如何查出谁在薅羊毛？

活动最怕遇上羊毛党，一旦被羊毛党盯上，轻则遭受经济损失，重则商家、店铺破产。那么为了避免遭受损失，我们又该如何避免被“薅羊毛”呢？本文将向大家分享了一份“方法论+案例”，帮助大家找出羊毛党。

大到头部平台（如去年的拼多多和京东），小到电商平台里的个体户，为了引流，提高转化率，许多平台会选择通过一些优惠福利吸引用户，然而，羊毛党的存在，却让企业和商家面临着巨大的威胁。

投入上百万甚至上千万的活动资金，结果却被羊毛党迅速薅光，比如去年的京东和拼多多，拼多多被羊毛党薅取优惠券，后来因为被薅取的优惠券和正常优惠券的总和突破了平台预设阈值，系统监控到异常并自动报警后被发现才修复了漏洞。

羊毛党表面上看像是贪图小利，但是其实羊毛圈已经发展出一套专业的作战模式。

本文将通过一个方法论和一个案例来解析如何查出究竟谁在薅羊毛。

一、如何找到羊毛党？1. 找到1：找到一个具有明显特征的一个人或者一个设备

发现数据异常：异常的增高且无理由流量 ，这种肯定是有问题的。

工作人员观察：无论是产品还是运营，相信大家平时都会观察自己产品的数据。

人工举报：比如内容型的或者社交类型的产品，会有来自其他用户的举报。

2. 找到模式：分析找到的这个1的运作模式或者是所具备到特征

（1）明确其目的

刷量：

比如说刷渠道量，播放量、阅读量这些关键指标，这种行为呢，他有一些特征：比如说他刷播放量，那就一直看视频，很难产生一些其他的特征。

薅羊毛：

比如我们平台有些返现的红包，补贴，他的特征是有大量的新用户，来到我们的平台不干什么其他事儿，直接进到套现的流程，没有任何后续的行为路径。

spam：

垃圾广告，我们的产品里面有哪些地方是可以发表内容出来给别人看的。在这个关键的地方去看用户的调用频次或者是发表内容的重复度，可以快速的找到一个他们做坏事儿的基本模式是什么样的。

（2）观察其特征

机刷：

比如说，有些是机刷，机刷不同于真人，就是模拟器或者是真机，但是是机器在操作这些真机。

像这种的有很多特征可以被暴露出来，比如设备信息、所处的地理位置、手机传感器的数据（比如：摆在机架上的手机如果没有去做模拟的话，手机是不会动的）。

另外也可以通过我们自己产品接口的调用次数去判断，比如说，一个正常的用户进来，先访问的是首页的接口，然后再去看一个宝贝的详情页，最后加入购物车，但是如果是机器的话，它可能是写好的一套程序——从哪进来、几秒钟后干什么——基本都是这种复制粘贴的操作

人肉刷：

如果你平台的羊毛比较多，在利益的驱使下，他们会在全国各地的群里去发动这样的任务，人肉刷找出他们比较难，但是还是有一些特征的。

我们可以用前面讲到的行为序列分析法去观察——

人肉刷的话这些羊毛党还是特忙的，他们不会在一个平台上停留太多时间，他们在发布任务时，比如说：第一步首页，第二步某商品详情页，第三步直接购买，第四步购买成功。

这种行为序列是高度一致的，所以，我们可以通过前面讲过的行为序列分析法去观察。

（3）观察不同维度的特征

多：

有些东西明显变多，比如说做直播的时候 ，有些用户会去薅新用户的羊毛——像一些平台，注册的新用户会有奖励红包，一般我们会限制红包的使用途径，比方说，如果是直播类的产品只能去买东西或者打赏主播，不能直接提现。

但有一种情况，羊毛党让自己的一个同伙去直播，其他的同伙去打赏，把所有的新用户的红包打赏给这个同伙主播，然后再变现。

但这一点还是可以发现的——一个新主播突然多了成千上万个新用户关注、打赏，而且都是用红包打赏的，这种行为明显是异常的。

少：

比如有些人他就是来薅羊毛的， 薅了就跑，但他们都是通过某一个特定的渠道，或某一些特定的属性的，比如我们会发现这个渠道或这个属性的用户，留存特别的低，或者是说一些非核心业务他们从来不访问，有时候我们找到一个可疑群体之后，拿不准的时候，这也是一个很好的方法。

