近幾年大家都多多少少聽(tīng)過(guò)薅羊毛這個(gè)詞，其背后實(shí)際存在一條產(chǎn)業(yè)鏈，俗稱黑產(chǎn)，他們始終在暗處盯著各家公司的營(yíng)銷業(yè)務(wù)，一旦嗅出利益或者漏洞，會(huì)通過(guò)各種方式獲取廉價(jià)資源，比如IP、手機(jī)號(hào)、證件號(hào)、設(shè)備數(shù)據(jù)，并利用這些資源偽裝成線上真實(shí)的用戶數(shù)據(jù)，通過(guò)參與營(yíng)銷活動(dòng)來(lái)騙取公司的營(yíng)銷利益。整個(gè)黑產(chǎn)鏈有明確的上、中、下游的分工，上游主要是一些技術(shù)型的輸出，也就是一些懂技術(shù)的編程人員負(fù)責(zé)一些軟件的輸出，比如打碼平臺(tái)、改機(jī)工具等，中游主要負(fù)責(zé)從卡商或者其他第三方獲取資源，比如常規(guī)需要的認(rèn)證三要素手機(jī)號(hào)、身份證、姓名等，下游的主要負(fù)責(zé)與各個(gè)公司對(duì)接，也就是將數(shù)據(jù)“打通”到各個(gè)業(yè)務(wù)線，最終獲取利益，當(dāng)然這還不是最后一步，最后還需要銷贓，也就是如何快速脫手這些非法的利益。

舉個(gè)簡(jiǎn)單的例子，某家公司需要通過(guò)拉新來(lái)獲取新客源，從而進(jìn)一步擴(kuò)大的市場(chǎng)份額，黑產(chǎn)可通過(guò)從黑市購(gòu)買的手機(jī)號(hào)（實(shí)名注冊(cè)的號(hào)碼或者虛擬號(hào)碼）、證件號(hào)、銀行卡號(hào)，然后利用接碼平臺(tái)，批量注冊(cè)大量新用戶，這個(gè)時(shí)候如果業(yè)務(wù)方只關(guān)注增量規(guī)模指標(biāo)，就很難發(fā)現(xiàn)數(shù)據(jù)背后的貓膩，但如果關(guān)注訂單轉(zhuǎn)化率，就會(huì)發(fā)現(xiàn)轉(zhuǎn)化率這個(gè)指標(biāo)并沒(méi)有達(dá)到預(yù)期的增長(zhǎng)，而營(yíng)銷活動(dòng)的目標(biāo)人群也并沒(méi)有受益很多，因?yàn)橹饕睦孢€是讓黑產(chǎn)截取了。以上只是簡(jiǎn)單地描述，實(shí)際真實(shí)情況遠(yuǎn)遠(yuǎn)要復(fù)雜得多。正常來(lái)說(shuō)，一家營(yíng)銷業(yè)務(wù)完善的公司會(huì)包含業(yè)務(wù)安全體系，會(huì)從營(yíng)銷活動(dòng)的安全評(píng)估、到上線的事前、事中、事后再到最后的閉環(huán)調(diào)優(yōu)迭代，都是完整且有序的，換句話說(shuō)，業(yè)務(wù)安全是為整個(gè)業(yè)務(wù)健康正常運(yùn)轉(zhuǎn)提供強(qiáng)有力地支撐。

當(dāng)營(yíng)銷策劃敲定后，為了確保營(yíng)銷活動(dòng)能夠按照業(yè)務(wù)方的目標(biāo)方向正確執(zhí)行，業(yè)務(wù)安全團(tuán)隊(duì)需要對(duì)整個(gè)活動(dòng)做一次評(píng)審布控，整個(gè)流程可簡(jiǎn)單分為8個(gè)部分，當(dāng)然根據(jù)不同的業(yè)務(wù)類型以及公司規(guī)?？捎兴町?。

