2
| 本文作者： 史中 | 2017-01-21 21:36 | 專(zhuān)題：雷峰網(wǎng)公開(kāi)課 |
國(guó)產(chǎn)電影的劇情蒼白無(wú)力？
因?yàn)橹袊?guó)最好的編劇，都在給電信詐騙團(tuán)伙編劇本。
如果你“有幸”走過(guò)電信詐騙的種種套路，一定會(huì)被他們?nèi)仗斓乃悸罚箝_(kāi)大合的劇本所征服。
然而，對(duì)付套路，永遠(yuǎn)有更深的套路。黑客大神發(fā)現(xiàn)，騙子的套路在人工智能和機(jī)器學(xué)習(xí)面前，簡(jiǎn)直就像三歲熊孩子的詭計(jì)。
知道創(chuàng)宇，被稱(chēng)作網(wǎng)絡(luò)世界的特種兵，是很多人心中最酷的安全公司。潘少華，正是這支特種兵的“參謀長(zhǎng)”。他帶領(lǐng)黑客們研發(fā)出了一套逆天的反詐騙系統(tǒng)，可以在騙子掄錘的關(guān)鍵時(shí)刻，飛身救險(xiǎn)，拯救被害者，讓騙子在寒風(fēng)中淚奔凌亂，在暗夜里決定從良。
本期硬創(chuàng)公開(kāi)課，雷鋒網(wǎng)邀請(qǐng)到了知道創(chuàng)宇威脅情報(bào)中心的負(fù)責(zé)人、北京研發(fā)中心總監(jiān)，顏值和智慧并存的網(wǎng)絡(luò)安全特種兵潘少華。他為我們講述的主題是——黑客特種兵如何用人工智能套路電信詐騙的騙子。
【潘少華】
▼
大家好，我是北京知道創(chuàng)宇信息技術(shù)有限公司的潘少華。我們團(tuán)隊(duì)的主要研究方向是電信網(wǎng)絡(luò)安全，主要集中在在電信反欺詐和業(yè)務(wù)反欺詐。
我個(gè)人從 2001 年開(kāi)始，對(duì)網(wǎng)絡(luò)安全感興趣。從2008年加入知道創(chuàng)宇，我一直致力于讓互聯(lián)網(wǎng)變得更好更安全。
我很欣賞愛(ài)因斯坦的一句話：
這個(gè)世界很危險(xiǎn)，不是因?yàn)槟切┬皭旱娜耍且驗(yàn)槟男o(wú)動(dòng)于衷的人。
這也是我在前沿對(duì)抗黑產(chǎn)的一個(gè)動(dòng)力。
互聯(lián)網(wǎng)帶來(lái)了很多便利，但是也被壞人利用。在互聯(lián)網(wǎng)上獲得一些不合法收益的產(chǎn)業(yè)，我們都叫他們黑色或灰色產(chǎn)業(yè)鏈。早些年，黑產(chǎn)分子因?yàn)榫W(wǎng)上支付和個(gè)人隱私泄露沒(méi)有現(xiàn)在普遍。但這兩年，在詐騙方面的報(bào)案數(shù)量真的是越來(lái)越多。
例如：
XX車(chē)主，你今天在XX路口有交通違章行為。點(diǎn)擊鏈接查看詳情。
如果我們用手機(jī)一點(diǎn)，打開(kāi)這個(gè)木馬鏈接，就會(huì)直接中招。
這是一個(gè)簡(jiǎn)單的統(tǒng)計(jì)。僅僅 2015 年的報(bào)案數(shù)據(jù)，例如“猜猜我是誰(shuí)”，“冒充公檢法”這類(lèi)涉及電話詐騙的案件，全國(guó)群眾的損失就大概在 220 億左右。加上一些基于網(wǎng)址的詐騙，再加上手機(jī)病毒盜竊，實(shí)際總損失應(yīng)該在 800億人民幣以上。目測(cè)在詐騙分子背后提供技術(shù)能力的人員，全國(guó)應(yīng)該上百萬(wàn)。
【部分詐騙短信展示】
大家很普遍的想法是把這些詐騙歸罪于運(yùn)營(yíng)商，他們收了這么多錢(qián)，卻讓壞人肆虐。運(yùn)營(yíng)商當(dāng)然有自己的問(wèn)題，但是它也有無(wú)奈。
