支付宝爆惊天漏洞：有人短时间获取137万元红包
昨天在网上看到一条评论：“阿里的这类活动，往往会变成人性之恶运动会。”
指的是支付宝近期推出的邀请你瓜分10亿红包活动，结果被羊毛党盯上了，并顺利薅了支付宝的羊毛，在网上流传的截图中，有的支付宝用户在短时间内获取了137.8万元红包，有的获取了52.5万元的红包，同时显示还有10万+个红包在来的路上。
这种情况是怎么发生的？你一定跟我一样收到过以【支付宝】或【支付宝红包】打头的短信，让你复制此条信息打开支付宝领取最高1212元现金红包，每天领一次。
这是我收到的短信
网友截图，每天都收到“支付宝”的抢红包短信，图片来源：知乎
网友截图，图片来源：知乎
时间是双12前几天，这很容易让人以为是支付宝官方针对双12发的推广信息，然而可能是一些人钻了空子，打着支付宝的名义薅支付宝的羊毛。上面这种极端获利情况，很有可能是这些人通过群发短信获取的，在收取红包页面明确显示，还有10万+个红包在来的路上，以及有10万+个邀请失败。
针对这种情况，虎嗅12月25日晚电话采访了支付宝官方的工作人员，对方丢了一个公告，显示12月18日蚂蚁金服开放平台发了一则“禁止使用滥发短信等破坏用户体验的方式推广”的公告——
“近期，我们发现部分人群通过滥发短信等方式推广该这一功能，更有甚者使用【支付宝】作为签名滥发短信，破坏了用户参与活动的体验，也影响了支付宝的品牌形象。我们在此提醒大家：支付宝绝不鼓励这一过度推广行为。如因骚扰用户引发投诉等不良影响的，我们将采取不限于停止活动参与资格取消所有奖励的处罚。如未经允许使用【支付宝】签名，您需要承担由此引发的所有法律责任。”
支付宝官方工作人员告诉我，这是他们在发现上面12月13日那个52.5万元红包截图后发出的公告，他说：“我们当时也是看到了这条截屏，也有一些客户在微博上或者是通过我们的95188电话过来投诉，问是不是我们发的，因为一个是他们担心是钓鱼短信，第二个他们觉得这个就是体验不好，以为是我们支付宝官方干的这个事情。给你打电话之前我刚好拿到技术的排查结果，这个账户是第一时间被我们干掉的。”
随后他们采取了一些预防+事后处理措施，支付宝工作人员解释道：“我们直接用经济杠杆的方式，是预防+事后分析处理。
预防怎么理解？比如说你收到了这条短信，你投诉到我们客服这里来的时候，或者是说我们通过技术手段发现有这种类似的行为时，那我们就会去针对这个吱口令降低它的这个佣金，或者是直接把它的佣金取消掉，那他就没有动力去干这样的事情了。
因为你发短信是要成本的，你直接拿到的赏金比这个成本还低，你就不会去干这种事情了，那这是预防。然后第二个是事后的处理，我们上了一套模型，这套模型每天就会去判断，比如说通过这个吱口令今天领了多少个红包，如果这个红包跟正常领红包的行为它是不一样的，它就是异常的，那我们对这个账户也会采取取消赏金或者是说直接就是把他的活动参与资格给停掉。”
对方回应称，目前支付宝已经处理了800多个这样的账户，至于是否会取消这些账户获得的这些钱，支付宝表示，目前他们不会这么做。
这一切都要追溯到支付宝在11月15日推出的宣布上线首款免费发还能赚钱的红包。当时支付宝表示，该“赚钱红包”主要面向小商家推出。操作方式是用户在线下付款时，商家可推荐用户扫码领红包，用户使用后商家则获得相等的赏金。
你还可以通过支付宝App生成一条吱口令，你可以把吱口令分享给微信好友，丢到微信群，以及分享到朋友圈，朋友可以复制这条吱口令，然后打开支付宝领取红包，当这个人在支付的时候试用了这个红包（有效期3天），你作为这条吱口令的主人也可以获得同样额度的红包。
因此有网友“塞冬”在知乎上分享了一个盛况——
多年未见的小地方中小学同学不厌其烦的给自己安利支付宝红包。
老家的七大姑八大姨中老年亲戚都给自己安利支付宝红包。
你们这些新用户一次能拿十几块但我这个老用户只有几毛钱，你们烦不烦！
