账户接管（ATO）是针对金融机构、电子商务及其他在线数字服务的常见且代价高昂的攻击。犯罪分子利用自动化机器人及其他网络犯罪手段，使用窃取的凭据访问并控制用户账户，以牟取经济利益或实施欺诈。账户接管欺诈会造成切实影响：根据《Javelin 2022年身份欺诈研究》，22%的美国成年人曾遭遇ATO。
运作方式：账户接管欺诈手法
账户接管欺诈是一系列网络犯罪活动的最终结果，通常始于凭据被盗或泄露，进而引发凭据填充攻击，并可能导致客户的在线账户被接管。犯罪分子一旦控制账户，便可转走账户资金、将储值变现，并利用该账户实施进一步欺诈。
最基本的凭据填充形式是由机器人驱动的暴力破解攻击。这类攻击会向登录表单提交随机字符组合，直到攻击者找到与某个账户凭据匹配的组合。
凭据是如何被盗的？
更高级的凭据填充攻击始于在数据泄露事件中被盗或泄露的有效用户名和密码组合。被盗凭据很容易在暗网市场上买到（据Cyber Security Hub称，仅2022年就有220亿条数据记录遭到泄露）。
凭据还可能通过多种网络攻击和其他网络犯罪手段被盗，包括：
- 网络钓鱼攻击，这是一种社会工程攻击，犯罪分子利用电子邮件、短信或社交媒体消息诱骗他人泄露登录凭据、银行账户信息、社会保障号码或其他敏感数据等隐私信息。
- 键盘记录、Magecart、信息窃取及其他形式的客户端恶意软件，攻击者通过向在线结账表单注入恶意脚本来窃取凭据。当受害者输入凭据和信用卡信息时，该脚本会将数据传输给攻击者，攻击者可利用这些信息实施欺诈，或将其出售给其他犯罪分子。
- 中间人（MitM）攻击，攻击者将自己作为代理插入正在进行数据通信的两个合法方之间，从而截获消息或数据交易。这样，攻击者便可“窃听”双方的信息和数据传输，并窃取登录凭据或其他个人信息。
网络犯罪分子积累了一批有效凭据后，便可开始实施凭据填充，而且通常规模庞大。由于约三分之二的消费者会在多个网站重复使用相同的用户名和密码，网络犯罪分子及其大批自动化机器人很容易利用这些重复使用的凭据：相当一部分已泄露的凭据也可用于访问其他网站的账户。攻击者接管账户后，可以更改凭据，使合法账户所有者无法登录，转移账户资产，并利用这些账户实施其他欺诈行为。
账户接管欺诈的影响
据估计，2023年至2027年间，ATO等攻击在全球造成的数字欺诈损失将超过3,430亿美元，根据《American Banker》的报道。
账户接管造成的影响也不止于经济损失。组织的品牌和声誉也可能受损，导致业务流失，并因外界认为其安全防护薄弱而引发负面舆论。品牌可能因此长期受损，而重建良好声誉可能需要数年时间。
组织还可能失去客户的信任和忠诚，导致商业关系终止。如果企业因安全措施不足而造成账户接管和代价高昂的欺诈活动，客户自然会感到不满。
如果未能保护消费者数据，组织还可能面临合规和法律后果。欧盟《通用数据保护条例》（GDPR）、《加利福尼亚州消费者隐私法案》（CCPA）和《支付卡行业数据安全标准》（PCI-DSS）等法律法规和标准旨在保障消费者数据隐私，并对数据泄露事件处以高额罚款。这些事件包括向机器人暴露隐私数据的账户接管（ATO）攻击。
检测账户接管欺诈
监控用户账户和活动对于发现账户接管（ATO）迹象至关重要。
- 留意账户活动的意外变化。这些变化可能包括新增或未经授权的交易、大额提款、随机且偶发的流量激增，或更改密码、地址或收款人的请求。这些异常活动可能表明账户正遭受攻击。遇到此类情况时，请检查密码或电话号码等用户信息是否也发生了变化，这可能表明账户已被劫持。
- 留意无法识别的登录尝试。连续多次登录失败可能表明恶意行为者正试图使用凭据填充手段入侵账户。如果登录尝试来自异常位置，或发生在账户通常不活跃的时段，请格外警惕。
- 留意访问账户的新设备或无法识别的设备。来自新设备或未知设备的活动可能表明账户已遭入侵，或欺诈者正试图使用窃取的凭据登录。同样，多台设备登录同一账户也可能表明犯罪分子正在攻击该账户。
- 可疑的电子邮件或短信。 网络钓鱼邮件和其他可疑邮件增多，可能表明用户正成为诈骗分子的目标。提醒客户切勿点击未知发件人所发电子消息中的附件或有效链接，也切勿通过电话或互联网向任何人提供用户名、密码、个人信息或财务信息。正规公司不会通过电子邮件或短信索要账户信息。
防范账户接管欺诈
主动防范账户接管（ATO）的方法涉及多层防护措施和策略，包括采用最佳实践方法、重视用户教育、实时监控基础设施，以及实施强身份验证保护。
用户教育与安全意识
防止账户接管的有效方法之一，是通过教育计划培训用户识别和抵御风险。账户接管（ATO）攻击通常始于网络钓鱼，即恶意行为者试图诱骗用户泄露账户凭据或点击恶意链接。网络钓鱼电子邮件和短信可能极具迷惑性，尤其是其中包含犯罪分子可从社交媒体收集的个人信息时。此外，还应确保用户了解良好密码习惯的重要性，并强制执行高强度密码策略。
强身份验证措施
强身份验证要求用户在尝试登录时，除用户名和密码外，还需提供两个或更多验证因素。强身份验证有多种实现方式。
