互聯網業務安全背後的黑灰產業鏈故事

雷鋒網(公眾號：雷鋒網)按：本文來自人人都是產品經理作者@獨孤qiu敗原創發佈，微信公眾號：duguqiubaiwp，互聯網風控產品經理，互聯網風控系統設計和策略制定經驗。

在互聯網行業做風控，首先需要學會的是：你要知道你的對手是誰、他們是怎麼做的、他們想做什麼、他們在哪做、他們什麼時候做（who，how，what，where，when），這樣才能不斷提高現有的業務風控水平，在不斷變化的業務環境中get到新業務可能存在的風險點並做好對預知風險的防範措施。所謂道魔互博，只有對對手足夠了解，才能不斷提高風險防範水平，在用户感知不到的節點為所有業務部門提供業務的支撐保護。
不以盈利為目的的黑產都不是好黑產，如下圖：


圖一：黑產鏈的獲利渠道

當然，我這裏指的僅僅是電商/信貸行業的業務風險，對於互聯網這個圈子而言，會被黑產盯上的行業太多，比如遊戲私服、網絡彩票、色情賭博等，但凡有利益的行業都會有人去幹；而企業面臨的黑產風險類型也很多，主要分為技術風險與業務風險，大體上可以如下分類，為了配合本文行文方便，對我所已知的風險做了如下分類：

表1：互聯網行業面臨的風險分類

當然這裏對風險的分類其實並不準確，但是結合我之前的工作，本文想闡述的僅僅是表格中的陰影部分。

這些風險點對於企業而言就猶如潰壩的蟻穴一般，單個風險點損失不是很大，幾千幾萬的損失而已，但是不加控制就會全節點開花。因此對於一家略微成熟的互聯網企業，所面臨的風險一定是多層次全方位的，單單隻對一個節點的控制是遠遠不能滿足業務發展的需要的。

另外，很想跟大家説的一點是，很多業務風險的黑色產業從業者基本沒有太高的技術水平，他們是整個環節的下游部分，基於網絡上形形色色的數據信息來鑽公司流程規則的漏洞。
這些對於業務風險點的風控體系設計後續可能會單獨另開一篇文章，但是作為一名立志要幹好風控的同學來説，知己知彼，知道這些業務風險的黑色產業鏈對於做好風險點的業務防控至關重要，這麼好學的寶寶真是一個勵志的boy。當然，從業這麼長時間來，通過各種途徑接觸了形形色色的黑產介入的欺詐場景，也在與同行的交流中收益良多。

黑產看似離我們很遙遠，但是其實就在黑產早已遍佈我們的身邊，離我們是如此之近。歡迎本文的主人公王小明，一個機票代理公司的小白領，要用他的經歷跟大家分享這些黑色產業鏈的故事。

一、支付盜刷

（一）盜刷端

引用王小明昨天發工資了，好開心，準備下班之後邊吃火鍋邊唱歌，突然，收到一連串消費短信：您的尾號為xxxx的xx銀行卡在XX易購消費5999元，當前餘額0.89元。正在吃着撒尿牛丸的王小明一臉懵逼，看看自己的銀行卡還在自己乾癟的錢包裏，王小明已經預感到未來一個月這頓火鍋會是他最好的一頓飯了。

這樣的案例屢見不鮮，且從有銀行卡的歷史開始就開始有盜刷。對於電商網站而言，對此也苦不堪言，因為品牌形象受損、資產損失賠付。但是王小明的卡到底是怎麼被幹掉了呢。

1.卡號、身份證信息、手機號的泄露

等等，excuse me？這個也叫泄露，難道這個不都是算是公開的了麼，銀行內部人員泄露、社工庫、定製化數據脱取、公共場合不安全刷卡方式泄密等等，是不是有人還收到送pos機給你的情況？哦，對了，還有愛佔便宜的刷卡送米送油的活動是可以的哦~


圖二：盜卡渠道
2.驗證碼竊取

一張圖，不多説，諸多技術手段老實説我也不是很了解，但是隻想説，短信驗證碼絕對不安全。


圖三：手機驗證碼泄露渠道

其實很多時候驗證碼泄露並沒有想象的那麼難，就跟我文章剛開始説的一樣，業務風險方向的很多黑產是基於最簡單的流程漏洞和人的心理，利用社會工程學很有可能就撈到驗證碼信息。

