立秋以后暑气未消。能与炎热天气相媲美的，是持续火爆的热门景点门票抢票。在北京，整个暑期，故宫都一票难求，每天放票即秒没，一般人很难抢到。
每天 4 万张的故宫门票都去哪儿了？记者调查发现，一些外地游客有的是通过黄牛购票，有的是通过购买高价 " 门票 + 导游 " 产品得到故宫门票。不同时段的门票，黄牛每张加价几十到上百、上千元不等。而近期，一张 7 日内任意时段门票，最高已经叫卖到 1600 元。
黄牛为什么能拿到门票？旅行社为什么可以抢到预约票？故宫售票平台能否发现异常购买行为并加以阻止？《中国消费者报》记者对此进行了深入调查。
加价买门票是游客无奈之举
日前，记者在北京积水潭遇到 3 个从湖南益阳来北京旅游的小学生。其中稍年长一些的男孩对记者说，他们家一共来了 9 口人，但是由于没有约到故宫门票，所以他们一家都去不了，两个妹妹很是失望。" 我们家人太多了，妈妈说加价买门票的话太贵了。" 男孩遗憾地说。
7 月底，记者曾在北京北土城公交站遇到几位河南游客。他们是老两口、小两口加上孩子一共 5 人来北京旅游，并去了故宫。孩子爸爸告诉记者，来之前一直抢故宫门票未果。为了此行不留遗憾，孩子妈妈在网上找黄牛买的票，一张加价 100 元。" 毕竟每个来北京的游客都想去故宫看看，多花 500 元也算能接受吧。" 他说。
然而黄牛票也是水涨船高。北京的杨先生对记者说：" 加价 70 到 100 元是淡季的行情，现在无保障预约票（即不保证能否约到）是加价 300 元，且至少提前 7 天，也就是说很多游客来北京之前就得找他们买票。"
杨先生告诉记者，8 月 3 日，他的同学找他帮忙买 3 张故宫黄牛票。他想起早前曾加过一个买火车票的黄牛，随口一问，黄牛表示也可以买门票。不过，一张有保障的预约票要 1100 元。另一个黄牛告诉他，如果来了北京临时想去，一张非预约期（即 7 天以内）的有保障票，已经被叫卖到 1600 元，而故宫官网上旺季门票仅仅 60 元一张。
记者在故宫预约小程序上尝试约票，但多次尝试后均未抢到预约票。同时，记者在短视频平台看到，随便一个故宫门票相关的视频下面，都会有成百上千的跟帖，询问 " 怎么能买到故宫门票？"
杨先生认为，这种情况下，加价可能是绝大多数游客的选择，毕竟故宫门票是真的难抢。
旅行社有固定的黄牛渠道
从目前情况看，黄牛票分几种：不保证能抢到的预约票、保证能拿到的预约票以及保证能拿到的任意时段票。当然，到手价格也是步步递增。
记者在一些旅游和电商平台看到，加价预约故宫门票都是明码标价的，多数都声明抢不到就退款。但大部分都附加了导游服务，这样看上去就成了一种 " 门票 + 导游 " 的旅游产品。
至于少数无保障的纯预约门票，往往并不能顺利预订。记者在旅游平台 KlooK 客路上看到有标价 84 元的故宫门票，但最早的预订日期已经是 8 月 31 日，那时候即将开学，门票将不会如暑期那般紧俏。而另一个标价 147 元的 " 故宫门票 + 景山门票 + 讲解 " 套票，则是 8 月 25 日至 31 日都可以预订。但当点击预订的时候，会发现实际价格变成了 274 元，其中暑期门票只要 5 元的景山门票更像个添头。
" 旅行社也得找人抢票，一般是有固定的合作伙伴。" 北京国际旅行社一位资深导游王女士对记者说。
王女士告诉记者，现在各个平台上的故宫门票产品，多数是旅行社提供的，也有一部分是直接由黄牛提供的。无论哪一种，都只能去平台抢预约期内的票，而旅行社一般也都是委托专业的黄牛去抢票。由于故宫官方开放 7 天内购票，因此 8 天以上的预订皆为预售票，开票后一经约满，散客的订单就只能被取消和退款。王女士表示，旅行社找黄牛也要加价，" 毕竟黄牛能抢到票也是有成本的，比如升级了系统、换了高配置电脑、买了抢票软件等。"
