今天在微信公众号上无意间看到了一篇文章《黑客为什么不攻击支付宝?》,觉得写得很不错,这里和大家分享下。
文章转载自公众号:浅黑科技
第一道:登录密码;
第二道:支付密码;
第三道:AlphaRisk 风险控制系统。
这个很简单。你登录支付宝的时候,要输入登录密码,证明你是你。
你可能会杠说,不对啊,我每次在手机上登录支付宝,不用输入密码,直接就打开了啊!没错,那是因为你经常登录,并且没有换手机。这种情况下,你账户有风险的概率很低。支付宝没有必要每次都打扰你,让你输密码。
这里,我们学到了今天最重要的一个概念:打扰率。
一个 App,每要求你做一件事,比如输入密码,比如让你接收一个短信验证码,这都算一次打扰。而在用户体验中,打扰是要扣分的。所以,通过频繁打扰用户的方式来保证你的“绝对安全”,并不是个好办法。
如果你在一部手机里很久都没有登录支付宝,那是需要重新输入密码的。如果你换了一部新手机登录支付宝,那么不仅要输入密码,还要二次校验(短信验证码或者回答安全问题)。
所以,黑客单单偷到了你的支付宝登录密码,是无法直接登录你的支付宝的。那他们是怎么做的呢?中哥可以告诉你几种可能性:
1)你的身份信息泄露严重。
刚才我说到,支付宝密码是可以被重置的,需要提供身份证、银行卡等一系列信息。如果这些信息隐私信息都被黑产掌握了,那么从某种程度上说,他就是你了。没办法,你的密码也会被重置,他可以登录。
2)你的手机丢了。
你的手机丢了的意思是——你的手机不仅丢了,并且没有设置开屏密码或指纹解锁。否则坏人解不开你的手机,就跟没丢一样。
反正黑客只要进入你的手机主屏,接下来就有两种情况:
你在几天内用过支付宝,那么,黑客不用输入密码,就像你本人使用一样,能直接登陆。
你最近没有登录支付宝,那么支付宝会要求你输入密码,此时黑客可以选择重置密码,选择手机接收验证码,也是可以重置密码成功登录的。
此乃第一关。
如果坏人破解了你的登录密码,那么接下来他想把钱转走,就要遇到“支付密码”这道关口。
你记得不,支付宝会要求你的支付密码和登录密码不同,目的就是为了防止坏人破解了你的登录密码,直接就能攻破你的支付密码。
这里有个小细节:支付宝最近几年会鼓励你用指纹代替支付密码。当然,用户也可以手动选择切换——这次支付不用指纹,就用密码。这关实际上挡不住黑客,但是你要记住这个细节,一会儿有用。
接下来我们继续说黑客怎么攻破你的支付密码:
1)用你之前泄露的其他登录密码尝试。
一般人不会把支付宝支付密码和其他应用的登录密码设置为一个,这种方法成功率从实战数据中看比较低。
2)重置你的支付密码。
重置你的密码,需要你的个人信息,或者需要你的手机。如果黑客已经掌握了这些,那么他很可能重置支付密码成功。
你一定以为:黑客破了我的支付密码,钱就会被转走了噜。
错!图样图森破!黑客的噩梦才刚刚开始。
马上就会进入第三步骤:AlphaRisk。
前面两步,黑客的所有操作,其实 AlphaRisk 都在默默看着,只是它没说话而已。
当前两个密码都输入正确后,AlphaRisk 会作为最后一道门神,像尉迟恭和秦叔宝一样,决定放不放走这个钱。
那么,AlphaRisk 判断的依据是什么呢?
