買快遞保價(jià)成了確認(rèn)收貨，閑魚這個(gè)Bug有點(diǎn)魔幻。互聯(lián)網(wǎng)+
導(dǎo)讀
騙局的大致流程是這樣的。。。
騙局的大致流程是這樣的。。。
就今天上班在群里摸魚吹水的時(shí)候，突然有人扔出這么個(gè)事。
說是最近海鮮市場(chǎng)（閑魚）冒出了個(gè)新騙局，不少買家在交易過程中，會(huì)點(diǎn)進(jìn)了騙子精心偽裝的保價(jià)釣魚頁。
這釣魚頁不知道被施了什么魔法，長(zhǎng)得和官方頁面基本沒差，只要你點(diǎn)進(jìn)去支付保價(jià)，就會(huì)提前確認(rèn)收貨，錢貨兩空。
差評(píng)君趕緊上網(wǎng)一查，發(fā)現(xiàn)網(wǎng)上已經(jīng)有好幾位網(wǎng)友都中了這個(gè)閑魚自動(dòng)收貨的招，多的被騙了好幾千塊錢。
騙局的大致流程是這樣的。。。
不法分子首先會(huì)在閑魚上掛出那種品相好、價(jià)格還低于市場(chǎng)價(jià)的超高性價(jià)比商品，來誘導(dǎo)買家下單。
比如像什么低于市場(chǎng)價(jià) 500、1000 的蘋果手機(jī)、耳機(jī)、筆記本等等。
然后利用自動(dòng)收貨的這項(xiàng)漏洞，把買家的貨款直接移花接木，騙得血本無歸。
數(shù)碼老司機(jī)集中營(yíng)酷安上面，就有個(gè)老哥被這個(gè)閑魚套路給坑了。
這老哥把昵稱都改成了閑魚被騙 3800
也是氣的不輕。
最開始他是在閑魚上面看到了一個(gè) iPhone 13 Pro Max 128G，價(jià)格是 3800 元，機(jī)器外殼磨損啥的都o(jì)k，他看的非常中意，就聯(lián)系了一下這位 “ 誠(chéng)信商家 ”。
交易溝通過程中并沒有發(fā)生什么事情，賣家正常的一批，沒露出任何騙子的馬腳。。。
他還很有職業(yè)操守的把戲演到底，不光直接給買家發(fā)圖過來確認(rèn)手機(jī)的硬件序列號(hào)，還一直保證只走平臺(tái)交易。
但到了發(fā)貨這一步，幺蛾子來了。。。
就在家付款支付成功后呢，賣家就借由要發(fā)手機(jī)細(xì)節(jié)瑕疵圖片，把買家引導(dǎo)到微信上面發(fā)圖交流。
賣家在微信上也是瘋狂套近乎，又是送手機(jī)殼又是送充電頭的（反正都是虛空的）。。。
就當(dāng)你感嘆世上還是好人多的時(shí)候，突然騙子的殺手锏遞出來了。。
“ 熱心 ” 老哥這時(shí)候突然打了個(gè)電話過來，說手機(jī)快遞需要買家用支付寶來掃一個(gè)保價(jià)的碼。
顯然這位老哥也沒想太多，貴重物品保個(gè)價(jià)很正常的事情嘛，而且這賣家老哥這么熱情，怎么可能是騙子呢？
于是就按他的操作一步一步走了下去。。。
在用支付寶掃了碼之后，老哥的手機(jī)直接跳出了一個(gè)騙子模仿閑魚保價(jià)的釣魚頁。
這玩意兒長(zhǎng)的和官方保價(jià)頁面根本看不出區(qū)別，于是 這位老哥當(dāng)場(chǎng)就爽快點(diǎn)擊了立即支付。。。
然后就。。。沒有然后了。。。
支付之后，之前買手機(jī)的閑魚訂單會(huì)立刻自動(dòng)收貨，進(jìn)而讓支付寶平臺(tái)給直接給賣家放了款。
貨款就這樣在買家沒有實(shí)際收到的情況下，被賣家收入囊中。
上一秒還是知心老哥，下一秒直接拔diao無情，直接就是一個(gè)溜溜球，卷錢跑路再也聯(lián)系不上。
至于發(fā)過來的快遞也只是一個(gè)生鮮品， “ 誠(chéng)信商家 ” 這一通操作完全不當(dāng)人啊。。。
說實(shí)話差評(píng)君看完這個(gè)傷心的故事也是挺震驚的。
