2026 年上半年，在监管打击、平台治理与企业风控能力持续加强的背景下，国内风险手机号、风险 IP、洗钱账户等部分传统黑产资源出现明显收缩。但从整体风险态势看，黑灰产并未真正退潮，而是持续向境外资源、隐蔽代理网络、临时邮箱及更复杂的产业链路迁移。
近日，企业黑灰产情报厂商威胁猎人反欺诈情报研究团队发布《2026 年上半年互联网黑灰产研究报告》。报告基于长期监测数据、真实风险样本与企业治理实践，系统分析 2026 年上半年黑产攻击资源变化、产业链演进及典型作恶场景，重点覆盖风险手机号、风险 IP、网络洗钱、业务欺诈、品牌外部风险与信贷欺诈等领域。作为威胁猎人连续多年面向行业推出的趋势研究成果，该系列报告依托其在黑灰产情报领域十年的数据与研究积累，为企业研判风险趋势、调整反欺诈策略提供参考。
国内黑产资源明显收缩，境外手机号资源逆势扩张
报告显示，2026 年上半年，威胁猎人监测到的新增国内风险手机号为 351.6 万个，较 2025 年下半年下降 53.6%。其中，国内猫池卡下降 26.7%，拦截卡下降 68.35%。多个发卡平台和接码平台在上半年出现停服、站点异常或供给收缩，监管打击和供给侧波动共同压缩了国内黑卡资源规模。
与国内资源收缩形成鲜明对比的是，非中国大陆地区猫池卡数量较 2025 年下半年增长 110.55%，新增捕获量达到 294 万例，主要集中于美国、加拿大、沙特阿拉伯等地区。这意味着黑产手机号供给正在形成“国内收缩、境外扩张”的结构性迁移，企业在注册、登录、营销权益和交易等环节的风控范围，也需要由国内号码风险进一步延伸至海外接码资源。
风险 IP 资源同样呈现总量下降但隐蔽性增强的趋势。2026 年上半年日均活跃风险 IP 约为 1165 万个，较 2025 年下半年下降 16.31%。但在国内代理 IP 中，“劫持共用代理”占比达到 83.91%。此类 IP 大部分时间由正常用户使用，仅在短时间内被黑产调用，导致单纯依据 IP 历史信誉进行判断的策略更容易出现漏判。
业务欺诈风险线报约 9 亿条，电商成为最集中的攻击场景
传统资源供给下降，并未带来业务欺诈活跃度同步回落。2026 年上半年，威胁猎人反欺诈情报平台累计捕获业务欺诈风险线报约 9 亿条，其中 6 月达到约 2.43 亿条，占上半年总量超过四分之一。
报告认为，黑产活动与平台营销预算、补贴投入和大促节点高度相关。补贴越集中、交易越高频，黑产越容易在短期内组织资源实施规模化套利。上半年共预警业务欺诈风险事件 2088 起，二季度事件量达到 1302 起，较一季度增长约 65.54%，显示黑产在整个二季度均保持较高攻击强度。
从行业分布看，电商风险占比以 27.44% 居首，银行与支付合计占 25.26%，本地生活与出行旅游分别占 13.46% 和 14.26%。四类高频交易、高补贴、高流量场景合计占比超过八成。2026 年上半年电商风险情报量达到 1615 万条，较 2025 年下半年增长 83%，营销权益、订单交易、会员账号和售后规则仍是黑产重点利用的对象。
暗网成为重大数据泄露的主要公开渠道
企业品牌外部风险也在发生明显变化。品牌保护已不再只是发现和处置仿冒网站，而是需要同时保护品牌身份、官方渠道、客户关系和公共声誉，避免用户在搜索、内容、社交、客服和下载等入口被截流或误导。
2026 年上半年，威胁猎人共确认有效数据泄露事件 23,645 起，较 2025 年下半年增长 6.98%；其中重大数据泄露风险事件 542 起，增长 22.90%。暗网在重大风险事件中的占比由 76.64% 上升至 95.02%，已经成为企业数据样本、攻击声明和重大风险事件公开披露与传播的主要外部渠道。
同期监测到钓鱼仿冒与品牌滥用风险事件 45,321 起，其中 SEO 污染占 45.73%，仿冒网站占 29.56%。搜索结果和仿冒页面已经成为用户在寻找客服电话、退款理赔、贷款办理、账户异常处理或应用下载时被截流的重要入口。
生成式 AI 进入售后欺诈链路，虚假证据制作门槛下降
报告还关注到生成式 AI 对欺诈手法的推动作用。部分黑产已经开始使用 AI 生成商品破损、设备故障、污染或电池泄漏等虚假图片，并将其作为售后申请和退款申诉的证据材料。
这类风险并非简单的图片造假，而是与虚假客诉、物流规则利用、重复申诉、客服博弈和投诉施压等手段结合，形成“虚假证据生成 — 售后流程触发 — 客服规则博弈 — 退款结果兑现”的完整作弊链路。
与传统恶意退款相比，AI 生成内容降低了黑产对真实商品状态和真实拍摄环境的依赖，也提高了虚假材料的制作效率和表面可信度。平台售后风控因此不能只依赖图片是否清晰、场景是否合理，而需要结合订单历史、账号关系、图片生成特征、申诉行为和物流状态进行综合判断。
品牌侵权由单点假货升级为一体化经营链路
在品牌保护领域，威胁猎人监测发现，针对母婴保健、服饰等高客单价、强渠道管控品类的侵权风险，正在从零散的假货或窜货，演变为“正品回收 — 低价窜货 — 假货混售 — 竞品拉踩”的一体化链路。
