猫池与手机口——从黑卡供给到反欺诈检测的工程视角

普通人看诈骗，最大的疑问往往是：现在手机号不都实名制了吗？为什么灰产手里还有那么多卡？

答案很残酷：黑产不是”绕开实名”，而是利用实名人、剥离控制权。

反欺诈领域有一个经典悖论：黑产用的工具越”低级”，检测反而越难。

猫池不过是一堆 SIM 卡插在硬件上批量收发短信；手机口不过是两部手机用音频线连起来中转语音。它们没用到任何高深技术，却恰好卡在”传统规则能覆盖”和”机器学习能识别”之间的灰色地带。

这篇文章从工程视角分三部分拆：卡从哪来（供给侧）→ 猫池怎么检测 → 手机口怎么检测。

一、为什么实名了还有大量 SIM 卡：从「实名登记」到「实人控制」

读这篇文章前，先厘清一个前提：本文讲的”黑卡”，绝大多数不是匿名黑卡，而是实名卡被剥离了控制权。这一点决定了整篇文章的视角——我们讨论的不是一个”实名制失效”的故事，而是一个”实名之后，谁来用、怎么用”的故事。

也正因如此，后面的六个供给分类（地推诱办、兼职交卡、内鬼、虚商、物联、接码池化），本质上是在回答同一个问题：一张卡，如何在”实名登记”之后，变成”不在实名人手里被远程控制”的资源？

手机号实名制的价值，常被两头误解：

一头高估：以为”实名 = 安全”，觉得黑产拿不到卡；
另一头低估：以为实名完全没用，所有诈骗号都是匿名黑卡。

真实情况是——实名降低了匿名开卡的规模，但没有消灭”实名不实人””实名人不出面、控制人远程用”的供给链。

1.1 地推诱办、礼品类截留：实名人是群众，卡被收走

最典型的一类：团伙以”办卡送米面油””帮运营商冲业绩””免费领礼品”为名，在乡镇、社区、校园、劳务市场拉人实名开卡，激活后不把卡交还本人，而是集中插进猫池。

两个已进入司法程序的案例，可以看清这套话术的完整形态：

上海奉贤案：犯罪嫌疑人身着假冒某通信公司工装，以”免费送米送油”为诱饵，专盯信息安全意识较弱的老年人在村镇摆摊办卡，谎称”只为完成开卡任务”，再通过调包手机卡、掰断假卡等手法骗取信任，悄悄截留真实卡片。警方查获”猫池”设备 100 台、实名手机卡 2 万余张、电脑 40 台，抓获 7 名嫌疑人，以侵犯公民个人信息罪提起公诉。主犯早期身份是”某通信企业手机卡第三方推广人员”——这是最危险的一类供给：懂流程、会讲业务话术、能接触到真实开卡环节。
河南移动加盟商案（2022 年，正阳县人民法院）：石某经营移动手机店，一方面向村民免费赠送油、米，诱导老年人实名登记办卡（老人对卡的用途并不知情），另一方面利用此前办卡时留存的用户信息重新注册开卡。一条”送礼品”和一条”吃老资料”，两路同时出力。

这类卡的特点是：“实名”完全合规，”实人”完全分离。登记人不知道卡被用于接码，风控系统看到的是一张正常实名的新卡；只有结合后续行为（集中收码、零个人通信、固定基站、批量高价值注册）才会露馅。

一个判断：“送礼品办卡”这套话术经久不衰，不是因为技术高明，而是因为它精准利用了”顺手占便宜”的人性弱点与老年群体信息不对称的双重缺口。这也意味着，只靠技术手段、不配合公众反诈教育的治理，很难从根上消除这类供给——供给侧的缺口，一半在系统，一半在认知。

1.2 兼职 / 学生 / 老人交卡：真人实名、工具人交卡

黑产在 QQ 群、兼职群、校园群里发”办卡日结””两张卡 500 元””不用干活只借卡”，实名人自己去营业厅做人脸识别开卡，开完把卡交给卡商。

云南”拉新”案（2024 年，昆明市中级人民法院）：卓某飞伙同他人，以”拉新””帮移动公司冲业绩”为名，通过招”兼职”、赠送小礼品的方式，让不特定群众办理实名电话卡，然后把电话卡插入”猫池”设备，有偿提供给上家远程操控。提供给上家的电话卡共计 1 万余张，违法所得 50 余万元。
学生群体：校园”办卡返现”被批量收购，插猫池注册社交账号引流水军；
老人群体：地推以健康讲座、送鸡蛋名义办卡，卡片实际不交付；
手机口工具人：用自己的实名卡插一部手机、连音频线给境外中转，按小时拿钱。

