作者：周白｜OC 商业编辑

据 TechCrunch 转述 Bloomberg 调查，购物初创公司 Phia 被指通过浏览器扩展在结账过程中覆盖其他推广者的归因代码，从而可能获得并非由它带来的销售佣金。联盟营销平台 Impact.com 随后暂停了 Phia；Phia 表示已经完成必要修改，Bloomberg 复查时相关行为不再出现。

一句话结论：所谓 cookie stuffing，不是偷走用户银行卡里的钱，而是偷偷改写“这位顾客是谁带来的”，让最后出现的扩展拿走本应属于媒体、创作者或自然流量的佣金。

联盟营销的基本逻辑并不复杂。用户点击媒体或博主提供的商品链接，浏览器保存一个推广标识；如果之后完成购买，商家就向推广者支付佣金。很多系统使用 last-click attribution，也就是最后一次有效推荐获得全部或大部分归因。

问题在于浏览器扩展离结账页面太近。调查称，即使用户自己进入商店，或者先点击 Wirecutter 等其他推广链接，Phia 也可能在后台打开新标签页并写入自己的追踪代码。这样商家看到的最后推荐者就变成 Phia，尽管它没有促成这次访问，甚至没有替用户找到优惠。

用户没多付钱，为什么仍然有问题

表面看，商品价格没有变化，损失发生在商家营销预算内部。但长期结果会落到用户身上：认真测评商品、制作内容并带来消费者的媒体拿不到佣金；只在最后一秒改 cookie 的工具却被数据系统判定为“转化能力强”。商家随后会把更多预算投向后者，优质推荐内容反而更难生存。

这也是 PayPal 旗下 Honey 面临诉讼的核心争议。相关案件仍在进行，法院近期拒绝驳回修改后的部分主张，并不等于 Honey 已经败诉。Phia 的情况同样尚无司法结论，目前能够确认的只有调查提出的指控、平台暂停扩展，以及公司随后进行的修复。

浏览器扩展的权限值得重新审视。一个帮你比较价格的工具，通常可以读取购物网页、观察跳转并修改页面。功能需要这些权限，归因劫持也需要同样的权限。用户很难从安装弹窗判断扩展到底做了哪一种。

关键事实

• Phia 被指在后台打开页面并覆盖联盟推广标识，相关行为据称已修复。
• Impact.com 暂停 Phia，但公开报道没有给出最终处理结论。
• Cookie stuffing 利用联盟营销归因，不等同于窃取支付账户。
• Honey 相关集体诉讼仍在推进，指控尚未构成最终判决。

OC 判断

这类产品真正出售的不是优惠，而是它位于购买决策最后一米的位置。浏览器扩展如果既影响推荐又从成交抽佣，就必须公开什么时候写入归因、是否覆盖别人，以及它究竟为交易增加了什么价值。否则“帮用户省钱”很容易变成抢最后一次点击。

为什么重要

• 开发者：扩展权限、后台标签页和归因写入应可审计，并向用户清楚披露。
• 企业：不能只看联盟渠道带来的订单数，还要测量增量销售和异常覆盖率。
• 用户：定期清理不需要的购物扩展，结账前留意它们是否自动弹出或打开页面。

参考来源

• TechCrunch：Phia accused of cookie stuffing
• 美国司法部：Cookie stuffing internet fraud case
• 法院文件：In re PayPal Honey Browser Extension Litigation
• Impact：How an affiliate partnership program works