外卖支付盗刷：黑客如何劫持餐厅收款链接

外卖平台的支付流程看似无缝，但一条出现在 Hacker News 上的简短帖子却揭示了一个令人不安的现实：攻击者正在系统性地劫持餐厅的收款链接，将本应进入商家账户的配送收入悄悄转移。

一个被低估的攻击面

这条标题为「Restaurant Delivery Payment-Skimming Campaign」的帖子在 Hacker News 上获得 11 个点数，讨论热度并不高。但它指向的问题值得每一位使用外卖平台点餐的消费者和每一家依赖配送营收的餐厅警惕。

所谓支付盗刷（payment-skimming），指的是攻击者在不破坏支付本身的情况下，篡改收款路径，让资金流入自己控制的账户。与传统的信用卡盗刷不同，这类攻击利用的是平台与餐厅之间在链接生成、跳转和结算环节的信任缺口。

从原始信息来看，攻击者已经把它做成了一项「campaign」——不是零星尝试，而是有组织、可重复的操作。这意味着背后存在可复用的手法和工具，而非一次性的偶发欺诈。

支付盗刷（payment-skimming）一词源于传统的信用卡侧录（skimming），原指攻击者在POS机或ATM上安装侧录设备窃取卡片信息。随着支付形态向线上迁移，这一概念扩展为通过篡改收款路径、替换支付链接或劫持结算参数，在不接触银行卡数据的前提下改变资金流向。与直接窃取卡号相比，支付盗刷不触发持卡人的交易验证环节，因此更难被终端用户察觉，往往在对账周期才暴露。

链接劫持可能发生在哪里

外卖支付链路通常涉及用户端、平台订单系统、支付网关和餐厅收款账户四个环节。任何一个环节中链接被替换或参数被篡改，都可能改变资金流向。

攻击者可能盯上的位置包括餐厅后台生成的专属支付链接、平台发给商家的结算入口，以及第三方配送或点餐系统里可被修改的收款配置。由于这些链接往往以 URL 或二维码形式传播，一旦攻击者取得了编辑权限或找到了可预测的生成规律，就能批量替换成自己的收款地址。

对餐厅来说，最危险的地方在于「静默」：订单照常完成、顾客照常付款、平台照常显示已结算，只有到了对账时才会发现金额对不上。

支付网关是连接商户、收单机构与卡组织/清算网络的中介系统，负责交易的加密传输、授权请求与资金清分。外卖平台通常将支付网关以API或托管收银台形式嵌入订单流程，商户的收款账户标识（如商户号、结算账户）作为关键参数在链路中传递。一旦这些参数在生成、存储或跳转环节被篡改，支付网关仍会正常完成授权，但清算资金将流入攻击者指定的账户，形成“交易成功、资金错位”的静默盗刷。

为什么外卖场景尤其脆弱

外卖业务的高频、小额、多商户特征，天然放大了这类风险的危害。单笔金额不大，异常流水不容易触发风控阈值；商户数量众多，平台很难对每一家进行深度核验；再加上配送环节涉及多方系统对接，权限边界容易变得模糊。

从攻击者视角看，这是一门「薄利多销」的生意——单次盗取金额有限，但可以同时覆盖大量商户和订单。原始帖子把这件事称为 campaign，恰恰说明攻击者追求的是规模而非单点突破。

风控阈值是支付与反欺诈系统为识别异常交易而设定的金额、频次或行为规则边界。传统银行卡风控常以单笔金额、短时间内多笔交易等维度触发警报，而外卖订单本身具备高频、小额、多商户的特征，正常交易分布与攻击行为高度重叠，导致基于阈值的规则难以区分。攻击者正是利用这一模糊地带，将单次盗取金额控制在阈值以下，以量取胜。

餐厅和平台可以做什么

对餐厅经营者而言，最基本的防线是建立独立的对账习惯：不只看平台后台的汇总数字，还要逐笔核对收款账户的实际入账。发现链接或收款配置被修改时，应立即冻结相关入口并联系平台。

平台侧则需要把收款链接的生成与变更纳入更严格的权限管理和审计日志，对收款账户的变更设置二次确认和延迟生效机制，让异常替换有机会被发现。

对消费者来说，这条信息同样有参考价值：点餐时如果遇到跳转到非平台域名的支付页面，或者收款方名称与实际餐厅明显不符，应当提高警惕。

审计日志是记录系统中谁在何时、从何处、对哪项配置执行了何种变更的不可篡改记录，是事后追溯与责任认定的基础。对于收款账户、支付链接等敏感配置，平台应记录变更前后的值、操作者身份、来源IP与时间戳，并设置告警规则。延迟生效机制则是在变更提交后保留一段冷静期，期间可被复核或撤销，为异常替换提供发现窗口。

信息有限，但信号明确

需要承认的是，原始帖子只提供了一个标题和极简的互动数据，没有披露具体平台、攻击手法细节或影响规模。因此本文讨论的更多是这类攻击的通用机理与防御思路，而非对某个具体事件的复盘。

但「campaign」这个词本身就是明确信号：支付盗刷已经从单点欺诈演变为有组织的产业行为，外卖配送这条链路需要被当作一个正经的安全议题来对待。

常见问题

什么是外卖支付盗刷？

指攻击者通过篡改餐厅的收款链接或账户配置，把顾客支付的配送费用转移到自己控制的账户，而非直接窃取银行卡信息。

消费者会因此承担损失吗？

通常资金损失首先落在餐厅和平台侧，但消费者可能面临订单异常、退款延迟等连带影响，支付页面的域名和收款方信息值得留意。

餐厅如何快速自查？

定期逐笔核对收款账户实际入账，与平台后台汇总数据比对，并检查收款链接、二维码是否被替换。