例如電話卡實(shí)名制，主要就是為了打擊電信詐騙而施行的。但是詐騙分子很快就找到了一些變通的辦法。所以目前來(lái)看，實(shí)名制在詐騙短信這方面，效果并不理想。
這是為什么呢？
詐騙分子背后，有一個(gè)完整的黑色產(chǎn)業(yè)鏈，這其中包括：
病毒制作，
惡意網(wǎng)站制作，
提供黑手機(jī)卡，
改號(hào)線路、
偽基站設(shè)備（需要相關(guān)的專(zhuān)業(yè)工廠去制作），
短信群發(fā)平臺(tái)（短信代發(fā)本身是一個(gè)灰色地帶，很多黑產(chǎn)技術(shù)人員也會(huì)直接給詐騙分子提供技術(shù)支持），
洗錢(qián)相關(guān)工作（進(jìn)賬一百萬(wàn)，他們會(huì)快速把錢(qián)分成小筆，多次交易，洗成一筆合法的錢(qián)然后轉(zhuǎn)出去）
每個(gè)團(tuán)隊(duì)只是專(zhuān)業(yè)做黑產(chǎn)鏈條上的一個(gè)環(huán)節(jié)，對(duì)他來(lái)講，不僅可以規(guī)避法律風(fēng)險(xiǎn)，還可以專(zhuān)注在某個(gè)特定的“黑技術(shù)領(lǐng)域”。
這一整條產(chǎn)業(yè)鏈，只靠運(yùn)營(yíng)商自己很難去打擊，就連公安能發(fā)動(dòng)的資源也是有限的。所以這件事需要民間各方來(lái)參與努力。
我們也做了很多和技術(shù)不相關(guān)的工作，例如聯(lián)合騰訊和百度發(fā)起了安全聯(lián)盟公益組織。我們共享了8億條惡意網(wǎng)址數(shù)據(jù)庫(kù)，每天日均交換 5000 萬(wàn)次的惡意網(wǎng)址數(shù)據(jù)。所有的數(shù)據(jù)都在系統(tǒng)里機(jī)器篩查，然后進(jìn)入人工審核平臺(tái)，確定拉黑的數(shù)據(jù)都是沒(méi)有問(wèn)題的。
另外我們還利用機(jī)器學(xué)習(xí)的方法，利用大量的計(jì)算資源來(lái)檢測(cè)識(shí)別互聯(lián)網(wǎng)上的惡意數(shù)據(jù)。
某些地方上的網(wǎng)民可以感受到，當(dāng)你訪問(wèn)一個(gè)網(wǎng)址的時(shí)候，也許會(huì)彈出一個(gè)安全告警，提示你不要訪問(wèn)。在你收到詐騙電話之后，可能會(huì)收到運(yùn)營(yíng)商或公安機(jī)關(guān)的短信提醒，告訴你可能受到了詐騙騷擾，不要相信。這其中可能就用到了我們的技術(shù)。
反詐騙手段有一個(gè)演進(jìn)的過(guò)程。
以前我們會(huì)基于運(yùn)營(yíng)商黑名單來(lái)做攔截。例如我們發(fā)現(xiàn)一個(gè)電話是詐騙電話。我們經(jīng)過(guò)人工審核，確認(rèn)它是一個(gè)詐騙電話。于是在幾天之后把它加入黑名單。
運(yùn)營(yíng)商有一些技術(shù)手段對(duì)抗詐騙。例如國(guó)際端局封堵。運(yùn)營(yíng)商可以對(duì)特定開(kāi)頭的國(guó)際長(zhǎng)途號(hào)碼一刀切，卡掉。例如“0002”,這本身就是一個(gè)不規(guī)范的國(guó)際呼叫。另外還有一些 0057、0058 這類(lèi)開(kāi)頭，但是長(zhǎng)度小于 10 位的主叫號(hào)碼也很可能存在問(wèn)題。
但對(duì)于死板的規(guī)則，詐騙分子有應(yīng)對(duì)之道：