这类”工具人”往往不自知已触犯帮信罪——他们以为是”兼职”，实际是在为诈骗提供通信中转。

识别这类供给，风控侧唯一能做的，是监测”实名卡突然从个人通信变成单一外呼 / 单一收码“的画像突变——卡还是那张卡，行为已经不是那个人了。所以”激活后通信画像突变”是地推 / 兼职类供给唯一可靠的可观测信号——没有它，实名状态本身毫无区分度。

对风控来说，这类卡前期”白”得不能再白：实名正常、入网时间正常、卡主没有前科。判黑不能靠实名状态，只能靠激活后通信画像的突变——从正常通话变成零通话、从个人混合行为变成单一收码 / 单一外呼。

1.3 代理 / 营业厅内鬼：冒名、重复开、工号批量开

实名系统依赖前端人审 + 人脸识别，但代理网点、加盟厅、外拓工号是薄弱环节。

大兴安岭”内鬼”案（2023 年，加格达奇区人民法院）是一个标志性判例：时任中国电信大兴安岭分公司南部支局支局长赵某某与时任综合支撑稽核员杜某合谋——杜某利用稽核权限，把 2020 年至 2022 年 2 月所有在大兴安岭电信公司办过业务的工单信息全部交给赵某某；赵某某再利用营业系统代理人身份，拿这些身份证照片重复开卡。截至案发共开卡 726 张，两人获利 4.56 万元。这些卡全部交给他人插入”猫池”设备远程操控并出售。

1.4 虚拟运营商卡与物联网卡：低月租、号段集中、”不是个人实名但能收码”

虚拟运营商租用基础网络，品牌独立、套餐低、号段相对集中（170 / 171 / 162 / 165 / 167 等常见）。对黑产的优势是：单张身份证跨多家虚商可办多张，不占基础运营商”每人 3～5 张”的厅店名额；低月租 / 零月租适合养卡。

但这里要特别提醒一个过杀陷阱：号段可以标注，但**”虚商 = 高风险”是典型的过杀判断**。正确做法是结合行为而不是号段一刀切。

物联网卡则是另一条路径：本用于车机、POS、抄表，按理企业实名、机卡绑定、不进手机。黑产供给来自两条违规：企业批量采购后回流个人市场，违规开通短信 / 语音功能；以及物联卡代理内鬼批量出货，走接码平台 API 化。检测上要看号卡产品类型标签（IoT / 行业卡）、是否手机终端入网、是否突然开通短信验证码、是否多卡同基站同网关。

一个容易被忽略的点：虚商与物联卡的风险，不只是”号段集中”，更是”入网时本就不在个人手里“。所以检测它们的第一信号不是”像不像人”，而是”它到底是不是插在人的手机里“——IMEI 机型、基站附着规律、是否手机终端入网，比号段本身更重要。

1.5 接码平台 + 猫池调度：实名卡被「池化」后按次出租

前面讲的是”卡从哪来”，这一层是”卡怎么变成可调用资源”。

卡商把实物卡插进猫池 / 卡池，接码平台封装成 API：下游号商传 App 名 → 平台分配手机号 → 猫池收验证码 → 平台回传。

关键点：接码平台不关心单卡是否实名，只关心”能否稳定收码”。 一张实名卡进池后，个人通信行为几乎为零，全部是验证码事件——这就是它和正常实名卡最大的行为差。这种”零个人通信 + 集中收码”的特征，正是后文猫池检测的核心抓手。

1.6 三个结构性缺口

把上面的供给整理成模型语言，就是三句话：

身份登记 ≠ 持续控制：实名只证明开卡瞬间人证一致，不证明后续卡不转交、不插池、不远程；
单卡合规 ≠ 批量行为合规：一张卡地推办出来不违规，一千张”同礼品 + 同代理 + 同基站 + 同接码”就违规；
运营商实名 ≠ 业务侧可信：互联网 / 金融平台拿到手机号，仍需自己做号码信誉、设备、行为、关系网络，不能把”已实名”当风控终点。

