近幾年大家都多多少少聽過薅羊毛這個詞，其背后實(shí)際存在一條產(chǎn)業(yè)鏈，俗稱黑產(chǎn)，他們始終在暗處盯著各家公司的營銷業(yè)務(wù)，一旦嗅出利益或者漏洞，會通過各種方式獲取廉價資源，比如IP、手機(jī)號、證件號、設(shè)備數(shù)據(jù)，并利用這些資源偽裝成線上真實(shí)的用戶數(shù)據(jù)，通過參與營銷活動來騙取公司的營銷利益。整個黑產(chǎn)鏈有明確的上、中、下游的分工，上游主要是一些技術(shù)型的輸出，也就是一些懂技術(shù)的編程人員負(fù)責(zé)一些軟件的輸出，比如打碼平臺、改機(jī)工具等，中游主要負(fù)責(zé)從卡商或者其他第三方獲取資源，比如常規(guī)需要的認(rèn)證三要素手機(jī)號、身份證、姓名等，下游的主要負(fù)責(zé)與各個公司對接，也就是將數(shù)據(jù)“打通”到各個業(yè)務(wù)線，最終獲取利益，當(dāng)然這還不是最后一步，最后還需要銷贓，也就是如何快速脫手這些非法的利益。

舉個簡單的例子，某家公司需要通過拉新來獲取新客源，從而進(jìn)一步擴(kuò)大的市場份額，黑產(chǎn)可通過從黑市購買的手機(jī)號（實(shí)名注冊的號碼或者虛擬號碼）、證件號、銀行卡號，然后利用接碼平臺，批量注冊大量新用戶，這個時候如果業(yè)務(wù)方只關(guān)注增量規(guī)模指標(biāo)，就很難發(fā)現(xiàn)數(shù)據(jù)背后的貓膩，但如果關(guān)注訂單轉(zhuǎn)化率，就會發(fā)現(xiàn)轉(zhuǎn)化率這個指標(biāo)并沒有達(dá)到預(yù)期的增長，而營銷活動的目標(biāo)人群也并沒有受益很多，因?yàn)橹饕睦孢€是讓黑產(chǎn)截取了。以上只是簡單地描述，實(shí)際真實(shí)情況遠(yuǎn)遠(yuǎn)要復(fù)雜得多。正常來說，一家營銷業(yè)務(wù)完善的公司會包含業(yè)務(wù)安全體系，會從營銷活動的安全評估、到上線的事前、事中、事后再到最后的閉環(huán)調(diào)優(yōu)迭代，都是完整且有序的，換句話說，業(yè)務(wù)安全是為整個業(yè)務(wù)健康正常運(yùn)轉(zhuǎn)提供強(qiáng)有力地支撐。

當(dāng)營銷策劃敲定后，為了確保營銷活動能夠按照業(yè)務(wù)方的目標(biāo)方向正確執(zhí)行，業(yè)務(wù)安全團(tuán)隊(duì)需要對整個活動做一次評審布控，整個流程可簡單分為8個部分，當(dāng)然根據(jù)不同的業(yè)務(wù)類型以及公司規(guī)?？捎兴町?。

調(diào)研評估的首要重點(diǎn)是確保營銷業(yè)務(wù)無重大安全缺陷，這里的無安全缺陷指的是活動設(shè)計(jì)要有界定范圍，比如是否確認(rèn)目標(biāo)人群、是否設(shè)置參與門檻，這個是安全評審的重中之重，因?yàn)槿绻@樣的缺陷存在，則風(fēng)控設(shè)計(jì)再完美也無回天之力去對抗黑產(chǎn)，例如之前拼多多和星巴克的無門檻券。

情報搜集包含兩部分內(nèi)容：對本活動/本公司的情報搜集以及對同行同類業(yè)務(wù)的搜集，主要關(guān)注黑產(chǎn)使用的技術(shù)手段以及相關(guān)資源數(shù)據(jù)的特征記錄。

風(fēng)控的基礎(chǔ)也是數(shù)據(jù)，在數(shù)據(jù)充足積累的前提下才能有效地識別風(fēng)險，因此如何埋點(diǎn)、埋哪些點(diǎn)是這一步的關(guān)鍵點(diǎn)。對于埋點(diǎn)，一般來說可參考正常用戶參與活動的整個行為軌跡來埋點(diǎn)，比如正常用戶的軌跡是下載、注冊、登錄、瀏覽、參與活動、兌換，那可在這6個地方進(jìn)行埋點(diǎn)；對于具體埋點(diǎn)的數(shù)據(jù)，主要需依據(jù)風(fēng)控人員對風(fēng)險類型的理解和策略的設(shè)計(jì)來挑選。

最早的風(fēng)控是從名單/標(biāo)簽識別開始的，雖然現(xiàn)在已經(jīng)進(jìn)入智能風(fēng)控，但該方法依然直接有效，主要根據(jù)不同的風(fēng)險類型選擇適合的名單/標(biāo)簽即可。

