防范和打击非法金融活动总体战：APP攻防100讲（20）

第20讲涉非APP的“换壳”机制

上一讲拆解了“AB贷”模式，核心是“贷款主体调包”。这一讲讨论涉非APP的另一种生存策略：换壳。

换壳，指的是涉非APP在被曝光、被下架、被查处之后，通过更换名称、图标、域名、上架包（业内称“马甲包”），以全新面目重新出现在投资者面前。它不是“改头换面”的修辞，而是一套成熟的、低成本的、可复制的操作流程。

地方公安民警在采访中对此有直接描述：有的涉非APP“狡兔三窟”，频繁更换App名称、图标、上架包等“马甲包”-44。松滋市消费者委员会的消费提示中，将“频繁更换App名称、图标、上架包”与“使用‘热更新’技术暗中篡改功能”并列为涉非APP规避监管的两大核心手段。

一、换壳的成本：5500元

要理解换壳为什么屡禁不止，首先要理解它的成本。

北京商报的一项调查揭示了高仿APP的制作成本。记者以制作一个与现有贷款类APP相同的APP为由联系软件开发团队，对方报价5500元，包含源代码、界面美化等费用，后续每月运营费2000元，服务器续费另算。另一商家对某上市公司旗下信用卡分期借款软件的报价为2.98万元，工期20天。

更关键的是，商家明确承诺：“可免费提供数据备份服务，如果后续仿造的App被举报，可为买家更换域名和服务器继续使用。”

这意味着，换壳的成本不是从零开始制作一个新APP，而只是更换域名、服务器和上架包。用户数据保存在后台，业务逻辑不变，界面稍作修改，一个新“马甲”就诞生了。

违规网贷领域的换壳成本同样低廉。据报道，“完成一次换壳需要什么？更换App名称、界面UI、跳转链接，加上工商变更，总成本不过数千元”。

二、典型样本：新利众的换壳路径

新利众的换壳路径，是涉非APP换壳机制最完整的样本。

第一壳：套牌“奕丰金融”。2025年初，新利众假借“奕丰金融”APP名义，盗用新加坡交易所上市的奕丰集团有限公司的LOGO，以“股票跟单”为幌子吸收资金。2025年3月30日，奕丰基金销售有限公司发布严正声明，称有不法分子假冒公司名义实施诈骗。

第二壳：“鑫佰利酒庄”“鑫佰严选”。套牌行为被曝光后，新利众“改头换面以‘鑫佰利酒庄’‘鑫佰严选’等名义，在全国多地开设线下实体店，通过高端装修、贴心服务营造‘实力企业’假象，还通过定期召开视频会议等方式诱骗不明真相群众”。

从“金融APP”到“酒庄”和“严选超市”，名称、图标、业务形态全部更换，但运营主体、传销分销体系、投资者网络没有变。这套换壳操作的核心是：把“金融投资”的外衣换成“实体经营”的外衣，降低被识别的概率。

更值得关注的是，有信息显示，新利众/鑫佰利酒庄/鑫佰严选与此前已崩盘的“云天国际”存在会员平移关系。该项目“在多次崩盘后，将会员平移到其他平台（如新利众、鑫佰利酒庄、鑫佰严选）继续收割，最终再次回归‘云天国际’，形成恶性循环”。

这意味着，换壳不仅是“换一个APP”，而是整个犯罪网络的“平台轮换”。当一个平台崩盘或被查处，犯罪团伙将投资者数据平移到下一个平台，业务模式不变，继续收割。

三、换壳的技术手段

换壳之所以能做到低成本、快周期，依赖三项技术手段。

第一，马甲包矩阵。同一实控人同时运作多个名称不同、外观不同的关联产品。一家叫盈通小额贷的持牌机构，在半年内累计备案了60多个违规借贷类APP和小程序。这些平台形成“马甲池”——“当一个‘马甲’被投诉或下架，业务便可迅速切换至其他‘马甲’继续运营”。

第二，热更新绕过审核。一个APP在应用商店上架时是合规的，但通过热更新技术，可以在用户手机端动态加载未审核的功能。犯罪团伙利用“热更新”技术，“绕过应用市场审核修改App核心内容，在隐蔽增设功能情况下开展非法金融活动”-44。应用分发平台虽然被要求对热更新进行安全审核，但“大多数应用分发平台禁止App通过热更新变更除游戏资源包以外的内容”，实际执行参差不齐。