1.7 对风控的落地启发

把 1.1～1.5 映射成特征，可以列出这样一组信号：

新激活手机号，且实名年龄 / 地域 / 代理网点聚类；
激活后无通话、无流量、只收验证码；
同号段、同批次、同基站、同猫池主机聚合；
虚商 / 物联 / 行业卡标签加权，但不单独拒；
注册后秒进高价值操作（借贷、领券、提现、改密）；
同设备关联多张实名卡、同 IP 关联多个新卡；
手机口号叠加”只外呼不呼入、呼出时长集中、WiFi 下多设备音频外设”。

小结：实名是反欺诈的入口，不是反欺诈的全部。 检测重点应从”卡是否实名”前移到”实名之后谁在用、用在什么行为链上”。

这组信号的关键在于”组合”二字：单一信号（如”新激活”）是正常用户的常态，只有多个信号同时出现才构成可疑。这也正好呼应了首篇”多层同时伪造成本指数上升”的核心逻辑。

二、猫池检测：不是「识别猫池」，而是「识别接码行为」

熟悉反欺诈系统的人会发现一个现象：猫池和手机口的检测，难点不在”算法”，而在”数据在哪”。猫池留下的验证码日志通常在企业的注册风控管道里，手机口留下的语音信令却在运营商那边——同一类黑产，数据被两家各自守着。

这也解释了为什么很多平台”明明知道对方在接码，却拦不住”：验证码请求日志里看到的只是”一个号收了条验证码”，要把它和”同设备、同号段、同批次”的其他请求连起来，需要跨业务、跨时段的聚合能力，而这恰恰是多数平台缺失的。后面的检测框架，本质上是在补这个”关联”的缺口。

先纠正一个常见误区：反欺诈系统不需要识别设备是不是猫池。

猫池硬件型号繁多，从几十元的 USB 猫池到几万元的工业级机箱，外形差异极大，且黑产会不断更换硬件规避特征库。维护一份”猫池硬件指纹库”的思路，在工程上是不可持续的。

正确的检测路径是：识别接码行为模式，而不是识别猫池设备本身。

2.1 时序维度的检测特征

接码行为在单账号维度上往往不明显——黑产会用分散时段、随机间隔规避。所以必须在设备 / IP / 号码池三个维度聚合后观察：

维度	观测指标	经验阈值方向
设备维度	单设备在 T 分钟内关联 N 个不同手机号的验证码请求	正常用户一台设备最多关联 1～2 个号（主副卡），超过 3 个即进入可疑区间
IP 维度	单 IP 在 T 小时内服务的验证码请求次数	住宅 IP 密度远低于机房 IP，但黑产已大量用住宅代理，需结合 IP 类型标签加权
号段维度	同号段（前 7 位相同）手机号在同一设备 / IP 上集中出现	接码平台拿到的卡常为同批次激活，号段高度集中在正常业务里非常罕见

关键在”聚合”两个字：单条验证码请求是正常的，一千条来自同一台设备、同一号段的验证码请求才是证据。

这里有个工程上的提醒：聚合窗口（T 与 N）不能拍脑袋定。太小会漏掉分散的接码行为，太大会把正常用户的偶然集中误判为接码。稳妥的做法是先拿历史数据做”设备—号段”分布的基线，再把明显偏离基线的尾部当作可疑区间——让数据告诉你阈值在哪，而不是让规则拍脑袋。

2.2 行为序列维度的检测特征

接码行为不只是”收验证码”，还包括注册后的行为序列。正常用户注册后会浏览、设置、停留，而接码账号的行为序列高度模板化：

注册 → 收码 → 填写 → 立即进行高价值操作（领券、提现、借贷申请）；
注册到高价值操作的间隔极短（秒级），中间无浏览行为；
操作完成后立即退出，无任何留存行为。

这些特征可以用 LSTM / Transformer 编码后检测，也可以先简化为规则：注册后 X 秒内发起 Y 类敏感操作，且无中间行为 → 标记接码嫌疑。

2.3 号码信誉维度的检测特征

接码平台使用的手机号有几个共性，可以建成号码信誉分：

激活时长：新激活号码（< 7 天）在高风险操作中的占比远高于正常号码；
沉默期：激活后长时间无正常通信（通话、短信、流量），突然开始密集收验证码；
基站漂移：正常号码的活动基站相对稳定，接码卡通常固定在猫池所在地的基站下，不随正常作息移动；
IMSI / TMSI 重分配：同一 IMSI 在短时间内出现在不同手机号下，是 SIM 卡被反复插拔换卡的信号。

