拼多多「血腥一夜」 重大漏洞「羊毛黨」牟利

加拿大都市网

SOURCE都市报

▲有網友表示,凌晨3點多被喊醒,去拼多多「薅羊毛」,只需支付4毛錢,就可以充值100元話費。
網上圖片

中國知名電商平台拼多多網絡APP於1月20日凌晨爆出重大漏洞,用戶可無條件領取100元人民幣(下同)優惠券,吸引用戶大撿便宜。拼多多發現後緊急關閉漏洞並即刻向警方報案,稱是遭黑客入侵所致。網絡上盛傳拼多多一夜損失200億元人民幣,但拼多多澄清僅約千萬元。

東方航空突然出現大量0.4折機票

2018年11月17日,東方航空官方APP、網站突然出現大量0.4折機票,當日午間,東航即發表回應,稱此次「白菜價」機票於系統維護時售出,所有支付成功並已出票的機票均為有效。

小米原價599元的商品只需要0.01元
  

2018年4月,小米旗下的米家有品商城也曾出現過價格Bug:原價599元的商品只需要0.01元就可購買。但因為所購商品都是實體物品,平台發現Bug時商品也還未寄出,最終,米家有品提供的解決方案是取消訂單並贈送用戶優惠券。

騰訊18元視頻會員0.2元就能買
  

2017年末尾,騰訊視頻出現重大Bug,原9折優惠的18元一個月視頻會員,0.2元就能買。騰訊視頻緊急關停續費通道,宣布全額退款並回收該活動開通的會員天數,為表歉意還贈送了額外3天VIP時長。

拼多多重大網絡漏洞

拼多多1月20日凌晨被爆料出現重大網絡漏洞,用戶可領100元無門檻優惠券。網友表示,有大批用戶開始「薅羊毛」,一個晚上200多億都被拿來充值電話費。

拼多多方面稱,「有黑灰產集團通過一個過期的優惠券漏洞盜取數千萬元平台優惠券,進行不正當牟利。」拼多多相關新聞發言人則表示:「沒想到在系統沒有任何資料安全漏洞的情況下,灰黑產還能利用規則漏洞薅走總價值數千萬元的優惠券。」據《證券日報》報道,拼多多稱,平台已在第一時間修復漏洞並報警,公安機關已經介入調查。

有用戶被強制退款

據網絡上流傳的真真假假的截圖中顯示,有用戶稱熬夜藉助漏洞充值了幾萬元話費,更有消息稱拼多多一夜之間被薅走200億元。

但這一資料隨後被拼多多方面證偽,拼多多新聞發言人表示:「真的沒有200億元,深更半夜的,全國人民全部起來每人薅十塊錢,大家覺得可能么?」該人士表示:「羊毛黨剛散,亡羊補牢中,已向警方報案,最終還能追回不少,實際資損大概率低於千萬元。」

拼多多直到20日上午9點才將相關優惠券全部下架,並私信向大量領券並兌換使用的用戶表示,這種行為已經違背服務協定,希望如數歸還,否則將在14個工作日內,提起訴訟。對於平台是否會追回損失的問題,拼多多回應稱,目前平台正對涉事訂單進行溯源追蹤,並將根據警方調查結果對相關訂單做出最終處理。

一些用戶20日晚稱,自己用優惠券購買的商品被拼多多「強制退款」。許多網友表示,目前帳戶內的100元無門檻券已被拼多多官方回收。網友紛紛跑到拼多多官方微博抗議,有表示「欺騙消費者」「315見」的,但也有表示「本來就夠慘了,還要別人倒閉不成」。

律師稱或涉不正當得利

所謂的「羊毛黨」,是指那些專門選擇網絡的行銷活動、以低成本,甚至零成本換取高額獎勵、收益的人。 「羊毛黨」的獲利行為,一般被人稱為「薅(意同拔)羊毛」。

上海創遠律師事務所高級合伙人許峰介紹,如何定義此次拼多多用戶「薅羊毛」的行為,還要看拼多多方面的用戶協議是如何約定的。律師解釋,如果是平台合理的讓利,那麼用戶「薅羊毛」是合情合理的。至於通過「薅羊毛」手段獲利上萬元甚至十幾萬元,「那麼用戶也不會認為是正常讓利,可能屬於不正當得利。」拼多多協定的用戶守則明確將「使用拼多多平台外掛和/或利用拼多多平台當中的BUG來獲得不正當的利益」列為禁止行為。

