金融公司产品经理揭秘：一个电话骗到上百万的行骗套路

编者按：本文来自微信公众号“人人都是产品经理”（ID:woshipm），作者：十六年产品老狗，36氪经授权发布。

网络骗术花样百出，尽管小心谨慎，还是有些人踩了坑。作为一名金融公司的产品经理，本文作者以一次金融诈骗为例，分析骗子的行骗套路，总结了一些防骗经验，与你分享。

笔者从13年开始从事金融行业的产品工作，接触不少利用金融产品进行的诈骗案例。

这次分享一个18年上半年经历的诈骗事件，以及如何搞定诈骗分子的过程。

当时我在一家杭州的头部车贷P2P平台任职，公司刚完成美股上市不久，上市公司的名头以及当时平台口碑较好，于是引起了诈骗分子的注意，开始打了歪脑筋。

一天投资管理部的美女BOSS来公司总部开会，期间到楼道抽烟聊天。

“上次跟你说的事，有人莫名其妙被骗了钱，你再看看啊～”，吐了一口长烟，“啪～”MM弹开烟头就往里走，墙上又多了个烟灰印。

这时代，做的任何事情都会有印记。

初步回想，印记的信息少到只有可怜的三点：

受害人都是来借钱的；

通过后台查询，受害人曾充值到平台上一笔资金，然后自己又提现走人了；

受害人自己也说不清为啥就把钱打了诈骗分子，而且金额都在几千上万；

疑点：受害人自己充值到平台，自己提现走了——对平台而言，一切都符合业务操作规则，也符合资金存管要求。遵循金融业务的“原卡进出”规则，平台没有任何责任。

基于以上两点，当时也没引起特别注意，只是让客服给出标准话术：“不要把任何验证码告知第三人，且不要直接转钱给陌生第三方，如果已经转了，请及时报警”。

（其实也只是例行公事，马后炮）

开始的一段时间里，我们并没有对这段时间发生的诈骗进行认真应对。

担心的事情一定会发生。

诈骗还在继续，客服投诉开始密集。更多人反馈资金被骗，并对客服进行攻击，被骗金额也从原来几千几万，突破了10万，最高的金额到了20万，且每天数起。

“我们最近很多投资人被骗，金额越来越大了，这个事情就没法解决么？”

又是一周的中书阁会议，MM已经面露不悦了。

“我们做了调查，客户都是正常充值提现业务，没毛病，而且都是客户自己把钱转给了诈骗分子，我们无力去阻止一个不知道在哪，也不知道什么时候会转钱给骗子人”——为了留住脸面，义正词严地狡辩：）

老板也清楚这事平台这边没有责任，要阻止也很难，没有直接表态，这个事似乎陷入僵局。

“但是那么多人啊，肯定有问题啊。”——女人擅长的就是不依不饶（哦不，应该说是百折不挠）。

虽然心里难，但也觉得，难道就没办法治一治？

再次调查，有一名受害人提供了较为完整的上当链路：

受害人在观看视频的时候，点击了弹出的贷款广告；

在弹出页面中，录入个人信息（手机号和借款需求）；

受害人接到贷款服务商（骗子）电话，询问详细信息（姓名、证件号、手机号）；

以借款为名，服务商（骗子）告知受害人，借款需要提供保证金和收入流水；

受害人和诈骗分子一顿神操作之后，在平台存了钱，又取了钱，然后自己把钱转给了诈骗分子；

受害人似乎并不知道我们平台的存在（奇怪的是：你会在一个不了解的P2P平台上充值吗）

有了该用户的链路故事，我们再次回访其他受害人，得到信息基本一致或近似。

由于属于第二波的案件高峰，我们选择了报警，但是警方的回复是需要受害人自己报案（好像也没毛病）。

猛点2根烟后，老狗回到位子上回想各种新闻报道：

“某银行职员识破诈骗，阻止受害人给骗子打钱……”

