并不存在的奖励：诈骗分子开始冒充电商平台欺骗俄罗斯人

诈骗分子以电商平台名义发送邮件，承诺为“购物活跃度”提供奖励。链接指向一个虚假网站，用户在那里留下银行卡信息。我们来剖析这一骗局及防范方法。

诈骗分子开始以大型电商平台名义向俄罗斯人发送邮件，承诺为“高购物活跃度”提供奖励。措辞各不相同——“给老顾客的奖励”、“参与忠诚度计划的礼物”、“年度抽奖奖品”。但结局始终如一：链接指向一个虚假网站，用户在那里留下银行卡信息、输入个人账户的登录名和密码，或下载恶意程序。 Юристы LexUP 解析这一新骗局是如何运作的。 这套手法建立在两个简单因素之上。第一是想要获得礼物的心理，尤其是当它看起来理所应得时：买得多，自然有奖励。这个逻辑很有说服力，因为各平台确实有忠诚度计划，这一提议并不显得突兀。第二是对熟悉名称的信任：用户看到熟悉的标志和用了多年的平台界面，便不再留意细节。 正如俄罗斯联邦政府财政金融大学副教授德米特里·莫尔科夫金所指出的，不法分子利用人们想获得奖品的自然心理，同时寄生在人们对知名电商品牌的高度信任之上：收件人看到熟悉的平台风格便放松警惕，期待轻松获利。

技术上是如何运作的

认为诈骗邮件可以通过粗糙的排版和错别字轻易识别的观念已经过时。这类活动依托于绕过垃圾邮件过滤器和防护性邮件网关的机制。

Ozon警告称，冒充常见服务的诈骗手法正在增多

不法分子利用合法的邮件平台进行群发：邮件从过滤器无可指摘的基础设施发出。同时伪造邮件头——这一手法称为欺骗（spoofing）——因此用户在发件人一栏看到的是与官方地址相似的地址。图形素材从平台原始通知中复制：字体、按钮、区块布局、标志。结果，邮件通过了技术检查，外观上与真实邮件毫无区别。 主要陷阱在链接指向的网站上。这些克隆页面的域名与真实域名仅差一个字母，或注册在其他域名区域：名称是熟悉的，地址结尾却不同。设计被完全复制，连登录表单和提示文字都不放过，因此毫无防备的人察觉不到差别，便在别人的资源上输入了登录名、密码和支付信息。 这类域名的存活时间不长——从几天到两周不等。资源为某次群发而建，完成任务后便在其被举报之前消失，随后活动又以新地址重复进行。

欺骗与钓鱼：为什么二者不是一回事

新闻里这两个词通常并列出现，尽管它们描述的是不同的事物。欺骗（спуфинг）是指信息替换，即不法分子试图冒充真实可靠的来源。钓鱼（фишинг）则是试图迫使他人做出特定行为：点击链接、输入数据、下载文件。 二者的目的不同。钓鱼是推动人去采取行动，而欺骗则先制造一种一切安全、消息确实来自熟悉来源的感觉。也就是说，欺骗发挥作用更早：它先打消收件人的疑虑，之后才轮到钓鱼及其链接和输入表单登场。 在实践中，这两种手法往往配合使用。人收到一封据称来自银行、电商平台或其他知名公司的邮件，甚至对其真实性毫不怀疑——这正是欺骗的结果。接下来，用户会被诱导访问诈骗网站、下载恶意程序或交出个人及银行数据。没有第一部分，第二部分几乎无法奏效：来自陌生地址、外观陌生的邮件，人们直接就会关掉。 这种区分带来的实际结论很简单。在邮件正文里寻找欺骗迹象意义不大：说服力恰恰来自来源的替换，而非措辞。需要核查的是更难伪造的东西，即发件人的实际地址和链接所指向页面的地址。 另请阅读：零售业的网络安全：为什么传统的网络安全培训不起作用

法律上如何定性

俄罗斯法律中没有专门针对欺骗的单独条款。因此此类行为依据《刑法典》的不同条款定性。一切取决于不法分子具体做了什么、出于什么目的以及造成了什么后果。 冒充电商平台名义发送消息是相当常见的诈骗手法，多数情况下此类行为按《俄罗斯联邦刑法典》第159条以诈骗论处。不过视情况也可能适用其他条款。如果不法分子还入侵了电商平台用户或卖家的账户，其行为还可能触犯《刑法典》第272条——非法访问计算机信息。 这些骗局中还有通常在此类新闻里不被提及的第二受害方——电商平台本身。为了让邮件和克隆网站显得可信，骗子会使用平台的标识、品牌配色和版式，并挑选与真实域名尽可能相似的域名。这已不仅是对消费者的欺骗，还侵犯了个性化标识权：未经许可使用他人商标，而且是在直接损害品牌声誉的骗局中使用。受骗的买家记住的不是网站地址，而是发来邮件的那家平台的名称，随后正是向该平台提出索赔。 因此，平台和大型品牌自身也有动力打击此类群发信息：无论被骗走的是谁的钱，受害客户、声誉损失以及大量涌入客服的投诉都会落到它们头上。@Freepik（许可证 INV-C-2024-8250540）

如何防范

应对此类活动并不需要专业知识，而是需要基本的数字纪律。据俄罗斯联邦政府财政大学教授娜杰日达·卡普斯京娜介绍，防范的起点应当是对任何带有诱人提议的来信进行批判性分析——意外之利与紧迫感同时出现，本身就足以让人警惕。 此外还有几条简单规则：

促销季开始后，热门品牌的假网店数量随之增加

● 第一条也是最有用的一条：正规平台几乎从不强迫用户通过第三方链接领取奖励——所有真实奖励都直接显示在用户的个人账户中。因此，应当在平台本身而非邮件中核实相关提议，用惯常方式打开应用或网站。 ● 第二条——养成查看链接实际指向何处的习惯。只需将鼠标悬停在链接上，就能在程序底部栏看到真实地址，并发现可疑的变形、多余字符或陌生域名区域。这只需一秒钟，而大多数虚假页面正是这样被识别的。 ● 第三条——在交易平台及绑定的支付服务中启用多因素认证。这是一道基础屏障：即使密码泄露，没有短信、推送通知或硬件密钥提供的一次性验证码，也无法夺取账户。 ● 第四条常被遗忘：定期更新操作系统、浏览器和杀毒软件。钓鱼往往被用作植入窃取数据的间谍软件的渠道，而过时的软件会明显降低其难度。 与此同时，品牌方面的任务正好相反。在用户学习识别虚假邮件的同时，平台自身也应当监控仿冒域名和冒用其名义的群发信息：克隆网站被发现得越早，在其来得及收集买家数据、损害品牌声誉之前将其封禁的机会就越大。