黑产大数据：026年上半年互联网黑灰产趋势研究报告

关于威胁猎人 威胁猎人ThreatHunter（深圳永安在线科技有限公司）成立于2017年，以黑灰产情报能力和反欺诈技术为核心，专注于及时、精准、有效的业务欺诈风险的发现和响应。 公司围绕不同行业在数字化发展过程中面临的业务欺诈、数据泄露、钓鱼仿冒、API攻击等风险场景，提供成熟多样的产品与服务，并多次入选Gartner技术成熟度曲线报告、IDC威胁情报领域代表厂商。 公司总部在深圳，在北京、上海、重庆、新加坡等地设有分公司，并在深圳和重庆两地建立数字风险应急响应中心（DRRC），为客户提供7*24小时全天候数字风险应急响应和及时、优质的服务支持。截至目前，公司已为金融、政务、物流、互联网、科技、零售等行业的300多家客户提供安全服务，覆盖85%头部互联网企业，每年帮助客户减少数十亿资金损失。 基于对黑灰产生态的持续监测，威胁猎人反欺诈情报研究团队发布《2026年上半年互联网黑灰产研究报告》，系统呈现黑产资源变化、产业链演进及典型作恶场景。除本报告外，威胁猎人还将陆续发布《2026年上半年信贷欺诈风险研究报告》和《2026年上半年品牌外部风险研究报告》，分别聚焦信贷欺诈、数据泄露，以及钓鱼仿冒、品牌侵权等重点风险场景。 这是威胁猎人连续多年发布的互联网黑灰产行业研究报告，也是威胁猎人面向行业固定推出的年度趋势观察成果。作为专注于黑灰产情报与业务反欺诈的安全厂商，威胁猎人已在黑灰产情报领域深耕10年，依托长期积累的风险数据、真实攻击样本与企业治理实践，持续追踪黑产资源、攻击手法与产业链变化，持续为企业判断风险趋势、制定治理策略提供参考。 目录 前言......................................................................................................................................................................4 一、2026年上半年黑产攻击资源分析........................................................................................................6 1.12026年上半年风险手机卡资源分析.............................................................................................61.22026年上半年风险IP资源分析.................................................................................................121.32026年上半年网络洗钱资源分析...............................................................................................161.42026年上半年风险邮箱资源分析...............................................................................................23 二、2026年上半年黑灰产攻击场景分析.................................................................................................25 2.1业务欺诈场景分析.........................................................................................................................25 前言 2026年上半年，在监管打击、平台治理与企业风控持续加强的背景下，传统黑产资源有所收缩，但风险并未消退，而是加速向境外资源、更隐蔽的基础设施和更复杂的作恶链路迁移。 报告内容关键点总结： 传统黑产资源整体收缩，但风险正在发生结构性迁移。新增国内风险手机号较2025年下半年下降53.6%，日均活跃风险IP下降16.31%，洗钱对公账户和洗钱商户分别下降70.81%和48.23%；与此同时，非中国大陆地区猫池卡增长110.55%。资源总量下降并不等同于风险消退，黑产供给正在向境外资源及更隐蔽的代理方式迁移。 业务欺诈仍处于高活跃状态，电商成为最集中的攻击场景。上半年累计捕获业务欺诈风险线报约9亿条，预警风险事件2088起，二季度事件量较一季度增长65.54%。电商风险占比居首，达到27.44%，相关风险线报较2025年下半年增长83%，表明大促、补贴和高频交易仍是黑产重点套利目标。 黑产作恶已从单点攻击转向多环节、产业化运作。从品牌回收、窜货、假货和恶意拉踩，到赛事赌博引流、快消代下及电商套利，黑产正在整合获客、账号、支付、物流和变现等环节，并根据平台规则快速调整手法，攻击链路更加完整、专业且隐蔽。 企业品牌风险的核心，正从“发现仿冒”扩展到“保护用户与官方渠道之间的可信连接”。上半年确认有效数据泄露事件23,645起，同比增长6.98%，其中重大风险事件增长22.90%，且95.02%的重大风险记录集中于暗网；同期记录钓鱼仿冒与品牌滥用事件45,321起，主要分布于搜索结果、仿冒网站、社交媒体、客服电话及下载渠道等用户入口。 信贷黑产规模呈现分化，高压治理正在淘汰低端参与者，但核心团伙仍在升级。恶意贷款欺诈舆情较2025年下半年增长2%，活跃群组增长17%，但欺诈账户下降3%；职业背债舆情和服务账户均下降31%，活跃群组却增长3%。