各位独立开发者还是需要稍稍警惕中间人攻击

背景

我是某些 Android 应用的开发者。因为下载量大几百万了没有在这里打广告的必要。

由于有少数用户会在平板、手表等没有支付宝微信的环境里安装，所以至今还保留了古老的网页端扫微信收款码，来获取 app 激活码的接口。

事件

有天半夜有人来买，第二天中午申请退款，理由是 iPhone 看不了。我一头雾水，我 app 压根就没 iOS 版，看什么看不了？

加了他聊了半天，才理清楚事情：

受害者应该对互联网不太熟悉，从 x 被网黄引导到 tg 加群看片，群主说要看完整内容需要付费，从我的 app 中抠出了微信付款发码给受害者，让他付款后把激活码转发过去。群主（诈骗犯）收到我的 app 的激活码后，转手闲鱼出掉。得手后还讽刺了受害者一番最后说「有种来举报我的微信啊」

后续

无语之余，我也只能对受害者退款了事。和他核对了时间线，从我的服务端记录看，受害者把激活码给骗子后不到半小时就转卖激活掉了。事发后骗子 tg 群也解散了，号也没上线过了。应该是每骗一个人就新建一个号吧。

由于骗子全程隐身，也没法对他做什么，报警也无从谈起，毕竟金额也就 20 来块。

改进措施

辛亏微信扫码付的人一天也没几个，我停掉了自动化发码，加了一段自动回复「感谢购买，注意：所有让你代扫码，转发激活码给他的都是诈骗。千万不能把激活码告诉别人。确认请回复『{手机型号}+{安卓版本}+已正常安装 xxx ，确认购买』来获取激活码」。

发出来是想提醒一下各位独立开发者，特别是早期创业支付渠道还不完善的，务必小心谨慎。稍不注意就成了别人中间人诈骗 play 的一环。

sunwz4

143 天前

想起来去年也接触过一个这种骗子。
我有一个产品，允许用户进行充值，对接的是企业支付宝，扫码付。
但因为我主要是卖 vip ，用户充值后基本是没啥作用的。

有一阵子，我经常看到几个用户，单笔 10~20 块的往里充，我查了下付款账号还不一样，连续好几周。
我一直也搞不懂他们是干啥，难道是众筹我产品呢？？？

直到又一个深夜，有个稍微互联网经验丰富一点的，通过他付款订单，找到了我这边的资质，找到了产品官网，然后联系上了我。

和我说他被骗了，手法也差不多是和小姐姐聊天上头了，人家让连续扫码，一个接一个。
我这笔是第二个，20 的，他扫完人家又让扫 88 ，他不干了。

我猜他们是某种服从性测试，比如充 20 给他返 20 ，然后最后一个什么大额的给人骗了？？

最后我也没搞懂骗子图啥呢。骗子为啥在我这充我也不知道，估计是找不到太多收款渠道。。。前期大规模筛“猪”时候，用自己渠道会容易被封禁，到大额再用自己的吧。充值给互联网上小平台，以后说不定还能提出来....