反诈骗专家李旭阳：我愿“天下无贼”

经销办公用品的老王很开心，他今天接到了一笔大单。某军队的采购部刚给他打过电话，要订购很大一批货。不过他也觉得有点遗憾：因为部队还要订购一批棉被，但他并不经营棉被。

没关系，军队领导给了他一个电话，说这是以前供应棉被的商户，因为某些事情和军队闹得不愉快。军队领导希望老王从中间代为购买。老王拨通了这个电话，对方却告诉他已经不做这个业务了，不过没关系，有一个朋友在做棉被生意，让老王联系这个朋友。

老王给这个朋友打通电话，不料对方说最近货刚售罄，不过没关系，他认识一个大的经销商，保证物美价廉。经过一圈周折，老王终于电话联系上了这个大经销商，谈妥了五万块的进货价格。

老王联系军队领导，军队领导觉得棉被的价格很合适，不过希望老王代为垫付棉被款，最后军方连同老王的货款一并结算给他。老王一想，既然都是朋友，不能因为这五万块伤了和军队的感情损失自己的大生意。于是爽快地垫付了这五万块钱，让对方直接给军队送货。

然后，所有之前联系过的电话统统关机。

这就是真实发生在北京的一起诈骗案件。是每天发生在中国境内成千上万诈骗活动的冰山一角。

像这样的案件，李旭阳能够为讲上一天一夜不会重复。虽然老王的故事有个悲伤的结局，但远远不是最悲伤的。李旭阳的工作，就是让这些诈骗活动中的 70%以上在受害人最终转账之前得以中止，把一个故事从“家破人亡”的边缘拉回到“有惊无险”。

对于那些从深度诈骗泥潭中被解救出来的受害者来说，李旭阳的腾讯反诈骗实验室恩同再造。

【李旭阳】

这世上所有的骗局

如果你闭上眼睛，回忆那些你听说或经历过的五花八门的骗术，似乎骗子的骗术飘忽不定，难以捉摸，每一次都是“崭新的欺骗”，让人防不胜防。但在李旭阳眼里，他们首先要对抗的并不是那些最为精妙的骗术，反而是诈骗金额巨大，骗术传播最广的“主流”信息诈骗。

他把这些骗术分为三类：

1、电话诈骗

电话诈骗的方法五花八门，但是从反诈骗实验室的研究数据来看，其中有一个类型居然占到了所有诈骗类型涉案金额的30%-40%，成为了绝对的主流骗术，那就是“冒充公检法”。骗术如下：

骗子在做这类诈骗之前，要做一些准备工作。他们在境外利用改号软件把自己的号码改成和某地公安局完全一致的号码。如果改成完全一致成本过高或技术难以做到，就改成形似的号码，例如在区号前加上“00”。

他们用这个山寨号码拨打受害人电话，告诉对方涉及了严重的刑事案件，例如洗钱、贩毒。如果受害人否认，骗子就会表示可能是他的身份信息被坏人盗用，在银行开了犯罪账户，如果不配合，就以共犯论处。如果受害人显出怀疑，骗子会主动“建议”他可以拨打114查询此号是不是公安局的号码。受害人拨打114，得到肯定的答复之后，对骗子的身份深信不疑。这时会有另一位“警官”联系受害人，告诉他这个事情非常严重，警方在打击犯罪团伙，此事受害者不可以告诉任何人。随后骗子指导他把“保证金”转到安全账户，承诺过几天破案之后就返还。然而，骗子并不会就此收手，借助被害人的深度信任，“警方”还会以保护受害者为名反复让他转款进入“安全账户”，直到被害人家破人亡。

李旭阳非常痛心，因为就在2015年初，在某地部署反诈骗系统之前，有一位受害者竟然被连续诈骗一个月，举债、卖房、抵押，总共被骗1100多万元。

当然，从电话骗术上来说，还有很多人听说过的冒充熟人、冒充电商客服、冒充航空客服等等，然而论诈骗金额和对受害者的伤害程度来说，远不及“公检法诈骗”。

2、网络诈骗

网络诈骗瞄准的受害者是大学生、家庭主妇或一些待业者。

骗子会通过各种途径，告诉受害人可以在网上兼职“刷单”赚钱。如果有人上钩，骗子就会详细地介绍“盈利模式”：兼职者只需要在某电商网站上下单购买特定的商品，随后商家会连同商品款和佣金一起返还给兼职者。例如兼职者下单一个价值1000块的商品，商家不会实际发货，而是返还1100元。为了放长线钓大鱼，骗子设计了很深的套路。他们会让兼职者第一单先买几十块的东西，然后真的多返还几块钱回来。自觉找到发财道路的受害者于是下单上千块的商品，然后，就没有然后了。

