1 互联网反欺诈的不对称性
不夸张的讲，欺诈者对于技术的运用能力、对于业务的熟悉程度和对于目标的执着要远超过甲方互联网反欺诈的从业人员。造成这种局面主要有几个原因：
欺诈者仅需要在企业的互联网反欺诈体系上打穿一个洞即可欺诈成功，属于“一招鲜吃遍天”；而互联网反欺诈的从业人员面对的是一个庞杂的组织&系统&业务，“木桶效应”明显。
欺诈行为可以为欺诈者带来巨大的经济利益和物质回报，欺诈者是为了自己利益而战；而互联网反欺诈的从业人员往往是找一份工作拿一份工资，亏的反正是企业。
互联网黑产发展到今天，已经形成了分工明确的上下游产业链，互通有无，术业有专攻；而互联网反欺诈由于其特殊性，仍然相对割裂，同业间的交流仍然较少，意味着每个企业的反欺诈人员都是以一己之力对抗一个产业链。
对欺诈者而言，欺诈行为就是其“核心业务”，拥有最高的优先级，整个产业链“心往一处想、力往一处使”；而对于企业而言，互联网反欺诈只是其保障业务开展的众多职能中一个小小的组成部分，反欺诈工作的开展还需要平衡战略需要、业务需求、经济成本等诸多桎梏。
总结下来，互联网欺诈和反欺诈之间在资源投入、受重视程度、难易程度等方面的差异，使得互联网欺诈与反欺诈的这个无硝烟战场上，打的是一场非对称的战争。
在这场战争中，反欺诈一方想要获取胜利，其难度不亚于美国打的反恐战争。因此，互联网反欺诈尤为需要有整体考量和统筹排兵布阵。
2 互联网反欺诈体系的构成
为了能够有效的管控互联网业务开展过程中的各类欺诈风险，一个完整的互联网反欺诈体系应当包含以下部分：
2.1 欺诈特征检测
欺诈特征检测是互联网反欺诈体系的基石，直接决定了互联网反欺诈体系的天花板。从欺诈特征数据的来源角度，欺诈特征检测又可以分为内部欺诈特征识别和外部欺诈情报监测。
内部欺诈特征识别，是指基于企业自行获取或外部对接的各类原始数据，对欺诈行为进行识别的过程。
常见的内部欺诈特征识别可以分为四大类，根据发展的时间长短和成熟程度包括信誉库、专家规则、有监督机器学习、无监督机器学习。
内部欺诈特征的识别涉及技术广泛，需要长期的研究和积累，许多有实力的企业已经在此方面有了很多突破。目前市场上也有越来越多的反欺诈厂商提供各种类型的反欺诈数据和服务，对于互联网反欺诈体系建设处于起步阶段的企业而言也是一个不错的选择。
外部威胁情报监测，是指通过互联网和线下的渠道，收集与企业相关的欺诈情报和线索，如羊毛口子、资料包装方法、风控规则和系统漏洞等。
孙子曰“知己知彼，百战不殆”，互联网反欺诈体系需要时刻保持对黑产动态的关注，必要时需要深入黑产内部，了解和掌握黑产的最新套路和手段，拿到黑产动向的第一手资料，及时调整和完善自身的策略进行应对。
2.2 欺诈风险处置
互联网反欺诈体系应当制定反欺诈策略和规则，明确对于欺诈风险的可接受水平和处置方式。
在确立欺诈风险的可接受水平时，反欺诈团队应当与企业内部各业务部门进行充分的讨论和沟通，切忌单方面确定欺诈风险接受水平。
常见的欺诈风险处置手段包括：
风险消除，对于无法控制和接受的欺诈风险，应当通过制定反欺诈策略或优化业务逻辑进行拦截和隔离；
风险降低，对于无法消除的欺诈风险，应当采取措施，平衡业务体验和风险水平，降低风险级别，如二次验证（牺牲用户体验）、人工审核（增加用户等待时间）等；
风险转移，通过引入第三方，分散和转移欺诈风险，如购买保险、合作商分担等；
风险接受，对于可以带来收益大于损失的欺诈风险，应当予以接受。
再次重申，欺诈风险的处置应当综合考虑业务发展的需要，总体原则是实现业务收益和欺诈损失的平衡。
2.3 欺诈监控指标
反欺诈运营工作是互联网反欺诈体系的重要组成部分。互联网反欺诈体系应当建立起全面的欺诈监控指标，对于反欺诈体系的运转情况进行实时监控。
欺诈监控指标应当与互联网反欺诈的需求结合定制。常见的互联网反欺诈监控指标包括：
业务类监控指标，侧重于对业务的进展情况进行实时的关注，如注册量、下单量、进件数、转化率等；
策略类监控指标，侧重于对反欺诈策略和规则的触发情况进行实时关注，如反欺诈规则的拦截率、反欺诈的触发数等；
欺诈监控指标应当随着反欺诈体系的防护对象而及时调整，不同的业务类型如营销、信贷、支付的监控指标也各不相同。
2.4 欺诈调查
欺诈调查工作是互联网反欺诈体系必不可少的一环。从复杂的案例中抽丝剥茧提取欺诈特征、梳理欺诈路径也应当是每一位反欺诈人员的基本技能。
作为互联网反欺诈体系的组成部分之一，欺诈调查承担着验证反欺诈体系的有效性和驱动反欺诈体系优化迭代两个重要作用。
欺诈调查工作包括事中和事后两种。
事中欺诈调查指在业务开展过程中将疑似欺诈行为冻结，转欺诈调查人员排除后方可继续进行；
事后欺诈调查指对各渠道反馈回来的欺诈线索和案例进行人工调查和分析，对其中的欺诈行为进行认定，并用于对欺诈特征检测、欺诈风险处置和欺诈监控指标的效果评估；
