互联网反诈：一场技术驱动的“攻坚战”

撰文/ 陈邓新

编辑/ 高智

网络诈骗并非新鲜事，近些年有愈演愈烈之势，手段不断迭代翻新，对网络平台的攻势也越来越强。在社交平台、通讯平台、视频平台上，各类网络诈骗广告气焰炽盛，以投资、理财、点赞、刷单、退款等各种赚钱噱头忽悠大学生、宝妈等用户群体。

据公安部信息显示，2020年开展“云剑-2020”“断卡”“长城2号”等专项行动，共破获电信网络诈骗案件25.6万起，抓获犯罪嫌疑人26.3万名，拦截诈骗电话1.4亿个、诈骗短信8.7亿条，为群众直接避免经济损失1200亿元。

互联网平台与网络诈骗的对抗也越来越激烈，《抖音网络诈骗打击治理报告（2021年1月至6月）》显示，2021年上半年，抖音安全中心主动封禁涉嫌诈骗账号超过80万个，拦截下架涉嫌诈骗视频内容超过100万条。

双方激烈对抗的背后，是网络诈骗技术手段的持续升级，诈骗分子企图利用技术能力，突破企业安全风控策略，与之进行技术对抗。对于互联网平台来说，长期对抗的局面显然不可避免，那么被动的围追堵截一定会让平台面对网络诈骗疲于应付，如何利用平台优势，建设一套反诈体系至关重要。

看不见的网络诈骗“DNA”库

很多人见到的网络诈骗行为，大多集中在引流、沟通、骗钱这几个阶段。实际上，网络诈骗的链条长度远超我们的想象。

引流、沟通与骗钱已经属于网络诈骗链条的中下游部分。

在引流之前，网络诈骗团伙还需要养号，没有账号就无法进行引流。账号会有两类途径获得，一类是直接从不法渠道进行购买，一类是诈骗团伙利用违规方式进行注册养号。前一种账号的来源可能是黑灰产团伙违规批量注册，也可能是黑灰产团伙盗取的账号。

无论是黑灰产团伙违规批量注册，还是诈骗团伙自行批量注册，还可以继续往上游溯源，需要上游的基础资源支持，这包括几方面：

一是接码平台资源，接码平台背后会是猫池、卡池，这能够以非常低的成本价格获得一条短信验证码，用来在各大互联网平台批量注册账号。猫池是黑灰产常用的一种网络通信设备，具有批量通话、群发短信、远程控制等功能，一个猫池上，可以有8个、16个乃至更多的电话卡。

二是IP资源，现在互联网平台的安全风控，最基本的能力就是能够对抗单个IP地址批量注册，所有网络诈骗团伙需要拥有大量IP地址，一旦某个地址被封禁，那需要更换新的IP地址继续作恶。

三是一些自动化脚本工具。现在网络诈骗在进行恶意违规注册与作恶引流时，各种信息编写、发布的工作，如果只是通过人工操作，效率太低，绝大部分团伙都会利用一些自动化脚本执行工具去做，比如安卓平台上有一种辅助服务叫做按键精灵。

四是群控设备，这也是批量操作作恶的必要工具，尤其是发布引流信息、批量沟通时，网络诈骗团伙会利用云手机、虚拟机和群控设备提升作恶效率。

这些基础资源，是网络诈骗团伙的作恶基石，也是互联网平台反诈首先需要攻破的对象。

以子之矛攻子之盾，当网络诈骗团伙利用技术手段批量违规作恶时，也给了互联网平台安全风控团队与之对抗的机会。

其实最早的网络诈骗，大多是钓鱼网站。2010年前后，钓鱼诈骗逐渐形成产业链，有人设计网站模版，有人利用模版批量制作钓鱼网站，有人通过邮箱、论坛等各种渠道传播钓鱼网站。

HOSTS反黑文件作者、反钓鱼专家蒲浪告诉锌刻度：“那时，安全厂商每天鉴定的钓鱼网站数量在8000个~10000个，而每天新增的钓鱼网站上万个，总有钓鱼网站成为漏网之鱼，威胁网民安全。”

网络安全厂商对此的解决办法就是提取钓鱼诈骗网站的“DNA”，提升安全工具对钓鱼诈骗网站的识别能力，从而提前进行拦截，遏制泛滥趋势。

与10年前不同，现在超级互联网平台早已意识到企业安全风控能力建设的重要性，都建设了自身的安全技术团队。同样，应对网络诈骗，也需要建设网络诈骗的“DNA”库。

从前面的几类基础资源及引流手段看，目前网络诈骗团伙的“DNA”大致可以分布在几类载体上：IP地址、设备、文本、图片、视频及链接等。《抖音网络诈骗打击治理报告》显示，抖音为了打击网络诈骗，基于这几类载体，建立了百亿级样本量的风控数据库。

这些拥有海量样本的风控数据库，和人的DNA一样，我们用户根本看不到，但风控数据库可以说是所有互联网平台打击治理网络诈骗的基石，能够帮助互联网平台及时及早发现网络诈骗团伙的违规批量注册、引流内容发布等违规行为。

网络诈骗模型与策略研发：对症开药方

拥有了“DNA”库，怎么用？

一个IP地址，被网络诈骗团伙用来违规批量注册抖音账号，被平台发现并收录入风险IP库，如果网络诈骗团伙再试图利用该IP地址发布引流诈骗内容，就能够被第一时间发现并拦截阻断。

