恶意手机号产业链调研：海外手机号成为黑产批量注册和换号验证的重要资源

接码平台把海外手机号摆上了货架。选好归属地和要注册的网站付钱等验证码失败就换号。基于2026年7月海外接码平台监测数据发现这不是零散黄牛而是一套可检索、可购买、失败后可重复调用的供给。核心发现这份监测真正要说的不是验证码不可信。而是接码号会上下架。它不是 VoIP 那样一种号码属性而是一种会进入、退出、再被抛出的库存状态。本报告的核心结论是寿命是双峰的。在监测到的48,222 个样本里超过一半只出现一次或渠道活跃周期不超过 30 天。90 天以上合计 32.7%90–365 天的占比24.8%365 天以上的占比7.9%。“曾经出现过”会双向误判。价格差在属地。117.7 万条有效报价中位 2.9 元89.3% 不超过 6.8 元。价差更多体现在国家或地区之间应用之间的差距监测里只看到相对有限没有单独的应用报价表。货架不是攻击地图。234 个国家或地区是供给覆盖。社交、游戏、邮箱、电商占已标注供给的 64.1%这是卖家在卖什么不是攻击打在哪。01资源汇聚多国号码被做成可检索供给海外接码平台把多个国家或地区的号码汇到同一处并按归属地和目标网站、App 分类。从界面可以直接看到归属地、可注册的网站或 App、单次价格被集中展示。本文所称海外黑卡是指被接码平台集中组织、用于批量注册或账号验证并进入黑灰产账号链路的海外手机号资源。FIG. 1 海外接码平台将号码检索、报价、取号与验证码接收整合在同一界面这套供给由四类角色共同完成。交付方式既有页面购买也有接口调用。原本分散的号码进入同一套检索和售卖体系并在验证失败后继续更换。FIG. 2 海外接码产业的四类角色。产业化结果分散号码 → 可检索项目 → 按次购买 → 可重复调用。02覆盖广泛234 个国家或地区出现可售供给本次监测中234 个国家或地区出现了可购买的接码号归属范围遍及北美、欧洲、东南亚、拉美、中东和非洲。这一数据描述的是接码产业的供给范围海外手机号风险画像则围绕业务实际运营和重点关注的国家或地区给出相应判断。对海外业务而言只看号码归属地无法判断它是否来自接码平台、是否曾被批量使用。03成本较低近九成报价不超过 6.8 元在监测到的约 117.7 万条有效报价记录中中位报价为 2.9 元中间 50% 分布在 1.7 至 4.5 元之间89.3% 的报价不高于6.8 元。以上价格由平台美元页面报价折算不代表最终成交价也不等于获得一个可用账号的全部成本。FIG. 3 海外接码报价的整体分布。69.0% 的报价 ≤ 3.4 元89.3% ≤ 6.8 元。统计的是单条报价占比不是中位报价。进一步观察号码供应较多的常见网站和 App部分国家或地区的中位报价可低至 0.7—1.4 元图示 8 个国家或地区均低于 4.1 元。低价并不只出现在少数市场。价格差异更多体现在国家或地区之间通常与当地号码数量、通信成本和平台在售情况有关不同网站或 App 之间的报价差距相对有限。FIG. 4 部分国家或地区高频供给项目的中位报价。各国选取库存较高的项目以减少长尾样本对地区价格的放大。04超过一半的号码只出现一次或渠道活跃周期不超过 30 天我们把一个号码第一次和最后一次被监测到之间的时间称为「渠道活跃周期」如果只出现过一次就单独归为「仅监测到一次」。在 48,222 个号码样本中仅监测到一次占 26.4%0—30 天合计 29.6%两类相加约56%。与此同时90—365 天占 24.8%365 天以上占 7.9%。一部分号码隔了数月甚至一年后再次出现可能被平台反复展示或在停用一段时间后重新投入使用。FIG. 5 号码样本的渠道活跃周期分布。寿命是双峰的短周期与 90–365 天复用同时存在。「渠道活跃周期」只表示两次监测记录之间的跨度不等于全程可用也不同于运营商在网时间。因此不能把「流转快」理解成全部号码都是一次性的。大量号码只在短时间内出现长期不更新的黑名单很快就会失真一个号码曾被用于接码也不代表它当前仍在流通。更可靠的判断要看它最近一次何时出现并持续跟踪风险是否变化。05流向集中社交、游戏、邮箱与电商占已标注供给的六成部分海外接码平台会在售卖页面标注号码可用于注册的网站或 App。共识别出 93,227 条用途明确的号码供给记录社交与即时通讯 20.8%游戏 14.7%邮箱云服务 14.6%电商与零售 14.0%四类合计 64.1%。FIG. 6 已标注供给的主要网站和 App 类型。占比反映接码平台主要向哪些业务提供号码并非已确认攻击事件的行业占比。文中出现的具体应用名称均指平台标注的可注册项。表中风险是根据号码用途归纳出的常见滥用方式不是已确认事件清单。06案例示意低价接码降低了黑产反复换号验证的成本按本文监测到的 2.9 元中位报价计算攻击者发起100 次账号登陆尝试接码验证的成本仅约需 290 元。当某个号码无法收码、已被网站或App限制或验证失败时操作者可以低成本更换号码或接码平台继续尝试。成功完成验证的账号随后可能进入优惠领取、虚假活跃、恶意引流或其他滥用环节。这只是页面基础报价的演算未计入验证失败、平台服务费、账号环境和后续操作成本也不代表一次已确认的攻击事件。FIG. 7 机制示意非已确认事件。风险不在某一个手机号而在找号、收码、失败换号已经被串成可重复操作。07账号风控需关注号码动向而不是看号码类型广泛供给、低价、短活跃周期和主要流向共同指向一个操作问题要判断一个号码是否可信需要回答三件事它是否曾出现在接码平台最近一次是什么时候历史风险是否已经达到需要直接限制的程度。接码号是库存状态不是号码类型这份监测真正要说的不是验证码不可信。是接码号会上下架。它不是 VoIP 那样一种号码属性而是一种会进入、退出、再被抛出的库存状态。在发现的这48000样本里超过一半只出现一次或渠道活跃周期不超过 30 天。90 天以上合计 32.7%90–365 天24.8%365 天以上 7.9%。这意味着曾经进过接码渠道既不能当成永久黑名单也不能当成已经失效。对业务侧来说最可用的判断是最近一次出现以及它现在是否还在售卖的货架上。而另外两件事也需要明确边界。价格差异更多体现在国家或地区之间应用之间的差距相对有限这是报价分布不是「按应用加码无效」的证明。而234 个国家或地区是货架覆盖社交、游戏、邮箱、电商占已标注供给的 64.1%这是卖家在卖什么不是攻击打在哪更不是每家业务都该按全球货架来建名单。