這裏舉一個曾經非常有名的利用社會工程學竊取G行網銀用户驗證碼的案例：

引用G行網銀裏的餘額轉移到貴金屬賬户裏面是不需要短信驗證碼的，黑產利用盜竊到的賬户密碼（不要問我怎麼盜取到的，有多少人一條密碼走天下？）將餘額轉到貴金屬賬户，然後偽裝G行客服給客人電話説他的賬户涉及xx操作，客人去登錄自己的G行賬户確實發現餘額變少了（賬户餘額看不到貴金屬的金額）。當時就急了呀，這時客服又適時的來電話説我幫你操作可以把餘額轉回來，需要你提供下發到你手機上的驗證碼（其實這個時候收到的驗證碼可能就是轉賬或者消費的驗證碼了），但是這個時候客户心理着急啊，哪想得到那麼多，收到驗證碼之後就給騙子報過去了。於是，貴金屬賬户裏面的餘額就真的拜拜了。

這一起案例到底有多少G行客户收到影響、金額是多少至今我沒有拿到有效數據，但是從我與G行人員的接觸來看，這批案件已經驚動到了G行總行高層，所以金額不會少。

讓我們繼續説説王小明：

引用上個月王小明家裏沒油的時候小區門口有個xxx送温暖進小區的活動，刷卡9.9送一桶油，但是活動主辦方説為了保證活動用户真實性，需要每個人帶着自己身份證登記刷卡的卡號、手機號、身份證號，王小明作為一個單純的寶寶深信不疑，並從內心表示深深的感恩xx品牌；雙11晚上，作為單身狗的王小明寂寞難耐，打開了手機某個小H網的地址排解心中的寂寥，於是，基於以上種種，王小明這個月只能吃土了。

（二）銷贓端

引用俗話説，禍兮福所倚，吃土的王小明總算不再走背運了，被盜刷的第二天，王小明的同事李小花聽聞了王小明的悲催故事，萌生出一絲憐憫之意。考慮自己已經失戀33天了，王小花決定答應了追求了自己32天的王小明，王小明終於不再是單身狗了。經過134個小時的相處，兩個人覺得需要更深層次的了解彼此，於是準備在一個夜黑風高之夜把最珍貴的交給對方。

因為這個時候的王小明已經在吃土了，300塊錢一晚的R家對於王小明來説已經非常奢侈了。這個時候一個好哥們張大飛知道了王小明的窘況，把王小明拉到一個“全國酒店機票內部低價折扣羣”，羣主知道的王曉明的需求之後，爽快的答應王小明先預定成功再付款，不得不説王小明背運終於過了，給了羣主200塊錢就收到X程的預定短信入住了高端大氣的R家酒店，在一個夜黑風高夜與李小花同學好好的了解了彼此。王小明對羣主感恩戴德。

可是王小明不知道，上次自己的卡無緣無故被盜刷也是拜這個羣主所賜。作為盜卡團伙的小嘍囉，羣主僅僅是作為整個盜刷鏈條的最下面一環進行銷贓，無論是借記卡或者貸記卡，收集完信息之後都會賣給下家的；具體能賣多少錢就要看借記卡的餘額或者貸記卡的額度了。總之，這條產業鏈已經非常成熟，每一個環節都有一撥人在做這件事，對於此，我只想説：老司機帶帶我。


圖四：盜卡/偽卡交易產業鏈

二、電商業務作弊/流程漏洞產業鏈

其實電商環節中的可作弊的點太多，刷點評、刷排名、刷銷量這些都已經老生常談，TB對這塊也構建了十分詳細的風控規則，比如用户瀏覽行為、跳轉前後頁面、收貨地址、支付流水等進行規則性監控。這裏想説另外一個也很常見的產業鏈，俗稱薅羊毛。

每次我跟別人説我的工作內容之一是“薅羊毛”的時候，人家都會説你的工作性質好可愛哦~~求我的心理陰影面積。

我們來繼續開始王小明的故事。

引用王小明與李小花恩愛到了情人節，正在吃土的王小明想要送給李小花一份禮物，但是電商網站上的東西都挺不菲的，王小明一籌莫展。這個時候，王小明的好哥們張大飛又出現了，給他指了TB這個道，so~就這樣，王小明同學又好開森~

圖五：網上大量優惠券售賣示意

至於優惠券、新手禮包被刷對於電商網站來説已經是足夠正常，至於是否該重視這件事，則看公司老闆的態度，是不是要把這些營銷費用用到最真實的客户那裏。當然，提到這條薅羊毛產業鏈，還得從一開始的源頭説起。

