伪造品牌很容易，让它停下来很难
原文：Faking a brand is easy. Making it stop is hard.
作者：A16Z New Media
来源：SandHill.io #299 推荐阅读 · Additional Reads
大多数盗窃会从你这里拿走某样东西。你发现车没了，账户被掏空，文件被锁住。
品牌冒充（brand impersonation）是奇怪的一种。你的任何东西都没有离开。一份你、你的公司、你的 logo、你的登录页的拷贝，在互联网的别处开始工作，以你的名义收集密码和付款。更糟的是，如果你正在被复制，你通常是最后一个发现的。
这就是它如此难打的原因。冒充很难发现，因为它跑在别人的平台上，瞄准别人，却打着你的名字。它更难阻止，因为一次下架（takedown）很少能结束它。就像希腊神话里的 Hydra（九头蛇）：砍掉一个头，两个会再长出来——一个新的仿冒域名、一条新广告、又一个克隆账号。Hercules 如何打败 Hydra？只有把每个断颈烙封，让它无法再生。
现代等价物是一套始终在线的社会工程防御：同时监视每一个表面，并把再生处烙死，让头不再长回来。阻止冒充的机器从未如此庞大。每个大平台都有信任与安全团队，品牌保护已是成熟的软件品类，每个供应商主页上都写着「AI 驱动检测」。
损失却仍在攀升。美国人报告 2025 年因冒充诈骗损失 35 亿美元，较前一年的 29.5 亿美元上升约 19%，而且据 FTC，冒充诈骗是被报告最多的单一欺诈类别。我们同时看到更多检测和更多损失。
Doppel 在互联网上猎捕真实品牌（所有行业）的假版本。假货出现在它们的顾客所在之处：仿冒域名、社交账号、移动应用、付费广告、市场和消息。Doppel 的 Threat Graph 横跨冒充栖息的表面：社交、付费广告、域名、移动应用商店和消息，并记录一个假货从被发现到被打掉的全过程。这些都是经分析师审阅确认的假货，覆盖数百个品牌，时间跨度是 2025 年春到 2026 年春的四个季度。
这一次，我们不必问受害者发生了什么。我们可以看着。要绘制这一切，我们必须看这张图：把看似孤立的攻击连在一起的共享基础设施。
大多数冒充未被发现
先从公司实际注意到多少冒充者说起。
持续监测开始之前，品牌对自己被冒充几乎是盲的：与 Doppel 合作的前 90 天里，品牌及其现有合作方只发现了针对它们的已确认假货中约 9%。另外 91% 是 Doppel 发现的。
94% 的品牌抓到的冒充者不到一半，中位数品牌一个都没抓到。冒充不是边缘上的可见性问题；对大多数品牌来说，假货根本从未进入它们的雷达。
总体而言，不到 10% 的品牌冒充是自行发现的：
这不是在批评那些团队。冒充生活在公司围墙之外，在它们无法控制的平台上，瞄准的不是它们的员工。无论内部安全栈多好，都看不见它。那个盲区，正是持续外部监测作为一个品类存在的全部理由。
冒充者通常在多个平台上同时行动
看见它只是挑战的一半，因为攻击被设计成同时出现在许多地方。没有单一玻璃窗格。一场战役从设计上就是多头的：一个头在社交，另一个在搜索广告，再一个在仿冒域名，同时出现，并在 AI 帮助下 24/7 运转。
这里通常的人类算术不适用。对攻击者来说，长出一个新头只要几分钟；对防御者来说，找到并砍掉一个要几小时，而且这些头越来越同时出现在所有地方：近乎同时的多表面战役在两年内大约增长了七倍。没有团队能靠手工跟上那种规模。
超过 80% 被冒充的品牌同时在两个或更多表面上被伪造。只监视域名注册的工具——这正是大多数传统下架供应商被建来做的事——只抓住约 6% 的画面，其余完全错过。
在有已确认冒充的品牌中，80.6% 在为其监测的两个或更多表面上被击中。这个数字只计算每个品牌实际被监测的表面：一个只买了域名和社交模块的品牌，无论攻击者实际用了多少表面，永远不会显示为超过两个表面。所以真实的多表面比率几乎肯定高于这里显示的；这是地板，不是天花板。
这些表面落在哪里，随行业而变：
软件和媒体品牌几乎完全在社交媒体上被冒充。医疗和制造业主要被移动应用击中。酒店业活在仿冒域名上。没有普遍频道，只监视一个表面的防御会对大部分攻击保持盲目。
冒充很难杀死
假设一个品牌确实看见了全部。把它打下来是下一场战斗。一旦发现假货，仍必须有人把它移除，而品牌几乎从不拥有它所栖息的平台。所以主要杠杆是下架请求：给托管假货的一方发一份正式说明，请他们撤下。这些请求大多不过是「请把这个删掉」。
过去一年 Doppel 提交了下架请求的每一个威胁中，大约 97% 的内容被移除和/或托管被切断。那存活下来的 3% 几乎全部集中在少数完全无视下架请求的平台类型上。
即便那些确实下来的假货也不是立刻下来，伤害也不是在假货生命周期里均匀分布。把下架时间拉到数周的，不是缓慢的移除；而是那些根本不回答的平台。
好消息是，一半假货在几天内就会消失。少数顽固的会活数月，而那条长尾才是总暴露的大部分所在，让顾客损失金钱，或让品牌损失信任。假货活得越久，就越有时间触及新受害者、窃取凭证或付款、跨渠道扩散，并反复侵蚀对品牌的信任。