李旭阳说，从警方提供的数据来看，这类诈骗的报案量最高，占到总数的20%-30%。不过好在这种诈骗的金额一般不大，从几百到上千，最高刚刚过万。

3、“短信+”诈骗

你正在赶往机场的路上，突然收到短信，提示你的航班因故取消，如需退款可以联系客服电话，并且在短信中附加一个“客服电话”。如果你回拨了这个号码，就进入了骗子的迷魂阵。对方会告诉你可以退票并且补偿，但是要预先缴纳一定数量的手续费。

当然，你还可能收到短信，提示你中了某某节目的一等奖，价值一万块的笔记本，需要你预先缴纳一定数额的个人所得说。

你还可能收到短信，“某银行”提示你网银即将过期，需要登录网站申请延续。并且在短信末尾附上“银行网址”。你在这个网页输入的银行卡和密码，会被骗子看得一清二楚，转眼就会通过其他渠道把你的存款转走。

当然，有些短信骗局可能已经流传很久，很多童鞋都耳熟能详。但是即便这样，每天仍然有无数人上当受骗，不仅如此，每时每刻还有层出不穷的新骗术“问世”。

李旭阳讲述了一个最近流行的奇葩骗术：

某汽车车主发生了交通事故，申请了保险理赔。结果突然收到一条短信，提示车主理赔马上完成，需要车主回拨一个“010”开头的电话配合收款。如果车主回拨电话，“保险公司”会指示他到ATM 机旁进行一系列反复操作，最后会诱导被害人把 ATM 机调整到英文界面，最后稀里糊涂地亲手转账给骗子。

从事反诈骗行业这么多年，看尽了人间诡谲的李旭阳不住感叹：这一个个骗局就像电影剧本一样环环相扣，最让人揪心的是，这些剧本还会“生生不息”地升级演化，从不停歇。

你有套路，我有规则

“我走过最远的路，都是骗子的套路。”希望童鞋们在被骗之后，还能有心情如此调侃。

讲真，研究出一个经典的骗局，然后经过“实践”的检验，需要耗费“骗子界”大量的真气。所以，一个“优质的”骗局会被骗子团体不断“打磨”“改良”，以至成为“套路”。骗子像瘾君子依赖毒品一般依赖着套路。

对于反诈骗实验室来说，骗子对套路的依赖，正是他们的软肋。道理很简单：一旦一个行为呈现规律，就是机器识别大显身手的时候。反诈骗系统可以根据大量骗局中的通话时长数据（时长数据不是通话内容数据）或网络数据，形成一个个精准判定诈骗的规则，再由电信运营商和警方根据这些规则实时监控犯罪行为是否发生，通过短信、客服人员电话介入或警方直接介入的方法阻断骗子的诈骗行为。

李旭阳表示，为了降低和骗子的对抗成本，这些规则的细节不方便透露。但是我们可以据此进行粗略想象：

一个用户接到了一个境外电话，之后马上拨打了114，然后又和一个陌生的电话通话了很久，这个模型是不是很熟悉？没错，它很可能和之前说的“冒充公检法”骗局相联系。而且之后和这个陌生电话通话的次数越多，受害人被害的深度可能越大。你可以仔细回忆一下自己的日常生活，并没有正常的场景会导致你产生这样的行为模式。所以，显然这条规则就可以作为判定电话诈骗的条件之一。

索嘎，看上去反诈骗并不难嘛。李旭阳告诉，实际上反诈骗系统的建设充满了难以言状的艰辛。

【知名互联网企业客服仿冒者数量/数据来自腾讯】

艰难的平衡

“在同等的技术水平下，误报率和漏报率是此消彼长的关系。如果你的规则严苛，就会提高误报；如果你的规则宽松，就会增加误报。”李旭阳说，“这是一个调优和平衡的过程，只有通过技术的不断进步才能让误报率和漏报率这两个指标同时下降。”

以识别公检法诈骗的系统为例，针对这一类诈骗，就有几个配套的规则引擎联动审查。举例来说，就像是几个不同的专家对同一件事情发表看法，然后举手表决，如果认定诈骗成立的专家达到一定数量，系统就会向运营商和公安机关发出紧急提醒。然而，这其中每一个规则的点滴改动，都是要建立在大量真实诈骗数据的基础之上的。否则每一次系统升级不仅不会让识别的准确率上升，还有可能产生新的漏报和误报。

从0到1

骗子不会坐以待毙，他们就像这个世界上创作力最旺盛的编剧和导演，不时向这个世界展示他们新推出的“剧目”。毫无疑问，对于这些新出现的套路，反诈骗系统必须有一个学习的过程。这些新的诈骗模式，往往来自于警方的案情和笔录数据。

