作者：中国工商银行金融科技研究院安全攻防实验室
一、序言
随着新一轮金融科技的快速发展和广泛应用，银行业迈入开放银行的4.0时代，金融生态和格局正在进行重塑，为服务实体经济、发展普惠金融奠定了坚实的基础。在银行业务快速发展和逐步开放的同时，外部威胁也悄然发生变化。
中国工商银行金融科技研究院安全攻防实验室（以下简称“攻防实验室”），作为国内银行业首家体系化黑产研究机构，多年来持续跟踪关注黑色产业发展动向，多次向业界发布黑产的发展趋势与防护思路。随着2020年的完结，年度网络金融黑产研究报告如约而至，攻防实验室继续从银行安全从业者的角度，为大家带来一年来黑产的新趋势与新变化，希望能够为同业带来黑产防护的新思路。
二、2020金融黑产发展
2020年疫情给全国带来了前所未有的挑战，全国上下众志成城，在疫情攻坚战中取得了举世瞩目的成绩。在全国上下同心抗疫之时，互联网金融黑产形势依然更加趋于严峻。一方面，传统欺诈手法依旧多发，黑产云、杀猪盘等欺诈手法持续出现，另一方面，以疫情为背景的新型欺诈悄然兴起，个人身份窃取威胁不断增长，针对生物识别的攻击手法花样频出，互联网金融的黑产防护出现了新的变化与挑战。年内，公安机关开展的“净网”、“断卡”等一系列专项行动，对黑产进行了有效遏制。以下对年内出现的疫情等新型网络金融黑产欺诈手法进行了分析梳理，总结了五类典型的黑产发展趋势：
TOP 01
以新冠之名，借疫牟利
疫情作为近年来最大的黑天鹅事件，对全球产生了不可逆的影响。在此期间，黑产并未收敛，甚至以疫情为名进行欺诈，各类防疫物资和疫苗都被包装成为作案话术，而疫情中需求快速增长的视频会议软件也变成了黑产欺诈的手段和渠道。
视频会议软件被利用，黑产欺诈无孔不入
疫情期间，为满足线上办公需求，各类即时通讯软件纷纷推出了视频会议、远程协同控制功能。视频会议软件打破了距离的限制，实现了无间的沟通，但也为不法分子提供了新的诈骗渠道。不法分子以网购退款、护照异常为借口，引导用户在手机上下载视频会议软件，再以远程指导为名义要求用户打开屏幕共享功能，实现远程窃取各类密码、短信验证码，完成资金盗取。整个诈骗流程中，用户均在自己手机上进行操作，使得用户警惕性降低，诈骗成功率大大增加。
屏幕共享窃取短信
仿冒疫苗预约，黑产作恶无底线
随着国内新冠疫苗上市，新冠疫苗接种成为了社会关注的焦点话题，黑色产业链中的不法分子也开始蠢蠢欲动。在疫情防护进入关键时期之际，部分黑产为了一己之利，以接种疫苗为名，冒充“疾控中心”发送钓鱼网址，套取用户敏感信息实施资金窃取，此类行为不仅威胁了个人资金安全，更干扰了疫情防控工作，造成了不良社会影响。
疫苗诈骗短信
TOP 02
场景订制，合作方业务下的指向
性欺诈成新趋势
黑产中欺诈手法由传统的“广撒网”转向“精聚焦”，从无差别欺诈转向了定制场景欺诈，针对电商购物、ETC等银行合作方业务专门设计欺诈手法，并选定与业务相关的用户进行作案。由于场景定制性强、指向性高，使得一般用户难辨真伪。
ETC成新型欺诈场景
随着ETC业务在全国的大力推广，ETC已经成为陆上交通重要的一环，国内ETC用户数量也在一年之内呈几何数量增长。今年4月起，攻防实验室检测到了较多以ETC为欺诈话术的钓鱼网站，高峰时期单日新增ETC主题钓鱼站点在50个以上。此类钓鱼以ETC银行卡认证到期或失效为名，批量向车主发送钓鱼短信和链接，骗取用户输入卡密等敏感信息，由于ETC一般与银行密切相关，所以此类欺诈场景中，用户对于输入卡密、网银密码等内容缺少警惕性，导致基于ETC场景的网络诈骗成功率较高。