上述的发现拦截阻断，可能有网友会说，这不就是简单的数据匹配么？我在大街上看见一个骗子，穿着白T恤、黑牛仔裤，戴着鸭舌帽，梳着汉奸头，下次再看到，对上了，就知道这是个骗子，他的话不能信。

听起来似乎简单，然而实际案例中，网络诈骗行为打击的复杂度要远高于此。

仍以IP地址为例，网络诈骗团伙总会发现自己的IP地址已经被封禁不能使用，就会去购买新的IP地址作恶。新的IP地址并不在互联网平台的风控数据库里，那么如何对网络诈骗团伙的犯罪行为进行打击？

这就需要互联网平台基于风控数据库，针对网络诈骗团伙建立系统的识别体系，包括针对账号、内容、行为及设备等多种因素进行识别。

比如账号识别，同样是评论“说的真好，给你点赞”这样的文本，网络诈骗账号可能使用，普通用户账号也会使用。那么显然无法简单粗暴地进行匹配识别，需要结合文本内容、行为与设备做综合的识别能力建设。举例来说，账号A在某个视频下留言“说的真好，给你点赞”，如果之后该账号去观看其他视频，并且偶尔点赞、偶尔留言，且点赞时间不一、留言内容不一，这可能是我们普通用户的行为。

但是，如果是一个涉嫌“交友诈骗”的账号B，在精准诈骗的同时为了提升效率，可能会呈现几方面特点：一是文本上留言内容大多保持一致，二是大多选择在女性账号下面留言，三是留言行为频率比较频繁，四是留言之后还会有关注行为甚至私信行为。

那么，反过来，如果平台想要通过账号识别体系打击“交友诈骗”，应该怎么做？可以通过上面这几个特点想办法找出这类账号进行处罚。

这种情况下，通过人工去筛选肯定不现实。如果抖音希望这么做，估计招一百万人也难做到。

最有效的办法，通过深度学习、机器学习等人工智能技术，去挖掘网络诈骗账号的特征，研发对应的模型与策略进行识别、打击。这实际上有点类似于对症下药，模型、策略，有些像是药方。

目前，抖音平台上每天在运行的反欺诈模型有上百个，风控策略超过8500个，能够主动拦截超过93%的欺诈行为。

对于国内外绝大多数互联网平台来说，相比公安反诈机构，最大的优势无非是互联网技术的研发与应用能力。网络诈骗将目光聚焦互联网平台时，平台在被侵害的同时，收到海量数据，能够帮助平台的算法不断学习，产生模型，辅以安全风控团队的策略，将能够对网络诈骗进行有效打击。

当然，数据库建设和模型的研发，除了平台主动发现之外，用户的反馈与举报也是一类渠道。一名抖音用户告诉锌刻度：“去年刷抖音，就发现一个疑似‘卖片’诈骗的新套路，抖音不准文案留下微信号、电话号码等联系方式，那个拍客就手写在笔记本上，然后拍成短视频，故意在深夜上传，看到之后顺手就举报了。”

这位网友进一步表示，后面就没有再看到过此类短视频。

幕后技术研发，台前产品运营

数据、模型与策略，这些都不是我们普通用户能够看到的，我们也无法感同身受。

真正让用户感同身受的，是平台对网络诈骗的直接打击与处罚。而这，在互联网平台的网络诈骗治理与打击中，属于台前的运营。

现在互联网平台遇到的各类网络诈骗，大多有着场景复杂、链条长、跨平台等多种特点。互联网对此的打击治理，也围绕其特点，大致分为事前事中事后三个部分：提前发现事先拦截，日常巡检事中阻断、联动打击事后治理。

不同平台在其中的运营工作，区分在于侧重点不同。举例来说，由于大量诈骗会在支付宝等支付平台进行转账汇款，所以对于支付宝反诈运营来说，事中的阻断更为频繁很重要。

提前发现事先拦截，大多针对的是账号注册阶段，平台是否能够基于研发的模型、策略，做好风险预判，在不同场景下做好提前拦截，至关重要。以抖音为例，账号注册方面，抖音安全中心通过打击垃圾账号注册、盗号卖号等违规行为，提升账号注册获得成本。同时，通过治理养号、刷粉刷赞行为，提升账号价值门槛。基于此，提升网络诈骗团伙的账号使用成本，降低网络诈骗行为的触达面。

事中阻断方面，大多依托产品运营、用户运营，通过搜索、推荐、热点榜单等内容消费场景，模拟用户真实使用习惯，从用户可触及的内容侧进行巡检，主动发现风险内容，及时做好人与人、人与内容的隔离。

例如，网络诈骗团伙在抖音上的引流大多会在点赞、关注、群聊及私信等场景触达潜在受害者。对此，抖音安全中心基于行为风险识别能力，研发上线异常行为检测模型，对相关违规账号的危险行为进行识别、拦截与打击，典型的例子就是我们前面讲的“交友诈骗”例子。

这类事中阻断，产品上也会有体现。我们在抖音、微信、支付宝的聊天场景中，常能够看到涉及财产的风险提示，这是典型的警示阻断。抖音将这类提示覆盖到聊天场景之外，如搜索场景，在抖音用户搜索诈骗相关关键词时，会向用户展示防诈警示语，提醒广大用户防范刷单、投资理财贷款、宠粉送礼等诈骗类型。2021年1月1日至2021年6月30日，抖音搜索防诈提示展现量已达11774062次。其中，针对常见的投资理财贷款网络诈骗防诈提示展现量近805万次，刷单诈骗相关提示展示量超过126万次。