关于黑产手机号，最常见的两个误解是：一是以为”现在都实名制了，黑产没号可用”；二是以为”他们手里真有几万张实体卡”。真实情况比这两者都更工业化——他们卖的不是卡，是可调用的号码资源；他们做的不是”薅一次”，而是让一个号池滚动起来。
先纠正一个直觉误区：不是”1 个手机号物理上变成 10 万个号”，而是一批可接收验证码的号码资源，通过接码平台分发、号商批量注册、跨 App 复用、养号提权、作废换卡，滚成一个可同时调用几万到几十万的”号池”。
用一句话概括这个产业的分工：
手机号是原料，验证码是闸门钥匙，号商是工厂，羊毛是出厂产品。
一、整条链长什么样：四类角色、三段流转
经典的黑产账号链，可以拆成”卡源 → 接码 → 号商/养号 → 变现”四层：
| 角色 | 提供什么 | 怎么获利 |
|---|---|---|
| 卡源 / 卡商 | 能收短信的手机号 | 按张、按号、按次出售 |
| 接码平台 | “号码 + 验证码”的中介市场 | 按条、包月、加价转售 |
| 号商 / 工作室 | 拿验证码批量注册各 App 账号，养号、出售或自用 | 按注册时长、实名程度、功能完整度定价 |
| 变现方 | 羊毛党、刷量、水军、诈骗、跑分 | 在具体业务场景里套现 |
流转逻辑是一条很清晰的流水线：
卡 → 验证码 → 新账号 → 养到”像人” → 按场景分组 → 薅完即弃 / 换卡补池。
注意最后一步：“换卡补池”才是这个产业能持续运转的关键。单看某一次薅羊毛，收益不过十几块；但只要号池能持续补充、账号能持续复用，这就是一条产线。
二、号从哪来：卡源决定上限
接码产业的上游瓶颈，永远是”能收验证码、且不被平台标记”的号码。
2.1 六类卡源
（1）黑卡 / 弱实名卡。 早期通过非正规渠道拿批量实名卡，或利用网点业绩压力重复开卡。上游常和运营商内部人员、加盟商、代理渠道有关。
（2）虚拟运营商号段。 170、171、162、165、167 等号段因成本低、部分仅短信功能，长期是接码高发资源。但风控不能简单全禁——应提高验证等级，而不是一刀切，否则误伤成本会转嫁到正常用户身上。
（3）物联网卡。 企业名义入网、个人不实名的物联卡曾被挪作短信接收。这类卡的关键问题是”不是个人实名但能收码”，对注册风控尤其麻烦；检测上要看号卡产品类型标签（IoT / 行业卡）、是否手机终端入网、是否突然开通短信验证码功能。
（4）猫池卡。 SIM 卡插在猫池（8 / 16 / 64 / 128 口，甚至更大）里，由电脑统一收码。历史案例里，大卡商可管理数万口、轮换数十万张卡。
（5）拦截卡（木马卡）。 在受害者手机上植入木马或利用设备后门，让验证码短信被静默转发到对码 / 接码平台。浙江新昌”番薯”案就是一个完整闭环：木马 → 对码 → 接码 → 羊毛，被查时该平台是当时最大的接码平台——番薯把收到的验证码加价后以 0.8～3.8 元/条的价格卖给薅羊毛群体，每个号码赚约 3 毛。该案涉及被植入木马的手机（多为老年机）数百万台，拦截验证码数百万条，非法获利数百万元。
（6）境外卡 / eSIM / 云号。 缅甸、老挝、澳门等部分渠道实名松、月租低，用于跨境注册；eSIM、云号、语音接码则以 API 或私密链接交付，减少对物理猫池的依赖。
2.2 2025 年的一份关键情报：结构变了
根据威胁猎人（Threat Hunter）《2025 年互联网黑灰产趋势年度总结》披露的数据，这个上游正在发生一次”换代”，比总量的变化更值得关注：
| 指标 | 2025 年 | 同比 |
|---|---|---|
| 国内新增作恶手机号 | 超 1100 万 | +30.02% |
| 其中：猫池卡 | 349 万 | −33.85% |
| 其中：拦截卡 | 786 万 | +127.77% |