举个栗子:一个老警察靠在公交车站,他如何发现一个正在挤上车的小伙是个贼呢?他会通过几个维度:眼神、举止、穿着、和前人之间的距离、是否遮挡手上的行为等等等等。有经验的警察不用等到“偷钱”那个动作发生,就已经能准确判断谁是小偷。
同样,AlphaRisk 也像一个老警察,它也会从一些维度来观察一笔交易。比如:设备、环境、偏好、行为、关系、账户、身份、交易,等等。
如果其中所有维度任何一个或者多个有异常,都会引起 AlphaRisk 的警觉,直接强制操作者进行人脸活体验证,手机验证码,或者干脆就截断交易。
不知你感受到了没。日常你用支付宝转账给别人,你觉得非常自由,支付宝从来不添乱,恰恰是因为 AlphaRisk 对每一笔交易都做了极其细致的评估之后,觉得没问题才不拦着的。
你可能会问,为神马 AlphaRisk 等到那么惊险的最后一步才起作用呢?早点出来这个“哔——”就装得不够到位吗?
这个地方又涉及到刚才的概念——打扰率,如果支付宝在输入交易密码之前就用 AlphaRisk 跳出一堆人脸验证手机验证码,那就会让你觉得很烦。作为一个有尊严的 App,支付宝把安全性最强的 AlphaRisk 放到最后一步,就是为了最少的打扰。
下面说 AlphaRisk 的工作细节。
以《制造将来》里面的操作举例。攻击第三个手机的时候,黑客已经拿到了登录密码和交易密码,并且是照着身份证的照片把身份证号一次输入正确的,为神马 AlphaRisk 会认为这个交易有风险呢?
用大家都能理解的话说,大概是酱:
首先,支付宝是在陌生的手机上登陆的;
其次,支付宝的登录密码是刚刚被重置过的;
再次,支付宝的支付密码也刚刚被重置过;
还有,转出账户和被转入账户之间没有任何人际关联;
还有,转出账户所在城市和被转入账户所在城市,本身就很少存在转账行为;
等等等等。
其实,还有很多不正常的维度可供 AlphaRisk 参考。
比如刚才我故意卖了关子的一个细节:操作者本来习惯用指纹支付,突然今天强制改成了密码支付。这一个蛛丝马迹,起码说明事出有因,足够让 AlphaRisk 关注到这次交易的风险。
啊,说了这么多,终于大概解释清楚了支付宝风控的三道关。
有一个问题其实很值得一说。
宽泛来说,支付宝账户受损失,有两种情况:1、账户被盗;2、你被诈骗之后主动转钱给别人。
当然,你的账户被盗,支付宝会赔钱给你。但如果你被骗,用支付宝主动转钱给骗子,就没办法找支付宝赔钱了。毕竟,被骗不能赖钱包。
但是雄文告诉我,作为一个有追求的钱包,这两年支付宝恰恰在“识别诈骗”方面苦练技巧。
这种对诈骗的识别能力,同样在 AlphaRisk 身上。
骗子骗人,一般都是直接打电话,或者在微信上骗,那些过程支付宝肯定不知道。它只能看到一个账户给另一个账户转了钱。。。通过这么少的信息,它怎么能判断你是不是被骗了呢??
雄文给我讲了一个真实的例子。
一个妈妈,她的孩子在外地打工,做快递小哥。突然有一天,她接到了一个陌生电话,告诉她儿子出了车祸,急需抢救,需要她打钱过来。妈妈开始没相信,把电话挂了。但是身边的电视正好播出了一条新闻,说他儿子所在的城市,有一个送货小哥出了严重车祸。这下她着急了,赶快给对方回电话,要把钱转过去。
就在这位妈妈把钱转给骗子的时候,AlphaRisk 判断了风险,并且弹出了提示,告诉她有这笔转账可能是被骗了。妈妈选择无视,关掉弹窗继续转账。这次,AlphaRisk 判断强风险,直接阻断了交易,锁定账户两小时。
这位妈妈非常生气,觉得自己的儿子出了事,支付宝却不让转账,于是拨打客服理论。正在这时,他的儿子碰巧打电话给妈妈,这才揭穿了骗子的骗局。
在这个例子中,AlphaRisk 是凭什么判断转账存在诈骗风险呢?
