1、 参与单位 牵头编写单位 中国信息通信研究院泰尔终端实验室 中移信息技术有限公司 China Telecommunicaon Technology Labs-Terminals 泰尔终端实验室 北京数美时代科技有限公司 中国电信世纪龙有限公司 统一推送联盟 电话邦 浙江每日互动网络科技股份有限公司 深圳市和讯华谷信息技术有限公司 泰尔卓信科技（北京）有限公司 北京数字联盟网络科技有限公司 威胁猎人 联洋国融 ( 北京 ) 科技有限公司 北京邮电大学 四川享宇金信金融科技有限公司 ti 移动数字金融与电子商务反欺诈白皮书 I 目录目录 图目录 . VI 表目录 . VIII 一、移动数字金融与电

2、子商务中的欺诈现状 . 1 1.1 移动数字金融与电子商务欺诈概述 . 1 1.1.1 营销活动欺诈 . 2 1.1.2 渠道流量欺诈 . 3 1.1.3 虚假用户裂变欺诈 . 5 1.1.4 盗取信息欺诈 . 6 1.1.5 恶意交易欺诈 . 6 1.1.6 金融支付欺诈 . 7 1.1.7 网络刷单欺诈 . 7 1.1.8 电信欺诈 . 8 1.1.9 网贷欺诈 . 9 1.1.10 优质内容爬取欺诈 . 9 1.2 移动数字金融和电子商务领域的反欺诈场景 . 10 1.2.1 移动用户的身份判断 . 10 1.2.2 移动欺诈的状况评估 . 11 移动数字金融与电子商务反欺诈白皮书 II

3、 1.2.3 移动欺诈的行为判断 . 12 1.3 数字欺诈对我国经济的影响与分析 . 12 1.3.1 当前网络欺诈的现状 . 12 1.3.2 移动互联网欺诈的模型和结果分析 . 13 二、黑产欺诈态势分析 . 19 2.1 黑产欺诈问题当前态势 . 19 2.2 欺诈在移动业务中的趋势和特点 . 29 2.2.1 行为模式：“被动”变为“主动” . 30 2.2.2 安全漏洞：“碎片”变为“系统” . 31 2.2.3 商业逻辑：“孤岛”变为“融合” . 31 2.2.4 变现逻辑：“量变”变为“质变” . 33 2.2.5 迭代速度：“缓慢”变为“迅速” . 34 三、移动数字金融和电

4、子商务领域的反欺诈方案 . 35 3.1 现有反欺诈方案面临的挑战 . 35 3.2 全栈式实时反欺诈方案 . 36 3.2.1 全场景识别体系 . 37 3.2.2 全路径实时布控体系 . 37 3.2.3 全方位策略体系 . 39 移动数字金融与电子商务反欺诈白皮书 III 3.2.4 全流程运营体系 . 39 3.3 移动设备唯一性甄别实时反欺诈方案 . 40 3.3.1 账号识别及保护反欺诈方案 . 41 3.3.2 营销活动反欺诈方案 . 41 3.3.3 网络安全/提供风控方案 . 42 3.3.4 互联网金融反欺诈方案 . 42 四、反欺诈的技术与效果评估 . 45 4.1 反欺

5、诈技术体系架构 . 45 4.1.1 接入层 . 46 4.1.2 业务逻辑层 . 47 4.1.3 决策层 . 47 4.1.4 基础引擎层 . 47 4.1.5 模型数据层 . 48 4.1.6 基础平台层 . 48 4.1.7 管理层 . 49 4.2 反欺诈技术详解 . 49 4.2.1 反欺诈情报体系 . 49 4.2.2 设备指纹技术 . 49 移动数字金融与电子商务反欺诈白皮书 IV 4.2.3 实时决策引擎（规则引擎）技术 . 55 4.2.4 知识图谱 . 56 4.2.5 有监督机器学习技术 . 58 4.2.6 无监督机器学习技术 . 60 4.2.7 实时画像引擎技术

