网站被攻击几天时间收到谷歌云 3 万美金的流量账单，怎么办？

[nothere]

一个小站，被人联系要挂他们的广告，不从。然后从月初开始被攻击，普通服务器一直被打挂，就想着放到谷歌的 cdn 上，还用上了谷歌的 cloud armor 来防御，很有效，就算是过滤后的攻击次数每秒也上万次，那被拒绝的攻击更是高了，但他怎么打都打不死了，好爽啊。
打了大概 5 天打不动了，我突然想起要看看账单，一看 3 万美金！揉揉眼睛，个十百千万的慢慢数，确定没数错。
马上跟支持联系，答复是这是 cdn 的流量账单，数据没错，说会提交相关部门来调查分析。
懵了，要不免单的话，我打算逃单了，反正信用卡也没这么多钱给他扣，就 2000 美金的额度

真不知道这么上图。
本月总费用（截止今日）
US$30,012.66

[statement]

Google Cloud: $72,000 bill overnight (theregister.com)
https://news.ycombinator.com/item?id=25398148

[snownarrow]

确实有点惨，和其他人用了 CDN 服务偶然被人攻击产生过高费用的不同，你是知道被人攻击，然后动用 CDN 去防御，没查看收费标准而主动使用服务而产生高费用，一个是始料未及，一个是疏忽大意，确实收费太高了。

[liuidetmks]

对了,提醒下,销卡不一定不扣费哦,挂失应该是不扣费的,可以问问银行客服。

如果是用的招行的卡，可以一键锁卡，禁用境外扣款。不放心吧境内的也禁用。

我也觉得国外这种计费方式，就是坑，可能就是大公司故意纵容黑产，发这个财。

不支持预付费的服务商，就直接绑黑卡。服务商撑不住会改计费模式

[fl2d]

这就是为啥，在国外办信用卡时，同等条件下，中国人被拒的几率更高。
并且中国人信用卡被盗刷了，银行也倾向于怀疑是故意的。

[ronman]

@snownarrow 重新定义 疏忽大意

[pppcx]

https://www.v2ex.com/t/519516#reply33
两三年前和楼主发生了差不多的情况，只不过我绑定的是预付信用卡，后来去找客服谈免除了大概 70%的费用

[Chenganghui]

@statement 我发现好多人喜欢先反省自己，不主动去考虑这个问题是出在别人身上的，包括我自己都有这个问题！努力改正中

[lonelymarried]

那我用七牛的当一个移动 App 的图床用需要担心这种问题么？如果真有这种攻击，咋防御啊。个人项目，真的负担不起。

[zxcslove]

不给用户提供支出上限的都是垃圾做法，没得洗，很奇怪上面还有那么多圆月亮人士。
放任风险传导和放大的，都是要社会的敌人，塔国吃这个亏还少嘛？
当然，人上人不在乎，出事可以让百姓买单，2008 不就是这么办的么。

[lonelymarried]

@crab 你也用的七牛存储么，我用来当图床用了。我现在是不是该弃用了，真怕有一天也收到这种天价账单。另外，七牛这种，可以跑路不。

[statement]

This isn't a mistake, the design is their business model. While we don't have a specific formal definition and name for it in the category of dark patterns, I'd like to name it "scumbag billing," where we got scumbagged.

Always use a virtual card for this. This way you can tell in advance how much can be drawn max and the expiration date. And even if their database is compromised it won't work elsewhere.

Funny enough I do the same thing with PayPal as I do with DO, deposit money in there, don't tie it to my bank account. Any problems, at least my losses are limited.

The liability is on Google's side, mostly. There are hard limits in terms of the number of instances you can create without deliberately asking to spend more money, and these hard limits are set based on what Google is willing to write off for an overnight mistake.

Cloud providers somehow turned a commodity business into a high margin business. The costs are way lower than you think. The other factor is that keeping customers means more profit than throwing them out, even if they have made a mistake.


为什么我在国外论坛上查到的。和楼上的说法不一致
高贵的洋大人。也建议你 使用虚拟信用卡 paypal 等绕过，已经被扣的去谈判减免，付不起的跑路

反而国内电信运营商对待天价账单的态度是免除

[lonelymarried]

@lynan 我也在开始用七牛了，只充钱，扣完了是不是就不会再生成新账单了？

[toexplore]

关机跑路

[337136897]

破路吧，赶紧冻结信用卡或许还能不用扣你你 2K 美金

[doublleft]

我也遇到过用 gcp，一个 400KB 不到的 realtime db，两天跑了 300 多 GB 流量出来，我还设置了每天 10 刀的上限，结果还是有 300 多刀的账单。直接销卡跑路

[hellhyzcy66]

卖身给谷歌扫地

[wvwking]

@nothere 不要臉的如此清新脫俗

[no1xsyzy]

@Skmgo CF 决定不抗的时候应该是直接 drop，倒不如说好像有说免费 CF 有时你自己没被打都会直接征用掉去帮付费用户抗。免费用户属于 CF 把冗余的部分送人赚吆喝，真吃紧的话就收回一段时间。

@mschultz 可能也有国情在？国外你个人开网站直接暴露个 80/443 配个 DDNS 不就行了？指不定提供服务的就是一树莓派，大不了关站关 DDNS 重启路由换 IP 。

