既不是双11、双12，也不是“黑五”之类，元旦已过，春节还远，在一个对于电商平台来说本应淡到无事的时间点。1月20日凌晨，拼多多重大BUG事件爆了。

这一BUG，造成用户可以随意领取100元的无门槛优惠券，该优惠券除特殊商品外全场通用，有效期为一年。直到早上9时许，拼多多官方紧急将优惠券的领取方式全部下架。中午12：50，拼多多称“有黑灰产团伙通过一个过期的优惠券漏洞盗取数千万元平台优惠券”，表示自己已第一时间修复漏洞，对涉事订单进行溯源追踪，并已向公安机关报案。

此事一出，立刻上各种热搜，各路专家也立马有了话题。笔者认为，此事件可以说叩响了“警钟三连”。

警钟一，现代企业运维必时刻紧绷安全之弦。

移动互联时代，以互联网为基础支撑的数字经济、信息经济，数据、信息安全是一个企业的立身之本。之前，优步、脸书、京东、携程、汉庭，甚至12306网站等都发生过海量用户数据泄露事件上。大数据时代，各路野蛮生产的势力，早早地知悉这些海量资源的“矿物质”含量，穷尽各种手法想得到这些资源。

而基于数字经济时代的产品研发、生产、营销等，每一个环节都有别于传统经济时代初创模式，对于新经济重大支撑的技术部门，更是一手要抓安全，一手要抓研发。数据和信息安全，已是新经济企业的硬成本，投入无法缩略。拼多多这次事故，一个无门槛的测试券，居然是挂在网上的，只不过是没有入口。但当成天在网上“狩猎”的黑灰从业者，就如鲨鱼闻见血腥，他们生成了一个入口的二维码，然后可以无数次无约束地扫码下载这100元的无门槛优惠券，按拼多多接近 230 亿美元的市值，折合人民币也就 1600 亿元，而这100 元无门槛券随便领，这看起来像是要拆了公司给用户发奖金的姿态。

以电商为例，亚马逊、京东以及许多航空公司的官网，都曾出现过价格设定错误，用户拍下产品，相关企业承担经济和商誉双重损失。

运维安全无小事。

警钟二，黑灰产业日趋猖獗。

作为新经济生态下的另类生物，网络黑灰产已经成为一个庞大、复杂、隐蔽、高效的产业链，这其中“薅羊毛”就是盈利模式之一。

据了解，“黑灰产业链”存在四大类型：技术类黑灰产业，包括虚假账号注册等在内的源头性黑灰产业；用于非法交易、交流的平台类黑灰产业；技术类黑灰产业，如木马植入、钓鱼网站、各类恶意软件等；网络黑账号，多以恶意注册、虚假认证、盗号等形式出现。

据不完全统计，2017年国内活跃的专业技术黑灰产业平台多达数百个，黑灰产业规划已达近千亿元，而我国网络安全产业规模也只有450多亿元。这就尴尬了。

技术类“黑灰产业”主要有“拖库”、“洗库”、“撞库”等作业手法，所谓“拖库”，是指黑客入侵有价值的网络站点，把注册用户的资料数据库全部盗走的行为。“洗库”是黑客入侵网站在取得大量的用户数据之后，通过一系列的技术手段和黑色产业链将有价值的用户数据变现。“撞库”是黑客通过收集互联网已泄露的用户和密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可以登录的用户，登录成功之后首先会窃取账号内的资产信息。

不言而喻，这三大类行为，都是犯罪。

还有一种边缘地带的类别叫“垃圾注册”，黑产要盈利必须要有海量的帐号，黑产会注册成千上万个小号来为后续的活动进行准备，涮单、涮流量、薅羊毛等都是有这些小号来运作。

今天的职业“羊毛党”已经属于黑灰产业链，呈现团伙化、规模化、自动化趋势，其危害已经到了触目惊心的地步了。

警钟三，监管手段和相关法律必须与时俱进。

对于网络安全，以及新商业生态黑灰产业，相关部门高度重视，国家互联网应急中心曾对“黑产”作了如下界定：一是发动涉嫌拒绝服务式攻击的黑客团伙，二是盗取个人信息和财产账号的盗号团伙，三是针对金融、政府类网站的仿冒制作团伙。灰产则是指“恶意注册和虚假认证”，其特点为处于法律监管的空白地带，是黑产的上游产业链。

需要明确的是，黑灰产的说法仅是我们对这类现象的俗称，在法律层面上，目前并无黑灰产的明确定义，具体的判责要结合其行为来认定。根据其行为的不同，可能会构成诈骗罪、合同诈骗罪、盗窃罪、破坏计算机信息系统罪等。

互联网时代的即时性、跨区域等特性，给相关部门的监管等带来了很大的限制。而各类黑灰产业技术上的“前瞻性”，又给相关部门的认证以及适应法规带来了很大的局限。面对网络黑灰产业日益严峻的形势，网络信息办、公安网警、市场监管等部门要多部门合作，相关企业更要筑紧篱笆。

“亡羊补牢，未为迟也”。

营商生态，需要方方面面的努力。