有做商城的老板问我，开了验证码能不能防住刷单？我说验证码是一道门槛，但拦不住有准备的人。刷单早就不是手工活了。
刷单是怎么发生的
现在的刷单多半是批量操作，用工具一次跑几百个订单。验证码这类静态的门槛，工具能绕过或者用人工打码的方式过掉。
常见的套路是：用大量新注册账号、用各种优惠券，还有用同一批收货地址或者同一段网络。单看一条不奇怪，凑在一起就有问题。
还有一种更隐蔽的是「养号」，账号注册后不用，养一段时间再用来下单。这种光看注册时间看不出来。
风控要看行为，不只看验证码
真正有用的风控是看行为。一个人买一件商品是正常，一个账号十分钟买二十件，就值得拦一下。
我们做商城风控时，会盯几个信号：下单频率、账号年龄、收货地址是否重复、支付方式是否异常，以及设备指纹是不是同一个人。几个信号凑在一起才判定。
还有一个思路是给优惠券加限制。新账号首单优惠、同一地址限领一次，还有优惠券和秒杀不叠加。把能被利用的口子先堵上。
事后怎么补救
发现刷单之后，除了取消订单，更要看它是从哪个口子进来的。不找到入口，这波处理完了，下一波还会来。
我们的建议是先把异常的订单和账号拉一份清单，看看共同点：是不是同一个地址段、同一批账号，以及同一个活动。共同点就是漏洞的位置。
还有一点，已经发出去的货和已经补贴出去的钱，要有一个处理规则。规则不清，客服面对投诉就不知道怎么答。
商城防刷单：这几个问题答得最多
开了验证码为什么还被刷
验证码只挡简单的手工刷。批量的工具能绕过或者用打码服务，还要靠行为风控。
风控会不会误伤正常客户
会有一点，所以规则不能一刀切。用多个信号综合判断，比单一规则准得多。
被刷走了多少钱能追回吗
部分可以，看证据和规则。更实在的做法是把风控做在前面，损失控制在早期。
常斌的团队会这么犯轴：验证码是门帘，风控才是门锁，两样都要有。
先把规则定清楚
我的建议是先把优惠券、秒杀，再加上新客礼这几条的规则理清楚，堵掉明显的口子。规则清楚了，刷单的成本自然就上去了。
电商这块我们服务过 300 多家企业。信服无限做商城风控这块时，最看重的是能不能在早期就把异常拦下来。谈工期之前，告诉我你做过哪些优惠活动，活动设计得越简单。越不容易被钻空子，我们帮你把规则捋一遍，堵掉明显的口子。