第四十九條第二款的約束，商家可以不發(fā)貨?！?/p>

中國(guó)政法大學(xué)知識(shí)產(chǎn)權(quán)中心特約研究員趙占領(lǐng)則告訴記者，如果用戶已經(jīng)使用優(yōu)惠券購(gòu)買拼多多上第三方商家的商品，用戶和商家之間的合同已經(jīng)成立，拼多多可以去追究用戶的責(zé)任，但不能阻止商家發(fā)貨。

———————————————

為何會(huì)發(fā)生“薅羊毛”事件

———————————————

關(guān)于風(fēng)控的問題，拼多多表示公司一直有風(fēng)控體系建設(shè)，而且本次事件不涉及任何數(shù)據(jù)安全問題，平臺(tái)消費(fèi)者原本正常領(lǐng)取的優(yōu)惠券使用不會(huì)受到影響。為進(jìn)一步加強(qiáng)“特殊優(yōu)惠券”相關(guān)風(fēng)控體系，拼多多透露公司已成立技術(shù)組。

對(duì)于拼多多“被薅羊毛”一事，某反詐騙安全團(tuán)隊(duì)專家陳鋒（化名）表示，有許多手段可以防止平臺(tái)被惡意“薅羊毛”，包括限制優(yōu)惠券的總數(shù)以及優(yōu)惠券的應(yīng)用場(chǎng)景，“比如設(shè)置最多10萬(wàn)張券，只能用于滿200元的實(shí)物訂單，再加上最基礎(chǔ)的防薅羊毛策略，就能保證不出大問題”。

對(duì)于為何風(fēng)控系統(tǒng)沒有監(jiān)測(cè)到異常情況，拼多多回應(yīng)稱事件發(fā)生時(shí)正值平臺(tái)大促，其間有大批量平臺(tái)正常發(fā)放的優(yōu)惠券被消耗。直至當(dāng)日上午9時(shí)，遭盜取優(yōu)惠券和正常優(yōu)惠券的總和突破平臺(tái)預(yù)設(shè)閾值，系統(tǒng)才監(jiān)控到異常并自動(dòng)報(bào)警后，拼多多在第一時(shí)間修復(fù)相關(guān)漏洞。

根據(jù)網(wǎng)友截圖，此次事件中拼多多的優(yōu)惠券屬于“無(wú)門檻全場(chǎng)通用”，還有網(wǎng)友曬出了充值話費(fèi)、購(gòu)買Q幣的截圖，有的充值金額甚至高達(dá)5萬(wàn)元。“在此事件中，拼多多的業(yè)務(wù)規(guī)則出現(xiàn)了問題，最基本的防薅羊毛手段都沒有設(shè)置?！标愪h稱。

在陳鋒看來(lái)，目前確實(shí)存在專業(yè)的“羊毛黨”，針對(duì)不同平臺(tái)，這些羊毛黨擁有注冊(cè)賬號(hào)（涉及手機(jī)號(hào)、接碼平臺(tái)等）、下游支付渠道、清洗轉(zhuǎn)移渠道等等，而消息靈通與否以及設(shè)備的專業(yè)程度則決定了這些羊毛黨的收入。

羊毛黨的行為涉嫌犯罪嗎

事實(shí)上，在《拼多多服務(wù)協(xié)議》7.1禁止行為中已明確，用戶使用拼多多平臺(tái)外掛和/或利用拼多多平臺(tái)當(dāng)中的Bug來(lái)獲得不正當(dāng)?shù)睦婧杖辉诹小?/p>

韓驍表示，用戶利用系統(tǒng)漏洞大量領(lǐng)取平臺(tái)的優(yōu)惠券并以此獲利，可能涉嫌盜竊罪，若獲利數(shù)額達(dá)到相關(guān)標(biāo)準(zhǔn)，則有可能需要承擔(dān)刑事責(zé)任。不過他強(qiáng)調(diào)，如果是平臺(tái)的普通客戶，并非有意識(shí)地通過這一安全漏洞大量領(lǐng)取優(yōu)惠券牟利，而僅領(lǐng)取了數(shù)量較少的優(yōu)惠券，沒有盜竊的主觀故意，客觀上獲利也未達(dá)到量刑標(biāo)準(zhǔn)，則并不構(gòu)成盜竊罪。