通常被骗，基本都是脑袋发热；场景代入感太深了，一时反应不过来，才会被骗。

思路有了——想个办法让受害人冷静一下。

整个事件，与我们相关的环节，就在充值和提现。我们不可能做无差别的充值限制，但可以做针对性的提现控制，利用提现环节的阻断，增加受害人的反映时间！

但重点是：平台每日提现业务的金额都在几千万，限制必须精细化控制，否则影响正常提现业务，必定造成出借人恐慌，这招风险太大。

玩个外科手术式的精准打击

我们调取了几十个被骗的用户数据，发现他们的特点：

注册后，立即开通银行存管业务；

立即进行平台充值；

充值后立即提现；

没有任何“出借”动作；

没有任何“待收资产”；

以上几个特点一看，基本点很清晰：“新注册用户，不为‘出借’而来”。

针对上述特点，我们想了三招，精准圈出受害人。

招数一：埋下“冻结机关”

每个用户的提现业务，增加一个“冻结开关”：当状态为“冻结”时，不允许提现，并告知用户走线下处理（制造平台和对方的接触机会，且万一误伤，也可安抚及处理）。

每个用户开关默认为“解冻”，不影响提现，普通用户无感知。

招数二：增加冷静期

一套附加逻辑：识别潜在受害人后冻结账户，增加受害人冷静期。

识别机制：

“提现业务时间戳”距离用户的“注册时间”小于48小时；

待收资产为“0”；

出借记录为空；

同时满足以上条件的用户，一旦发起提现业务，则自动触发冻结规则，转而弹出对话框：“为了确保您的资产安全，新用户提现，请致电客服 XXXXXX”。

招数三：守株待兔

教会客服，如何“守株待兔”，等着人家上门吧！

1）客户来电时，先甄别对方电话，是注册手机号，还是存管银行预留手机号（这是重点，识别是否本人在操作业务）。

若为存管银行预留手机号，继续步骤2；

若非存管银行预留手机号，则可能不是本人操作，继续步骤2，且需要特别留意，同时上报电话录音。

2）请客户提供身份证正反面照片，以及存管银行的照片（真实用户一定可以提供，非本人则无法提供）。

提供材料者，与后台提交的数据进行比对，正确者，解冻账户，允许提现。

无法提供材料者，且非存管手机号，然后主动致电存管银行的手机号（真实受害人），询问其是否遭遇诈骗，确认后将呼入的电话号码（诈骗分子）进行报案处理。

以上几招，理清了需求，研发团队花了半天时间快速搞定上线。

早点上线，就可能少让几个人被骗。

果然，中午代码上线，下午客服就传捷报：客服接到电话，要求解冻其账户进行提现，对方无法提供证件材料，且非银行存管手机来电。

明显，来电者并非受害者本人。

骗子居然还敢来电，呵呵，手机号立即双手奉上给公安！

本来团队还期待着更多电话会进来，结果大失所望——只有这一个电话！

诈骗分子被客服一顿要求之后，得悉他们的套路被识破，手机变空号，再也没有客户投诉被诈骗了。

“这个时代，做的任何事情都会有印记”骗子更懂这个道理。

他们像极了偷吃的老鼠，一被发现，销声匿迹。

诈骗已是网络生态的一部分，那些着实low到爆的诈骗手段，很多人都以调戏为乐。

但其实在电话的那头，一个“勤奋”小伙在掐断电话后，不停鼓励自己：“加油，打满100个电话，一定能成一个！”

如果说有那么个人，任你虐他千百遍，他仍待你如初恋，这个人，不是销售就是骗子（开个玩笑）。

至此我们基本摸清了背后逻辑，一起来盘点下骗子的套路：

通过一些非法网站投放非法的贷款广告，跳转虚假贷款申请网站，获取受害人的手机号，并了解贷款金额的规模（便于初筛猎物的肥瘦程度）。

这部分信息，从受害人反馈中得到，并在后续“被骗金额不等”的表征，可推理出骗子利用受害人的用款需求大小来衡量猎物肥瘦程度（后续会要求受害人支付不同金额的保证金）。

骗子拿到手机号之后，主动“电销”受害人，以办理贷款为名，要求提供保证金及收入流水。

假借某个第三方上市公司的互金平台名义背书（这次我们公司背锅），并以“存管银行”账户是合规安全为说辞，诱骗受害人；

利用“存管银行账户收取保证金”的方式，取得信任，骗取受害人的姓名、证件号、号、以及银行的短信验证码（短信验证码由银行发送，受害人因此相信他的资金会被银行安全存管的）。