@statement 这里大概也有个问题，就是去找了 cloud armor ？那得类比跑米其林三星去请客，但你只想请 500 。这种一般叫缺乏常识？
不过，这类服务的价格远高于边际成本（边际成本递减），相当于这饭店是 500w 买的养殖技术专利把原本养一条成本 10w 的鱼降到养一条 5k，然后卖 3w，就算你赖掉饭店也不会亏大发，多半也不会很仔细地追究？

[lynan]

@lonelymarried 钱扣完服务也停了，自然不会有新账单~

[0x000007b]

@httplife 还国仁国仁，你不说人家连你是中日韩东南亚哪里人都分不出来。

[lonelymarried]

@lynan 原来如此，我现在还没充值，不过买了 100g 的 cdn 流量包先试试。

[efaun]

所以啊，互联网服务分国区和非国区是有原因的

[efaun]

@statement #111 “反而国内电信运营商对待天价账单的态度是免除” —— 那是因为上电视了

[crab]

@lonelymarried 嗯，之前好像是免费 10G 吧。跑路的前提是你数据不要。

[dxatgp02]

记下记下,前车之鉴.

[cco]

首先，这种收费方式不合理。
其次，CloudFlare 我个人比较推荐。
最后，逃单的确不厚道，明知有人搞你，你还不切到 CF 上去，反而开通付费的 CDN 来防御，各占一半把~~~

[cco]

@JensenQian 去某宝买百度云加速 Pro 版，几百块而已。起始核心都是 CF 。如果域名没备案，那就 CF 就行。

[ooee2016]

@statement #100 对，尤其是云服务收费项目繁多复杂，有时候根本搞不清楚，都是过几天才能收到账单

[muzuiget]

所以我不用 GCP 了，信用卡后付费就是垃圾设计，一点安全感都没有，损失无上限。预付费才好，起码有个预期，被攻击扣完停用就罢了。

[mxT52CRuqR6o5]

@zxcslove 因为那几个大的云服务供应商处于谈判强势地位，所以选择了把风险传导给用户(那些小一些的云服务商 dg/linode/vultr 都是后付费的)，至于这么做好不好嘛，反正我不会去用

[HankAviator]

好像大厂的云服务都有支出警报，不过没刷爆到这么多。借楼问问现在都是只有警报没有强制停机吗

[mxT52CRuqR6o5]

@mxT52CRuqR6o5 说反了，大的云服务商是后付费，小云服务商是预付费，供需关系可以一定程度解释这种现象

[AoEiuV020]

我也被攻击过，大概 40 刀，发邮件谷歌给我免单了，
> 您需要了解我们只是这次基于您的信誉为您特别提供一次调整，如果相同问题再次发生，我们也无法再次提供信誉调整。

[LeeReamond]

@AoEiuV020 翻译：老铁给你免一次是看你在我这花了不少钱，仁至义尽了啊，以后再被人刷爆我直接追债追到 QM 都不认识

[Tony042]

@muzuiget 信用卡后付费也有后付费的好处，你在国外生活过就知道了...比如酒店后付费，离店直接把卡交给前台就行...有任何问题直接信用卡扣款~

[yujiang]

这么多的垃圾流量没有触发黑洞吗？？？

[surbomfla]

@Tony042 住酒店可不会一下 3w 的账单

[loryyang]

我之前怼过联通的透支功能，说我是多年的老用户，可以透支几百额度。我直接懵逼了，我万一流量爆了，以前是停了，现在我直接用到负几百，岂不是傻了

[guo4224]

光明正大不要脸？

[Lemeng]

想付钱吗？一个问题就说清楚了

[Tony042]

@surbomfla 用企业级服务还是要看清楚条款啊，虽然我也觉得 gcp 这样搞有点无耻，应该提高这个功能的准入条件的或加上相关提示的。

[shuizhuyu]

好奇你们虚拟卡都哪开的。

[Cu635]

@NeezerGu
“客服也坦言说这确实是他们的问题”。
应该说这是关键吧。

[kennylam777]

@fl2d 雲服務應該中外沒太大差別，要跑路的哪都有。

但中國國籍人士刷信用卡還有一種是跑過去讀書，然後回國前大量刷電子產品一類套現價值高的貨品，再低價賣掉換錢。

[potatowish]

良心云：DDoS 攻击或 CC 攻击造成带宽 /流量剧增时，10Gbps 以上部分予以免除。

[muzuiget]

@Tony042 不用吹外国信用卡了，你这个案例“离店直接把卡”，离店时你已经知道该交多少钱了，这不叫后付费，GCP 那种就是你根本不知道要交多少钱，相当于把卡交给别人随便刷。

[Tony042]

@muzuiget 我没有吹啊，我个人在国外生活过 5 年，真心感受到信用卡的便利，虽然有不足，但在信用社会确实是好用的

[Tony042]

@muzuiget 另外离店刷卡这个，如果室内物品有损话直接从信用卡里扣就行了，我再举个例子，信用卡租车，美国过路费一周后直接在信用卡扣款结算了，debit card 不可能这样吧~

[dameizi]

这种跑流量，后付费的本身价格都很贵，一般都是第二天出账单，正常来说你跑了一天余额就不足了，应该给你停掉的吧，还让你继续跑，申请免单或者折扣吧，需要找腾讯云阿里云代理商的可以找我，CDN 可以申请特定折扣。

[Tander]

DDoS 的话 还是 Cloudflare 吧

[mingsz]

楼主还在吗，最后咋解决的