(網(wǎng)經(jīng)社訊)摘要：近日，電子商務(wù)研究中心主任曹磊在接受《新京報》記者采訪時表示，此次拼多多出現(xiàn)這個漏洞，有兩種可能，一種可能是平臺出現(xiàn)業(yè)務(wù)策略漏洞，另一種可能是遭到有預(yù)謀的黑灰產(chǎn)組織操作。
曹磊認(rèn)為，從法律責(zé)任認(rèn)定和用戶權(quán)益保護(hù)角度出發(fā)，如果是平臺主動推出的活動，那么應(yīng)按照官方說明來兌現(xiàn)承諾，也就相當(dāng)于在線跟用戶簽訂協(xié)議，平臺當(dāng)然要執(zhí)行?！暗炊喽嘞嚓P(guān)聲明已經(jīng)顯示，用戶是通過一個過期的優(yōu)惠券漏洞盜取了優(yōu)惠券。根據(jù)《合同法》相關(guān)規(guī)定，拼多多取消或收回優(yōu)惠券是不需要承擔(dān)法律責(zé)任的，從情感上也能夠理解。”
曹磊指出，拼多多這一做法與《電商法》不沖突，這種情況不適用電商法四十九條第2款的規(guī)定。“惡意利用系統(tǒng)漏洞獲取的優(yōu)惠券，不能有效地折抵付款中的相應(yīng)付款義務(wù)，所以應(yīng)該視為未完成付款義務(wù)，不受電商法第第四十九條第2款的約束，商家可以不發(fā)貨?！?/strong>
以下是報道原文全文：《拼多多損失上千萬元能否追回成疑 律師：羊毛黨或涉犯罪》
1月20日，星期天，伴隨著職業(yè)薅羊毛黨的狂歡，拼多多面臨上千萬元資產(chǎn)的損失。
一個過期的優(yōu)惠券漏洞，可能引發(fā)出國內(nèi)資產(chǎn)損失規(guī)模最大的黑灰產(chǎn)事件。
1月20日凌晨，有網(wǎng)友稱拼多多存在重大BUG，“只需支付4毛錢，就可以充值100元話費(fèi)”“有大批用戶開始媷羊毛，一晚上200多億都是話費(fèi)充值”。根據(jù)網(wǎng)友曬出的截圖，此次拼多多的100元無門檻券全場通用(特殊商品除外)，有效期為一年。
對此，拼多多方面向記者表示，當(dāng)日凌晨有黑灰產(chǎn)團(tuán)伙通過一個過期的優(yōu)惠券漏洞盜取數(shù)千萬元平臺優(yōu)惠券，進(jìn)行不正當(dāng)牟利。針對此行為，拼多多已第一時間修復(fù)漏洞，并正對涉事訂單進(jìn)行溯源追蹤。“同時我們已向公安機(jī)關(guān)報案，并將積極配合相關(guān)部門對涉事黑灰產(chǎn)團(tuán)伙予以打擊。”
對于高達(dá)200億的損失，拼多多相關(guān)負(fù)責(zé)人回應(yīng)稱這一數(shù)字不實，“最終還能追回不少，實際資產(chǎn)損失大概率低于千萬元。”
對于具體是什么漏洞導(dǎo)致黑灰產(chǎn)團(tuán)伙盜取優(yōu)惠券，以及如何追討資產(chǎn)損失，拼多多方面向記者表示，由于公司正配合警方調(diào)查，具體案情暫時無法對外披露，有進(jìn)一步消息將第一時間對外公布。
拼多多出現(xiàn)重大Bug，引發(fā)職業(yè)羊毛黨狂歡
1月20日凌晨1時左右，拼多多出現(xiàn)100元無門檻券的Bug，而且用戶還可以重復(fù)領(lǐng)取，部分職業(yè)羊毛黨發(fā)現(xiàn)Bug后迅速行動，開始呼吁周圍的朋友一起領(lǐng)取。其后獲得足夠收益后，這批羊毛黨抱著“法不責(zé)眾”的態(tài)度在某論壇上公布這個Bug，引發(fā)非羊毛黨用戶參與。有接近拼多多方面的人士向記者透露，參與此次漏洞的普通用戶并不多，資產(chǎn)損失大部分來自黑灰產(chǎn)團(tuán)隊。
