資訊

精準傳達 • 有效溝通

從品牌網站建設到網絡營銷策劃,從策略到執行的一(yī)站式服務

大(dà)數據:通過設備行爲分(fēn)析降低支付風險

來源:中(zhōng)聯星空網絡科技有限公司 |

章建軍

  從2012年起,大(dà)數據的話(huà)題在中(zhōng)國互聯網以及各個行業開(kāi)始大(dà)熱,據說2013年已經被國外(wài)媒體(tǐ)稱爲“大(dà)數據元年”。除了最常規的用戶挖掘、廣告價值提升,大(dà)數據被用來制作熱門電(diàn)視劇,建設醫療機構,甚至幫助奧巴馬連任等各種神話(huà)已經層出不窮。但互聯網最最基礎的一(yī)項工(gōng)作——安全工(gōng)作,似乎一(yī)直跟這股潮流沒什麽關系。

  很多人的印象中(zhōng),互聯網安全無非就是裝個殺毒軟件,網上支付的時候最好再拿個硬件盾(U盾)心裏才能踏實點。一(yī)出問題,得出互聯網始終還是比傳統世界不安全的結論,那是必須的。我們搞互聯網安全的,有那麽沒有技術含量嗎(ma)?這裏簡單給大(dà)家介紹下(xià)網上支付控制風險的一(yī)個利器——正是現在所有人熱捧的大(dà)數據。

  傳統安全認證方式及其問題

  之前有人說“在互聯網上,沒人知(zhī)道你是一(yī)條狗”,這種“身份不确定性”對于互聯網金融服務來說,是一(yī)個永遠的風險。網絡釣魚、木馬傳播、賬号竊取等帶來的盜用和欺詐都是這種風險的直接體(tǐ)現。

  所以,就有了人們最熟悉的幾種安全認證手段:一(yī)是用戶所知(zhī)道的東西,比如密碼;二是用戶所擁有的東西,比如數字證書(shū)、硬件盾。他們的本質都是,當支付服務接收到支付請求時,爲了減低支付風險,服務端要先确認支付發起者的身份是合法的。

  但以上兩種方法都會遇到一(yī)些障礙,比如密碼容易忘記,有些人所有應用都用同一(yī)個密碼,密碼還可能存在洩露的風險。這一(yī)點,2011年底的CSDN密碼洩露事件就給了所有人一(yī)個警示。

  數字證書(shū)和硬件盾的問題在于,更換電(diàn)腦或者重裝系統之後,電(diàn)腦中(zhōng)沒有數字證書(shū),用戶就會無法支付,而硬件盾可能丢失或者損壞,發生(shēng)這種情況,用戶也會無法支付。這也是至今很多用戶都沒有選擇這些安全産品的原因。

  第三種現在廣泛使用的安全認證方式是手機檢驗碼。 用戶在電(diàn)子商(shāng)務網站、網上銀行或者第三方支付網站預留手機之後,就可以在需要進行身份确認時接收動态驗證碼。 手機有良好的攜帶性、私密性,手機短信的達到率可以達到90%以上。因此手機短信動态驗證碼被電(diàn)子銀行和第三方支付大(dà)量使用。

  在手機短信驗證碼被大(dà)量使用之後,不法分(fēn)子也開(kāi)始針對性的展開(kāi)攻勢。釣魚網站、電(diàn)話(huà)的方式騙取驗證碼甚至成爲一(yī)個黑色産業鏈,對電(diàn)子商(shāng)務環境造成很大(dà)的負面影響。

  舉個真實的案例,支付寶爲了防止不法分(fēn)子冒充工(gōng)作人員(yuán)向用戶騙取手機校驗碼,曾經在發送短信校驗碼的短信文案中(zhōng)明确寫到“淘寶或支付寶工(gōng)作人員(yuán)不會向您索取短信校驗碼”。有一(yī)次,一(yī)位用戶接到一(yī)位假客服的電(diàn)話(huà),假客服以幫她處理交易爲由向她索取校驗碼,這位用戶跟假客服說,“短信裏面說了工(gōng)作人員(yuán)不會向我索取短信校驗碼的。”假客服可能也是靈機一(yī)動,回答說,“我不是淘寶和支付寶的,我是賣家。”這位用戶就把校驗碼告訴假客服了。爲此,支付寶隻好更改了短信校驗碼的文案,明确說明“任何索取短信校驗碼的行爲均是詐騙行爲。”

  即使這樣,用戶被騙取短信校驗碼的情況還是不能絕迹。因爲這類非法騙取驗證碼的行爲很多是有組織的實施,加上受害者的防範意識比較薄弱,成功騙取的概率始終是存在的。電(diàn)子銀行和第三方支付想要很好的控制這種非法行爲,存在很大(dà)的難度。

  設備行爲分(fēn)析的優勢:你可以易容,但你的行爲特征很難改變

  爲了降低支付風險而引入了身份認證,但是身份認證過程本身也存在被攻擊的可能性。那麽,能否減少網絡行爲中(zhōng)的“身份認證”環節呢?