例如運(yùn)營(yíng)商設(shè)定了五條檢測(cè)規(guī)則。但是他會(huì)嘗試新的策略突破，例如在本地落地。在找到一種可行的方法之后，詐騙分子就可以一直利用這個(gè)方法繞過(guò)攔截。
最大的問(wèn)題是，基于黑名單的攔截系統(tǒng)，沒(méi)有辦法對(duì)詐騙騷擾號(hào)碼做實(shí)時(shí)更新。
先要受害者去報(bào)案，然后公安機(jī)關(guān)做技術(shù)咨詢和偵查工作。確認(rèn)有問(wèn)題之后，公安機(jī)關(guān)會(huì)協(xié)調(diào)銀行凍結(jié)資金，最后是破案環(huán)節(jié)。
但是這樣的處理方法存在很多弊端：
往往被騙以后，黑產(chǎn)馬上把錢(qián)轉(zhuǎn)走。真正銀行凍結(jié)的時(shí)候，已經(jīng)撲空了。另外全國(guó)每年有幾十萬(wàn)次的通信詐騙，民警的力量很難覆蓋。去年徐玉玉案件成為了全民事件，所以很快就被破掉了。但是平常如果你被詐騙一萬(wàn)塊，而公安破案成本可能是幾十萬(wàn)元?？陀^上就很難把單個(gè)案件都查得水落石出。
我們會(huì)分析最近熱門(mén)的詐騙類(lèi)型。例如這張圖里展示的，大概分以下幾種：
【熱門(mén)詐騙類(lèi)型】
對(duì)于用戶接打電話，我們通過(guò)機(jī)器學(xué)習(xí)的方法，能夠?qū)崟r(shí)發(fā)現(xiàn)這個(gè)電話很可能是詐騙電話，所以需要馬上發(fā)出實(shí)時(shí)告警。
在用戶上網(wǎng)的時(shí)候，我們?nèi)绻麢z測(cè)到了他正在訪問(wèn)釣魚(yú)或詐騙網(wǎng)站，也可以立即對(duì)這個(gè)網(wǎng)站進(jìn)行阻斷?？傮w的方法就是，在最終損失到來(lái)之前截?cái)嘣p騙過(guò)程。
接下來(lái)我詳細(xì)說(shuō)一下實(shí)時(shí)阻斷在技術(shù)上是如何實(shí)現(xiàn)的。
我們會(huì)在運(yùn)營(yíng)商網(wǎng)絡(luò)里部署一個(gè)實(shí)時(shí)監(jiān)測(cè)系統(tǒng)。
1、話單采集。我們會(huì)從通話記錄設(shè)備里采集實(shí)時(shí)話單。
2、話單脫敏。由于誰(shuí)給誰(shuí)打電話這類(lèi)信息是敏感信息，我們會(huì)通過(guò)特定的加密算法進(jìn)行脫敏處理，從這些脫敏的數(shù)據(jù)里，無(wú)法得知特定的通話記錄。
【脫敏之后的電話列表】
接收的電話，我們會(huì)進(jìn)行哈希處理。對(duì)端的號(hào)碼，我們會(huì)保留明文（因?yàn)榭赡苁窃p騙電話）。
3、輸入機(jī)器學(xué)習(xí)系統(tǒng)。對(duì)于機(jī)器學(xué)習(xí)系統(tǒng)來(lái)說(shuō)，它并不用知道電話是由哪個(gè)具體的號(hào)碼撥打的，它只需要判斷這種行為是不是詐騙。
通過(guò)提取數(shù)據(jù)特征，輸入機(jī)器學(xué)習(xí)系統(tǒng)，就可以用事件模型來(lái)加以判斷，最終可以分辨出哪些通話行為是詐騙行為。在這個(gè)過(guò)程中，我們不斷地用云端數(shù)據(jù)和參數(shù)調(diào)整來(lái)保證檢測(cè)結(jié)果的準(zhǔn)確——誤報(bào)率低的同時(shí)，盡可能多地檢測(cè)出詐騙電話。
4、數(shù)據(jù)解密。把處理好的數(shù)據(jù)輸入運(yùn)營(yíng)商的數(shù)據(jù)，進(jìn)行對(duì)稱(chēng)解密。