| 非中国大陆新增猫池卡 | 2622 万 | +117.81% |
更关键的是占比的置换：拦截卡在新增风险手机号中的占比，从 2024 年的 39.5% 跃升到 2025 年的 69.23%。
原因并不神秘——企业加强了对传统接码手机号的风控，而拦截卡”手机卡在真人手里、只是设备被植入了后门”，号码本身和真人行为高度相似，天然更难过风控。同一份报告还指出，拦截卡的运营商归属中三大运营商占比高达 97.8%，这正是它区别于传统接码资源、”更像真人”的原因。
报告里同时记录了另一条趋势：真人众包型接码平台在 2025 年增长明显——通过众包平台、私域群组或专项 App，招募宝妈、学生等真实用户，用其真机真号完成任务赚佣金。它的优势是三重叠加的：隐蔽性更高（真人号码规避多数风控）、使用更便利、价格更便宜（无需猫池硬件、无需卡源物料，只结算佣金）。
风控启示：手机号的”真实性”不等于”安全性”。 一个号是否危险，要看卡源类型、入网时长、历史注册行为、接收验证码时的 IP / 设备上下文——而不是只看”能不能收到短信”。
三、接码平台：从「公开市场」到「私域链接」
接码平台这几年的形态演进，方向非常一致：从公开走向私密，从中心化走向去中心化，目的只有一个——降低可被溯源、可被打掉的面积。
3.1 传统多对多平台
平台主搭系统，卡商上卡，攻击者选 App + 国家 / 地区 + 号段 → 下单 → 注册 → 平台从猫池 / 短信网关取码回传。
- 优点（对攻击者）：门槛低，不需要自己维系卡源；
- 缺点：号码池共享、易被多伙复用、平台账户可溯源——一旦平台被打掉，上下游一起暴露。
海口”2020.9.29”部督案就是这么端掉的一例：捣毁卡商窝点 3 个、扣押电话黑卡 3 万余张、猫池卡池 200 余部，铲除接码平台 1 个，平台注册会员达 3000 余人，其中近一个月交易手机验证码达 285 万条、交易金额 130 万元。
3.2 群接码（一对多私域）
卡商不进公共平台，用 QQ / Telegram / 网页留言，把”加密手机号 + 验证码”发到约定的群组里。
去中心化、少留平台账户、降低溯源面——这是它取代传统平台的核心原因。
3.3 链接接码（一对一）
卡商给单个客户发专用接码链接或 API，号码不公开、不进群。
威胁猎人 2025 年报告对这种模式的描述更精确：“一号码一项目一链接”——每个手机号在接码每个项目时分别生成专属链接，每个号码仅服务单一项目，每个链接只展示对应项目的验证码。
它解决的是传统接码的两大痛点：
- 养号成果被窃取：传统共享对接码 / 转码房间里，号码明文或掩码可能被其他黑产读到，账号被劫持；
- 易被监管溯源：链接接码把接码域名与黑产平台域名分离，或售给分销商使用独立域名。
对防守方来说，这种形态最麻烦：传统的”查封接码网站”根本打不到私域。
3.4 配套工具链
接码只是流水线上的一环，它周围还有一整套配套：
| 工具 | 作用 |
|---|---|
| 打码平台 | 识别图形验证码，配合接码过注册第一关 |
| 对码平台 | 在木马 / 真实卡场景里做”手机号—验证码”配对转发 |
| 注册机 / 脚本 | 自动填号、取码、提交、完善资料 |
| 改机 / 群控 / 模拟器 | 伪造或轮换设备参数，支持真机阵列批量操作 |
这四件工具加在一起，构成的是一个”注册工厂”：号码来自接码，验证码来自对码 / 打码，设备来自改机群控，流程来自脚本。任何一环单独看都不新鲜，组合起来就形成了工业化产能。
四、号商怎么把「新号」养成「羊毛号」
批量注册只是第一步。直接拿新号去薅，很容易被风控按”新号 + 同设备 + 同 IP”一锅端，所以要养。
