CN114331593A - 恶意订单的识别及处理方法、装置、设备及存储介质 - Google Patents

Abstract

本发明公开了一种恶意订单的识别及处理方法、装置、设备及存储介质，其中方法包括：获取用户下订单时的IP地址、联系电话、收货地址和行为数据；将行为数据输入至预先训练好的行为分析预测模型，得到行为数据是异常行为的概率；当概率超过预设概率阈值时，基于预设规则分析IP地址、联系电话和收货地址是否异常；当IP地址、联系电话和收货地址存在一个以上维度异常时，将订单标记为恶意订单并拉黑用户；当IP地址、联系电话和收货地址均正常时，将订单打上可疑标签。本发明通过对存在恶意订单概率较大的行为数据进行分析，再辅以其他多个维度分析订单是否为恶意订单，提高了恶意订单识别的准确率。

Description

恶意订单的识别及处理方法、装置、设备及存储介质

技术领域

本申请涉及电子商务及数据处理技术领域，特别是涉及一种恶意订单的识别及处理方法、装置、设备及存储介质。

背景技术

伴随电商行业发展，平台流量越来越高，客户的恶意手法也日渐丰富，商家出现集中性投诉被恶意订单攻击情况，由于恶意订单造成的损失日益加剧。且被商家主动提报的恶意订单仅仅占恶意订单本身的一部分，大量的恶意订单还在张狂的增长，商家如遇到恶意下单，不仅会影响到商品库存积压，也会导致商家到供应商的订单的退货申请增加，影响商家在供应商那里的评价。

目前，客服人员在识别恶意订单时，缺乏对订单的所有信息进行综合性的客观分析，导致分析结果不够准确，同时还要耗费大量人力。

发明内容

本申请提供一种恶意订单的识别及处理方法、装置、设备及存储介质，以解决恶意订单识别准确率不高的问题。

为解决上述技术问题，本申请采用的一个技术方案是：提供一种恶意订单的识别及处理方法，包括：获取用户下订单时的IP地址、联系电话、收货地址和行为数据；将行为数据输入至预先训练好的行为分析预测模型，得到行为数据是异常行为的概率，行为分析预测模型根据预先准备的群体用户样本中的历史恶意订单数据训练得到；当概率超过预设概率阈值时，基于预设规则分析IP地址、联系电话和收货地址是否异常；当IP地址、联系电话和收货地址存在一个以上维度异常时，将订单标记为恶意订单并拉黑用户；当IP地址、联系电话和收货地址均正常时，将订单打上可疑标签。

作为本申请的进一步改进，得到行为数据是异常行为的概率之后，还包括：当概率未超过预设概率阈值时，基于预设规则分析IP地址、联系电话和收货地址是否异常；当IP地址、联系电话和收货地址中存在两个或两个以上维度异常时，将订单标记为恶意订单并拉黑用户；当IP地址、联系电话和收货地址中存在一个维度异常时，将订单打上可疑标签。

作为本申请的进一步改进，将订单打上可疑标签之后，还包括：统计用户的所有历史订单中被打上可疑标签的订单数量；当订单数量超过预设订单数量时，将订单标记为恶意订单并拉黑用户。

作为本申请的进一步改进，基于预设规则分析IP地址，包括：将IP 地址与所有用户的历史订单数据中的历史IP地址匹配，以确定使用过 IP地址下过订单的用户数量；当用户数量超过预设用户数量时，将IP地址标记为异常；当用户数量未超过预设用户数量时，解析IP地址的层级关系并当确认IP地址使用了代理时，将IP地址标记为异常。

作为本申请的进一步改进，基于预设规则分析联系电话，包括：将联系电话与预先从运营商获取到的虚拟号码号段进行匹配，以确认联系电话是否为虚拟号码；若是，则将联系电话标记为异常。

作为本申请的进一步改进，基于预设规则分析收货地址，包括：判断收货地址是否接收过历史正常订单；若否，则根据地图数据，确认收货地址不满足预设收货地址条件时，将收货地址标记为异常。