值得注意的是，職業(yè)羊毛黨看中充話費(fèi)和Q幣是自動發(fā)貨，因此他們將優(yōu)惠券迅速兌現(xiàn)，并將話費(fèi)、Q幣兌換成現(xiàn)金。對于拼多多而言，能否向三大運(yùn)營商以及騰訊追討這一次損失成疑。
新京報記者發(fā)現(xiàn)，在《拼多多服務(wù)協(xié)議》7.1禁止行為中，用戶使用拼多多平臺外掛和/或利用拼多多平臺當(dāng)中的Bug來獲得不正當(dāng)?shù)睦婧杖辉诹小５硪环矫?，拼多多發(fā)言人稱其系統(tǒng)不存在安全漏洞，此黑灰產(chǎn)是利用“規(guī)則漏洞”薅走優(yōu)惠券的，至于“規(guī)則漏洞”屬不屬于“平臺Bug”，新京報記者向拼多多方面求證，但截至發(fā)稿尚未得到回復(fù)。
電子商務(wù)研究中心主任曹磊指出，此次拼多多出現(xiàn)這個漏洞，有兩種可能，一種可能是平臺出現(xiàn)業(yè)務(wù)策略漏洞，另一種可能是遭到有預(yù)謀的黑灰產(chǎn)組織操作。
后續(xù)：向受影響用戶發(fā)放5元優(yōu)惠券，禁止部分商家發(fā)貨
由于出現(xiàn)Bug被用戶“褥羊毛”的現(xiàn)象，在國內(nèi)互聯(lián)網(wǎng)行業(yè)中時有發(fā)生。
2018年元旦期間，騰訊視頻發(fā)起優(yōu)惠充值活動，但因為活動服務(wù)器后臺數(shù)據(jù)出現(xiàn)異常，有部分用戶在充值一個月時出現(xiàn)應(yīng)該支付優(yōu)惠價18元實際僅被扣費(fèi)0.2元的狀況。當(dāng)時這一漏洞共引來39萬用戶參與。
其后騰訊發(fā)布公告稱，這是公司的工作失誤，公司將這些異常訂單全部兌現(xiàn)，且不再扣費(fèi)。最終，騰訊為這個Bug付出超過5000萬元的代價，但同時贏得網(wǎng)友的好評。
拼多多在發(fā)現(xiàn)漏洞后，于當(dāng)日早上9時左右緊急將所有優(yōu)惠券的領(lǐng)取方式下架，同時還取消了用戶已領(lǐng)取但未使用的優(yōu)惠券，記者留意到，當(dāng)時拼多多還對App進(jìn)行了優(yōu)化更新。為了補(bǔ)償用戶，拼多多向受影響用戶發(fā)放5元無門檻優(yōu)惠券，有效期為50年。
對于拼多多緊急下架優(yōu)惠券的行為，曹磊認(rèn)為，從法律責(zé)任認(rèn)定和用戶權(quán)益保護(hù)角度出發(fā)，如果是平臺主動推出的活動，那么應(yīng)按照官方說明來兌現(xiàn)承諾，也就相當(dāng)于在線跟用戶簽訂協(xié)議，平臺當(dāng)然要執(zhí)行?！暗炊喽嘞嚓P(guān)聲明已經(jīng)顯示，用戶是通過一個過期的優(yōu)惠券漏洞盜取了優(yōu)惠券。根據(jù)《合同法》相關(guān)規(guī)定，拼多多取消或收回優(yōu)惠券是不需要承擔(dān)法律責(zé)任的，從情感上也能夠理解?！?/p>
