每年11月前后我盯着的风控后台就会开始“躁动”礼品卡类交易告警从平日的零散几笔变成每小时几十上百条一直要持续到第二年年初才慢慢回落。今年梳理2025年假日欺诈样本时我发现针对礼品卡和预付卡的手法已经不再是早几年那种“偷拍卡号碰运气”而是形成了一套从偷取、批量验证到快速变现的成熟链路。这篇文章我想把整个技术链条拆开讲清楚为什么黑产偏爱这两种卡、卡片在哪个环节最容易被动手脚、余额和条码背后的技术原理是怎么被利用的、欺诈资金如何洗白以及商户、发卡机构和普通消费者各自能在哪些节点真正拦截住攻击。无论你是风控从业者、零售运营人员还是单纯担心假日购物安全这篇文章应该都不会白读。1. 礼品卡与预付卡为何成为假日欺诈的首选载体1.1 卡片特性匿名、小额、难追溯礼品卡和预付卡本质上是一种“准现金”不强制实名绑定拿到卡号和PIN就能消费消费记录通常只对商户和发卡机构可见。这种特性在正常场景里是便利在黑产眼里就是金矿。对比真实现金卡的数字形态让它能够远程操作和批量流转对比银行卡它又没有持卡人验证环节。更麻烦的是很多预付卡支持跨境消费攻击者在A国可以用B国发行的卡去买C国的商品监管和追溯成本成倍上升。还有一个容易被忽视的维度单笔损失不大。多数受害者丢掉的是几十到几百元的余额发现后嫌麻烦不报案即便报案因为金额小、跨区域多支付机构和执法部门也很难投入足够资源。对攻击者来说这就是典型的“高频小额、低风险”生意。单笔看起来不起眼但假日期间的整体规模往往能达到数亿元级。风控圈里有个共识攻击者不追求单笔利润最大化而是追求“成功率和规模”之间的最优平衡。1.2 假日场景放大效应为什么骗子偏偏选这段时间假日季节给欺诈提供了完美掩护。一是购买量激增礼品卡是送礼标配几乎每家超市收银台都堆着成排卡架店员没时间逐一核验包装是否完整。二是客服资源被压缩假日是退换货高峰客服光处理正常投诉就超负荷礼品卡纠纷会被排到最后等受害者投诉时攻击者早就完成了变现。三是收礼人通常不止一个卡的持有链条被拉长“谁用掉了余额”本身就很难查清。从风险监控数据里能明显看到一种节奏黑产活动往往在购物高峰前一周就开始“踩点”例如在黑色星期五前两周卡面窃取类线索先上升然后才是激活欺诈和线上交易欺诈的集中爆发。这不是随机波动而是攻击者在主动利用时间差——先把货架上卡片的卡号和PIN批量拍下来储备好等消费者买卡激活后立刻批量检查余额并转移。这个节奏与假日购物潮完全同步很难单纯用交易时间把正常购买和欺诈行为区分开。1.3 数字礼品卡带来的新攻击面传统实体卡的攻击绕不开“物理接触”但数字礼品卡的普及把这个门槛进一步拉低了。攻击者不需要再跑到超市货架前只需要通过表单提交、API调用甚至营销后台的逻辑漏洞就能批量获取或篡改卡号。在一些平台上购买数字卡的流程几乎没有介质感输入邮箱、完成支付、卡号直接发到短信里。整条链路没有物理包装“包装是否完好”这道天然检查点直接消失。我见过一种比较麻烦的玩法攻击者注册大量账号利用首次购买优惠拿到折扣礼品卡随后立刻转卖套利。严格来说这不算欺诈但数量巨大时会污染风控模型掩盖真正严重的卡窃取行为。数字卡的出现还让“卡号、PIN、交易记录”三者之间的绑定关系变得更脆弱风控需要盯的数据维度比以前多了不止一倍。2. 2025年主流欺诈手法底层拆解从货架到账户接管2.1 卡面余额窃取先储备后提款这是最老牌也最稳定的手法核心逻辑就一句话在卡片被购买之前先拿到它的卡号和PIN等有人往卡里充了钱再转移余额。线下版本很好理解攻击者带手机或小型设备在礼品卡货架前快速记录卡背面的数字和刮刮乐涂层有的涂层能借光线直接透读有的则被小心刮开后再贴回伪装层。