作为本申请的进一步改进，将订单打上可疑标签之后，还包括：将订单转人工核验，并当人工核验结果为恶意订单时，将用户拉黑。

为解决上述技术问题，本申请采用的另一个技术方案是：提供一种恶意订单的识别及处理装置，包括：获取模块，用于获取用户下订单时的IP地址、联系电话、收货地址和行为数据；预测模块，用于将行为数据输入至预先训练好的行为分析预测模型，得到行为数据是异常行为的概率，行为分析预测模型根据预先准备的群体用户样本中的历史恶意订单数据训练得到；多维度分析模块，用于当概率超过预设概率阈值时，基于预设规则分析IP地址、联系电话和收货地址是否异常；第一处理模块，用于当IP地址、联系电话和收货地址存在一个以上维度异常时，将订单标记为恶意订单并拉黑用户；第二处理模块，用于当IP地址、联系电话和收货地址均正常时，将订单打上可疑标签。

为解决上述技术问题，本申请采用的再一个技术方案是：提供一种计算机设备，所述计算机设备包括处理器、与所述处理器耦接的存储器，所述存储器中存储有程序指令，所述程序指令被所述处理器执行时，使得所述处理器执行如上述中任一项所述的恶意订单的识别及处理方法的步骤。

为解决上述技术问题，本申请采用的再一个技术方案是：提供一种存储介质，存储有能够实现上述恶意订单的识别及处理方法的程序指令。本申请的有益效果是：本申请的恶意订单的识别及处理方法通过首先对容易确认出异常操作的行为数据，结合行为分析预测模型预测用户下订单时行为数据存在异常的概率，当该概率超过预设概率阈值时，再辅以 IP地址、联系电话和收货地址三个维度对该订单进行分析，当该三个维度中存在异常则直接确认该订单是否为异常订单，从而实现了以用户下单时的行为数据为主，IP地址、联系电话和收货地址为辅的恶意订单识别方式，大大提高了恶意订单的识别准确率，而当该三个维度不存在异常时，则为订单打上可疑标签，方便用户查看快速查找到这些订单进行核验，最终还实现了对下过恶意订单的用户进行拉黑处理，防止其恶意骚扰。

附图说明

图1是本发明第一实施例的恶意订单的识别及处理方法的流程示意图；

图2是本发明实施例的恶意订单的识别及处理装置的功能模块示意图；

图3是本发明实施例的计算机设备的结构示意图；

图4是本发明实施例的存储介质的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本申请的一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请中的术语“第一”、“第二”、“第三”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”、“第三”的特征可以明示或者隐含地包括至少一个该特征。本申请的描述中，“多个”的含义是至少两个，例如两个，三个等，除非另有明确具体的限定。本申请实施例中所有方向性指示(诸如上、下、左、右、前、后……)仅用于解释在某一特定姿态(如附图所示)下各部件之间的相对位置关系、运动情况等，如果该特定姿态发生改变时，则该方向性指示也相应地随之改变。此外，术语“包括”和“具有”以及它们任何变形，意图在于覆盖不排他的包含。例如包含了一系列步骤或单元的过程、方法、***、产品或设备没有限定于已列出的步骤或单元，而是可选地还包括没有列出的步骤或单元，或可选地还包括对于这些过程、方法、产品或设备固有的其它步骤或单元。

在本文中提及“实施例”意味着，结合实施例描述的特定特征、结构或特性可以包含在本申请的至少一个实施例中。在说明书中的各个位置出现该短语并不一定均是指相同的实施例，也不是与其它实施例互斥的独立的或备选的实施例。本领域技术人员显式地和隐式地理解的是，本文所描述的实施例可以与其它实施例相结合。

图1是本发明实施例的恶意订单的识别及处理方法的流程示意图。需注意的是，若有实质上相同的结果，本发明的方法并不以图1所示的流程顺序为限。如图1所示，该方法包括步骤：

步骤S101：获取用户下订单时的IP地址、联系电话、收货地址和行为数据。

具体地，用户在购物平台上下单后，平台记录用户下单的相关数据信息，该相关数据信息包括但不限于IP地址、联系电话、收货地址和行为数据，其中，该行为数据包括订单商品的数量、订单支付时间、订单支付方式、订单退款操作等。需要理解的是，通常情况下，用户下订单时的行为数据能够很大层面上判断用户的操作是否包含有恶意，因此，本实施例中，以用户下单时的行为数据作为主要判断标准，而IP地址、联系电话和收货地址的判断作用则比较小，例如，用户可能会不小心填写错误联系电话或错误地址，但用户并不是要下恶意订单，因此将IP地址、联系电话和收货地址作为次要判断标准，综合分析基于行为数据的判断和基于IP地址、联系电话、收货地址的判断，以确认订单是否为恶意订单。步骤S102：将行为数据输入至预先训练好的行为分析预测模型，得到行为数据是异常行为的概率，行为分析预测模型根据预先准备的群体用户样本中的历史恶意订单数据训练得到。