记者在故宫预约平台看到，只有 " 购票约展 "" 年票入院登记 " 两个预约端口。尽管故宫相关人士此前对媒体称售票平台有个人和团体两个票池，但王女士和其他导游都对记者证实，并没有团体票池，大家都是去一个地方抢票。
恶意抢票系违法行为
记者在网上看到，诸如 "python+ selenium 实现自动化购买故宫门票，简单的一个自动买票代码 " 的广告性文章不少，阅读量也都上万。文中并未完全给出代码，用户注册付款后才可以得到。
腾讯安全专家表示，真人操作完成整个抢票流程最快需要三四秒，而自动化脚本可以在 0.0001 秒完成所有流程。因此，暑期等热门时段，游客在公众号上手工抢票与黄牛的抢票软件速度完全没有可比性，加上黄牛都是多人抢，游客的成功概率是非常非常低的。
既然都是抢票，那有保障预约票与有保障任意时段票又是如何拿到的呢？
一位西安的导游告诉记者：" 这一般是两种方式：一种是利用技术手段快速占票，然后根据实际需求退回再抢。另一种可能是黄牛与景点内部存在勾结倒票的行为。"
实际上，公安部门已经认定利用抢票软件抢占热门景区门票、倒卖牟利是犯罪行为并加以打击。2023 年 8 月，针对两个位于外省的非法抢票团伙通过抢票软件入侵全国热门景区门票预约系统，抢占门票后通过网络高价售卖牟利的行为，北京市公安局对两个团伙共 16 名犯罪嫌疑人依法刑事拘留，起获作案用手机 25 部、电脑 21 台，查获各类抢票软件 26 款。
前述捆绑讲解的门票产品也被认定为违法行为。同样是去年 8 月，北京市文化和旅游局发布通报，对涉嫌 " 倒卖 " 故宫门票的 6 家旅行社采取暂停经营旅行社业务等措施。根据公安部门通报，这 6 家旅行社就是将故宫门票和一些廉价的讲解服务进行捆绑，再加价卖给散客。
那么，用抢票软件抢票在故宫售票平台能被发现吗？能用技术手段阻止吗？
" 肯定能发现，也能阻止，技术上有很多成熟的方法。" 奇安信行业安全研究中心主任裴智勇对记者说。传统的方法是对经常刷票的 IP、账号、设备进行封禁，新型的方法是对所有用户的购票行为进行记录和异常检测，通过大数据、零信任等方法，检测其中是否有 " 非人类行为 " 或 " 漏洞利用 " 行为，并进行阻断。但仅仅依靠景点自建的售票平台，想要建设完善的反恶意抢票系统是有一定难度的。
裴智勇说，黑产领域也早有成熟的方法破解传统防范方式，如使用动态 IP、动态账号等。基于零信任、大数据行为检测等新型安全方法，虽然被黑客破解的难度要比传统方法高得多，但部署成本很高，而且还需要投入有经验的安全工程师与黑产团伙进行持续的攻防对抗，这些都是一般售票平台难以完成的。当前，比较有效的、成本可控的方法是景点将自己的购票系统直接接入到大型互联网平台上，利用大平台的接口售票。利用大平台在反恶意抢票方面比较成熟的经验和技术防范恶意抢票。
不过，裴智勇认为，打击黄牛团伙的意义是保障用户的公平购票权，并不能实质性增加普通人的抢票成功率。造成一票难求的根本原因，是景点接待能力和市场需求之间巨大的差距。景点卖 100 张票，而有 1000 人想购票，无论有没有黄牛都会有 900 人买不到。
作为网络安全专家，裴智勇建议普通游客最好还是通过大平台或正规旅行社购票，不要找黄牛，以免个人信息直接进入黑市流通，造成未来的安全风险。
此外，采访中记者就文中的问题致函采访故宫博物院。故宫相关人员回复，一切看售票公告，其他无可告知。（中国消费者报）