随着在线市场的不断壮大，它们成为网络犯罪的诱人目标。网络犯罪通常利用凭证填充和其他手段入侵并接管合法用户账户，用于实施欺诈。
Poshmark与Cequence Security合作，通过API阻止来自自动化机器人攻击的恶意活动，这些活动曾危及网站的安全性和稳定性。
账户接管尝试增加与快速增长并存
Poshmark的安全团队注意到，利用凭证填充来侵害用户账户的新型自动化账户接管（ATO）攻击种类有所增加。他们发现这种攻击增长同时出现在其Web和API应用程序中，而这两者均未具备任何用于检测和阻止此类自动化攻击的API保护功能。传统方法干扰了用户体验
为了识别并阻止疑似自动化攻击，安全团队启用了CAPTCHA验证码挑战，但这不仅破坏了用户体验，还为用户注册和登录带来了障碍。他们正在寻找一种能够阻止自动化欺诈攻击，同时改善买家和卖家体验的安全解决方案。Cequence与该在线零售商合作，帮助部署了Cequence统一API保护（UAP）解决方案。
安全团队的目标是与Cequence共同实现以下成果：
- 内联阻断：实时阻断所有恶意机器人流量，确保只有真实用户流量到达应用程序，且误报率极低。
- 消除验证码：不再依赖验证码作为识别机器人活动的主要方式。
- 轻松快速部署：与其他安全解决方案不同，他们希望避免集成移动SDK和JavaScript插桩所需的软件周期。
该市场需要一个能够在不干扰合法用户体验的情况下阻止恶意活动的解决方案。
数天内实现安全转型
在部署Cequence统一API保护后，他们能够在恶意机器人流量到达应用程序之前实时予以拦截。这使得Poshmark能够优化用户体验，并确保只有合法用户才能在其平台上活动。现在，Poshmark能够实现以下目标：
- 内联阻断：实时阻断恶意机器人流量，确保只有合法用户流量到达其关键业务应用程序。
- 防止虚假账户：阻止在移动端和网站创建用于实施恶意活动的虚假账户。
- 遏制下游影响：通过阻止账户接管（ATO）攻击和恶意用户注册，他们显著降低了可靠性、正常运行时间和欺诈等下游影响。
- 真实评论：确保列出的商品上的所有新评论均来自真实用户，而非来自自动化机器人的虚假评论。
- 用户体验：提升用户体验，仅对可疑流量提供验证码挑战，以预防机器人活动。
根据Cequence的案例研究，Poshmark的安全团队减少了因恶意活动生成的虚假列表而导致的已售商品取消订单。
他们还成功将验证码挑战的影响降低了99.3%，大多数登录不再需要验证，并阻止了超过609,000次账户接管（ATO）攻击尝试，预计节省了2,192,400美元的潜在账户损失。
账户接管欺诈绝非Poshmark独有，大多数大型在线市场都是这些不良行为者的目标。
但据我的经验，像Poshmark和Cequence在此案例研究中展现出的透明度是罕见的。
为Poshmark点赞，他们认真对待这一问题，与专家合作解决该问题，并坦诚面对他们在确保所有用户 marketplace 安全方面所面临的挑战！