工行发布《2022网络金融黑产研究报告
多年来，金融机构在反欺诈等黑产对抗工作上的投入不断增加，面对黑产不断的花样翻新，金融机构的防护难度也不断攀升。中国工商银行作为金融行业的先行者，持续关注黑产发展，其下属金融科技研究院安全攻防实验室（以下简称“实验室”）多年来持续面向社会发布黑产动向及防护技术的研究报告，从黑产攻防技术研究、黑产团伙溯源反制、智能柔性风控等度开展了黑产的对抗防护工作。在2023年的开年之际，实验室继续从金融安全从业者的角度，为大家带来2022年黑产的趋势与变化，希望能够为全社会带来黑产防护的新思路。
为了数字化展示一年来的黑产趋势变化，实验室结合黑产数据分析，从黑产的类型、传播趋势、攻击类型等方面对2022年黑产形势进行总结分析。
2022年全国公安机关持续加强针对黑产团伙的打击，结合“云剑”、“净边”等一系列专项行动，对黑产进行了有效遏制，截至11月底，全国共破获电信网络案件39.1万起，立案数同比下降17.3%，造成财产损失数额同比下降1.3%[1]。各类欺诈事件数量较2021年有较大幅度下降。
2022年针对金融行业的黑产攻击目标主要包含两大类，一是对个人用户的资金欺诈，二是对金融企业的薅羊毛、活动作弊。
针对个人用户的资金欺诈方面：根据相关数据统计，去年针对普通个人用户的欺诈类型仍以虚假兼职、交友、身份冒充、金融理财为主，分别占所有类型的29.5%、25.6%、12.5%和10.7%，占所有举报类型的70%以上，且此四类危害结果也较高，涉案金额占所有类型涉案总额的95%以上。相较2021年，虚假兼职及交友占比变化不大，但身份冒充类案件数量在2022年有所上升，由2021年的第四位（9.4%），上升到第三位（12.5%）。
针对金融企业的欺诈方面，黑产对银行业务的关注度在2022年持续攀高，银行业欺诈事件整体呈高发态势，从针对银行业攻击消息数量的统计中可以看出，针对银行业的攻击多集中发生在下半年，与这期间银行业务活动较多、整体营销力度较大有关。
由于不同业务类型的攻击成本不同，因此黑产针对不同类型营销活动的关注度也呈现出不同分布，其中用户注册、抢优惠券等业务由于容易受到云手机、自动化脚本、接码平台的攻击，攻击损耗[4]比较低，整体遭受的攻击最为严重，分别占比54.49%和32.57%，总占比近九成。答题、助力等活动由于需要真人参与作弊，成本较高，因此总体攻击占比较小。
从针对金融行业攻击的黑产IP分布来看，黑产IP主要集中在部分重点地区，以江苏、浙江、辽宁、福建、安徽五地为主，黑产IP数量占比超过70%。
从黑产使用的工具来分析，2022年黑产使用工具主要分为三类：开发者工具、自研类工具和辅助通讯类工具。开发者工具，主要包括开源类应用、模拟器、测试包等应用；自研类工具多为从业者定向使用的工具，如洗钱-免签、跑分平台等特殊应用；辅助类工具是指物料提供环节使用的应用，如GOIP、远控类等应用。从数据统计中可以看出，2022年度黑产各类工具传播量整体呈增长趋势，黑产工具传播量在3月、7至8月、11月出现3个明显峰值，这与暑期、“双11”等电商推出促销活动强相关，说明重点活动期间，黑产活跃性也同步增强。
随着新一轮科技和产业变革的深入发展，数字化转型已经成为当前银行业提升服务效能的主流趋势，然而伴随着企业数字化转型，企业业务的边界愈发模糊，黑产的攻击手段也愈发多元化。
