当国内风险手机号新增环比下降53.6%、非中国大陆猫池卡增长110.55%、日均活跃风险IP下降16.31%、临时邮箱新增增长50倍——黑产资源总量下降并不等同于风险消退，而是正在发生一场深刻的结构性迁移。威胁猎人2026年上半年互联网黑灰产趋势研究报告，基于长期监测数据与真实攻击样本，系统揭示了黑产资源从国内向境外、从传统向隐蔽、从规模化向精细化的三重迁移趋势。

2026年上半年，威胁猎人监测发现新增国内风险手机号总量为351.6万，较2025年下半年环比下降53.6%。从风险类型结构看，国内猎池卡较2025年下半年减少26.7%，国内拦截卡较2025年下半年减少68.35%。拦截卡降幅更为显著，对整体新增风险手机号规模下降形成主要拉动。
发卡平台被攻击与主流接码平台阶段性停服共同削弱了国内猫池卡供给能力。多个拦截卡相关群组在1月至3月期间陆续发布“停机”“关服”等公告，部分拦截卡平台、号商和通道在年初主动停服或退出供给。6月下旬群组中又出现“拦截卡商被监管打击”“市面号商、卡量较少”等信息，反映拦截卡市场仍处于供给不稳定、可信货源减少的状态。
新增猫池卡归属最多的三个省份为重庆、广东、浙江，归属最多的三个城市为重庆、长沙、成都。新增猫池卡中归属国内四大运营商的占81.71%，虚拟运营商占18.29%。拦截卡归属最多的三个省份为四川、河南、山东，归属最多的三个城市为重庆、成都、菏泽。新增拦截卡中归属国内四大运营商占比高达97.89%，虚拟运营商仅占2.11%。

2026年上半年非中国大陆地区猫池卡较2025年下半年增长110.55%。2026年5月，海外某头部接码平台集中上线了一批猫池卡，短期内显著扩大了可用卡源供给，使大量新增号码进入接码流通链路。观察该平台呈现每年规律性批量放卡特征，并非偶发性异常批量放卡，反映非中国大陆地区黑产供给侧较为稳定。
新增猫池卡归属地TOP3为美国、加拿大、沙特阿拉伯。这一趋势表明，在国内监管高压和平台治理持续加强的背景下，黑产正在加速将手机卡资源向境外迁移，以规避国内监管和风控体系。

2026年上半年，威胁猎人监测发现日均活跃风险IP数量达到1165万，较2025年下半年下降16.31%。海外作恶IP数量下降与全球住宅代理网络及海外代理平台基础设施遭到集中打击有关。2026年1月，某头部全球大型住宅代理网络平台关闭了数十个用于控制设备和代理流量的域名，部分代理节点失效，代理服务可用性下降。
国内作恶IP有4631万个，环比下降5.3%。活跃的作恶IP归属省份TOP3为广东、浙江、河南。“劫持共用代理”IP攻击占总量83.91%。这类IP大部分时间是正常用户使用，少量时间被黑产劫持共用，平台可能认定该用户为正常用户，忽视其短暂作恶行为，给黑产可乘之机。
静态代理IP月度去重覆盖规模整体保持在40万以上，2026年5月提升至52.5万，较2025年11月增长约26.6%。静态代理IP识别能力的增强，可辅助客户识别虚假注册、刷单、薅羊毛、批量登录等风险行为，提升业务风控拦截的准确性与前置识别能力。
国外作恶IP974万个，环比下降16.1%。归属国家TOP3为美国、巴西、印度。不同国家的作恶IP类型分布存在差异，各国黑产的技术路径和基础设施偏好各有不同。

2026年上半年，用于洗钱的对公账户新增数量较2025年下半年下降70.81%，相关洗钱团伙数量同步减少21.29%。主要原因是黑产资金通道连续受挫——2025年5月“好旺”、2026年1月“土豆担保”先后被连续打击，黑产资金流转渠道被反复切断；同时担保体系频繁出问题，黑产内部信任下降，协作受阻，进一步压缩了洗钱活动空间。
洗钱对公账户出现从农村信用社向六大国有银行转移的趋势——农村信用社占比由17.55%下降至6.78%，六大国有银行占比由11.66%上升至20.34%。归属省份TOP3为广东、江苏、浙江，归属城市TOP3为深圳、上海、成都，归属行业TOP3为批发业、商务服务业、零售业。
黑产用于洗钱的商户数量环比下降48.23%，归属省份TOP3为广东、广西、湖北，归属城市TOP3为广州、武汉、深圳，归属行业TOP3为零售业、批发业、餐饮业。

2026年上半年新增监测到3.5万笔受害人涉诈交易。手机银行转账占全部涉诈交易的72.46%，是黑产引导受害人完成资金转出的主要渠道。涉诈交易中，受害人资金转出银行中六大国有银行占比达69.97%；黑产洗钱收款银行中六大国有银行占比达59.43%。涉诈资金流转链路中的收付款双方银行均呈现较高集中度。
涉诈交易峰值集中在14:00-16:00，其中15:00最高（1488笔），14:00（1440笔）和16:00（1446笔）次之，形成连续高位区间。整体分布与国内人员作息时间基本一致。涉诈转账金额集中于千元整数档，1000元和5000元最明显，表明黑产在引导受害人转账时倾向于围绕特定金额区间操作，部分金额档位已成为涉诈资金转移中的常见额度。

2026年上半年新增临时邮箱域名15.92万个，占新增邮箱域名总量的66.09%，较2025年下半年增长约50倍。增长主要来源于全球400+主流临时邮箱服务站点，显著提升了临时邮箱识别能力。临时邮箱因其注册门槛低、匿名性强、生命周期短等特点，成为黑产批量注册账号、规避身份验证的重要工具。临时邮箱识别能力的提升，有助于企业风控体系更精准地识别恶意注册和批量作恶行为。