需要说明的是，该行为分析预测模型根据预先准备的群体用户样本中的历史恶意订单数据训练得到。优选地，该行为分析预测模型基于二分类模型构建，分析行为数据得到异常行为的概率和正常行为的概率。常见的二分类模型包括有逻辑回归算法、k最近邻算法、决策树算法、支持向量机算法和朴素贝叶斯算法，本实施例的二分类模型基于其中任一种算法来实现，本实施例不做限制。

进一步的，基于预设规则分析IP地址，包括：

1.1、将IP地址与所有用户的历史订单数据中的历史IP地址匹配，以确定使用过IP地址下过订单的用户数量。

1.2、当用户数量超过预设用户数量时，将IP地址标记为异常。

1.3、当用户数量未超过预设用户数量时，解析IP地址的层级关系并当确认IP地址使用了代理时，将IP地址标记为异常。

具体地，在分析IP地址维度时，首先获取所有用户的历史订单数据，并获取历史订单数据中的历史IP地址，将所有历史IP地址分别与当前的IP地址进行匹配，从而找到与当前的IP地址相同的历史IP地址所对应的目标用户，需要说明的是，该目标用户需要在该IP地址下过一定数量的订单，从统计得到目标用户的用户数量，当该用户数量超过预设用户数量时，则可认为该IP地址维度存在异常，例如，当同一IP地址下存在数十个用户且均多次下过订单时，该IP地址很大可能出现通过众多的用户账号进行恶意刷单的行为。而当用户的数量未超过预设数量时，则进一步对IP地址进行解析，分析出IP地址的层级关系，以及IP地址对应的物理地址，分析物理地址的层级关系是否正式合理，比如用户在国内访问IP层级中出现了国外的IP地址，极有可能是黑客批量下单行为。

进一步的，基于预设规则分析联系电话，包括：

2.1、将联系电话与预先从运营商获取到的虚拟号码号段进行匹配，以确认联系电话是否为虚拟号码。

2.2、若是，则将联系电话维度标记为异常。

具体地，手机号作为用户接受快递时的联系方式，是需要可以正常接听电话的，恶意下单的情况，用户会使用虚拟号码来注册账号下单，特点是只能接受短信，不能接听电话，通过从运营商获取到虚拟号码号段，可以识别虚拟号码。

进一步的，还可通过其他风控渠道来获取网络诈骗的手机号黑名单，当使用该手机号黑名单中的联系电话进行下单时，也可视为联系电话维度异常。

需要说明的是，在一些实施例中，还可直接通过虚拟拨号***对该联系电话拨打电话，若该联系电话正常接通则说明该联系电话正常，若无法接通则说明该联系电话存在异常。

进一步的，基于预设规则分析收货地址，包括：

3.1、判断收货地址是否接收过历史正常订单。

3.2、若否，则根据地图数据，确认收货地址不满足预设收货地址条件时，将收货地址标记为异常。

需要说明的是，该预设收货地址条件预先设置，例如，预设收货地址条件包括小区地址、写字楼地址、工厂地址、仓库地址中的至少一种。

具体地，在获取到收货地址后，查询历史订单信息中的历史收货地址，从而确认该收货地址是否曾经接收过正常的订单，若是，则将该收货地址维度视为正常，若否，则说明该收货地址是一个新的地址，根据地图数据，确认该收货地址是否满足预设收货地址条件，例如，该地址是否为正常的住宅地址或者是办公场所地址，若是，则将该收货地址标记为正常，若否，则将该收货地址标记为异常。步骤S103：当概率超过预设概率阈值时，基于预设规则分析IP地址、联系电话和收货地址是否异常。当IP地址、联系电话和收货地址存在一个以上维度异常时，执行步骤S104；当IP地址、联系电话和收货地址均正常时，执行步骤S105。