2.4 检测架构建议

在工程实现上，猫池检测通常放在注册 / 登录环节的实时风控管道中，大致是这样一条链：

请求接入
  → 设备指纹采集（OS / 传感器 / 调试状态 / 群控特征）
  → 网络信息采集（IP 类型 / ASN / 代理标签）
  → 号码信息采集（号段 / 激活时长 / 运营商类型 / 历史信誉）
  → 行为序列采集（注册后 X 秒内的操作路径）
  → 多维度聚合评分（设备 × IP × 号段 × 号码信誉 × 行为序列）
  → 分层处置（无感放行 / 二次验证 / 延迟放行 / 拦截）

这个管道的价值不在某个单一环节，而在**”聚合”**这一步——它把原本分散在注册、设备、网络、号码各个系统里的弱信号，第一次在”同一笔请求”的上下文里汇合。多数平台缺的不是某个检测能力，而是这个把信号汇到一起的管道本身。

其中”多维度聚合评分“是关键：单维度特征容易误杀（新号码也有正常用户），但多个弱信号叠加后，接码行为的置信度会显著提升。这也是前一篇文章强调的那条原则——把多个弱信号叠加成一个强信号。

2.5 猫池的硬件与部署形态（为什么”硬件指纹库”行不通）

要理解为什么不能靠”识别猫池硬件”来防御，先得知道猫池长什么样：

USB 猫池：几十元到几百元，8 / 16 / 32 口，插电脑 USB 即用，相当于”多卡读卡器 + 短信调制解调器”；
工业级猫池 / 卡池：64 / 128 口甚至更大，带独立供电与散热，常见于窝点；
卡池（SIM Bank）：把成百上千张 SIM 卡集中管理，通过网络远程切换”哪张卡在线”，物理卡不直接插在手机里，而是集中在机房；
云猫池 / 远程猫池：SIM 卡放在境外或偏远机房，下游通过 API 调用收码，连”卡在哪”都看不见。

部署形态在持续演进，但所有形态共享一个特征：一批 SIM 卡由一台主机统一收发短信，且这些卡几乎不产生正常个人通信。硬件型号年年换，但”卡群 + 单一控制点”的行为模式不变——这正是”识别行为而非识别硬件”的根本原因。

两个真实案例可以印证硬件的多样性：

重庆江北案（2023-10，光明网）：现场查获的猫池设备，一套最多可同时插入 128 张电话卡；4 名嫌疑人通过虚拟货币结算，非法获利约 15 万元，涉嫌非法获取计算机信息系统数据罪；
山东郯城案（2024-10）：犯罪嫌疑人在 QQ 群以”诚信接码、猫池机房、猫*“为名发布接码广告，向下游提供接码服务。

这两个案子里，猫池的型号、外观、部署位置都不一样，但侦破的关键都不是”认出了猫池”，而是追溯了接码行为背后的卡源与资金链。

三、手机口检测：从「号码可信」到「通话信道可信」

为什么手机口单独成章？因为它和猫池虽然同源（都用实名卡 + 集中控制），但攻击面完全不同：猫池打的是”数据闸门”（验证码），手机口打的是”信任闸门”（真人通话）。

这意味着手机口的检测不能复用猫池的逻辑——你无法用”验证码请求日志”去发现一个只打电话的号码。它需要一套独立的、面向语音信道的视角，也就是本节要展开的。

手机口检测比猫池检测更难。原因在于：猫池留下的是数字痕迹（验证码请求日志），而手机口留下的是语音信道特征，而反欺诈系统通常不接触语音信令面。

但并非无迹可寻。

3.1 号码层面的检测信号

手机口使用的号码，在号码信誉系统里可以捕获几类特征：

呼叫行为异常：一个号码短时间内大量外呼不同号码，且呼入极少。正常个人号码的呼入 / 呼出比通常在 0.5～2 之间，手机口号几乎只有呼出；
通话时长分布异常：正常通话时长呈长尾分布，而手机口的中转通话时长通常集中在诈骗话术所需的几分钟到十几分钟这个窄区间；
呼叫时段集中：诈骗团伙通常在工作日的特定时段集中作业（上午 9～11 点、下午 2～5 点），与正常个人通话的时段分布有明显差异。