养号的目标：让账号有注册时长、有行为轨迹、有社交关系、有设备习惯、有支付 / 实名厚度——从而在营销活动里被系统判为”普通用户”。
典型养号动作（仅用于识别，不作操作指导）：
- 模拟登录、刷信息流、加好友、建群、发圈 / 发帖、点赞评论；
- 用群控真机或模拟器做”拟人节奏”，随机间隔、随机轨迹；
- 用指纹浏览器 / 多开环境隔离 Cookie 与软硬件指纹，避免同环境关联；
- 用住宅 / 移动代理轮换 IP，降低数据中心 IP 的风险评分；
- 分阶段提权：新号 → 月号 → 年号，按时长与功能完整度卖不同价。
号池规模是怎么滚到”十万”级的
很多人卡在这里：物理卡就几万张，怎么会有十万个号？答案在”复用”：
- 单卡可注册多平台：微信、电商、外卖、酒旅、视频、金融各一个；
- 每平台按”注册—养—用—废”循环，废号换卡补新；
- 号商同时持有几万张可用卡 + 历史已养号 + 外购老号，可调用池远超物理卡数；
- 活动前集中”预热”注册，活动后弃号——这也是为什么电商大促前，黑产号池会集中激活。
所以那个公式应该写成：
十万羊毛号 ≠ 十万张实体卡，而是”可用接码资源 × 多平台注册 × 养号提权 × 废号换源”的滚动池。
这也解释了为什么”封号”对号商来说不是致命打击：封的是存量，他要的是流量。只要卡源不断、接码通道畅通，号池就能在几天内重新灌满。
号池的生命周期：一条时间线
把号池当成一个”业务系统”来看，它的运转有明显的周期性。以电商大促为例：
| 阶段 | 时间 | 动作 | 风控可观测点 |
|---|---|---|---|
| 备料 | 活动前 2～4 周 | 大批量收卡、开卡、入猫池 | 新激活号集中出现、同代理同批次 |
| 预热注册 | 活动前 1～2 周 | 批量注册目标平台账号 | 注册时段集中、设备与号段高度重复 |
| 养号 | 活动前 3～10 天 | 模拟浏览、加购、停留、少量真实下单 | 行为规律性、会话时长分布异常 |
| 抢购 | 活动当天 | 秒杀、领券、批量下单 | 请求频率尖峰、操作路径完全一致 |
| 复用 | 活动后 | 同一批号转做外卖 / 酒旅 / 金融 | 跨业务线的号码复用特征 |
| 弃号 / 换源 | 活动后 1～4 周 | 废号丢弃、补入新卡 | 号池”号龄”结构突然年轻化 |
这条时间线本身就是一套检测时标：如果你知道对方什么时候备料，就不必等到抢购当天才发现异常。
号商的定价逻辑
号商卖的其实不是”号”，而是”账号资产“。定价维度大致是三个：
| 维度 | 低价值 | 高价值 |
|---|---|---|
| 号龄 | 当天新号 | 半年以上老号 |
| 实名厚度 | 仅能收码 | 可完成绑定、支付、提现 |
| 功能完整度 | 只能登录 | 有好友关系、有消费记录、有设备习惯 |
这也解释了一个常被忽略的现象：为什么黑产愿意花时间”养”？ 因为养号的每一分钟都在给账号”加价”。同一张卡，当天卖和养三个月后卖，价格可以差好几倍。
对防守方来说，这张定价表也给出了一个反击点：让”高价值账号”更难养出来。 如果一个平台能持续识别”无真实社交关系、行为高度规律、设备环境隔离”的账号并施加降权，那么养号的投入产出比就会下降——黑产要么提高成本，要么放弃这个平台。
为什么养号是门生意
有人会问：直接拿新号薅不行吗，为什么要花成本养？
因为风控系统对”新号 + 高价值操作”的敏感度极高。一个刚注册、零历史的账号如果立刻去领大额红包或申请贷款，几乎一定触发规则；而一个”养了三个月、有好友、有消费、有设备习惯”的老号，过风控的概率高得多。
换句话说，养号是在为”通过率”付费。号商卖的不是卡，是”通过率”——这是养号这门生意存在的根本原因，也是为什么防守方要把”老号的真实度”也纳入评分，而不是看到老号就放行。