他表示，如果此次拼多多出現(xiàn)優(yōu)惠券漏洞是黑產(chǎn)羊毛黨惡意行為，這類交易屬于存在“重大誤解”訂立的合同，“（拼多多）是可以要求撤銷的?！?/p>
北京康達(dá)律師事務(wù)所律師韓驍亦認(rèn)為，拼多多回收已經(jīng)領(lǐng)取但還沒有使用的優(yōu)惠券，這一做法并不會和剛出臺的《電商法》相沖突。
根據(jù)《電商法》第三十條規(guī)定，電子商務(wù)平臺經(jīng)營者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施保證其網(wǎng)絡(luò)安全、穩(wěn)定運(yùn)行，防范網(wǎng)絡(luò)違法犯罪活動，有效應(yīng)對網(wǎng)絡(luò)安全事件，保障電子商務(wù)交易安全。電子商務(wù)平臺經(jīng)營者應(yīng)當(dāng)制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，發(fā)生網(wǎng)絡(luò)安全事件時，應(yīng)當(dāng)立即啟動應(yīng)急預(yù)案，采取相應(yīng)的補(bǔ)救措施，并向有關(guān)主管部門報告。
韓驍表示，在此次事件中，拼多多采用回收已領(lǐng)取但未使用的優(yōu)惠券這一方式來應(yīng)對，屬于合理的補(bǔ)救措施，“可以說是有效應(yīng)對了該網(wǎng)絡(luò)安全事件，并不違反《電商法》的規(guī)定?！?/p>
另據(jù)記者了解到，當(dāng)日早上11時左右，拼多多的工作人員已經(jīng)向部分商家發(fā)出通知，凡是已使用100元無門檻券的訂單不允許發(fā)貨。
根據(jù)《電商法》第四十九條規(guī)定，電子商務(wù)經(jīng)營者發(fā)布的商品或者服務(wù)信息符合要約條件的，用戶選擇該商品或者服務(wù)并提交訂單成功，合同成立。當(dāng)事人另有約定的，從其約定。電子商務(wù)經(jīng)營者不得以格式條款等方式約定消費(fèi)者支付價款后合同不成立；格式條款等含有該內(nèi)容的，其內(nèi)容無效。
曹磊向記者表示，拼多多這一做法與《電商法》不沖突，這種情況不適用電商法四十九條第2款的規(guī)定。“惡意利用系統(tǒng)漏洞獲取的優(yōu)惠券，不能有效地折抵付款中的相應(yīng)付款義務(wù)，所以應(yīng)該視為未完成付款義務(wù)，不受電商法第第四十九條第2款的約束，商家可以不發(fā)貨。”
而中國政法大學(xué)知識產(chǎn)權(quán)中心特約研究員趙占領(lǐng)則告訴記者，如果用戶已經(jīng)使用優(yōu)惠券購買拼多多上第三方商家的商品，用戶和商家之間的合同已經(jīng)成立，拼多多可以去追究用戶的責(zé)任，但不能阻止商家發(fā)貨。
專家：拼多多“最基本防薅羊毛手段未設(shè)置” 拼多多緊急招聘風(fēng)控總監(jiān)
對于拼多多被“褥羊毛”一事，新京報記者采訪某反詐騙安全團(tuán)隊專家陳鋒（化名）。他表示，有許多手段可以防止平臺被惡意“薅羊毛”，包括限制優(yōu)惠券的總數(shù)以及優(yōu)惠券的應(yīng)用場景，“比如設(shè)置最多10萬張券，只能用于滿200元的實物訂單，再加上最基礎(chǔ)的防薅羊毛策略，就能保證不出大問題”。