为了进一步提升整个行业的黑产防护水平，实验室选取了年内黑产研究对抗中最典型、最具代表性的黑产攻击手法，为大家进行介绍，希望全社会共同关注，实现对相关手法的预防：
随着云计算、云服务等新技术在互联网的应用和发展，黑产也逐步将攻击技术向云化发展。年内实验室监测到，使用云手机进行作案已经逐渐成为新的趋势，相比于传统的“手机农场”，云手机高性能、易维护、可扩展的特性使其在黑色产业链中呈现快速传播的趋势。
“云手机”是指构建在云计算能力之上的云端仿真手机，除了无法插入SIM卡、拨打电话之外，基本上具有真实手机的所有功能。根据实现原理，“云手机”大致经历了四代的发展，包括真机云手机、模拟器云手机、容器云手机、ARM阵列云手机。相较于前几代云线年最新一代基于ARM阵列的“云手机”在功能、性能方面的表现无限接近真机，可基于云技术提供监控和迁移能力，稳定性表现优秀，除此之外也具备极强的拓展性。
黑产在云手机技术的基础上，开发了“黑产专用云手机”，集成了HOOK攻击框架、自动化操作、虚拟定位、虚拟相机、一键改机等一系列黑产常用功能及组件，实现了BTaaS（黑产工具即服务），并逐渐替代真机成为了黑产首选设备资源，目前已应用到多类黑产活动中，主要包括群控、定位伪造、改机、协议破解、人脸识别绕过等场景。
群控场景：云手机场景下，黑产可实现低成本、高性能的设备模拟，利用群控功能同时操作大量设备，借助脚本工具完成批量注册、自动领券、商品秒杀、自动下单等功能。
定位伪造场景：商家在业务推广活动中，往往会部署基于地理位置的风控策略，避免黑产进行跨地域薅羊毛，黑产专用云手机通过集成虚拟定位功能，使得黑产可快速伪造地理位置，从而突破商家的风控限制。
改机场景：商家在业务推广活动中，往往会限制单台设备的活动参与次数，黑产可利用云手机的改机组件，快速修改IMEI等硬件参数，仿冒大量全新设备重复参与活动领取补贴，薅取商家羊毛。
协议破解场景：黑产利用黑产云手机中嵌入的HOOK框架、ROOT隐藏等工具，开展针对APP防护协议的攻击及破解，绕过证书钢钉、报文签名等安全防护手段，实现针对业务接口的攻击。
人脸识别绕过场景：黑产通过诱骗用户在其手机中安装云相机APP，安装后可将用户手机的视频流实时推送至黑产掌握的云手机中，在黑产使用云手机进行人脸识别流程时，通过欺诈话术要求用户配合进行动作活检，即可实时绕过人脸识别。此类攻击手法具有隐蔽性强、仿真度高的特点，迅速成为人脸识别攻击中最难被防护的一种攻击手法。
黑产利用云手机进行作案，大幅度降低了黑产的作案成本，也使得传统基于单一设备特征进行风控的防护方式逐渐失效，增加了金融行业反欺诈风控的难度，因此需要加强对云手机类设备识别的建模研究。
2022年名为“反催收”的黑产模式开始广泛传播，通过互联网平台向恶意欠款人提供服务，利用金融服务行业一贯对于服务质量的高标准要求，以伪造证据、虚假恶意投诉等手法进行勒索，向金融机构施加压力，达到减免的目的。
“反催收”黑产一般通过互联网平台招揽客源，活跃于各个短视频平台、社交平台、投诉平台等，期间黑产会雇用大批专职或兼职的代理、中介人员，仿冒律师法务、财务顾问，甚至是“上岸”的过来人，来游说客户进行“逃废债”行为。此类黑产往往摆出正义的姿态，视频中充斥着对催收、方的指责。
当有客户联系反催收黑产后，反催收黑产会收取客户高昂的手续费作为佣金，随后提供套路化的逃废债教程，包括教唆并协助用户伪造虚假材料，如疾病证明、死亡证明、多头债务等一系列内容，通过虚假证明要求银行进行分期免息或本金减免。