3.2 设备层面的检测信号

手机口需要两部手机同时运行，这会在设备侧留下痕迹：

多设备协同：同一 WiFi 下两部手机同时处于通话状态，且其中一部连接网络通话软件（QQ / 微信 / Telegram），另一部在拨号；
音频外设连接：手机通过音频线或蓝牙连接外部设备，可通过设备 API 读取音频外设连接状态（需授权）；
电量与温度异常：长时间通话导致发热、掉电快，但黑产工具人会插着充电器使用，电量曲线呈现”100% 恒定“的异常模式——这与模拟器检测中的”电量永远 100%”异曲同工。

3.3 信令面的检测信号（需要运营商配合）

如果反欺诈系统能与运营商信令面打通（通常只在银行、支付机构的贷后催收场景具备条件），可以检测到更有力的信号：

主叫号码与被叫号码的信令路径不匹配：显示的主叫号码 A 实际上并未从基站发起呼叫，而是从 VoIP 网关进入；
IMS 注册异常：手机口使用的号码在 IMS 网络中通常有异常注册行为（频繁更换终端、异地注册等）。

3.4 检测的现实困境

坦率地说，手机口检测在绝大多数反欺诈系统中是盲区：

大多数反欺诈系统只处理线上数据（注册、登录、交易），不处理语音信令；
运营商虽有信令数据，但出于合规与商业考量，很少向第三方开放；
手机口的设备特征（两部手机）过于普通，难以与正常用户区分。

因此，针对手机口的防御策略更多是用户教育 + 号码黑名单 + 事后溯源的组合，而非实时拦截。这也是手机口诈骗近年来快速增长的原因之一——它的攻击面在语音侧，而防御力量集中在数据侧。

一个值得记录的方向：随着 VoLTE / VoWiFi 的普及，部分信令开始以数据形态出现，这意味着”语音侧”正在缓慢地、部分地重新进入风控系统的视野——语音信道特征的获取难度，未来可能会因技术架构变化而下降。

3.5 手机口的物理形态与演进

手机口的硬件同样在持续演进，从最朴素的”两部手机”到专门的网关设备：

最朴素形态：两部手机用一根 AUX / 3.5mm 音频线相连，A 手机连网络通话软件（QQ / 微信 / Telegram）接听境外指令，B 手机插本地实名卡拨号，语音在两机间中转；
GOIP 设备：境内放一台网关，SIM 卡插在境内，境外通过软件远程控制这张卡拨打电话，来电显示是本地号码——这是”本地号码伪装”的主要载体；
多卡宝 / 络漫宝等小型设备：巴掌大小、可插多张卡、可远程控制，便于携带与转移，反侦查能力强；
进阶组合：GOIP + 猫池，一张卡既能被远程拨号，也能被远程收码，攻防两端打通。

手机口和猫池在物理上分属”语音侧”和”数据侧”，但在黑产工具链里同源：都用实名卡 + 集中控制 + 远程调度。这也解释了前面反复强调的那句话——检测不能分而治之，必须把号码信誉、设备特征、关系网络打通，否则”数据侧拦住了接码，语音侧照样被手机口打穿”。

四、猫池与手机口的联动趋势

这一章讲”检测”，但手机口的难点恰好在于——它处在检测系统的视野边缘。

猫池的行为留在企业的注册风控日志里，手机口的语音却落在运营商的信令网上；企业能拦”收码”，却拦不了”通话”。而诈骗的关键一步——让受害者接听那个冒充公检法、冒充客服的电话——恰恰发生在语音侧。

所以这一节要讲的，是黑产如何把”数据侧的养号”和”语音侧的出声”串起来，以及为什么只防一端永远拦不住另一端。

一个值得注意的趋势是：猫池和手机口正在被整合进同一套黑产工具链。

典型链路如下：

猫池批量注册微信 / Telegram 账号（接码）；
用这些账号在社交平台发布”高薪兼职“信息（引流）；
招募到的工具人用自己的实名手机卡架设手机口（语音中转）；
手机口为境外诈骗团伙提供本地号码伪装（通话）。

这条链路里，猫池负责”养号”，手机口负责”出声”，中间靠社交平台和兼职招聘连接。

对反欺诈体系来说，这意味着必须打通账号安全体系和号码信誉体系——只检测一端会漏掉另一端。而本文第一章讲的黑卡供给，正是这条链路的源头：实名卡经地推 / 兼职 / 内鬼 / 虚商 / 物联多渠道获取，经接码平台池化后，一头喂猫池养号，一头喂手机口出声。