李旭阳说，反诈骗实验室会定期收到来自合作警方的大量案件详情。通过机器分类之后，研究员会对特殊的案例进行逐一筛查，发现新的诈骗“剧本”，进而推断出整个诈骗的“新潮流”。面对强大的经济诱惑，骗子自然动力十足，不断精进，研发新的骗术；但是作为反诈骗的安全专家，显然并不会从被解救的受害者身上得到任何经济利益。李旭阳和实验室的兄弟们，依靠的只有自己“天下无贼”的信条。这个情怀之强大，足以支撑他们从2004年走到今天。

敏感的隐私

有一个真理不言自明：

“即使是以反诈骗为目的，也绝没有理由越过法律的界限。”

李旭阳说，电信运营商对于用户的通信数据安全负有全部责任。腾讯没有理由，也没有方法可以获得具体用户的通话号码和通话时长。换句话说，按照规定任何用户的敏感数据都不可以走出运营商机房。

这给反诈骗工作带来了不小的难度。不过，一个“盒子”最终解决了这个问题。

我们做了一个“鹰眼盒子”，把我们的判定规则输入进去，然后把盒子交给运营商，在他们的机房里运行。所有输入进盒子的数据，都是经过运营商脱敏之后的数据。也就是说，即使我们再次拿回盒子，也没有办法解密出其中具体的个人信息。

虽然数据脱敏客观上会对诈骗准确率造成一定的影响，但是李旭阳相信，不碰用户数据是安全人员必须遵守的底线。

天下无贼

每个互联网居民都见证了腾讯十多年间和诈骗黑产刀兵相向。从这一点上说，几乎没有任何竞争对手敢于抢夺腾讯反诈骗实验室“百炼成钢”的桂冠。

但是腾讯脱离自身业务，投入力量增加反电信诈骗的研究，却让很多人看不懂。

李旭阳告诉，即使是实验室的拳头产品之一“恶意网址识别引擎”，为很多知名机构提供反诈骗接口，盈利也是非常微薄。而对于反电话诈骗的引擎来说，更是远没有盈利。

在2014年，我们开始做反电信诈骗这件事的时候，我们所有人都没有考虑赚钱的事情。我们只是觉得这件事应该有人做。

让李旭阳印象深刻的是，当他们拿着自己的反电信诈骗系统去寻求运营商合作的时候，面对了非常大的阻力。

运营商面对严格的合规要求，例如电话话单数据（即通话号码和时长）必须在运营商内部，不可以出来。对于很多运营商来说，反诈骗并不是他们的职责，所以不愿冒这个风险。很多运营商觉得很纳闷，因为他们看不懂我图什么。在他们看来，实验室自付人力、差旅，最终帮助运营商打击诈骗，而运营商出于种种原因，并不愿意宣传自己在反诈骗方面的成果。

我记得有一个运营商甚至问我：做这个合作，你要给我们多少钱呢？

【手机诈骗在全国的分布比例/数据来自腾讯】

除了运营商，李旭阳还要谋求警方的支持。“我不想看到最后的评价体系是我们帮运营商封停了多少诈骗号码，这不是结果导向的数据；我们想看到的是警情数据，是诈骗案的涉案金额有没有下降。而且，我们也需要警方提供最新的警情——一些新的诈骗模式，有助于我们升级自己的反诈骗引擎。”

如你所见，2015年初，深圳联通成为了第一个“吃螃蟹的人”。在部署反诈骗系统第一周，警方来自联通用户的诈骗保安数据就暴降70%-80%，并且一直稳定至今。李旭阳告诉，目前在全国几大省份的几大运营商中，都已经布置了实验室的“鹰眼盒子”。至于究竟是哪些省份“铠甲加身”，李旭阳强烈建议“打码”，因为骗子的消息极为灵通，他们会倾向于“转战那些还没有被防护的省份作案”。

李旭阳给出一个强烈的建议，那就是富裕省份的运营商应该尽快部署防诈骗系统，因为从骗子的套路来看，一个骗局往往需要一个团伙花费很大的经历来营造。对于骗子来说，行骗是有成本的。如果骗子费尽心力结果骗到的钱还“不够开工资”，自然就会另谋出路，说不定会改邪归正。

这位反诈骗老兵不止一次对说，如果想发财，一定不要做安全。因为反诈骗的变现和商业化都非常困难，相比流量变现和广告游戏，这些微薄的盈利根本不算什么。但是，李旭阳和他的团队却在这条路上心无旁骛。对于他来说，最大的动力也许是映入他双眼的数据：如果没有他们，每年涉及诈骗的犯罪金额会在目前的基础上增加数亿。

“天下无贼”这四个字，对他来说重若泰山。