【阅读对象】：普通的购物网民、游戏电商类网站技术人员、第三方支付平台。
【历史】：一直以来，网上钓鱼诈骗活动日益猖獗，很多游戏电商类网站都中招了，很多网民都被骗过。
【焦点】：被利用最多的就是游戏娱乐类网站，这些网站经营虚拟商品服务，骗子骗到钱后能够瞬间脱手。实物类网站较少被利用。这些经营游戏娱乐、点卡充值类网站，我们统称为网站a。
【网民感受】：往往不明真相，报案无门。损失惨重，自认倒霉。
【骗子行骗原理】：
第一步：骗子在网站a上注册会员。人工或者使用自动程序，在网站a上获取下单，得到订单号;
第二步：骗子把订单支付网址发给被骗者，诱导被骗者支付。被骗者访问支付网址，就会跳转到第三方支付平台，接着进入网上银行支付货款。支付成功后，就等于花钱替骗子买了东西。
第三步：骗子瞬间把买到的东西挥霍一空。
【支付漏洞在哪里?】：网站a没有检测到下单者和支付者不是同一个人，没有及时冻结骗子会员账号。当被骗者四处打听，投诉举报后，网站a要冻结骗子会员账号的时候，骗子已经把买到的东西挥霍一空。
【支付漏洞解决方案原理】：笔者多方搜集整理资料，总结一些网站的教训经验，分析出骗子行骗原理，总结出网站a可以使用ip比较法彻底封堵支付漏洞。
【一些网站不成熟的检测钓鱼订单方法】：
1、限制每个会员每天订单数量法。限制每天每个会员只能提交n个单子。超过这个数量就不能再下单。存在问题：可以通过注册多个会员突破限制。
2、限制每个ip某个时间段的订单数量。比如限制1个小时最多下单n个，超过n个订单数量，就限制该ip继续下单。存在问题：通过变更ip突破限制。
3、限制单笔支付金额法。比如限制单笔最大5000,10000等等。存在问题：影响正常会员的正常支付。骗子还可以再限额范围内行骗。
4、第三方支付平台判断支付订单来源网站是否是商户号所对应的网站。发现来路域名不是订单商户号所对应的网站，就禁止支付，并且给出风险提示。存在问题：通过软件伪造模拟来路突破限制。
5、被骗者投诉举报后，网站客服人工冻结。存在问题：效率低。
……
各种检测方法可谓五花八门，乱七八糟。但是并没有从根本上解决问题。
评论