第三，动态链接与“一人一包”。部分诈骗人员使用自建的APK分发平台，“实时替换分发平台的APK或定期检测样本是否被手机厂商或安全厂商报毒来替换新的APK，实现应用下载的‘一人一包’，达到免杀效果”。这意味着，不同的用户可能下载到不同版本的APP，监管部门即便截获了一个版本，犯罪团伙可以立即替换为另一个版本。

四、换壳的识别难点

识别换壳行为，在技术上存在几个根本性困难。

第一，包名可以被修改，但代码相似性难以被常规手段检测。学术研究指出，攻击者“通过更改应用名称和混淆源代码来逃避应用商店的检测，但只要使用相同的混淆器，仍然可以通过代码相似性检测到这些应用”。问题在于，代码相似性检测是资源密集型操作，无法对每一个新上架的应用都进行。

第二，名称和图标的更换是常规操作，不构成异常信号。有研究指出，“攻击者更改重打包应用名称和图标的做法并不常见”。这意味着，如果一个犯罪团伙更换了名称和图标，这本身不足以触发应用商店或监管系统的警报。名称和图标的变更，与正常的版本更新或品牌迭代在形式上无法区分。

第三，跨应用商店的追踪困难。一个犯罪团伙可能同时在多个应用商店上架不同马甲包，或者在不同时间点在不同商店上架。现有的检测机制“无法有效扩展到多个应用商店的实际情况，每个商店都托管着成千上万到数百万个应用的大量版本”。

五、换壳的治理难点

换壳行为的治理，面临三个结构性障碍。

第一，处罚力度与换壳收益严重不匹配。一次换壳的成本不过数千元，而一个涉非APP在存活期内归集的资金可能达到数千万甚至数亿元。当换壳成本远低于被查处后的损失时，犯罪团伙的理性选择就是“继续换”。

第二，应用分发平台的审核责任难以落实。T/TAF325—2026团体标准规定了应用分发平台对APP热更新安全的审核要求，包括上架审核、在架巡查、申诉投诉处理等。但标准的落地执行需要平台投入持续的技术和人力成本。在缺少强制性约束的情况下，各平台的执行力度参差不齐。

第三，跨区域、跨平台的协同机制尚未建立。当一个马甲包在A应用商店被下架，犯罪团伙可以在B应用商店上架同一个马甲包，或者用同一个运营主体在C应用商店上架一个新马甲包。目前没有全国统一的应用商店风险信息共享平台，一个平台的处置结果无法同步到其他平台。

六、核心判断

第一，换壳是涉非APP的“生存策略”，不是偶发行为。当一个APP被曝光或被下架，犯罪团伙的应对不是停止活动，而是换一个名字、换一个图标、换一个上架包，继续运作。换壳的成本极低——数千元即可完成一次换壳，而存活期内归集的资金可能达到数千万甚至数亿元。

第二，换壳的核心是“壳变核不变”。无论名称、图标、业务形态如何更换，资金归集的本质不变，拉人头裂变的机制不变。新利众从“奕丰金融”换到“鑫佰利酒庄”，换的是“金融APP”的外壳，不换的是传销分销的底层结构。

第三，换壳的识别需要“穿透壳看核”。名称、图标、包名都可以更换，但资金归集通道、传销层级结构、运营主体关联关系不会轻易改变。监测系统需要从“识别壳”转向“识别核”——追踪资金流向、分析传销结构、关联运营主体，而不是依赖名称和图标的比对。

第四，换壳的治理需要跨平台、跨区域的协同。当一个马甲包在一个平台被下架，处置结果应当同步到所有应用分发平台；当一个运营主体在一个地区被列入黑名单，相关信息应当同步到其他地区的登记注册系统。没有这个协同机制，换壳就会永远有效。

【关于本系列】

2026年4月22日，国家部署了为期三年的“防范和打击非法金融活动总体战”。

围绕这场“总体战”，深圳市钱诚互联网金融研究院立即组织学习讨论，结合10多年来在金融行为监测一线摸爬滚打的实践积累，一个月内写出了100多篇《“防范和打击非法金融活动总体战”学习笔记》，分为“打击篇”“防非篇”“案例篇”三个系列，解决的是“是什么”的问题。

接着，研究院又写了《防范和打击非法金融活动总体战：实战手册100课》，是它的姊妹篇，解决“怎么干”的问题。

本套《防范和打击非法金融活动总体战：APP攻防100讲》，是后来写成的专项深化篇，聚焦APP这个主战场怎么打。

三套书虽按上述顺序写成，但建议按“理论—专项—实操”的顺序阅读：先读《学习笔记》打底，了解总体战全貌；再读《APP攻防100讲》聚焦APP专项战场；最后用《实战手册100课》落地到日常工作中。