ETC钓鱼页面
2020年，黑产各类欺诈中的新型欺诈话术占比显著增多，攻防实验室今年跟踪分析的事件中，指向性欺诈占比明显提升，超过40%的欺诈针对被欺诈角色进行了量身定制。除ETC钓鱼外，还有诸如企业信息维护、B2C购物等，此类场景往往基于信息泄漏，针对受害人的不同身份发送欺诈话术，相比于“公检法”、“返话费”等通用欺诈话术，在隐蔽性上有了“质”的提升，使得欺诈更易成功。
TOP 03
所见非所付，第四代“暗雷”
欺诈粉墨登场
“所见即所付”是支付环节的一个基本共识，是指页面上展示的信息与用户实际支付内容相一致，这也是安全人员在进行防护设计过程中极为看重的一点。但是，在网络支付多年发展历程中，曾多次出现 “所见非所付”的欺诈手法，被称为“暗雷”攻击。今年，我们检测到一种全新的暗雷欺诈手法，通过技术手段成功实现“上瞒风控，下骗用户”。
付1元扣1000，订单暗藏陷阱
1元钱的会员费变成了上千元的转账消费，这种新型的欺诈手法在黑产界被称为暗雷。此类攻击手法中，黑客通过伪造低价抢购、游戏币充值、色情直播等场景诱导用户安装带有暗雷代码的APP，引导用户在APP内支付“会员费”，暗雷代码对支付平台显示的金额进行篡改，使得用户在支付时出现“界面显示付1元，实际扣款1000元”的情况。
支付意图确认一直是网络支付流程中最重要的环境，从早期的反欺诈接口，到屏幕显示的二代u盾，安全人员与黑产历经数次博弈，已将PC端暗雷风险有效控制。今年，黑产将暗雷攻击发展到了第四代，首次将此类手法转向移动端。
4代暗雷发展历程图
目前各银行、支付机构都在推广自己的移动支付功能，由于不同厂商的支付原理相近，所以各支付机构都易受到此类欺诈的影响。此外，由于新型暗雷欺诈在用户真实设备环境、真实IP下发起，上端风控也很难对此类行为进行识别，为移动支付风险防控带来了新的挑战。
TOP 04
手机成为“虚拟人”，数字身份窃
取成新威胁
如何证明“你是你”应该是业务办理中最基础的问题之一，数字时代中，身份证明出现了更多的方式。手机作为最主要的互联网接入方式，充当了几乎全部网络身份认证的媒介。通过对人们社会属性的全方位绑定和映射，手机承担了证明“你是你”的职责，并逐渐具备了“虚拟人”的属性。一旦“虚拟人”的安全不保，数字时代的身份证明也将面临全新挑战。
从丢手机到盗刷卡，黑产线上线下联动
今年，微信公众号一篇名为“手机失窃揭露的黑色产业链”的文章引起了社会广泛关注，揭示了线上线下相结合的银行卡盗刷犯罪链条。受害人作为一名网络安全从业者，在手机失窃后的十几个小时中，与不法分子斗智斗勇，仍被盗用身份和窃取资金。案件中，不法分子在偷取手机后，利用机主手机卡，进行电信服务密码重置，掌握了对手机卡的主动控制权，随后以短信校验的方式登录了某公用业务类App，由此获取了机主的身份证号、银行卡号等关键个人信息；通过这些关键信息及校验短信，同时在多家主流支付平台开立新账户，绑定机主的银行卡进行消费，并在某消费平台申请贷款，造成机主经济损失。
受害者描述案件流程图
“我非我”，设备指纹效果出现新挑战
“我非我”一直是黑产从业者的一大目标，通过篡改设备特征，从而隐藏设备背后的真实身份，实现各类薅羊毛、刷单甚至是资金窃取。设备指纹作为手机虚拟人 “防伪”的核心技术，一直是针对此类行为的主要防护手段，也是业务安全人员和黑产博弈的重要战场。但随着个人隐私的重视以及设备指纹对抗技术的发展，使得设备指纹的有效性越来越难以保证。一方面，全世界对APP个人隐私合规检查的要求逐步升级，导致APP可申请的权限和采集的信息都在减少，大量风控的基础参数出于隐私考虑已经无法再继续收集；另一方面，新兴的基于ROM修改、APP插桩的设备指纹造假技术，实现了系统层的设备指纹伪造，使黑产不法分子更加容易隐藏身份。
