电商业务安全，老板怎么看？

臭鸟蛋

老大常常告诫我们...

特卖会电商的业务安全如同它的名字，就是特别。老大常常告诫我们：“我们的特卖模式就是攻击模式”。因而，对业务安全工作人员来说，风险无处不在，挑战无处不在。

在与“黑灰产”博弈的过程中我们始终处于弱势，经验谈不上，吃过的亏上过的当倒是不少。我们过去的很多分享谈的都是技术细节，大家往往沉浸在技术范畴后，忽略了业务安全工作的本质。

我们到底要做什么样的安全，老板到底关注的是什么，怎么样衡量我们工作的价值？本文试图从业务安全做不好可能会带来哪些影响这一角度介绍其工作的重要性和必要性。

业务安全没做好会带来哪些影响？

• 1、信息泄露或数据曝光

• 2、破坏公平售卖秩序

• 3、干扰平台售卖能力

• 4、降低综合营销质量

• 5、风险交易导致资损

• 6、恶意获利与套现

• 7、劫持、仿冒与欺诈

1、信息泄露或者数据曝光

在这里我们将信息和数据分开，除了为凑字数，也是想说明：信息或数据泄露本身是非常复杂的问题。有些信息的泄露会造成直接的影响，而另外一些则需要再加工才能产生价值或影响。通常这样的信息或数据包括如下分类：

基础用户隐私数据

• 身份信息（账户、密码）

• 通讯信息（邮箱、电话、手机号）

• 订单信息（购物历史，联系方式）

高级用户隐私数据

• 性别

• 生日

• 标签属性

• 消费能力

• 信用额度

• 购物习惯

• 家庭地址

• 办公地址

• 密友的地址

• 支付账户信息（银行卡相关）

• ……

平台商业价值数据

• PV/UV

• 注册用户数

• 活跃用户数

• 客单价

• 人群分类

• 营销爆发力数据

• ……

基础类信息批量曝光会直接造成重大舆论影响和公关压力。例如，此前不久某大型网站数百万账户密码泄露事件，直接占据了各大主流媒体的头版。对企业来说，此类信息泄露将直接导致声誉受损、用户流失、销售锐减甚至是股价波动，因此更容易被关注到。

然而，高级别的用户信息或企业商业价值数据泄露却很少有人给予充分的关注。一方面，这类信息的泄露或产生影响的周期较长，另一方面，普通人员并不能直接感受到此类信息泄露的影响。

让我们看一个案例场景，投资公司A要和创业公司B谈判注资。B公司认真准备了一份直接体现网站售卖能力的数据报表，包括：活跃用户、回头客、年龄分布等。然而，投资公司也通过“其它渠道”获取的该公司的部分营销数据报表，显然是极不完整的部分数据，但已经严重干扰了谈判过程。B公司的老板一定会惊讶，为什么他人能够掌握如此多的关于自己平台的售卖力数据？

平台售卖能力的数据泄露或获取的途径有很多，最直接的方法是通过一些技术手段从网站爬行商业数据。如果企业没有成熟的业务风控、反爬机制和数据保护策略，那么数据泄露将源源不断。你的老板一定不会希望通过自家系统以外的第三方渠道看到自己售卖能力的真实数据。

2、破坏公平售卖秩序

电商，特别是线上特卖平台，售卖的都是价格极其优惠的爆款商品，对普通消费者来说已经是炙手可热，黄牛党又怎肯轻易放弃呢？

以营销活动为例，企业通常会在线上或线下打广告，使用一些爆款商品吸引消费者。营销活动的背后是支撑企业盈利的核算逻辑，例如：花200万的广告费，吸引2万个新客户到网站，并期待未来能给网站带来400万的销售。企业当然希望每一个来访的用户都能购买到自己心仪的商品。

因此，理想状况下2万个新客户每人能买到一件爆款商品。但是，如果活动没有做任何业务防护机制，那么市场效果极有可能大打折扣。甚至可能出现90%已售出的商品实际为一个或一伙黄牛购买的情况，而正常消费者永远买不到这些“稀缺货”，逐渐对平台丧失兴趣。

在此类案例中，黄牛党的批量下单，恶意购物行为已经严重干扰了企业公平售卖秩序，正常消费者无法购买，企业的广告营销费用还打了水漂。这种情况是老板们最不愿意看到的，也是业务安全工作人员和营销团队需要共同面对和解决的。

3、干扰平台售卖能力

黄牛党干扰公平售卖秩序固然导致普通消费者无法购买，但好歹付了款。至少从订单价格上看，公司并无亏损。但相对于下面的案例，企业更加无法容忍。

黑灰产为了能在最短时间内抢购到其需要的商品，必定会动用各类资源，包括：租借IDC服务器，使用大量IP地址，发起疯狂请求，甚至DoS等。如果平台风控不具备抵御高并发恶意请求的能力，那么平台的售卖能力将极其堪忧。

2014年，某网站售卖首发的某款畅销手机，因为低估了黄牛的能量，未做任何防御措施。结果高峰期，每分钟300万次购物车恶意请求。

直接影响是：所有的手机都被黄牛收入囊中，更重要的影响是：抢购瞬间，该网站的购物车系统在高并发请求下出现大面积超时报错，导致正常消费者无法购买商品，哪怕是非爆款商品。