對(duì)于薅羊毛黑產(chǎn)是否涉嫌違法犯罪，陳鋒表示比較難以判斷，“一般而言首先必須有公司報(bào)案，而此前的實(shí)際案例中，最多的情況可能會(huì)協(xié)商，協(xié)商不成按詐騙來(lái)辦，但最終是否違法或者犯罪還要看公檢法機(jī)關(guān)的定性。”

拼多多在最新的公告中表示，對(duì)于遭裹挾的普通消費(fèi)者，平臺(tái)主觀意愿上不會(huì)進(jìn)行進(jìn)一步追責(zé)，但不支持此類非正常行為。

電子商務(wù)研究中心特約研究員、北京盈科（杭州）律師事務(wù)所律師方超強(qiáng)認(rèn)為，黑灰產(chǎn)實(shí)際上是一個(gè)網(wǎng)絡(luò)術(shù)語(yǔ)，并沒有明確的概念和外延;從拼多多事件來(lái)看，所謂“黑灰產(chǎn)團(tuán)隊(duì)”，有幾個(gè)事實(shí)應(yīng)當(dāng)是明確的：1.應(yīng)當(dāng)是主動(dòng)尋找系統(tǒng)漏洞，而非進(jìn)行系統(tǒng)破壞和篡改;2.主觀上知道是漏洞;3.客觀上利用漏洞牟利;4.優(yōu)惠券應(yīng)當(dāng)是具有一定價(jià)值的財(cái)物。從犯罪構(gòu)成要件看，個(gè)人認(rèn)為涉嫌盜竊罪。

中國(guó)政法大學(xué)傳播法研究中心副主任朱巍則表示，當(dāng)平臺(tái)出現(xiàn)優(yōu)惠券Bug，且原因不明時(shí)，分兩類情況：第一，若是涉及計(jì)算機(jī)系統(tǒng)破壞出現(xiàn)Bug的，屬于《刑法》破壞計(jì)算機(jī)信息系統(tǒng)罪，情節(jié)特別嚴(yán)重有五年以上的刑期。第二，若是不涉及系統(tǒng)破壞，僅是利用漏洞，這類情形嚴(yán)重的話，實(shí)踐中涉及盜竊罪、侵害知識(shí)產(chǎn)權(quán)罪，不嚴(yán)重的話，薅到的券屬于不當(dāng)?shù)美?，?yīng)予返還。

在此次拼多多事件中，黑灰產(chǎn)團(tuán)隊(duì)在刷了足夠多的優(yōu)惠券賺取利潤(rùn)后，出于“法不責(zé)眾”的心理將優(yōu)惠券鏈接公布于眾。朱巍認(rèn)為，除了自己刷，還發(fā)布相關(guān)信息的人，傳播這類信息可能涉及前面罪名的共犯，也可以單獨(dú)構(gòu)成傳授犯罪方法罪，或構(gòu)成擾亂市場(chǎng)秩序的行政處罰。

在朱巍看來(lái)，少量刷的人，一般不構(gòu)成犯罪，但其“所得屬于不當(dāng)?shù)美?，?yīng)及時(shí)予以返還”。若是在事實(shí)公布后還刷的，就構(gòu)成盜竊罪。

對(duì)拼多多影響有多大

憑借著社交電商全新打法，成立僅三年時(shí)間的拼多多已經(jīng)是國(guó)內(nèi)最成功的獨(dú)角獸企業(yè)之一。摩根士丹利近日發(fā)布研報(bào)，首次把拼多多納入研究范圍，給予“增持”評(píng)級(jí)，并把目標(biāo)股價(jià)定為29美元。

拼多多財(cái)報(bào)顯示，去年第三季度，拼多多實(shí)現(xiàn)營(yíng)收33.72億元，同比增長(zhǎng)697%，環(huán)比增長(zhǎng)24%;去年前三季度共實(shí)現(xiàn)74.66億元營(yíng)收，同比增長(zhǎng)約12倍。但并不樂觀的是，拼多多凈虧損進(jìn)一步擴(kuò)大，去年第三季度虧損10.98億元，遠(yuǎn)高于前年同期的2.21億元;去年前三季度共虧損77.93億元，前年同期為5.39億元。