6、. 61 4.2.8 实时统计引擎技术 . 64 4.2.9 可信 ID 技术 . 65 4.3 运营商风控技术实践 . 66 4.3.1 运营商业务风控系统 . 66 4.3.2 通信数据在风控中的应用 . 68 4.4 反欺诈效果验证与评估 . 70 4.4.1 事前评估 . 70 4.4.2 事中分析 . 71 4.4.3 事后评估 . 72 五、移动业务反欺诈的挑战及展望 . 75 5.1 反欺诈的困难和挑战 . 75 5.1.1 业务风险不确定性分散 . 75 5.1.2 风控效果不可判断性高 . 75 移动数字金融与电子商务反欺诈白皮书 V 5.1.3 认知盲区不认知性强 . 75

7、 5.1.4 追求数据美观不务实性多 . 76 5.2 反欺诈未来展望 . 76 5.2.1 加强技术升级优化 . 76 5.2.2 基础共性技术开源 . 78 5.2.3 构建产业协作组织 . 78 5.2.4 推动完善法制建设 . 79 附录 A：移动互联网欺诈模型推演 . 80 附录 B：RETE 算法详解 . 81 移动数字金融与电子商务反欺诈白皮书 VI 图目录图目录 图 1 营销活动反欺诈示例 . 3 图 2 渠道流量反欺诈示例 . 4 图 3 虚假用户裂变反欺诈示例 . 5 图 4 网络刷单欺诈示例 . 8 图 5 反欺诈扩散模型示例 . 14 图 6 支付诈骗趋势（中国信息通信

8、研究院） . 20 图 7 恶意机器流量趋势（CNNIC） . 20 图 8 黑产广告造成的人均损失 2018年网络诈骗趋势研究报告 . 21 图 9 诈骗场景示例 . 22 图 10 黑产手法及设备 . 22 图 11 黑产态势 . 23 图 12 黑产链条示例 . 23 图 13 全栈实时反欺诈方案 . 37 图 14 全路径实时布控体系 . 38 图 15 全流程闭环策略体系 . 40 图 16 反欺诈技术流程体系 . 45 图 17 反欺诈云架构 . 46 图 18 设备指纹的作用 . 50 图 19 虚拟机示例 . 51 图 20 安卓和苹果设备信息篡改示例 . 52 图 21 多开

9、软件示例 . 53 移动数字金融与电子商务反欺诈白皮书 VII 图 22 RETE 算法 . 56 图 23 知识图谱示例 . 57 图 24 黑产知识图谱建模 . 58 图 25 无监督学习 . 60 图 26 实时画像数据流转示意图 . 62 图 27 实时画像架构图 . 63 图 28 实时统计引擎示意图 . 64 图 29 运营商业务风控系统 . 67 图 30 通信大数据优势 . 69 图 31 反欺诈效果评估体系 . 72 移动数字金融与电子商务反欺诈白皮书 VIII 表目录表目录 表 1 电子商务及欺诈市场明细 . 16 表 2 拟合参数结果 . 16 表 3 预测损失结果 .

10、16 表 4 欺诈损失 GDP 占比预测 . 17 表 5 策略动态配置示例 . 55 表 6 风险控制与管控策略对应表 . 72 移动数字金融与电子商务反欺诈白皮书 1 一、移动数字金融与电子商务中的欺诈现状一、移动数字金融与电子商务中的欺诈现状 随着移动互联网与传统金融和电子商务的深入结合， 其不仅带给 用户更便捷的使用体验，同时极大地推动了我国数字经济的发展。目 前我国在移动互联网服务的发展深度和市场规模都已经领先全球， 但 与此同时，新的欺诈手段也不断衍生。这种情况不仅给我国广大消费 者造成了巨大的经济损失，同时也影响了行业的整体形象，给我国移 动互联网的长期健康发展和产业创新带来了诸

11、多消极影响。 按照欺诈对象的不同，欺诈行为主要分为两大类：针对用户的欺 诈和针对企业的欺诈。 本白皮书主要研究针对企业的欺诈行为及其防 范方法。 1.1 1.1 移动移动数字金融与电子商务欺诈概述数字金融与电子商务欺诈概述 金融和商品交易是现代经济体系的核心。随着信息技术的发展， 金融和商品交易也在逐步信息化， 形成了数字金融和电子商务的模式。 无论是服务方式、获客渠道都基于现有的信息化基础设施，极大提升 了传统经济活动的服务效率，降低了服务成本。然而，与此同时信息 服务也给欺诈行为带来了更多的手段和渠道， 使得传统欺诈行为的危 害大大提升。 以网贷平台为例，截止 2018 年末，累计出现问题