TOP 05
黑产阻击，生物识别面临全新
挑战
随着人工智能的进步与发展，大量基于人工智能的安全技术被引入业务安全及网络安全防护之中，尤其是基于机器学习、深度学习的生物识别技术，高大上的技术原理似乎能够成为黑产防护的银弹，可是新技术的引入往往造成灯下黑，看似无懈可击的安全防护手段也存在被突破的可能性。
破解工具大量涌现，生物识别或将“滑铁卢”
去年的黑产报告中我们揭示了生物识别攻击的可行性，多数生物识别破解技术当时仍停留在理论研究阶段，对此，我们对攻击趋势进行了预警并探讨了防范思路。今年，这些我们曾经在理论层面探讨的潜在风险和脆弱点已出现了被黑客利用作案的迹象，正式揭开了生物识别技术的脆弱面。从技术角度看，针对人脸识别的攻击主要可以分为转录补光流、劫持篡改流、AI合成流三个攻击流派；声纹识别的攻击方法主要分为声纹重放攻击、声纹拼接攻击、声纹生成攻击，层出不穷的攻击手法，逐渐抵消了生物识别新技术带来的安全红利。
生物识别攻击技术分类
数据遭“投毒”，生物识别模型被灌“迷魂汤”
今年攻防实验室对新型生物识别攻击技术进行了持续跟踪，一种新型的攻击理论及手法进入了我们的视野，值得引起业界重视和深入研究。浙江大学、马里兰大学等多个中外专业团队研究了新型“数据投毒”攻击技术，通过在训练数据集里加入恶意样本，实现对模型判断的干扰。在智能客服、联想搜索等场景中，已被证实可通过“数据投毒”造成模型失效。在生物识别领域，考虑到用户易用性，许多模型具有“自学习”能力，基于用户反馈数据对模型进行动态调整和优化。一旦黑产从业者通过“数据投毒”构造恶意数据进行输入，就能达到操纵、破坏和毒害生物识别模型的目的。
数据投毒示例
三、2020金融黑产防护思路
2020年，黑产技术水平不断提升，给网络金融安全带来了全新的挑战，传统的安全防护模式已经很难确保企业和用户免受不法分子的欺诈，需要广大网络金融从业人员从新角度、新方向积极探索安全防护的思路。
今年，安全攻防实验室从身份认证安全基线、跨行业反欺诈联邦学习、黑产攻击异常检测等方面研究探讨了防范之道，希望能够抛砖引玉，进一步拓展银行业的安全防护思路。
手段一
身份认证安全基线探索
今年，生物识别作为无接触人身核验技术被广泛使用，人脸识别、声纹识别、指纹识别等认证技术种类繁多，带来业务设计的问题与矛盾也不断凸显：人脸是否比密码更安全？声纹能不能代替短信？指纹和u盾谁更适合大额支付？……业务认证的易用性与安全性始终是摆在设计人员面前的矛盾体，便捷性高的往往容易被突破，安全性高的则会给用户带来不便体验。因此，需要研究建立一套大家共同认可的业务安全防护基线，通过对业务风险与安全控制手段的量化，来寻找业务设计的最优解，确保对业务风险“看得到”、“防得住”。
身份认证组合安全等级
手段二
跨行业反欺诈势在必行
联邦学习应运而生
黑产各类欺诈手段越发隐蔽，单次欺诈行为贯穿社交媒体、金融机构等多个环节，仅依靠单方面数据无法对ETC欺诈等跨行业欺诈进行精准防控，跨行业反欺诈数据价值共享成为必经之路，在多种模型安全共建技术中，联邦学习技术是今年业界探讨最多的话题之一。攻防实验室联合头部互联网社交企业，首次使用真实数据进行联邦学习建模实验，围绕账户、登录、交易、余额、活跃周期、社交绑定等维度建立特征工程建模研究。研究结果显示，联邦学习准确率较传统建模提升5.9%，召回率提升5.5%；其中，Top15的特征中社交特征占比达到3成，为模型判别决策提供了更多特征维度，充分展现了通过联邦学习引入跨行业数据特征的有效性。后续安全攻防实验室将持续与同业、互联网企业、运营商、学术机构等第三方机构合作开展原型探讨和落地，挖掘并践行联邦学习技术在金融同业、社交金融和消费金融等反欺诈场景中的应用。
