随着俄罗斯经济危机卢布巨贬，中俄贸易再度兴起，并与电商结合。针对俄货的骗子刚刚出现，操作水平还很低级，最大行为特征是利用微博平台操作。

骗子前期准备：事发前一星期左右，会有一批自称满洲里、绥芬河的ID联络敲诈目标，有供货的，讨论很简单，商品知识和当地情况明显不是很了解，所以这些ID基本以85年后人口自居。有大宗客户上门，但对行业状况同样不了解，明显连普通商贸都未操作过，更不必说大宗进口商品。这一阶段会有5至10个微博ID出现，个别ID经微博认证过。

骗子实体准备：一般会买敲诈目标的货物，拍照存证。考虑到下单、物流、收包的时间轴，准备工作至少有1个星期。

骗子发起主攻：由认证ID出面与敲诈目标私聊，如果私聊不能让目标退让，就适当发布评论，如果评论仍被殂击，骗子会发布主贴威胁，并力图构成舆情压力。信息基本来自新闻中报道的中俄边贸混乱现状。骗子水平限于普通消费常识，对边贸相关法规缺少了解。

骗子威胁手段：海关报关单、进出口检验检疫证明、法人执照等文件，法律不要求向普通消费者提供，因包含大量商业信息，轻易也不会向外公开。骗子利用普通消费者缺少这些法律常识，敲诈目标很难第一时间调集专业顾问的时间差和信息不平衡优势，迅速在微博上形成舆情压力。

骗子助攻：来历不明的ID以提供信息、透露背景等方式，同步私信向敲诈目标以私信方式提供大量信息，包括俄文文件、电话号码。有些明显是威胁性的，比如某某商人被搞垮了，某某货主被害了等等。

骗子收局：再次有认证ID出现，以中间人身份登场联络敲诈目标。遇强硬殂击，中间人一般说和或埋入伏笔。用语诸如“他们已经买了你的货啦”“这个东西确实不该卖啊”“我处理过这类事情啊，商家赔的很多”“这人在北京和黑龙江真的有很硬的关系啦”“3.15就要到了！”。