识别养号的三个可观测指标
养号虽然在模仿真人，但受限于成本，总会在三个地方露出马脚：
- 交互间隔的方差。真人操作的时间间隔方差很大（有时 2 秒、有时 8 分钟）；群控脚本的方差被”随机函数”压缩在一个窄区间里。方差过小是脚本，方差”均匀得不像话”同样是脚本——这是反欺诈中一个相当反直觉的判据；
- 内容与关系的多样性。真人会关注杂乱的东西、会加真实好友、会有无意义闲聊；养号账号的内容与关系往往围绕单一目标构建，多样性显著偏低；
- 会话时长的分布。真人一天的活跃时段呈明显峰谷（早晚高峰、午休低谷）；养号账号的活跃时段往往分布得过分平滑，或者集中落在机器可调度的时段。
一句话：养号能模仿”行为的样子”，但很难模仿”行为的不规律”。 而人的本质特征，恰恰是不规律。
五、羊毛变现的几种典型
养号是为了变现，而变现方式决定了号池的”用途分层”：
| 变现方式 | 玩法 | 号池要求 |
|---|---|---|
| 首单 / 新人红包 | 接码注册 → 领红包 → 下单自提或与商户分赃 | 只要新号、无历史 |
| 电商抢券扫货 | 卡商 + 抢购软件 + 猫池，大促批量抢满减 / 特价机转售 | 需要大量号 + 高频请求 |
| 外卖 / 酒旅拉新 | 邀请制裂变，用新号当”被邀请人”套现金 | 需要”新号 + 可信设备” |
| 社交水军 / 直播刷量 | 养号后做粉丝、点赞、评论、直播间挂机 | 需要”号龄 + 拟人行为” |
| 金融小贷 / 诈骗引流 | 新号申请小额贷、骗贷，或作为诈骗马甲 | 需要”实名厚度 + 干净历史” |
同一批号常跨场景复用：先电商首单、再外卖红包、再金融申额，按”号龄 + 行为分”分配任务。这意味着一个号池同时喂养多个下游产业，反欺诈系统很难只通过某一条业务线把整池打干净。
六、平台侧反制：别只盯「手机号」
只看手机号必输。黑产换卡、换接码、换虚拟号的速度，永远比名单更新快。
正确的姿势是按”验证码 → 设备 → 行为 → 关系 → 业务“五层建防。
6.1 短信 / 验证码层
- 频控：同号、同 IP、同设备、同业务按时间窗限制发送与校验；
- 号段风险分层：170 / 171 / 165 等不硬拦，而是提高验证等级、降低发送频次、叠加设备 / IP 判断；
- 图形 / 行为验证码分层：低风险无感，中风险轻量滑动，高风险点选 / 语序 / 轨迹；看完成时间、轨迹自然度，不只看对错；
- 敏感操作组合验证：改密、换绑、支付等操作叠加语音、常用设备绑定、生物校验；
- 验证码提交时间异常（秒回、批量秒过）作为自动化信号。
6.2 设备层
- 设备指纹不依赖单一 ID：综合 OS、分辨率、字体、Canvas、传感器、调试状态、群控特征；换 ID 也能靠硬件 / 传感器关联；
- 识别模拟器、Root / 越狱、改机 Hook、群控调试、云手机、无头浏览器；
- 陀螺仪 / GPS 长期不变、多账号同传感器特征 → 高风险（这正是关联网络那一篇里说的”伪造不出来的物理噪声”）。
6.3 网络层
- IP 信誉库 + 代理 / 秒拨 / 数据中心识别；但 IP 不能单独定案，必须配合设备 / 行为；
- 同一 IP 短时大量注册、跨地区跳变、廉价代理集中 → 提分（不一定要硬拦）。
6.4 行为层
- 注册后浏览 / 下单 / 登录节奏建模：凌晨批量注册、秒下单、统一购物车、统一收货模式均属异常；
- 养号识别看”拟人度”：交互间隔方差、内容多样性、关系网络自然度；纯脚本养号往往轨迹过规整。
6.5 关系图谱层
- 建图：手机号—设备—IP—账号—收货人—银行卡—邀请人；一个接码号会牵出成批同设备、同收货、同邀请链账号；
- 簇级拦截：活动前对”新注册 + 无历史行为 + 集中邀请关系”做种子聚类，不按单号拦，按簇拦。