- 双因素身份验证（2FA）是一种身份和访问管理安全方法，要求使用两种验证因素来确认身份，以便访问资源和数据。在实际应用中，通常需要在智能手机或家用计算机的浏览器等已知设备上，输入通过电子邮件或短信收到的一次性密码。
- 多重身份验证（MFA）与2FA类似，但成功登录至少需要提供3种验证因素。在大多数情况下，这包括在已知设备上接收一次性验证码，并提供一种生物特征信息，例如指纹、视网膜扫描或语音识别。需要注意的是，虽然2FA和MFA仍是增强在线账户安全性的有效工具，但已不足以作为抵御账户接管（ATO）攻击的最后一道防线，因为犯罪分子很容易绕过这些验证措施，而且它们会降低用户体验。
- 基于风险的身份验证是一种访问管理方法，可根据登录尝试所呈现的风险级别调整身份验证流程的要求。例如，与更改密码或向新账户转账相比，仅登录查看账户余额所需的身份验证流程限制较少。简而言之，风险级别越高，身份验证流程就越严格，需要增加验证因素和监督措施。
监控和审计账户
消费者和企业都应定期监控和审查账户，检查是否存在可疑活动。消费者应定期登录金融账户及其他储值账户（包括会员奖励计划账户和礼品卡账户），留意余额和账户活动。
企业和组织可以采用多种技术，自动持续监控和审计账户，包括使用机器学习和基于AI的检测技术的账户跟踪系统。这些系统可识别与用户日常行为不符的异常活动，帮助防范欺诈。
Web应用防火墙（WAF）
WAF通过过滤、监控和阻止流向Web应用的恶意HTTP/S流量来保护Web应用，并防止未经授权的数据流出应用。WAF依据一组策略来帮助判断哪些流量是恶意流量，哪些是安全流量。WAF充当中介，保护Web应用服务器免受潜在恶意客户端的侵害。
尽管WAF并非专门用于检测账户接管（ATO）活动，但可以有针对性地配置WAF策略，帮助识别和阻止账户接管攻击。WAF还可以帮助识别恶意机器人活动，而此类活动通常发生在暴力凭据填充攻击之前。
为网络添加机器人检测和缓解功能
大规模僵尸程序使犯罪分子能够扩大攻击规模、绕过MFA控制并实施欺诈。借助自动化，僵尸程序可以大规模部署，以执行凭据填充或网络钓鱼攻击等指定任务。僵尸程序检测解决方案可帮助了解虚假账户创建、囤积库存、抓取以及以数字方式窃取凭据信息等恶意活动。僵尸程序检测解决方案还可针对表单劫持、数字窃取、Magecart以及其他基于浏览器的JavaScript漏洞等客户端攻击发出警报。
应对账户接管欺诈
由于暗网上随时可获取大量被盗和已泄露的凭据，组织迟早遭受网络攻击的可能性正日益增加。组织必须提前制定完善的响应措施和流程，以应对网络攻击对自身及其客户造成的影响。
事件响应计划
事件响应计划规定了识别到威胁事件后将采取的具体措施、可用资源和沟通策略。事件响应计划应明确事件响应规程，并指定一支经过培训、能够执行该计划的事件响应团队。
客户通知与支持
事件响应团队必须直接通知受影响的客户，说明事件经过及正在采取哪些措施来保护他们，并敦促客户更改已泄露的密码（如果其他账户也使用了该密码）。与受影响的客户保持沟通对于重建信任至关重要。
调查与修复
检测到攻击后，必须评估并控制事件，确定事件的性质和范围以及受影响的系统。确定访问入口后，组织应阻止攻击者继续未经授权访问受影响的账户，并修复已遭入侵的账户，确保其无法再被恶意利用。在欺诈恢复审查中，还应分析如何防止此类攻击再次发生。
沟通与透明度
就安全漏洞和攻击进行透明沟通至关重要，因为监管机构、媒体或消费者可能会将隐瞒信息视为蓄意掩盖，并可能显著加剧攻击造成的财务影响。
总结
如今，任何发起或接受数字支付的组织都可能成为账户接管（ATO）的目标，攻击威胁也在持续加剧。这让在线商家、金融机构和服务机构陷入两难：在顺应客户对更便捷的在线服务和应用的偏好时，这些组织也面临更高的欺诈及其他形式网络犯罪风险。一旦账户遭到入侵，欺诈者可能会转走资金、盗取商品或服务，或获取支付信息并在其他网站使用，进而导致客户流失和收入下降。
传统的双重身份验证（2FA）和多重身份验证（MFA）控制措施已不足以阻止网络犯罪分子发起日益复杂的账户接管（ATO）攻击。防范ATO需要采用端到端的安全与欺诈防范方法，通过评估意图、简化数字体验，并在欺诈行为和高风险交易发生前识别其模式，从而阻止ATO。
F5如何提供帮助
F5安全和欺诈防范解决方案通过单一平台提供广泛的账户接管防护。Distributed Cloud Bot Defense采用威胁情报建模和机器学习等先进技术来检测攻击者的手段，Distributed Cloud Bot Defense可实时部署适当的对策，高效应对由机器人程序驱动的欺诈和账户接管（ATO）。Distributed Cloud Authentication Intelligence可在整个客户旅程中识别合法用户，Distributed Cloud Client-Side Defense则可实时洞察客户端数字窃取攻击。
结合Distributed Cloud Account Protection快速消除登录后欺诈的能力，F5 Distributed Cloud安全和欺诈防范平台提供端到端方法，可评估用户意图、简化数字体验，并阻止可能导致欺诈、收入损失和客户忠诚度下降的账户接管（ATO）企图。