12、的平台数量超 过 4000 家，占网贷平台总量的 70%以上。而在电子商务领域，根据 移动数字金融与电子商务反欺诈白皮书 2 P 在 2017 年 10 月发布的一份全球电子商务欺诈报告，电 商欺诈将导致全球电商市场在 2017 年损失 580 亿美元。在此背后的 “黑色产业” 肆虐发展， 已经渗透到账号注册、 身份伪造、 宣传导流、 借贷支付等各个环节。据估计，相关“黑色产业”从业人员超过 500 万，涉及金额达到千亿级别。总体而言，数字金融和电子商务是欺诈 行为高发的“重灾区” ，成为形形色色的黑色产业攻击的主要对象。 整个市场流量“移动化”的背景下，不论是传统线下业务还是原 本由 PC

13、互联网承载的业务，都在逐步向移动端拓展。而其在整个移 动互联网业务中，数字金融和电子商务是两个非常重要的领域，与广 大居民的日常生活息息相关。与此同时，上述两个领域所暴露的欺诈 风险也越来越严峻。 具体而言当前的移动欺诈主要包括以下几种形式： 1.1.1 1.1.1 营销活动欺诈营销活动欺诈 营销活动欺诈指， 在企业进行新用户获客及老用户唤醒时所采取 的如红包、优惠券等运营成本，被黑灰产利用技术手段不正当获利， 导致营销活动失败的场景。 在营销活动欺诈中，存在羊毛党和黄牛党两种关键角色。 移动数字金融与电子商务反欺诈白皮书 3 图 1 营销活动反欺诈示例 l 羊毛党：操纵大量账号仿冒新用户，参

14、与营销活动，获取优 惠券奖励。或者通过收取费用代人下单，从而获取利益。 l 黄牛党：操纵大量账号参与营销活动，活动购买资格，购买 后， 高价卖给其他用户， 从而获取利益。 对于比较稀缺的、 价 值比较高的商品，会出现黄牛党。 1.1.2 1.1.2 渠道流量欺诈渠道流量欺诈 渠道流量欺诈指，黑灰产利用技术手段仿冒移动应用新增用户， 独自或与第三方推广平台合作，共同骗取移动互联网应用（App）市 场运营成本的场景。 据数美科技统计，2017 年全球范围内 App 安装欺诈占总 App 推 广安装量的 7.8%左右，亚洲地区 App 安装欺诈占同地区总 App 推广 安装量的 11%12%左右。保

15、守估计 2017 年全球由于渠道流量作弊导 致的损失高达 1113 亿美元。 目前，随着移动互联网的高速发展，渠道流量作弊也呈现出快速 移动数字金融与电子商务反欺诈白皮书 4 增长的趋势。 图 2 渠道流量反欺诈示例 如上图所示，App 安装渠道流量作弊有不同的形式，其中常见的 几种： l 机刷：通过批量地虚拟机、篡改设备等手段，刷安装激活； l 人刷：通过做奖励任务形式，人肉刷安装激活； l 木马刷：通过感染移动设备，在正常手机后台偷偷刷下载激 活； l 点击劫持： 通过恶意软件， 当检测到用户下载安装某 App 时， 发出点击记录。 除了这些手段，App 安装渠道流量作弊也越来越隐蔽，使得

16、检测 难度越来越大，常见的伪装包括： l 通过代理 IP、位置模拟、设备型号伪装等，让群控设备看起 来像是自然分布； l 在安装激活后，继续模拟后续的 App 内用户行为，使得留存 移动数字金融与电子商务反欺诈白皮书 5 率看起来正常； 1.1.1.1.3 3 虚假用户裂变欺诈虚假用户裂变欺诈 虚假用户裂变欺诈是指 App 采用“用户裂变”的方式来进行推 广获客时，黑产通过控制大量假账号，骗取平台拉新补贴的场景。 当前，移动互联网用户流量红利渐渐消失，App 常常使用“用户 裂变” 的方式进行拉新获客， 以期降低流量获取的费用。 如下图所示， 所谓用户裂变，就是将 App 已有用户都是获取新用