規(guī)則策略制定需要遵循三點(diǎn)：簡單、有效、易守，這個要點(diǎn)在實(shí)時對抗過程中更為突出。簡單的意思是規(guī)則策略盡可能容易計(jì)算和調(diào)整，每一條規(guī)則策略的背后都是決策引擎在做海量計(jì)算，因此在制定時需要考慮到性能和計(jì)算效率；有效的意思是能從準(zhǔn)確度和覆蓋度兩方面有效識別風(fēng)險；易守的意思是不容易被黑產(chǎn)識別和繞過；另外，在營銷反欺詐里，可通過用戶畫像、評分模型、圖社區(qū)模型等有效識別異常用戶，其中通過設(shè)計(jì)用戶畫像的標(biāo)簽可協(xié)助風(fēng)控人員識別異常用戶，評分模型則會對用戶的行為做不同的風(fēng)險評級，圖關(guān)聯(lián)模型則可有效識別用戶所在的社區(qū)以及社區(qū)大小，以上這些模型都可以有效識別諸如羊毛黨之類的異常用戶。

與業(yè)務(wù)的事中監(jiān)控類似，業(yè)務(wù)安全部門同樣需要在事前準(zhǔn)備好看板，這個里面會涉及與風(fēng)控相關(guān)的指標(biāo)，比如風(fēng)險識別率、不同決策的分布等等。

處罰機(jī)制是風(fēng)控設(shè)計(jì)的一個重要環(huán)節(jié)，因?yàn)闀苯佑绊懹脩舻氖褂皿w驗(yàn)，因此此環(huán)節(jié)需要與業(yè)務(wù)部門達(dá)成一致方可實(shí)施，目前行業(yè)內(nèi)比較通用的處罰手段有三種：打標(biāo)簽、挑戰(zhàn)、懲罰。

當(dāng)營銷活動正式上線時，風(fēng)控部門一方面需要與業(yè)務(wù)部門保持信息同步，比如庫存的消耗，另一方面需要關(guān)注風(fēng)控指標(biāo)的變化，當(dāng)風(fēng)控預(yù)警產(chǎn)生后，需及時快速地分析、挖掘這些變化背后的原因，并快速調(diào)整策略與黑產(chǎn)繼續(xù)對抗。

在這個過程中，風(fēng)控部門需要搭建針對營銷活動的風(fēng)控指標(biāo)體系，形成可視化工具以及預(yù)警搭配使用的機(jī)制，當(dāng)預(yù)警產(chǎn)生后，可通過指標(biāo)數(shù)據(jù)的變化快速感知風(fēng)險，比如某個渠道的參與營銷活動用戶量激增后，其他關(guān)聯(lián)指標(biāo)比如風(fēng)控決策結(jié)構(gòu)、IP結(jié)構(gòu)是否發(fā)生變化等等。

黑產(chǎn)感知風(fēng)控?cái)r截后會試探用各類方式去突破風(fēng)控，比如調(diào)整發(fā)送頻率、增加作案工具等，對于短期的營銷活動，需要風(fēng)控人員具備快速分析數(shù)據(jù)的能力，能從海量數(shù)據(jù)中挖掘數(shù)據(jù)的異常特征，并轉(zhuǎn)化為規(guī)則策略快速調(diào)試上線；對于長期的營銷活動，可通過社區(qū)關(guān)聯(lián)、情報信息以及業(yè)務(wù)反饋不斷提高對抗效率。

當(dāng)活動結(jié)束下線后，業(yè)務(wù)安全團(tuán)隊(duì)需要根據(jù)此次產(chǎn)生的案件特征做總結(jié)和復(fù)盤，主要分為三點(diǎn)：

黑產(chǎn)攻擊營銷活動的目的基本都是為發(fā)放的利益而來，通過追蹤到的利益最終消費(fèi)端，可知本次活動黑產(chǎn)的獲利點(diǎn)概況，為業(yè)務(wù)后續(xù)的活動策劃提供參考信息。

每次攻擊的特征都需要總結(jié)并歸檔到案件庫的原因有兩點(diǎn)：一方面當(dāng)產(chǎn)生客訴時，便于業(yè)務(wù)部門溯源被攔截的原因，另一方面有助于事后分析風(fēng)控的效果，并為研究黑產(chǎn)的技術(shù)趨勢提供參考樣本。

規(guī)則策略的調(diào)優(yōu)要靠事后的正樣本去反哺，這些正樣本可以來自客訴、各類決策驗(yàn)證結(jié)果、業(yè)務(wù)的反饋以及情報信息，可以調(diào)整新的特征、維度、閾值等，總之這一步是風(fēng)控事后的關(guān)鍵步驟。

營銷安全是一個需要持續(xù)知識迭代更新的領(lǐng)域，不僅因?yàn)槠渑c快速更新的互聯(lián)網(wǎng)營銷緊密關(guān)聯(lián)，而且背后的黑產(chǎn)鏈也在不斷研發(fā)新的攻擊和對抗工具，自知“路漫漫其修遠(yuǎn)兮，吾將上下而求索”，以上文字僅是本人在這個行業(yè)里幾年沉浮的淺薄經(jīng)驗(yàn)，后續(xù)也會陸續(xù)將所思所得給大家分享出來。

-END-