一组具有代表性的 B2B 发现情境，展示相关业务讨论怎样被整理成需要人工复核的候选 Signal。
群里有人发了仿冒 APK：通知品牌方之前，安全服务商还要核实什么
一张疑似仿冒 App 的截图只是风险候选。移动应用安全服务商需要回到原始消息，核对样本、品牌对象、传播语境与官方状态，再决定是否人工通知。
以下是一个典型场景演示，用于说明产品的判断逻辑，不代表真实客户案例、客户证言、合同、收入结果或转化数据。
01场景描述
02Signal 判断
03可信度与优先级
04人工下一步
判断时关注的线索
- 授权群消息提到具体品牌与疑似 APK
- 相邻语境出现包名、下载位置或重复转发线索
- 样本真实性、传播范围和品牌方是否知情仍需人工核实
一个用户已主动连接且有权访问的 Telegram 群里，出现了两句零散消息：
“这个安装包看着像 XX 钱包，图标一样，包名好像不对。”
几分钟后，另一个人补充：
“链接在别的群也见过。是不是旧包不清楚，先别装。”
这值得移动应用安全或品牌保护服务商查看，但还不能写成“XX 钱包正在遭遇恶意 APK 大规模传播”。群友没有给出可下载样本、文件哈希、签名信息、首次出现时间，也没有证明另一个群里的链接属于同一个文件。
NOTICE：本文中的群消息与业务条件均为合成示意，不代表真实客户、真实仿冒事件、合同、收入或转化结果。
先把它当成风险候选，不是客户需求
发消息的人没有采购安全服务，疑似被仿冒的品牌也未必在群里。销售线索与风险候选的区别在这里很明确：前者通常包含某个人公开表达的需求，后者只是暴露了一个可能影响第三方的事件。
这条候选目前只支持三件事：
- 群友看到一个外观类似某品牌的安装包；
- 有人怀疑包名不一致；
- 相似链接可能在其他群出现过。
它不支持“样本一定恶意”“已经有人安装”“品牌方尚不知情”或“出现了品牌保护采购需求”。这些都必须留在未知栏里。
产品步骤止于找到并整理证据入口
对于这类任务，Top Prospect 的产品流程可以拆成五步：
- 选择来源。 用户主动连接自己有权访问的 Telegram 群，例如应用安全、反欺诈或目标市场用户群。群不需要是公开群，关键是用户拥有访问权并主动连接。
- 定义规则。 用品牌名、APK、安装包、包名不一致、假 App 等语言描述要查看的风险事件，并设置广告、普通版本更新等排除条件。
- 形成候选。 系统对授权群消息去重、分类和排序，显示“品牌名 + 安装包 + 包名异常”为什么值得先看。
- 打开原始证据。 负责人查看原文、来源、时间和相邻语境，并返回原始消息检查附件或链接是否仍在。
- 人工判断。 团队决定是否下载样本、如何隔离分析、是否通知品牌方，并人工修改候选状态。
产品不会下载或执行 APK，不会比较代码签名，不会确认恶意行为，也不会自动联系群成员或品牌方。
打开原消息后，先做证据分层
把材料分成“产品内可见”和“需要外部核验”两层，可以避免把 AI 判断理由写成安全结论。
| 层级 | 当前能看到什么 | 仍需谁来做 |
|---|---|---|
| 群消息证据 | 原文、来源群、时间、相邻回复 | 负责人判断语境是否相关 |
| 样本证据 | 消息可能包含文件、截图或链接 | 安全分析人员在隔离环境取得样本 |
| 技术判断 | 包名、证书、权限、网络行为尚未知 | 移动安全团队进行静态与动态分析 |
| 传播判断 | 有人说在别的群见过 | 人工核对是否为同一链接或同一哈希 |
| 品牌状态 | 群里没有可靠说明 | 查看品牌官方安全通告并向品牌方核实 |
截图只能证明“有人发过这张图”。下载链接只能证明“有人分享过这个地址”。只有经过安全团队核对，才能进一步说明文件是不是仿冒包、是否含恶意行为，以及两个来源是不是同一样本。
通知前至少回答四个问题
样本能不能被复现
链接是否仍可访问？取得的文件哈希是什么？不同群里看到的文件是否相同？如果拿不到样本，只能把它标成待核实的风险提醒，不能向品牌方声称已经确认恶意 APK。
仿冒关系靠什么成立
图标相似不等于仿冒。安全人员还要检查包名、签名证书、应用名称、页面与网络请求。即使这些元素模仿官方 App，也要把“品牌仿冒”和“已实施恶意行为”分开表述。
传播范围有没有证据
“别的群也见过”是一条核实线索，不是跨群传播数量。团队应记录每个可访问来源的原始时间、链接和文件哈希；无法访问的群或 WhatsApp 转述不能由产品补成事实。
品牌方是否已经处理
检查品牌官网、官方社交账号和安全公告。没有找到公开声明，不等于品牌内部毫不知情。联系时应写“我们没有在公开渠道找到相关提醒”，而不是“你们还不知道”。
一封安全通知应该怎样写
人工核验支持风险后，通知可以保持克制：
“我们在一个有权访问的 Telegram 群中看到疑似仿冒贵司 App 的安装包。附件记录显示包名为
com.example.update，与官方包名不同；我们已保留原消息时间和文件哈希。当前能确认的是品牌元素被模仿，传播范围与受影响用户数仍未确认。如需要，我们可以通过贵司指定的安全渠道提交样本和分析记录。”
这封通知区分了已确认内容和未知项，也让品牌方选择接收证据的安全渠道。它没有借风险直接推销服务，更没有暗示对方会因此成为客户。
如果样本无法取得、技术核验不支持仿冒，或官方已发布完全一致的告警，团队同样可以人工修改候选状态并写下原因。产品不知道后续邮件、电话或事件处置结果。
这条记录的价值是可复核
一次克制的风险通知是否会发展成服务沟通，取决于品牌方已有的处置流程、提交证据的质量，以及对方是否需要额外支持。这些条件都不在群消息里。
眼下能确认的结果更简单：团队保留了原始群消息，知道技术核验还缺什么，并在联系品牌前把事实与推测分开。候选记录负责把风险送到正确的查看顺序；安全结论、通知与后续处置都由人完成。
继续检查品牌风险信号
市场与风险讨论属于辅助证据
Top商业线索的主任务是 Telegram 获客。市场与风险讨论可以为候选线索补充上下文，但不会自动成为已核实事故、趋势或销售机会。