线上版本更隐蔽一些自助结账终端会显示“扫码后请在屏幕确认卡号”攻击者就在扫码设备上做手脚批量截取经过的数据。这里的“PIN”指礼品卡背面的刮刮乐数字不是银行卡密码。拿到卡号和PIN后攻击者并不急于使用而是先存入本地定期查询余额等待“充值事件”发生。一旦发现余额充足立刻转入消费或转售。整个流程的技术门槛并不高关键在于“时间差”和“批量”所以风控系统真正要盯的不是某一次操作而是时间维度上的群体行为。2.2 激活环节攻击与内部合谋信任边界的漏洞实体礼品卡要经过“收银台扫描激活”才能生效攻击者同样盯上了这个节点。一种低水平但依然有效的手段是植入POS终端商家收银设备被恶意程序感染后读取正在激活的礼品卡数据随后立即尝试转移余额。还有一种属于内部风险的合谋员工在给顾客结账时先激活一张同面额的“预备卡”再当面激活顾客那张卡之后把预备卡出售或盗用。个别案例里退货环节也被利用——顾客退货时员工不销毁礼品卡而是转入自己控制的账户。风控视角下激活环节的欺诈极难用线上数据识别因为它发生在“线下物理空间有限员工操作”的边界上。最有效的检测线索反而是行为特征同一个员工编号处理的激活量异常偏高、多个卡号激活时间紧凑且面额一致、激活后几分钟内就出现大额消费。把这些特征组合成规则才有可能把内部合谋从正常业务里拎出来。2.3 物理篡改条码重印与PIN涂层替换这条路线更传统但2025年的样本里依然大量存在。攻击者制作一个外观几乎一致的伪造条码直接覆盖在原卡条码上。消费者结账时收银员扫到的是伪造条码支付的金额实际流入了攻击者控制的账户。消费者手里那张卡只是一张没有余额的废卡。这种攻击依赖条码粘贴工艺做得好的就算拿近看也不一定看得出来通常是绑定卡时发现“余额没到账”才暴露。另一种是PIN涂层替换攻击者先买回一批卡刮开涂层记录PIN再用专用贴纸把涂层区域重新封好放回货架。普通消费者买回去刮开涂层看到PIN绑定或消费时余额早已被转走。这种手段最麻烦的地方在于卡包装、条码、磁条数据都是真的受害者完全没有理由怀疑。实体渠道没有绝对可靠的物理防线只能靠商户在进货、陈列、收银环节增加抽检频率和摄像头覆盖同时教育一线员工识别“二次贴膜”的常见痕迹。2.4 线上账户接管与退款欺诈假日增长最快的两类2025年趋势里增长最明显的是线上渠道。攻击者通过撞库、短信钓鱼或客服套话等办法拿到消费者在商户平台的账号权限然后进入“我的礼品卡”页面把余额转到自己控制的新账户或者直接下单购买高价值商品。账户接管类欺诈有几个典型痕迹授权设备信息突然变化、卡券转移时段异常、绑定手机在短时间内被更换。在风控日志里这类事件往往和“礼品卡余额在几分钟内连续消费”绑定出现。退款欺诈则更隐蔽攻击者下单购买实物商品收货后申请退款却选择“退到礼品卡”。不同商户规则不一样有的把“任意礼品卡”作为可选退款路径这里就可能存在漏洞。攻击者会故意在下单时填入一张自己控制的礼品卡作为退款账户随后把到账余额转出。整个过程表面看只是“消费者退了个货”实际完成了从支付通道到礼品卡余额的定向转移。要堵住这个口子关键不是取消退款服务而是把“退款账户必须与原支付账户一致”当作硬性约束。3. 技术层面攻击的底层原理为什么这些手法能成功3.1 卡号结构BIN与Luhn算法要理解攻击者为何能“批量操作”先得看礼品卡卡号的结构。绝大多数礼品卡卡号由三部分组成BIN号、账户号、校验位。BIN号是发卡机构分配的号段基本属于公开信息或从几张真卡上就能推断出来账户号是连续或随机生成的数字序列最后一位则是Luhn校验位用来验证前面的数字是否符合合法格式。