此外，针对银行的催收电话，反催收黑产会教导客户“专业应对话术”，包括挑衅或诱导催收人员使用过激言语，然后再凭借这些言语录音威胁举报银行恶意催收，或者向监管部门投诉，迫使银行接受用户提出的不合理条件。
除了通过高昂的手续费对借款人进行收割外，反催收黑产的获利链条也在进一步延伸。反催收黑产通过倒卖借款人的个人信息和数据，二次榨取借款人的剩余价值，例如将借款人的信息提供给高利贷、以贷养贷的中介等，做到一石多鸟，甚至将隐私信息转卖给下游黑产，对客户进行定向，最大化利用客户价值。
此类手法为银行的贷后管理带来了挑战，由于存在举证难、处置难、联系难等方面的难题，增加了银行通过司法途径对此类攻击进行打击的难度。此外，从反催收参与者的角度来说，其个人信息和数据有可能流入黑产链条并被用于后续欺诈，导致个人资金的损失。针对此类行为，银保监会高度重视，已明确表示要坚决打击恶意逃废债行为，加强对违法违规网络群组的治理。
2021年“跑分平台”二维码洗钱成为黑产洗钱的主流趋势，这类趋势在国家打击治理洗钱违法犯罪三年行动计划等专项治理行动得到了有效遏制。在这种情况下，2022年一种更为隐蔽的“慢充”洗钱手法开始逐渐流行。
“8折线小时内到账”，这类价格明显低于市场价且延迟到账的慢充服务在各类电商平台中都可见到，此类业务最早出现时是一种类似团购的手法，通过“以量换价”实现优惠，近年来此类活动方式被黑产盯上，成为黑产薅羊毛套现、洗钱的新手法。
所谓慢充洗钱是指利用话费、电费等充值服务帮助不法分子转移非法所得，以网站为例，这种新型黑产洗钱的途径为：黑产以远低于市场价格的折扣来吸引客户；客户下单后，店家会将订单发给慢充中台，慢充中台收集大量订单后发送给上游通道商，当赌徒在网站购买筹码时，通道商将充值订单反馈给网站，由赌徒进行话费充值，从而洗白赌资等非法所得。
慢充洗钱的手法不局限于话费充值场景，游戏点券充值、礼品卡充值等场景也都存在被利用的情况，甚至电费等被认为安全系数较高的生活缴费类业务也被黑产用于洗钱。
除了形式多变，此类手法中资金流的隐蔽性也增加了识别和防护的难度,隐蔽性主要体现在三个方面：一是对电商平台来说，消费者资金来源清白，店铺不存在明显的违规行为，无法设定有效的拦截特征；二是对于支付平台及运营商来说，赌客支付合理金额进行话费充值，与正常用户无异；三是赌客与平台间无直接交易，通过非法结算平台“对敲”完成赌资充值，交易链条难以溯源。
数字化转型浪潮下，生物识别技术凭借其简单易用、便捷高效的优势，正在逐步取代介质验签等操作繁琐但安全等级更高的传统认证手段，广泛应用于互联网金融交易及支付业务中。虽然理论上每个人的生物特征是唯一的，但在其作为身份认证手段的应用过程中，仍面临着多种攻击威胁。
随着元宇宙概念的兴起，计算机视觉、虚拟现实等人工智能生成算法已在多个领域广泛应用，包括AI换脸在内的技术使得虚拟和现实之间的界限正在逐渐消融，此类算法一旦被恶意利用，将会造成严重的安全威胁。
不法分子将AI换脸技术进行了封装，形成了“深度伪造”（DeepFake）攻击工具。2022年5月，黑产通过此工具伪造马斯克及多位币圈名人的访谈视频，谎称某个加密货币交易平台每天可以带来30%的基础收益，诱骗投资者购买，总额高达3000万美元（约人民币2亿元），造成了巨大的资金损失。深度伪造技术的原理是通过生成对抗网络或深度神经网络等人工智能算法，实现人脸的嫁接与替换，达到以假乱真的效果。
