# 针对店主（而非顾客）的十种骗局，以及如何识别它们

> 冒充 Stripe 的钓鱼邮件、多付款退款骗局、供应商欺诈、邮寄来的域名续费信。这些骗局针对的是你，而不是你的买家，以及基本的安全措施如何挡住其中大部分。

Ryan Badger - 2025年9月28日 - 阅读约 8 分钟

## 针对商家、而不是银行卡的骗局

上一篇文章讲的是[交易欺诈：盗刷银行卡、拒付、测卡](https://v3.shoprocket.io/zh/blog/ecommerce-fraud-the-eight-types-youll-actually-see-and-what-prevents-them.md)。这一篇讲的是另一面：直接针对你这个店主的骗局。冒充 Stripe 的钓鱼邮件。假“顾客”试图通过社会工程骗取退款。拿了你的钱就消失的供应商。邮寄来的域名续费骗局。

其中大多数技术含量很低。它们之所以奏效，是因为经营一家店铺本来就很忙，而骗局邮件偏偏在你疲惫的周二下午到达。防御的关键，大多在于知道会遇到什么。

## 主要类别

### 1. 冒充 Stripe、PayPal、Shopify、你的银行的钓鱼邮件

你收到一封邮件：“你的 Stripe 账户已被标记，请点击此处验证。”链接指向一个看起来完美无缺的登录页面。你输入了凭据。它们就被盗取了。

**需要留意的：**

- 发件域名：真正的 Stripe 邮件来自 `@stripe.com`，而不是 `@stripe-support.com` 或 `@stripe.verify.co`
- 催促的措辞：“账户将在 24 小时内被暂停”是典型的骗局套路
- 链接：点击前先悬停查看。真正的 Stripe 链接指向 `dashboard.stripe.com`

**防御措施：**

- 在你使用的每个支付和电商平台上启用两步验证（Stripe、PayPal、你的银行、你的 Shoprocket 账户、你的邮箱）。没有第二重验证，被盗的密码就毫无用处
- 永远不要点击邮件里的登录链接。通过书签或手动输入网址直接访问网站
- 使用密码管理器。它们只会在真正的域名上自动填充，所以在钓鱼页面上会默默拒绝，这是个很好的识别信号

### 2. “多付款”骗局

“顾客”下了一笔大订单，多付了一些（比如 $500 左右），然后给你发邮件，要求把多付的部分退到另一张卡上或通过另一种方式（PayPal、银行转账、礼品卡）。一周后，原来的付款被当作欺诈撤销，而你已经退出了你从未真正拿到的钱。

**需要留意的：**

- 任何要求退款到与原付款方式不同的渠道的请求
- 新顾客下的金额异常大的订单
- 催促你尽快退款的紧迫压力

**防御措施：**

- **只退回原付款方式。** Stripe 默认强制执行这一点，所以这种骗局多发生在卖家在平台之外手动处理退款的时候
- 如果“顾客”坚持要换一种退款方式，这一点本身就是信号

### 3. “地址错了，请重新寄送”骗局

顾客下单，收到商品，然后声称“地址填错了，请重新寄到 X”。如果你重新寄送，他们就两份都拿到了。

**需要留意的：**

- 在物流显示已送达之后，才提出涉及更改地址的重新寄送请求
- 多位顾客讲着同一个故事的不同版本，有时还是串通好的

**防御措施：**

- 处理地址问题之前，一定先查快递物流
- 如果商品已经送到订单上的地址，这个订单就算已履约。之后任何额外的寄送，费用由顾客承担

### 4. SEO / 差评勒索骗局

有人给你发邮件：“我给你留了一星差评。付 $200，我就删掉它。”或者：“我可以收费帮你删除负面评价。”或者：“不付钱，你的 Google 商家资料就会被举报。”

其中大多数是虚张声势。真正的评价删除，要走评价平台的流程，而不是私下付款。

**防御措施：**

- 永远不要付钱。付钱就等于暴露你是个好欺负的对象，之后只会收到更多要求
- 把邮件标记为垃圾邮件，屏蔽发件人，不用理会
- 如果确实有一条真实的差评，就公开地、理性地回应。这比把它删掉对你更有帮助

### 5. 虚假供应商 / 代发货骗局

你寻找新的供应商，通常是通过阿里巴巴或一封陌生邮件。对方报出好得不真实的价格。你支付订金（通常用电汇，因为“PayPal 不可用”）。货物从未发出，或者发来的是假货，或者数量不足。

**需要留意的：**

- 没有买家保障的付款方式（电汇、加密货币、西联汇款）
- 价格比市场价低 30% 以上
- 没有可验证的企业身份（没有工厂审核、没有阿里巴巴信用保障、没有你能核实的公司注册信息）
- 只通过 Gmail 或 WhatsApp 沟通，而不用企业邮箱

