文章总结： 报告揭示海外手机号被黑产用于批量注册和验证，核心发现是接码号寿命呈双峰分布，超过一半号码活跃周期不超过30天，但部分可长期复用。价格差异主要在国家地区间，社交、游戏、邮箱、电商是主要流向。建议风控关注号码最近出现时间而非类型。 综合评分： 86 文章分类： 威胁情报,恶意软件,安全意识,数据泄露,安全运营

恶意手机号产业链调研：海外手机号成为黑产批量注册和换号验证的重要资源

原创

情报运营团队 情报运营团队

威胁猎人Threat Hunter

2026年8月27日 11:40 广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

接码平台把海外手机号摆上了货架。选好归属地和要注册的网站，付钱，等验证码；失败就换号。

威胁猎人基于2026年7月海外接码平台监测数据发现，这不是零散黄牛，而是一套可检索、可购买、失败后可重复调用的供给。

核心发现

这份监测真正要说的，不是验证码不可信。而是：接码号会上下架。它不是 VoIP 那样一种号码属性，而是一种会进入、退出、再被抛出的库存状态。

本报告的核心结论是：

1. 寿命是双峰的。在威胁猎人监测的48,222 个样本里，超过一半只出现一次或渠道活跃周期不超过 30 天。90 天以上合计 32.7%：90–365 天的占比24.8%，365 天以上的占比7.9%。“曾经出现过”会双向误判。
2. 价格差在属地。117.7 万条有效报价中位 2.9 元，89.3% 不超过 6.8 元。价差更多体现在国家或地区之间；应用之间的差距，监测里只看到相对有限，没有单独的应用报价表。
3. 货架不是攻击地图。234 个国家或地区是供给覆盖。社交、游戏、邮箱、电商占已标注供给的 64.1%，这是卖家在卖什么，不是攻击打在哪。

01

资源汇聚，多国号码被做成可检索供给

海外接码平台把多个国家或地区的号码汇到同一处，并按归属地和目标网站、App 分类。从界面可以直接看到：归属地、可注册的网站或 App、单次价格被集中展示。

本文所称海外黑卡，是指被接码平台集中组织、用于批量注册或账号验证，并进入黑灰产账号链路的海外手机号资源。

FIG. 1　海外接码平台将号码检索、报价、取号与验证码接收整合在同一界面

这套供给由四类角色共同完成。交付方式既有页面购买，也有接口调用。原本分散的号码，进入同一套检索和售卖体系，并在验证失败后继续更换。

FIG. 2　海外接码产业的四类角色。产业化结果：分散号码 → 可检索项目 → 按次购买 → 可重复调用。

02

覆盖广泛，234 个国家或地区出现可售供给

本次监测中，234 个国家或地区出现了可购买的接码号，归属范围遍及北美、欧洲、东南亚、拉美、中东和非洲。

这一数据描述的是接码产业的供给范围；海外手机号风险画像则围绕业务实际运营和重点关注的国家或地区，给出相应判断。

对海外业务而言，只看号码归属地，无法判断它是否来自接码平台、是否曾被批量使用。

03

成本较低，近九成报价不超过 6.8 元

在威胁猎人监测到的约 117.7 万条有效报价记录中，中位报价为 2.9 元，中间 50% 分布在 1.7 至 4.5 元之间，89.3% 的报价不高于6.8 元。

以上价格由平台美元页面报价折算，不代表最终成交价，也不等于获得一个可用账号的全部成本。

FIG. 3  海外接码报价的整体分布。69.0% 的报价 ≤ 3.4 元，89.3% ≤ 6.8 元。统计的是单条报价占比，不是中位报价。

进一步观察号码供应较多的常见网站和 App，部分国家或地区的中位报价可低至 0.7—1.4 元；图示 8 个国家或地区均低于 4.1 元。低价并不只出现在少数市场。

价格差异更多体现在国家或地区之间，通常与当地号码数量、通信成本和平台在售情况有关；不同网站或 App 之间的报价差距相对有限。

FIG. 4  部分国家或地区高频供给项目的中位报价。各国选取库存较高的项目，以减少长尾样本对地区价格的放大。

04

超过一半的号码只出现一次，或渠道活跃周期不超过 30 天

威胁猎人把一个号码第一次和最后一次被监测到之间的时间，称为「渠道活跃周期」；如果只出现过一次，就单独归为「仅监测到一次」。在 48,222 个号码样本中，仅监测到一次占 26.4%，0—30 天合计 29.6%，两类相加约56%。

与此同时，90—365 天占 24.8%，365 天以上占 7.9%。一部分号码隔了数月甚至一年后再次出现，可能被平台反复展示，或在停用一段时间后重新投入使用。

FIG. 5  号码样本的渠道活跃周期分布。寿命是双峰的：短周期与 90–365 天复用同时存在。「渠道活跃周期」只表示两次监测记录之间的跨度，不等于全程可用，也不同于运营商在网时间。