这类技术看似高深莫测，离我们很远，但随着深度伪造工具在黑产渠道售卖，没有专业背景和海量数据集的黑产从业者也可以在几天内制作以假乱真的伪造视频，大大降低了换脸视频制作的技术门槛，金融行业也面临深度伪造欺诈攻击的风险。
目前国家监管部门已对此类风险进行关注，2022年1月国家网信办发布了《互联网信息服务深度合成管理规定（征求意见稿）》，对深度合成技术的应用和服务提供商进行了规定和要求，深度合成技术应用的合规合法性需要业界共同重视。
除了图像视频维度的深度伪造，语音声纹维度的合成伪造技术也是业界关注的热点，在学术领域已有比较成熟的研究成果。2022年，清华大学人机语音交互实验室提出了一种基于“对抗互信息学习特征解耦”的零样本语音转换模型，模型将内容、音色、韵律和音高等音频特征解耦，运用梯度反转层的对抗性分类器，基于目标人的一小段语音信息，即可合成目标人的任意语音。
目前利用语音合成仿冒亲友进行的手法已在黑产圈有所讨论，但相关技术是否已成为一种有效的攻击手段还需要进一步研判分析。随着语音合成技术的不断发展成熟，学术界和产业界需要积极探索合成语音相关检测方法，做到未雨绸缪，防患于未然。
2022年底，微软人工智能实验室OpenAI发布了新一代预训练语言模型ChatGPT，一时间引爆国内外社交媒体，对人工智能技术发展产生了性、颠覆性的影响。ChatGPT是一种受限制的自回归语言模型，属于AI大模型技术领域的一个分支，其核心原理是通过预训练学习生成的亿级参数的超大规模神经网络模型，实现从海量数据中获取知识，泛化应用于多种人工智能学习任务中。与传统印象中略显“机械”的对话机器人不同，ChatGPT不仅可用于聊天、搜索和翻译，还能写文章、调代码，其技术应用和场景规划在各行各业引发了广泛讨论，在安全圈也引起了广泛关注，近期我们关注到，境外已出现部分关于黑产使用ChatGPT进行欺诈的讨论甚至恶意利用，将对现有黑产防护策略提出严峻挑战，需要提前关注、提前预防。
在Telegram等国外社交平台上，黑产团伙开始售卖利用逆向ChatGPT接口实现的微信机器人，并宣称其可以用于电信活动。基于话术本的传统聊天机器人只能按照关键词与受害者聊天，若关键词不在话术本内，往往答非所问,极易被识破，而利用ChatGPT构建的聊天机器人可结合上下文语境和情感自动完成和受骗用户的对话，实验室以大众熟知的“卖茶小妹”杀猪盘为例进行了测试，ChatGPT能够生成非常有效的欺诈话术，与真实的欺诈剧本难分伯仲，一般人难以从交流中识别出其机器人的身份，如果在欺诈链条中被使用，将大大压缩电信的人力成本，进一步扩大危害面。
以往制作免杀木马进行欺诈是高端黑客的专利，专业技术带来的高门槛让很多底层黑产从业者望洋兴叹，防病毒软件的火眼金睛导致基于木马的欺诈在这几年中也鲜有出现。ChatGPT的兴起使得黑产“小白”也可制作免杀代码及恶意载荷进行黑产攻击，绕过杀毒软件的检测，在用户毫无感知的情况下执行反向shell等恶意脚本，控制用户终端进而实现资金窃取。根据实验室观测，部分黑客论坛、暗网中已出现利用ChatGPT生成的即拿即用的攻击代码示例，可搜索目标终端中12种常见文件类型，并将有价值的文件自动压缩上传至黑产指定服务器。尽管目前代码实现的功能较为基础，但随着相关技术在复杂黑产网络中传播，不排除黑客通过多轮交互训练，提升ChatGPT生成恶意代码攻击效果的可能。