但根據(jù)網(wǎng)友截圖，此次事件中拼多多的優(yōu)惠券屬于“無門檻全場通用”，還有網(wǎng)友曬出了充值話費(fèi)、購買Q幣的截圖，有的充值金額甚至高達(dá)5萬元。“在此事件中，拼多多的業(yè)務(wù)規(guī)則出現(xiàn)了問題，最基本的防薅羊毛手段都沒有設(shè)置?！标愪h稱。
新京報記者注意到，拼多多已于當(dāng)日下午在招聘平臺發(fā)布多個與風(fēng)控相關(guān)的職位招聘，包括風(fēng)控總監(jiān)、風(fēng)控策略/模型專家等。
律師：薅羊毛黨可能涉嫌盜竊罪 但最終要看司法機(jī)關(guān)定性
在陳鋒看來，目前確實存在專業(yè)的“羊毛黨”，針對不同平臺，這些羊毛黨擁有注冊賬號（涉及手機(jī)號、接碼平臺等）、下游支付渠道、清洗轉(zhuǎn)移渠道等，而消息靈通與否以及設(shè)備的專業(yè)程度則決定了這些羊毛黨的收入。
“目前很難有真正預(yù)防羊毛黨的手段，因為一般來講，羊毛黨帶給企業(yè)的損失比較小，所以大部分企業(yè)不會采用強(qiáng)策略來預(yù)防羊毛黨。此外，在一些情況下，羊毛黨也可以幫助企業(yè)進(jìn)行引流，例如羊毛黨通過注冊來薅羊毛的行為也幫助企業(yè)提升了注冊用戶的數(shù)量，所以有的時候甚至有初創(chuàng)公司故意利用羊毛黨來增加注冊用戶數(shù)，反正燒的是投資人的錢。所以羊毛黨與企業(yè)的關(guān)系是很復(fù)雜的，不止涉及到帶來損失這一點?！标愪h說。
至于薅羊毛黑產(chǎn)是否涉嫌違法犯罪，陳鋒表示比較難以判斷，“一般而言首先必須有公司報案，而此前的實際案例中，最多的情況可能會協(xié)商，協(xié)商不成按詐騙來辦，但最終是否違法或者犯罪還要看司法機(jī)關(guān)的定性?！?/p>
北京康達(dá)律師事務(wù)所律師韓驍向記者表示，用戶利用系統(tǒng)漏洞大量領(lǐng)取平臺的優(yōu)惠券并以此獲利，可能涉嫌盜竊罪，若獲利數(shù)額達(dá)到相關(guān)標(biāo)準(zhǔn)，則有可能需要承擔(dān)刑事責(zé)任。不過他強(qiáng)調(diào)，如果是平臺的普通客戶，并非有意識地通過這一安全漏洞大量領(lǐng)取優(yōu)惠券牟利，而僅領(lǐng)取了數(shù)量較少的優(yōu)惠券，沒有盜竊的主觀故意，客觀上獲利也未達(dá)到量刑標(biāo)準(zhǔn)，則并不構(gòu)成盜竊罪。
財報分析：收入激增營銷費(fèi)用大漲 研發(fā)費(fèi)用僅為營銷費(fèi)用1/10
憑借著社交電商全新打法，成立僅三年時間的拼多多已經(jīng)是國內(nèi)最成功的獨(dú)角獸企業(yè)之一。投行摩根士丹利近日發(fā)布研報，首次把拼多多納入研究范圍，給予“增持”評級，并把目標(biāo)股價定位29美元。
拼多多的財報顯示，去年第三季度，拼多多實現(xiàn)營收33.72億元，較去年同期增長697%，環(huán)比增長24%；去年前三季度共實現(xiàn)74.66億元營收，較去年同期增長約12倍。
但并不樂觀的是，拼多多凈虧損進(jìn)一步擴(kuò)大，去年第三季度虧損10.98億元，遠(yuǎn)高于前年同期的2.21億元；去年前三季度共虧損77.93億元，前年同期為5.39億元。