五、宏观侧：这不是零星个案

前面四章讲的是”机制”，这一章讲”体量”。

只谈机制容易给人”这事很小众”的错觉。但公安部历次专项行动的数据、以及 2026 年仍在发生的全链条打击案例，都说明这是一条规模以亿计、人员以万计的产业链。看清体量，才能理解为什么”端窝点”之外，还需要供给侧与调度侧两端的长期治理。

对于平台侧而言，体量的含义是：你面对的不是几个散兵，而是一张持续供给、持续迭代的网。任何”加一道规则就解决”的乐观预期，都会在体量面前被证伪。

从公安部的公开行动数据能看到这条产业链的体量。2023 年 2 月公布的”断号“行动战果显示：共侦办案件 1.1 万余起，关停接码平台 130 余个，捣毁”猫池”窝点 800 余个，缴获”猫池”、GOIP 等黑产设备 1 万余台，查扣手机黑卡 240 余万张，查获网络黑账号 4200 余万个。

而 2026 年 9 月成都成华案，则展示了当下打击的”全链条”形态——这也是本文写作时最新的一起公开通报：

战果：捣毁猫池窝点 4 处，查获”猫池”设备 138 台、作案电脑 38 台、涉案手机卡 1.5 万余张；串并全国电诈案件 150 余起；
处理：以涉嫌帮助信息网络犯罪活动罪（帮信罪）对 44 名犯罪嫌疑人采取刑事强制措施，对非法买卖手机卡的 78 名违法行为人给予行政处罚（合计 122 人）；
分工：上游提供全套猫池设备并通过境外聊天工具远程指导架设与操作，把收到的验证码交付诈骗分子；中游在多个隐蔽窝点架设设备、批量接收验证码；下游本地收贩卡团伙以”办卡送礼“”兼职赚佣金“名义招募社会人员办理实名手机卡，统一上交中游。

两个细节值得单独记下：

“远程指导”意味着设备与操作者可以彻底分离。中游只需要提供一间房、一台电脑、一台猫池，操作流程由上游在境外教；这对”抓人 = 断链”的传统打击逻辑是一个挑战——设备在国内，决策在境外，中间只隔着聊天软件。
“办卡送礼”话术在 2026 年依然有效。从 2022 年的河南移动加盟商案，到 2025 年的上海奉贤案，再到 2026 年的成都成华案，”送米面油 / 办卡送礼 + 招募社会人员”这套打法几乎没有变化。它针对的不是技术漏洞，而是人对”顺手的便宜”的默认接受。

宏观数据的两条读法

把”断号”行动和成都成华案放在一起，能读出两条线索：

第一条：供给侧在”去集中化”。 2023 年”断号”行动一次捣毁 800 余个猫池窝点、缴获 1 万余台设备、查扣 240 余万张黑卡——这是一次针对”集中式卡池”的重拳。而 2026 年的成都成华案，窝点只有 4 处、设备 138 台，却能牵出 1.5 万余张卡、串并 150 余起案件。规模变小、单位效率变高，说明卡源更分散、调度更精准——打掉大窝点的边际收益在下降，因为小、散、快的窝点更难被整体发现。

第二条：调度侧在”出境化”。 成都成华案里，上游”通过境外聊天工具远程指导架设与操作”。设备与操作者彻底分离：中游只提供房间和猫池，决策在境外。这对”抓人即断链”的传统逻辑是个直接挑战——你抓了国内操作手，设备还在，换一批人就能重启。

两条线索合起来指向同一个结论：治理的重心必须从”端窝点”前移，同时向两端发力——一端压供给侧（实名后控制权、代理网点审计），一端压调度侧（跨境协作、聊天工具与接码平台治理）。只端窝点，治标；两端同时收紧，才算治本。

六、总结：三条检测主线与两个误区

读到这里，可以把全文收束成一句话：黑卡供给是”根”，猫池与手机口是”干”，而检测要做的是”把根和干都连上数据”。

根的问题（实名后控制权剥离）靠运营商侧与法律侧；干的问题（接码行为、语音中转）靠企业风控侧与信令侧；两者之间的缝隙（数据在谁手里）才是黑产真正的生存空间。本文反复强调”叠加弱信号”，本质上就是在填这个缝隙——让原本散落在不同系统、不同机构的数据，在”同一笔欺诈”的上下文里重新汇合。