比如说像帮助页面，正常情况下不怎么会用到它，但是从概率上来说，我们划分一个群体总有一些人会使用到。

但是如果我们找到了一个群体，他们只使用核心业务流程，所有的非核心业务（比如帮助页面）他们都不使用，这个时候多半是验证了我们的猜想，这是一个有问题的群体。

3. 找到N：通过这个模式和特征，找到更多用户

研发童鞋爬取并人工审核：让研发的同事根据前面我们发现的规则去匹配出来，然后人工进行最终的审核。

4. 一网打尽：把这些用户提取出来

封：

封禁账号或封禁这个账号的权限（不让他提现，不让买东西，不让其发表内容），或者是发出来的内容屏蔽掉。

或者是定向屏蔽，定向屏蔽他看不出来他被屏蔽了（这样不会把他逼急了去看其他的事情，这是一个比较有智慧的手段）。

这里说一个小故事：

年三十那天晚上，我发了一个有关新冠肺炎的朋友圈，就被微信官方定向屏蔽了，我自己能看到这条朋友圈，用家人的手机看不到，哈哈…不得不说这是一个非常智慧的手段。

提高关键成本：

把刷的成本变高，比如：

事前：注册7日后方可发帖。

事中：减少存在bug的商品的库存。

后期：已经薅了，所有的利益都有一个出口，我们可以提高提现的审核力度和周期，也提高他的成本 。

不做处理：

有些时候有一些垃圾量可以做处理，但是为了做这个处理，而投入的成本还比不上把他们端掉之后带来的好处，可以不做处理。

二、案例解析：如何查出谁在薅羊毛？

还记得以前摩拜和ofo的红包大战吗？

为了获取更多的用户，ofo也是想尽办法——在ofo小黄车的客户端，显示车辆的分布地图上也出现了大量的红包图标，还附带“红包策略”——只要用户在指定区域解锁汽车，就能随机获得现金红包。

要求很简单，只要满足“骑行10分钟，距离达到500米以上”即可，而且随时提现。如果将车放入指定位置，那么红包的面值将会极大提高。

而这一次单车“江湖”掀起的“腥风血雨”，又给了不少“羊毛党”一次有机可乘的机会，因ofo自身存在的平台漏洞，最终导致连日亏损上千万。

下面我们通过上面的方法论，来查出谁在薅羊毛：

1. 找到1

点击分布分析，时间选择2018年10月10日到10月31日，选择任意事件的次数，查看用户一天内进行任意事件的次数，选择一天内进行任意事件50次以上的数据，点击查看用户列表。

任意选择一个用户，查看其行为序列，发现此用户在5分钟内共解锁和锁定活动单车14次，而且每次解锁和锁定活动单车的间隔时间没有超过1分钟。

根据活动，骑出地铁站500米范围后，锁定活动车辆才算完成任务，但是1分钟内从解锁单车到骑行500米再锁定单车根本不现产，但是此用户做到了，还领了红包，所以，通过以上可以分析出此户为异常用户。

2. 找到模式

展开行业序列可以看出，用户从解锁单车到锁定单车只用了15秒，而经纬度却发生了很大的变化 。

由下面4张图可以看出，不但用户的id还相似，并且解锁和锁定活动单车的时间和次数也基本一样，所以，可以还判断此类用户是用了模拟器，同时登录很多账号刷红包奖励的。

3. 找到N

通过分布分析，查看一天内进行解锁活动单车次数为50次以上的用户，查看用户列表，发现用户distinct_id都是309开头的6位数，随机抽取几个用户发现他们每次解锁和锁定活动单车的间隔时间没有超过1分钟，且发现这些用户在5分钟内共解锁和锁定活动单车在14次左右，所以，判断其是“团伙作战”。

再抽查一天内解锁活动单车次数为20-30次的用户，发现除了309开头的6位数distinct_id的用户，还有部分4开头的istinct_id为6位数的用户，查看用户详情发现此类用户的作弊手段与309开头的用户不一样。

309开头的用户作弊地铁站基本都在一个地铁站，而此类用户作弊地铁站跨度很大，如下图，通过高德地图查出，鼓楼大街地铁站距宣武门地铁站间距7站，乘坐地铁需要19分钟（图三），骑行 需要36分钟（图二）而此用户在这两站解锁单车的时间只相隔10分钟。

4. 一网打尽

筛选出至少符合下面任意一个条件的用户：

在5分钟内完成两次及以上骑行任务且领到红包的用户，一个id同时解锁两个单车的用户，10分钟内完成两次骑行任务领领到红包的用户且两次骑行任务是在不同的地铁站完成。

首先创建漏斗分析，漏斗步骤为：

漏斗窗口期为5分钟，筛选出符合这个条件的用户，并导出。

由下图可知，满足此条件的用户的匿名id都是极度相似，有745个，id从309245至310000.因此，可以判断出这批用户为羊毛党。

由以上分析可知，对于团队用户，基本都是一个人对应多部手机以及几十个账号，账号极度相似，所以可以判定此类id并非我平台真正的用户，所以封号即可，封号的范围为id从309245至310000，共745个id。

三、如何应对羊毛党1. 预防羊毛党设置利益获取上限：比如像上面的某单车的红包活动，需要考虑到一个正常的用户最多能够完成的量，并设置上限。提高参与门槛：像上面的红包车活动，设置活动门槛，比如注册时间满7天才能参与此次活动，而不是所有用户都能参与。设置防范风险提示：制定规则，比如在活动期间如果有人恶意刷单违规操作，平台有权取消其参与的资格或者相应的奖励。避免直接利益：一般情况下，红包可直接提现，是羊毛党的最爱，可以用购物优惠券或者会员卡抵用券的形式，这种情况下，羊包党的即得利益就会少一些，兴趣也会小很多。加强风控机制：活动时，首先要考虑到如果有羊毛党的大批量涌入服务器的承载力，为服务器扩容。其次，加强黑客防范技术，避免平台有漏洞被黑客攻击。2. 发现羊毛党跟踪数据：关注数据是每一个产品汪或者运营喵的日常工作，特别是在活动期间，我们要密切的跟踪数据，这样能第一时间发现数据异常。关注网络舆论：在平台的活动规则被羊毛党关注时，通常在网络上会有一些相关的消息，比如百度上、薅羊毛群里。