网络犯罪分子如何接管在线账户

Frank Kyei-Manu

最近，一位朋友分享了她小时候和家人玩过的一个游戏。公路旅行途中，他们会猜其他车里的人来自哪里。他们只能根据有限的信息来猜测，充其量也就是车牌上标注的州或保险杠贴纸。

相比之下，如今我们的个人信息在各种数字资产中极易被找到，恶意行为者也更容易通过网络钓鱼和短信钓鱼等社会工程手段获取这些信息。

网络犯罪分子的心理

与大多数犯罪一样，网络犯罪始于MOM这一概念，即手段、机会和动机。了解网络犯罪分子的心理及其实施网络欺诈的驱动因素至关重要：

• 手段：实施犯罪所需的能力、工具和手段随处可得。如今，大量免费工具和服务唾手可得，犯罪分子无需具备高深的专业技能也能实施欺诈。
• 机会：潜在目标众多。随着应用经济蓬勃发展，从货币到个人医疗记录，各类信息都在数字化，这意味着网络犯罪分子有大量机会和目标可用于实施欺诈。
• 动机：动机通常与经济利益有关，但并非总是如此。

假设您正遭受攻击

通常，应假定您控制的每个面向消费者的应用和数字账户迟早都会遭到攻击。即使是防护严密的账户也难以避免，因为攻击者已熟练掌握利用应用逻辑实施欺诈的手段。

要战胜网络犯罪分子，需要各方协作，包括个人账户持有人，以及机构的应用开发人员、欺诈防范团队和安全团队。正确的方法还需要应用用户与应用开发企业共同努力，首先应由安全团队和欺诈防范团队整合针对自动化应用威胁的防御措施，在上游阻止机器人攻击，从而防范下游欺诈。

机器人是一把双刃剑

自动化本身是一件好事。机器人可以自动执行重复性任务，帮助企业与客户互动，并提升品牌认同感。例如，您可能曾与客服聊天机器人互动，实时获得问题的答复。

然而，一旦被不法分子利用，机器人和自动化技术就可能成为实施恶意攻击的强大工具，例如通过凭据填充攻击接管账户并实施欺诈。

通常，凭据填充攻击会利用此前窃取的凭据，在多个域中进行测试。此类攻击利用了用户名和密码经常在多个应用中重复使用这一现象。

事实上，最近的一份报告显示，员工平均会重复使用同一密码13次。此外，即使消费者收到其账户已遭入侵的通知，也只有约三分之一的人会更改密码。

网络犯罪分子利用这些弱点实施多种类型的欺诈，包括：

• 金融欺诈：攻击者利用窃取的个人信息，以受害者的名义开立或访问账户，从而盗取其资金。这些账户还可能被用于洗钱等其他犯罪活动。
• 零售欺诈：攻击者利用窃取的个人信息在零售店或电子商务网站购物、囤积库存，并盗取仍有余额的礼品卡。
• 酒店服务欺诈：此类欺诈通常以旅行和客户忠诚度计划为目标。攻击者利用虚假的旅行或酒店服务窃取您的凭据和身份信息，并将其用于其他用途。他们还会利用此前窃取的忠诚度积分、航空里程和奖励积分，为自己或他人预订旅行服务。

凭据攻击问题

基于身份的凭据攻击是导致欺诈的自动化Web攻击的首要来源。身份信息在网络犯罪论坛上很容易买到。在一些社交媒体平台上也可以找到并购买此类信息列表。

新近窃取的凭据（例如过去一两天内窃取的凭据）价值更高，网络犯罪分子购买这些凭据的成本也更高。陈旧凭据的价值较低，因为利用这些凭据成功实施攻击的概率要低得多。由于高价值凭据和个人身份信息来自外部账户泄露，因此此类攻击难以识别和阻止。

下面通过一个示例来说明。凭据一旦被盗或被获取，网络犯罪分子就会使用机器人或其他自动化工具，尝试创建或访问账户。他们可能会发起数千次甚至数百万次尝试。基于凭据的攻击成功率通常在0.2%至2%之间。虽然这些比例看似很低，但凭据攻击并不需要很高的成功率，因为有数十亿条凭据可免费或以极低的成本获取。

试想一下，如果攻击100万个账户，即使成功率仅为0.2%至2%，也会有2,000至20,000个账户遭到入侵。这个数字相当惊人！

防范账户接管和欺诈

必须认识到，这些犯罪活动都是一系列事件中的环节。“工业化攻击周期”（见下图）展示了该生态系统中的关键要素。遗憾的是，这是一个庞大且韧性很强的生态系统，因此，个人和组织必须保持警惕，保护自身、客户和业务合作伙伴。

作为个人，我们需要学会识别可能造成危害的网络钓鱼攻击，使用强度极高的密码，并尽量避免在不同账户中重复使用密码。

与此同时，安全团队和反欺诈团队需要协同合作，共同阻断工业化攻击的生命周期。

观看下方视频，了解F5如何帮助组织防范网络欺诈。

敬请关注网络安全意识月四篇系列博客的最后一篇，了解API及其可能带来的安全问题。也请阅读此前发布的博客文章：现代应用如何构建和部署和恶意行为者如何通过攻击利用应用。

关于作者

Frank Kyei-Manu

Frank Kyei-Manu 的更多博客文章