联邦学习反欺诈场景效果图
手段三
持续深化设备指纹使用
随着黑产对抗的加剧，设备指纹技术面临着采集点减少、可信度降低等多重挑战，设备认证领域逐渐呈现“道高一尺，魔高一丈”的情形，传统的设备识别手段已无法满足当前黑产的对抗需求，一方面，需跟踪研究隐蔽性和对抗性更强的新兴指纹技术，如DNS指纹、AudioContext指纹、加速度校准误差指纹等。
DNS设备指纹思路
另一方面，需要从物理层、协议层，应用层及交互层四个维度全局统筹设备指纹特点，进一步优化基于多维度特征的最大熵、聚类算法。
设备指纹总体方案
手段四
优化APP纵深安全防护
随着手机“虚拟人”的身份提升到了新的高度，如何保护APP数据的安全运行成为了黑产防护的重要一环，从早期的手势密码组件、到人脸识别活检，越来越多的业务和安全功能依赖于代码的安全性实现，因此加固技术的重要性也愈加凸显。APP加固技术主要经历了4代发展，从最初的动态加载，到函数粒度的抽取保护，再到指令层面的VMP，保护等级也从JAVA深入到指令层。但加固技术并非越强越好，在提升安全性的同时，往往会影响性能与兼容性，如代码加密可能影响APP启动速度， VMP可能影响APP的执行效率，所以实际加固防护需要针对APP的安全防护需求进行定制化分析，针对不同安全等级，建立加固的纵深防御策略。
APP纵深加固部署策略
手段五
应用异常检测发现黑产威胁
由于信用卡欺诈、恶意刷单、薅羊毛等网络黑产行为与正常用户行为存在差异,因此异常检测技术是识别黑产恶意行为的一把利刃。传统异常检测技术主要包括基于距离或密度的异常检测、基于统计分布的异常检测、基于树的异常检测和基于神经网络的异常检测等。不同模型间各有优劣，如何集众模型之所长，选择适合的模型来提高检测精度逐渐成为业界关注的热点。对此,学术界提出了一种新的模型集成思路，将模型选择问题转换为冷启动下的推荐问题。通过矩阵分解技术对数据和模型进行特征表示，基于回归算法拟合待测数据，集成推荐多个检测模型的结果进行判断，有效提升了模型精度与稳定性。面对技术快速更新、作案手段多变的黑产攻击，异常检测技术发展依然任重道远，未来需要业界一起，进一步探索大数据场景下快速迭代、灵活部署的大规模异常检测思路。
异常检测模型集成（引自论文《Automating Outlier Detection via Meta-Learning》）
四、结束语
今年，伴随着疫情对全社会的影响，金融行业面对的挑战也在逐步加大，技术方面，随着ABCDI的快速发展，越来越多新型攻击走到聚光灯下，黑产攻防技术的对抗周期不断缩短；手法方面，新型精细化、定制化的攻击思路使得传统大一统的防护效果愈发有限，如何快速响应新型攻击、实现“千人千面”的安全防护，成为当前业界共同探讨、思考的方向。总体来看，金融行业黑产防护，仍将面临巨大挑战与压力。后续安全攻防实验室将继续做好前沿技术的研究与落地实践，与同业机构携手，增进沟通合作与经验分享，共同加固抵御网络黑产的安全长城。
声明：本文来自FCC30+，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
