利用数据分析找出羊毛党
业务背景
共享单车潮汐效应明显，上班高峰期单车大多堆积在地铁站，复用率不高；平台运力有限，难以缓解此趋势。
为解决这种情况，某单车推出了「众骑」活动，鼓励有闲暇时间的用户在早高峰期间反向骑行（将车从地铁站骑回居住社区等地），希望缓解高峰期的单车供应问题。
此任务的完成的计算方式是：在「高峰」时间段，于指定地铁站附近 100 米「解锁活动车辆」；骑出地铁站 500 米范围后，「锁定活动车辆」，即可完成。考虑到单车成本，车辆上并未配备 GPS 装置，「解锁车辆」和「锁定车辆」时，会收集手机上的地理位置信息作为判断依据。
每完成一次任务，该用户均可以得到平台发放的红包奖励（1 - 20 元不等），以维持整个活动顺利运转。
活动上线后，红包不断被发放出去，越发越多；但从消费者的角度来看，早晚高峰的单车供应并没有显著的改善。负责这个活动运营的同事很纳闷，明明有这么多人在努力搬运，为什么却没有效果？综合多方面的信息，部分同事已经开始怀疑：活动多半是被羊毛党光顾了，但苦于没有证据。
要求
请观察该活动从 10 月 10 日上线后，到 10 月 31 日的数据表现，给出你的分析结论。
一、观察数据，找到本次活动的异常用户，说明异常理由，推测“作弊”手段。
1.查看总体数据
活动前期和后期，解锁活动单车的用户数较少但人均次数较高，可能存在异常。
2.拆解活动信息
活动时间： 7：00-9:00之间，2个小时（查看城市可知活动仅在北京市，早高峰一般在这个时间；查看活动的每日时间分布可知活动时间在七点至九点）
活动规则：指定地铁站附近100米解锁车辆—地铁站500米外锁定车辆
判断依据：收集手机地理位置作为判断依据
破解版的手机可以修改地理位置，用户可能通过手机作弊。
3.先找到1位作弊用户
正常骑行速度是15km/小时=250m/分钟，骑出500米加上解锁和锁定车辆，时间不会低于2分钟
在5分钟内完成解锁-锁定超过3次 则为非正常用户
假设用户2小时内重复参加活动，1天的解锁活动次数最多不会超过60次
查看解锁活动单车总次数，发现ID为309248的用户在10月11日当天总共解锁了256次活动单车。
查看该用户10月11日的行为序列，异常如下
1.快速连续重复 解锁-连续 行为，一分钟内触发3次-4次
2.每次解锁和锁定的车辆2-3；辆，不符合一般的用户使用场景
3.解锁地点分别是八宝山、安河桥北、泥洼。三个地铁站相隔较远
4.大量重复解锁锁定加上每次锁定后均获得了红包，基本可以断定这个用户是“羊毛党”，目的是为了获得活动红包。
4.观察该用户特征
1.姓名：冯眧穛（名字复杂有可能是假名）
2.设备：ipad air2
3.解锁方式：扫码、蓝牙
4.快速连续重复 解锁-连续 行为，一分钟内触发3次-4次
5.每次连续解锁2-3辆，再连续关锁
5.推测作弊手段
该用户在三个地点中快速轮流解锁，推测使用了机刷虚拟定位。
作弊手段：每定位一个地铁站开一辆单车-最多开启3辆-最后定位其他地点后统一锁定单车
二、判断羊毛党是“团伙作战”还是“单打独斗”
1.作弊用户特征：
在5分钟内完成解锁-锁定超过3次
1天的解锁活动次数最超过60次
2.筛选出作弊用户群
根据上面作弊用户的行为模式，建立漏斗：5分钟内连续 解锁车辆-锁定车辆3次的用户，为防止误杀再加一个解锁
筛选出743人
从第3步开始转化率接近百分之百，说明前三步就筛选出了大量异常用户
3.观察筛选出的用户列表
1.从309245开始往下连号一直到310000，而且名字都是假名
2.由于漏斗设置较为保守，羊毛党应该不止筛选出来的743个
3.随意点击几个用户查看行为序列，符合羊毛党特征
4.使用设备有三星、华为、小米、ipad等
4.确定羊毛党是团伙作战
由于账号多、设备多、个人无法单独完成。基本可以确定，羊毛党是个团伙
5.行为模式
1.通过机刷大量注册账号，然后分发下去
2.每人持多个移动设备，在车辆较多的地方通过手机虚拟定位到不同的地铁站，重复连续开锁解锁
三、后续处置措施
基本原则是：尽量在不伤害现有用户的情况下，减少公司损失，保障活动效果。
首先将以上ID审核后交由技术人员封禁。
后续措施：
1. 账号实名认证，否则无法解锁车辆
作弊用户都是机器刷号使用假姓名，实名认证增加账号注册难度且对普通用户影响不大，还能降低车辆丢失风险。
2. 每个账号1次只能解锁1辆单车；或者解锁下一辆车需要间隔2分钟
通过上面漏斗，连续快速解锁3辆单车的基本就是羊毛党了，一号一车最安全；如果要保持一号多车，限制用户解锁间隔时间，增加羊毛党作案难度
3. 每个用户1天内参加活动次数限20次
4. 用户在5分钟内连续解锁-锁定车辆3次并3次都获得红包，冻结账号10分钟；一天内冻结3次的账号进入人工审核