**防御措施：**

- 首次下单使用阿里巴巴的信用保障（Trade Assurance）。它会在你确认收货前扣留货款
- 先拿样品。在批量订货之前，先订少量试试
- 核实企业：注册号、用 Google 搜索、在 LinkedIn 上查员工、对他们的商品照片做反向图片搜索（盗用照片很常见）

### 6. 假冒 Google / Meta / “你的商家信息未验证”

“你的 Google 商家资料即将被移除。请立即验证。”或者：“你的 Meta 商务账户有异常活动。”链接指向一个窃取你广告账户凭据的假登录页面。

Meta 广告账户被盗尤其痛苦：攻击者在 Meta 发现之前，用你的信用卡投放他们自己的广告，账单最后落到你头上。

**防御措施：**

- 直接登录 Google 商家和 Meta 商务管理平台（不要通过邮件里的链接）去查看状态
- 两者都开启两步验证
- 为你的广告账户设置广告支出上限。即使被接管，损失也被限制在你的上限之内

### 7. “你的域名即将过期”骗局

一封信（真正的纸质信件）或一封邮件，来自“美国域名注册局”之类的机构。他们不是你的域名注册商。这封信其实是一份伪装成续费发票的转移请求。如果你付了钱，你就把域名转到了一个又慢又贵的注册商，收费是你现在的三倍，转出时还很麻烦。

**防御措施：**

- 清楚你的域名注册在哪里。如果信不是来自你真正的注册商，就无视它
- 为你的域名启用注册商锁定（大多数注册商免费提供）
- 在你真正的注册商那里把域名设为自动续费，这样你就永远不会有“续费恐慌”

### 8. 虚假联盟 / 合作 / “品牌大使”骗局

“我们喜欢你的品牌！我们想在价值 $500k 的营销活动中推荐你。付 $2,000 获取展示位。”或者：“成为我们的品牌大使，寄给我们 50 件你的产品，用于网红开箱。”（他们不是网红，他们会把货转售。）

**需要留意的：**

- 来自你无法核实的账号的免费商品请求
- 需要你付钱给对方（而不是反过来）的营销提议
- 含糊、笼统、可以发给任何品牌的信息

**防御措施：**

- 任何真正的合作提议，都会带有具体信息：受众数据、过往活动、一份演示文稿
- 如果他们想要免费商品，先寄一件，看看他们怎么处理，再决定要不要寄五十件
- 如果他们一上来就要你付钱购买“推荐”或“展示位”，就认定它不是真的

### 9. 虚假法律威胁骗局

你收到一份 DMCA 下架通知或商标侵权函，来自一家你从未听说过的“律师事务所”。他们要求立即行动或付款。这家事务所并不存在；索赔是捏造的。

**防御措施：**

- 核实这家律师事务所是否真实存在（Google、州律师协会登记）
- 把邮件转发给你自己的律师或法律咨询服务；不要直接回应
- 真正的法律通知是通过纸质信件或你的注册代理人送达的，而不是作为 PDF 附件从一个 Gmail 地址发来的

### 10. 拒付威胁邮件

“我要退款。如果你不在 24 小时内退款，我就向银行申请拒付，并且在每个网站上都给你留一星差评。”有时这是一位真正生气的顾客。有时这是一个骗局，目的是为收到并留下的商品骗取退款。

**防御措施：**

- 逐个按实际情况处理：如果他们有真实的理由（发错商品、商品损坏），就退款。如果物流显示已送达，而问题含糊不清，退款之前先要求对方提供具体信息
- 如果他们还是申请了拒付，就用物流证明和与顾客的沟通记录来回应争议。靠这种方式，你能赢下大多数“未收到商品”的争议
- 记住 Stripe 的拒付率门槛是 1%；如果你对每一次威胁都让步，你的拒付率就会上升，账户也会被标记

## 每家店铺都应具备的安全基线

与具体骗局无关，有几项默认设置，几乎能让以上所有骗局对攻击者更困难：

- **每个账户都开启两步验证**（邮箱、Stripe、PayPal、Shoprocket、域名注册商、广告账户）。最好使用验证器 App，而不是短信
- **密码管理器**，每个服务使用唯一的密码
- 为电商账户使用**独立的管理员邮箱**（不是你个人的 Gmail）
- 为广告使用**专用的商务银行卡**，额度设低一些
- 超过一定金额的订单，使用**物流追踪 + 签收配送**
- 在 Stripe 上设置**清晰的账单描述**（能大幅减少友好欺诈式拒付）
- 在你的电商平台里**定期查看日志**。发现不认识的登录要立即调查

```
<!-- EXAMPLE ONLY. Grab your real snippet from Sales channels → Embeds in your dashboard -->
<script src="https://cdn.shoprocket.io/loader.js" data-pk="pk_yourkey"></script>
<div data-shoprocket="catalog" data-embed-id="emb_xxx"></div>
```