調(diào)研評(píng)估的首要重點(diǎn)是確保營(yíng)銷業(yè)務(wù)無(wú)重大安全缺陷，這里的無(wú)安全缺陷指的是活動(dòng)設(shè)計(jì)要有界定范圍，比如是否確認(rèn)目標(biāo)人群、是否設(shè)置參與門檻，這個(gè)是安全評(píng)審的重中之重，因?yàn)槿绻@樣的缺陷存在，則風(fēng)控設(shè)計(jì)再完美也無(wú)回天之力去對(duì)抗黑產(chǎn)，例如之前拼多多和星巴克的無(wú)門檻券。

情報(bào)搜集包含兩部分內(nèi)容：對(duì)本活動(dòng)/本公司的情報(bào)搜集以及對(duì)同行同類業(yè)務(wù)的搜集，主要關(guān)注黑產(chǎn)使用的技術(shù)手段以及相關(guān)資源數(shù)據(jù)的特征記錄。

風(fēng)控的基礎(chǔ)也是數(shù)據(jù)，在數(shù)據(jù)充足積累的前提下才能有效地識(shí)別風(fēng)險(xiǎn)，因此如何埋點(diǎn)、埋哪些點(diǎn)是這一步的關(guān)鍵點(diǎn)。對(duì)于埋點(diǎn)，一般來(lái)說(shuō)可參考正常用戶參與活動(dòng)的整個(gè)行為軌跡來(lái)埋點(diǎn)，比如正常用戶的軌跡是下載、注冊(cè)、登錄、瀏覽、參與活動(dòng)、兌換，那可在這6個(gè)地方進(jìn)行埋點(diǎn)；對(duì)于具體埋點(diǎn)的數(shù)據(jù)，主要需依據(jù)風(fēng)控人員對(duì)風(fēng)險(xiǎn)類型的理解和策略的設(shè)計(jì)來(lái)挑選。

最早的風(fēng)控是從名單/標(biāo)簽識(shí)別開(kāi)始的，雖然現(xiàn)在已經(jīng)進(jìn)入智能風(fēng)控，但該方法依然直接有效，主要根據(jù)不同的風(fēng)險(xiǎn)類型選擇適合的名單/標(biāo)簽即可。

規(guī)則策略制定需要遵循三點(diǎn)：簡(jiǎn)單、有效、易守，這個(gè)要點(diǎn)在實(shí)時(shí)對(duì)抗過(guò)程中更為突出。簡(jiǎn)單的意思是規(guī)則策略盡可能容易計(jì)算和調(diào)整，每一條規(guī)則策略的背后都是決策引擎在做海量計(jì)算，因此在制定時(shí)需要考慮到性能和計(jì)算效率；有效的意思是能從準(zhǔn)確度和覆蓋度兩方面有效識(shí)別風(fēng)險(xiǎn)；易守的意思是不容易被黑產(chǎn)識(shí)別和繞過(guò)；另外，在營(yíng)銷反欺詐里，可通過(guò)用戶畫像、評(píng)分模型、圖社區(qū)模型等有效識(shí)別異常用戶，其中通過(guò)設(shè)計(jì)用戶畫像的標(biāo)簽可協(xié)助風(fēng)控人員識(shí)別異常用戶，評(píng)分模型則會(huì)對(duì)用戶的行為做不同的風(fēng)險(xiǎn)評(píng)級(jí)，圖關(guān)聯(lián)模型則可有效識(shí)別用戶所在的社區(qū)以及社區(qū)大小，以上這些模型都可以有效識(shí)別諸如羊毛黨之類的異常用戶。

與業(yè)務(wù)的事中監(jiān)控類似，業(yè)務(wù)安全部門同樣需要在事前準(zhǔn)備好看板，這個(gè)里面會(huì)涉及與風(fēng)控相關(guān)的指標(biāo)，比如風(fēng)險(xiǎn)識(shí)別率、不同決策的分布等等。

處罰機(jī)制是風(fēng)控設(shè)計(jì)的一個(gè)重要環(huán)節(jié)，因?yàn)闀?huì)直接影響用戶的使用體驗(yàn)，因此此環(huán)節(jié)需要與業(yè)務(wù)部門達(dá)成一致方可實(shí)施，目前行業(yè)內(nèi)比較通用的處罰手段有三種：打標(biāo)簽、挑戰(zhàn)、懲罰。

