在网络世界中有一种威胁，不是来自于木马病毒，也不是APT、DDoS攻击等，而是欺诈。数字身份解决方案公司ThreatMetrix发布的最新网络犯罪报告显示，2016年因网络欺诈发生的在线借贷交易遭受的攻击超过100万次，造成的损失预计超过100亿美元。
这些因网络欺诈发生的攻击载体包括设备冒用、身份冒用、IP地址冒用、浏览器中间人（MITB）或机器人攻击等。网络欺诈攻击行为大多发生在电子商务、金融、信贷、第三方支付等行业领域，从其造成的损失也可以看出，网络罪犯围绕交易环节实施欺诈攻击有利可图。ThreatMetrix数据显示，来自亚太地区的交易风险尤高，身份冒用攻击几乎是全球平均水平的两倍，并日益成为网络罪犯的“聚集地”。
为了应对网络身份欺诈攻击，其实不论在金融机构还是在大型电商企业都成立了专门的防范部门，也就是我们常说的风控部门，风控部门去判断区分哪些是由真实用户发起的正常交易行为，哪些是欺诈交易。
风控应对的无论是现实世界中还是网络世界中一个越来越严重的问题——信任，然而欺诈攻击挑战的就是社会的信任法则。
ThreatMetrix2017亚太数字身份峰会
近日，ThreatMetrix2017首届亚太数字身份峰会在香港召开，峰会正是围绕“信任”这个主题展开。我们该如何建立数字世界中的网络信任，并让网络和身份欺诈无“用武之地”，这对网络服务提供者、产品方案提供方，甚至监管方都是越来越不能被忽略的课题。
建立数字世界中的网络信任
ThreatMetrix首席营销官Armen Najarian表示：“正如货币推动全球经济，用户身份认证和可信的数字身份已成为推动网络经济的新因素。蓬勃发展的数字经济取决于在线建立可信赖的身份和行为。”
然而要建立这份信任或区分可信赖的身份并不容易，就拿账户创建欺诈来说，攻击者利用窃取、盗取或合成的身份，通过一个冒用的位置来创建新账户以访问在线服务或获取信贷额度等，面对攻击者的迷魂阵，企业运营主体要想“去其糟泊”并不容易。
ThreatMetrix报告指出，网络罪犯利用自动机器人攻击数据最多且后果致命，随着诈骗犯试图通过测试、验证及扩充身份数据将大规模数据泄露中攫取的凭证货币化，这种攻击对亚太地区市场的影响日益加深。同正当人流一样运行的机器人特别难以检测，且有时在一家服务提供方的日流量中比正当交易所占比重更大，这种趋势另企业担忧。
企业风控部门如何解决这一状况？通过一组数据不难看出，与全球数据相比，亚太地区的被拒绝登录交易的比例最高，来自中国的交易中有15%均是被拒绝的。部分原因在于跨境交易的数量众多，这些交易比国内交易更易遭受机器人攻击以及位置冒用。这说明，企业在处理存在更高风险的跨境登录交易时更加谨慎小心。
然而，这样的处理方式往往也增加了信任用户的成本，并导致用户的流失率。
不过，对于很多运营服务提供者来说，这样的风控操作有时也是无奈之举。在潜在的风险面前，他们宁愿选择更稳妥的方式处理。对于国内的电商、银行或其他大型在线服务提供者来说，面对国内的网络或身份欺诈他们也许有很好的应对办法，基于庞大的数据量，对很多用户进行了“画像”，哪个是真实用户操作，哪个是欺诈用户操作，服务提供方有很好的区分和判断。
但跨境交易则困难很多，携程风险管理总监刘江告诉记者，跨境交易有很多的不确定性和不可控性，他们对于跨境用户的“识别”能力不足，且线上交易流程和环境与国内不同。所以，需要借助第三方能力帮助识别跨境交易中的正常用户交易还是欺诈交易，从而增强数字世界中的网络信任。
ThreatMetrix如何预防欺诈网络犯罪
ThreatMetrix帮助4500家客户支持30000个网站每年进行200亿美元的交易，ThreatMetrix CEO Reed Taussig在接受至顶网采访时表示，ThreatMetrix是唯一一家全球性的数字身份解决方案服务商，并具备一个真正全球化、动态且实时的精准数字身份数据库。
“比如美国一个用户的手机从来没有在中国大陆出现过，中国的服务商可能很难判断其‘身份’，但ThreatMetrix能够轻而易举地对其识别。”Reed Taussig说。
据介绍，支付宝选择ThreatMetrix为独家跨境数字身份解决方案提供商，目的就是增强其跨境业务中的身份信任基础。
ThreatMetrix Digital Identity Network收集数以亿计的每日消费者（收集自成千上万的网站及数以亿计的移动设备）交易活动，包括登录、付款和新帐户启用，还详细记录欺诈活动。通过分析设备、位置、行为、检测到的威胁与关键匿名个人信息之间千丝万缕的联系，聚合成用户的真实数字身份。ThreatMetrix的平台将高级行为分析和机器学习算法应用于这个巨大的元数据存储库，以检测用户行为模式和异常情况。
Reed Taussig指出，很多防范身份欺诈的厂商在数据方面仍然是一个个孤岛，他们去控制自己的数据库而不会分享，这也就限定了其发挥的作用。ThreatMetrix则不同，其数字身份数据库来源于多个方面，包括合作伙伴、客户、第三方平台等。这些数据结合高级行为分析和机器学习算法，也就让数字身份识别更智能、全面、高效。
Reed Taussig说，ThreatMetrix的数字身份解决方案提供了其他解决方案无法提供的内容和深度。
企业在移动端、网络和端点上只需接入ThreatMetrix平台，短短几毫秒内，他们就可以区分进行网络欺诈攻击的用户和可信任的用户。
Reed Taussig强调，最重要的是，这些进行身份识别和判断的行为对用户是无感知的。这也就意味着，在线服务提供方在解决身份欺诈问题的同时，而不会增加真实用户成本、从而导致用户流失。
原文发布时间为： 2017年4月20日
本文作者：陈广成
