威胁猎人：2026年上半年互联网黑灰产趋势研究报告（56页）.pdf

核心结论速览： 2026年上半年黑产整体收缩但风险结构性迁移：新增国内风险手机号351.6万，较2025年下半年下降53.6%；日均活跃风险IP下降16.31%；非中国大陆地区猫池卡增长110.55%，黑产供给正加速向境外迁移。 上半年累计捕获业务欺诈风险线报约9亿条：预警风险事件2088起，二季度事件量较一季度增长65.54%。电商以27.44%的占比居首，相关风险线报较2025年下半年增长83%。 黑产作恶已从单点攻击转向多环节产业化运作：品牌"回收—窜货—假货—拉踩"一体化侵权链、世界杯赛事赌博"代发产业化"、快消品牌代下单产业链，攻击链路更加完整、专业且隐蔽。 拦截卡资源断崖式下降68.35%：多个拦截卡平台在2026年1-3月陆续关停，拦截卡市场处于供给不稳定、可信货源减少的状态。 2026年上半年确认有效数据泄露事件23,645起：同比增长6.98%，其中重大风险事件增长22.90%，95.02%的重大风险记录集中于暗网。同期记录钓鱼仿冒与品牌滥用事件45,321起。 信贷黑产呈现分化态势：恶意贷款欺诈舆情增长2%，活跃群组增长17%，但欺诈账户下降3%。职业背债舆情下降31%，但活跃群组增长3%，留存团伙正转向精细化欺诈。H2：黑产攻击资源的结构性变化。传统黑产资源全面收缩。2026年上半年，威胁猎人监测发现新增国内风险手机号351.6万，较2025年下半年环比下降53.6%。其中，国内猫池卡减少26.7%，国内拦截卡减少68.35%。拦截卡的断崖式下降是整体规模下滑的主要拉动因素。拦截卡供给断崖式下跌的原因。拦截卡新增规模大幅下降的核心原因之一是拦截卡供给侧在年初出现明显收缩。2026年1月至3月，多个拦截卡相关群组陆续发布"停机""关服"等公告，部分拦截卡平台、号商和通道主动停服或退出供给。6月下旬群组中出现"拦截卡商被监管打击""市面号商、卡量较少"等信息，反映拦截卡市场仍处于供给不稳定、可信货源减少的状态。风险IP同步收缩。2026年上半年日均活跃风险IP达1165万，较2025年下半年下降16.31%。下降主要与2026年1月某头部全球大型住宅代理网络平台关闭数十个控制设备和代理流量的域名有关，导致黑灰产可调用的代理资源受到压缩。境外资源逆势增长。与此同时，非中国大陆地区猫池卡较2025年下半年增长110.55%。2026年5月，海外某头部接码平台集中上线了一批猫池卡，使大量新增号码进入接码流通链路。该平台呈现每年规律性批量放卡特征，反映非中国大陆地区黑产供给侧较为稳定。网络洗钱资源同步压缩。2026年上半年，洗钱对公账户新增环比下降70.81%，相关洗钱团伙减少21.29%；洗钱商户数量环比下降48.23%。主要原因是黑产资金通道连续受挫——2025年5月"好旺"、2026年1月"土豆担保"先后被打击，黑产内部信任下降，协作受阻。H2：业务欺诈——电商成为最集中的攻击战场。攻击规模与频率双升。2026年上半年，威胁猎人反欺诈情报平台累计捕获业务欺诈风险线报约9亿条。峰值出现在6月（约2.43亿条），占上半年超四分之一。上半年共预警业务欺诈风险事件2088起，二季度1302起，较一季度增长约65.54%。黑产活动量本质上跟随平台营销预算的投放节奏——补贴集中投放的大促节点，就是黑产集中收割的节点。行业分布：电商居首。黑产攻击行业分布集中于高频交易、高补贴、高流量的互联网业务场景： 电商占比27.44%居首，相关风险线报较2025年下半年增长83%。 金融板块（银行14.16% + 支付11.10%）合计25.26%。 本地生活（13.46%）与出行旅游（14.26%）分列其后。 四大板块合计占比80.24%。黑产组织动员能力增强。上半年月均捕获黑产作恶群组及论坛约8万个，6月骤增至约13.8万个，接近此前月份的两倍。群组是黑产的组织动员单元，大促前黑产进行了有组织的临时扩编。月均捕获活跃作恶账号约115万个，6月峰值约135万个。账号是黑产的作案耗材，对比5月，其增幅远小于同期黑产群组的扩张速度——印证了"平时养号、大促集中变现"的黑产模式。H2：品牌"回收—窜货—假货—拉踩"一体化侵权链。2026年上半年，针对母婴保健、服饰等高客单价、强渠道管控品类的品牌侵权，已不再局限于零散的假货或窜货，而是逐步形成"正品回收—低价窜货—假货混售—竞品拉踩"的一体化链路。四段协同的完整产业链。上游——回收正品：黑产长期在社交平台和二手交易平台发布"高价回收"信息，在多地设置收货点和集散仓。以某一品牌为例，威胁猎人发现收货人与地址与3月发现的黑产信息高度重合，说明相关团伙持续运营稳定的回收网络。