當(dāng)營(yíng)銷活動(dòng)正式上線時(shí)，風(fēng)控部門一方面需要與業(yè)務(wù)部門保持信息同步，比如庫(kù)存的消耗，另一方面需要關(guān)注風(fēng)控指標(biāo)的變化，當(dāng)風(fēng)控預(yù)警產(chǎn)生后，需及時(shí)快速地分析、挖掘這些變化背后的原因，并快速調(diào)整策略與黑產(chǎn)繼續(xù)對(duì)抗。

在這個(gè)過(guò)程中，風(fēng)控部門需要搭建針對(duì)營(yíng)銷活動(dòng)的風(fēng)控指標(biāo)體系，形成可視化工具以及預(yù)警搭配使用的機(jī)制，當(dāng)預(yù)警產(chǎn)生后，可通過(guò)指標(biāo)數(shù)據(jù)的變化快速感知風(fēng)險(xiǎn)，比如某個(gè)渠道的參與營(yíng)銷活動(dòng)用戶量激增后，其他關(guān)聯(lián)指標(biāo)比如風(fēng)控決策結(jié)構(gòu)、IP結(jié)構(gòu)是否發(fā)生變化等等。

黑產(chǎn)感知風(fēng)控?cái)r截后會(huì)試探用各類方式去突破風(fēng)控，比如調(diào)整發(fā)送頻率、增加作案工具等，對(duì)于短期的營(yíng)銷活動(dòng)，需要風(fēng)控人員具備快速分析數(shù)據(jù)的能力，能從海量數(shù)據(jù)中挖掘數(shù)據(jù)的異常特征，并轉(zhuǎn)化為規(guī)則策略快速調(diào)試上線；對(duì)于長(zhǎng)期的營(yíng)銷活動(dòng)，可通過(guò)社區(qū)關(guān)聯(lián)、情報(bào)信息以及業(yè)務(wù)反饋不斷提高對(duì)抗效率。

當(dāng)活動(dòng)結(jié)束下線后，業(yè)務(wù)安全團(tuán)隊(duì)需要根據(jù)此次產(chǎn)生的案件特征做總結(jié)和復(fù)盤，主要分為三點(diǎn)：

黑產(chǎn)攻擊營(yíng)銷活動(dòng)的目的基本都是為發(fā)放的利益而來(lái)，通過(guò)追蹤到的利益最終消費(fèi)端，可知本次活動(dòng)黑產(chǎn)的獲利點(diǎn)概況，為業(yè)務(wù)后續(xù)的活動(dòng)策劃提供參考信息。

每次攻擊的特征都需要總結(jié)并歸檔到案件庫(kù)的原因有兩點(diǎn)：一方面當(dāng)產(chǎn)生客訴時(shí)，便于業(yè)務(wù)部門溯源被攔截的原因，另一方面有助于事后分析風(fēng)控的效果，并為研究黑產(chǎn)的技術(shù)趨勢(shì)提供參考樣本。

規(guī)則策略的調(diào)優(yōu)要靠事后的正樣本去反哺，這些正樣本可以來(lái)自客訴、各類決策驗(yàn)證結(jié)果、業(yè)務(wù)的反饋以及情報(bào)信息，可以調(diào)整新的特征、維度、閾值等，總之這一步是風(fēng)控事后的關(guān)鍵步驟。

營(yíng)銷安全是一個(gè)需要持續(xù)知識(shí)迭代更新的領(lǐng)域，不僅因?yàn)槠渑c快速更新的互聯(lián)網(wǎng)營(yíng)銷緊密關(guān)聯(lián)，而且背后的黑產(chǎn)鏈也在不斷研發(fā)新的攻擊和對(duì)抗工具，自知“路漫漫其修遠(yuǎn)兮，吾將上下而求索”，以上文字僅是本人在這個(gè)行業(yè)里幾年沉浮的淺薄經(jīng)驗(yàn)，后續(xù)也會(huì)陸續(xù)將所思所得給大家分享出來(lái)。

-END-