註冊領券端

説到註冊領券，簡直是風控圈人人憎惡的問題，比盜刷還可恨，因為這是一條合法的黑色產業，不出事還好，出事了只能怨自己風控措施做的不嚴，不過這樣的也能帶來虛假的繁榮。

一套成熟的黑產肯定都會有貓池插大量的銀行卡，刷單稍微低級點的黑產團伙擁有幾千上萬張卡，再比如就是：


圖六：黑產團伙擁有大量黑卡

當我看到700萬張卡被打擊的時候，我的內心是拔涼拔涼的，警方你要是都打擊完了我是不是以後也要失業了？

當然，高級點的黑產團伙才不會用這些，人家用的都是真實手機號，還會交月租的喲，20塊錢的月租薅羊毛收入綽綽有餘，電話撥過去人家還會跟你周旋喲~

哦，對了，肯定會有人會問關於驗證碼的問題，在這隻能説連12306都不是事，還有什麼~

至於該如何防範，以前我們使用過國內某第三方公司x安的號碼識別服務，從對空號等的識別效果來看還是能夠應用在生產業務當中的。


圖七：驗證碼打碼網站

銷贓端

至於銷贓端，不多説渠道太多，小打小鬧的賣給個人那就算了，其實對於電商企業而言，最怕的就是黑產聯合供應商刷單套利，而面對這種套利行為對於電商企業而言最大的問題是該如何給其定性，因為無論怎麼樣稍有用心的供應商都會讓這條證據鏈無從查起。


圖八：可刷的網站優惠券信息共享羣

引用我們的主人公王小明同學在一家機票代理公司工作，所謂機票代理公司就是幫別人下機票訂單的。王小明同學是一名普通的操作員，公司老闆每天都會給王小明1000個新註冊的x哪兒 x程的賬號，每個賬號裏面都有好幾十的機票優惠券，王小明每天都使用這些優惠券給客人下單。他一直很好奇老闆從哪裏搞來的這麼多賬號，直到他把心中的疑問跟張大飛説了。張大飛深諳此道，告訴了王小明同學其中端倪。王小明同學心中一陣竊喜，回去準備幹一番自己的大事業，當然王小明不準備幹機票了，王小明跟張大飛合夥開了一家酒店，採用同樣的方法，事業蒸蒸日上，跟李小花的日子也過的風生水起。

當然，這些黃牛號可不單單只是用來享受優惠券，還可以用來參加網站的抽獎活動、刷點評、電商的秒殺活動等，用處大着呢。

三、供應商商户端賬户泄露/虛假供應商

商户端信息泄露

引用王小明的酒店在各大OTA上面都掛牌了，除了使用虛假賬號代客下單把前台轉化的客人在OTA下單套取紅包補貼之外，作為一名上進青年王小明還是很希望自己的酒店在OTA上能夠有一番作為的，至少希望可以把自己的酒店可以在商圈搜索的時候暴露在首頁。

這個時候，張大飛又介紹了一個哥們給王小明説可以幫忙刷銷量，但是呢需要王小明提供各大OTA的商户端賬號密碼。確實，在接下來的一個月裏酒店銷量風生水起，但是到結算佣金的時候，王小明一臉懵逼，產生了大量的現付結算佣金，但是這些間夜在自己酒店從來沒有住過。突然想到那個刷單的哥們，結果發現失去聯繫，現付訂單裏的返現也全部被套空。

現在帶有O2O性質的企業都有自己的商户端，而對於商户而言對密碼的重視程度不高，因此會有很多黑產團伙利用諸多手段套取商户手裏的密碼。當然如何獲取到的途徑是有多方面的，可能採用一些技術手段，但是就如我前文提的那樣，絕大多數的黑產團伙都是採用比較低級的手段，比如會有專人去酒店應聘前台服務人員。所以，很多黑產業務都是非常低技術門檻的，就跟前文説的一樣鑽的就是整個公司的流程管理漏洞。
虛假供應商

引用王小明不甘心，一定要發誓把在OTA上損失的錢給追回來。我們的王小明同學是很機智的。結合到自己被騙的場景以及發現在某個OTA上的酒店上線門檻很低，王小明偷偷的使用諸多虛假證件做了一家虛假酒店提交給OTA申請掛牌，很快就被通知掛牌通過，該酒店訂單目前能夠享受約8%的現付訂單返現。