5、告警提示。判斷出詐騙電話之后，運(yùn)營(yíng)商可以做選擇，利用自己的工單系統(tǒng)提示用戶。
短信提醒：你剛才接的是詐騙電話，千萬(wàn)不要上當(dāng)。
閃信提醒：通過(guò)手機(jī)彈窗方式，提醒用戶遭遇了詐騙。
電話提醒：給用戶撥打電話提示。
彩印提醒：為用戶下發(fā)和號(hào)碼關(guān)聯(lián)的彩印。
對(duì)于機(jī)器學(xué)習(xí)系統(tǒng)來(lái)說(shuō)，最重要的是數(shù)據(jù)。這些數(shù)據(jù)來(lái)自云端的 250 萬(wàn)活躍詐騙號(hào)碼庫(kù)，包括網(wǎng)民舉報(bào)和歷史案件數(shù)據(jù)，這些作為訓(xùn)練樣本來(lái)讓機(jī)器學(xué)會(huì)如何識(shí)別一個(gè)正在撥打的電話是詐騙電話。
由于這些數(shù)據(jù)很多都來(lái)自手機(jī)客戶端，所以信息更新比較及時(shí)，所以這 250 萬(wàn)數(shù)據(jù)是最新的。
大數(shù)據(jù)機(jī)器學(xué)習(xí)以前高高在上，但是現(xiàn)在已經(jīng)在很多領(lǐng)域得到了應(yīng)用。我們對(duì)于機(jī)器學(xué)習(xí)，也是開(kāi)箱即用的方法，在反詐騙的特定領(lǐng)域進(jìn)行工作。
我們?cè)诶锩鎯?nèi)置了超過(guò)五十種詐騙電話的話單模型。這其中包括幾個(gè)要素，包括：
用戶被叫地的分布
被叫時(shí)長(zhǎng)分布
被叫時(shí)間分布（早晚、半夜）
用戶特征
。。。
我們也并不知道這些要素和詐騙這個(gè)行為哪個(gè)是最強(qiáng)相關(guān)的。所以我們把數(shù)據(jù)扔到機(jī)器學(xué)習(xí)系統(tǒng)里，進(jìn)行有監(jiān)督或者半監(jiān)督的學(xué)習(xí)，自動(dòng)找出相關(guān)性來(lái)。
號(hào)碼數(shù)據(jù)特征，大概分了六個(gè)方向。
例如日呼叫次數(shù)，平均通話時(shí)長(zhǎng)，最早最晚通話時(shí)間等等基本的統(tǒng)計(jì)屬性。正常的一個(gè)號(hào)碼，應(yīng)該是呼入和呼出次數(shù)差不多，并且不會(huì)每天連續(xù)撥打。
例如號(hào)碼的好友數(shù)，陌生人通話比例，你的號(hào)碼曾經(jīng)給多少人打過(guò)等等。同樣，社交網(wǎng)絡(luò)還包括被撥打的號(hào)碼它有哪些好友，好友和呼叫號(hào)碼之間是否具有相關(guān)性等等。
一個(gè)號(hào)碼，前后干過(guò)什么事請(qǐng)，我們會(huì)作為一個(gè)事件流來(lái)分析。例如五分鐘之前打了號(hào)碼，過(guò)了四分鐘又打了一個(gè)。其中有多少是正常通話，有多少是不正常的。例如一個(gè)呼叫三秒鐘就掛斷，或者連續(xù)通話十分鐘，都是比較極端的不正常情況。
例如，用戶和海外號(hào)碼通話次數(shù)，和固話或短號(hào)通話的次數(shù)等等。有的詐騙分子專(zhuān)門(mén)打座機(jī)號(hào)來(lái)騙老師，有的詐騙分子專(zhuān)門(mén)打手機(jī)號(hào)。數(shù)據(jù)量大了之后，統(tǒng)計(jì)特征還是非常明顯的。
當(dāng)我們的數(shù)據(jù)積累一定量之后，我們可以建立號(hào)碼信用度。正常用戶的行為會(huì)被識(shí)別為白名單，而和這種行為模式不相符的號(hào)碼，就可以被認(rèn)為號(hào)碼信用度低。
