不可忽视的业务安全问题-唯品会内部电商安全解决

不可忽视的电商业务安全问题议题 背景介绍 典型案例 解决之道 Q&A电商业务安全备受挑战凡是能换成金钱金钱的，都会有人去攻击或尝试今天是免费的资源资源，明天可能就是重要的资产需要重点保护的对象用户账号/密码 用户钱包/银行卡 用户隐私数据 代金券、优惠券、礼品卡、积分、虚拟币 物流、库存 订单、商业数据 严峻的威胁和挑战我们我们面对的面对的是：是： 黑/灰产业链 白帽子黑客 竞争对手 第三方分析公司 合作伙伴 供应商 外包商 内部人员 典型电商业务流程登录/浏览/选品典型电商业务流程下单/支付/物流更多电商平台背后的系统物流物流 系统系统仓储仓储电商电商 平台平台客服客服支付支付 系统系统营销营销供应供应 商商开放平台开放平台议题 背景介绍 典型案例 解决之道 Q&A账户安全所有安全问题的入口账户安全盗号、撞库等身份盗用问题 “撞库”攻击的形式 尝试登录大量【用户名+密码】组合 利用已泄露的多家网站用户数据库 “盗号”产生的风险 用户隐私受影响 账户资金受影响 企业投诉和赔付率上升账户安全盗号、撞库等身份盗用问题 “撞库”攻击的形式 尝试登录大量【用户名+密码】组合 利用已泄露的多家网站用户数据库 “盗号”产生的风险 用户隐私受影响 账户资金受影响 企业投诉和赔付率上升账户安全问题往往没那么简单 用户界面 PC登录界面 WAP APP 微信 联合登录 对抗手段 验证码识别云平台 短信验证码云平台 秒换代理服务器IP 防护策略 图形验证码 短信验证码 访问速率控制 IP限制策略 8000人工后台！人工后台！账户安全对抗的力量 企业的力量 缺人 缺钱 缺技术 缺设备 缺时间 全线防护 “黑产”的力量 有钱 有人 有技术 有资源 有时间 单点击破资源滥用小问题放大了就是灾难资源滥用恶意注册产生“马甲”用户 抢占正常用户资源 影响企业营销效果 产生虚假数据 隐藏的“炸弹”资源滥用注册检查小接口大风险 利用简单的注册判断接口，检查全国手机号是否在网站注册 放大这个请求，结果是灾难为盲目“撞库”提前筛选用户名资源滥用注册检查小接口大风险 利用简单的注册判断接口，检查全国手机号是否在网站注册 放大这个请求，结果是灾难为盲目“撞库”提前筛选用户名资源滥用恶意调用短信发送接口 封装多个网站短信发送接口为一个API 向指定手机发送短信炸弹，强制对方关机 企业遭受客户投诉导致短信通道被迫关停受害者 手机京东天猫唯品会苏宁携程去哪儿美团坏坏 人人调用接口发调用接口发短信短信资源滥用恶意调用短信发送接口 封装多个网站短信发送接口为一个API 向指定手机发送短信炸弹，强制对方关机 企业遭受客户投诉导致短信通道被迫关停受害者 手机京东天猫唯品会苏宁携程去哪儿美团坏坏 人人调用接口发调用接口发短信短信资源滥用Hold库存影响正常销售 自动加购物车，自动下单 购物车过期后，重复上一步骤 正常用户不能购买 企业商品无法售出资源滥用刷单/恶意下单 供应商刷单赚取信用 竞争对手互相下单 报复性下单信息泄露没有企业不关注用户隐私信息泄露信息泄露导致用户被诈骗 “撞库”成功，查看用户订单信息 商品、地址、联系人、电话、物流状态 冒充客服，实施诈骗 卡单、退货、退款 提供假网址，诱导消费者输入敏感信息 姓名、身份证、银行卡号、CVV、支付密码、手机验证码 盗卡消费 在线使用信用卡、绑定快捷支付信息泄露信息泄露导致用户被诈骗信息泄露信息泄露导致用户被诈骗信息泄露信息泄露导致用户被诈骗信息泄露综合措施保护敏感信息信息泄露信息泄露的渠道 账户被盗 系统安全漏洞 物流配送环节 内部员工 资金安全有利可图就有企图资金安全 账户资产盗用 余额提现 套现 诈骗营销活动 ”被刷”并不是我的初衷营销活动优惠带动销售也带来黄牛营销活动优惠带动销售也带来黄牛短信验证码平台助力黄牛集中领取大量高价券短信验证码平台助力黄牛集中领取大量高价券业务安全漏洞 技术漏洞永远绕不开业务安全漏洞设计/编码/测试/监控 业务流程逻辑漏洞 身份认证与鉴权绕过 会话机制和权限提升 前后端检查策略一致 数据防篡改防抵赖 敏感数据存储 议题 背景介绍 典型案例 解决之道 Q&A构建业务安全风控系统构建业务安全风控系统优化产品改进的流程发现 问题找到 方案产品 设计开发 实现上线 改进议题 背景介绍 典型案例 解决之道 Q&AQ&A 问题解答 技术交流 http:/weibo.com/VSRCVSRC唯安全