2023年防范欺诈的五项建议

F5生态系统 | 2023年2月15日

在数字化程度日益提高的世界中，欺诈趋势不断变化和演变。消费者、电子商务商家和金融服务机构面临的威胁不仅数量持续增加，复杂程度也不断上升。预计2023年全球电子商务欺诈造成的总成本将超过480亿美元，高于2022年略超410亿美元的水平。欺诈成本上升的原因有很多，包括疫情导致在线支付和购物激增、从网络中提取用户信息的恶意软件和机器人无处不在，以及利用人性弱点实施的社会工程诈骗。

在数字化时代到来之前，实施欺诈需要周密策划并隐蔽行事。如今，欺诈个人和企业所需的工具在网上唾手可得，实施门槛随之降低。随着虚拟市场、数字钱包的兴起以及各领域自动化的持续推进，犯罪分子的攻击目标不断扩大，同时还能借助复杂的工具和技术入侵企业并攻击个人账户。

了解我们提供的2023年反欺诈五项建议，提前应对网络犯罪分子今年将用于攻击电子商务和金融服务机构的最新威胁和漏洞利用手段。

协调并整合多种安全策略，在不损害客户体验的前提下更有效地打击欺诈。

商家和金融服务机构必须推动整个组织内的安全、客户身份与访问管理（CIAM）、欺诈检测和身份验证团队之间加强协作。各团队各自为政，以及安全策略过度依赖CAPTCHA和多重身份验证（MFA）技术，都会引入容易被犯罪分子利用的漏洞。这些机制会不断干扰用户体验，而且往往不考虑登录尝试所带来的风险程度。

采用透明、持续且基于风险的身份验证方法，有助于商家和金融服务机构加强协作，让组织内的多个团队协同配合，并实施敏捷、可靠且低噪声的欺诈检测策略，同时避免对用户体验造成负面影响。
扩展传统的全触点欺诈防范策略，实现对整个客户旅程的全面洞察。

该策略应重点关注以下3个经常被忽视的关键领域：
- 从初次渠道互动入手：从客户进入渠道或创建账户的那一刻起，关注其活动。这有助于提高客户端攻击的可见性，例如数字窃取或表单劫持。这些攻击通常用于在新账户开立过程中窃取凭据和银行卡信息，最终导致账户接管和欺诈。
- 审查第三方API集成：除Web和移动应用外，商户和金融服务公司还必须确保其安全策略涵盖API保护。API也会遭受针对Web应用的同类攻击，包括可能导致数据泄露和欺诈的漏洞利用与滥用，以及第三方集成和生态系统带来的意外风险。
- 评估无卡交易（CNP）的潜在欺诈风险：提供近距离结账、线上购买门店自提（BOPIS）和先买后付（BNPL）等新服务的商户，必须了解这些交易带来的风险，并在欺诈防范策略中加以应对。这包括深入了解欺诈行为模式，并在所有渠道间共享相关洞察。
警惕经济衰退环境下新型友好欺诈带来的挑战。

在经济衰退期间，商家应预见一种主要的新型友好欺诈会日益增多，即“虚假友好欺诈”。犯罪分子会创建合成身份，伪装成真实客户进行交易，却无意为所购商品付款。实施虚假友好欺诈的犯罪分子可以轻易重复利用窃取的身份信息，并创建新的合成身份来开设新账户，从而规避拒绝名单的拦截，成功钻空子并绕过防范措施。这类友好欺诈活动可能包括滥用先买后付（BNPL）计划、忠诚度积分和退款欺诈，以及恶意透支欺诈。

利用机器学习增强的行为生物识别模式洞察，帮助安全和欺诈防范团队识别已遭入侵的账户，防止使用合成身份注册新账户。
为欧盟《支付服务指令3》（PSD3）针对数字支付的新法规做好准备。

自《支付服务指令》于2018年首次实施以来，商户和银行面临的威胁、支付和监管环境已发生显著变化。为应对PSD3更严格的法规要求，商户和银行应梳理近期采用的新服务、新渠道和支付方式。例如，目前是否支持数字钱包和加密货币支付？已将多少个格式各异、由第三方提供商提供的新API集成到系统和网站中？

对于现有的API和身份验证策略，商户和金融服务机构不能再仅从合规风险的角度出发，而应主动预判并全面管理安全和欺诈风险，以应对现代API环境带来的挑战。
做好应对影子API和JavaScript供应链攻击以及即将实施的支付卡行业数据安全标准（PCI DSS）4.0

随着组织不断扩展第三方生态系统，网站上的脚本数量也日益增加，由此产生了新的潜在漏洞点，可能导致数字窃取、表单劫持和Magecart攻击等客户端攻击。数字窃取攻击是指犯罪分子在合法页面或应用中注入一个或多个恶意脚本，或操纵现有脚本，从而发起软件供应链浏览器中间人攻击。由于第三方会频繁更新这些脚本，而组织通常没有相应的安全审查流程，因此这类攻击很难被发现。

此外，PCI DSS 4.0的新要求将重点关注监控和管理基于浏览器的第三方JavaScript库。这些库被集成到电子商务网站中，用于实现支付处理iFrame、聊天机器人、广告、社交分享按钮和跟踪脚本等功能。虽然遵守PCI DSS 4.0新要求要到2025年才成为强制要求，但客户端攻击目前正日益普遍，因此应尽快部署增强型防护措施。

组织不仅需要了解其Web应用中运行的JavaScript库，还需要了解这些脚本正在收集哪些数据，以免违反GDPR和CCPA等数据隐私法规，并持续符合PCI DSS 4.0第6.4.3和11.6.1项新要求。

大多数组织缺乏对脚本管理的集中控制和治理。如果网站上的第三方脚本存在漏洞，而组织对此并不知情，就无法修补该漏洞。犯罪分子深知，许多组织难以管理、跟踪和保护如今嵌入网站的大量脚本，也知道如何利用这些脚本牟利。