一个假货落在那条曲线的哪里，较少取决于假货本身，而较多取决于你必须请求谁来移除它，而你选不了那是谁。时钟属于平台，每个平台有自己的时间线和行动意愿，假货生命的大部分是在等托管方动手。
脏域名（不是那种脏）值得单独一看。
一旦移除，假页面很少回来。它背后的域名通常还活着，因为行业授予拦截和内容移除远比授予注册商级移除来得痛快，而且它重新武装很快：几乎 60% 被打掉的域名会在 24 小时内再服务一个新的已确认假货，90 天内接近 70%。一次打一个资产的执法，是没有供应商能逃掉的跑步机。
大约一半恶意域名在一个月内注册并指向某个品牌。但超过五分之一是沉寂多年、直到有人唤醒它们的老化域名。域名是诈骗世界里 Jason Bourne 式的沉睡细胞。事实上，这组数据里最老的一个，在被瞄准某个品牌之前，已经原封不动地坐了将近十年。
域名也是唯一一个打赢一场诈骗却持续不了的表面。
把一个坏域名打掉，Hydra 式地，同一个脖子上会长出新头：大多数在 90 天内，而且常常在一天之内，用同一个可注册名。其他每一个表面一旦被移除就会保持下去。在域名上，一次下架只给你买到一天。
总体上，大多数诈骗不会安静走入夜晚，战役以近乎 Hydra 的品质反击。
在一次下架后的两周里，同一个品牌往往会看到全新假货上升。
为什么？威胁行为者不断尝试变体和迭代，试探什么在被拦截或监测、什么没有。而且有了 AI，这做得快得多。
一种读法是，这是一场必输的战斗：托管假货的服务可能不回答，冒充可能一夜长回来。正确的读法是，这是一个瞄准问题。大多数假货最终会死；存活下来的是它背后的运营，用几分钱就能重生。一次打一个假货，就是认了那套算术。绘制运营者的基础设施（他们跑的每一个域名、账号和套件）并一次性切断，才是把算术翻过来的方式。
少数冒充者干了大部分冒充
那么这一切背后到底是谁？比噪音所暗示的更少的运营者。
按谁在运营来给假货分组，最忙的十分之一几乎占到全部的一半。相对一小撮专业运营，而不是满地球的孤独投机者，制造了大部分伤害。
他们也共享工具。大量假货由同一套 kit 建成——一包现成的页面代码和模板，几分钟就能克隆一个品牌的登录页。如果能顺着这些连接找到一个统管一切的黑帮头目，事情会很容易，但数据带你到不了那里。
十分之九的共享指纹只出现在一个品牌上，那是一个运营者对单一目标重复使用工具，只把自己的假货绑在一起。那些跨越数百个品牌的罕见指纹，原来是商品化的管道：一个流行的托管，或一个无关攻击者碰巧都在用的现成模板。
这就是假货如此难追踪的原因。没有中心可以抓住，没有总名单，也没有单一集群可以掐死。运营者很少，但他们藏在可以一夜重建的一次性、现成基础设施后面，所以盯着任何一个假货几乎告诉你不了什么。跟上节奏意味着同时、不停地监视每一个表面，因为一个被打掉的假货，通常已经是一个正在别处再生的假货。头会不断回来。
假货检测不必是一项赫拉克勒斯式的任务
那么到底什么能阻止这一切？一套始终在线的社会工程防御同时做三件事：持续监视每一个表面，在发现假货的几分钟内行动，以及追踪再生背后的运营者，而不仅仅是眼前的制品。复发和气球效应是原因：杀死一个假货，一个新头会再长出来。又因为少数运营者和共享 kit 驱动了其中大部分，绘制他们瞄准的是问题里要紧的那一半，而不是一次追一个制品。
这把我们带回那份在互联网上、以你的名字工作、而你最后一个知道的拷贝。发现假货只是开始。难的是之后的一切。
这正是现代互联网可以向古希腊故事借用的地方，Doppel 充当骗子 Hydra 面前的 Hercules。Hercules 不是靠挥得更快赢的。他赢在阻止断颈长出新头，在它能长回来之前把每一个烙封。一次次下架的战斗是挥砍。赢，是始终在线的社会工程防御：同时监视每一个表面并掐住再生，让头不再长回来。
方法说明
所有数字来自 Doppel 的 Threat Graph，覆盖 2025 年 Q2 至 2026 年 Q1（2025 年 4 月至 2026 年 3 月）数百个品牌上经分析师验证确认的品牌冒充。数据对客户匿名，原始数量被隐去，以份额或指数显示。覆盖范围仅为冒充，跨社交媒体、付费广告、仿冒域名、移动应用、市场、消息与电信，以及加密与钱包服务。
多表面数字受两个因素约束：品牌总体（窗口期内至少有一次已确认冒充的、由 Doppel 监测的品牌），以及每个品牌被计入的表面（仅该品牌被监测的表面，按所购模块计）。两个因素都从上方封顶了公布比率。真实的多表面比率很可能更高。
下架结果数字衡量终态移除（内容和/或托管不再在线），而不是逐请求的正式接受，覆盖窗口期内至少提交过一次下架请求的所有威胁。
下架时间数字衡量从提交到移除的中位时间，仅在导致移除的请求上计算，覆盖窗口期内提交的所有钓鱼/冒充下架请求。
域名复发数字要求后续告警为分析师确认的恶意（与本研究其他地方使用的同一标准），在每个域名完整的 90 天下架后观察窗口内测量。
域名年龄从域名注册日测到首次检测。运营者按共享技术指纹分组，例如页面代码、追踪 ID、托管和 kit。少数汇总统计由 a16z 根据 Doppel 的数据计算。
本文由 RecodeX 编译自 SandHill.io #299 推荐阅读，原文链接与作者见文首；原文版权归原作者所有，译文仅供学习交流，如有异议请联系我们处理。
