移動設(shè)備，早就已經(jīng)成為了攻擊者的主要目標(biāo)，因此移動端詐騙攻擊的活動愈加頻繁也就不足為奇了。目前，有大約58%的數(shù)字交易活動是通過移動端設(shè)備發(fā)起的，而且現(xiàn)在的網(wǎng)絡(luò)攻擊活動中有1/3也是針對移動端設(shè)備的。在美國就更加嚴重了，每年全球針對移動端的詐騙攻擊增長率約為24%，但美國的同類攻擊增長率每年約為44%，你們說慘不慘…

[[245296]]

本文的數(shù)據(jù)來源于TreatMetrix發(fā)布的2018年第二季度網(wǎng)絡(luò)犯罪報告【PDF】，而這份報告的采樣數(shù)據(jù)來源于研究人員對2018年第一季度里176億條數(shù)字交易記錄的分析結(jié)果。

ThreatMetrix的高層Alisdair Faulkner表示：“移動端設(shè)備已經(jīng)迅速成為了人們訪問在線商城和網(wǎng)絡(luò)服務(wù)的主要方式了，因此針對移動端設(shè)備攻擊活動的數(shù)量迅速增長，這也在我們的意料之中。除此之外，無論用戶還是廠商，他們都喜歡移動端設(shè)備，而主要原因就是移動端設(shè)備可以當(dāng)做一個人的身份標(biāo)識。”

對于廠商來說，移動端交易比桌面端交易要更加安全。而對于用戶來說，移動端交易實現(xiàn)起來也更加方便。這個過程中交易機制的基礎(chǔ)規(guī)則為：獨立設(shè)備可以通過身份驗證機制來進行安全識別，而個人用戶能夠與移動端設(shè)備進行綁定，并通過內(nèi)置的生物識別功能(例如面部識別、聲紋識別和指紋識別)等健壯性較強的驗證機制來對個人用戶進行安全識別。

比如說，MasterCard(萬事達卡)就率先在用戶身份識別中采用了基于手機和生物識別的驗證方案，但這樣只會增加使用移動端設(shè)備完成金融交易的用戶數(shù)量，因為這種方式也是一把雙刃劍?？ò退够鶎嶒炇业陌踩芯繉＜褼avid Emm認為：“存儲在服務(wù)提供商的數(shù)據(jù)庫里的生物識別數(shù)據(jù)跟用戶名和密碼一樣，是有可能被網(wǎng)絡(luò)犯罪分子竊取的。一旦發(fā)生了數(shù)據(jù)泄露，客戶的用戶名和密碼能夠修改，但生物識別數(shù)據(jù)卻是沒法修改的，因為這種數(shù)據(jù)你一輩子都無法改變(整容也沒用啊…)”

Faulkner補充說道：“但好消息就是，隨著移動端設(shè)備的使用頻率迅速增長，用戶的總體識別成功率也在隨之增高，因為各種移動端App為了搶奪市場，他們會設(shè)計出各種各樣更高精準(zhǔn)度的用戶身份識別技術(shù)。然而，整個過程最關(guān)鍵也是最脆弱的環(huán)節(jié)就在于應(yīng)用程序的注冊階段以及用戶賬號的創(chuàng)建階段。”

需要注意的是，針對移動端設(shè)備的攻擊活動很可能會在短期之內(nèi)迅速增加，尤其是在歐洲的PSD2(開放銀行條款)發(fā)布之后，而這一條款的主要目的就是推動新興金融科技公司以及相關(guān)應(yīng)用程序的增長和發(fā)展。這樣一來，又會有更多的網(wǎng)絡(luò)犯罪分子將他們的“矛頭”指向這些“新人”，這也是不可避免的。其實整個金融服務(wù)行業(yè)已經(jīng)徘徊在了改革的“懸崖”邊上，而歐洲地區(qū)的各大銀行也在小心翼翼地等待著，他們都在思考如何向第三方供應(yīng)商(賬戶信息服務(wù)提供商或支付服務(wù)提供商)開放API接口才能讓大家都滿意。

[[245297]]

目前，最大的威脅來自于設(shè)備欺騙，欺詐攻擊者會嘗試欺騙銀行讓他們認為此次“登錄嘗試”來自于新的用戶設(shè)備，而目前有超過5%的交易嘗試來被認定為此類攻擊。身份欺騙則是第二大威脅，約占3.6%，但對于針對金融服務(wù)的特定攻擊來說，網(wǎng)絡(luò)犯罪分子通常會使用的是憑證竊取，而非身份欺騙。除此之外，這一季度有25%的新增電子商務(wù)賬號應(yīng)用都是欺詐攻擊的產(chǎn)物，而這一數(shù)字跟2017年同期相比增加了130%。

其他常見的攻擊類型包括IP欺騙、基于瀏覽器的中間人攻擊或BOT攻擊。使用僵尸網(wǎng)絡(luò)發(fā)動的攻擊活動也越來越頻繁了，2018年第二季度總共檢測到了26億次BOT攻擊，相較于2018年第一季度增長了60%，而這些BOT會使用自動化腳本和竊取到的憑證來嘗試訪問目標(biāo)賬號或進行欺詐交易。

ThreatMetrix還警告稱，隨著全球金融體的連接緊密度在不斷加深，企業(yè)需要確保他們能夠動態(tài)地去識別和分析各種欺詐活動，而此時基于行為的欺詐檢測系統(tǒng)就可以“大放異彩”了。