之前不管是電信詐騙還是殺豬盤的套路我都見的多了， 偽裝銀行公安局、扮親戚套近乎、查戶口各種的彎彎繞繞的局都很復(fù)雜。
但這個(gè)局的手法差評(píng)君也是長(zhǎng)見識(shí)了，比某巧克力品牌還要絲滑。
知乎程序員網(wǎng)友 @吳連雯 ，也在閑魚中了同樣的招數(shù)，被騙之后他實(shí)在氣不過，把整個(gè)事兒從頭到尾給扒了一遍，摸出了點(diǎn)門道來。
差評(píng)君結(jié)合這位老兄的現(xiàn)身說法，梳理了一下騙局的來龍去脈，發(fā)現(xiàn)這次騙子們的操作還是蠻騷的。。。
其實(shí)騙局的核心，就在于這塊萬惡之源的保價(jià)二維碼。
你們可以掃，但它已經(jīng)掃不出來了。
另一位程序員大佬 @szliugx 把騙局中的二維碼進(jìn)行了一波解碼，然后得到了這么一串 URL。
這是一串利用 scheme 的技術(shù) 指向跳轉(zhuǎn)到支付寶的 App 的鏈接，是一種從其他鏈接跳轉(zhuǎn)到支付寶客戶端的方案。
這可以理解為阿里的一種特殊跳轉(zhuǎn)鏈接 alipays:// 可以更好的繞開閑魚的外鏈警告。
舉個(gè)例子來說，如果你用閑魚點(diǎn)開掃了騙子發(fā)給你的鏈接，就會(huì)跳轉(zhuǎn)到他們?cè)O(shè)置好的支付寶付款界面。
騙子重新設(shè)計(jì)了這個(gè)頁面的功能，搞成了 “ 只要點(diǎn)擊支付按鈕，就喚起支付寶支付頁面 ”的這么一個(gè)操作步驟。
而這個(gè)支付按鈕 ，同時(shí)是綁定著 “ 利用支付寶交易號(hào)喚起支付 ” 這么一步操作的 。
也就是說，你剛剛買拍下的商品的交易號(hào)，被牢牢的綁在了這步操作中。
這串劃著紅線的 tradeNO 代表的是支付寶的交易號(hào)，
這次騙子就是在這串交易號(hào)下的陷阱。
實(shí)際上，這一步再進(jìn)行的運(yùn)費(fèi)或者保單的付款其實(shí)就是“ 確認(rèn)收貨 ” 的操作。
官方確實(shí)提供了拿交易號(hào)喚起支付的辦法
這么一來，當(dāng)你向這筆訂單支付成功之后，這步操作就會(huì)被認(rèn)為是 “ 確認(rèn)收貨 ”。
截圖來源：@吳連雯
所以只要習(xí)慣性的點(diǎn)下了頁面中這個(gè) “ 立即支付 ” 按鈕，輸完密碼或者認(rèn)證完生物信息之后，錢和貨在瞬間就會(huì)和你 say goodbye。。。
至于為什么向之前已經(jīng)付款的訂單再付一次款就會(huì)確認(rèn)收貨，不得而知。。。
關(guān)鍵是支付寶這個(gè)大聰明功能，在被利用的時(shí)候倒是彈一個(gè)警示窗口按鈕啥的啊，我還以為我在買保價(jià)，其實(shí)底下我在確認(rèn)收貨了！
雖然閑魚官方重申警告過很多次，不要在平臺(tái)之外加其他聊天工具轉(zhuǎn)賬，但還是有不少人在閑魚上買東西的時(shí)候，還是會(huì)有加微信交易的習(xí)慣。
閑魚聊天甚至屏蔽了 “ 微信 ” 兩個(gè)漢字的輸入權(quán)限，打都打不出來。
因?yàn)橐坏┟撾x了平臺(tái)，買家隨便點(diǎn)擊二維碼、鏈接造成了交易風(fēng)險(xiǎn)，這事兒就徹底管不過來了。
其實(shí)在發(fā)現(xiàn)這個(gè)騙局的第一時(shí)間，差評(píng)辦公室的小伙伴就在嘗試能不能重現(xiàn)這個(gè)問題，還自己建了一個(gè)商品鏈接，我賣我自己。
然而在我們嘗試復(fù)現(xiàn)代碼流程的時(shí)候，發(fā)現(xiàn)支付寶在第一時(shí)間已經(jīng)把這個(gè) Bug 給修復(fù)了，沒辦法重現(xiàn)最后自動(dòng)“確認(rèn)收貨”的流程。
