50名“小紅書”用戶被騙近88萬 信息是如何泄露的

　　3月14日，直到銀行卡提示被劃走了40087元，26歲的馬琳才意識到自己被騙了。

　　2016年12月28日，在北京工作的馬琳在“小紅書”上購買了洗面奶，“小紅書客服”精確地報出了她在小紅書的消費信息，這是她認為自己被騙的主要原因。

　　“盡管說泄露信息的渠道很多，但是這么大面積的小紅書消費者被騙，只能說明是小紅書造成的信息泄露。”馬琳說，騙子掌握了小紅書后臺用戶幾乎所有信息，包括身份證信息，這些都是在小紅書注冊時必填的，“這說明小紅書后臺已沒有保密性”。

　　而就在3月13日，西北民族大學研一學生李西(化名)接到“小紅書客服”電話，在理賠過程中，李西根據“客服”指示，最終被騙18100元。

　　4月20日，李西的遭遇被本報報道后，截至5月31日，先后有50名受騙者聯(lián)系本報。她們的經歷和遭遇極其相似，都是因為在小紅書上有網購經歷，最后都接到自稱是“小紅書客服”的電話，以購買商品存在質量問題退款為由被騙。據統(tǒng)計，50人受騙總額為879163.58元。

　　讓人不敢想象的是，除了這50名受騙者，可能還有更多人受騙，還有更多人接到或者正在接到詐騙電話。

　　小紅書用戶信息大面積泄露

　　26歲的鄭葉收到了“小紅書客服”發(fā)給她的通知書，通知書很正式，左上角還有一個小紅書的標志。鄭葉信以為真。

　　通知書說：“尊敬的用戶，由于您近期在我們店鋪購買的商品出現質量問題，現需全部退回，請通過我們合作第三方平臺：招聯(lián)好期貸、螞蟻借唄、來分期，掃二維碼進行接收賠付款，我們客服人員會及時跟您聯(lián)系，給您造成不便深表歉意，感謝您的支持和信賴。”

　　通知書還稱：“重要通知：因為退還款是第三方合作平臺預先把店鋪金額退還到您的支付寶余額上，您再進行還款，如果您收到款項不配合還款，導致還款通道關閉，您個人賬戶逾期，跟您的個人征信是關聯(lián)的，您到時將被索賠雙倍賠償款，并支付相應的利息。”

　　據統(tǒng)計，這50名受騙者都是年輕女性，其中有22名大學生。受騙者年齡在19歲到31歲之間，平均年齡是23歲。她們在小紅書上購買的產品基本上都是化妝品。

　　受騙時間分布在3月、4月、5月這3個月，其中3月受騙16人，4月受騙23人，5月受騙11人。受騙人數最多的是3月27日，有6人;4月17日有3人受騙;4月19日有4人受騙;就在4月20日本報刊發(fā)報道當天，還有4人被騙。

　　50名受騙者受騙總金額為879163.58元，受騙1萬元以下的有25人，受騙1萬~2萬元的有11人，受騙2萬~3萬元的有4人，受騙3萬~4萬元的有3人，受騙4萬~5萬元的有4人，5萬元以上的有3人。最多的一人被騙9.13萬元。

　　從購買時間來看，2016年12月和2017年1月各有1人被騙，有13人購買時間是在2月，有23人購買時間在3月，有8人購買時間在4月，有4人購買時間是在5月。

　　今年5月18日，26歲的網友“木易”在小紅書購買了沐浴乳和潤膚露。6天后，她接到“小紅書客服”電話，最后被騙4.3萬元。中國青年報·中青在線記者發(fā)現，從在小紅書購買商品日期，到被騙日期的間隔時間來統(tǒng)計，最短的只有6天，多數時間間隔是一個月左右。

　　根據收貨郵件地址，受騙者遍布全國14省份。其中廣東有9人被騙，江蘇有7人被騙，浙江有6人被騙，北京有5人受騙，武漢有3人受騙，沈陽、重慶、成都、合肥各有兩人受騙。

　　馬琳說，受騙者數量龐大。從最早的3月到現在，人數每天都在上升，這是源頭出了問題，而不是小紅書官方指出“用戶自己的快遞單亂扔”等原因那么簡單。受騙者遍布全國各地，收貨地址不同，基本排除了消費者泄露信息的可能性。

　　被利用的弱點

　　26歲的鄭葉在接電話時，發(fā)現對方可能是騙子，掛斷電話。沒想到，她還收到了“客服”的“威脅短信”：“女士，那我們就取消您的訂單了，月底您就自行承單(短信原文——記者注)這個3萬元的賠償以及起訴信!”

