羊毛党的大数据攻防战

攻篇

“想赚钱，来撸羊毛”！

在百度搜索输入“羊毛党”，推广栏中最醒目的就是以上的“标题”。

“羊毛党”，是指专门选择各互联网渠道的优惠促销活动，以相对较低成本甚至零成本换取物质上实惠的人群。

羊毛党的发源，来自于互联网的的各种推广，羊毛党的崛起与发羊广大，很大程度上是源于互联网金融，更精准的说是P2P的兴起。金融离钱最近，互联网金融薅羊毛也成为羊毛党的大金矿。

2015年初，广州一小型P2P平台“民间财富”出现提现困难，该平台一直充斥着各种优惠活动：比如《12月份优惠活动》、《推荐人人有奖》、《2015年1月优惠活动》、《2015年2月优惠活动》、《注册送现金活动》……。满满的奖励吸引了一批羊毛党在平台上剪羊毛，该平台最终倒闭加入P2P跑路大军之一。

羊毛党看中的不仅仅是小平台，P2P金融的一哥陆金所也身受其扰。

羊毛党各大小平台对羊毛党都是又爱又恨，羊毛党并非客户粘性很高的正常投资者，一旦奖励拿到手，羊毛党就要抽身出去，那么，平台势必面临没有投资者接盘的尴尬，所以平台就要持续不断的奖励，以吸引羊毛党继续剪羊毛。

羊毛党从诞生，到成长，成熟，其实都是顺应着P2P的发展过程。截至2015年12月底,互联网金融行业运营平台达到了2595家,相比2014年底增长了1020家,绝对增量超过2014年再创历史新高。据资料分析，2015年中国的羊毛党规模估计在二十万到上百万之间，规模也达到了顶峰。

2016年随着P2P网贷平台层面管理机制逐步成型，行业的盘整，P2P平台数量或呈现下降趋势。P2P网贷模式将向细分多元化和运营精细化发展。与此对应，羊毛党群体呈现缩水趋势，主要有以下两个方面的原因。一方面，随着各平台联合监管单位和机构开展对羊毛党的打击工作，增强其反薅羊毛技术，越来越多的低级别羊毛党的收益率降低，从而退出羊毛党队伍；一方面，很大一部分理性的羊毛党目前是半投资半撸毛的状态存在这个行业里，他们一部分资金配比在自己认为绝对安全的网贷平台里面，一部分资金配比在相对安全的平台里面，多以风投，上市，国资系为主，然后剩下的资金多以撸毛形式存在于草根平台之间。这些羊毛党有部分比例转化为质量较高的投资人，也在一定程度上减少了羊毛党群体的规模。

羊毛党的利益链条：最前端是软件制作团伙，专门制作各种自动、半自动的黑产工具，比如自动注册机、刷单自动机等，大大增加了羊毛党的操作效率；在中端，有账号出售团伙，他们通过黑客的地下社工库找到一些用户数据，或直接从各大平台窃取用户信息，公开售卖，据称，现在黑市有200多万的用户数据流通;另外，还有短信代接平台，可以自动生成手机号码，并能接受验证码。后端是职业刷手进行具体操作。他们常见的操作模式是，三五人组成一个工作室，批量注册。比如，P2P公司初期在注册时，只要求银行卡和注册人姓名一致，比如注册人叫“张三”，他们找到几百个张三的用户信息，然后统一绑定在一张“张三”的银行卡下提现。一个毫无安全防备的网贷平台，面对这样的高级刷客，几乎无还手之力，他们每日收入可达到几万，甚至几十万。

羊毛党具有敏锐的触角，隐蔽的身形，快速的响应。每每让互联网金融的商家无从着手。但“凡走过必留下痕迹”，羊毛党虽然狡猾，在大数据环境下，其依然会留下大量行为痕迹，这些行为痕迹经过系统分析后，可以被用来判断羊毛党的类型，并根据类型制定响应的处理措施。

大数据形势下，羊毛党的攻防战进入了更加精细化的阶段。

防篇

随着技术的发展，大量数据日志正在被大数据技术收集，处理，整合并应用，羊毛党的数据轨迹也逐渐完整与清晰。

羊毛党的数据痕迹主要有以下几大类：

网络行为，互联网作为羊毛党的主要渠道，作为一个天生的强技术通道，接入IP地址，Hostname, 路由设备日志，运营商接入基站都可以留存大量的网络行为日志，完整的网络日志可以形成一条羊毛用户网络路径，客观反映羊毛党的网络行为轨迹。
设备动态行为，新的手机及手持设备往往会内置众多的运动传感器，传感器会手机手机设备的动态行为包括位置变化幅度，变化频次，变化规律等信息，从而通过数据计算判断设备的动态行为。
平台行为，被撸平台往往有很多的平台行为及过程，包括注册，绑卡，浏览，交易，提现。每个过程都会留下很多行为轨迹，而羊毛党特别是其中的机器羊毛党的行为轨迹更是有其特殊性。
交易行为，商人无利不起早，羊毛党更是如此，羊毛党会对平台的产品做详细的对比分析，找出其中ROI最大化的薅方案。其交易的产品，交易金额和交易时间都是最佳化设计。
手机的整体行为，在移动互联网下，羊毛党的主要工具都是手机，每台手机上安装的互联网金融平台数，活跃时间，甚至于羊毛党对手机终端的偏好都可以留下一定的行为轨迹。

这些来自羊毛党的多方行为数据通过设备指纹，帐号ID，及更多的数据实体整合到一起形成一张羊毛党个人行为的数据图谱。

下图展示了一张汇集了多个数据源的羊毛党数据图谱，从图谱中可以直观的多看到一台安卓设备通过多次刷机形成了19台虚拟设备，这19台设备注册了19个账号完成了19次薅羊毛行动的数据轨迹。