本文來(lái)自公眾號(hào)【差評(píng)】

前兩天上班在群里摸魚吹水的時(shí)候，突然有人扔出這么個(gè)事。

說是最近海鮮市場(chǎng)（閑魚）冒出了個(gè)新騙局，不少買家在交易過程中，會(huì)點(diǎn)進(jìn)了騙子精心偽裝的保價(jià)釣魚頁(yè)。

這釣魚頁(yè)不知道被施了什么魔法，長(zhǎng)得和官方頁(yè)面基本沒差，只要你點(diǎn)進(jìn)去支付保價(jià)，就會(huì)提前確認(rèn)收貨，錢貨兩空。

差評(píng)君趕緊上網(wǎng)一查，發(fā)現(xiàn)網(wǎng)上已經(jīng)有好幾位網(wǎng)友都中了這個(gè)閑魚自動(dòng)收貨的招，多的被騙了好幾千塊錢。

騙局的大致流程是這樣的。。。

不法分子首先會(huì)在閑魚上掛出那種品相好、價(jià)格還低于市場(chǎng)價(jià)的超高性價(jià)比商品，來(lái)誘導(dǎo)買家下單。

比如像什么低于市場(chǎng)價(jià) 500、1000 的蘋果手機(jī)、耳機(jī)、筆記本等等。

然后利用自動(dòng)收貨的這項(xiàng)漏洞，把買家的貨款直接移花接木，騙得血本無(wú)歸。

數(shù)碼老司機(jī)集中營(yíng)酷安上面，就有個(gè)老哥被這個(gè)閑魚套路給坑了。

這老哥把昵稱都改成了閑魚被騙 3800?也是氣的不輕。

最開始他是在閑魚上面看到了一個(gè) iPhone 13 Pro Max 128G，價(jià)格是 3800 元，機(jī)器外殼磨損啥的都o(jì)k，他看的非常中意，就聯(lián)系了一下這位 “ 誠(chéng)信商家 ”。

交易溝通過程中并沒有發(fā)生什么事情，賣家正常的一批，沒露出任何騙子的馬腳。。。

他還很有職業(yè)操守的把戲演到底，不光直接給買家發(fā)圖過來(lái)確認(rèn)手機(jī)的硬件序列號(hào)，還一直保證只走平臺(tái)交易。

但到了發(fā)貨這一步，幺蛾子來(lái)了。。。

就在家付款支付成功后呢，賣家就借由要發(fā)手機(jī)細(xì)節(jié)瑕疵圖片，把買家引導(dǎo)到微信上面發(fā)圖交流。

賣家在微信上也是瘋狂套近乎，又是送手機(jī)殼又是送充電頭的（反正都是虛空的）。。。

就當(dāng)你感嘆世上還是好人多的時(shí)候，突然騙子的殺手锏遞出來(lái)了。。

“ 熱心 ” 老哥這時(shí)候突然打了個(gè)電話過來(lái)，說手機(jī)快遞需要買家用支付寶來(lái)掃一個(gè)保價(jià)的碼。

顯然這位老哥也沒想太多，貴重物品保個(gè)價(jià)很正常的事情嘛，而且這賣家老哥這么熱情，怎么可能是騙子呢？

于是就按他的操作一步一步走了下去。。。

在用支付寶掃了碼之后，老哥的手機(jī)直接跳出了一個(gè)騙子模仿閑魚保價(jià)的釣魚頁(yè)。

這玩意兒長(zhǎng)的和官方保價(jià)頁(yè)面根本看不出區(qū)別，于是這位老哥當(dāng)場(chǎng)就爽快點(diǎn)擊了立即支付。。。

然后就。。。沒有然后了。。。

支付之后，之前買手機(jī)的閑魚訂單會(huì)立刻自動(dòng)收貨，進(jìn)而讓支付寶平臺(tái)給直接給賣家放了款。

貨款就這樣在買家沒有實(shí)際收到的情況下，被賣家收入囊中。

上一秒還是知心老哥，下一秒直接拔diao無(wú)情，直接就是一個(gè)溜溜球，卷錢跑路再也聯(lián)系不上。

至于發(fā)過來(lái)的快遞也只是一個(gè)生鮮品，“ 誠(chéng)信商家 ” 這一通操作完全不當(dāng)人啊。。。

說實(shí)話差評(píng)君看完這個(gè)傷心的故事也是挺震驚的。

之前不管是電信詐騙還是殺豬盤的套路我都見的多了，偽裝銀行公安局、扮親戚套近乎、查戶口各種的彎彎繞繞的局都很復(fù)雜。

但這個(gè)局的手法差評(píng)君也是長(zhǎng)見識(shí)了，比某巧克力品牌還要絲滑。

知乎程序員網(wǎng)友 ?@吳連雯 ，也在閑魚中了同樣的招數(shù)，被騙之后他實(shí)在氣不過，把整個(gè)事兒從頭到尾給扒了一遍，摸出了點(diǎn)門道來(lái)。

差評(píng)君結(jié)合這位老兄的現(xiàn)身說法，梳理了一下騙局的來(lái)龍去脈，發(fā)現(xiàn)這次騙子們的操作還是蠻騷的。。。

其實(shí)騙局的核心，就在于這塊萬(wàn)惡之源的保價(jià)二維碼。

你們可以掃，但它已經(jīng)掃不出來(lái)了。

另一位程序員大佬 @szliugx 把騙局中的二維碼進(jìn)行了一波解碼，然后得到了這么一串 URL。

這是一串利用 scheme 的技術(shù)指向跳轉(zhuǎn)到支付寶的 App 的鏈接，是一種從其他鏈接跳轉(zhuǎn)到支付寶客戶端的方案。

這可以理解為阿里的一種特殊跳轉(zhuǎn)鏈接 alipays:// 可以更好的繞開閑魚的外鏈警告。

舉個(gè)例子來(lái)說，如果你用閑魚點(diǎn)開掃了騙子發(fā)給你的鏈接，就會(huì)跳轉(zhuǎn)到他們?cè)O(shè)置好的支付寶付款界面。