如果你現(xiàn)在直接點(diǎn)擊騙子的支付按鈕，系統(tǒng)會(huì)跳轉(zhuǎn)到這樣的一個(gè)防詐騙頁面。
嗯你猜的沒錯(cuò)，支付寶和閑魚及時(shí)的亡羊補(bǔ)牢了。。。
其實(shí)現(xiàn)在支付寶和閑魚一直以來都在聯(lián)手打擊灰黑產(chǎn)，已經(jīng)取得了一定成效。
但這次的漏洞也確實(shí)是很藏的很隱蔽，在代碼層面偷梁換柱，實(shí)在是防不勝防，如今是不怕騙子有文化，就怕騙子懂代碼啊。。。
那么問題來了，以后再遇到這種類似的騙局，有沒有什么預(yù)防或者規(guī)避的好辦法呢？
有，而且不難。
差評(píng)君覺得這個(gè)騙局中最重要的一點(diǎn)，就是騙子利用了大家忽略官方防詐騙警示的心態(tài)，利用加一系列的話術(shù)來誘導(dǎo)你加微信，降低你的戒備心，從而伸出魔爪。
在閑魚這樣的個(gè)人二手交易平臺(tái)上，加其他社交軟件進(jìn)行溝通交易，打個(gè)不好聽的比方說，就是在你不知道的情況下，開啟電腦攝像頭和一個(gè)不認(rèn)識(shí)的人進(jìn)行了裸聊。
因?yàn)橹灰_子想騙你，他們發(fā)的鏈接、二維碼里做的手腳，根本就沒人能幫你過濾。
其次盡量選擇同城面交的賣家交易，面對(duì)面交易肯定不會(huì)發(fā)生這種網(wǎng)絡(luò)扯皮的情況， 頂多也就是被拐走（bushi。
除了這些，不貪小便宜、敏捷點(diǎn)滿躲著點(diǎn)天上掉下的餡餅、警惕僅自用、全新未拆還便宜的頭獎(jiǎng)彩票，那才能從根本杜絕問題的發(fā)生。
撰文：小杜編輯：jihao & 大餅 美編：三狗
圖片、資料來源：
酷安：@閑魚被騙3800
知乎：@吳連雯
知乎：@szliugx
說是最近海鮮市場(chǎng)（閑魚）冒出了個(gè)新騙局，不少買家在交易過程中，會(huì)點(diǎn)進(jìn)了騙子精心偽裝的保價(jià)釣魚頁。
這釣魚頁不知道被施了什么魔法，長(zhǎng)得和官方頁面基本沒差，只要你點(diǎn)進(jìn)去支付保價(jià)，就會(huì)提前確認(rèn)收貨，錢貨兩空。
差評(píng)君趕緊上網(wǎng)一查，發(fā)現(xiàn)網(wǎng)上已經(jīng)有好幾位網(wǎng)友都中了這個(gè)閑魚自動(dòng)收貨的招，多的被騙了好幾千塊錢。
騙局的大致流程是這樣的。。。
不法分子首先會(huì)在閑魚上掛出那種品相好、價(jià)格還低于市場(chǎng)價(jià)的超高性價(jià)比商品，來誘導(dǎo)買家下單。
比如像什么低于市場(chǎng)價(jià) 500、1000 的蘋果手機(jī)、耳機(jī)、筆記本等等。
然后利用自動(dòng)收貨的這項(xiàng)漏洞，把買家的貨款直接移花接木，騙得血本無歸。
數(shù)碼老司機(jī)集中營(yíng)酷安上面，就有個(gè)老哥被這個(gè)閑魚套路給坑了。
這老哥把昵稱都改成了閑魚被騙 3800
也是氣的不輕。
最開始他是在閑魚上面看到了一個(gè) iPhone 13 Pro Max 128G，價(jià)格是 3800 元，機(jī)器外殼磨損啥的都o(jì)k，他看的非常中意，就聯(lián)系了一下這位 “ 誠(chéng)信商家 ”。
交易溝通過程中并沒有發(fā)生什么事情，賣家正常的一批，沒露出任何騙子的馬腳。。。
他還很有職業(yè)操守的把戲演到底，不光直接給買家發(fā)圖過來確認(rèn)手機(jī)的硬件序列號(hào)，還一直保證只走平臺(tái)交易。
但到了發(fā)貨這一步，幺蛾子來了。。。
就在家付款支付成功后呢，賣家就借由要發(fā)手機(jī)細(xì)節(jié)瑕疵圖片，把買家引導(dǎo)到微信上面發(fā)圖交流。
