本文来自微信公众号： 奇帆商业 ，编辑：陆垚，作者：小钱
10月24日凌晨5点，安克创新的一些客户收到了一条奇怪的消息。
发信人是他们此前添加的企业微信客服，联系人下方带有“安克创新”的企业标识。平时，这个账号主要负责产品咨询、售后服务和会员活动，这次发来的却是一条疑似色情网站的引流链接。
差不多同一时间，耐克、盒马、CATLINK等品牌的部分企业微信客服账号，也出现了类似情况。
这些品牌经营着完全不同的生意，客服账号却在相近时间发送了内容高度相似的消息。根据媒体披露的聊天截图，安克和耐克相关账号均出现了标题为“新片每日”的内容卡片，部分文案相同。
更奇怪的是，有些账号在发出安全提醒之后，仍然继续发送异常信息。
当天，腾讯企业微信安全团队公布调查结果：某第三方外挂软件服务被攻破，导致使用该服务的部分账号受到影响。平台已经强制下线相关账号，并封禁引流链接。
安克方面表示，已冻结涉事账号、封存后台操作日志并报警。耐克客服则提醒消费者不要点击异常信息。
几家品牌同时出现问题，原因指向同一个外部环节。
企业微信与外挂的冲突并不新鲜。从2023年集中封禁违规账号，到2024年公开打击账号多开、无限群发和模拟人工操作，再到今年继续加强治理，腾讯已经与这类软件周旋了数年。
封号、封链接、发布公告，腾讯一直在做。但只要商家还想用更少的人管理更多客户，外挂就仍然有生意可做。
10月24日的事故，让这门生意的另一面暴露了出来：一家外部服务商出了问题，多个品牌的客户沟通渠道都可能受到牵连。
01
凌晨5点，品牌客服失去控制
安克相关账号“安小克135”在凌晨5时01分发送异常链接和内容卡片。耐克相关账号“NIKE-Evelyn”也在凌晨5时21分、6时31分出现类似消息。
这些账号并不是陌生联系人。部分账号此前还发送过品牌优惠信息，承担着会员维护和客户服务工作。
消费者添加它们，可能是因为购买过产品、咨询过售后，也可能只是想领取一次会员优惠。经过一段时间的沟通，客服账号便成了品牌与消费者之间相对固定的联系渠道。
过去，消费者在电商平台完成购买之后，商家想再次找到他们，往往需要依靠平台活动、站内消息或者重新投放广告。企业微信提供了另一种方式：把客户留在自己的运营体系里，后续的产品推荐、售后服务和会员活动，都可以通过已经建立的联系完成。
对消费电子、运动服饰等行业来说，这些客户关系具有长期价值。品牌不必每次都重新购买流量，也能向老客户介绍新品、提供服务。
但品牌拥有客户关系，不代表每个客服账号都由品牌总部直接操作。
大型企业的客户服务可能涉及内部员工、外包团队和第三方软件。一个账号负责产品咨询，另一个负责会员活动，运营人员还需要使用不同的系统完成客户分类、消息发送和数据统计。
北京日报10月24日的报道中有一个细节。当天16时53分，记者测试安克创新相关企业微信客服时，发现账号仍向记者推送“福利官”企业微信联系人，但添加页面显示暂时无法添加。
这个账号除了日常沟通，还承担着将消费者引导至其他会员运营入口的工作。
图源：北京日报《多家品牌企业微信发涉黄信息，外挂为何频频惹麻烦？》
对品牌而言，这样的安排并不罕见。一个客户可能先添加产品客服，再进入会员服务账号，随后加入不同的活动群。多个账号共同承担运营工作，能够让服务分工更加清晰。
问题在于，当其中一个账号出现异常，品牌需要知道它连接了哪些外部工具、由谁管理，以及能否立即停止相关操作。
此次事件中，腾讯确认受影响账号使用了遭到攻击的第三方外挂服务。不过，公开信息尚未说明具体工具由谁采购、谁负责日常操作，以及品牌总部是否知晓相关使用情况。
这些问题直接关系到事故责任，却还没有明确答案。
异常消息的发送时间也值得注意。
根据媒体披露的用户截图，耐克相关账号在8时44分发送致歉信息，提醒用户不要点击异常链接，但9时12分又出现了一条类似消息。盒马相关账号也被用户反映在凌晨和上午先后发送异常内容。
图源：耐克致歉后再次出现异常消息
仅凭这些截图，还不能判断攻击者是否始终控制账号，也无法还原完整技术过程。但它至少说明，品牌发现问题、向消费者发出提醒，与异常消息彻底停止之间，可能存在时间差。
对于一个连接大量客户的客服账号，这段时间并不短。