Luhn算法的全部逻辑是公开的不依赖任何密钥。这意味着攻击者只要掌握一家发卡商的BIN号段就能本地生成大量“格式合法”的卡号。这些卡号尚未激活本身没有价值但可以被用来探测系统比如批量请求余额查询接口判断哪些号段处于“已激活但尚未被消费”的状态。Luhn算法当初只是为了防止录入错误不是安全设计。把“格式合法”误当成“身份可信”是很多支付系统早期的通病也是如今大量卡数据失窃后还能被迅速利用的基础条件。3.2 余额核对接口攻击链条里的“指路牌”攻击路径里最关键的一环是余额核对。几乎所有礼品卡品牌都提供查询余额的渠道网页、App、自助语音都有。对正常用户是基本功能对攻击者就是批量筛选器。拿到一批卡号后攻击者会用自动化脚本大量请求余额查询接口把“有余额”“余额高于阈值”的卡挑出来再做定向消费。整个过程类似先对着仓库货架扫码再决定搬哪一箱。最遗憾的是很多查询接口在设计时没有把速率限制、验证码和IP风控纳入基础要求。2025年的样本里依然能看到某些发卡机构的查询入口支持一轮提交多个卡号批量查完。这不是技术难题而是在产品决策时把便捷放到了安全之前。我始终认为礼品卡余额查询必须按“高风险接口”管理。限速、图形验证、短时间高频自动锁定都是成本极低但效果非常明显的防线。3.3 条码与磁条的可复制性静态数据的天生缺陷实体礼品卡的条码几乎没有防伪设计绝大多数只是把卡号做了简单编码用标准扫描设备即可复制。攻击者把“覆盖条码”贴在卡面上以后收银员扫码得到的是攻击者预设的账户。整个过程不涉及任何芯片破解纯粹是信息复制。芯片卡之所以更安全是因为它内含的动态密钥在每次交易时变化伪造者无法通过复制外观来克隆交易能力。条码和磁条都是静态数据复制一份就等于再造一张卡。磁条卡也类似。预付卡磁条通常存有卡号、有效期和少量用户信息用读写设备就能克隆。攻击者在实体渠道拿到卡数据写进空白磁条卡就能在支持磁条交易的POS机上消费。2025年某些地区这类攻击仍活跃核心原因是大量老旧POS机还没完成向芯片迁移的升级。迁移需要成本而欺诈损失往往要等到某个大规模曝卡事件后才被真正正视。3.4 支付链路“只认参数不认人”设计初衷决定的风险敞口还有一条底层原理来自礼品卡体系的设计初衷无卡交易场景里支付系统只验证卡号、余额和PIN基本不验证“操作者是谁”。这和网银需要短信验证是完全不同的逻辑。礼品卡要方便收礼人使用发卡方为了降低门槛省略了持卡人身份验证。攻击者只要同时掌握卡号和PIN就等于拿到了“不需要密码的现金”。所以从防御角度我建议普通用户把礼品卡当作“一张写着名字的现金”来对待收到后第一时间刮开涂层核验卡号与PIN清晰并尽快绑定到自己的账户。绑定动作本身不能防止卡号被提前窃取但能在风控侧建立一个“合法所有者”标记。当出现异常交易时发卡机构能更快识别、冻结并和用户一起追回剩余资产。4. 欺诈资金流转全景从卡片到真金白银4.1 卡号黑市与批发倒卖风险的分级定价攻击者偷到卡号后很少会自己慢慢消费。黑市上有一套成熟的“卡商—代理—变现层”分工。初级攻击者会把偷来的未验证卡号按极低价格批量打包卖出例如上千个卡号卖几十元买家拿到后自行筛选。这叫“碰运气包”因为大量号段没被激活。更精致的玩法是“验证后销售”攻击者先批量查询余额把确认有钱的卡号按余额的六到七折卖给下家下家拿到就能直接消费省去了验证环节。这套分级定价本质是在交易“风险承担”。下表是我根据近年风险情报整理的简化口径卡券类型黑市标价水平主要风险点未验证卡号包极低按万条计命中率低批量拆卖已验证余额卡面额的60%—75%即时消费晚一步就失效高面额零售卡面额的70%—85%多用于退货套现、跨境采购数字礼品卡面额的80%以上可即时交付资金转移快对风控团队来说黑市价格其实是一个可用情报源。