實(shí)戰(zhàn)：大數(shù)據(jù)如何通過(guò)設(shè)備行為分析降低支付風(fēng)險(xiǎn)？

導(dǎo)讀：從2012年起，大數(shù)據(jù)的話題在中國(guó)互聯(lián)網(wǎng)以及各個(gè)行業(yè)開(kāi)始大熱，據(jù)說(shuō)2013年已經(jīng)被國(guó)外媒體稱為“大數(shù)據(jù)元年”。除了最常規(guī)的用戶挖掘、廣告價(jià)值提升，大數(shù)據(jù)被用來(lái)制作熱門(mén)電視劇，建設(shè)醫(yī)療機(jī)構(gòu)，甚至幫助奧巴馬連任等各種神話已經(jīng)層出不窮。但互聯(lián)網(wǎng)最最基礎(chǔ)的一項(xiàng)工作——安全工作，似乎一直跟這股潮流沒(méi)什么關(guān)系?？创髷?shù)據(jù)在互聯(lián)網(wǎng)風(fēng)控中的應(yīng)用：通過(guò)設(shè)備行為分析降低支付風(fēng)險(xiǎn)很多人的印象中，互聯(lián)網(wǎng)安全無(wú)非就是裝個(gè)殺毒軟件，網(wǎng)上支付的時(shí)候最好再拿個(gè)硬件盾(U盾)心里才能踏實(shí)點(diǎn)。一出問(wèn)題，得出互聯(lián)網(wǎng)始終還是比傳統(tǒng)世界不安全的結(jié)論，那是必須的。我們搞互聯(lián)網(wǎng)安全的，有那么沒(méi)有技術(shù)含量嗎？這里簡(jiǎn)單給大家介紹下網(wǎng)上支付控制風(fēng)險(xiǎn)的一個(gè)利器——正是現(xiàn)在所有人熱捧的大數(shù)據(jù)。傳統(tǒng)安全認(rèn)證方式及其問(wèn)題之前有人說(shuō)“在互聯(lián)網(wǎng)上，沒(méi)人知道你是一條狗”，這種“身份不確定性”對(duì)于互聯(lián)網(wǎng)金融服務(wù)來(lái)說(shuō)，是一個(gè)永遠(yuǎn)的風(fēng)險(xiǎn)。網(wǎng)絡(luò)釣魚(yú)、木馬傳播、賬號(hào)竊取等帶來(lái)的盜用和欺詐都是這種風(fēng)險(xiǎn)的直接體現(xiàn)。所以，就有了人們最熟悉的幾種安全認(rèn)證手段：一是用戶所知道的東西，比如密碼；二是用戶所擁有的東西，比如數(shù)字證書(shū)、硬件盾。他們的本質(zhì)都是，當(dāng)支付服務(wù)接收到支付請(qǐng)求時(shí)，為了減低支付風(fēng)險(xiǎn)，服務(wù)端要先確認(rèn)支付發(fā)起者的身份是合法的。但以上兩種方法都會(huì)遇到一些障礙，比如密碼容易忘記，有些人所有應(yīng)用都用同一個(gè)密碼，密碼還可能存在泄露的風(fēng)險(xiǎn)。這一點(diǎn)，2011年底的CSDN密碼泄露事件就給了所有人一個(gè)警示。數(shù)字證書(shū)和硬件盾的問(wèn)題在于，更換電腦或者重裝系統(tǒng)之后，電腦中沒(méi)有數(shù)字證書(shū)，用戶就會(huì)無(wú)法支付，而硬件盾可能丟失或者損壞，發(fā)生這種情況，用戶也會(huì)無(wú)法支付。這也是至今很多用戶都沒(méi)有選擇這些安全產(chǎn)品的原因。第三種現(xiàn)在廣泛使用的安全認(rèn)證方式是手機(jī)檢驗(yàn)碼。用戶在電子商務(wù)網(wǎng)站、網(wǎng)上銀行或者第三方支付網(wǎng)站預(yù)留手機(jī)之后，就可以在需要進(jìn)行身份確認(rèn)時(shí)接收動(dòng)態(tài)驗(yàn)證碼。手機(jī)有良好的攜帶性、私密性，手機(jī)短信的達(dá)到率可以達(dá)到90%以上。因此手機(jī)短信動(dòng)態(tài)驗(yàn)證碼被電子銀行和第三方支付大量使用。在手機(jī)短信驗(yàn)證碼被大量使用之后，不法分子也開(kāi)始針對(duì)性的展開(kāi)攻勢(shì)。釣魚(yú)網(wǎng)站、電話的方式騙取驗(yàn)證碼甚至成為一個(gè)黑色產(chǎn)業(yè)鏈，對(duì)電子商務(wù)環(huán)境造成很大的負(fù)面影響。舉個(gè)真實(shí)的案例，支付寶為了防止不法分子冒充工作人員向用戶騙取手機(jī)校驗(yàn)碼，曾經(jīng)在發(fā)送短信校驗(yàn)碼的短信文案中明確寫(xiě)到“淘寶或支付寶工作人員不會(huì)向您索取短信校驗(yàn)碼”。有一次，一位用戶接到一位假客服的電話，假客服以幫她處理交易為由向她索取校驗(yàn)碼，這位用戶跟假客服說(shuō)，“短信里面說(shuō)了工作人員不會(huì)向我索取短信校驗(yàn)碼的?！奔倏头赡芤彩庆`機(jī)一動(dòng)，回答說(shuō)，“我不是淘寶和支付寶的，我是賣(mài)家?！