在上海社科院互聯網研究中心首席研究員李易看來,用戶「薅羊毛」對於拼多多而言或許並非是壞事,「羊毛黨口口相傳能夠有效進一步傳播拼多多的品牌,薅羊毛的說辭也符合拼多多的品牌定位。」

網民狂歡 
呼朋引伴 半夜搶券

拼多多出現超級大漏洞,部分職業「羊毛黨」發現這點後,開始呼朋引伴,叫上身邊的朋友,一起去重複領取。有網友表示,凌晨3點多被「喊醒」,一起去拼多多搶優惠券,「只需支付4毛錢,就可以充值100元電話費」。有網友一個晚上,充值話費百餘次,每次為100元,花費0.4元。也有網友利用這項漏洞,給自己儲備十幾年的電話費。

以用戶聯合薅商家羊毛模式起家的拼多多,這次成了被薅羊毛的目標。據澎湃新聞報道,僅僅半天時間,這一漏洞就經過層層轉發,很多「吃瓜民眾」在睡夢中醒來也獲得了鏈接,免費或者以幾毛錢領到100元話費充值優惠券,並成功充值。

根據網友曬出的截圖,此次拼多多的100元無門檻券為「全場通用(特殊商品除外)」,有效期為一年。有網友稱,這一優惠券可以「重複領取」,並且充值了上萬話費。得知消息後,很多人也準備趕緊「薅羊毛」,但他們來晚一步,10點之後領取優惠券的方式失效了。

家住上海的王先生20日說,上午10點不到,他收到別人轉發給他的二維碼,通過該二維碼可以直接進入拼多多的優惠券頁面,直接領100元無門檻券。隨後他只付了4毛錢,成功充值了100元話費。

家住河北的雷先生也領到了「福利」,他在上午8時許順利用15元加上優惠券購買的原價115元的某品牌堅果大禮包,還花了4.76元充值了價值108元的108個Q幣(用於騰訊增值服務的虛擬幣)。

不過,在傍晚的時候,雷先生堅果大禮包的訂單被拼多多強制申請退款。最終,沒有等到堅果大禮包,只收到15元的退款。雷先生聯繫堅果商家方面得到的回饋是:「這是平台處理的,我們沒有許可權。」雷先生之前充的108個Q幣,雖然已經顯示到賬,但在消費時,騰訊顯示「您的帳戶異常」,「我準備花15個Q幣的時候,一個都花不出去,現在帳戶被凍結了。」雷先生認為,「拼多多賺了,坑的是店家和消費者。」

漏洞背後原因 眾說紛紜

拼多多平台現巨大Bug,拼多多官方回復,此次事件是因為黑產利用了規則漏洞盜取了優惠券,而具體原因尚未得知。關於背後原因的傳言也眾說紛紜,這一損失究竟是人為操作失誤造成還是技術漏洞的影響呢?

有零售業技術提供商認為,這次事件的原因可能是程式開發問題,在開發時限制條件寫錯了,或者這個優惠券是測試資料,沒有及時刪除,「系統應該會對無門檻券進行設置,領券的對象會有針對性的限制條件,而不是平台每個帳號都能領,這個限制條件應該是存在漏洞。」

另一位電商平台的技術負責人判斷,現在黑產都是用程式自動監控各網站的優惠券,所以優惠券放出來後立刻就被發現了,「我覺得不能算程式bug,應該是人為操作失誤,同時也暴露了拼多多內部的流程不完善,審核有問題,無門檻券風險極大,很多平台都需要多級審批。一旦觸發相關預警機制,系統會自動給幾十個相關負責人發短訊通知。」

知道創宇反資訊詐騙專家潘少華則表示,過去,雖然其他平台也有出現過類似的bug,但像拼多多這種百元額度的大優惠券漏洞還是很少會發生,因為平台上這類大額優惠券都是需要層層審批的,一方面運營很少會配置這麼大額度的優惠券,另一方面大多數平台也都會有異常預警與差錯處理。介面新聞稱,這次如果拼多多無法向警方證明這次Bug不是平台自己的失誤而是黑產惡意的攻擊,除了那些有組織作案的使用了大量新註冊帳號的黑灰產薅來的羊毛可以通過法院的幫助討回,其他的損失,拼多多或許也只能認了。

share to wechat