因此不能把「流转快」理解成全部号码都是一次性的。大量号码只在短时间内出现，长期不更新的黑名单很快就会失真；一个号码曾被用于接码，也不代表它当前仍在流通。更可靠的判断，要看它最近一次何时出现，并持续跟踪风险是否变化。

05

流向集中，社交、游戏、邮箱与电商占已标注供给的六成

部分海外接码平台会在售卖页面标注号码可用于注册的网站或 App。

威胁猎人共识别出 93,227 条用途明确的号码供给记录；社交与即时通讯 20.8%，游戏 14.7%，邮箱云服务 14.6%，电商与零售 14.0%，四类合计 64.1%。

FIG. 6 已标注供给的主要网站和 App 类型。占比反映接码平台主要向哪些业务提供号码，并非已确认攻击事件的行业占比。文中出现的具体应用名称，均指平台标注的可注册项。

表中风险是根据号码用途归纳出的常见滥用方式，不是已确认事件清单。

06

案例示意：低价接码降低了黑产反复换号验证的成本

按本文监测到的 2.9 元中位报价计算，攻击者发起100 次账号登陆尝试接码验证的成本仅约需 290 元。

当某个号码无法收码、已被网站或App限制，或验证失败时，操作者可以低成本更换号码或接码平台继续尝试。成功完成验证的账号随后可能进入优惠领取、虚假活跃、恶意引流或其他滥用环节。

这只是页面基础报价的演算，未计入验证失败、平台服务费、账号环境和后续操作成本，也不代表一次已确认的攻击事件。

FIG. 7　机制示意，非已确认事件。风险不在某一个手机号，而在找号、收码、失败换号已经被串成可重复操作。

07

账号风控需关注号码动向，而不是看号码类型

广泛供给、低价、短活跃周期和主要流向，共同指向一个操作问题：要判断一个号码是否可信，需要回答三件事：它是否曾出现在接码平台，最近一次是什么时候，历史风险是否已经达到需要直接限制的程度。

08

威胁猎人持续追踪黑产用号，直接看号码是否进过接码渠道

威胁猎人持续监测接码平台中被黑产使用的手机号，并将首次出现、最近一次出现和历史风险整理成持续更新的风险画像。

这套判断不只看号码是否属于 VoIP，而是看它是否真实进入过黑产接码渠道。这样既能发现非 VoIP 的黑产用号，也能避免把正常 VoIP 号码简单判为风险。

接码号是库存状态，不是号码类型

这份监测真正要说的，不是验证码不可信。是：接码号会上下架。它不是 VoIP 那样一种号码属性，而是一种会进入、退出、再被抛出的库存状态。

在威胁猎人发现的这48000+样本里，超过一半只出现一次，或渠道活跃周期不超过 30 天。90 天以上合计 32.7%（90–365 天24.8%，365 天以上 7.9%）。

这意味着：曾经进过接码渠道，既不能当成永久黑名单，也不能当成已经失效。对业务侧来说，最可用的判断是最近一次出现，以及它现在是否还在售卖的货架上。

而另外两件事也需要明确边界。价格差异更多体现在国家或地区之间，应用之间的差距相对有限，这是报价分布，不是「按应用加码无效」的证明。

而234 个国家或地区是货架覆盖，社交、游戏、邮箱、电商占已标注供给的 64.1%，这是卖家在卖什么，不是攻击打在哪，更不是每家业务都该按全球货架来建名单。

数据来源：威胁猎人 Threat Hunter 海外接码平台监测（2026 年 7 月）。平台报价原为美元按 2026年 7 月 31 日美元兑人民币中间价 1 美元 = 6.75 元折算，金额四舍五入到 0.1 元。折算价不等于成交价，也不等于单个有效账号的完整成本。

威胁猎人已建立海外手机号风险识别能力，围绕业务实际运营和重点关注的国家或地区，持续监测接码平台中被黑产使用的手机号，并将号码首次出现、最近一次出现和历史风险等信息整理成持续更新的风险画像，为业务判断一个手机号当前是否值得信任提供更及时的依据。

威胁猎人（Threat Hunter）成立于 2017 年，核心团队来自腾讯安全，拥有超 10 年黑产攻防实战经验。围绕企业业务安全场景，构建了覆盖风险数据画像、反欺诈情报、数据泄露监测、钓鱼仿冒监测、业务安全蓝军、API 安全等多个产品与服务体系，帮助企业提前识别潜在风险，减少欺诈损失。

威胁猎人产品体系全景图

专注黑灰产情报和反欺诈技术研究

感谢阅读

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：威胁猎人Threat Hunter 情报运营团队 情报运营团队《恶意手机号产业链调研：海外手机号成为黑产批量注册和换号验证的重要资源》