賣家在微信上也是瘋狂套近乎，又是送手機(jī)殼又是送充電頭的（反正都是虛空的）。。。
就當(dāng)你感嘆世上還是好人多的時(shí)候，突然騙子的殺手锏遞出來了。。
“ 熱心 ” 老哥這時(shí)候突然打了個(gè)電話過來，說手機(jī)快遞需要買家用支付寶來掃一個(gè)保價(jià)的碼。
顯然這位老哥也沒想太多，貴重物品保個(gè)價(jià)很正常的事情嘛，而且這賣家老哥這么熱情，怎么可能是騙子呢？
于是就按他的操作一步一步走了下去。。。
在用支付寶掃了碼之后，老哥的手機(jī)直接跳出了一個(gè)騙子模仿閑魚保價(jià)的釣魚頁。
這玩意兒長(zhǎng)的和官方保價(jià)頁面根本看不出區(qū)別，于是 這位老哥當(dāng)場(chǎng)就爽快點(diǎn)擊了立即支付。。。
然后就。。。沒有然后了。。。
支付之后，之前買手機(jī)的閑魚訂單會(huì)立刻自動(dòng)收貨，進(jìn)而讓支付寶平臺(tái)給直接給賣家放了款。
貨款就這樣在買家沒有實(shí)際收到的情況下，被賣家收入囊中。
上一秒還是知心老哥，下一秒直接拔diao無情，直接就是一個(gè)溜溜球，卷錢跑路再也聯(lián)系不上。
至于發(fā)過來的快遞也只是一個(gè)生鮮品， “ 誠(chéng)信商家 ” 這一通操作完全不當(dāng)人啊。。。
說實(shí)話差評(píng)君看完這個(gè)傷心的故事也是挺震驚的。
之前不管是電信詐騙還是殺豬盤的套路我都見的多了， 偽裝銀行公安局、扮親戚套近乎、查戶口各種的彎彎繞繞的局都很復(fù)雜。
但這個(gè)局的手法差評(píng)君也是長(zhǎng)見識(shí)了，比某巧克力品牌還要絲滑。
知乎程序員網(wǎng)友 @吳連雯 ，也在閑魚中了同樣的招數(shù)，被騙之后他實(shí)在氣不過，把整個(gè)事兒從頭到尾給扒了一遍，摸出了點(diǎn)門道來。
差評(píng)君結(jié)合這位老兄的現(xiàn)身說法，梳理了一下騙局的來龍去脈，發(fā)現(xiàn)這次騙子們的操作還是蠻騷的。。。
其實(shí)騙局的核心，就在于這塊萬惡之源的保價(jià)二維碼。
你們可以掃，但它已經(jīng)掃不出來了。
另一位程序員大佬 @szliugx 把騙局中的二維碼進(jìn)行了一波解碼，然后得到了這么一串 URL。
這是一串利用 scheme 的技術(shù) 指向跳轉(zhuǎn)到支付寶的 App 的鏈接，是一種從其他鏈接跳轉(zhuǎn)到支付寶客戶端的方案。
這可以理解為阿里的一種特殊跳轉(zhuǎn)鏈接 alipays:// 可以更好的繞開閑魚的外鏈警告。
舉個(gè)例子來說，如果你用閑魚點(diǎn)開掃了騙子發(fā)給你的鏈接，就會(huì)跳轉(zhuǎn)到他們?cè)O(shè)置好的支付寶付款界面。
騙子重新設(shè)計(jì)了這個(gè)頁面的功能，搞成了 “ 只要點(diǎn)擊支付按鈕，就喚起支付寶支付頁面 ”的這么一個(gè)操作步驟。
而這個(gè)支付按鈕 ，同時(shí)是綁定著 “ 利用支付寶交易號(hào)喚起支付 ” 這么一步操作的 。
也就是說，你剛剛買拍下的商品的交易號(hào)，被牢牢的綁在了這步操作中。
這串劃著紅線的 tradeNO 代表的是支付寶的交易號(hào)，
這次騙子就是在這串交易號(hào)下的陷阱。
實(shí)際上，這一步再進(jìn)行的運(yùn)費(fèi)或者保單的付款其實(shí)就是“ 確認(rèn)收貨 ” 的操作。
官方確實(shí)提供了拿交易號(hào)喚起支付的辦法
這么一來，當(dāng)你向這筆訂單支付成功之后，這步操作就會(huì)被認(rèn)為是 “ 確認(rèn)收貨 ”。
截圖來源：@吳連雯