攻击向量	检测重心	主要特征维度	工程难度
黑卡供给	实名后控制权剥离	激活画像、代理聚类、通信突变	中（需运营商 + 企业联动）
猫池（接码）	行为模式识别	时序聚合、行为序列、号码信誉	中等（已有较成熟方案）
手机口（语音中转）	号码行为异常	呼叫行为、设备状态、信令路径	高（信令面数据难获取）

三个共同启示：

黑产工具的进化方向不是”更高级”，而是”更隐蔽”——用最低的技术成本，绕过最高的检测门槛；
实名解决的是”登记身份”，不解决”持续控制”——这是所有电话卡类黑产的根基；
猫池检测的正确路径是”识别接码行为”，不是”识别猫池硬件”——硬件可以换，行为模式难改；
手机口检测的现实困境在语音信令面的数据壁垒——不是算法不够好，是数据拿不到。

把这四点放回本文开头的悖论——“黑产的工具越低级，检测越难”——会发现它的另一面：低级工具之所以难检测，不是因为技术高明，而是因为它恰好落在不同系统的数据盲区里（猫池在数据侧、手机口在语音侧、实名卡在运营商侧）。真正的破解之道不在某一套更聪明的算法，而在把这些盲区里的弱信号连起来。

而反欺诈系统的应对之道，不是追求更复杂的算法，而是把多个弱信号叠加成一个强信号：

实名状态 × 通信行为 × 注册行为 × 设备指纹 × 关系网络。

任何一项单独看，都有一批正常用户在同样的区间里；但五项同时落在异常区间的人，几乎只有一个身份。

给三类角色的三条落地启示

这套分析落到不同角色手上，重点不一样：

给互联网 / 金融平台风控：不要被”已实名”三个字催眠。把”实名状态”当入口而非终点，叠加通信行为、注册行为、设备指纹、关系网络做多维判定；优先上线频控 + 行为序列 + 簇级拦截这三件性价比最高的事；把”误伤率”写进 KPI，避免为了拦截率误杀正常用户。

给运营商：实名只是第一关，”实人控制”才是目标。工号行为审计、开卡地域聚类、代理网点异常开卡模型，是拦住内鬼与冒名开卡的关键；同时，把”新激活卡是否突然大量收验证码、是否零正常通信”作为涉诈预警信号，与平台侧共享——这是治理链条里运营商能补的最大缺口。

给普通用户：你手里的实名卡，最大的风险不是”被冒名办卡”（那需要本人人脸），而是”被顺手收走”。任何”办卡送礼品 / 冲业绩 / 兼职赚佣金”的话术，只要卡不离手、不由你本人长期使用，就是危险信号；一旦把卡交给别人，你就从”受害者”变成了”帮信罪的嫌疑人”——卡被用于诈骗，追责的是实名机主。

一个手机号怎么「养」出十万羊毛号——接码平台、号商与养号工厂的四段流水线：本文第一章”卡从哪来”的产业全景与平台侧反制
风控把散点连成网，黑产把网撕成散点——欺诈团伙的「五层打散术」，与风控的「五层反制」：多信号聚合与团伙聚类的图视角
不转账、不扫码，骗子却让你把现金装进奶粉罐寄走——「两金」线下交付产业链拆解
电话那头，不再是「人类」：新一代社工攻击——vishing、SIM 卡交换、二维码钓鱼与「2FA 克星」Evilginx
3.6 万起、十起案例、四种犯罪模型——公安部「净网—2026」通报里，网络犯罪是怎么被拆成流水线的

