“本銀行信用卡，手續簡單額度高，活動豐富可免年費，更有積分換大禮。明早九點，網絡在線申請，無需預約，極速辦理，最快3秒審核!“
肖禾的手機響了，他低頭一看，是銀行微信公眾號的一條新推送。
當下信用卡市場競爭日趨白熱化，很多銀行都在發行新的卡產品，為了搶奪客群，高額度、免年費、快審核、多優惠的新卡活動一波接著一波。黑產從業者們也自然盯上了這塊肥肉。
不過20出頭的肖禾，已經是信息搜集屆小有名氣的人物。信用卡欺詐產業鏈的重要環節，他都參與其中。這不，銀行推廣信息還沒來得及分享，他就被一位微信群主@了。內容很簡單：三百人，具體身份信息，要真的。肖禾略微思索了一下，回了四個字：一人六十。對方秒回：成交。
將手機揣回兜里，肖禾篤信，明早9點，他的上游黑客就能利用自動化程序軟件，將他提供的三百條個人信息批量提交到申請頁面，在短短幾分鐘內完成信用卡的在線申請。
至于如何獲取身份信息，肖禾這種“高端玩家”已經不滿足于在網上購買，除了和黑客合作，通過撞庫、洗庫的方式提煉篩選信息，他還選擇了一種更隱蔽、回報率更高的方式：以公司招工、問卷調查等名義，低價換取或騙取大量真人的詳細信息和身份證復印件，再為他們憑空造出各種收入證明、房產證明、學歷證明。因為這些身份信息確實真實，所以不必過于擔心銀行的審核，通過率更高。況且如今部分銀行“極速辦理”的理念使得審核時間非常有限，即使需要短信或語音驗證碼，自動打碼平臺也能夠輕松對付。
等成功領到信用卡，利用銀行開卡即贈刷卡金、實體大禮包等活動，肖禾和伙伴們只需要一臺電腦，就能將銀行精心策劃的信用卡推廣活動一搶而空;更別說有了這一批新信用卡之后，以卡養卡，惡意透支、薅羊毛、套現，甚至洗錢能帶來的巨額收益了。悄無聲息之中，這條黑色產業鏈上的每個人都能賺得盆滿缽滿。
反觀銀行的被動境地
然而，對于銀行的信用卡中心來說，肖禾眼中的誘人生意卻教人欲除之而后快。
由于信用卡的主要業務集中在手機App和微信公眾號上，為了提升用戶的業務體驗，很多銀行都將相關促銷活動放在H5頁面上。但很快安全管理人員就察覺到，幾乎每次H5頁面推廣，都會遭遇大量通過自動化攻擊發起的虛假信用卡申請、搶促銷與秒殺、短信轟炸等業務威脅。
從商業角度來說，這些攻擊行為擾亂了申請數據、轉化率、毛利率等商業分析指標，歪曲了業務增長的真實水平，可能會誤導后續的商業決策。從用戶體驗來說，真實用戶很難在與自動化工具的較量中勝出，總是搶不到促銷優惠的結果，就是用戶不再有繼續參與、使用的熱情，導致部分客戶的流失。而從信用卡部門本身來說，除了會大大增加銀行人工審核成本，影響正常用戶申請的處理效率，最刻骨的影響大概就是動輒百萬千萬的投入打了水漂。
雪上加霜的是，當批量信用卡申請、薅羊毛、撞庫、賬戶盜用、積分盜用這些新興交易欺詐行為不斷挑戰銀行業務系統和IT系統時，依賴特征庫、規則及閥值機制進行防護的傳統安全防御機制已經有心無力，無法提供有效防御，令信用卡部門承擔著巨大的業務風險及商譽損害。
也正因如此，肖禾和他的同伙們才能在與銀行的對決中一次次占據上風。
這一次，銀行終于打了翻身仗
第二天一早，肖禾提交完用戶信息，信心滿滿地等待著又一波分紅。然而隨著時間一分一秒地過去，肖禾卻逐漸焦躁起來。因為往常剛過9點，他就能收到群主的大額紅包——這是他們為又一次將銀行玩弄于股掌之上的慣例慶祝。但現在時針已經指過11點，微信卻仍然毫無動靜。肖禾終于沉不住氣發了一個問號，過了半天，對方才回了一條：自動化程序沒用，沒法提交申請。
其實，這一天，同時失手的還有成千上萬個類似肖禾的組織，以往屢屢得逞的攻擊者們，這次卻在銀行面前吃了閉門羹。
肖禾和其他攻擊者們可能想不到，面對黑產的海量應用攻擊，銀行信用卡中心終于選擇絕地反擊，及時調整安全防護策略，打了一個漂亮的翻身仗。究其原因，正是該信用卡中心決定與瑞數信息展開合作，采用瑞數動態應用防護系統(RAS)，對H5頁面建立全新的安全防御體系。
以新信用卡開放申請的這一天為例，在早上九點至九點半的短短半小時內，經過瑞數動態應用防護系統(RAS)的識別，78.6%的開戶申請都被認定為自動化工具提交的虛假申請，并被實時過濾和攔截。在隨后9小時的定時監測中，由于自動化工具失效，惡意流量在全站訪問總量中的占比也從78.6%急劇下降至不足1%，使得整體業務系統持續平穩運行。
瑞數讓銀行說“NO”
瑞數動態應用防護系統(RAS)旨在混淆和干擾攻擊工具對于目標系統的認知，在銀行反欺詐及風控系統識別和審核之前的業務邏輯流程之初，及業務操作的執行中就進行實時的人機識別，將風控前置，關口前移。其之所以能幫助銀行信用卡部門成功逆轉攻防態勢，主要得益于以下幾點：
1. 動態算法生成：每次會話訪問中網頁代碼參數的封裝、令牌生成等算法及檢查邏輯都不同，而且其有效時間能夠隨整體訪問量動態調整。黑客必須在極短時間內完成逆向破解才能繼續攻擊，從而大幅提升了攻擊的難度。
2. 真實環境檢查：通過對客戶端環境與操作行為的動態驗證，嚴密監察運行環境，防止惡意終端的訪問，有效識別了訪問網頁的客戶端是“人”還是“自動化工具”，從而過濾大量的自動化攻擊噪音。
3. 攻擊行為模式分析：基于人機互動的理論，通過鼠標移動軌跡、頁面停留時間等分析終端操作的行為模式，有效識別非人為的操作行為，有效防止低頻率、模擬真人的操作攻擊。
除了能夠有效阻止各種自動化工具的攻擊，幫助銀行信用卡中心避免批量申請及后續養卡、薅羊毛、套現、洗錢的風險，保障銀行的資金、用戶和整體業務外，從應用安全效益角度看，瑞數動態應用防護系統(RAS)還可以大大降低安全運維成本。無需修改應用代碼、無需進行特征庫及策略庫的升級維護工作，不僅節省了帶寬、服務器等資源，而且令銀行每年在應用安全方面的投入，包括安全評估、安全事件應急和安全運維，大幅降低。
“過去的武器，贏不了未來的戰爭“。隨著黑灰產業不斷的規模化、市場化，攻擊手段也在向自動化和工具化演進，銀行等金融機構絕不能僅僅依靠單一被動的傳統模式進行安全防護，而應當利用瑞數“動態安全”的新技術，建立一張360度全方位的動態防護網，以動制動，確保銀行信用卡及其他業務的安全運行!
京公網安備 11010502049343號