具体地，当行为数据为异常行为的概率超过预设概率阈值时，说明当前时恶意订单的可能性较高，此时为了增加识别的准确率，对订单的 IP地址、联系电话和收货地址做进一步的分析判断，以确认该订单是否为恶意订单。在当IP地址、联系电话和收货地址存在一个以上维度异常时，进一步提高了该订单是恶意订单的概率，因此，执行步骤S104以将该订单标记为恶意订单。而当IP地址、联系电话和收货地址均正常时，虽然为进一步提高该订单时恶意订单的概率，但是还是不能排除该订单为潜在的恶意订单的可能性，因此，执行步骤S105以对该订单打上可疑标签。

进一步的，在一些实施例中，步骤S102之后，还包括：当概率未超过预设概率阈值时，基于预设规则分析IP地址、联系电话和收货地址是否异常。当IP地址、联系电话和收货地址中存在两个或两个以上维度异常时，执行步骤S104；当IP地址、联系电话和收货地址中存在一个维度异常时，执行步骤S105。

具体地，在概率未超过预设概率阈值时，虽然根据用户的行为数据预测为异常行为的概率较低，但是仍不能排除该订单为恶意订单的可能性。因此，进一步判断IP地址、联系电话和收货地址，且当IP地址、联系电话和收货地址中存在两个或两个以上维度异常时，其中的异常维度过多，因此，该订单为恶意订单的可能性很高，因此，执行步骤S104 以将该订单标记为恶意订单。当IP地址、联系电话和收货地址中存在一个维度异常时，还是不能排除该订单是恶意订单的可能性，因此，执行步骤S105以对该订单打上可疑标签。

本实施例中，需要理解的是，只要当根据行为数据预测的异常行为的概率低于预设概率阈值，且IP地址、联系电话和收货地址均正常时，才可将该订单视为正常订单。

步骤S104：将订单标记为恶意订单并拉黑用户。

步骤S105：将订单打上可疑标签。进一步的，对于一些客户的订单，其是否为恶意订单的识别难度较高，则可结合其历史订单中的数据作为进一步参考，以提高恶意订单的识别准确率，因此，在一些实施例中，在步骤S105之后，还包括：

4.1、统计用户的所有历史订单中被打上可疑标签的订单数量。

需要说明的是，用户的所有订单记录均需保存。

4.2、当订单数量超过预设订单数量时，将订单标记为恶意订单，并将用户添加至预设黑名单。

具体地，当对用户当前下的订单打上可疑标签时，获取该用户的所有历史订单，再从所有历史订单中筛选出被打上了可疑标签的所有历史订单并统计订单数量，再判断该订单数量是否超过了预设订单数量，若超过了，则说明该用户已经下过多次可疑的订单，该用户可能会下恶意订单的可能性较高，因此，将该客户当前下的订单标记为恶意订单，并将该客户拉黑。

进一步的，为了提升恶意订单识别的准确率，在一些实施例中，步骤S105之后，还包括：将订单转人工核验，并当人工核验结果为恶意订单时，将用户拉黑。

具体地，当识别当前的订单为打上可疑标签的订单时，将该订单转到人工进行核验，利用工作人员的丰富工作经验进行判断，从而将可疑的订单中潜在的恶意订单识别出来，并且，当人工核验结果为恶意订单时，将该用户拉黑。

进一步的，在一些实施例中，将订单标记为恶意订单并拉黑用户的步骤，还可以为：

将订单标记为恶意订单，再将该订单对应的IP地址、联系电话和收货地址均拉入对应的黑名单中。

其中，IP地址、联系电话和收货地址均预设设置有对应的黑名单，用于记录下过恶意订单的IP地址、联系电话和收货地址。因此，当接收到订单后，还可以先从用户的ID信息、IP地址、联系电话和收货地址四个维度分别件黑名单判断，当其中存在一项被拉入黑名单时，直接将该订单标记为恶意订单。

本发明实施例的恶意订单的识别及处理方法通过首先对容易确认出异常操作的行为数据，结合行为分析预测模型预测用户下订单时行为数据存在异常的概率，当该概率超过预设概率阈值时，再辅以IP地址、联系电话和收货地址三个维度对该订单进行分析，当该三个维度中存在异常则直接确认该订单是否为异常订单，从而实现了以用户下单时的行为数据为主，IP地址、联系电话和收货地址为辅的恶意订单识别方式，大大提高了恶意订单的识别准确率，而当该三个维度不存在异常时，则为订单打上可疑标签，方便用户查看快速查找到这些订单进行核验，最终还实现了对下过恶意订单的用户进行拉黑处理，防止其恶意骚扰。图 2是本发明实施例的恶意订单的识别及处理装置的功能模块示意图。如图2所示，该恶意订单的识别及处理装置50包括获取模块51、预测模块52、多维度分析模块53、第一处理模块54和第二处理模块55。