“赔了夫人又折兵”是类似案例的典型结果。

4、降低综合营销质量

绝大多数企业运营的目标是盈利，而营销质量将直接关系企业盈利水平。业务逻辑、平台技术能力或内外部环境直接或间接地影响着营销质量，在特定背景下甚至会造成较大的运营差错，以下是常见降低营销质量的风险行为和形式：

虚假注册

• 批量注册马甲号

• 注册马甲号领券

• 售卖马甲号获利

• 高价值用户占比下降

优惠叠加

• 组合优惠下单

• 重复享受优惠

• 低价购买高价值商品

• 企业毛利受损

扫货刷单

• 绕过限购逻辑

• 批量享受优惠

• 集中购买特定商品

• 一锤子买卖，不产生未来价值

以虚假注册为例，相信从事互联网工作的大多数人都能理解这个词的“内涵”，特别是处于起步阶段的创业型公司。爆炸式增长的用户注册数据，短时间内能迅速捕获外界的眼球，但是长期来看，将严重影响企业的营销数据质量。

再看一个案例，某公司市场新客拓展组的成员，满怀欣喜地宣布他本月的KPI提前超额完成，因为每天激增了数十万新增用户。但是，当深入去查看这些注册用户时才发现：几乎所有的用户都是来自某邮箱公司的第三方联登账户。联想到早些时候这家公司大量账户账户密码泄露的事件，可以断定：有黑产利用已泄露的邮箱账户密码登录其网站，然后联登到电商平台网站。这就是新客的来源，通常业界也称这样注册的账户为“马甲号”。

马甲号一方面会导致企业报表数字虚高；同时，那些领取了针对新注册用户的优惠券的“马甲号”下单会享受大量优惠。原本要给到网站真实消费者的优惠，最后给到了一伙黄牛，这样的营销质量自然会要受到质疑，这样的新客给再多老板也不开心啊！

5、风险交易导致资损

盗号、盗卡是平台风险交易的两大重要渠道，任何一家发展到一定规模的电商企业都需要构建自身的风控体系以快速发现和遏制此类行为。

盗号

黑客通过“撞库攻击”等技术手段，获取大量账户/密码组合，逐个登录账户。账户如果有余额，黑客可以直接消费或提现。而原账户的持有人遭受损失后必定投诉企业，申诉赔偿。企业处置不当，还有可能衍生出媒体事件。

盗卡

犯罪分子通过“诈骗”等手段获取到大量银行卡持卡人信息，包括：卡号、姓名、身份证、手机号以及短信验证码。掌握这些信息就可以在电商平台进行快捷支付绑卡消费了。

根据当前国内第三方商户的风险承担机制，若企业无任何风险识别能力允许这笔交易发生，极有可能产生重大资产损失和声誉受损。

对一个年交易额上亿的电商企业来说，如果缺少交易环节的安全风险控制措施，且不说企业分分钟倒下，光是在行业内该企业也将成为黑产的众矢之的。

6、恶意获利或者套现

在过去的一些材料里我们分享过这样一个案例，某批发客为了享受网站新客优惠策略，注册了几千个账户，每个账户只买一件商品。从单个订单看，电商企业给了每个客户一定的优惠。

但从整个销售数据看，某个特定的专场或产品90%的优惠都给了同一个人，虽然他们使用了完全不同的注册ID。这正是企业运营规则所不能容忍的。

另外一种通过平台获取利益的行为是套现。典型的电商平台都提供虚拟资产，如：某卡、某券、某币、某豆，某积分等。平台如果存在业务安全隐患，恶意用户可以通过业务逻辑漏洞将虚拟资产转换为真实资产——人民币。

该环节如果处理不当将会产生套现问题；依据行业特征，企业除了蒙受资产损失外，还可能面临监管机构的惩罚。

7、劫持、仿冒与欺诈

2015年底，微博、今日头条、美团大众点评网、360、腾讯、小米科技等六家互联网公司共同发表了一份《六公司关于抵制流量劫持等违法行为的联合声明》，声明对于流量劫持等违法行为进行坚决的联合抵制，呼吁加强行业自律，并保留进一步采取联合行动的可能。

在中国这一网络环境异常复杂的地域，什么样的奇葩事情都能遇到。类似这样的案例常常发生：用户在A电商的APP客户端居然看到了电商B的商品和购买链接。 

除此之外，各类仿冒的官方网站层出不穷。有些网站甚至窃取和兜售用户隐私信息，部分消费者购物后甚至遭受电信诈骗。

面对劫持、仿冒与欺诈，除了需要整个行业共同去抵御外，企业自身也要练好内功，例如：反劫持监控，敏感数据加密，钓鱼网站监控与举报，消费者安全意识培训等。

总结

至此，我们重点论述了电商平台日常风控工作中需要时刻警惕的各类风险/威胁可能会造成的重大影响。业务安全任重道远，从业人员责任重大。我们从来不敢说自己做得有好，只是有大把大把的血泪经验而已。

借此机会和大家分享，诚惶诚恐，希望有更多的人加入“扫黄（牛）打黑（产）”阵营，共同捍卫电商安全。

精彩文章投稿有惊喜！

欢迎投稿！

VSRC欢迎精品原创类文章投稿，优秀文章一旦采纳发布，将有好礼相送（至少为500元唯品卡或现金）我们为您准备的丰富奖品包括但不仅限于：MacbookAir、VSRC定制雨伞，VSRC定制水杯以及VSRC精美靠枕！（活动最终解释权归VSRC所有）

点击原文阅读 VSRC第三季度英雄榜！