  答案是肯定的。不法分(fēn)子可能通過各種方式掌握你的密碼,騙取你的校驗碼,但他要完全使自己的行爲特征跟你相似,那就要難得多。就好像整容很容易,但要改變你的行爲特征卻很難一(yī)樣。能夠通過這樣的數據化、技術化的手段去(qù)控制風險,這就是互聯網做安全的優勢。

  事實上,通過對用戶支付行爲的習慣數據進行分(fēn)析來進行身份認證,可以很好的減少在支付過程中(zhōng)身份認證對用戶的打擾。

    行爲在一(yī)段時間之内形成規律,就好比某個人習慣用左手寫字。通過分(fēn)析這種行爲習慣,就可以知(zhī)道用戶的真實身份。

       用戶在網絡上的行爲都會留下(xià)“信息”,比如在什麽時間支付、購物(wù)的金額、使用什麽樣的網絡。

    在網絡上,一(yī)個人能獲取到的設備是有限的,一(yī)般是辦公室電(diàn)腦、家裏電(diàn)腦、手機等。如果在一(yī)個“可信”的設備上登錄系統,那麽當前行爲的可信度就較高。那麽設備又(yòu)是行爲分(fēn)析中(zhōng)的關鍵點。

        網絡行爲一(yī)般包含5個方面的因素:在什麽時間、使用什麽設備、賬号、登錄什麽網站、做了什麽。

  我們可以給每個設備一(yī)個“可信度”,用戶的行爲與設備進行關聯,每次用戶的行爲都可以動态的改變“可信度”。

  一(yī)次可信的、合法的行爲會增加可信度,一(yī)次不可信的、非法的行爲會減少可信度。而增加和減少的“度”,是通過一(yī)套複雜(zá)的模型,采用機器學習的方式獲得。這樣就圍繞設備形成一(yī)個閉環,“輸入-處理-輸出-反饋”。

  除了可以改變用戶直接使用的設備的可信度,甚至還可以通過“設備”與“設備”之間的關聯關系動态改變設備的可信度。比如,用戶A使用手機A,使用聲波支付給用戶B的手機B轉賬1000塊,那麽除了手機A的可信度提升,手機B的可信度也可以相應提升。 分(fēn)析設備直接的關系同樣也可以建立一(yī)套複雜(zá)的模型。

  因爲用戶網絡行爲會映射到設備的操作行爲,所以通過對設備可信度的分(fēn)析,就可以知(zhī)道行爲的風險有多高。而且這個過程中(zhōng),不需要用戶主動安裝數字證書(shū)或者硬件盾,不需要接收校驗碼,對用戶的體(tǐ)驗也會有明顯提升。

  随着移動互聯網興起,地理位置定位、加速度感應等成爲主流智能手機的标準配置。智能設備上的傳感器,就好比人的五官,不斷的采集周圍環境的信息,這就爲設備行爲的分(fēn)析提供更豐富的數據。這些智能化的設備散步在世界的每個角落,分(fēn)分(fēn)秒秒都在生(shēng)産和傳輸信息;未來的挑戰,不是用于分(fēn)析的數據不夠,而在于對如此龐大(dà)數據的儲存和分(fēn)析能力。

  通過設備行爲分(fēn)析的方式去(qù)控制風險,隻是通過大(dà)數據的方法去(qù)進行風險控制的一(yī)種。在國外(wài)paypal就沒有數字證書(shū)、硬件盾這樣的安全産品,就是靠分(fēn)析用戶與設備的行爲去(qù)控制風險。中(zhōng)國的環境下(xià),用戶對安全的要求更高,安全感也更差,之前國内領先的第三方支付公司更多還是采取安全産品、校驗碼這些用戶能夠明顯感知(zhī)到的安全認證方式。但設備行爲分(fēn)析這樣的新方式也已經開(kāi)始起步。

  還是那句話(huà),這個世界上沒有絕對意義上的安全,互聯網上也是如此。但不論是要降低風險發生(shēng)率本身,還是要提升風控過程中(zhōng)的用戶體(tǐ)驗和效率,互聯網的方式、大(dà)數據的方式都要優于傳統方式,這就是時代進步的必然。大(dà)家既要看到問題,也要看到這樣更積極的一(yī)面。

十八年 建站經驗

多一(yī)份參考,總有益處

聯系客服,免費(fèi)獲得專屬《策劃方案》及報價

咨詢相關問題或預約面談,可以通過以下(xià)方式與我們聯系

業務熱線:400-606-8008 / 大(dà)客戶專線 濟南(nán):15589999555