消费者可能先收到可疑链接，随后看到品牌的安全提醒，再次打开聊天窗口时，却又出现异常信息。即便用户没有点击链接，也很难判断这个账号是否已经恢复正常。
企业微信上的企业标识，能够帮助消费者确认账号与企业之间的身份关系，却无法让用户知道每一条消息究竟由谁发送。
平时，这种差别很少被注意到。直到一个带着真实企业标识的客服账号，突然开始推荐与品牌毫无关系的网站。
02
腾讯封了三年，外挂为什么还有市场？
企业微信打击外挂，已经持续了几年。
2023年12月，一批使用第三方工具的企业微信账号遭到集中封禁。2024年6月，企业微信发布公告，明确打击账号多开、规避群发次数限制，以及通过机器人流程自动化模拟人工操作等行为。
今年7月，平台再次强调对外挂群发、消息轰炸等违规操作加强治理。
北京日报查询企业微信处罚规则发现，使用外挂的违规成员账号可能被永久封禁。情节严重或者造成恶劣影响的，还可能波及企业账号及管理员账号。
图源：北京日报调查与历次平台治理梳理
对依靠企业微信维护客户的商家来说，这样的处罚并不轻。一个经营多年的账号背后可能积累了大量客户，一旦被封，后续服务和营销活动都可能受到影响。
但市场上仍有人销售绕过平台限制的工具。
一家只有几百名客户的小商家，可以依靠人工完成日常沟通。客户规模扩大到数万甚至更多，运营方式就需要改变。
客户需要分类，会员群要定期维护，不同人群需要接收不同活动信息。企业既希望提高客户触达频率，又不愿意无限增加员工。
自动化软件因此成为降低成本的一种选择。
企业微信本身提供客户管理能力，也允许符合规则的第三方服务商通过官方接口开发应用。正常的客户管理、数据分析和业务自动化，并不属于违规外挂。
但官方接口并不是没有边界。
以企业微信群发接口为例，相关接口文档规定，企业或第三方应用可以创建群发任务，但调用接口并不会直接向客户发送消息，需要成员确认后才会执行。同时，客户或客户群能够接收的群发消息存在频次限制。
图源：企业微信API《创建企业群发》
这些设计并非纯粹增加商家的操作步骤。
企业微信连接着普通微信用户。如果一家商家可以不受限制地向客户群发送促销信息，用户可能频繁收到广告，最终选择屏蔽客服、退出社群，甚至减少使用相关服务。
腾讯必须在商家的营销需求和普通用户的体验之间设置边界。
一些外挂销售的，恰恰是突破这道边界的能力。
北京日报10月24日调查发现，一家提供企业微信外挂的服务商宣称，可以利用机器人模拟人工操作，按照客户标签和分组批量发送消息。
对方举了一个例子：一个拥有500个群的企业微信账号，可以在一两个小时内完成全部推送，甚至能够在夜间自动运行。
这只是服务商的宣传说法，并非经过独立验证的实际效率，也没有证据显示此次涉事品牌使用了同一款工具。
但它展示了外挂服务商最直接的卖点。
商家原本需要员工逐个完成的操作，可以交给软件批量执行；原本受到频次或操作方式限制的功能，也可能被包装成更高效的营销服务。
外挂服务商由此获得收费空间。
它们销售的不是普通的客户管理能力，而是绕过平台规则之后的额外操作能力。对商家来说，收益主要体现为节省人工、扩大触达范围，以及提高运营效率。
这种生意的利润率、客户规模和具体收费水平，目前没有足够可靠的公开数据，不能仅凭个别商家的宣传推算。
但从产品功能看，需求已经相当明确。
腾讯限制的是消息发送和账号操作的边界，外挂服务商试图出售的，正是突破这些边界的能力。
这也是腾讯与外挂长期冲突的商业根源。
企业微信希望更多企业通过平台经营客户。商家越依赖企业微信，平台在企业服务市场中的价值就越高。
但客户运营越深入，部分商家对批量操作、自动化营销和高频触达的需求也可能越强。
如果腾讯完全满足这些需求，普通微信用户的体验可能受到影响；如果平台持续限制相关操作，又可能有人寻找未经授权的工具。
腾讯需要商家活跃，也需要消费者愿意继续接收企业消息。两者并不总能同时得到满足。
对外挂开发者来说，这种差异就是商机。
2024年6月，企业微信已经明确表示，将对外挂开发和服务提供者采取包括诉讼在内的措施。今年10月24日，平台又宣布加强对篡改客户端、绕过安全机制和平台使用限制等行为的识别。
连续治理表明腾讯并非没有采取行动。