我的时间很宝贵，我的微信和TIM（注意是TIM）都被轰炸得烦死了，谁再让我扫红包就取关！
在知乎“如何看待支付宝扫码领红包活动？”这条问题下面，不少网友都分享了身边遇到的一些情况：
还有的人不胜其扰之后甚至拉黑了一些微信好友。在支付宝的这场10亿红包抢夺战中，人们八仙过海各显神通，人性也凸显得无比真实，甚至丑陋。
但支付宝之所以连着搞送10亿红包的活动——是的，他们圣诞节又搞了一波10亿红包——主要是为了拓展三四五六线城市的市场。一位支付宝的工作人员在跟我聊天的时候说：“这个方式确实能让商家能够积极的推广移动支付，可以影响更多的三四线甚至老年人用户，因为老年人对价格还是很敏感的，有红包的话，可能会帮助他们更快的接受移动支付。”
支付宝向我透露，一些微博大V和自媒体也都通过自己的渠道对支付宝的这次红包活动进行了自发转发，甚至一些地方媒体的报纸在显眼的位置进行了报道，并附上二维码，这样他们就可以直接创造收入。
其实，有深谙阿里巴巴套路的人早已洞察了这一切，知乎网友“锡我百朋”说：
但是我要说的是，这个推广套路，是阿里多年以来一直在用的，曾经为阿里作出过极其重要的贡献。
2004年左右，淘宝刚推出时，当时国内C2C头把交椅还是易趣——我记得我第一次在网上买手机，是2002年在易趣上花3800多买了一个西门子6688，然后跑到邮局去取货。
淘宝刚推出的时候，是怎么推广的呢？利用草根！它没去央视做广告，没去新浪/搜狐/网易做广告，而是把广告费用洒向了成千上万的各种地方网站甚至个人站，动辄直接买断半年/一年的头条Banner位置。。。结果淘宝成功了，很多人开始知道“淘宝”这个名词，开始尝试去淘宝购物。
从此以后，天猫/淘宝获取流量，都非常重视来自草根阶层的力量，后来发展得如火如荼的淘宝客，为淘宝带来了无数精准、高效的站外流量，阿里能有今天，淘宝客们绝对是立下了汗马功劳——借壳A股江南嘉捷(45.970, 0.00, 0.00%)上市的360公司，目前市值高达3000亿，在它的百亿营收中，淘客收入就占很大一块。
而数以百万计的小淘客，则是通过微博、微信、论坛、邮件、QQ群、SEO等数不清的渠道，默默地为阿里贡献着流量，同时也赚取一份佣金，其中的佼佼者，月入数十万都很正常。
回到本问题，支付宝洒下10个亿，其实跟之前的推广方式是一脉相承的，就是要利用草根们的各显神通，为支付宝带来精准的外部流量，至于你是疯狂发短信、强粘剪贴板还是把二维码贴在共享单车上，支付宝就懒得管那么多了。
那些经营网络流量生意的人，遇到支付宝洒钱，赚点红包不过是顺手牵羊罢了。
支付宝方面并不避讳他们希望借助商家来推广支付宝的用意，据悉，这次的10亿红包活动，有上千万家商家参与，那是不是说因为他们处理的800个违规账户只占不到万分之一的占比，就可以认为是成功的呢？
答案显然不是。
作为一家被公认的国民级应用，支付宝目前已经有5.2亿用户，但还有9亿用户是它没有触达的，它想通过各种方式去开发这部分新用户群体，这个无可厚非，它想通过低成本获客，也没问题。但作为国民级应用，应当承担它应有的社会责任。很难想象，11月15日的活动，12月12日双十二前后就被人钻了那么大的漏洞，而支付宝12月18日才做出回应和处理，以蚂蚁金服的技术实力，显然不该如此拖沓。
另外，蚂蚁金服这则公告，虎嗅翻阅了支付宝粉丝众多的微信公众号和微博，并没有发现这则公告，而只是挂在蚂蚁金服公开平台一个你几乎不会打开的网站上。在支付宝的微博上，它不停转发那些有正向意义的网友的分享，却没有把公告通过各种社交平台澄清这些短信非支付宝官方所为，以让5.2亿支付宝用户有充分的知情权。
本文开头的那句话应该引起支付宝的反思，无论是春节集五福，还是去年尝试的白领日记、校园日记，还是这次的10亿红包，为什么支付宝总是会被人诟病呢？
（本文转载自FX168——支付宝爆惊天漏洞：有人短时间获取137万元红包！）