騙子重新設(shè)計(jì)了這個(gè)頁(yè)面的功能，搞成了 “ 只要點(diǎn)擊支付按鈕，就喚起支付寶支付頁(yè)面?” 的這么一個(gè)操作步驟。

而這個(gè)支付按鈕?，同時(shí)是綁定著?“ 利用支付寶交易號(hào)喚起支付 ” 這么一步操作的?。

也就是說，你剛剛買拍下的商品的交易號(hào)，被牢牢的綁在了這步操作中。

這串劃著紅線的 tradeNO 代表的是支付寶的交易號(hào)，這次騙子就是在這串交易號(hào)下的陷阱。

實(shí)際上，這一步再進(jìn)行的運(yùn)費(fèi)或者保單的付款其實(shí)就是?“ 確認(rèn)收貨 ” 的操作。?

官方確實(shí)提供了拿交易號(hào)喚起支付的辦法

這么一來(lái)，當(dāng)你向這筆訂單支付成功之后，這步操作就會(huì)被認(rèn)為是 “ 確認(rèn)收貨 ”。

截圖來(lái)源：@吳連雯

所以只要習(xí)慣性的點(diǎn)下了頁(yè)面中這個(gè) “ 立即支付 ” 按鈕，輸完密碼或者認(rèn)證完生物信息之后，錢和貨在瞬間就會(huì)和你 say goodbye。。。

至于為什么向之前已經(jīng)付款的訂單再付一次款就會(huì)確認(rèn)收貨，不得而知。。。

關(guān)鍵是支付寶這個(gè)大聰明功能，在被利用的時(shí)候倒是彈一個(gè)警示窗口按鈕啥的啊，我還以為我在買保價(jià)，其實(shí)底下我在確認(rèn)收貨了！

雖然閑魚官方重申警告過很多次，不要在平臺(tái)之外加其他聊天工具轉(zhuǎn)賬，但還是有不少人在閑魚上買東西的時(shí)候，還是會(huì)有加微信交易的習(xí)慣。

閑魚聊天甚至屏蔽了 “ 微信 ” 兩個(gè)漢字的輸入權(quán)限，打都打不出來(lái)。

因?yàn)橐坏┟撾x了平臺(tái)，買家隨便點(diǎn)擊二維碼、鏈接造成了交易風(fēng)險(xiǎn)，這事兒就徹底管不過來(lái)了。

其實(shí)在發(fā)現(xiàn)這個(gè)騙局的第一時(shí)間，差評(píng)辦公室的小伙伴就在嘗試能不能重現(xiàn)這個(gè)問題，還自己建了一個(gè)商品鏈接，我賣我自己。

然而在我們嘗試復(fù)現(xiàn)代碼流程的時(shí)候，發(fā)現(xiàn)支付寶在第一時(shí)間已經(jīng)把這個(gè) Bug 給修復(fù)了，沒辦法重現(xiàn)最后自動(dòng)“確認(rèn)收貨”的流程。

如果你現(xiàn)在直接點(diǎn)擊騙子的支付按鈕，系統(tǒng)會(huì)跳轉(zhuǎn)到這樣的一個(gè)防詐騙頁(yè)面。

嗯你猜的沒錯(cuò)，支付寶和閑魚及時(shí)的亡羊補(bǔ)牢了。。。

其實(shí)現(xiàn)在支付寶和閑魚一直以來(lái)都在聯(lián)手打擊灰黑產(chǎn)，已經(jīng)取得了一定成效。

但這次的漏洞也確實(shí)是很藏的很隱蔽，在代碼層面偷梁換柱，實(shí)在是防不勝防，如今是不怕騙子有文化，就怕騙子懂代碼啊。。。

那么問題來(lái)了，以后再遇到這種類似的騙局，有沒有什么預(yù)防或者規(guī)避的好辦法呢？

有，而且不難。

差評(píng)君覺得這個(gè)騙局中最重要的一點(diǎn)，就是騙子利用了大家忽略官方防詐騙警示的心態(tài)，利用加一系列的話術(shù)來(lái)誘導(dǎo)你加微信，降低你的戒備心，從而伸出魔爪。

在閑魚這樣的個(gè)人二手交易平臺(tái)上，加其他社交軟件進(jìn)行溝通交易，打個(gè)不好聽的比方說，就是在你不知道的情況下，開啟電腦攝像頭和一個(gè)不認(rèn)識(shí)的人進(jìn)行了裸聊。

因?yàn)橹灰_子想騙你，他們發(fā)的鏈接、二維碼里做的手腳，根本就沒人能幫你過濾。

其次盡量選擇同城面交的賣家交易，面對(duì)面交易肯定不會(huì)發(fā)生這種網(wǎng)絡(luò)扯皮的情況，頂多也就是被拐走（bushi。

除了這些，不貪小便宜、敏捷點(diǎn)滿躲著點(diǎn)天上掉下的餡餅、警惕僅自用、全新未拆還便宜的頭獎(jiǎng)彩票，那才能從根本杜絕問題的發(fā)生。

撰文：小杜? ?編輯：jihao & 大餅? ?美編：三狗

圖片、資料來(lái)源：

酷安：@閑魚被騙3800

知乎：@吳連雯

知乎：@szliugx