当某张卡号出现在黑市交易日志里基本等于它已经被盗。如果能把这个信息和内部盗窃记录做时间关联往往能锁定作案环节发生在“货架拍摄”“激活环节”还是“线上数据泄露”。4.2 变现场景二手平台、礼品卡回收与加密资产有了卡号和PIN攻击者面临的下一个问题是如何把余额变成更干净的现金流。一个常见路径是二手交易平台攻击者用赃卡购买数码产品等高单价商品再以稍低价格挂在二手平台或转给专门收货的下家完成“商品化洗钱”。低单价但高频的则走礼品卡回收服务很多回收商愿意以八折左右收卡攻击者直接把赃卡卖给收卡商收卡商按略低于面额的价格卖给正常消费者。整条链路里每一跳看起来都像普通交易。加密资产也是近年兴起的变现通道。一些预付卡支持在交易所充值或通过第三方通道把余额换成稳定币进入加密网络。一旦进入加密网络传统支付网络的追踪手段就很难继续发挥作用。我这里不展开具体路径只想强调三件事变现通道越多追踪复杂度越高转账间隔越短检测反应时间越紧平台必须把“预付卡充值”和“退货到卡”类操作纳入异常资金流动监控而不是只盯着银行转账。4.3 资金追踪的取证挑战为什么很难追追踪礼品卡欺诈资金难度比追踪银行卡欺诈高出一截。第一是跨主体同一笔资金可能经过发卡机构、商户、回收平台、二手电商、支付网关等多个环节每个主体只看到自己负责的那一段切片没人能独立恢复完整链路。第二是跨地区预付卡天然支持跨境使用不同法域的数据调取协作成本很高。第三是信息衰减快黑市交易大量使用匿名通信和短期存储等受害者发现并报案时原始记录往往已经过期。处理这类案件时一个比较有效的做法是“以卡号为中心建图”把同一卡号在多个系统里的查询、绑定、消费、退款记录全部拉出再与IP、设备指纹、收货地址、手机号做关联。很多时候攻击者会在不同环节复用同一个设备或收货地址这是他们最大的破绽。只要把关键节点聚合起来即使原始资金已经洗白攻击者的行为轨迹也足够产生风控标记。5. 风控侧三道防线商户、发卡方与消费者的可落地打法5.1 商户端POS环节与退货流程的收紧商户能做的第一件事是在实体渠道卡住物理篡改和激活欺诈。货架陈列可以调整高面额礼品卡放在收银台内侧或上锁展示架减少攻击者直接接触卡的机会。收银激活时增加“包装完整性检查”扫描后目测条码贴纸是否有二次粘贴痕迹尤其注意涂层区域是否平整。这需要培训和落地不能只靠收银员自觉。再进一步对单个员工和门店的激活频率、面额分布、激活后消费时延建立基线一旦偏离就暂停权限并调取监控录像核查。退货流程同样关键。很多商户允许“退货退到礼品卡”初衷是方便顾客但这也给了攻击者反复利用的入口。建议做白名单限制只有原订单绑定的礼品卡可以接收退款且退货完成后原卡立即在系统里标记为“不可再次交易”。我处理过的案例里相当一部分攻击发生在“退货环节没有把卡状态同步到资金系统”这种内部流程缺陷上。只要同步逻辑做扎实退款欺诈的窗口会大幅收窄。5.2 发卡方查询接口防护与设备风险画像发卡方握有最全的交易数据责任也最大。首要任务是把余额查询接口当作高敏感接口对待加验证码、限制单IP查询频率、对查询来源做风险评分、对高频查询的卡号池做隔离。更便宜但有效的方案是查询余额前要求输入卡背面的附加码校验不过直接拒绝。正常用户多一步输入不会觉得麻烦自动化工具却会被明显挡下一批。其次要建设设备风险画像。攻击者无论怎么换账号在设备指纹、浏览器指纹、IP归属、绑定支付卡等维度上总会留下痕迹。