我把常见骗局做成了对照表，我把这种“伪装成视频播放”的链路追完了：你以为删了APP就安全，其实账号还在被试；把支付渠道先冻结
引子：一次“看视频”的陷阱，把线索一路串了出来 上周遇到一个受害者：手机里装了一个看短视频的“清爽版”应用，播放界面和正版非常像。点开后会先播放几秒免费片段，然后弹出“继续观看请验证/付费”的提示。用户以为是应用内支付，付了一次以后卸载了APP，觉得没事了。几天后银行卡又被小额扣款，登录时发现手机号还在被试探性登录、注册，这让我追查这一条链路——从前端伪装视频播放，到后端保留账号、到支付通道复用——把常见的套路做了个对照表，并归纳出应对步骤。
骗局链路（以“伪装成视频播放”为例） 1) 前端伪装
- 界面：模拟正规平台的播放页（封面、播放条、暂停按钮）吸引点击。
- 交互：播放几秒后出现“验证/付费弹窗”，或要求用手机号/第三方登录以“保存观看记录”。
- 权限：请求收短信、通话状态或Accessibility（用于拦截验证码或自动授权）。
2) 背后动作（你看不到的）
- 页面用WebView加载第三方支付/授权页面，核心数据通过postMessage或隐藏表单提交。
- APP会把手机号/设备信息/唯一ID提交到后端，后端生成账号/绑定流水，并可在服务器端继续尝试登陆或扣款。
- 支付采用第三方支付通道或暗扣订阅，可能用商户号+token化的支付方式（先授权，后续可用token发起付费）。
- 卸载APP只移除本地界面，服务器端账号与绑定支付信息往往仍在，被留作反复试探。
3) 结果
- 用户删除APP后仍会被试探性登录、被小额扣款、或收到验证短信，因为服务端保存了绑定记录与支付token。
- 支付渠道若未先冻结，攻击方可通过后台继续触发扣款或做订阅续费。
对照表（常见骗局类型 → 典型表现 → 追踪/应对要点）
- 伪装视频播放
- 表现：免费试看后弹付费/验证，要求手机号或第三方扫码登录
- 追踪：抓包WebView请求（mitmproxy），检查postMessage/隐藏表单、支付域名、第三方SDK
- 应对：截屏/保存支付凭证，立即冻结卡、取消关联支付方式、撤销第三方授权
- 假客服/退款类
- 表现：主动加你为好友要求操作退款、授权
- 追踪：保留聊天记录、对方账号ID，申请平台查询对方操作日志
- 应对：不按对方提示操作，联系银行/平台客服核实
- 恶意订阅/自动续费
- 表现：无明显消费记录却反复小额扣款
- 追踪：检查Google Play/Apple订阅、第三方支付商户号
- 应对：取消订阅、移除支付方式、向银行申请止付或退单
- 敏感权限劫持（短信/Accessibility）
- 表现：APP要求读短信、无障碍权限
- 追踪：查看Manifest/权限日志、禁用权限、在隔离环境跑APP
- 应对：立即撤销权限、卸载并变更相关的账号密码
遇到正在被试探或被扣款时的即时操作清单（按优先级） 1) 先冻结支付通道（最关键）
- 立即致电发卡银行或支付机构，申请临时停卡/冻结/阻止新增扣款，要求对可疑交易进行阻止或拒付。
- 登录到Google Pay / Apple Pay /支付宝/微信，移除或冻结卡片，取消所有绑定和自动续费授权。
2) 保留证据
- 保存银行扣款流水、支付页面截图、APP页面与弹窗截图、短信/验证码记录、聊天记录。
- 记录时间、金额、商户名（有助于银行和公安走流程）。
3) 断开被滥用的账号与授权
- 改密码：受影响账号（手机号/邮箱）的密码立即改掉，设强密码。
- 撤销授权：进入账号安全设置，查看并撤销第三方应用/网站的访问权限（Google：安全 -> 第三方应用访问）。
- 强制登出：使用“在所有设备上登出”或重置会话的方法，撤销旧的会话与refresh token。
4) 检查与取消订阅
- Google Play：打开“订阅”页面，取消陌生订阅并查看购买历史。
- Apple App Store/App Store订阅同理：在订阅中取消并移除支付方式。
- 第三方支付：在对应商户后台举报并申请退款/关闭自动扣款。
5) 向平台与警方报案
- 向应用下载平台（Google Play等）举报恶意应用，附上证据让平台下架应用并调查。
- 向发卡银行申请争议退款（chargeback）并同时报警，提供证据材料（截图、流水单、通讯记录）。
深度追踪方法（给技术人员或愿意深入的人）
- 网络层抓包：在受控环境用mitmproxy抓取APP的WebView/HTTP请求，注意HTTPS证书绑定与证书 pinning。
- 静态分析：解压APK查找assets、smali或js资源，搜索关键字（pay、token、postMessage、third_party域名）。
- 动态分析：在沙箱或模拟器环境运行，监测权限调用（尤其SMS、Accessibility、READPHONESTATE）、文件写入与后台唤醒行为。
- 后端线索：从抓到的域名WHOIS/Hosting信息找到商户或后台服务器，向主机商或域名注册机构举报请求下线。
- SDK来源：识别第三方广告或支付SDK，追踪SDK供应商，很多恶意行为通过嵌入的SDK完成。
常见征兆（短时间内多出现，值得怀疑）
- 要求读取短信或无障碍权限来“自动验证”；
- 弹窗要求输入或授权第三方账号（微信、支付宝、Google）而非在原生安全通道；
- 先让你付一次“试用”或“解锁片段”，随后出现小额反复扣款；
- 应用卸载后仍有付款或登录尝试；
- 支付页域名与应用开发者信息不一致，或用一串看起来像token的参数。
案例补充：为什么删了APP账号还在被试？
- 删除APP只是清理了本地界面，很多绑定是在服务器端完成的：手机号、设备ID、支付token都可能被服务器保存。
- 如果支付是基于token化或商户号授权，攻击方可以用后台接口继续触发扣款，不需要手机端再次操作。
- 有些黑链会把手机号关联到多个商家账号，后端以手机号检测到“已授权”就继续试探性下单或发送验证码请求以验证活跃性。
给普通用户的简洁流程（可直接照着做） 1) 立即打电话给银行冻结卡或阻止进一步扣款。 2) 移除/冻结在Google Pay/Apple Pay/支付宝/微信中的对应支付方式。 3) 改受影响的账号密码并开启两步验证。 4) 撤销第三方授权，取消未知订阅。 5) 保存证据，向银行和平台申请争议退款并报警。
结语（简短） 网络诈骗的套路反复翻新，但基本逻辑不变：先拿到信任或一次性授权，再把服务端做成可重复利用的机器。遇到可疑“看视频/验证/付费”的流程，优先想到把支付通道切断、保留证据、撤销授权。若需要我把你遇到的具体页面或支付流水看一眼并给出更细致的操作建议，可以把关键截图和时间线发来，我帮你把行动项按优先级细分并形成给银行/平台的证据包。