中游——低价窜货：回收商品主要通过抖音直播间、综合电商平台新开店铺及社交电商"工作室"等非授权渠道销售。部分商家通过商品贴码、同一主体注册多家店铺等方式规避品牌核查。下游——假货混售与仿冒：部分非授权渠道存在正品与假货、高仿品混售的风险，消费者评价中出现"产品质量与官方自营不同""使用后出现不适"等真伪质疑。同时部分第三方商家通过模仿产品名称、包装和视觉设计搭蹭品牌知名度与流量。内容拉踩引流：部分账号以产品测评、竞品对比等形式持续发布贬低该品牌的内容，引导消费者转向其他品牌或非授权商品，具有明显的组织化营销特征。黄牛套利作为辅助手段：黑产通过领取直播间红包、叠加平台优惠券和黄牛代下等方式进行套利，进一步扩大低价商品的流通规模，部分订单甚至实现"0元购"。H2：世界杯黑产专题——赌博引流的"代发产业化"。2026年世界杯催生了体育赛事相关黑产爆发，其核心是赌博引流的"代发产业化"。上半年相关事件达130+起，呈现极强的赛事时效性——随世界杯临近月度陡增。完整的产业链结构。组织层：黑产通过群聊/众包渠道发布代发任务，将赌博引流需求拆解为标准化任务包（含素材、入口要求、账号要求、发布位置、截图回传及验收规则）。代发层：通过真人号、小号、他人号承接代发任务，形成发布号、评论号、链接号等角色分工。真人账号具备更强的自然活跃特征，可降低被识别和封禁的风险。投放层：代发内容分散投放至作品/直播、评论区、主页资料及平台功能入口，以世界杯预测、足球话题作为内容外壳。对抗层：通过"赛事热点伪装+多模态藏链+话术/域名变体"规避识别——将跳转线索隐藏在图片、视频闪现或主页资料中，配合谐音、短链等方式降低关键词命中。作案手法示例：6月9日，黑产组织真人账号在世界杯相关视频评论区进行"双号配合"——A账号先发布"我先买了，西班牙冠军3k"等带有投注暗示的评论，B账号随后追问"哪里买的"，A账号再将域名拆分为两段分别回复，规避平台对完整域名的检测。H2：快消品牌代下单产业链。快餐、咖啡、新茶饮等品牌的数字化增长依赖新人赠礼、储值返利、会员折扣等营销活动。黑产批量获取并运营带有储值余额和优惠券的账号，再以低于官方原价的价格向消费者出售套餐，将品牌营销补贴转化为自身收益。四层生态结构。 上游供应商：提供账号注册、接码、OAuth授权代理和动态代理IP等基础资源。 核心平台：批量管理会员账号、同步账户余额和权益、模拟品牌点餐系统下单、生成兑换码。 代理分销商：通过平台后台生成套餐兑换码，借助微信群、电商店铺向消费者销售。 终端消费者：通过平台自建H5页面输入兑换码、选择门店并完成下单，多数消费者不知道订单由黑产账号代提交。技术链路：黑产逆向分析点餐小程序→获取接口地址→模拟客户端发起订单→自动化脚本轮询支付→配合动态代理IP切换网络出口。三重危害：直接财务失血（营销预算被系统化套现）、幽灵会员污染数据资产（新客数量、活跃用户等关键指标失真）、价格体系与品牌声誉冲击。延伸阅读。以上为报告核心趋势分析，如需获取完整报告详细数据及全部案例，请访问下载页下载完整PDF报告。FAQ。Q1：2026年上半年黑产总体趋势是什么？A：传统黑产资源整体收缩——新增国内风险手机号下降53.6%、日均活跃风险IP下降16.31%、洗钱对公账户下降70.81%。但风险并未消退，非中国大陆地区猫池卡增长110.55%，黑产正加速向境外资源和更隐蔽的代理方式迁移。Q2：电商为什么是黑产最集中的攻击场景？A：电商以27.44%的占比居首，大促补贴、营销权益、高频订单构成黑产套利的三条主要现金流入口。相关风险线报较2025年下半年增长83%。补贴和流量在哪里，黑产就在哪里。Q3：什么是"品牌回收—窜货—假货—拉踩"一体化链？A：这是针对母婴保健、服饰等高客单价品类的系统性品牌侵权模式：黑产上游回收正品→中游通过非授权渠道低价窜货→下游假货混售与仿冒包装→辅以内容拉踩引流和黄牛套利，同时冲击品牌价格体系、产品口碑和知识产权。Q4：世界杯期间黑产有哪些新手法？A：核心是赌博引流的"代发产业化"——黑产通过群聊招募真人账号代发赌博内容，采用"双簧+域名拆分"手法：A号发投注暗示评论，B号追问，A号将域名拆成两段回复以规避检测。上半年相关事件130+起。Q5：信贷黑产呈现什么趋势？A：信贷黑产规模分化——高压治理正在淘汰低端参与者，但核心团伙仍在升级。职业背债舆情下降31%，但活跃群组增长3%，留存团伙正转向真实补缴、长期数据养护及技术与关系相结合的精细化欺诈。数据来源说明。本分析基于威胁猎人（ThreatHunter）《2026年上半年互联网黑灰产趋势研究报告》。数据覆盖2026年1月至6月，基于威胁猎人长期监测的黑产资源数据、风险情报及真实攻击样本。