三角欺诈——它是什么？如何保护自己？

三角诈骗是指买家在第三方市场上进行真实购买，但卖家却从其他商家处欺诈性地购买该商品。这种复杂的诈骗形式可能影响任何拥有在线业务的企业。

它可能在任何市场平台上发生，但我花了一年时间专门调查eBay平台上的三角诈骗，并对其普遍程度感到震惊。我可以亲自证实，仅有一家被此诈骗针对的公司就涉及数千笔欺诈交易，金额超过16万美元。

三角诈骗是如何运作的？

首先，欺诈性卖家在第三方平台或市场上发布他们并不持有的商品 listings（列表）。

不知情的买家看到这些 listing，通常是以“好得难以置信”的价格，并购买了该商品。

随后，欺诈性卖家前往销售该商品的合法电商网站，下订单直接发货给不知情的买家（有时被称为零售套利代发货），并使用盗用的信用卡进行这笔交易。

电商网站发货，直到几周后收到实际信用卡持有人的拒付（chargeback）时，才意识到这是欺诈行为。

不知情的买家收到了他们购买的商品，甚至可能没有意识到其中涉及欺诈，通常会为欺诈性卖家留下正面评价。

如需一些示例，请参阅Krebs On Security在2015年发表的文章。有趣的是，这篇文章中使用的三角形图形实际上当时来自eBay的帮助页面——这表明eBay多年来一直清楚这种欺诈行为的存在。

以下是Nina Kollars从买家角度对三角诈骗的分析。

eBay在其中扮演了什么角色？

当我最初开始谈论我在eBay上遭遇三角诈骗的经历时，我收到的回应类似于“如果信用卡欺诈发生在eBay之外，那又是eBay的什么问题呢？”

这是一个合理的观点，在线卖家确实需要采取措施保护自己免受欺诈和盗窃。然而，当一个市场平台被用于协助欺诈，并且明显知道这种情况正在发生时，他们在什么情况下有义务采取行动？你如何在“不是我们的问题”和“共犯”之间划清界限？

我个人向eBay举报了超过150个参与此欺诈行为的账户。虽然对方承诺会采取行动，但一年多过去了，最初举报的账户中只有约三分之二被关闭。有些账户仍在积极销售，或者只是接管了不同的账户以继续实施欺诈。

我向FBI网络犯罪部门提交了IC3报告，并向州总检察长办公室提交了报告。FBI没有回应。州总检察长办公室发了一份模板回复，称

关于eBay，我们与该公司建立了投诉处理流程。因此，我们将您的通信转发给公司代表，并要求他们在审查后向您和我们办公室作出回应。

事实证明，该投诉流程是eBay的PROACT部门（Partnering with Retailers Offensively Against Crime and Theft）。eBay向州总检察长办公室表示他们将直接与我联系并合作，这足以让案件被草率地盖章“结案”。 eBay的PROACT部门 (Partnering with Retailers Offensively Against Crime and Theft)。eBay向州总检察长办公室表示他们将直接与我联系并合作，这足以让案件被草率地盖章“结案”。

不幸的是，尽管eBay承诺PROACT会与我合作解决此问题，但他们却推诿扯皮，假装发送了“可能进了垃圾邮件文件夹”的电子邮件（实际上并没有），最终完全停止回应。

有一次，一名eBay员工坦率地告诉我，这种情况并不新鲜，他对超过10万美元的损失并不感到惊讶，并且他知道有几家大卖家在被针对后停止了在eBay上的销售，但eBay对此无能为力。

但问题是——这种类型的“零售套利代发货”（无论是否使用被盗信用卡）已经违反了eBay的政策。

完整政策如下，但以下是相关部分：

在eBay上列出商品，然后从另一个零售商或市场购买该商品并由其直接发送给您的客户，这在eBay上是不允许的。

如果eBay在明确显示某个账户是从其他零售商或市场发货时严格执行其现有政策，这种欺诈行为可能会几乎立即停止。eBay为何不执行这项政策？

我与几位同样遭受此类欺诈影响的卖家交谈过，他们不仅在eBay上销售，也有自己的独立网站。我不能确定是否存在相关性，但在某些情况下，欺诈者似乎在eBay上寻找热销产品，然后搜索这些公司的网站进行直接购买。

受影响的卖家往往遭受双重打击。不仅他们的产品被直接盗取，欺诈者还在 eBay 上与他们在同一平台上竞争销售。当然，由于他们实际上并未为这些产品付费，其商品成本 effectively 为零，因此他们可以以低于常规零售价 50% 以上的价格出售。