6.6 业务规则层
- 新人权益绑定多重阈值：设备 + 手机号 + 实名 + 支付工具，避免”只验短信就发钱”；
- 邀请奖励看被邀号的全生命周期价值，不按注册数即时结算；
- 高危险活动用白名单 + 灰度 + 人工抽检，而非全量开放。
6.7 一个容易被忽略的平衡：误伤治理
前面讲”别只盯手机号”，但也要提防另一个极端——把所有可疑信号都硬拦。
真实的用户群里，”像黑产”的行为非常常见：
- 新入职的年轻人批量注册工具类 App；
- 老人换了手机后要重新登录所有账号；
- 出差的人一天之内跨三个省、连五个 WiFi；
- 做小生意的人一天收几十笔小额转账。
这些人的特征和黑产重叠度很高。如果只追求拦截率，最先被拦住的永远是这些”行为异常但清白”的用户——而他们往往是最活跃、最容易被激怒的用户。
可用的做法是分层验证，而不是二元拦截：
| 风险等级 | 处置方式 | 用户体验 |
|---|---|---|
| 低 | 无感放行，只记录特征 | 无干扰 |
| 中 | 轻量验证（滑动、短信 + 常用设备） | 轻微摩擦 |
| 中高 | 延迟放行（资金类操作延至 T+1 复核） | 有明显摩擦但可完成 |
| 高 | 拦截 + 人工复核 | 需要申诉通道 |
关键在于：“延迟”是一种被严重低估的处置手段。 黑产的时间成本和资金周转成本极高，一笔延至次日的提现，往往比直接拦截更能消耗对方——因为它几乎不产生误伤申诉，却实实在在地打断了对方的资金节奏。
6.8 反制优先级：先把性价比最高的做掉
五层反制不能平均用力。按”投入产出比”排序，优先做这三件：
- 频控 + 行为序列（最低成本、最高杠杆）：不依赖任何外部数据，靠自家日志就能上线，能拦住大部分机械化羊毛；
- 关系图谱的”辅助研判”（中等成本、高杠杆）：先不自动拦截，先帮风控分析师把团伙找出来，跑通三个月后自然过渡到自动处置；
- 号码信誉 + 跨域关联（较高成本、长期收益）：需要运营商数据合作与多端打通，是最后的护城河。
一个常被忽视的事实：名单拦截（封 IP、封号段、封设备）的边际收益是递减的——黑产换得比名单更新快，越往后封性价比越低；而”多维度聚合 + 行为序列 + 关系簇”的边际收益是递增的，因为黑产要在更多层同时伪造，成本指数上升。
七、治理与合规边界
接码、卖黑卡、养号、倒号，可能涉及侵犯公民个人信息、帮助信息网络犯罪活动（帮信罪）、诈骗共犯等风险；号商若牵涉实名料、银行卡、验证码拦截，性质更重。
平台侧的处置有两个要点：
- 别只封用户，要保留证据链：接码特征、设备簇、资金代收（发卡平台 / 卡密）、代理群，便于移交执法。单个账号是消耗品，特征簇才是有价值的线索；
- 对正常用户要防误伤：虚拟号段、新号、境外归国号不能一刀切，用分层验证代替全量拒绝。
平台侧证据留存清单
移交执法时，最有价值的不是”我们封了多少号”，而是能拼出完整链路的特征簇。建议至少留存：
- 接码特征：该批账号使用的号段、接码平台域名 / API、验证码回传时间分布；
- 设备簇：关联的设备指纹、调试状态、群控特征；
- 资金流：发卡平台、卡密、代收账户、分润比例；
- 组织链：代理群 ID、上下线昵称、招募话术截图。
这些证据对”帮信罪””侵犯公民个人信息罪”的定罪至关重要，远比单条封禁更有意义。
一个判断：接码产业正在”点对点私密化”
把本文和前面接码平台那篇放在一起看，会看到一个清晰的趋势——接码产业正在从”公共市场”走向”私域点对点”：
- 传统多对多平台（公开网站、会员制）→ 被端掉一批后收缩；
- 群接码（QQ / Telegram 私群）→ 降低溯源面；
- 链接接码（一号码一项目一链接）→ 连平台域名都和黑产主体分离；
- 真人众包（宝妈、学生真机真号）→ 连物理猫池都不再需要。
