黑產觸角，防不勝防

每年雙11的前一個月，是小黑一年中最忙碌的日子，也是他賺錢最豐厚的時間段，被小黑稱為“黃金十月”。小黑是一個卡商，他希望能在卡商這個行業(yè)里能”闖出”一番天地?？ㄉ淌鞘种形沼写罅侩娫捒ǖ娜耍麄?yōu)榱吮ＷC卡隨時在線，將其養(yǎng)在“貓池”中。這些號碼可以批量注冊電商平臺賬號，可以接收驗證碼，甚至可以識別“語音驗證碼”。

在短短一個月時間內，小黑將會在自己10平米的小作坊中，持續(xù)申請數(shù)萬個賬號，一個電話號碼可以反復利用，同時注冊多個電商平臺賬號。注冊賬號的目的，就是為了去電商平臺搶優(yōu)惠券和特價貨物。

“賬號新鮮出爐后，我們就開始到各大黑產群中銷售”，小黑說。卡商手頭的貨，是產業(yè)鏈的源頭，非常搶手，在黑產群里通常是“一呼百應”。很多黑產會主動來尋求“卡商爸爸”合作。一個月的時間，小黑靠賣賬號，凈賺十幾萬。

其實，小黑只算成千上萬卡商中的中等玩家，“有大量的卡商，手握數(shù)萬，甚至數(shù)十萬的卡，他們幾乎壟斷源頭，一個雙11，就能掙數(shù)百萬”，小黑說。

卡商給電商平臺發(fā)起的雙11購物節(jié)帶來的黑產狂歡節(jié)，提供了最初的“彈藥”，而另一邊，還有人專門提供“武器”。有了賬號和密碼，如果手動登錄去搶優(yōu)惠券或搶低價促銷產品，可能搶到嗎?“根本不可能，你看哪個平臺優(yōu)惠活動，不是秒沒?”黑客小C稱，要想搶到，就需要專門的軟件。一些技術不錯的黑客，研發(fā)“搶貨軟件”，往外銷售。

現(xiàn)在專門研發(fā)出搶不同電商平臺的商品和折扣劵的工具，比如針對GG商城的，比較有名的，就是“火牛”和“秒快”。“這些軟件的操作方式，都大同小異”，小C稱，無非都是批量導入卡商的賬號和密碼，檢測優(yōu)惠活動頁面——一旦開始，瘋狂下單。

當然，電商平臺也注意到這個群體的存在，一旦發(fā)現(xiàn)異樣操作，他們就會對這些賬號和IP進行封鎖，這些賬號也就上了黑名單。而另一邊，黑產的攻擊方也在不斷迭代技術。小C注意到，今年的黑產注冊軟件，比之前的強大了很多倍。“軟件增加了很多必殺技，比如對接了打碼平臺，自動識別圖形驗證碼，搶一次，就更新一個號碼、一個地址、一個IP等等”，小C稱，這些功能，都是為了突破各家的風控規(guī)則。

未雨綢繆，主動出擊

作為中國最有名的電商網站之一，GG于2000年初成立并正式涉足電商領域，并在成立4年后在美國納斯達克證券交易所正式掛牌上市，是中國成功赴美上市的大型綜合型電商平臺之一。2018年7月，GG第三次入榜《財富》全球500強。從GG成立的那一天開始，GG飛速發(fā)展的歷史，也是通過高科技風控手段不斷與黑產斗爭抗衡的歷史。

根據(jù)相關資料顯示，2018年單一個單月，黑灰產虛假注冊主流電商平臺賬號達到 1545980個，其中虛假GG賬號約占40%;黑灰產針對主流電商平臺接口的攻擊量達到134743987次，其中爬蟲攻擊占42.62%，攻擊登陸接口(批量登錄和撞庫)占13.30%;針對主流電商平臺黑灰產工具樣本新增768種，其中輔助類工具占54%，信息采集工具占22%，搶購工具占16.7%，賬號注冊類工具占7.3%。

無論是對于一家互聯(lián)網企業(yè)還是網絡安全廠商而言，在與網絡黑產的對抗中最大的挑戰(zhàn)莫過于“威脅是在不斷變化的”。那么在面對這樣一個不斷變化的對手時，最好的對抗手段顯然不是毫不作為地等待對手的下次攻擊。但對于大多數(shù)電商平臺來說，只是在被動遭受一次又一次的攻擊之后，填補修復漏洞、更新病毒庫，以此來完善自身的防御體系，繼而應對下一次攻擊。這種“亡羊補牢”式的對抗方式已經遠遠無法適應當前日益嚴峻的威脅形勢。