雄文说,至少有三点:
1、妈妈平常的支出,都是小额的日常生活,买菜超市,突然一下转几万块显得很异常。
2、对方的收款账户是新注册的。而且近几日只有大额收款和提现,并没有日常消费。
3、这两个账户之间从未有过直接转账。
你看,基础逻辑和判断账户被盗差不多,只不过,判断被骗可以利用的信息比判断被盗少得多,所以难得多。
但最让雄文头疼的是,截断用户付款固然好,但是万一截错了,用户是要跟支付宝拼命地。。。支付宝但凡截断用户的交易,必须证据确凿。如果没有百分百的证据,一般会选择弹窗提示。然鹅,很多时候即使支付宝弹出了警视窗,用户都会选择直接关掉,没啥作用。
即使是这样,雄文团队也对弹窗内容改了又改,可谓是苦口婆心啊。
前两天,雄文和团队突然找到了一个好方法,他们和地方反诈骗中心“合作弹窗”。例如你是重庆人,在支付宝判断你的一笔交易有风险时,弹出的内容不是“支付宝提醒您注意诈骗”,而是“重庆反诈骗中心提醒您,这个交易有可能是诈骗。”
“这样一下,用户终止交易的比率大大增加!”改了几个字,就能让好多人少上当。雄文老激动了,这两天从地方到中央找反诈中心公安局各种合作。
“到目前为止,用户遭受诈骗,有85-90% 都能收到弹窗提示。”雄文大叔开心地说。
说到这,雄文大叔给我普及了一个金融小常识:
一般的在线交易系统,对于转账这个操作,只涉及“转出”和“到账”两个状态。这边转出之后,那边就到账。就像一盏灯只存在“开”和“关”两个状态。不可能存在“这边钱扣掉,那边还不到账”的情况。
但是支付宝为了防止诈骗,开发了第三个状态:类似“预授权“。如果你觉得这次转账有风险,可以设置2小时或者24小时延时到账。这种情况下资金就在“预授权”状态。在这个期间如果你发现被诈骗,可以报警并向支付宝申请冻结资金。
“预授权“状态的钱,按理说到时之后就会顺利进入转入账户。但只要有公安机关的相关凭证,就可以退回到转出账户。
别看只是加了一个“预授权”的状态,这相当于给了受害者一个“时光机”,回到过去,改变那个无可挽回的错误。
雄文说,为了增加这个新状态,他们两年里对支付宝底的层代码做了很大的修改。虽然大动干戈,但这件事非常值得。
讲真,人类对一台机器的要求是很变态的。好的机器不仅要代替人,还要比人更精神。
毕竟是亲生的, 说到 AlphaRisk,雄文特别开心。他觉得如果2017年支付宝没有开始研究 AlphaRisk,现在很多风控策略还靠人肉的话,一定会被“时代的洪流”所击垮。
如今,AlphaRisk 有两个杀手锏:
1、和人比,它厉害到不知哪里去了。
你可能已经知道,AlphaRisk 就是一种“人工智能。你作为一个人每天家长里短悲欢离合其实本质都是判断,人工智能每天也是做一件事:判断。
人工智能判断事情的标准,和人又像又不像。这里涉及到一个大家普遍理解得不好的技术梗,中哥正好以 AlphaRisk 为例简单科普几句:
人工智能和人各自做一个判断,有点像两个大厨分别做一桌菜给你吃。这分为三步:
1、他们使用的原料种类都是一样的青椒、萝卜、鸡肉等等。(这意味着人工智能和人用于判断一件事情的基础数据是一样的。)
2、但是,他们炒菜的路数可就不一样了。人类可能会做出鱼香肉丝、宫保鸡丁、水果拼盘,但是机器会根据自己的理解做出西瓜披萨,苹果蒸蛋、巧克力烧茄子等等常人不能想象的饭菜。(这意味着人工智能的判断模型和人既相似又不同。)