至此，受害人提供的信息，已经完全满足开通一个金融平台的投资账户，并取得该账户的交易权。

在金融反欺诈领域，核心两个点：“防止用户身份被冒用”，以及“确保业务属于本人操作”——受害人的信息泄露面越广，被冒用风险越大。

银行存管手机号的验证码，是银行方面用来验证是否是本人在操作业务。如果两点都被骗子拿到，资金完全不保。

骗子在受害人不知情的情况下：

骗子冒用受害人身份信息，注册了互金平台的账号（受害人认为自己提供信息是为了办理贷款）；

骗子利用受害人提供的短信验证码开通存管银行账户（受害人认为自己提供验证码给对方是为了开通保证金账户并进行保证金托管）；

骗子设置了该银行存管账户的交易密码，该交易密码可用于充值及提现业务（受害人不知道账户的交易权已在骗子手上）；

骗子利用平台充值能力，实现了从受害人账户划走钱的能力，帮助骗子实现“保证金划扣”。

但平台限制了资金“从哪来只能回哪去”，并不能直接到骗子账户里，还需要后续操作。

骗子利用平台的充值功能，从受害人中，划走大笔资金，用于所谓的“保证金托管”。

骗子从受害人账户扣款，是为了准备“用受害人的钱，给受害人支付流水”，而受害人误以为自己的资金由银行存管，是安全的——这里双方的场景认识出现偏差，受害人被下套。

骗子告知受害人，保证金托管成功，下一步要帮助受害人友情“做收入流水”。

然后利用平台的提现功能，把充值的保证金，拆分成小笔资金进行多笔提现，并告知受害人：骗子用的是自己钱友情帮忙做流水（事实上，这根本就是受害人自己的钱，平台方看到的就是用户自己“提现”了）

流水做完，要求受害人把刚才做的流水金额，承诺“归还”给骗子之后，马上给受害人放贷款。

骗子用受害人的钱，给受害人做流水，而受害人以为骗子用自己的钱给受害人做流水，感激得不得了。

我们在这个节点，对骗子的行为进行了冻结阻断，并要求提供更多受害人的材料（身份证照片及照片）——若能提供，则说明受害人自行操作，那么客服就可以询问是否遇到可疑行为，对受害人进行唤醒；若无法提供，则说明受害人不知情，身份被冒用了。

事实的结果就是：骗子冒用了受害者的身份。

受害人信以为真，心想自己的保证金有银行托管，骗子还主动承担风险打钱给自己，帮忙做流水，这钱“不还”怎么好意思呢？

然后大笔资金，划入骗子银行账户（事实上，所有的流水，都来自于自己的保证金）。

骗子得手，立即消失。

受害人找平台索要保证金，一个接一个的电话响起来。

——这就是为什么，受害人自己会打钱给骗子的原因。

作为用户，防止被骗的基础知识点：

要短信验证码的，都是骗子；

凡是需要你先进行付钱的（不管付到哪，付给谁），都是骗子；

作为平台方，反欺诈的基础知识点：

确保业务办理人的信息是真实的；

确保是本人意愿操作办理；

本案例的核心思路：阻断。

骗与被骗，两方之间互相“配合”而发生；解决核心，就在于研究业务流程主干，并进行合理阻断。

本案过程中，本想阻断受害方，增加冷静期；事实上，切口下去，阻断的是诈骗方；但不管如何，流程中断就顺利终结了整个诈骗行为。

遗憾的是：抓不到骗子不能绳之以法，只能让骗子去找另外的背锅侠。

最终品牌部门利用这个案例，好好包装，提升了一下公司的社会形象，还算有点小小欣慰。