安全威脅變大，對抗威脅的能力也要有所提升。一是對抗雙方都應有攻有守，而不是一方攻擊一方被動防御;二是對抗雙方在實力上不能過于懸殊，起碼勢均力敵，這就要求GG必須跟上黑客手段的升級速度。

GG也在多年的大數(shù)據(jù)積累和分析技術基礎上建立了一套自己的風控安全體系。這套安全體系的明顯特征就是能夠在源頭上主動排查規(guī)避潛在的安全風險，同時與合作伙伴共同打擊黑產。全球頂尖反欺詐AI公司DataVisor維擇科技成為了GG防范黑產、打擊黑產最得力的幫手。在DataVisor維擇科技獨創(chuàng)的基于無監(jiān)督技術引擎的反欺詐AI平臺助力下，GG的風控體系成功將AI技術應用于真實用戶甄別中，助力于提升平臺的風控體系。

在以往的反欺詐風控手段中，針對用戶注冊這個階段，GG的安全團隊已經處于業(yè)內領先水平。單從風控的角度來看，GG安全部門通過如下手段加強認證機制：第一，購買三方數(shù)據(jù)，進行聯(lián)防聯(lián)控;第二，完善四要素認證;第三，完善活體檢測，比如增加人臉識別。但注冊流程越復雜，用戶注冊和嘗試新品的意愿就越低，這必然是一個矛盾點。為了吸引客戶，選擇簡化申請流程。但簡化的流程在吸引正常用戶的同時，也會吸引黑產。

無監(jiān)督機器學習，橫空出世

為了對抗黑產，整個行業(yè)在過往大多數(shù)采取了常規(guī)性的風控手法，從最早的黑名單和規(guī)則庫。復雜的策略和規(guī)則起到了一定的作用，但仍然難以解決黑產領域不斷推陳出新的新的注冊手法和手段。在注冊過程中喬裝打扮成正常注冊用戶的黑產賬戶越來越多，對于大量群組欺詐無法做到準確檢測，對于潛伏“壞”用戶無法提前預警。雖然也采用社交網絡分析和有監(jiān)督學習來挖掘風險，但有監(jiān)督學習由于只能識別已知欺詐，滯后性比較強。而壞人的手法又變化多端，層出不窮，所以只能檢測到有限的欺詐用戶。

魔高一尺，道高一丈。這個時候，無監(jiān)督機器學習反欺詐AI技術作為傳統(tǒng)風控手段的創(chuàng)新性的突破，就起到了巨大的作用。在AI領域，無監(jiān)督機器學習的獨特優(yōu)勢在于，不用通過歷史標簽，也不需要使用專家規(guī)則，由于其是基于用戶基本信息和行為信息聚類分析判斷，可以有效識別未知欺詐和新型欺詐。

無論是日常購物還是6.18以及雙11這種大促的關鍵時刻，DataVisor維擇科技獨有的無監(jiān)督機器學習引擎賦能下的反欺詐AI平臺均可以發(fā)現(xiàn)大批賬戶注冊時所出現(xiàn)的各類“不同尋常的行為”，而這些行為往往都來自各種惡意賬戶，正是“壞”注冊用戶不法占用用戶優(yōu)惠券和秒殺促銷的黑手! 注冊是所有欺詐場景的入口，在此階段查封批量注冊、惡意注冊，在源頭阻擋后續(xù)攻擊，在最早期辨識出“壞”用戶，做到未雨綢繆，防患于未然。

2018年，GG開始將其注冊用戶數(shù)據(jù)在脫敏后，導入到DataVisor維擇科技的反欺詐平臺。原始數(shù)據(jù)只有十幾個維度特征，經過反欺詐平臺的自動衍生之后，可以獲得上百個新的特征。之后這些全方位描述賬號的特征進入到DataVisor無監(jiān)督檢測引擎，引擎通過對特征自動分析，在高維空間對所有新注冊賬號進行聚類，并自動檢測高度關聯(lián)的可疑聚類，最終輸出可疑欺詐群組。與傳統(tǒng)欺詐檢測方法往往只有一個分數(shù)不同，DataVisor無監(jiān)督檢測引擎最終輸出的是欺詐團伙，除了有分數(shù)之外，還會輸出所有相關聯(lián)的賬號以及他們之間的可疑關聯(lián)特征，也就是被檢測為欺詐團伙的理由。這種可解釋性，為客戶審核提供了有力的依據(jù)。