边@位用戶就把校驗(yàn)碼告訴假客服了。為此，支付寶只好更改了短信校驗(yàn)碼的文案，明確說(shuō)明“任何索取短信校驗(yàn)碼的行為均是詐騙行為?！奔词惯@樣，用戶被騙取短信校驗(yàn)碼的情況還是不能絕跡。因?yàn)檫@類非法騙取驗(yàn)證碼的行為很多是有組織的實(shí)施，加上受害者的防范意識(shí)比較薄弱，成功騙取的概率始終是存在的。電子銀行和第三方支付想要很好的控制這種非法行為，存在很大的難度。設(shè)備行為分析的優(yōu)勢(shì)：你可以易容，但你的行為特征很難改變?yōu)榱私档椭Ц讹L(fēng)險(xiǎn)而引入了身份認(rèn)證，但是身份認(rèn)證過(guò)程本身也存在被攻擊的可能性。那么，能否減少網(wǎng)絡(luò)行為中的“身份認(rèn)證”環(huán)節(jié)呢？答案是肯定的。不法分子可能通過(guò)各種方式掌握你的密碼，騙取你的校驗(yàn)碼，但他要完全使自己的行為特征跟你相似，那就要難得多。就好像整容很容易，但要改變你的行為特征卻很難一樣。能夠通過(guò)這樣的數(shù)據(jù)化、技術(shù)化的手段去控制風(fēng)險(xiǎn)，這就是互聯(lián)網(wǎng)做安全的優(yōu)勢(shì)。事實(shí)上，通過(guò)對(duì)用戶支付行為的習(xí)慣數(shù)據(jù)進(jìn)行分析來(lái)進(jìn)行身份認(rèn)證，可以很好的減少在支付過(guò)程中身份認(rèn)證對(duì)用戶的打擾。用戶在網(wǎng)絡(luò)上的行為都會(huì)留下“信息”，比如在什么時(shí)間支付、購(gòu)物的金額、使用什么樣的網(wǎng)絡(luò)。行為在一段時(shí)間之內(nèi)形成規(guī)律，就好比某個(gè)人習(xí)慣用左手寫(xiě)字。通過(guò)分析這種行為習(xí)慣，就可以知道用戶的真實(shí)身份。網(wǎng)絡(luò)行為一般包含5個(gè)方面的因素：在什么時(shí)間、使用什么設(shè)備、賬號(hào)、登錄什么網(wǎng)站、做了什么。在網(wǎng)絡(luò)上，一個(gè)人能獲取到的設(shè)備是有限的，一般是辦公室電腦、家里電腦、手機(jī)等。如果在一個(gè)“可信”的設(shè)備上登錄系統(tǒng)，那么當(dāng)前行為的可信度就較高。那么設(shè)備又是行為分析中的關(guān)鍵點(diǎn)。我們可以給每個(gè)設(shè)備一個(gè)“可信度”，用戶的行為與設(shè)備進(jìn)行關(guān)聯(lián)，每次用戶的行為都可以動(dòng)態(tài)的改變“可信度”。一次可信的、合法的行為會(huì)增加可信度，一次不可信的、非法的行為會(huì)減少可信度。而增加和減少的“度”，是通過(guò)一套復(fù)雜的模型，采用機(jī)器學(xué)習(xí)的方式獲得。這樣就圍繞設(shè)備形成一個(gè)閉環(huán)，“輸入-處理-輸出-反饋”。除了可以改變用戶直接使用的設(shè)備的可信度，甚至還可以通過(guò)“設(shè)備”與“設(shè)備”之間的關(guān)聯(lián)關(guān)系動(dòng)態(tài)改變?cè)O(shè)備的可信度。比如，用戶A使用手機(jī)A，使用聲波支付給用戶B的手機(jī)B轉(zhuǎn)賬1000塊，那么除了手機(jī)A的可信度提升，手機(jī)B的可信度也可以相應(yīng)提升。分析設(shè)備直接的關(guān)系同樣也可以建立一套復(fù)雜的模型。因?yàn)橛脩艟W(wǎng)絡(luò)行為會(huì)映射到設(shè)備的操作行為，所以通過(guò)對(duì)設(shè)備可信度的分析，就可以知道行為的風(fēng)險(xiǎn)有多高。而且這個(gè)過(guò)程中，不需要用戶主動(dòng)安裝數(shù)字證書(shū)或者硬件盾，不需要接收校驗(yàn)碼，對(duì)用戶的體驗(yàn)也會(huì)有明顯提升。隨著移動(dòng)互聯(lián)網(wǎng)興起，地理位置定位、加速度感應(yīng)等成為主流智能手機(jī)的標(biāo)準(zhǔn)配置。智能設(shè)備上的傳感器，就好比人的五官，不斷的采集周?chē)h(huán)境的信息，這就為設(shè)備行為的分析提供更豐富的數(shù)據(jù)。這些智能化的設(shè)備散步在世界的每個(gè)角落，分分秒秒都在生產(chǎn)和傳輸信息；未來(lái)的挑戰(zhàn)，不是用于分析的數(shù)據(jù)不夠，而在于對(duì)如此龐大數(shù)據(jù)的儲(chǔ)存和分析能力。通過(guò)設(shè)備行為分析的方式去控制風(fēng)險(xiǎn)，只是通過(guò)大數(shù)據(jù)的方法去進(jìn)行風(fēng)險(xiǎn)控制的一種。在國(guó)外paypal就沒(méi)有