随着企业与黑产多年来的对抗发展与迭代，目前黑产的攻与企业的防已经进入深层胶着状态，难以依赖某一种新技术实现对黑产的降维打击，业务安全领域没有“银弹”已经逐渐成为企业共识。企业需要体系化地开展黑产防护框架建设，从机制上实现黑产检测与防护，确保业务、研发、运营人员的全方位深度参与，实现全生命周期的黑产对抗联动。为此，工商银行下属金融科技研究院安全攻防实验室结合自身实践经验积极思考，从新维度、新视角给出对黑产的体系化防护方案与建议。
随着业务安全风险与黑客攻防的白热化，实验室积极探索反黑产全景作战思路，解决当前业务风险看不到、摸不准的难题。传统管理模式下，一方面业务创新人员不具备黑产对抗的背景，难以完整有效地识别新业务的相关风险，在一些存量业务的“风险回头看”中也难以进行有效梳理；另一方面业务安全风险防控面临金融业务种类繁多、分支复杂、场景拓展迭代快的挑战，安全人员难以有效对全量业务进行风险挖掘。因此需要通过构建金融黑产攻击及防护框架，与金融业务场景关联，形成业务黑产防护全景视图，实现企业层对黑产风险的全面掌控。
实验室借鉴ATT&CK、D3FEND的框架思路，结合知识图谱、图神经网络等人工智能技术，在业务安全架构基础上，探索建设业务风险的识别与防御的智能化全景图。
一是梳理黑产针对金融业务的攻击手法、技术及链条，形成金融黑产攻击风险库；二是梳理业务场景及业务流程，从账号管理、身份认证、活动营销、业务交易等多个维度梳理形成金融业务安全防护与规避措施库；三是结合金融业务架构资产，运用知识图谱、图神经网络等人工智能技术，实现业务风险全视图的智能绘制展现，快速定位各个业务场景中的风险薄弱环节，最终打造金融业务黑产对抗全景图，为业务安全人员提供贯穿业务全生命周期的风险分析和策略设计指导。
随着数字金融业务创新的快速发展，黑产针对业务产品的攻击日益严峻，线上业务的黑产防控重要性也愈加凸显，互联网头部企业的解决之道是成立专职的“业务蓝军”队伍，作为业务产品常态化运营的重要组成部分。
与传统蓝军侧重于网络及服务器入侵、数据窃取的攻防对抗不同，业务蓝军侧重于业务产品及活动的攻防对抗，重点关注黑产通过攻击业务流程造成的资金窃取、不当获利等相关风险。业务蓝军与传统蓝军的关注点与技术栈都存在较大差异，业务黑产对抗已进入做精、做专的阶段，传统蓝军以兼职模式开展业务黑产对抗，已很难适应数字化金融业务快速发展的趋势；同时，相较于传统的业务反欺诈风控团队，业务蓝军更多关注技术层面的黑产欺诈对抗，包括黑产攻击技术趋势的跟踪与复现、黑产工具的逆向剖析，并从技术视角对黑客的各类攻击手法进行对抗反制。
互联网头部企业的大型事业群“业务蓝军”规模达到300-400人，全面负责与业务黑产对抗的相关工作，涵盖反欺诈策略设计、黑产情报监控、黑产技术对抗、风控模型优化、黑产溯源反制等工作；包括工行在内的金融企业也在探索业务蓝军的建设，一般由开发部门、业务部门或安全部门的人员构成虚拟化团队开展黑产对抗工作。
在当前数字金融业务创新及运营快速发展的大背景下，金融企业需要尽快探索组建专业化的“业务蓝军”专职队伍，以有效应对黑色产业链攻击，确保数字化转型稳步推进。
随着金融行业线上化场景不断增多，不同机构及业务场景中使用的身份认证方式也愈发纷繁复杂，在面临黑产攻击时各自为战，认证强度与效果参差不齐。建立一套体系化、标准化的数字金融交易验证体系，做好金融行业各交易环节的安全标准控制，具有十分重要的意义。近两年实验室已经探索了一套较为成熟和行之有效的手法，参考NIST数字身份指南等标准，设计了专用的交易安全基线，解决了业务易用性和安全难以平衡的问题。