例如，號(hào)碼的異常行為、呼叫異常號(hào)碼，會(huì)被計(jì)入異常行為檔案。對(duì)于我們認(rèn)為有問(wèn)題的號(hào)碼，會(huì)進(jìn)行重點(diǎn)的監(jiān)測(cè)分析。
例如詐騙號(hào)碼都是突然間開(kāi)始使用的，可能用了一段時(shí)間就突然消失。（因?yàn)閾Q了新的號(hào)碼）
【詐騙號(hào)碼通話量突增模型】
這是我們監(jiān)測(cè)到的一個(gè)詐騙號(hào)碼。15年1月12號(hào)這一天還基本沒(méi)有撥通記錄，到了第二天的時(shí)候，它的撥打電話達(dá)到了一百多，第三天達(dá)到了一千個(gè)。而過(guò)了一周左右，它的撥打號(hào)碼就直接降為零。這種特征很明顯。
詐騙分子也有時(shí)間成本。對(duì)于他來(lái)說(shuō)就是要在最短的時(shí)間里盡可能多地?fù)艹鎏?hào)碼，撈出盡可能多能上鉤的魚(yú)。所以不可能一個(gè)號(hào)碼專(zhuān)門(mén)騙一個(gè)人然后就廢棄不用。所以他的套路我們總是可以歸納分析出來(lái)。
我們來(lái)看一個(gè)經(jīng)典的詐騙劇本：
五六個(gè)詐騙分子坐在一間屋子里，啟動(dòng)詐騙流程
1、先用+185這個(gè)自動(dòng)語(yǔ)音系統(tǒng)撥打電話，告訴你有文件沒(méi)投遞成功，讓你按9轉(zhuǎn)人工。如果你響應(yīng)了，后面的“服務(wù)流程”就跟上了。如果你不接或者兩秒鐘就掛斷，后面的行為就取消了。
2、幾分鐘后，另外一個(gè)冒充警官的人打過(guò)來(lái)，他的目的是信息作證，讓你相信這個(gè)騙局。他會(huì)引導(dǎo)你去“官網(wǎng)”查詢信息，你去網(wǎng)上果然發(fā)現(xiàn)了這個(gè)信息。
3、一個(gè)小時(shí)之后，用戶接到仿冒公安局的電話。
4、用戶根據(jù)公安局的電話指示，撥打114來(lái)確認(rèn)檢察院電話。
5、“經(jīng)過(guò)確認(rèn)的”檢察院打來(lái)電話。
【一個(gè)經(jīng)典詐騙套路背后，有哪些規(guī)律？】
這其中越到后來(lái)的步驟，越是騙子“老司機(jī)”，也就是團(tuán)隊(duì) leader 來(lái)操作。根據(jù)這樣的事件模型，可以把看起來(lái)獨(dú)立的行為串起來(lái)。
電信詐騙可以跟刑事案件進(jìn)行類(lèi)比。
例如發(fā)現(xiàn)了一個(gè)殺人案，我們可以用不同的維度來(lái)縮小懷疑范圍。例如目擊證人發(fā)現(xiàn)這是個(gè)男性，發(fā)生事件時(shí)早上九點(diǎn)，根據(jù)探頭發(fā)現(xiàn)作案的交通工具，最后從被害人的社交關(guān)系里來(lái)判斷哪些人和被害人有矛盾。
同樣詐騙電話我們也可以用類(lèi)似方法來(lái)縮小包圍圈。
如果一個(gè)號(hào)碼連續(xù)通話，很少撥入只有播出，通話時(shí)長(zhǎng)很長(zhǎng)，經(jīng)常給一大波分散的陌生人打電話。每觸發(fā)一個(gè)規(guī)則，我們就打一個(gè)分值。如果全部觸發(fā)，這個(gè)分值就會(huì)高一些。
邏輯上來(lái)講，一個(gè)正常的通話，很難同時(shí)觸發(fā)這么多的異常事件。
【異常事件累加的“黑天鵝”事件概率非常低】
利用這種方式，我們可以區(qū)分出“淺層詐騙”和“深層詐騙”。淺層詐騙是隨意打電話碰運(yùn)氣，如果你愿意搭理就中招了。而深層詐騙就是剛才提到的好幾個(gè)人分工合作，用“一整套服務(wù)”來(lái)騙你。