但封禁能够提高违规成本，未必能够消除商家对特定功能的需求。只要有人愿意为更高的自动化程度付费，就可能有人继续尝试开发绕过限制的软件。
过去，这类工具最直接的问题是营销骚扰、账号违规和封禁风险。此次事故又增加了一层后果。
多个品牌的客服账号因为同一个外部服务环节受到影响，说明未经授权的自动化工具不仅可能突破平台规则，还可能让不同企业的客户沟通渠道暴露在共同的安全风险之下。
03
腾讯封得住链接，封不住所有风险
10月24日，红星资本局对相关异常链接进行测试时发现，部分链接已经无法在微信内部直接打开，页面提示存在安全风险。
但将网址复制到外部浏览器后，相关网站仍然可以访问。
图源：红星资本局《企微账号发涉黄链接，企业微信：某第三方外挂软件服务被攻破》
企业微信已经采取了账号强制下线和链接封禁措施，但这种处置并不意味着相关网站在整个互联网中消失。用户如果主动复制网址，通过其他浏览器访问，仍可能接触到风险内容。
这并不能证明此次事件已经造成消费者财产损失。现有公开信息也不足以确认客户数据是否泄露。
但对于已经收到异常消息的消费者，平台完成链接拦截之后，事情并不一定结束。
他们可能需要判断此前点击的内容是否安全，也可能担心后续是否还会收到冒充客服的信息。
事故涉及的几方，各自掌握着不同的资源和权限。
腾讯提供企业微信平台，品牌拥有客户关系，实际运营团队负责日常客服工作，第三方软件则可能参与账号操作。
如果外挂服务遭到攻击，服务商需要解释自身的安全措施以及攻击者获得了哪些权限。品牌需要调查相关工具的采购、授权和管理情况。腾讯则需要进一步排查异常操作如何发生，以及能否缩短发现问题到切断风险之间的时间。
具体法律责任仍需要依据技术调查、合同关系和实际损害认定，不能因为事故发生在企业微信上，就认定腾讯服务器遭到入侵，也不能直接推断品牌总部主动使用了违规外挂。
但消费者通常不会区分这些主体。
他添加的是安克或耐克的企业客服，看到的是品牌标识，收到的是来自熟悉联系人的消息。至于账号是否由外包团队管理、背后使用了什么软件，消费者无从得知。
对品牌来说，这也是客户运营规模扩大之后必须面对的管理成本。
过去，私域运营部门更关注客户数量、触达率、复购率和活动转化。软件能够减少多少人工，往往是采购时的重要考虑。
账号权限、外部服务商的安全管理和事故应急能力，则不容易直接反映在销售报表中。
此次事件可能促使品牌重新审查这些环节。
哪些外部软件能够替客服账号发送消息？哪些服务商掌握账号登录权限？一旦发现异常，品牌能否立即撤销授权，而不是只能等待第三方处理？
这些问题不会直接提高销售额，却决定着品牌能否真正掌握自己长期积累的客户联系渠道。
腾讯同样需要回答一个更具体的问题。
企业微信可以通过封禁账号和链接控制已经发现的违规行为，但当外部工具能够模拟人工操作、绕过正常接口时，平台如何提前识别风险？
尤其是在凌晨这类人工值守相对薄弱的时段，如果异常消息已经开始批量发送，事后封禁与及时阻断之间，可能相差大量已经送达的消息。
对平台而言，治理外挂的难点已经不只是发现谁违反了规则，还包括如何限制违规工具能够造成的影响。
企业微信能够进入品牌的客服、销售和会员运营流程，依靠的是微信生态的连接能力，以及企业身份带来的可信度。
腾讯希望更多企业使用企业微信开展客户运营，就需要让企业和消费者相信，这些沟通渠道能够得到有效保护。
截至10月25日晚，涉事外挂的具体名称、攻击路径、全部受影响账号数量，以及是否发生客户数据泄露，仍没有完整公开结论。
也没有足够证据证明安克、耐克等品牌总部直接采购或授权使用了违规外挂。
这些问题仍需等待进一步调查。
但此次事件已经说明，外挂对企业微信生态的影响，远不止违规群发那么简单。
腾讯希望商家留在平台经营客户，商家希望用更少的人完成更多营销工作，外挂服务商则靠突破平台限制寻找收入。
这门生意平时藏在客服账号和营销软件背后。直到10月24日凌晨，一家外部服务遭到攻击，几个知名品牌的客服账号同时出现异常，消费者才第一次如此直观地看见其中的风险。
品牌可以冻结账号，腾讯可以封禁链接，警方可以调查攻击者。
但等到下一次会员通知、售后提醒或者促销活动发来时，消费者是否还愿意相信那个熟悉的客服账号，恐怕需要更长时间才能回答。