发卡方可以对接行业风险库标记已知欺诈设备并同步到交易链路。我比较推荐“温柔挑战”策略当系统觉得可疑但证据还不足以直接拦截时在支付前增加一步短信验证。它不需要完全阻断操作只需要把自动化工具挡在外面误伤率比一刀切拦截低很多业务损失也小得多。5.3 消费者端几个改变习惯就能避开的坑消费者能做的动作很平凡但往往是第一道防线。买卡渠道上尽量走品牌官方渠道或信誉可靠的自营渠道不要图便宜从未经验证的二手平台购买礼品卡。收到卡后第一时间刮开涂层核验卡号与PIN并尽快绑定或消费不要长时间搁置。保管习惯上不要把礼品卡的卡号、PIN拍照发到社交平台或聊天工具里——很多人喜欢晒礼物等于把现金照片公开给所有人。还要警惕任何“需要用礼品卡付款”的来电和邮件。成熟的平台和机构永远不可能要求你通过购买礼品卡来支付罚款、欠款或所谓“安全保证金”。一旦遇到这类话术基本可以判定为电信诈骗的变种直接挂断并向平台举报。假日期间这类骗局尤其多因为人们心理上更愿意相信“活动中奖”“账户异常”之类的说法主动核实是成本最低的自保手段。6. 2025年值得警惕的新信号与检测思路6.1 生成式AI让欺诈话术从“广撒网”变成“精准制作”2025年一个明显的趋势是攻击者的前端话术开始大量使用生成式AI。过去“礼品卡钓鱼”邮件一眼就能认出来语法错误、拼写混乱、链接可疑。现在AI可以生成与品牌官方邮件几乎一致的文案还能根据收件人姓名和近期购买记录定向发出“您的礼品卡余额存在异常变动请点击验证”的邮件。这种定制化邮件的点击率比传统群发高出至少一个数量级。对应的检测思路不能只看文本特征而要看行为邮件中的链接域名、落地页环境、登录设备。真实案例里真正让AI钓鱼露馅的往往不是文案而是落地页。攻击者很难把落地页的每个细节都做到和官方一致尤其是那些不常用的边缘页面。风控系统可以在“重要操作前增加二次验证”的规则不管是登录、绑卡还是退款只要入口来自可疑链接就强制短信验证或本机防伪验证。假日季之前把这些规则部署到位比事后分析损失要划算得多。6.2 自动化工具与代理IP的组合使用2025年的攻击不再是靠纯人工完成而是“自动化工具代理IP池”的组合。攻击者可以在同一时间段驱动数百个会话每个会话显示来自不同城市的IP、不同操作系统、不同浏览器指纹从不同入口测试同一批卡号。这种分布式“广撒网”会让传统基于IP和频率的规则快速失效。防御上我更推荐把“关联性”当作核心指标。单个设备看起来干净但大量设备在几分钟内查询同一BIN区间的卡号就会在“查询图”上形成明显聚集。风控引擎不需要判断每个设备本身是否可信只需要判断“一批卡号和一批设备之间的关联是否自然”。正常消费者不可能同时从几百个城市查询同一个卡池。用图算法做关联筛选比孤立地看每一个IP要聪明得多。6.3 检测思路从单点规则到关联图分析把前面的线索串起来我会建议风控团队在2025年把检测架构从“单点规则”升级为“关联图分析”。礼品卡欺诈本质上是一个多实体、多事件的网络问题卡、IP、设备、账号、手机号、收货地址、退款单每个实体都是一个节点欺诈行为往往通过节点之间的密集连接体现。用图结构建立“卡—设备—IP”关系网再做聚类或社区发现很容易识别出“同一攻击者控制的卡群”。这个思路与传统规则的区别在于规则是“眼见为实”的拦截图分析是“关系异常”的识别。卡群一旦被识别出来可做的事很多——批量冻结、对群内卡设置二次验证、把所有关联账号列入观察名单。我这些年做假日风控最深的一点体会是不要让风控系统孤军奋战。把图分析结果同步给客服、门店和中台团队形成一个完整闭环攻击者的操作空间才会被真正压缩到无限小。