王小明同學不甘示弱，每天都要在這家虛假酒店上下數十萬的訂單套取幾千元的補貼，等到要結算佣金的時候，關機再也找不到人，王小明同學一陣開心。可是不巧的是，該OTA的風控部門事後分析能力還是挺強的，通過諸多路徑還是找到了王小明同學作案的事實。

對於供應商的審核也是很多O2O和電商行業的漏洞，一個虛假供應商能做的事情很多，除了套用平台發放的優惠券之外，還有一個非常重要的套現的作用，我們以王小明的視角來繼續開始我們的故事。

四、電商信貸欺詐

信用額度套現

引用王小明的酒店投入了大量的資金，現在手頭開始吃緊了，幾張信用卡已經被刷爆了，現在手頭已經開始急需用現金了，王小明一籌莫展。

緊急時候，一定要推薦這位張大飛同學，張大飛給王小明一個QQ號，QQ簽名是螞蟻花唄、蘇寧任性付、京東白條套現。在這個QQ主人的教導下，王小明順利開通了這三個網站的信用額度，並且順利的從這三個網站購物套現了2萬元，只是王小明需要付出10-20%的套現手續費。

圖九：信用額度套現廣告

對於有信用支付的電商網站而言，這種類型的信用套現危害暫時體現不出來，可能過了幾個月的時候開始出現壞賬，美團點評曾經緊急關停過花唄支付渠道。
而在短期KPI考核的壓力下，電商公司會很歡迎這些套現的行為，因為這會提升信用產品的用户使用頻率。但是不置可否，這些需要套現的用户其還款能力是很值得質疑的。而一家店鋪使用大量的信用支付，對這家店的真實性也應該表示質疑。所以這就是剛剛説的一家虛假供應商能夠做很多事情。

對於電商行業，我想他們的風控體系大概都對每家店鋪的信用交易情況進行了監控，我相信黑市上這麼多套現渠道肯定是基於大量的虛假電商店鋪；另外，作為心機biao的風控er去埋伏套現羣也是精確打擊虛假店鋪的的有效方法之一。

身份冒用欺詐

引用王小明跟李小花要去買房了，好不容易看上一套三室一廳90平，等到去辦房貸的時候徵信報告打出來一臉懵逼，為什麼會有信貸逾期壞賬記錄？王小明去人行諮詢獲得自己逾期信息來源於一家上報徵信記錄的消費金融公司，再去跟消費金融掰扯終於搞清了自己有過一筆網上信用貸款，王小明打死不認，但是各種信息都是他的身份認證信息，王小明二臉懵逼。在各種掰扯之下，消金公司終於答應王小明從PBOC裏面撤銷逾期記錄。

圖十：身份證信息泄露渠道

目前形形色色的電商公司都有自己的消費金融公司，也有很多需要上報人行徵信，在網上申請額度的過程也特別簡單，因此欺詐風險成為網上信貸機構不可估量的損失，對於網貸來説欺詐風險遠遠大於常見的信用風險。

而為了用户體驗，申請額度所需要的材料其實非常簡單，因此網上有諸多利用很多虛假材料來獲得信用額度並用來購物、提現的案例，具體過程與操作手法暫不詳表，只能説，這是一條基本沒辦法抓到的暴利的黑色產業鏈。

總結
限於篇幅以及一些黑產操作流程，所以很多細節沒有闡述特別清晰。另外，業務環節的風險遠遠比這篇文章裏面的東西要多，而且各家互聯網公司隨着自身業務的多樣性和特異性，會衍生出新的風險，所以公司與公司之間的風控體系在業務層面還是有較大的差異。

而對於互聯網行業來説，對於這種高頻次的用户非面對面的行為，面臨黑產的肆虐是不可避免的，這也是攻防不斷提升的過程，需要在業務運營過程中不斷預知風險、發現風險、提高風險門檻，所以説風控體系的形成也是隨着業務量的提升、風險事件的案例來不斷優化完善的。

黑灰產的利潤很誘人，但是這條產業鏈畢竟是遊走在法律邊緣，在過去的工作中，也參與了數起案件協同網警、刑警抓獲在公司運營中的黑灰產犯罪團伙並得到了有期徒刑的法律制裁。因此，君子愛財取之有道，各位珍重。

【本文部分圖片來源與業內相關同學分享，已獲得版權所有者允許】本文未經許可，禁止轉載。

雷鋒網原創文章，未經授權禁止轉載。詳情見轉載須知。



資料來源：雷鋒網
作者/編輯：人人都是產品經理