17、户的渠道，即通过 一定的激励措施，刺激已有用户通过自己的关系链帮助平台拉新。 图 3 虚假用户裂变反欺诈示例 该场景中，常依靠邀请码等方式建立师徒关系后，要求徒弟或者 师傅做任务，才能获得所有奖励或者获得提现资格。例如，拉取新用 户以后，需要徒弟每天完成一定的任务量才可以获得奖励，一般需坚 持 7 天时间才能将拉新奖励的 3-8 元拿完。 黑产通常通过注册大量的 假账号，骗取平台拉新补贴。 移动数字金融与电子商务反欺诈白皮书 6 1 1.1.1.4 4 盗取信息盗取信息欺诈欺诈 盗取信息欺诈指，欺诈团伙通过高额利息、高价值奖品、高额度 折扣等虚假宣传欺骗网络用户，并要求用户填写个人信息，从而实

18、现 非法盗取用户信息的目的。 相关欺诈作案手段多样，难以发现。而非法获取的公民信息又常 常通过非法转卖的方式流入地下黑产，给居民造成巨大的隐患。 1.1.5 1.1.5 恶意交易欺诈恶意交易欺诈 恶意交易欺诈指，黑灰产利用移动互联网交易的便利性，在交易 中的货到付款、退、换货政策等环节中，利用漏洞进行牟利。 不同于传统的线下交易模式，在移动互联网的线上交易中，由于 交易实现的便利性，交易生成的过程得到了大大简化。这在给消费带 来便利的同时，也使得以欺诈为目的的大规模恶意交易成为可能。这 些交易通常利用货到付款、退、换货政策等电子商务交易机制中的漏 洞进行牟利， 或以让商家受到损失为目的。 这类

19、欺诈通常隐蔽性更高， 其中很大部分并不直接以牟利为主要目标， 而来源于针对于对商业同 行的恶意攻击。这类有组织的恶意交易近年来增长迅速，相关欺诈的 恶意蔓延， 可能对我国移动互联网健康的商业环境造成长期重大的消 极影响。 移动数字金融与电子商务反欺诈白皮书 7 1 1.1.1.6 6 金融支付金融支付欺欺诈诈 金融支付欺诈指， 利用不正当的技术手段在支付的各个环节谋取 不正当利益的行为。 目前， 移动金融尤其是移动支付已经成为居民日常生活中不可或 缺的组成部分。目前，基于金融和支付的欺诈也在日益增长。包括利 用的支付系统的漏洞在用户不知情的情况下非法盗取用户资金； 通过 伪造网站、公司、项目等

20、手段骗取用户资金；通过一些第三方支付平 台发行的商户的 POS 机虚构交易套现；将非法所得的资金转移到第 三方支付平台账户， 在线购买游戏点卡、 比特币、 手机充值卡等物品， 再对外销售进行洗钱等活动。这些行为严重扰乱了金融和社会秩序。 1 1.1.1.7 7 网络刷单欺诈网络刷单欺诈 网络刷单欺诈指， 灰产模拟活跃用户对商品评论或购买数量进行 恶意操纵，从而导致消费者受到欺骗或商家受到损失。 随着移动互联网业务日益发达， 评论和反馈机制对于商品质量和 服务提升起到了重要作用， 用户评论和购买数量等数据已经成为用户 做出选择的重要依据。 正因如此， 相关业务也伴随着重大的经济价值， 成为另一个

21、欺诈高发的领域。一些商家有意的恶意操纵评论，误导消 费者做出错误选择， 严重破坏了整个移动互联网商业生态的信用体系。 目前，刷好评、炒信用已经衍生为灰色产业链，各种刷单、刷信誉等 兼职层出不穷。在这种情况下，很容易产业 “劣币驱逐良币”的现 移动数字金融与电子商务反欺诈白皮书 8 象，某些卖家刷好评、刷信誉度的同时，遵守规则的商家利益就会受 到侵害，从而对我国数字经济的长期健康发展产生造成不良影响。 网络刷单团伙的特点：操纵大量的账号，并通过运营刷手群或直 接利用软件工具来实现对平台玩家的粉丝数/评论数等多项指标进行 刷榜造假；与有需求用户交易，从而谋取利益。 图 4 网络刷单欺诈示例 1.1