如果某个品类中的合法卖家因这种欺诈行为而退出 eBay 或倒闭，当欺诈者转向下一个热门商品并导致该品类被掏空时，会发生什么？这对市场的长期健康和稳定性来说并非好兆头。

我也有理由相信，许多用于此类欺诈性销售的 eBay 账户是被入侵的账户。这些 listing 和账户本身存在许多红旗警示，让我怀疑它们原本是合法的账户，后来被欺诈者接管。我还在 eBay 社区和 Twitter 上发现了许多报告，虽然这些可能是轶事证据，但与这种欺诈的手法相符。

我并没有直接了解这些账户是如何被入侵的——网络钓鱼方案、被盗的电子邮件账户、糟糕的安全协议（如在多个网站使用相同的密码）或暴力破解密码只是几种可能性。

为了绝对明确，我不是在暗示 eBay 网站本身被入侵了，而是用于此次欺诈的许多个人用户账户可能已被入侵。

虽然他们可能无法对发生在其网站之外的三角形一侧采取太多措施，但eBay绝对可以且必须为其平台上买家和卖家的安全与保障承担责任。

eBay 表示，通过直接管理支付并剔除 PayPal，将遏制此类欺诈行为，因为他们必须遵守严格的“了解你的客户”（KYC）法规。

然而，我也看到加入托管支付计划的账户也被用于此类欺诈。这或许稍微减缓了他们的步伐，但似乎并未阻止他们。

我一直跟踪并向 eBay 举报了我识别出的每一个涉及此欺诈行为的账户。在 2020 年最初报告的 150 个账户中，到 2020 年 11 月仍有 45 个处于活跃状态，当时它们全部仍在使用 PayPal。到了 2021 年 2 月，这 45 个账户中有 19 个已转换为托管支付（Managed Payments），并且仍在积极销售欺诈性商品。

我继续监控和追踪新的疑似欺诈账户，并预计随着 eBay 推动在年底前让所有卖家加入，使用托管支付的账户数量将继续增长。

识别欺诈性 Listing

如何知道你是否成为了三角欺诈的目标？当我第一次遇到这种欺诈时，是因为我当时所在的公司突然发现在低金额订单上出现了增加的趋势，这与他们之前看到的任何欺诈模式都不符。他们意识到许多拒付是针对相同商品的，但当时并不知道 eBay 方面的欺诈情况。

当一名骗子意外订购了错误的商品，且买家因装箱单上印有公司名称而致电投诉这一错误时，所有线索终于串联了起来。由于我负责公司的所有 eBay 销售业务，这通电话转接给了我。买家确认了他在 eBay 上购买商品的卖家名称，这促使我进一步调查并理清了头绪。

我开发了一套系统，用于识别、跟踪和报告这些欺诈账户。

1. 审查拒付记录，以识别那些销量巨大但随后遭到争议的共同商品。
   
   
2. 在 eBay 上搜索这些商品，寻找具有符合此类欺诈手法（MO）红旗标志的卖家和列表。
   
   
3. 检查可疑账户的销售历史——通常他们的销售会与网站上 fraudulent 订单下达后的 24 小时内重合。

这项研究随后为内部措施提供了依据，用于标记和验证被认定为该类型欺诈高风险的订单。

如何打击三角欺诈？

我将完全坦诚地说明，这种特定的欺诈手段复杂、影响广泛且不断演变。我可以提供一些打击此类欺诈的可能策略，但这并非详尽无遗的清单，也不能保证能发现并阻止 100% 的欺诈行为。

骗子经常会改变支付方式。如果商家开始要求账单地址与收货地址一致，或者试图限制使用信用卡支付的订单，他们可能会转而使用 PayPal，并将被盗的信用卡作为 PayPal 账户的资金来源。

我还见过他们使用被盗信用卡购买在线礼品券，然后利用这些礼品券购买商品。我怀疑 Reddit 上报道的这一情况可能就是这样发生的。

我强烈建议任何在线业务都应制定全面的欺诈预防和检测策略。有许多公司提供各种 SaaS 解决方案——其中一些甚至会在批准后来被争议为“未经授权的交易”的订单时提供保险覆盖。

我不会推荐任何特定产品，因为最佳选择高度依赖于您的业务需求和预算，但鉴于电子商务公司可能遭受欺诈的方式多种多样，主动应对这些潜在威胁而非被动反应至关重要。

您是否曾成为三角欺诈的受害者？

我非常希望与其他经历过此类欺诈的卖家交流心得。请在下方评论中分享您的经历。