暑期研修遇到代刷邀约，我用后台异常访问记录做示范，带着团队把流量来源拆到地区、关键词和互动行为

暑期研修到第三天，我坐在培训楼靠窗位置，投影仪嗡嗡响，白板上还留着上午画的流量曲线。会还没散，手机先震了一下，一个陌生微信号问，平台最近查得不严吧。他说能做数据包装，关键词搜索、页面停留、评论点赞都能安排，按天结算，保证来源自然。我没急着回，把屏幕亮给大家看了一眼，会议室突然安静下来。那天离开时，天还没黑。

我早就见过这类邀约。以前项目上线，有人递话术，说能补搜索来源，让品牌词和长尾词同时冒头。我当时只看报表，后来在后台日志里发现不对。那天我把笔记本推到长桌中间，打开数据后台，对团队说，不先聊平台规则，先看异常访问。我拉到近七天，导出一份明细，文件六十多兆，打开时卡了一下，同事小声笑，说这是现场唯一压力测试。

我先不讲结论，把字段排到前面：时间戳、访客号、网段、来源渠道、落地页、停留时长、是否滚动到底、是否点击导航、是否进入注册页。判断时只看访客容易被骗，很多代刷会模拟设备，也从多个出口进入。那天我标红异常记录，提醒注意一个特征：凌晨两点到三点集中出现，停留很整齐，七成会话停在十五秒左右，像有人掐表。正常用户没这么准时。

接着拆地区。我让负责数据的同学把网段按省份聚合，发现异常时段里，几个非核心业务区访问量翻了三倍。地图插件上，东部沿海和西南城市出现亮斑，可那两天没有对应活动。有人猜是机房，我没有附和，而是把同一网段里不同行为并排看。结果更明显：不同访客打开完全相同页面，搜索词高度相似，浏览器语言、屏幕分辨率都扎堆。我们在白板上写，地区不是重点，模式才是问题。

拆关键词是第二步。现场有备用电脑，我把搜索日志和页面地址拼起来看。正常来源里，词会有长尾差异，同一主题会有不同问法，也会有错字。那天筛出的一批记录像被修剪过：品牌词加产品后缀，短问句带数字，几个高转化词反复出现。我们把会话数、跳出率、停留中位数做成表，排序后不用讨论。代刷擅长模仿搜索，不擅长模仿犹豫，真实用户会点帮助页，也会中途退出去问同事。

互动行为是最后一块。很多人以为点击和停留够真实就行，我拿测试账号做演示，故意把注册流程走成正常样子：先看首页，再点产品详情，回到导航栏，停留四十多秒才提交。另一个异常记录也四十多秒，但鼠标轨迹几乎一条直线，滚动像电梯上下，评论框只发固定文案，没有标点变化，也没有重打。后台能看到前端事件，我就让工程师画事件顺序。大家才看到，代刷不是没有动作，而是缺少生活里的琐碎：点开优惠券又关掉，在两个页面来回切，在搜索框打错再删。

后来有人问，如果对方做得更逼真怎么办。我承认没有一劳永逸的办法，只能把标准做细。我们当天写了几条过滤：地区和目标市场不匹配就降权，词和页面内容不符就人工复核，事件过短过齐过线就打标记。第二天运营把一批疑似访问重新跑模型，又把正常样本混进去验证，误伤率不算高。真正麻烦的是边界样本，比如深夜确实有海外用户访问，不能一刀切。我让大家在备注里写清证据链，不凭感觉删人。

回到会议桌前，我把邀约截图放大，没有骂平台，也没有讲空话。我说这类服务最危险的不是数据脏，而是让人以为增长可以外包。研修结束前，我们把异常分析整理成手册，里面放了表格截图、字段解释、排查路径和两个反例。手册最后一行是我手写的，墨迹有点歪，大意是数据会装，但行为很难装；流量会绕路，但意图很难藏。会后有同学来问怎么判断代理池，我给他看了一段网段变化曲线，说先看稳定性，再看行为节奏，最后别忘了问一句业务上是否合理。那天的手机通知后来没再出现，我倒希望下次别再有人收到。

为了让大家更明白，我当场把正常用户和异常用户分成两列，用同一页面做对照。正常用户会先看活动页，再点客服入口，最后回到价格说明；异常用户直接落到活动页，停留十五秒，离开时几乎没有二次点击。我还注意到，代刷邀约里的页面停留可以设定，但不会处理页面加载失败、弹窗延迟、按钮位置调整这些现场问题。换句话说，能设参数不等于真懂业务，能模拟点击也不等于能模拟犹豫。

最后我们定了一个很土的办法，每次新增渠道来源，先把来源表拆成三张图，地区图、关键词图、互动漏斗图，三张一起看。单独看任何一张都会误判，合起来才接近真实。有同事说这样太费人，我说费人是费人，但比事后删数据轻松。那几天我手机里还存着那句邀约话，没有继续联系，只当成提醒。做后台分析最怕的不是发现异常，而是习惯异常之后把它叫成正常。