获取模块51，用于获取用户下订单时的IP地址、联系电话、收货地址和行为数据；

预测模块52，用于将行为数据输入至预先训练好的行为分析预测模型，得到行为数据是异常行为的概率，行为分析预测模型根据预先准备的群体用户样本中的历史恶意订单数据训练得到；

多维度分析模块53，用于当概率超过预设概率阈值时，基于预设规则分析IP地址、联系电话和收货地址是否异常；

第一处理模块54，用于当IP地址、联系电话和收货地址存在一个以上维度异常时，将订单标记为恶意订单并拉黑用户；

第二处理模块55，用于当IP地址、联系电话和收货地址均正常时，将订单打上可疑标签。

可选地，预测模块52执行将行为数据输入至预先训练好的行为分析预测模型，得到行为数据是异常行为的概率的操作之后，多维度分析模块53还用于：当概率未超过预设概率阈值时，基于预设规则分析IP 地址、联系电话和收货地址是否异常；第一处理模块54还用于：当IP 地址、联系电话和收货地址中存在两个或两个以上维度异常时，将订单标记为恶意订单；第二处理模块55，还用于当IP地址、联系电话和收货地址中存在一个维度异常时，将订单打上可疑标签。

可选地，第二处理模块55执行将订单打上可疑标签的操作之后，还用于：统计用户的所有历史订单中被打上可疑标签的订单数量；当订单数量超过预设订单数量时，将订单标记为恶意订单，并将用户添加至预设黑名单。

可选地，多维度分析模块53执行基于预设规则分析IP地址的操作，具体包括：将IP地址与所有用户的历史订单数据中的历史IP地址匹配，以确定使用过IP地址下过订单的用户数量；当用户数量超过预设用户数量时，将IP地址标记为异常；当用户数量未超过预设用户数量时，解析 IP地址的层级关系并当确认IP地址使用了代理时，将IP地址标记为异常。

可选地，多维度分析模块53执行基于预设规则分析联系电话的操作，具体包括：将联系电话与预先从运营商获取到的虚拟号码号段进行匹配，以确认联系电话是否为虚拟号码；若是，则将联系电话标记为异常。

可选地，多维度分析模块53执行基于预设规则分析收货地址的操作，具体包括：判断收货地址是否接收过历史正常订单；若否，则根据地图数据，确认收货地址不满足预设收货地址条件时，将收货地址标记为异常。

可选地，第二处理模块55执行将订单打上可疑标签的操作之后，还用于：将订单转人工核验，并当人工核验结果为恶意订单时，将用户拉黑。

关于上述实施例恶意订单的识别及处理装置中各模块实现技术方案的其他细节，可参见上述实施例中的恶意订单的识别及处理方法中的描述，此处不再赘述。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置类实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

请参阅图3，图3为本发明实施例的计算机设备的结构示意图。如图3所示，该计算机设备60包括处理器61及和处理器61耦接的存储器62，存储器62中存储有程序指令，程序指令被处理器61执行时，使得处理器61执行上述任一实施例所述的恶意订单的识别及处理方法的步骤。

其中，处理器61还可以称为CPU(Central Processing Unit，中央处理单元)。处理器61可能是一种集成电路芯片，具有信号的处理能力。处理器61还可以是通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

参阅图4，图4为本发明实施例的存储介质的结构示意图。本发明实施例的存储介质存储有能够实现上述所有方法的程序指令71，其中，该程序指令71可以以软件产品的形式存储在上述存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本申请各个实施方式所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质，或者是计算机、服务器、手机、平板等计算机设备设备。

在本申请所提供的几个实施例中，应该理解到，所揭露的计算机设备，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个***，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。以上仅为本申请的实施方式，并非因此限制本申请的专利范围，凡是利用本申请说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本申请的专利保护范围内。

Claims (10)