在此基础上，实验室积极参加国家数字身份和金融交易相关的行业技术规范建设，相关规范明确了交易验证技术、交易验证动态策略及交易风险智能评估等方面的要求，针对不同业务场景及风险等级，匹配不同防护强度的验证技术，并对交易全流程进行风险评判。在确保金融服务便捷性、高效性的同时，把握交易的安全性，保障业务与安全的平衡。
基于网络、设备等维度的传统黑产防护策略具有稳定可靠的特性，在金融行业广泛运用。随着黑产对抗周期不断缩短，攻击手段迭代速度不断加快，传统安全防护策略的局限性愈发明显。
多年来，实验室积极运用人工智能技术，在黑产情报识别、团伙关联溯源、欺诈账户识别等课题中开展了大量的探索和应用。
今年，针对人脸识别的定制ROM攻击成为一种新兴的黑产攻击手法，目前业界普遍使用基于设备指纹黑名单的方式进行防护，但由于其存在机型易篡改、特征较隐蔽等特点，防护往往处于被动局面。人工智能算法模型虽可提升针对不同机型的识别泛化能力，但模型识别效果和精度依赖于数据采集的全面性和特征提取的专业性。
为了解决上述问题，实验室结合传统设备指纹采集要素全、唯一标识性高的优势，基于设备指纹采集的设备信息，使用人工智能算法开展针对定制ROM攻击的识别模型研究。结合捕获到的黑客常用作案机型信息，提取了超过60个维度的设备特征，利用XGBoost人工智能算法实现了有效识别，模型精确率达到97.88%，实现对黑产攻击的精准打击。
2022年8月，在美国拉斯维加斯举办的信息安全行业会议blackhat USA 2022中，以GPT-3为代表的预训练生成大模型已在安全防护领域发挥了巨大作用，可帮助安全运维人员快速进行可疑指令分析和垃圾邮件检测，大大提升了攻击识别响应效率。近期火爆全网的ChatGPT在恶意代码识别、代码漏洞检测等多个传统安全防护领域也展现除了惊人的效果，随着全球人工智能企业的不断投入，大模型将成为未来人工智能的发展方向，并为安全防护提供全新的。
在大模型赋能传统安全防护体系的基础上，实验室积极思考，探索大模型在金融反欺诈领域的应用。针对反欺诈风控领域面临的小样本挑战，大模型具有在预训练过程中全面获取海量知识的优点，为解决标签缺失场景下的欺诈检测、未知黑产攻击识别等问题，提供了新的思路和方法。
目前国内已对大模型技术进行积极布局和探索，为进一步提升人工智能在黑产防护领域的成效，建议国家层面考虑在大模型建设过程中关注其在反欺诈领域的应用及落地；金融行业可作为有生力量参与到大模型体系的建设中，共同促进技术发展和资源节约，最终实现大模型在金融反欺诈领域的有效应用。
在数字化转型的大背景中，安全与发展是金融行业的“一体之两翼、驱动之双轮”，在网络黑产日益体系化、隐蔽化、智能化的发展趋势下，企业如何实现业务安全的闭环显得愈发重要，不断新增的黑产威胁已经成为金融行业不容忽视的挑战。
工商银行充分发挥多年来与黑产作战的一线经验，持续积极布局黑产防护生态建设，目前已经总结出一套覆盖业务全流程、各阶段的风险黑产对抗方，未来工商银行将持续践行大行担当，向社会发布更多与黑产对抗相关的专题报告与成果，与金融同业携手筑牢数字化转型的安全基石，共同加固抵御网络黑产的安全长城，做好客户身边“可信赖的银行”。
免责声明：本站所有信息均搜集自互联网，并不代表本站观点，本站不对其真实合法性负责。如有信息侵犯了您的权益，请告知，本站将立刻处理。联系QQ：1640731186