　　螞蟻金服安全管理部相關人士介紹，事實上，冒充客服進行詐騙，如何給消費者“下套”，這些都是話術，專門針對消費者不同時期的心理，還會有專門的機構培訓做話術。臺灣專門有人賣話術，一套7萬多元。

　　一位業(yè)內人士分析，這種詐騙之所以能夠頻頻順利得手，第一步就是受騙者的交易清單。“這些交易清單能夠清楚地顯示受騙者購物的時間和購買的物品，騙子一旦能夠準確說出這些內容，受騙者一般很難會懷疑小紅書客服的身份。”

　　中國青年報·中青在線記者發(fā)現，此次50名受騙者受騙一共涉及21個網絡理財平臺，每個人受騙可能會涉及多個平臺，這些平臺琳瑯滿目。

　　據統(tǒng)計，通過“來分期”有20人受騙，通過“招聯(lián)好期貸”有15人受騙，通過“螞蟻借唄”有14人受騙，有8人通過“支付寶轉賬”被騙，有10人通過“安逸花”被騙，通過“馬上金融”有6人受騙，“微信轉賬”和“親密付”各有4人受騙，“華夏基金”有3人受騙，微信財付通有兩人受騙，另外網商銀行、中銀快付、徽商銀行的徽常有財理財平臺、趣店、現金巴士、微信微粒貸、翼支付、甜橙理財、富國基金、沃百富各有1人受騙。

　　“這種騙貸手段是網絡購物詐騙最新類型。”螞蟻金服的一位工作人員介紹，“騙子主要利用老百姓(47.460, -0.25, -0.52%)對網購退款流程以及一些新的網絡消費金融平臺不熟悉的弱點。同時，還利用受騙者對芝麻信用分數似懂非懂，以提高信用分才能退款為名，一步步引誘受騙者上當。”

　　騙子口中的“招聯(lián)好期貸”“螞蟻借唄”“來分期”都是互聯(lián)網金融借貸平臺，均可通過支付寶進行個人消費借貸，無需擔保、抵押。“即便受騙者自己沒有錢，騙子也可以誘騙受騙者在這些平臺上借貸進行詐騙。”

　　事實上，這些受騙者大多是信用記錄良好(信用不好的人借不到錢)，有穩(wěn)定收入或家庭條件不錯的年輕女性用戶，有多年網購經歷，金融機構對她們的個人授信實際上是對其信用的肯定。

　　有法律人士認為，此種詐騙手段已從騙取個人錢財升級為詐騙金融機構，其中，好期貸的錢源自招商銀行(21.170, -0.13, -0.61%)，螞蟻借唄的錢來自網商銀行，均屬于金融機構。此種詐騙屬于以非法占有為目的，詐騙銀行或者其他金融機構的貸款且數額較大，屬于金融犯罪的一種。

　　小紅書稱未發(fā)現近期有批量賬號敏感數據泄露現象

　　今年3月29日，27歲的李女士在小紅書購買了防曬霜，4月17日接到“小紅書客服”電話。

　　“客服”在支付寶上直接把她的訂單號發(fā)給她，里面有她在蘇州的詳細收貨地址、購買商品信息，甚至包含著她的小紅書登錄賬號和密碼。

　　對“客服”的身份確認無疑后，李女士被騙3.8萬元。“除了我自己，誰會掌握我的賬號和密碼?”李女士至今疑惑不解。

　　4月21日，小紅書通過一家媒體回應稱，公司了解情況后第一時間進行了內部驗證與技術排查，并未發(fā)現近期有批量賬號敏感數據泄露現象。

　　據介紹，小紅書已經制訂了一系列風險規(guī)則、安全驗證方式和登錄限制，以防范用戶敏感信息在其他渠道泄露導致的相應風險。未來，小紅書還將采取一些特別的措施，防止詐騙團伙冒充公司客服。

　　值得一提的是，在50名受騙者中，還有16人是在小紅書采取“特別措施”之后被騙。

　　這家媒體還報道稱，受理此案件的黃浦公安表示，該案件目前正在進一步偵查中。在網購的過程中，所有接觸到用戶信息的環(huán)節(jié)，從手機軟件、網站、快遞物流到顧客本身，都存在信息泄露的可能性。因此，警方建議消費者在網購時要多提高安全意識，如為不同的網站設置不同的密碼、不以常用密碼作為支付密碼、及時銷毀快遞單據等。