所以只要習(xí)慣性的點(diǎn)下了頁面中這個(gè) “ 立即支付 ” 按鈕，輸完密碼或者認(rèn)證完生物信息之后，錢和貨在瞬間就會(huì)和你 say goodbye。。。
至于為什么向之前已經(jīng)付款的訂單再付一次款就會(huì)確認(rèn)收貨，不得而知。。。
關(guān)鍵是支付寶這個(gè)大聰明功能，在被利用的時(shí)候倒是彈一個(gè)警示窗口按鈕啥的啊，我還以為我在買保價(jià)，其實(shí)底下我在確認(rèn)收貨了！
雖然閑魚官方重申警告過很多次，不要在平臺(tái)之外加其他聊天工具轉(zhuǎn)賬，但還是有不少人在閑魚上買東西的時(shí)候，還是會(huì)有加微信交易的習(xí)慣。
閑魚聊天甚至屏蔽了 “ 微信 ” 兩個(gè)漢字的輸入權(quán)限，打都打不出來。
因?yàn)橐坏┟撾x了平臺(tái)，買家隨便點(diǎn)擊二維碼、鏈接造成了交易風(fēng)險(xiǎn)，這事兒就徹底管不過來了。
其實(shí)在發(fā)現(xiàn)這個(gè)騙局的第一時(shí)間，差評(píng)辦公室的小伙伴就在嘗試能不能重現(xiàn)這個(gè)問題，還自己建了一個(gè)商品鏈接，我賣我自己。
然而在我們嘗試復(fù)現(xiàn)代碼流程的時(shí)候，發(fā)現(xiàn)支付寶在第一時(shí)間已經(jīng)把這個(gè) Bug 給修復(fù)了，沒辦法重現(xiàn)最后自動(dòng)“確認(rèn)收貨”的流程。
如果你現(xiàn)在直接點(diǎn)擊騙子的支付按鈕，系統(tǒng)會(huì)跳轉(zhuǎn)到這樣的一個(gè)防詐騙頁面。
嗯你猜的沒錯(cuò)，支付寶和閑魚及時(shí)的亡羊補(bǔ)牢了。。。
其實(shí)現(xiàn)在支付寶和閑魚一直以來都在聯(lián)手打擊灰黑產(chǎn)，已經(jīng)取得了一定成效。
但這次的漏洞也確實(shí)是很藏的很隱蔽，在代碼層面偷梁換柱，實(shí)在是防不勝防，如今是不怕騙子有文化，就怕騙子懂代碼啊。。。
那么問題來了，以后再遇到這種類似的騙局，有沒有什么預(yù)防或者規(guī)避的好辦法呢？
有，而且不難。
差評(píng)君覺得這個(gè)騙局中最重要的一點(diǎn)，就是騙子利用了大家忽略官方防詐騙警示的心態(tài)，利用加一系列的話術(shù)來誘導(dǎo)你加微信，降低你的戒備心，從而伸出魔爪。
在閑魚這樣的個(gè)人二手交易平臺(tái)上，加其他社交軟件進(jìn)行溝通交易，打個(gè)不好聽的比方說，就是在你不知道的情況下，開啟電腦攝像頭和一個(gè)不認(rèn)識(shí)的人進(jìn)行了裸聊。
因?yàn)橹灰_子想騙你，他們發(fā)的鏈接、二維碼里做的手腳，根本就沒人能幫你過濾。
其次盡量選擇同城面交的賣家交易，面對(duì)面交易肯定不會(huì)發(fā)生這種網(wǎng)絡(luò)扯皮的情況， 頂多也就是被拐走（bushi。
除了這些，不貪小便宜、敏捷點(diǎn)滿躲著點(diǎn)天上掉下的餡餅、警惕僅自用、全新未拆還便宜的頭獎(jiǎng)彩票，那才能從根本杜絕問題的發(fā)生。
撰文：小杜編輯：jihao & 大餅 美編：三狗
圖片、資料來源：
酷安：@閑魚被騙3800
知乎：@吳連雯
知乎：@szliugx
1.TMT觀察網(wǎng)遵循行業(yè)規(guī)范，任何轉(zhuǎn)載的稿件都會(huì)明確標(biāo)注作者和來源；
2.TMT觀察網(wǎng)的原創(chuàng)文章，請(qǐng)轉(zhuǎn)載時(shí)務(wù)必注明文章作者和"來源：TMT觀察網(wǎng)"，不尊重原創(chuàng)的行為TMT觀察網(wǎng)或?qū)⒆肪控?zé)任；
3.作者投稿可能會(huì)經(jīng)TMT觀察網(wǎng)編輯修改或補(bǔ)充。