产业链上游通过社交平台和二手交易平台长期回收正品，并设置固定收货点和集散仓；中游通过直播间、综合电商平台新开店铺及社交电商渠道进行低价销售；下游则可能混入假货、高仿品，并利用相似包装、产品名称和视觉设计搭蹭品牌流量。部分账号还通过产品测评和竞品对比的形式持续贬低品牌，并将消费（883434）者引导至其他商品或非授权渠道。
以某母婴品牌为例，威胁猎人持续监测发现，相关回收信息的收货人和地址多次重复出现，且高度集中于深圳龙岗布吉，说明相关行为并非短期零散作案，而是存在持续运营的回收网络。
这类产业链不仅影响品牌知识产权，还会同时冲击渠道价格、加盟商利益、产品口碑和消费（883434）者信任。品牌治理因此需要从“发现假货后处置”转向对回收源头、非授权店铺、仿冒商品、内容拉踩和黄牛套利的全链路监测。
世界杯赌博引流走向“真人代发产业化”
围绕重大体育（884258）赛事，黑产内容引流也开始向组织化、众包化方向发展。报告发现，2026 年世界杯相关赌博引流已形成“组织招募 — 真人代发 — 对抗风控 — 站外落地 — 跑分洗钱”的完整链条。
与过去黑产自建账号发布涉赌内容不同，相关团伙通过押金制群组招募真实用户账号，发布标准化任务包，由真人账号在短视频、评论区、主页资料和直播等场景完成内容投放。由于代发账号具备较真实的使用轨迹和社交行为，平台仅依据账号注册时间、活跃度或设备信息进行判断，识别难度明显增加。
在典型案例中，黑产通过两个账号配合发布评论：一个账号先发布带有投注暗示的内容，另一个账号追问购买入口，前一个账号再将域名拆分为两段回复，从而规避平台对完整网址和敏感词的识别。
这种“真人代发、双号互动、域名拆分”的组合方式，使恶意引流在表面上更接近正常用户交流。平台需要重点识别账号之间的异常互动关系、连续回复中的域名片段、重复话术及跨账号协同行为，并结合重大赛事节点提前部署风险策略。
快消代下单形成四层产业链，营销预算被系统化套现
快餐、咖啡和新茶饮品牌高度依赖新人优惠、储值返利、订阅卡和社群券等营销活动，这也催生出工厂化的“代下单”黑产平台。
其核心逻辑是，黑产批量注册并运营带有余额、优惠券和会员权益的账号，再以低于官方售价、高于实际成本的价格向消费（883434）者出售套餐，将品牌投入的营销补贴转化为自身收入。
当前代下单产业链已经形成上游供应商、核心平台、代理分销和终端消费（883434）者四层生态。上游提供接码、账号授权和代理 IP，核心平台负责账号管理、模拟下单、支付和结算，代理通过社群或电商渠道售卖兑换码，消费（883434）者在黑产自建页面中选择门店并完成取餐。
对品牌而言，其影响不仅是优惠被薅。大量批量注册账号会形成“幽灵会员”，污染新客、活跃用户、复购率和储值增长等经营数据；非官方低价订单还会冲击正常价格体系和加盟商利益。
传统风控难以有效识别的原因在于，单笔订单通常由真实会员账号使用有效余额和权益完成，从孤立行为看并无明显异常。治理需要从营销规则设计、账号关系识别、设备和 IP 关联、权益使用路径及数据资产清洗等多个维度同步推进。
洗钱资源受到压缩，手机银行仍是主要涉诈转账渠道
2026 年上半年，用于洗钱的对公账户新增数量较 2025 年下半年下降 70.81%，相关洗钱团伙减少 21.29%；洗钱商户数量下降 48.23%。报告分析认为，担保平台和资金通道连续受到打击，黑产内部信任下降、协作受阻，是相关资源收缩的重要原因。
但从受害人涉诈交易看，风险仍然活跃。威胁猎人基于上半年新增监测到的 3.5 万笔涉诈交易分析发现，手机银行转账占比达到 72.46%，是受害人资金转出的主要渠道。涉诈转账金额集中在 1000 元、2000 元、3000 元、4000 元和 5000 元附近，其中 1000 元和 5000 元两个整数档最为突出。
黑产正在从资源竞争转向产业链与组织能力竞争
综合 2026 年上半年监测数据，威胁猎人认为，传统资源总量下降并不等同于企业风险敞口缩小。当前黑灰产正在形成五项值得持续关注的趋势。
首先，黑产资源“国内收缩、境外扩张”的迁移已经较为明显，企业需要加强海外手机号、代理 IP 和临时邮箱等风险资源的识别能力。
其次，黑产正在由零散作案转向一体化、工厂化运作。品牌侵权、赛事引流和快消代下单均已出现完整的角色分工、服务交易和规模复制能力。
第三，生成式 AI 正在降低虚假内容和欺诈证据的制作成本，传统依赖静态规则和人工审核的风控模式面临更大挑战。
第四，暗网已经成为重大数据泄露风险的主要公开渠道。企业不仅需要关注数据是否泄露，还需要持续跟踪企业名称、数据样本和攻击声明是否进入外部传播。
第五，信贷欺诈虽然在高压治理下出现部分收缩，但留存团伙正在转向真实补缴、长期数据养护及技术与关系结合的精细化欺诈，单纯依据虚假材料和异常行为进行识别的策略需要进一步升级。
威胁猎人表示，未来企业反欺诈工作需要从单点规则拦截转向持续情报监测、跨账号与跨渠道关联分析，以及攻击链路和资金链路的协同治理。只有在黑产完成规模化复制之前识别早期风险信号，才能建立更加主动、前置和系统化的防御能力。
除本报告外，威胁猎人还将陆续发布信贷风险与品牌保护专题研究报告，分别围绕信贷欺诈、数据泄露、钓鱼仿冒与品牌侵权等重点场景，进一步分析不同行业的风险变化和治理重点。
