【Data Story】大数据的支付安全保卫战

骗子的技术手段

1、盗刷银行卡

《央视新闻网》曾报道，河南电视台《都市报道》频道的记者曾经在一个盗刷银行卡的QQ群卧底几个月，见识了银行卡复制的强大威力—只要拿银行卡在上面刷一下，十秒钟就能读出包括密码在内的银行卡信息并复制出一张新卡。通过交易，对方向记者提供了一份银行卡信息目录：上海储户信息38000条，山西储户信息17500条，山东储户信息15000条，河南储户信息70600条等……记者花了8000元拿到了一台银行卡复制器，并买了一万条郑州储户的信息，为了验证信息的真实性，记住根据地址逐个核查，发现每一条信息都是真实的。贩卖机器、盗取信息、贩卖信息、刷卡套现已形成了一条隐秘而又完整的产业链。

2、窃取手机信息

《2015年度中国网站安全报告》显示，2015年全年，有43.9%的网站存在安全漏洞，存在高危安全漏洞的网站共有30.8万个，占总数的13.0%。共有1410个漏洞可能造成网站上的个人信息泄露,这些漏洞共涉及网站1282个,可能或已造成泄露的个人信息量高达55.3亿条。而我们平时用得最多的就是IT、互联网行业的网站。

3、病毒链接

说到伪基站，很多人并不陌生，估计很多人都中过他们的招。骗子们通过伪基站发送病毒链接，只要有人点开，就会落入骗子们设置好的陷阱，通过你填写的银行卡账号、密码盗取个人隐私信息。或者通过链接在手机内安装木马入侵手机窃取个人信息，甚至恶意吸费，劫持手机短信、验证码。

骗子一旦获取了个人的用户、账户信息及手机号码，并拦截短信验证码，那么很容易就在支付宝、百度钱包等支付平台攻城略地了，由于掌握信息的精确性，个人的补救措施都会无济于事，因为很容易被胜券在握的骗子们各个击破逐步瓦解。

反诈骗手段

信息泄露渠道是如此之多，但是生在互联网时代的我们，不能因为信息泄露就断绝与互联网的关联，也不能因为互联网的安全性就因噎废食或者患上时时迫害妄想症一般处于紧张焦虑之中，那么如何防范银行卡被盗刷、控制资金风险、拦截非法的交易呢？

1、自我安全意识：当把所有的安全都寄托在一个东西上的时候，本身就已经很不安全了。但是负责我们支付安全的相关安全机构和存储机构本身就应该负责我们的资金安全。

2、电信运营商：推广4G卡，因为4G卡基本上收不到伪基站的短信。但是在信号不好的时候，4G会逐步往下降级，降到3G和2G之后就可以接收到伪基站的短信。

3、银行：大力推广芯片卡，芯片卡被盗刷的风险较之磁条卡要低很多，但是随着芯片卡的普及，骗子们针对芯片卡的研究也紧随其后，盗刷芯片卡的复制设备也已被研制出来。

4、公安机关：启动监测工程，在重点区域部署侦码器，以侦查和识别伪基站。但是骗子们的反侦察技术也在不断升级。

5、大数据技术：通过沉淀的大数据+模型和算法进行用户身份验证，从而识别客户身份，判断交易风险，阻拦风险交易。

目前主要的大数据风控系统

大数据如何和与猖獗的骗子们进行对决，从而保护我们的钱财安然无恙呢？

1、蚂蚁金服智能风控大脑CTU：大数据是蚂蚁金服的核心，通过对海量的用户行为和关系网络数据进行预测性分析和建模，实现交易和账户风险的实时监控和预先识别。CTU利用多维度综合性的信息进行风险的评分，每一个维度都是评分的因素，在发生交易时，风控系统会根据评分结果做出相应的反应——交易支付或者交易拦截等。

案例：深圳的黄先生收到10086的一条中奖短信，要求提供个人信息，黄先生按照要求注册完毕。一小时后，“黄先生”在广州登陆支付宝购买Iphone5S，但CTU却判定该交易失败并进行了拦截。CTU的判断依据是：黄先生平时的支付习惯是手机支付，使用的是苹果手机，并通过地理位置来判断不可能在一个小时分别在深圳和广州两地进行购物。