22、.81.1.8 电信欺诈电信欺诈 电信诈骗主要通过电话、 短信以及互联网联系作为主要手段的诈 骗案件，意在获取被害人的财产、银行账户等隐私信息。常见的手法 有：冒充熟人进行诈骗：如，冒充公司领导、摸清公司人员架构后 向财务人员发送转账汇款指令；以中奖、退税、积分兑换等馅饼类 为由，进行诈骗：如，事先获得事主购买的房产、汽车等信息，以税 收政策调整办理退税为由， 诱骗事主转账到指定账户； 冒充公检法、 公安局等政府机构，进行诈骗：如，通过收集的受害者的隐私信息如 身份证号、工作单位、住址等，获得初步信任，再通过改号软件伪装 移动数字金融与电子商务反欺诈白皮书 9 为警方电话，假称受害者涉嫌洗钱、

23、非法集资等重大犯罪案件，诱导 其一步步将资金转入指定账户。 1.1.91.1.9 网贷欺诈网贷欺诈 网贷欺诈风险是指， 申请人的还款能力无法通过互联网有效远程 判断， 申请人利用线上申请环节的漏洞伪造数据故意违约或线上黑色 产业链利用技术手段劫持互联网贷款平台信息恶意进行团伙欺诈行 为。 随着互联网+模式的深入各个行业，互联网贷款市场也在不断扩 大，随之而来的是大规模的线上逾期风险和线上黑色产业野蛮生长。 主要欺诈手段有；申领大量手机号码，同时利用这些非常用号码进行 大量刷量消费从而提高信用评级；通过技术手段修改伪造身份信息、 手机设备信息、位置信息达到骗取贷款并躲避贷后催收的目的；利用 公共

24、信用信息更新缓慢的时间差同时申请多家平台贷款， 恶意透支信 用度。 1.1.101.1.10 优质内容爬取欺诈优质内容爬取欺诈 优质内容爬取欺诈，是指通过网络爬虫（又称网络蜘蛛） ，按照 某种规则在网络上爬取所需内容的脚本程序。 对于被爬取内容的各种资讯类 App 来说，损失非常巨大。这些 平台雇佣大量编辑人员， 投入大量时间、 金钱成本、 写出运营出的高 质量内容，却很快被爬虫窃取，形同侵权。 移动数字金融与电子商务反欺诈白皮书 10 再以各类出行机票类 App 为例，此类 App 上的机票价格大都采 用动态定价的方式， 服务器会结合当下浏览量判定机票的抢手程度并 且调整价格。这时如果有大量

25、爬虫在浏览 App，算法就会给出和实际 情况并不符合的定价，这也会损伤消费者购买到廉价产品的权益。 爬虫带来的危害远非如此， 爬虫的行为会极大地增加数据分析难 度，文章浏览量的失实让我们误判人们对新闻事实的关注程度、爬虫 衍生出的虚拟 IP 需要在数据清洗时剔除技术越高超的爬虫，在行 为模式上就越接近真人， 也就更加增加数据分析时的难度。 久而久之， 那些我们以为从人类行为中寻找规律的算法， 反而寻找到的是机器人 的行为规律。 总体而言，爬虫盗取内容和数据的行为对企业危害甚大，不仅会 降低企业内容新鲜度，甚至侵犯企业敏感数据、增加企业运营风险。 1.21.2 移动数移动数字金融字金融和电子商务

26、领域的反欺诈场景和电子商务领域的反欺诈场景 1.2.11.2.1 移动用户的身份判断移动用户的身份判断 现在绝大部份 APP 和网站在注册时都是需要利用手机号、IP 等 基础资源。 大部分欺诈行为也是首先囤积虚假账号然后进行后续的针 对不同场景的欺诈行为。 特别是当电商行业有某个重要的促销活动前 （例如天猫双十一、 京东 618） ， 黑灰产会进行大量囤积账号的行为； 其中去年双十一时，电商平台遭遇的虚假注册账号已达到 160 万次。 虚假账号的识别是反欺诈场景的基础，也是企业对抗黑灰产的基础。 移动数字金融与电子商务反欺诈白皮书 11 1.2.1.2.2 2 移动欺诈的状况评估移动欺诈的状况