1.一种恶意订单的识别及处理方法，其特征在于，包括：

获取用户订单的相关数据信息，所述相关数据信息包括IP地址、联系电话、收货地址和行为数据；

将所述行为数据输入至预先训练好的行为分析预测模型，得到所述行为数据是异常行为的概率，所述行为分析预测模型根据预先准备的群体用户样本中的历史恶意订单数据训练得到；

当所述概率超过预设概率阈值时，基于预设规则分析所述IP地址、所述联系电话和所述收货地址是否异常；

当所述IP地址、所述联系电话和所述收货地址存在一个以上维度异常时，将所述订单标记为恶意订单并拉黑所述用户；

当所述IP地址、所述联系电话和所述收货地址均正常时，将所述订单打上可疑标签。

2.根据权利要求1所述的恶意订单识别及处理方法，其特征在于，所述得到所述行为数据是异常行为的概率之后，还包括：

当所述概率未超过所述预设概率阈值时，基于所述预设规则分析所述IP地址、所述联系电话和所述收货地址是否异常；

当所述IP地址、所述联系电话和所述收货地址中存在两个或两个以上维度异常时，将所述订单标记为恶意订单并拉黑所述用户；

当所述IP地址、所述联系电话和所述收货地址中存在一个维度异常时，将所述订单打上可疑标签。

3.根据权利要求1或2所述的恶意订单识别及处理方法，其特征在于，所述将所述订单打上可疑标签之后，还包括：

统计所述用户的所有历史订单中被打上可疑标签的订单数量；

当所述订单数量超过预设订单数量时，将所述订单标记为恶意订单并拉黑所述用户。

4.根据权利要求1或2所述的恶意订单识别及处理方法，其特征在于，所述基于所述预设规则分析所述IP地址，包括：

将所述IP地址与所有用户的历史订单数据中的历史IP地址匹配，以确定使用过所述IP地址下过订单的用户数量；

当所述用户数量超过预设用户数量时，将所述IP地址标记为异常；

当所述用户数量未超过预设用户数量时，解析所述IP地址的层级关系并当确认所述IP地址使用了代理时，将所述IP地址标记为异常。

5.根据权利要求1或2所述的恶意订单识别及处理方法，其特征在于，所述基于所述预设规则分析所述联系电话，包括：

将所述联系电话与预先从运营商获取到的虚拟号码号段进行匹配，以确认所述联系电话是否为虚拟号码；

若是，则将所述联系电话标记为异常。

6.根据权利要求1或2所述的恶意订单识别及处理方法，其特征在于，所述基于所述预设规则分析所述收货地址，包括：

判断所述收货地址是否接收过历史正常订单；

若否，则根据地图数据，确认所述收货地址不满足预设收货地址条件时，将所述收货地址标记为异常。

7.根据权利要求1或2所述的恶意订单识别及处理方法，其特征在于，所述将所述订单打上可疑标签之后，还包括：

将所述订单转人工核验，并当人工核验结果为恶意订单时，将所述用户拉黑。

8.一种恶意订单的识别及处理装置，其特征在于，包括：

获取模块，用于获取用户订单的相关数据信息，所述相关数据信息包括IP地址、联系电话、收货地址和行为数据；

预测模块，用于将所述行为数据输入至预先训练好的行为分析预测模型，得到所述行为数据是异常行为的概率，所述行为分析预测模型根据预先准备的群体用户样本中的历史恶意订单数据训练得到；

多维度分析模块，用于当所述概率超过预设概率阈值时，基于预设规则分析所述IP地址、所述联系电话和所述收货地址是否异常；

第一处理模块，用于当所述IP地址、所述联系电话和所述收货地址存在一个以上维度异常时，将所述订单标记为恶意订单并拉黑所述用户；

第二处理模块，用于当所述IP地址、所述联系电话和所述收货地址均正常时，将所述订单打上可疑标签。

9.一种计算机设备，其特征在于，所述计算机设备包括处理器、与所述处理器耦接的存储器，所述存储器中存储有程序指令，所述程序指令被所述处理器执行时，使得所述处理器执行如权利要求1-7中任一项权利要求所述的恶意订单的识别及处理方法的步骤。

10.一种存储介质，其特征在于，存储有能够实现如权利要求1-7中任一项所述的恶意订单的识别及处理方法的程序指令。

Images