對(duì)于誤報(bào)，我們會(huì)進(jìn)行驗(yàn)證工作。
1、歷史檢測(cè)結(jié)果。對(duì)于歷史檢測(cè)結(jié)果，我們會(huì)輸送云端，利用第三方數(shù)據(jù)，例如騰訊手機(jī)管家來(lái)進(jìn)行校驗(yàn)，看是不是相匹配。由于二者判斷邏輯不同，所以可以用來(lái)校驗(yàn)。
2、最新檢測(cè)結(jié)果。公安和運(yùn)營(yíng)商會(huì)進(jìn)行抽樣回查。例如對(duì)于一百位發(fā)送了告警短信的用戶，抽取其中的三十個(gè)進(jìn)行電話回訪，確認(rèn)是否真的接到了“我是你領(lǐng)導(dǎo)”或者“猜猜我是誰(shuí)”的電話。
【接到詐騙電話的人對(duì)客服的反饋】
通過(guò)以上介紹的技術(shù)，實(shí)際的檢測(cè)準(zhǔn)確率大概如下：
冒充公檢法的騙術(shù)，準(zhǔn)確率大概是 99%，因?yàn)檫@種騙術(shù)存在一整套流程，更加利于判斷。
仿冒熟人的騙術(shù)，準(zhǔn)確率稍微差一些，是97%。
仿冒客服的騙術(shù)，準(zhǔn)確率也可以達(dá)到 99%。
根據(jù)一個(gè)城市試用半年的情況，用戶被騙金額下降了 70% 以上。
但是我們的系統(tǒng)也存在一些問(wèn)題，例如對(duì)于仿冒公檢法的詐騙沒(méi)辦法做到全覆蓋。因?yàn)榈谝粋€(gè)打進(jìn)的騙子會(huì)給受騙者洗腦，讓他不要再接聽(tīng)任何電話，只能和“警方”單線聯(lián)系，或者干脆讓被害人電話一直占線。所以有時(shí)我們做電話回訪，根本打不進(jìn)去。當(dāng)我們能接通的時(shí)候，被害人的錢(qián)已經(jīng)被轉(zhuǎn)走了。
前一段時(shí)間清華大學(xué)教授被騙的事件。當(dāng)時(shí)北京公安已經(jīng)發(fā)現(xiàn)了這個(gè)情況，警察叔叔給老師連打了三個(gè)電話。但是詐騙分子給老師下的套太厲害，讓老師一定不要再接聽(tīng)其他人的電話，老師相信騙子才是真正的公安，最終上當(dāng)。
這里我要提醒一下大家，不要輕易去騷擾詐騙分子。為什么呢？對(duì)你來(lái)講，如果你不理他，你就是他無(wú)數(shù)的沉沒(méi)成本之一。如果你勾搭他，他就會(huì)認(rèn)為你是可能上鉤的目標(biāo)之一，會(huì)盯上你。如果你把他惹惱了，他有的是精力陪你玩。
前一陣子有一個(gè)用戶調(diào)戲了詐騙分子，過(guò)了兩天，他的手機(jī)號(hào)碼突然被各大安全公司攔截，運(yùn)營(yíng)商也把他拉黑了。原因是詐騙分子為了報(bào)復(fù)，仿造了他的手機(jī)號(hào)碼進(jìn)行了大量垃圾信息的發(fā)送。
最后我想說(shuō)，雖然大家從旁觀者的角度，感覺(jué)被騙的人有點(diǎn)傻。但是當(dāng)你處在騙局中的時(shí)候，有時(shí)真的很難繞出來(lái)。每當(dāng)我看到這些技術(shù)可以真正阻斷詐騙的發(fā)生，都會(huì)覺(jué)得團(tuán)隊(duì)付出的努力是值得的。
接下來(lái)是雷鋒網(wǎng)文末福利時(shí)間。
關(guān)注雷鋒網(wǎng)旗下微信公眾號(hào)“宅客頻道”并且回復(fù)“反詐騙”獲得公開(kāi)課完整 PPT。
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。
專(zhuān)題