　　游俠安全網創(chuàng)始人張百川分析說，小紅書稱沒有發(fā)現“批量賬號敏感數據泄露現象”。這就意味著排除了“掃號撞庫”的可能性。

　　“撞庫”和“掃號”都是黑客手段專用術語。跟它相關的，還有“拖庫”。簡單來說，拖庫就是黑客用技術手段入侵一些安全防范不是很高的中小網站，取得大量用戶注冊名和密碼數據，然后再把這些用戶名及密碼跟網絡銀行、支付寶、淘寶等有價值的網站進行匹配登錄，這就是“撞庫”。實際操作中，黑客往往是通過專門的“掃號”軟件，批量驗證賬號密碼是否有價值。

　　張百川認為，信息外露的途徑有很多，只要是牽扯到輸入的地方，都有可能產生輸出。眾多消費者集體信息泄露，隨后遭遇詐騙，發(fā)生時間集中，基本排除數據傳輸和消費者自身信息泄露的可能。“如果是網購平臺大批量出現問題，第一有可能是他們的系統(tǒng)有漏洞，遭到黑客攻擊，竊取了用戶信息;第二也有可能是內部人員非法兜售用戶的個人信息。”

　　“每一個環(huán)節(jié)都有一大幫人做這件事情，是產業(yè)化的方式。”螞蟻金服安全管理部相關負責人稱，這些案子背后的黑色產業(yè)鏈非常復雜，可以從網上買到相關信息，然后會有專用的作案工具，包括手機、電腦、上網卡、銀行卡，等等，專門有一個卡商回收涉案的卡券，通過發(fā)送二維碼的形式銷贓，最后通過其他平臺把這些騙取的資金消掉。

　　誰該為消息泄露負責

　　李西的遭遇被報道后，也引起小紅書的關注。4月21日，上海一家媒體刊發(fā)報道《小紅書愛心款助受騙學生渡難關》。文中提到，小紅書客戶服務部負責人胡先生稱，小紅書客服同事們了解到李西家在農村，家境不好，母親去年因病住院，還有一個妹妹在讀高三，這次受騙給她的家人帶來了不小的經濟壓力。

　　“聽完這位用戶的故事，我們都想幫助她和家人渡過難關。因為騙子是打著小紅書客服的名義詐騙，所以我也向李西道歉并取得了她的諒解。我們客服部的同事們還在內部發(fā)起了一次募捐，總共湊了2.11萬元，在上海市公安部門確認受騙人賬號后，這筆愛心捐款目前已經轉到了李西的銀行卡上。”胡先生說。

　　有律師認為，如果電商平臺提供了保護措施，但還是被黑客入侵，這屬于不可抗力，不用承擔責任。如果因平臺存在漏洞而導致信息泄露，那么平臺就要負責。電商平臺會獲取個人信息，它們有保護個人信息的義務和責任。

　　現實中最尷尬的問題是，信息泄露后，往往很難判斷是哪個環(huán)節(jié)出問題，對責任的界定和處罰不明確，從取證到用戶的維權成本都很高。

　　如今，小紅書把“皮球”推給了警方。

　　小紅書相關部門負責人王先生告訴中國青年報·中青在線記者，相信警方可以調查清楚，找到盜取用戶信息的幕后主使。

　　現實中，這些受騙者的維權并不順利。受騙者孟浩報警時，警方就直接告訴她，這種案子不容易破案，尤其是全國各地發(fā)生，也不容易并案。警察還告訴她，有人被騙幾千萬元都找不回來。

　　一位受騙者給“小紅書客服”打了電話，客服只是例行公事地問了情況，重點強調了他們絕對不會泄露個人隱私，也絕對不會給予任何賠償。

　　“不是只有我一人發(fā)生這種情況，你去微博搜搜，大批量的用戶信息被泄露，這和你們一點關系都沒有?你們是否犯了‘侵害公民個人信息罪’?”受騙者在電話中有點發(fā)火。

　　對方質問：你有證據嗎?這位受騙者無言以對。

　　“的確，我拿不出任何證據，既然無法舉證，也只能任由自己的信息泄露。”這個受騙者說，可她還是迫切想知道，她在小紅書的購物信息、電話、支付寶綁定的銀行卡，到底是怎么泄露出去的?