打车平台黑产曝光：黑客如何借Uber发财

腾讯科技讯 据外媒报道，Uber的共享出行平台出现过各种“极具创意的”欺诈活动，例如用GPS欺诈应用来诈骗尼日利亚的乘客，以及用偷来的身份信息去注册假司机。

现在，Uber平台上的欺诈活动又有了新花样：黑客，尤其是来自俄罗斯的黑客，正利用盗取的信用卡信息和Uber打车平台，为他人提供非法的打车服务，某些时候还会与司机合作，进而从盗取的信用卡中套取资金。

多个黑客网站上的俄语文章介绍了这样的骗局是如何运作的：骗子需要使用模拟器和VPN。模拟器可以在 笔记本 上虚拟Android系统，从而运行Uber应用。而VPN则把计算机的流量导向专门的服务器，从而模拟出某个城市中的乘客。

从本质上来看，骗子扮演的是Uber司机和乘客之间的中间人，通过Uber预约车辆，随后把消息传递至平台外部。典型做法是，骗子使用消息应用Telegram与乘客聊天，后者提供上车地点和目的地点。骗子随后在Uber平台上用盗取的信用卡信息下单，随后通过Telegram将汽车品牌、司机姓名和车牌等信息返回给乘客。

在一篇俄语内容中，一个骗子说，他们的服务已经在约20座城市上线，包括俄罗斯的莫斯科和圣彼得堡，以及乌克兰基辅和白俄罗斯明斯克。另一条信息显示，该服务在纽约和葡萄牙也有用户。

在某些情况下，作为中间人的骗子会使用Uber促销码或优惠券来获得免费或打折服务。这意味着，骗子可以将乘客支付的费用完全据为己有。在另一种骗局中，某些骗子会与司机合作分成利润。一个帖子对此进行了详细描述。

信息安全公司FireEye金融犯罪分析师大卫·梅诺（David Mainor）表示：“这种服务的运行方式类似于其他信用卡诈骗。在这样的骗局中，服务提供者使用盗取的支付信息来支付Uber平台上的打车费用，而乘客可以以折扣价打车。”

两个贴子的内容显示，乘客通过俄罗斯服务Qiwi向骗子支付费用。而在另一些骗局中可能也会用到Yandex.Money或Sberbank。如果乘客拖延支付，那么骗子会取消订单，通常是在“城市环路上”。

通过这些骗子获得的打车服务很便宜。一个骗子提供的4小时UberX（类似于快车服务）价格为600卢布，略高于10美元。而同样时长的UberBlack（类似于专车服务）价格为1000卢布，或者说17美元。另一个俄罗斯黑产网站则提供时长更短的服务，40分钟的打车服务价格为200卢布，只有3美元。骗子还可以将司机来电转到乘客手机上，而乘客需要多花80美分。

显然，这并不是全球最赚钱的骗局，但仍然显示出了骗子们的“聪明才智”，以及利用互联网平台攫取利润的“决心”。他们的想法似乎是建立一家企业（尽管这是非法的），而不是打一枪换一个地方。一份指南显示，可以向学生或不愿意等地铁的人推销这种服务，此外还可以在“俄罗斯版 Facebook ”VK上打广告。此外，骗局的经营者还可以开展首单免费等活动，建立用户忠诚度。

顾客并不一定需要乘坐Uber。一名对这种服务很满意的顾客表示，他们喜欢用Uber作为“承运方”，尽管并不清楚这名顾客运送了什么。

还有骗子试图让整个流程自动化。他们开发了会话机器人来处理消息，而不必让人工通过Telegram来提供服务。

一个头像是卡通出租车的机器人写道：“在一天中的任何时候，所有一切都很容易、很方便。”不过从用户对这个帖子的反馈来看，机器人并不总是能像预期中一样工作。今年早些时候，骗子提供了一个促销码。如果用户向机器人输入这个促销码，那么就可以免费乘车。另一个帖子则表示，服务来自于俄罗斯打车平台Yandex.Taxi。

FireEye的梅诺表示，由于Uber在全球范围内的普及，因此骗子往往更青睐Uber。不过其他类似服务，例如Lyft，也被用于这样的骗局。

Uber发言人梅拉妮·因塞英（Melanie Ensign）表示：“我们有多种反欺诈的探测和预防方式，包括在登录和打车时对可疑帐号的多重验证机制。”

“我们的反欺诈团队还使用机器学习模型和模式识别技术来识别用被盗信用卡创建的虚假帐号，并禁用涉嫌欺诈行为的帐号。在某些情况下，在发现欺诈行为时，我们会主动向乘客退款，而乘客也可以在Uber应用内报告欺诈行为。此外我们还成立了专门的欺诈调查小组，该小组会主动监控这些在线讨论版上的相关广告。”

对这些骗子来说，事情并不总是顺利。一些客户抱怨服务质量不高。尤其是在今年初，多名用户表示，Uber在一定程度上打击了这种做法。不过上月，一位看起来很愉快的用户在一个帖子下方留下了积极的评论。

在一条广告的结尾，骗子写道:“享受你的行程!”（编译/陈桦）