暑假旅游的旺季，国家博物馆、故宫博物院等热门博物馆的免费门票，因“黄牛”利用非法手段抢购，再高价转卖，成为众多游客难以企及的资源。

据央视报道，8月初，记者多次尝试通过国家博物馆的小程序预约门票，发现一周内的预约名额均已满，根本无法顺利进馆参观。然而，现场每天仍有大批游客顺利进入这些热门景点，他们的门票又是从何而来？通过在国家博物馆外随机采访了30位游客得知，除2人是通过正规渠道预约成功外，其余28人都是通过“黄牛”加价获得的门票。

记者随后在多家网络平台上搜索“国家博物馆”，发现相关的讨论几乎都与门票有关。不少平台上出现了“黄牛”倒票的现象，部分平台甚至为倒票增添了“人工讲解”服务的名目，实际上这些服务只是一个幌子，真正的目的是通过技术手段抢票，再高价转售。

统计发现，不仅是国家博物馆，故宫博物院、军事博物馆等热门博物馆，以及北京大学、清华大学等著名高校，都出现了这类现象。

北京市海淀区人民检察院处理了一起“黄牛”倒票案件，揭示了其中的奥秘。案件中，李某某、王某某和张某某三人，通过抢票软件，抢占全国知名旅游景点的预约门票，然后加价80元至150元不等进行出售，仅在2023年暑期不到一个月的时间内，他们便非法获利超过30万元。

据了解，犯罪嫌疑人提前将游客姓名、身份证号等信息导入软件，并利用软件自带的接码平台提前收取验证码。在正常预约中，游客填写这些信息需要耗费大量时间，而犯罪嫌疑人的验证码却能提前两分钟收到，并且有效期长达十分钟，极大提高了抢票成功率。官方一旦放票，这些“黄牛”仅需点击一次，就能在短短一秒内锁定大量票源。

针对博物馆门票的一次深入调查

2023年7月，第19期《顶象防御云业务安全情报》，调查游客无法抢到暑假的博物馆门票。调查发现，包括国家博物馆、南京博物馆、湖南省博物馆、陕西历史博物馆等全国数十家热门博物馆，特别是受欢迎的网红馆，基本上被“票贩子”和“黄牛”攻陷。

顶象防御云业务安全情报中心追踪分析发现，“黄牛”抢到免费门票后，主要通过如下三类方式进行加价出售：实名加价代预约、门票加价出售和兜售导游套餐。其中，第一类和第三类最多。

第一类，加价代预约。需要提供购买者的真实姓名和身份证号等个人信息。不同日期的门票紧张程度不同，价格也不同。相对来说，工作日相对便宜，周末或节假日价格更高。

第二类，门票加价出售。手握一把身份证的“黄牛”，用甲的身份证预约，让乙（游客）刷甲的身份证进场，以此类推。

第三类，兜售野导游套餐。部分旅行社员工和私人导游勾结，通过使用不同手机号注册博物馆账号，为不同游客预约门票，收取每张票10元至几十元服务费。还有“电子导览+门票预约”或“门票套餐”服务，套餐包括门票、导游费、餐旅费等。

“黄牛”倒票现象不仅影响了游客的参观体验，更破坏了公共资源的公平性。在这些情况下，依靠博物馆或景点自身的管理措施显然是远远不够的。需要从法律、技术、市场等多方面入手，全面提升监管效能，遏制“黄牛”现象的滋生和蔓延。

“黄牛”为什么能够抢到票

顶象防御云业务安全情报中心分析发现，“黄牛”们往往在使用外挂软件、“脚本”程序作弊工具软件进行抢票。

抢票拼的是速度。一张门票，A比B早1秒钟，则A能够购买到，B则无法预约到。在下单速度方面，人靠的是神经反应，而软件是基于预先设置流程，因此运行速度远超过人，抢购成功率远远高于普通游客。

虽然很多博物馆，通过售票规则和技术手段对“黄牛”进行规范。例如，对频繁预约的手机号、IP地址拼比访问封堵等。然而，“黄牛”开发的作弊工具也在不断更新。“黄牛”开发的抢票工具能够进行批量注册登录抢购等操作，从而快速、瞬时、批量对指定门票进行哄抢。只需要填写好身份信息、数量、设置好运行时间，就能够完成自动抢购。

防范“黄牛”用软件抢票

要防范“黄牛”抢票，单纯的限制IP意义不大，而且容易误伤游客的正常预约。顶象防御云业务安全情报中心建议，除了对IP、账号进行限制外，在技术上增加防范“黄牛”的作弊软件的手段，以有效遏制“黄牛”倒票。

售票规则限制

1、增加证件使用次数限制。每个证件号只能预约一次；每个账号最多预约5人。

2、增加账号使用次数限制。部分博物馆要求同一账号一周内多次预约且未履约率超过50%，该账号（手机号）将被限制预约30天。也有博物馆要求，7天内3次、30天内5次取消预约或预约后不进场的账号，将被关进“小黑屋”30天，不准预约，以防范“黄牛”反复利用手里的身份信息。

3、增加售票时间和渠道。不定期放票、增加人工随机票，也能一定程度上减少技术抢票的情况。

技术手段防范

1、发现并识别异常的抢票设备。识别客户端的设备指纹是否合法，是否存在注入、hook、模拟器等风险，识别客户端的设备指纹是否合法，快速识别刷机改机、Root、越狱、劫持注入等风险。快速识别同设备多次激活、同设备关联IP行为异常，同IP短时间大量聚集、同一渠道中老设备型号占比异常、同一渠道中老操作系统占比异常等维度。

顶象设备指纹可以识别出虚拟机、代理服务器、模拟器等被恶意操控的设备，分析设备是否存在多账号登录、是否频繁更换IP地址、频繁更换设备属性等出现异常或不符合用户习惯的行为，帮助追踪和识别欺诈者的活动。这样可以及早发现欺诈行为，阻止骗保事件的发生。并可以作为额外的身份验证因素，加强用户登录和交易过程的安全性。通过对设备指纹的记录和比对，可以辨别合法用户和潜在的欺诈行为。

2、发现并拦截异常抢票账号。基于用户行为进行策略布控，针对同设备切换大量账号进行订单发起的账号进行布控。

顶象无感验证能够在注册、登录、查询等关键环节，对恶意账号、恶意爬取行为进行实时的核验、判定和拦截。其基于AIGC技术，能够防止AI的暴力破解、自动化攻击和钓鱼攻击等威胁，有效防止未经授权的访问、拦截网络爬虫盗取。它集成了13种验证方式和多种防控策略，支持安全用户无感通过，实时对抗处置能力也缩减至60s内，进一步提高登录服务体验的便捷性和效率。

3、提升风险识别与预防能力。建立本地名单动态运营维护机制，基于注册数据、登录数据、激活数据，沉淀并维护对应黑白名单数据，包括用户ID、手机号、设备等维度的黑名单。线上数据有一定积累以后，通过风控数据以及业务的沉淀数据，对注册、登录、下单、抢购行为进行建模，模型的输出可以直接在风控策略中使用。

顶象Dinsight实时风控引擎帮助企业进行风险评估、反欺诈分析和实时监控，提高风控的效率和准确性。与Dinsight搭配的Xintell智能模型平台，能够对已知风险进行安全策略自动优化，基于风控日志和数据挖掘潜在风险，一键配置不同场景支持风控策略。