《INFORM Consumers 消费者信息法》再次成为新闻焦点。大型零售连锁企业正推动在线市场平台协助打击在其平台上销售被盗商品的行为，要求这些平台收集、核实并披露有关第三方卖家的某些信息。
家得宝（Home Depot）资产保护副总裁斯科特·格伦（Scott Glenn）似乎在辩论中扮演了领导角色。他认为亚马逊、eBay和Facebook应承担与家得宝审查其供应商相同的责任。
“我们不想让人们匿名销售，”在家得宝负责资产保护的斯科特·格伦表示。“如果作为家得宝，我们必须了解我们的供应商是谁，那么亚马逊、eBay或其他任何卖家也应该了解他们的卖家是谁。”
在接受CNBC采访时，eBay监管政策小组主任迈克·卡森（Mike Carson）为eBay的记录进行了辩护，并指出PROACT（Partnering with Retailers Offensively Against Crime and Theft，即“与零售商合作积极对抗犯罪和盗窃”）部门是其主要的打击犯罪举措。
作为PROACT团队负责人，卡森表示eBay非常重视关于被盗物品的报告。
关键在于获取情报以识别物品何时被盗……
……如果人们听到关于在eBay上出售被盗商品的报道，如果他们收到了被盗商品，然后受到执法部门的联系，我们肯定会失去客户，但我们也有风险模型来检测看起来可疑的情况。
很高兴听到eBay认识到市场上存在被盗商品对其品牌声誉造成的严重损害，但我不得不怀疑，两年前当我试图寻求他们的帮助，处理从我的前雇主处被盗并在eBay上出售的超过16万美元的商品时，PROACT团队的“放手去干”态度去了哪里。
唯一的区别是，这并非传统的实体店暴力抢劫，而是源于一种非常复杂的三角诈骗计划。
三角诈骗的运作机制
当买家在第三方市场上进行真实购买，但卖家却使用被盗信用卡从另一家商家欺诈性地代发产品时，就会发生三角诈骗。
其运作方式如下：
首先，诈骗者在 eBay 上发布他们并不持有的热门且需求旺盛的商品列表，价格通常远低于正常零售价。
根据我的经验，用于此类欺诈的销售账户似乎是曾经合法但已被黑客入侵/劫持并被实施该方案的坏人控制的账户。
然后，毫无戒心的买家看到该列表并从该 eBay 列表中购买。
诈骗者前往销售该商品的合法电子商务网站，下单发货给毫无戒心的买家，并使用被盗的信用卡进行此交易。
电子商务网站发货后，直到几周后才收到实际信用卡持有人的拒付通知，才意识到这是欺诈行为。在大多数情况下，信用卡公司会站在账户持有人一边，从商家那里追回款项——导致商家既拿不到钱也失去产品。
网络安全专家 Brian Krebs 在 2015 年对 eBay 上的三角诈骗进行了精彩的分析。有趣的是，本文使用的图表实际上来自当时 eBay 的帮助页面——这表明 eBay 多年来一直清楚这一问题。
PROACT 的实际表现与反思
当这种欺诈在我 2020 年工作的公司发生时，我亲自向 eBay 报告了超过 150 个疑似被劫持的账户。这些报告得到了采取行动的承诺，但只有大约三分之二的账户最终被关闭。两年后的今天，其中一些仍在积极销售。🤯
我将关于欺诈的报告提交给了我所在州的总检察长办公室，他们回复道：
关于 eBay，我们的办公室已与该公司建立了投诉流程。因此，我们将您的通信转发给该公司的代表，并要求他们在审查后向您和我们的办公室作出回应。
事实证明，该投诉流程是 PROACT。eBay 回复总检察长办公室称他们会与我联系，而这显然足以获得一个盖章的“案件已关闭”。
不幸的是，尽管 eBay 承诺提供帮助，但 PROACT 却一点也不积极主动——他们推诿扯皮，假装发送了“可能进了垃圾邮件文件夹”的电子邮件（其实并没有），然后最终分配给我案件的代理完全停止回复。
在我为公司工作期间，为了试图阻止损失，我对这一欺诈行为进行了深入调查，并将我找到的所有信息毫无保留地提供给 PROACT——包括一份涵盖 6 个月时间段内所有欺诈性购买的运单号列表，eBay 本可以在其系统中轻松交叉引用这些信息，以识别平台上可能被用于欺诈的数百个被劫持账户。
令我感到绝对且彻底的震惊的是，PROACT 拒绝接受我提供的任何信息，并向我保证他们拥有自己的专有算法来标记账户上的欺诈行为，并将采取适当措施，而显然这些措施从未真正实施过。
那个缩写词中“与零售商合作”的部分去哪了？
此后我已不再担任该职位，因此我不确定针对该公司的欺诈行为是否仍在继续，但我已收到多位商家的个人联系，他们在经历了同样的噩梦般场景后都找到了我。
以下是来自家得宝（Home Depot）的 Scott Glenn 以及任何其他大小商家需要知道的事情——三角诈骗在 eBay 上广泛存在且持续发生，任何拥有在线业务的企业都可能成为目标。
Glenn 告诉 CNBC，实体店盗窃商品以转售到线上的现象如此普遍，以至于家得宝必须将店内价值超过 100 美元的电动工具锁起来，试图以此威慑罪犯。但我有个坏消息要告诉他——同样的工具正通过三角诈骗从家得宝的虚拟渠道被盗，而且数量可能远远更大。
我曾供职的公司销售汽车护理和美容产品，包括由 Dewalt 和 Milwaukee 制造的抛光机。我发现的几起出售这些商品的欺诈性账户还列出了其他电动工具，买家的评价明确指出，他们购买的物品是使用盗刷信用卡从家得宝发货给他们的。
以下是 eBay 子版块上一位用户的报告，我相信他也很可能遭遇了针对家得宝的三角诈骗。
卖家从Home Depot直接发错了货给我来自Ebay
《INFORM 消费者法案》的局限性
正如我在去年十二月所说，我认为《INFORM 消费者法案》是促使市场平台对其网站上非法活动承担责任的良好一步。
然而，由于他们只专注于要求透明化和披露账户持有人信息，他们错过了拼图中的重要一块——在某些情况下，账户可能被黑客攻击/入侵或使用被盗的身份信息，因此被使用姓名和联系信息的人实际上可能是受害者，而非同谋。
例如，英国已有法规要求 eBay 披露商业账户的姓名、地址和联系方式。我看到许多英国的诈骗列表，其中骗子入侵并接管了一个账户，创建了数千个欺诈性列表，而每一个列表底部仍然保留着合法账户持有人的联系信息。
如果账户已被黑客攻击并用于犯罪中的欺诈活动，那么要求合法的商人提供并披露联系信息并不能保护任何人。被黑账户既可以像用于其他类型的网络欺诈一样，用来销赃从实体零售店盗窃的商品。
更严格的背景审查和了解你的客户（KYC）要求是一个良好的举措，但绝非根治网络犯罪的万能药。这些市场平台不仅应对卖家信息的审核负责，还应对其自身网站的安全与防护承担责任，以防止被劫持的账户被用于各类欺诈和犯罪活动。