## Shoprocket 提供什么

- **登录监控。** 来自新设备的登录会触发一封发给账户所有者的邮件
- **卖家账户可使用两步验证**（在“我的账户 → 账户设置 → 安全”中开启，需使用验证器应用）
- **管理员操作日志。** 每一项重要操作（商品编辑、退款、权限变更）都会被记录并可供查阅
- **基于角色的权限。** 员工只获得他们需要的权限；客服人员无法修改银行信息
- **退款保护。** 退款默认原路退回原付款方式。不会出现“退到另一张卡”这种意外流程

Shoprocket 解决不了的：针对你的邮箱、广告账户、域名和供应商的骗局。这些不在我们的范围之内，但两步验证 + 密码管理器这条基线能应对其中大多数。

> **提示：**如果你收到一封声称来自 Shoprocket 的可疑邮件，不要点击链接。直接登录你的后台。任何真正的通知，除了邮件之外，也会出现在应用内提醒里。

## 太长不看

- **大多数针对商家的骗局是社会工程，而不是技术攻击。** 防御靠的是警觉，而不是软件
- **钓鱼和广告账户被盗** 造成的经济损失最大。每个平台都开启两步验证，能挡住其中大部分
- **只退回原付款方式。**“把我的退款换种方式发给我”这类请求，几乎总是骗局
- **供应商是主要的攻击途径。** 使用信用保障，先拿样品，核实企业是否真实存在
- **真正的法律 / 平台通知不会通过 Gmail 附件送达。** 除非是纸质信件或经过验证的渠道，否则无视 PDF 威胁
- **安全基线：** 处处两步验证、密码管理器、管理员邮箱与个人邮箱分开、高价值货运使用追踪/签收

[开始免费试用](https://app-v3.shoprocket.io/signup)，两步验证、基于角色的权限和管理员操作日志默认开启。14 天，无需绑卡。

---

- HTML version: https://v3.shoprocket.io/zh/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them
- Language: 中文 (zh)
- Also in: [العربية](https://v3.shoprocket.io/ar/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Deutsch](https://v3.shoprocket.io/de/blog/betrugsmaschen-gegen-shopbetreiber-erkennen-und-abwehren.md), [Ελληνικά](https://v3.shoprocket.io/el/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [English](https://v3.shoprocket.io/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Español](https://v3.shoprocket.io/es/blog/diez-estafas-dirigidas-a-duenos-de-tiendas-y-como-detectarlas.md), [Français](https://v3.shoprocket.io/fr/blog/dix-arnaques-visant-les-e-commercants-comment-les-reperer.md), [עברית](https://v3.shoprocket.io/he/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [हिन्दी](https://v3.shoprocket.io/hi/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/blog/sepuluh-penipuan-yang-menyasar-pemilik-toko-dan-cara-mengenalinya.md), [Italiano](https://v3.shoprocket.io/it/blog/dieci-truffe-contro-i-titolari-di-negozi-ecommerce.md), [日本語](https://v3.shoprocket.io/ja/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Lietuvių](https://v3.shoprocket.io/lt/tinklarastis/sukciavimo-schemos-nukreiptos-i-parduotuviu-savininkus.md), [Norsk](https://v3.shoprocket.io/nb/blogg/ti-svindeltyper-som-rammer-butikkeiere-og-hvordan-du-avsloerer-dem.md), [Nederlands](https://v3.shoprocket.io/nl/blog/tien-oplichtingstrucs-tegen-shopeigenaren-herkennen.md), [Polski](https://v3.shoprocket.io/pl/blog/dziesiec-oszustw-wymierzonych-we-wlascicieli-sklepow-i-jak-je-rozpoznac.md), [Português](https://v3.shoprocket.io/pt/blog/dez-golpes-contra-donos-de-loja-e-como-identificar.md), [Română](https://v3.shoprocket.io/ro/blog/zece-escrocherii-care-tintesc-proprietarii-de-magazine-si-cum-le-recunosti.md), [Русский](https://v3.shoprocket.io/ru/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [ไทย](https://v3.shoprocket.io/th/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Türkçe](https://v3.shoprocket.io/tr/blog/magaza-sahiplerini-hedef-alan-on-dolandiricilik-ve-nasil-fark-edilir.md)