雖然已經(jīng)成長為僅次于淘寶、京東之后的第三大電商平臺，但拼多多仍繼續(xù)投入大量的資金拉新，通過冠名綜藝節(jié)目等方式繼續(xù)拉動用戶增長率和活躍度。財報顯示，去年第三季度拼多多的銷售及營銷費(fèi)用高達(dá)32.3億元，同比增長655%，主要原因是由于品牌推廣活動及線上線下廣告及促銷活動增加所致。
拼多多狠砸營銷費(fèi)用的另一個重要原因是獲客成本在走高。2017年三季度，拼多多單個新用戶的獲客成本僅13元，但去年上半年已經(jīng)飆升至55元。
此外，財報顯示，當(dāng)季，拼多多投入的研發(fā)費(fèi)用增加至3.32億元，較去年同期增長828%，較Q2環(huán)比增長80%，平臺研發(fā)投入占比攀升至9.8%。
值得一提的是，盡管拼多多在去年第三季度投入的研發(fā)費(fèi)用同比增長828%，但其研發(fā)費(fèi)用僅為銷售和營銷費(fèi)用的1/10。
新京報記者注意到，拼多多已于1月20日下午在招聘平臺發(fā)布多個與風(fēng)控相關(guān)的職位招聘，包括風(fēng)控總監(jiān)、風(fēng)控策略/模型專家等。
經(jīng)過此次事件后，拼多多的研發(fā)費(fèi)用或許將保持高增速。
相關(guān)：因出售搶拍軟件，兩名黑灰產(chǎn)從業(yè)員被提起公訴
拼多多此事只是我國互聯(lián)網(wǎng)黑灰產(chǎn)市場的冰山一角。根據(jù)阿里與南都大數(shù)據(jù)研究院聯(lián)合發(fā)布的《2018網(wǎng)絡(luò)黑灰產(chǎn)治理研究報告》顯示，2017年國內(nèi)網(wǎng)絡(luò)安全產(chǎn)業(yè)規(guī)模為450多億元，黑灰產(chǎn)卻高達(dá)近千億元規(guī)模，而且后者的發(fā)展更為迅速。
近日記者從中國裁判文書網(wǎng)獲悉，2018年有兩名黑灰產(chǎn)從業(yè)員被河南省鄭州市金水區(qū)人民檢察院提起公訴。
判決書顯示，杜某、朱某通過銷售“聯(lián)合搶拍器”，非法獲利共計人民幣405215元。
根據(jù)淘寶安全部門負(fù)責(zé)黑灰產(chǎn)技術(shù)攻防情報工作的吳某陳述，被害單位淘寶網(wǎng)經(jīng)常會開展限時、限量銷售商品的搶購活動，用戶可以比平時更加優(yōu)惠的價格買到一些商品。但杜某、朱某銷售的搶拍軟件能夠自動代替用戶定時、大批量下單，而且該軟件還通過破解淘寶軟件，實現(xiàn)與淘寶服務(wù)器的精準(zhǔn)對時，從而提高搶拍的效率。
法院認(rèn)為，杜某、朱某提供專門用于侵入、非法控制計算機(jī)信息系統(tǒng)的程序、工具，情節(jié)特別嚴(yán)重，其行為均已構(gòu)成提供侵入、非法控制計算機(jī)信息系統(tǒng)程序、工具罪；公訴機(jī)關(guān)指控杜某、朱某犯提供侵入、非法控制計算機(jī)信息系統(tǒng)程序、工具罪罪名成立。
最終，杜某和因犯提供侵入、非法控制計算機(jī)信息系統(tǒng)程序、工具罪，被法院判處有期徒刑3年6個月，并處罰金兩萬元；朱某因犯提供侵入、非法控制計算機(jī)信息系統(tǒng)程序、工具罪，被法院判處有期徒刑兩年，并處罰金一萬元；二人的違法所得依法予以追繳。（來源：新京報 文/陸一夫 羅亦丹）