27、评估 在移动欺诈的场景中， 企业自身对欺诈状况的掌控是至关重要的。 反欺诈与传统安全最大的区别在于，传统安全是边界安全，而业务场 景下的反欺诈安全是叫安全可控。 而反欺诈场景下的安全更多关注的 不是企业是否存在容易被攻击的漏洞， 而是企业的业务逻辑是否容易 被黑灰产利用，黑灰产在企业各个场景下的欺诈成本有多少。例如， 最开始黑灰产赚取 100 元只用消耗 1 元的成本，在企业上线了很多 策略后， 黑灰产仍然能投入 1 元赚取 100 元的话， 那说明这些策略的 堆积并没有发挥作用。因此在移动欺诈场景下的状况评估，是通过对 黑灰产攻防成本的监测和企业业务逻辑漏洞及流程缺陷进行监测， 了 解企业的

28、移动欺诈的状况。 可以从以下几个维度去判断： 虚假账号量 注册风险 登录风险 流量欺诈风险 内容风险 活动风险 数据风险 设备风险 移动数字金融与电子商务反欺诈白皮书 12 1.2.31.2.3 移动欺诈的行为判断移动欺诈的行为判断 黑灰产在进行欺诈行为时，都会有一定的规律行为，而为了投入 产出比的最大化， 往往会利用自动化工具和脚本去运行这些固定的操 作行为，让其看起来更像一个正常人的操作，避开企业的风控策略。 例如某刷单厂商的整个刷单流程需要经过待刷物品资料整理， 模 拟浏览，模拟聊天，付款，确认好评等步骤完成。 从以上整个流程来看， 黑灰产进行刷单欺诈时其模仿正常用户的 行为非常细致，并

29、且所使用的电商账号大多跟正常买家无异，所以电 商平台需要通过多维度特征加行为分析才能够有效识别出刷单的欺 诈行为。 除此之外，还可以通过设备维度判定欺诈行为，可借助反欺诈工 具，如“可信 ID” ，判定移动设备唯一性。若设备是真实的，其背后 的用户可能是真实的；若设备是虚假的，其背后的用户则存在一定的 风险。 1.1.3 3 数字欺诈对我国经济的影响与分析数字欺诈对我国经济的影响与分析 1 1. .3 3.1 .1 当前网络欺诈的现状当前网络欺诈的现状 目前，我国互联网在用户规模、业务模式创新、新零售与文娱产 业等多个方面持续保持着快速增长，根据 CNNIC 发布的第四十一 次中国互联网络发展

30、状况统计报告 ， 中国网民规模在已经超过 8 亿， 普及率超过 60， 其中移动互联网用户占比达超过 90。 与此同时， 移动数字金融与电子商务反欺诈白皮书 13 基于移动互联网的应用场景不断丰富，移动支付比例已经超过 70， 网络娱乐用户规模持续高速增长，网络直播用户年增长率超过 100， 电子商务、网络游戏、网络广告收入水平增速均在 20%以上。 但在享受互联网带来的生活品质提高的同时， 我国用户也在遭遇 多种有组织的网络欺诈行为。 根据 CNNIC 数据统计， 在 2018 年 30 以上的网民遭遇了个人信息泄漏，超过 25的用户遭遇网上诈骗， 23.8的用户遭遇了病毒或木马攻击， 19

31、.2的用户账号或密码被盗。 全年境内感染病的移动毒终端累计超过 3000 万台，国内被篡改网站 累计超过 7 万个，安全漏洞累计 18901 个，其中高危系统漏洞累计 7654 个，较 2017 年增长了 31。 对互联网行业的企业而言， 灰色产业带来的不仅对正常业务的打 扰更是真实的经济损失。 对于很多移动互联网企业， 在开拓市场之初， 纷纷推出了花样繁多的优惠活动。 这些优惠在吸引了众多用户改变使 用习惯的同时，也成为了灰色产业从业人员的目标。大量不法分子利 用作弊软件与作弊硬件， 通过绕过监控规则， 通过虚假身份欺诈套利， 获利丰厚，甚至渐渐形成了整套的灰色产业链。而这些产业因为自身 的隐藏性与反侦察性并不为社会公众所感知。 1 1. .3 3.2 .2 移动互联网欺诈的模型和结果分析移动互联网欺诈的模型和结果分析 数字金融及电子商务中的欺诈行为中， 不管是企业还是消费者都 可能成为受害方。在进行服务的过程中，当一方采取虚假信息或者其 他不正当手段欺骗、误导