Phia affiliate 風波拆解：背景分頁點樣靜靜改寫一單網購歸因
程式碼同內部訊息，令人更難相信事件只係程式漏洞
背景分頁點樣搶走一單生意
裝格價 extension，本來想慳幾十蚊，點知背後可能有人趁你埋單前改咗「邊個帶你嚟」呢個答案。TechNews 科技新報引述 Bloomberg 報道，AI 購物工具 Phia 遭指喺結帳階段開啟背景分頁，自動載入帶有 Phia 身份嘅 affiliate tracking link。用戶冇主動撳優惠，畫面亦未必有明顯變化，但商戶或 affiliate network 已經可以寫入新 cookie，將之後嗰單交易記落 Phia 名下。
呢套玩法利用咗 affiliate marketing 常見嘅 last-click 歸因。假設你先睇內容創作者嘅推介，再經佢條 link 入商店，原本佣金應該歸嗰位創作者；購物 extension 如果臨埋單先載入自己條 tracking link，就有機會成為系統見到嘅「最後一下」。背景分頁唔使直接修改 cookie 內容，只要暗中觸發 tracking redirect，網絡或商戶就可以跟正常流程寫入另一個 cookie。
圖片：Timothy O’Donnell／Phia
「程式漏洞」點解愈睇愈可疑
Affiliate 研究員 Ben Edelman 公開咗測試影片、連線紀錄同程式碼分析。他指 Phia 嘅 iOS app 同 Chrome extension 內有一個名為 enable_coupon_auto_drop 嘅設定，可以喺購物車或結帳頁自動叫起 affiliate link。佢追查版本紀錄後，稱相關功能最遲喺 2025 年 12 月已經出現，而且 server 可以按裝置遙距開關；佢測試時 iOS 會啟用，桌面 Chrome 就唔會，令純桌面檢查較難撞中。
Bloomberg 8 月嘅跟進報道再引述內部 Slack 訊息、歷史程式碼同知情人士，指兩位創辦人 Phoebe Gates、Sophia Kianni 曾經同管理層及工程師討論自動寫入 affiliate 歸因。報道亦提到另外兩種機制，包括用戶曾經同 Phia 互動後定時重設 cookie，或者優惠框出現後，用戶撳頁面任何位置都計作觸發。呢啲資料反映相關功能唔似偶然出現；不過，刻意詐騙仍然只係 Bloomberg 同研究員嘅指控，未有司法裁決。
Bloomberg 又稱，Phia 收起爭議功能同其他變現工具後，內部圖表顯示每日收入由約 8 萬美元跌至約 1 萬至 2.8 萬美元；另一份初步分析就估算，爭議做法涉及公司 6 月聲稱帶動成交額約 51%。Phia 反駁呢套算法誇大影響，亦話收入下跌部分原因係公司同期暫停咗大部分變現功能，唔可以將成個跌幅都算落爭議功能度。
Phia 點回應，平台又做咗咩
Phia 將事件歸因於程式碼造成嘅錯誤歸因，稱相關功能已喺 7 月 7 日移除，正逐筆覆核交易、向受影響品牌回撥款項，亦會請合規主管。impact.com 其後通知客戶，會修正一批由 6 月 20 日起仍未付款或鎖定嘅 Phia 交易。要留意，impact.com 冇公開將事件定性為蓄意 cookie stuffing，亦冇話 Phia 所有交易都有問題；至於更早期交易會點處理，暫時仍然未清楚。
購物 extension 嘅權限先最貼身
一般用戶未必有能力拆程式碼，不過安裝頁嘅權限警告一定睇得到。Google 官方解釋，「讀取及更改你瀏覽網站上嘅資料」代表 extension 可以讀取、要求或修改頁面資料；如果涵蓋所有網站，權限範圍就相當闊。呢類權限對自動格價、套用優惠碼可能有實際用途，單靠權限亦證明唔到 extension 有古怪，但同一套能力亦足以觀察結帳流程、改動頁面同觸發網絡請求。
用開購物或優惠 extension，可以先刪走長期冇用嗰批，再將網站存取改成「撳先允許」或只准指定商店。Safari 用戶亦可以喺 extension 設定逐個網站改成詢問、允許或拒絕。銀行、電郵、公司後台呢類敏感頁面，最好唔好開放畀購物工具。至於 Phia，官方支援頁仍然提到 iOS Safari app 同 Chrome extension，但香港商店供應情況及本地受影響數字暫時冇可靠公開資料。
呢宗風波最終要睇 Phia 公開幾多交易覆核結果、較早期佣金會唔會一併回撥，同 affiliate network 會點交代審查責任。對靠推介連結收入嘅創作者同商戶，裝喺瀏覽器入面、可以一路跟到結帳頁嘅 extension，權限同歸因規則都值得定期重新檢查。
參考來源
- TechNews 科技新報 — 蓋茲小女兒新創遭控暗植 Cookie 竊取行銷分潤，彭博踢爆隱瞞漏洞 7 個月 — original report
- Phia App Co-Founders Pushed for Features Taking Credit for Sales It Didn’t Drive — 核心跟進調查，涉及內部訊息、歷史程式碼、收入數據同創辦人知情指控。
- Gates Heir’s Shopping App Took Credit for Sales It Didn’t Drive — Bloomberg 首輪測試，交代背景分頁、affiliate 歸因被取代同逾 50 個網站測試。
- Forced Clicks and Stand-Down Violations by Shopping Plugin Phia — 研究員公開嘅測試、程式碼、版本時間、feature flag 同網絡紀錄。
- Phoebe Gates and Sophia Kianni reportedly knew Phia was ‘cookie stuffing’ for months — 載有 Phia 對最新指控嘅完整回應，確認移除功能、覆核交易同招聘合規主管。
- Phia Founders Knew of Attribution Features, Bloomberg Reports — 整理 impact.com 客戶通知、交易修正範圍，同刻意違規指控仍未獲平台確認嘅界線。
- Permissions requested by apps and extensions — Google 官方解釋 Chrome extension 各級網站資料權限實際可以做到咩。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