对防守方而言，这意味着”查封接码网站”这种运动式打法的边际收益在下降。真正可持续的防线，是把检测重心从”平台”下沉到”号码行为本身”——无论接码形态怎么变，号码进池后”零个人通信 + 集中收码 + 高价值注册”的行为模式不会变。
换句话说，接码形态越私密，越说明”平台打击”有效——黑产被迫转入更难追踪的形态，本身就是治理见效的信号。
一个一线观察：号池比你想的更难打干净
最后说一个现实：即便平台把接码、养号、变现全链条的防御做齐，”打干净号池”依然是个伪命题。
原因在供给侧——卡源是无限弹性的。今天封了猫池，明天有人用真人众包；封了众包，有人去境外开卡；封了境外，有人盗用物联网卡。每一次治理都把成本往上推，但黑产总能找到更上游的卡源。
所以对一个平台来说，现实的目标不是”彻底消灭号池”，而是”把本平台的号池收益率压到对方无利可图“。这就回到本文反复强调的那条原则：别在”识别单个号”上较劲，要把成本堆在”多维度同时伪造”上——让对方每薅一次，都要重新养一批、重新搭一套、重新赌一次不被簇级拦截。收益率一旦低于某个阈值，号池自然会转向更容易的平台。
小结
- 这个产业的模型不是”一个号变十万个号”，而是**”可用接码资源 × 多平台注册 × 养号提权 × 废号换源”的滚动池**；
- 上游正在换代：猫池卡收缩、拦截卡与真人众包接码扩张，号码的”真人相似度”在提升；
- 防它不能只验手机号，要把验证码成本、设备身份、行为拟人度、关系簇、业务权益五件事一起算；
- 一句可以直接用作原则的话：打接码平台，不如打”号池复用特征”；封单个号，不如封”同设备、同行为、同邀请”的簇。
相关文章
- 猫池与手机口：从黑卡供给到检测的工程视角：本文上游”六类卡源”的供给侧全貌与检测方案
- 风控把散点连成网，黑产把网撕成散点——欺诈团伙的「五层打散术」，与风控的「五层反制」：本文”关系图谱层”的完整方法论
- 不转账、不扫码，骗子却让你把现金装进奶粉罐寄走——「两金」线下交付产业链拆解
- 你的个人信息在暗网值多少钱
素材来源
- 威胁猎人《2025 年互联网黑灰产趋势年度总结》（澎湃新闻·湃客，2026-01-13）：新增作恶手机号 1100 万、猫池卡 349 万（−33.85%）、拦截卡 786 万（+127.77%）、拦截卡占比 69.23%（2024 年为 39.5%）、拦截卡三大运营商占比 97.8%、境外新增猫池卡 2622 万（+117.81%）、真人众包型接码与”一号码一项目一链接”链接接码；
- 海口”2020.9.29”部督案（新华社 2020-11-25、中新网 2020-11-26、光明网 2020-12-07）：卡商窝点 3 个、黑卡 3 万余张、猫池卡池 200 余部、接码平台 1 个、会员 3000 余人、单月交易验证码 285 万条 / 130 万元、抓获 18 人；
- 浙江新昌”番薯”接码平台案：验证码转售价 0.8～3.8 元 / 条、每号加价约 3 毛（2020-01 央视及后续报道）；
- 接码形态、养号动作、变现方式等产业结构性描述，来自公开的黑灰产调研报道与行业交流整理，仅作识别与防御用途；
- 文中接码价格区间（收码约 0.1 元/条、转售 0.8—3.8 元/条）、番薯案”单人日注册二三十号、团伙日注册三四百号”、卡池单台可 8–256 卡等，分别为公开早期报道、反诈科普材料与海口部督案口径，仅作量级与形态示例；
- “双11前号池集中激活””大促前备料”为行业公开观察而非特定案件，作时间线示例；
- 本文与姊妹篇《猫池与手机口》《风控把散点连成网》构成”供给—账号—检测”三部曲，可对照阅读；
- 文中未引用任何具体接码平台网址或卡商联系方式，所有案例仅作识别与防御用途。
评论