DataVisor維擇科技獨創(chuàng)所賦能的無監(jiān)督機器學習AI技術，通過用戶注冊行為的不同特征進行分析和判斷，可以針對GG電商各種渠道新用戶注冊，都能通過用戶注冊行為的不同特征進行分析和判斷，無死角防范，提前風控，迅速發(fā)現(xiàn)并打擊黑產分子，把每一項危險扼殺在萌芽中! 要知道，無監(jiān)督機器學習之所以厲害，就是因為它不是孤立的檢測某一單個欺詐事件或帳戶，而是可以全局檢測蓄意發(fā)起惡意攻擊的潛在欺詐團伙它檢測的不是哪種具體的欺詐行為，而是檢測所有可能會出現(xiàn)問題的有團伙聚集行為準備做某些事情的所有群體。

DataVisor維擇科技的AI工程師發(fā)現(xiàn)，雖然賬戶注冊每天都有千千萬萬，但有一個普遍的現(xiàn)象就是，壞注冊用戶都是“扎堆”做壞事，不管如何偽裝自己，但每個群組之間都會有若干關聯(lián)，被“無監(jiān)督機器學習技術”這雙火眼金睛一下子就分辨出來。

圖片：技術原理

比如，有一類是“非機器行為的大規(guī)模注冊群組。工程師們發(fā)現(xiàn)，在一個固定的時間段里，比如注冊時間為10月7日、10月8日18:00與19:00兩個時間段;在同一個地點，IP地址都在廣東如河源、揭陽，這兩個地方在專家規(guī)則里被標注為黑產高發(fā)地，手機號碼前綴都一樣，且為虛擬運營商(170)，且設備信息有大部分都有重復使用的情況，那么這一批注冊賬戶就被DataVisor維擇科技反欺詐平臺判定為“不懷好意”的壞用戶， 然而這批用戶在GG風控第一道防線檢測時成功繞過了“語音驗證”。

再比如，還有一類是“用戶名相似群組“。DataVisor在檢測出的數(shù)據(jù)中，發(fā)現(xiàn)這樣一個群組，人數(shù)總計293人。其中有以下活動特征：所有人的注冊時間都集中在12月4日0:00-1:00這一個小時，注冊來源都是快速注冊，注冊類型一致，都是手機注冊，其用戶名格式相似且異常，都是3-5位隨機字母+4位數(shù)字，還有一點，其IP地址均一致，定位于江蘇南京。對于這種用戶，因為有類似格式用戶名，由于他們的用戶名采取了變換，GG的風控體系，有監(jiān)督機器學習下，大多數(shù)是沒有辦法檢測到。但經過DataVisor無監(jiān)督機器學習檢測之后，最終被判定為壞用戶。

DataVisor維擇科技的無監(jiān)督機器學習技術，相對于有監(jiān)督機器學習技術，最厲害的一招必殺技就是可以有效識別“潛伏用戶“。在2018年6月和7月的檢測過程當中，DataVisor維擇科技的反欺詐平臺發(fā)現(xiàn)一批用戶數(shù)據(jù)是有問題的，所以標注為”壞“用戶，但根據(jù)GG自有的風控規(guī)則檢測，發(fā)現(xiàn)這批用戶沒什么問題。1個月后GG抽查，也確實沒有發(fā)現(xiàn)問題。但在3個月后再次復查，經核查用戶下訂單及其他行為，99%以上被確認為壞用戶，這類用戶的在長時間潛伏后，終于開始發(fā)起攻擊，謀取非法利益。所以，對于那些能識別復雜的注冊過程，能攻破人工語音驗證的“壞”注冊用戶，無監(jiān)督機器學習引擎下的反欺詐AI平臺都可以有效自動識別新型欺詐。

經過幾個月的親密深入合作，在GG注冊的所有用戶，在被DataVisor維擇科技反欺詐平臺檢測出的“壞”用戶數(shù)據(jù)中，正確率高達99%以上，其相對于GG自有的風控平臺發(fā)現(xiàn)的“壞“用戶數(shù)據(jù)，覆蓋增益率高達15%以上。除此之外，DataVisor維擇科技還跟GG原有的風控體系互幫互助，自動發(fā)現(xiàn)了許多GG內部模型未能及時覆蓋的新風險模式，DataVisor維擇科技也成為GG風控系統(tǒng)中最重要的合作伙伴。