拼多多仍在投入大量的資金拉新，通過冠名綜藝節(jié)目等方式繼續(xù)拉動(dòng)用戶增長(zhǎng)率和活躍度。財(cái)報(bào)顯示，去年第三季度拼多多的銷售及營(yíng)銷費(fèi)用高達(dá)32.3億元，同比增長(zhǎng)655%，主要原因是由于品牌推廣活動(dòng)及線上線下廣告及促銷活動(dòng)增加所致。

拼多多狠砸營(yíng)銷費(fèi)用的另一個(gè)重要原因是獲客成本在走高。2017年三季度，拼多多單個(gè)新用戶的獲客成本為13元，但去年上半年已經(jīng)飆升至55元。

值得一提的是，盡管拼多多在去年第三季度投入的研發(fā)費(fèi)用同比增長(zhǎng)828%，但其研發(fā)費(fèi)用僅為銷售和營(yíng)銷費(fèi)用的1/10。

記者注意到，拼多多已于1月20日下午在招聘平臺(tái)發(fā)布多個(gè)與風(fēng)控相關(guān)的職位，包括風(fēng)控總監(jiān)、風(fēng)控策略/模型專家等。

經(jīng)過此次事件后，拼多多的研發(fā)費(fèi)用或許將保持高增速。

打擊黑產(chǎn)要從源頭始

曹磊表示，對(duì)黑灰產(chǎn)的認(rèn)定從嚴(yán)格意義上講，應(yīng)該由相應(yīng)的監(jiān)管部門，或者是公安網(wǎng)監(jiān)來(lái)進(jìn)行認(rèn)定。當(dāng)然，平臺(tái)方如果能夠提供充分有效的證據(jù)、材料，也將有助于監(jiān)管、司法、公安等部門進(jìn)行認(rèn)定。

在采訪中，多名專家對(duì)記者表示，要打擊薅羊毛黑產(chǎn)，最有效的方式是直接打掉其產(chǎn)業(yè)鏈上游的惡意注冊(cè)工具提供商。

記者了解到，遼寧省公安廳曾就惡意注冊(cè)上游工具軟件發(fā)起名為“610”的專案打擊。

曾經(jīng)參與該案件的一名網(wǎng)絡(luò)安全專家稱，在專案中，其鎖定了頭部惡意注冊(cè)工具軟件數(shù)款，其中一款名為XXTouch的按鍵精靈軟件能夠模擬人操作手機(jī)的行為，并擁有可簡(jiǎn)易化實(shí)施改機(jī)工具的功能，包括偽裝手機(jī)信息、GPS信息功能。“簡(jiǎn)而言之，在不考慮效果的情況下，XXTouch一款軟件已經(jīng)做到惡意注冊(cè)除IP更改外的所有環(huán)節(jié)技術(shù)提供，在其看似中立的偽裝下，實(shí)際上為惡意注冊(cè)黑產(chǎn)配備了全套武器”。

該專家表示，對(duì)于打擊惡意注冊(cè)，最好的辦法是能夠斬?cái)鄲阂庾?cè)黑產(chǎn)鏈最上游，從生態(tài)上擠壓惡意注冊(cè)的生存空間。這包括偽造設(shè)備硬件信息實(shí)現(xiàn)多開的改機(jī)工具，沒有改機(jī)工具，惡意注冊(cè)不具備實(shí)施性;以及輔助自動(dòng)化操作的群控和按鍵精靈軟件，沒有自動(dòng)化，惡意注冊(cè)無(wú)法擺脫高昂的人力成本。

但他同時(shí)認(rèn)為，由于惡意注冊(cè)軟件在黑產(chǎn)圈普及，導(dǎo)致惡意注冊(cè)工作室的開設(shè)門檻極低，一次集群行動(dòng)可以打掉一個(gè)地區(qū)的一批團(tuán)伙，但是很可能其他地區(qū)馬上就有新的團(tuán)伙如雨后春筍般冒出。