3、最后,两桌菜分别上来,食客们会发现,两种菜虽然不一样,但是都能填饱肚子,而且机器做的明显更好吃更营养。(这意味着人工智能判断的准确度比人类还高。)
简单总结人工智能的工作原理:通过人类看都看不过来的数据,用风骚的机器思维,做出一击致命的判断。
这里给你几个数据你感受一下。
AlphaRisk 用来判断的风险点有几千个(如交易金额、支付宝注册地、交易时间、使用密码支付还是指纹支付等)。把这么多数据进行惨无人道的交叉运算,总运算量是巨大的。
在平时,每秒钟全世界都会用支付宝进行上万次的交易。如果在双十一这种狂欢节,每秒支付宝要处理25万笔交易。你想想看,就像商场的收银台后面,排队排了25万个顾客,每一笔交易,AlphaRisk 都还要计算无数次来判断它是不是有风险,这得累计多大的计算量。。。
如果这些计算量交给人来做,等到算完,估计已经到了9102年双11了吧。
这么疯狂的机器,日常得有不少码农为它检修上油吧。。。
雄文说哈哈哈NO!因为,这两年他们已经搞出了一套“自动驾驶”系统。
纳尼?支付宝也会开车了么?求车牌号!其实,不是你想的那样,这就到了 AlphaRisk 的第二个逆天优势。
2、这是个会自动驾驶的老司机。
那些做坏事的黑客,连过年都不休息,天天“苦炼内功”,不断升级自己盗取支付宝账户和诈骗用户的技术。这是为什么?因为他们知道,如果能早几天研究出一个盗取支付宝的方法,那赚的钱可比在支付宝上班的码农加班费多多了。
对手那么疯狂,AlphaRisk 也要加油才行啊。正常情况下,AlphaRisk 想要学会新的反诈骗套路,要工程师手动输入代码。
但是,雄文和支付宝安全团队的队员很“懒”,他们觉得,AlphaRisk 已经长大了,不能每天晚上给它“检查作业”,它要自己学习新的知识了。
所以过去两年,攻城狮们很少砍柴,主要磨刀。他们建立了一个自动建模的系统。每天都会有一些用户损失通过投诉渠道反馈到支付宝风控团队,这个自动建模系统就可以通过学习这些AlphaRisk 没有拦截成功的案例来建立新的风险模型,然后把这个模型输入到 AlphaRisk 里,下次再遇到同样的问题,AlphaRisk 就能一眼识别。
自动建模还不是全部。
你知道,每年双11的时候,支付宝会像雷峰塔一样,承受一下交易量水漫金山的感觉。这个时候,如果还执行原来的风控策略,就会导致计算力严重不足的情况。本来人家零点秒杀,结果支付宝算了十秒钟,跟人家说没问题去付钱吧。结果秒杀的限量款衣服早都被人家抢得毛都不剩。这会造成大批群众到杭州上访的。。。
所以,支付宝需要根据不同的情景,调整 AlphaRisk 的风控策略。这就像一辆车,根据路况不同,切换12345档。
原来每到双11,攻城狮们就会写一套新的风控策略,为 AlphaRisk 手动换挡。从2017年开始,完全不用了。AlphaRisk 学会了骚气的自动换挡。交易量巨大的时候,就自动切换为高档,交易量低的时候,就瞬间调回来。
这不就和汽车的自动驾驶是一回事么。。。
我第一次发现,原来自动驾驶不仅仅是汽车领域的人工智能。凡是需要复杂人工智能的场景,其实都有自动驾驶的一席之地。甭管是人是机,反正这个世界缺不了老司机。
相关阅读
支付宝风险控制怎么做到的 ?
支付宝风控揭秘-2-在线支付及风险防范实务
黑客想要转走你支付宝里的钱会怎样? AlphaRisk 如何对抗 ?
揭秘支付宝风控-1-复合事件处理