素材来源

成都成华”猫池”案（2026-09-10 红星新闻 / 腾讯新闻、2026-09-15 四川长安网、2026-09-17 腾讯新闻评论《彻查 1.5 万余张手机卡来源》）：138 台猫池、38 台作案电脑、4 处窝点、1.5 万余张手机卡、串并电诈案件 150 余起、44 人帮信罪刑事强制措施、78 人行政处罚、上游”境外聊天工具远程指导”与下游”办卡送礼 / 兼职赚佣金”收卡方式；
大兴安岭电信”内鬼”案（2023 年加格达奇区人民法院，第一财经 2025-01-16 报道）：支局长赵某某 + 稽核员杜某，利用 2020—2022 年 2 月工单信息重复开卡 726 张，获利 4.56 万元，卡全部插入猫池远程操控；
河南移动加盟商案（2022 年正阳县人民法院）、云南”拉新”案（2024 年昆明市中级人民法院，1 万余张卡、违法所得 50 余万元）、陕西联通案（2024 年渭南市中级人民法院），均见第一财经同篇报道；
上海奉贤案（人民公安报 2025-10-26、光明网 2025-10-30）：假冒通信公司工装、送米送油诱骗老人办卡、调包与掰断假卡截留，查获猫池 100 台、实名手机卡 2 万余张、电脑 40 台，抓获 7 人，以侵犯公民个人信息罪提起公诉；
海口”2020.9.29”部督案（新华社 2020-11-25、中新网 2020-11-26）：全国首个打击网络黑灰产部督案件，打掉接码平台 1 个、卡商窝点 3 个、号商窝点 1 个，扣押黑卡 3 万余张，抓获 18 人；
公安部”断号”行动（2023-02-16 中国互联网联合辟谣平台转载）：案件 1.1 万余起、关停接码平台 130 余个、捣毁猫池窝点 800 余个、缴获设备 1 万余台、查扣手机黑卡 240 余万张、查获网络黑账号 4200 余万个；
重庆九龙坡案（华龙网 2022-05-20）：2021 年 4 月起租商住楼开公司，以猫池养卡 + 转码软件转卖验证码，获利 56 万余元，涉嫌非法获取计算机信息系统数据、非法控制计算机信息系统；
威胁猎人《2025 年互联网黑灰产趋势年度总结》（2026-01-13）：拦截卡新增 786 万例（+127.77%）、占比 69.23%，猫池卡新增 349 万（−33.85%），国内新增作恶手机号超 1100 万；
重庆江北案（光明网 2023-10-25）：现场猫池设备一套最多可同时插入 128 张电话卡，4 名嫌疑人通过虚拟货币结算，非法获利约 15 万元，涉嫌非法获取计算机信息系统数据罪；山东郯城案（2024-10）：犯罪嫌疑人在 QQ 群以”诚信接码、猫池机房、猫*”为名发布接码广告。两案印证了”识别猫池硬件不可行、应追溯接码行为与资金链”的判断（正文 2.5 节引用）；
文中”断号”行动各项数据口径，以 2023-02-16 中国互联网联合辟谣平台转载的公安部通报为准；成都成华案细节以红星新闻、四川长安网、腾讯新闻 2026-09 系列报道为准；
电话卡实名制自 2013 年《电话用户真实身份信息登记规定》起施行、2016 年全面强制，本文讨论的”实名不实人”问题，正是该制度运行后的次生治理议题；
猫池 / 手机口的检测特征与架构建议，来自反欺诈工程实践整理，仅作防御用途。
本文所引用的案件细节（大兴安岭、上海奉贤、河南移动、云南、陕西联通、成都成华、海口部督、断号行动、重庆九龙坡 / 江北、番薯、郯城）均来自公安机关、法院及权威媒体的公开通报，具体出处见各条标注；未被公开披露的细节不作推测。
黑卡供给的六类（地推诱办、兼职交卡、内鬼、虚商、物联、接码池化）并非互斥，实战中常叠加出现：如”内鬼重复开卡 + 接码池化”（大兴安岭）、”地推诱办 + 猫池”（奉贤 / 成华）、”兼职交卡 + 手机口”（工具人）。对风控的意义是——不要只盯单一供给特征，要把六类信号都纳入”新激活号”的评分维度；
关于 GOIP / 多卡宝等设备的形态与”本地号码伪装”机理，参考公安机关反诈科普与公开通报整理，仅作识别用途；
文中”断号”行动、”906 事件”等历史节点，意在说明产业演进脉络，不作法律定性；
本文与姊妹篇《一个手机号怎么”养”出十万羊毛号》《风控把散点连成网》口径一致：均不提供任何可操作的黑产实施步骤，所有方法仅用于识别与防御。
全文”攻击向量—检测重心”的对位，旨在帮助风控团队快速定位自身系统缺口，而非提供实施指南。
文中对”小世界网络””Louvain”等术语的引用，仅作方法论类比，不暗示实际团伙拓扑完全符合图论模型。