3欺诈特征检测
互联网反欺诈体系至少要做到三个层面的欺诈特征检测：Real、Right、Reliable，下面我们简单聊一下三个层面欺诈特征的关注点。
01 Real
在互联网刚刚兴起的初期，网络世界中有一句经典的话，“互联网时代,没有人知道你是一条狗”。
诚然，到目前为止，让一只狗上网还是有点难度的。但是在互联网上，公司的网站、APP、小程序、公众号的用户是不是一个活人还真的很难说。
对于黑灰产团伙而言，如果按照普通正常用户的方式，手工的进行欺诈攻击，换取一点点微薄的欺诈获利，绝对不是一个明智的选择。这也是互联网反欺诈理论的第一个基本定律，“互联网欺诈成本低于欺诈获利”。
因此，自动化的欺诈手段成为了黑灰产团伙的首选。自动化脚本、模拟器、群控设备等技术可以模拟一个正常用户在网站、APP上的操作请求，辅助以IP切换、接码平台、打码平台、图片验证码识别算法、GPS伪造等手段，往往会让互联网企业损失惨重。
互联网反欺诈欺诈特征检测工作中第一个层面的Real，就是要能够区分当前使用互联网服务的用户究竟是不是一个真实的活人，这一点是互联网反欺诈最基本的要求。
要达到这一目标，可以从几个角度进行防范，
1.从请求发起设备、请求发起网络环境、请求发起手机号、请求发起物理位置等多方面建立终端数据采集的能力，并拓展变量维度，利用高维度的机器学习来区分真实人类用户的操作请求和非真实人类发出的操作请求；
2.善用欺诈情报，广泛的收集第三方的欺诈信息，提取有效威胁情报信息用于非真实人类操作的检测；
02 Right
在完成了Real层面的欺诈特征检测后，我们姑且假定通过了反欺诈拦截的请求均是由真实的活人用户发起的。这时反欺诈的第二个层面任务就是核实用户提供的信息是否真实、有效。
眼下国内公民个人信息被盗取、转卖和泄漏的情况比比皆是，每隔一段时间就会爆出几条大规模公民信息泄漏的新闻。因此，对于互金平台、机票签证、支付平台等一些需要用户提交资料的互联网平台而言，不能简单的相信用户自行提供的信息。
Right层面的欺诈特征检测的主要任务就是对用户提交的各种基础信息进行核验。根据不同的业务类型，需要核验的资料类型也有所不同，常见的如用户的身份信息、住址信息、工作单位信息、收入情况信息、财产状况信息、学历信息等。
基础信息核验可以从两个角度展开：
1.勾稽对比，勾稽一词原本是财务术语，指的是不同会计报表科目之间的内在逻辑关系。引入反欺诈体系后，指的是需要将用户提交的基础信息与其他信息源进行对比。如身份证二要素信息应当与公安部身份核验数据源保持一致、银行卡四要素信息需要与银行四要素核验数据源保持一致、学历数据需要与教育部学历数据库保持一致等。
勾稽对比是一种基础且必要的核验方式，但是如前文所述，在公民信息大规模被泄漏、盗取和转卖的今天，勾稽对比并无法完全解决基础信息被冒用的情况，这就需要进行第二个角度的核验。
2.交叉对比，指通过对用户提交的不同信息进行独立推演，发现其提交信息之间的内在不合理之处。简单的如年龄小于15岁的硕士学历、人脸照片与身份证照片不一致等；复杂的如活动轨迹从未覆盖家庭住址或者工作单位等。交叉对比的效果拒绝于对用户基础信息的深度解析和信息之间逻辑关系的不断挖掘。
03 Reliable
Real和Right层面的反欺诈措施有效的防范了非人和非本人的欺诈攻击。经历了前两个层面的反欺诈防线，我们目前已经获得了一个真真正正的用户，基本上可以杜绝第二方欺诈和第三方欺诈。
然而此时还不是鸣金收兵的时刻，对于互联网信贷业务、营销补贴活动等，我们还需要对客户进行更深入的分析，判断用户是否存在欺诈的意愿，这个就是Reliable层面的欺诈特征检测了。
Reliable层面欺诈特征检测的维度有很多，可以结合互联网平台的业务类型进行裁剪。常见的如互金平台关注的团伙客户检测、中介客户检测；电商平台关注的虚假联系方式检测、虚假流量检测等。
实现Reliable层面的欺诈特征检测需要结合用户的社交、通讯、金融、出行、车产、房产、职业等多维度的信息，进行横向的关联分析。知识图谱、无监督机器学习算法等数据科学手段可以很大的提高Reliable欺诈特征检测效率和效果。
欺诈特征检测是互联网反欺诈体系的眼睛和雷达，其效率和效果，直接的影响了后续欺诈风险处置和指标等其他反欺诈工作的选择。
由于欺诈场景和环境的复杂性，欺诈特征检测必然存在误报和漏报，准确率和覆盖率是衡量欺诈特征检测工作质量的2个重要指标。
黑灰产在欺诈的过程中也会不断关注防守方欺诈特征检测能力的高低，同时反欺诈的技术也在不断发展，因此欺诈特征检测工作是整个互联网反欺诈体系中最需要不断更新迭代推陈出新的一环。
文章转自如下公号
如果觉得《互联网反欺诈体系之二》对你有帮助，请点赞、收藏，并留下你的观点哦！
