年末,雙十一、黑色星期五、雙十二紛至遝來,購物狂潮席捲大江南北的同時,電商詐騙也在你的附近蟄伏。
“客服”騙走女大學生一年學費
周玲(化名)是山東某大學的一名在校生,今年8月2日,她在網上給表妹買了衣服鞋子,因表妹回四川老家,她又聯繫商家將收貨地址從西安改成了四川。
當天下午,一個自稱客服的陌生電話打過來告知周玲稱,其購買的貨物丟失需加微信給予賠償。接收到對方發來的二維碼後,周玲點擊識別立馬顯示貨物訂單異常。
隨後,周玲按照對方要求,又通過二維碼輸入了支付寶賬號,剛收到驗證碼,語音就提示綁定支付寶的銀行卡被凍結,無法打進賠償款。
見銀行卡凍結,慌亂之際周玲又聽信對方要求,將6700元紅包轉入對方卡中試圖解凍。詐騙者並未立刻收手,而是主動讓周玲獲悉餘額寶錢款不見的事實,繼而以其餘額寶也被凍結為由,指導其在一家借貸店舖申請1500元借貸,並表示之後可將貨物賠償款和已被轉走的錢一併還給周玲。
再次按提示完成操作後,周玲才發現這是一個騙局,自己總計被騙走了8200元,對於她而言,這相當於一年的學費,無奈選擇報警。所幸,公安機關全力偵查,幫助周玲追回了被騙的8200元。
商家資訊洩露過半來自“內鬼”
近年,像周玲因網路購物遭遇詐騙的經歷並不少見。無論是京東還是亞馬遜等電商平臺,同樣面臨用戶資訊被洩露,遭遇假冒電商客服詐騙買家的困擾。2013年以來,京東幾乎每年都會對外發佈聲明,稱接到消費者反映有不法分子打著京東名義,通過京東客服電話極為相似的號碼向消費者索要銀行卡和手機驗證碼,或聲稱消費者中獎、向消費者電話推銷打折卡等實施詐騙。
據電子商務生態安全聯盟發佈的《白皮書》報告分析稱,整個電商生態中,從平臺到商家再到ISV(服務商)和物流,都會有資訊洩露風險。這些環節資訊洩露的比例依次為10%、36%、19%和35%。
商家洩露資訊大部分是因內部人員和賬號出問題,即通常所説的“內鬼”。如商家內部員工為謀取私利,通過直接出售數據或賬號給詐騙分子,從中獲取非法收入。此外,黑産分子還會偽裝稱客服到府應聘,在獲取賬號許可權後批量下載數據再借機離開,這類情況通常發生在商家聚集的廣東地區,且多為團夥流竄作案。
“假冒買家的騙子還會通過其他聊天軟體,給商家客服發送會觸發木馬下載的文檔或圖片等,並謊稱是自己需要購買的貨品清單,沒有防備的商家客服往往會順勢點開中招。”一位業內資深安全專家介紹稱,這類內鬼風險也是主要的資訊洩露源,佔到商家資訊洩露的56%。
服務商洩露資訊不容小覷
在周玲一案中,經西安警方偵查發現,周玲提出更換收貨地址後,商家曾將她的相關資訊發送至了有物流人員和黑産者在內的QQ群。
辦案民警介紹稱,黑産人員往往會通過搜索類似“物流”“快遞”等關鍵詞,加入到物流快遞QQ群,用戶資訊也因此容易被黑産者盜取並販賣。警方初步判斷,該類QQ群是周玲資訊被洩露的根源。
按照電子商務生態安全聯盟白皮書調研,物流和服務商環節洩露用戶資訊的情況也不可小視。
在物流環節,因物流公司大部分採取加盟模式,部分倉庫、網點存在倉內局域網作業情況,導致應用系統呈現多級數據存儲的架構,極大增加了數據管理的複雜程度。同時,物流從業人員流動性大,尤其是在歷年大促期間,大量臨時的分揀、派件人員加大了電商交易資訊在物流環節發生資訊洩露的不可控因素,常見的人員問題包括面單拍照、賬號買賣、內部人員批量數據導出等情形。
而ISV(服務商)在電商生態中,主要會給商家提供開發應用系統,如進行商品、會員和訂單的管理。這一環節掌握著各電商平臺的不同商家訂單資訊。
無論是京東、淘寶還是亞馬遜等電商平臺商家,通常存在使用相同ISV的情況,意味著一旦這些跨店舖、跨平臺的ISV服務商出現資訊洩露,往往會殃及多家平臺。
通常情況下,騙子在掌握了詳細或部分受害者資訊後,會通過電話、短信等方式聯繫受害者,用掌握的受害者資訊獲取信任,然後引導受害者進行掃碼支付、線上轉賬、ATM機轉賬、在釣魚網站中填寫資金賬戶資訊、從借貸産品借出資金,並將資金轉入騙子賬戶或者線上進行虛擬商品消費或購買基金産品。
資金到達騙子賬戶後詐騙者會迅速將資金分拆轉入二級、三級黑卡,然後進行消費或由專門的黑産者在全球各地取現。騙子的藉口各式各樣,目的都是騙取受害者卡中的錢款和誘導借貸出來的錢款。
目前北京、上海、廣東、浙江、江蘇、山東、河北、江西等省市欺詐事件較為頻發且資損較大,但詐騙者來源地則主要集中在福建和廣東兩省。
電商建立全鏈路數據安全能力
近日,中國電信廣東公司在廣州舉辦以“溫柔藏刀”為主題的防範通訊資訊詐騙創意快閃活動。在現場,觀眾使用準備好的“詐騙劇本”和手機給自己的親朋好友打個電話,通過換位思考的方式,了解騙子思維。在這個過程中,不少觀眾認識了電商詐騙的場景和套路。
當前,在反制電商詐騙中,部分電商平臺也作出了技術創新。近年,阿里巴巴就針對數據安全風險的防範,提煉出了一套數據安全能力成熟度模型(DSMM),用來評估企業和機構在數據安全整體上的能力水準,指導電子商務生態內的各類企業和機構進行數據安全體系建設工作。
而其全鏈路數據安全防控技術與産品體系——禦城河的數據洩露風險檢測及溯源技術,可預警商家、服務商、物流環節在內的內鬼操作、賬號風險、異常訪問行為、木馬風險等各類數據風險。該系統每天會幫助服務商分析6.5億次核心數據訪問行為並攔截風險,每天幫助物流商分析6000萬次核心數據訪問行為,已有超過300萬商家的近800萬終端也在使用受禦城河保護的服務商或物流應用。
在購物狂歡的年末,安全專家提醒,在網上購物後,若接到自稱客服退款等陌生電話,一律不要輕信,也不要加QQ或微信私聊。如果用戶錢款已被詐騙,也千萬不要再次聯繫詐騙電話,應該及時保留證據並立即報警。
“陌生人發來的任何網頁或二維碼連結都不要輕易點擊查看。”安全專家特別強調。南方日報記者 姚翀
(責任編輯:曹婕)