这表明黑产服务端有所收缩，但留存团伙正转向真实补缴、长期数据养护及技术与关系相结合的精细化欺诈。 01 2026年上半年黑产攻击资源分析 一、2026年上半年黑产攻击资源分析 1.12026年上半年风险手机卡资源分析 1.1.12026年上半年新增国内风险手机号总量较2025年下半年环比下 降53.6% 2026年上半年，威胁猎人监测发现新增国内风险手机号总量出现下滑趋势，新增数量为351.6万，较2025年下半年环比下降53.6%。 从风险类型结构看，本轮总量下滑与国内猫池卡、拦截卡两类核心黑卡资源同步收缩高度相关：2026年上半年国内猫池卡较2025年下半年减少26.7%，国内拦截卡较2025年下半年减少68.35%。其中，拦截卡降幅更为显著，对整体新增风险手机号规模下降形成主要拉动。 1.1.22026年上半年猫池卡资源变化趋势 （1）2026年上半年国内猫池卡较2025年下半年减少26.7% 据威胁猎人情报平台数据显示，2026年上半年捕获新增猫池卡91.19万例，较2025年下半年环比下降26.7%。 经威胁猎人情报专家分析，出现这一趋势的主要原因是： 1.黑产供给侧遭遇攻击，导致服务稳定性下降。2026年上半年，发卡平台出现被攻击、站点异常、服务切换等情况。这类事件会导致发卡平台短期暂停销售或迁移站点，进而导致黑灰产侧可采购、可投放的猫池卡数量阶段性下降。 2.部分接码平台暂停服务，影响下游代理和买家采购链路。除发卡平台遭遇攻击外，部分主流接码平台在上半年也出现服务器异常等问题，导致下游代理商和买家无法稳定获取号码资源。 综合来看，发卡平台被攻击与主流接码平台阶段性停服共同削弱了国内猫池卡供给能力，是2026年上半年新增猫池卡规模下降的重要原因。 （2）2026年上半年新增猫池卡归属最多的三个省份为：重庆、广东、浙江 威胁猎人对2026年上半年新增国内猫池卡进行统计分析，发现重庆、广东、浙江三省（含直辖市）为猫池卡归属地最多的三个省份。 （3）2026年上半年新增猫池卡归属最多的三个城市为：重庆、长沙、成都 威胁猎人对2026年上半年新增国内猫池卡进行统计分析，发现重庆、长沙、成都三地为猫池卡归属地最多的三个城市。 （4）2026年上半年捕获的新增猫池卡中，归属国内四大运营商的占81.71% 威胁猎人情报数据显示，2026年上半年监测到新增猫池卡91.19万例，其中归属国内四大运营商的猫池卡占比81.71%，归属虚拟运营商的猫池卡占比为18.29%。 1.1.32026年国内拦截手机卡资源变化趋势 拦截卡：黑产通过病毒木马劫持手机短信收发权限，从而控制的手机号码，号码主人为正常用户。 （1）2026年上半年国内拦截卡较2025年下半年减少68.35% 据威胁猎人情报平台数据显示，2026年上半年，威胁猎人捕获新增拦截卡达202.3万，较2025年下半年减少68.35%。 对黑灰产拦截卡供给情况的进一步分析显示： 2026年上半年国内拦截卡新增规模大幅下降，核心原因之一是拦截卡供给侧在年初出现了明显收缩。多个拦截卡相关群组在1月至3月期间陆续发布"停机"、"关服"等公告，说明部分拦截卡平台、号商和通道在年初主动停服、暂停更新或退出供给，导致拦截卡新增供给断档。与此同时，6月下旬群组中又出现"拦截卡商被监管打击"、"市面号商、卡量较少"等信息，反映拦截卡市场仍处于供给不稳定、可信货源减少的状态。 （2）2026年上半年拦截卡归属最多的三个省份为：四川、河南、山东 针对2026年上半年捕获到的国内拦截卡统计分析发现，四川、河南、山东三省为拦截卡归属地最多的三个省份。 （3）2026年上半年新增拦截卡归属最多的三个城市为：重庆、成都、菏泽 威胁猎人对2026年上半年新增国内拦截卡进行统计分析，发现重庆、成都、菏泽三地为拦截卡归属地最多的三个城市。 （4）2026年上半年捕获的新增拦截卡中，归属国内四大运营商的占97.89% 2026年上半年威胁猎人情报运营平台捕获新增拦截卡达202.3万张，归属国内四大运营商的拦截卡占比达97.89%，虚拟运营商拦截卡占比为2.11%。 1.1.42026年[非中国大陆地区恶意手机卡]资源变化趋势 非中国大陆地区：包含中国香港、中国澳门、中国台湾及其他海外地区。 （1）2026年上半年非中国大陆地区猫池卡较2025年下半年增长110.55% 据威胁猎人情报平台数据显示，2026年上半年捕获新增猫池卡294万例，较2025年下半年环比增长110.55%。 经威胁猎人情报专家分析，出现这一趋势的主要原因是： 结合黑灰产侧情况，2026年5月海外某头部接码平台集中上线了一批猫池卡，短期内显著扩大了可用卡源供给，使大量新增号码进入接码流通链路并在平台被捕获。观察该平台，呈现每年规律性批量放卡特征，并非偶发性异常批量放卡，反映非中国大陆地区黑产供给侧较为稳定。 （2）2026年上半年非中国大陆地区新增猫池卡归属地TOP3：美国、加拿大、沙特阿拉伯 威胁猎人情报数据统计显示，2026年上半年非中国大陆地区新增猫池卡归属地主要集中在美国、加拿大、沙特阿拉伯。 1.22026年上半年风险IP资源分析 1.2.12026年上半年日均活跃风险IP总量较2025年下半年环比下降16.31% 2026年上半年，威胁猎人监测发现日均活跃风险IP数量持续下降，风险IP数量达到1165万，较2025年下半年下降16.31%。 经威胁猎人情报专家分析，出现这一趋势的主要原因是： 2026年上半年海外作恶IP数量下降，与全球住宅代理网络及海外代理平台基础设施遭到集中打击有关。2026年1月，某头部全球大型住宅代理网络平台关闭了数十个用于控制设备和代理流量的域名，部分代理节点失效，代理服务可用性下降，黑灰产可调用的代理资源受到压缩。 1.2.22026年上半年国内作恶IP资源分析 （1）2026年上半年国内作恶