2、腾讯FIT风控系统：利用微信社交平台沉淀的大数据，从身份、账号、银行卡、设备等等的维度展开，在登录、绑卡、支付等这几个非常重要的关节点上去做风险识别。具体是通过账户的基础属性，获知客户的注册时间、登录地址、好友分布、账户消费行为和交易金额等信息。然后将用户信息的每一个属性、行为定义为一个变量，每个变量发生变化时都会引起大数据警察的警觉，从而分析、评估这些变化的合理性，如果偏离了平时正常行为就认为存在风险。FIT的数据来源主要来自于QQ和微信。

案例：王先生收到来自一个陌生号码发来的链接，对方自称是王先生的好友XX，王先生毫无防备地点击了链接，导致手机感染病毒万元金额被盗。但是FIT却判断出资金的流动和王先生平时的交易行为不符，立即进行了拦截，核实情况后，将被盗资金返归给王先生。

通过以上案例发现，风控系统的任务就是分辨客户真假。那么他们的判断依据是什么呢？数据，大数据。首先需要积累足够多的大数据，进行数据沉淀。以上所有的大数据警察判断的依据都来自于大数据沉淀的相关信息，例如腾讯每天都有几十亿条大数据用来分析判断用户支付的环境是否安全。

大数据根据客户的一系列信息为其进行画像，虚拟出一个数据世界中的客户，然后通过大量的模型和算法来验证客户的身份。在发生资金交易的时候，大数据警察根据虚拟客户的特征来判断现实世界中发生交易的风险。这些画像和判断需要大量的数据沉淀，而且涉及到多行业跨领域的数据，例如判断网上支付风险时，个人身份信息、账户信息、手机号码信息都可能被盗窃，这时，就需要用户登录的城市或者实时的地理位置信息（手机支付）来进行对比判断，实时获取用户的地理位置，用户取款的地址或者通过提款机附近的商家来判断城市所在地等等（地图数据）。

大实时多源数据精确防范交易风险

道与魔的战争不会消失，面对数以亿计的账户和交易，如何在这些数据中甄别出极小量的高风险数据？虽然有支付平台的大数据警察防卫资金安全，但是骗子的技术也在不断更新换代，手段也日新月异，这就需要我们的大数据警察不断提升优化自己，而提升优化的前提是需要有更多源更全面、高质量、时效性强的数据，让算法变得更加强大，从而建立更多的模型，提高交易风险的识别度，提升拦截的精准度。

但是在目前，跨域数据的搜索和使用的成本非常高，更别提多源数据的协同合作了，蚂蚁金服和腾讯FIT的大数据支付风控系统大部分的数据也都是来自于自己的平台，但是这些数据是远远不够的，地理位置数据、地图数据、人口流动数据对于支付安全来说都起着举足轻重的作用。业内迫切需要第三方的平台、工具和服务来解决数据流通过程中的隐私、安全、权属等问题，进而帮助各行业推进数据的流通合作。

中关村大数据产业联盟数据标准委员会面向社会推出了国内第一个P2P模式的数据流通服务平台——DataHub，旨在为各行业提供一个开源、开放、去中心化的数据流通平台，搭建一个公开的数据互联网，倡导数据在阳光下自由有序的流动，让数据的流通变得简单便捷。目前，DataHub已经开始为中关村大数据产业联盟的会员单位提供服务。会员单位可以通过平台看到各行业的数据资源，并通过DataHub提供的开源产品，在本地管理自己的数据，还可以将数据目录和资源自助发布到平台，与外部进行合作。DataHub平台提供了认证、鉴权、计费等服务，从而保障需求方和提供方数据流通的安全。

数据是应用的基础原料，尤其对于需要多源数据融合，追求时效性和高质量数据的交易支付风控行业，更加需要广泛的数据合作。目前， DataHub平台已经链接了很多行业的数据，比如上面提到的地理位置数据、用户行为数据、用户基本信息、银行金融数据，此外还链接了人口流动数据、地图数据、车辆数据、旅游数据等。DataHub的愿景是让数据在阳光下流通，让天下没有难找的数据。