海外园区式诈骗运作被曝光：从柬埔寨案例看黑产基础设施化

一、为什么这起曝光值得技术从业者关注

在多数人的认知中，电信网络诈骗往往被理解为一群人在隐蔽房间内拨打电话、发送信息、诱导受害者转账。然而，近年来越来越多调查显示，部分海外诈骗活动已经不再只是“话务组”行为，而是形成了一套类似园区运营的支撑体系。

某国际媒体于2026年10月10日播出的卧底调查纪录片，将镜头对准柬埔寨国公省的一个大型园区项目。该项目对外宣传为“世界级滨海旅游目的地”，但调查发现，其主要收入并不来自游客，而来自为网络诈骗等黑产团队提供场地和配套服务。

这一案例的核心价值在于：它揭示了一种“黑产基础设施化”趋势。操盘者并不直接实施诈骗，而是提供办公楼、宿舍、食堂、娱乐设施、安保和本地关系维护。这种模式把诈骗活动从“团伙行为”升级为“供应链行为”，显著提高了黑产的效率和隐蔽性。

理解这种变化，对反欺诈系统设计、异常行为检测、跨境支付风控以及企业安全合规都有实际意义。

二、园区式诈骗的基本结构

从公开调查内容看，此类园区的运营结构可以拆分为几个层面。

1. 场地与封闭管理

园区建成多栋办公楼并全部出租。调查中提到，已有约6000名工作人员，建成的10栋七层办公楼全部出租。这说明场地供给已经形成规模。

封闭管理是关键特征之一。园区内部提供宿舍、餐厅、超市和娱乐设施，员工在园区内即可完成日常生活。内部超市商品价格高于外部市场，而员工没有更多消费选择。这种安排既增加了运营方收入，也降低了人员外出带来的信息泄露风险。

2. 作息与后勤配合诈骗节奏

园区食堂24小时营业，并非单纯为了便利，而是因为诈骗人员需要跟随受害者所在时区工作。例如，针对不同地区的受害者，话务组可能需要在夜间或凌晨保持活跃。

这种后勤安排说明，园区运营方对入驻团队的业务节奏有较深理解，并据此设计服务。黑产不再只是租用场地，而是购买了一整套与诈骗业务匹配的运营环境。

3. 安保与本地关系

调查中，操盘者安排调查团队乘坐带有警用标识的车辆前往另一处园区。相关人员多次表示与当地警方关系密切，甚至声称他们赚钱用于支付警察薪酬。

这里需要谨慎表述：报道所呈现的是操盘者单方面说法，并不代表官方结论。但从风险角度看，黑产通过本地关系降低被查处概率，是其基础设施化的重要组成部分。园区提供的不仅是物理空间，还包括一种“低执法风险”的运营预期。

三、“两成自留、八成打点”：黑产成本结构的一个样本

调查中最具信息量的一段，是操盘者在镜头前算账：别的老板赚十块留八块，他只留两块，剩下八块用于打点关系。

这一比例是否准确无法验证，但它提供了一个观察黑产成本结构的窗口。

传统诈骗团伙的收入主要用于人员分成、设备采购、话术更新和洗钱成本。而园区式运营则增加了一项重要支出：关系维护成本。如果操盘者所述比例接近真实，那么意味着此类园区的大部分利润并未进入技术或诈骗执行环节，而是用于维持“安全运行环境”。

这也解释了为什么园区运营方不直接拨打电话。他们不需要掌握复杂的话术、洗钱通道或技术工具，只需要掌握场地和关系。技术门槛被进一步降低，而准入和庇护成为更稀缺的资源。

四、从园区式诈骗看黑产供应链分工

这种模式可以理解为黑产供应链的进一步分工。

过去，一个诈骗团伙可能同时负责获取目标信息、搭建通信工具、实施话术诱导、转移资金和洗白收益。现在，这些环节被拆开：

• 场地提供方负责园区、宿舍、食堂和安保；
• 关系维护方负责降低执法干预概率；
• 话务团队租用场地，专注实施诈骗；
• 技术支持方可能提供通信、账号和洗钱工具；
• 资金通道方负责将非法所得转移出境或转换为其他资产。

园区运营方处于供应链的上游，不接触具体受害者，也不直接处理资金。这种分工使其更难被识别和取证。对反欺诈系统而言，这意味着不能只盯着直接实施诈骗的行为，还要关注支撑环境。

五、对风控与反欺诈工作的启发

虽然大多数企业和开发者不会直接面对海外园区，但此类黑产的运作逻辑仍然值得借鉴。

1. 关注行为模式而非单一特征

园区式诈骗强调“环境适配”。例如，24小时食堂对应跨时区作案，封闭管理对应降低外部暴露。风控系统同样需要关注行为的时间分布、设备环境、操作频率和地理特征，而不是只检查单个交易是否异常。

2. 识别“基础设施化”的迹象

例如，大量账号在同一时间段活跃、使用相似设备或网络环境、表现出统一作息规律，可能意味着背后存在集中化运营。即使这些账号尚未实施明确诈骗，也应提高风险等级。

3. 强化跨境场景下的数据关联

诈骗团队跨时区、跨地域运作，要求风控系统能够关联不同区域、不同时间段的数据。例如，一个账户在多个地区使用不同身份登录，但行为模式相似，就需要进一步验证。

4. 合规与执法协同

企业无法独立应对跨境黑产，但可以通过日志留存、异常上报和合规审查，为后续处置提供依据。尤其是涉及支付、通信和账号体系的服务提供方，应在不违反数据保护要求的前提下，保留必要证据链。

六、如何用简单规则做初步识别

下面用一段伪代码表示一种基于行为特征的初步识别思路，仅用于说明逻辑，不代表任何具体产品或接口。

def assess_risk(user_behavior):
    risk_score = 0
    # 跨时区活跃且作息异常
    if user_behavior.active_hours_spread > 16:
        risk_score += 20
    # 短时间内在多个地理区域出现
    if len(user_behavior.distinct_locations_24h) > 3:
        risk_score += 20
    # 设备环境相似但账号身份频繁更换
    if user_behavior.device_fingerprint_reuse and user_behavior.identity_changes > 5:
        risk_score += 25
    # 夜间操作占比异常
    if user_behavior.night_operation_ratio > 0.6:
        risk_score += 15
    # 行为序列与已知诈骗话术模式相似
    if matches_known_pattern(user_behavior.sequence):
        risk_score += 20
    return "high" if risk_score >= 60 else "review" if risk_score >= 30 else "normal"

上述逻辑只是示意。真实系统中，阈值、特征权重和模型选择需要根据业务场景、数据分布和误报容忍度调整。

七、为什么不能只靠技术解决

园区式诈骗的持续存在，说明打击黑产不能只靠技术手段。场地、关系、人力、后勤等因素，往往超出单一企业或技术团队的能力边界。

但从技术侧看，至少可以做到几点：

• 提高黑产的基础设施使用成本；
• 缩短异常行为的识别时间；
• 降低资金流转的匿名性；
• 形成更完整的证据链，支撑跨境协作。

这些工作未必能根除问题，但能显著压缩黑产的利润空间。

八、结语

柬埔寨这起被曝光的案例，再次说明电信网络诈骗正在从分散化、个体化走向园区化、基础设施化。操盘者从“直接施害者”变成“环境提供者”，这种角色变化值得所有安全从业者警惕。

对于开发者、风控团队和企业安全负责人来说，理解黑产的供应链结构和成本逻辑，比记住某一具体案件更重要。只有把视角从“单个诈骗行为”上升到“支撑体系”，才能在检测、预警和处置上获得更大主动。