气得我睡不着，我把这种“伪装成客服通道”的链路追完了：你以为是福利，其实是“筛选”；先截图留证再处理
一、案发经过（简要复盘）
- 收到消息：声称来自平台官方、含“客服通道”“优先领取”等字眼，附带一个短链或二维码。
- 点击后：先是跳转到一个看似正常的页面，要求输入手机号、验证码或扫码关注/下载APP，有时先做个小游戏或填写问卷。
- 后续表现：填写者被分层处理——表现更“配合”的会被转入人工渠道或被要求提供更多信息、充值或分享拉新；表现不配合的则被给予小额“安慰券”或直接忽略。
二、我如何追链（可操作步骤） 1) 先截图并保存证据
- 把消息原文（含发送时间、发送者）截屏保存；进入页面后把浏览器地址栏、页面内容和任何提示都截屏。截图要包含时间戳（手机系统时间可见），必要时保存为照片文件以免被删除。 2) 不用真实信息继续操作
- 若想深入追查，在隔离环境（虚拟机或干净的浏览器隐身窗口）里进行，且千万不要输入真名、手机号或验证码。 3) 查看重定向链路（最关键的一步）
- 用浏览器开发者工具（Network）或 curl/wget 查看页面从最初短链到最终落地页的 301/302 跳转。示例命令：curl -I -L "<短链>"（注意在安全环境中运行）。
- 导出 HAR 文件（Network → Save all as HAR），保留完整请求/响应头部，作为技术证据。 4) 检查域名与证书
- 对每个中转域名做 whois 查询、查看 SSL 证书颁发信息和到期时间，判断是否为临时搭建或批量注册域名。 5) 用安全检测工具交叉核验
- 把可疑域名/URL 投到 VirusTotal、URLScan、ThreatCrowd 等站点查信誉和历史快照，查看是否与其他诈骗链接有关联。 6) 观察页面行为
- 注意是否有强制跳转、下载提示、要求扫码登录或索取验证码的环节；这些通常是为了收集可复用的联系方式或诱导安装可疑软件。
三、为什么这不是“福利”，而是“筛选”
- 低成本高覆盖：通过短链、社交平台或客服号发放，能在短时间内覆盖大量用户。
- 多级筛选机制：先要求非常小的动作（扫码、填写手机号、拉新1人），根据用户执行程度把人分层——愿意配合、提供信息和转发的人更可能成为被进一步“敲诈”或推送高价值诱饵的对象。
- 人工化转换：一旦被判定为“高价值”，背后通常会有人工客服以更专业的话术接手，进一步引导付款或提供账户信息，形成真正的诈骗闭环。
- 技术追踪难度低：利用短域名、中转域名和临时服务器可以掩盖真正受益方，难以即时追溯，但留下的跳转链和网络证据可以作为报案线索。
四、遇到类似情况的优先操作（先截图留证再处理）
- 先做的三件事：截屏（消息 + 着陆页 + 地址栏）、导出 HAR（或复制 URL 跳转链）、保存发送者信息（微信号、群聊ID、短信号码）。
- 立即断开互动：不再按页面要求输入任何私人信息或付款，不要扫描二维码、不主动回拨、不回复“客服”短信验证。
- 交给平台与主管机关：把证据提交给你所在平台的官方客服、所用社交软件的举报入口，以及必要时的公安机关网络诈骗专线。
- 银行与账号防护：如果已经泄露了银行卡或支付信息，立即联系银行冻结相关卡/账户，并更改相关网站的密码、启用双因素认证。
五、给普通用户的速查清单（用时 ≤ 3 分钟）
- 链接是否为缩短 URL（bit.ly、t.cn 等）？可先用 URL 展开工具查看真实落地域名。
- 页面是否急促让你输入手机号/验证码/扫描二维码？这类高急促度通常为陷阱红旗。
- 域名是否与平台官方完全一致（注意拼写差异、子域名替换）？
- 页面是否要求下载 APP 或授权过多权限（通讯录/短信）？
- 若你想保存证据：截图 + 导出 HAR + 保存 URL 快照（如 URLScan） 。
六、实战工具推荐（便于取证和自查）
- 浏览器 DevTools（Network → HAR 导出）
- curl / wget（查看重定向链）
- VirusTotal、URLScan（URL/域名信誉检测）
- whois、crt.sh（域名注册与证书信息查询）
- 截图工具（含时间戳）和云端备份（保证证据不丢失）
