誰(shuí)泄露了你的網(wǎng)購(gòu)訂單信息?

　　年末，雙十一、黑色星期五、雙十二紛至沓來(lái)，購(gòu)物狂潮席卷大江南北的同時(shí)，電商詐騙也在你的附近蟄伏。

　　“客服”騙走女大學(xué)生一年學(xué)費(fèi)

　　周玲(化名)是山東某大學(xué)的一名在校生，今年8月2日，她在網(wǎng)上給表妹買了衣服鞋子，因表妹回四川老家，她又聯(lián)系商家將收貨地址從西安改成了四川。

　　當(dāng)天下午，一個(gè)自稱客服的陌生電話打過(guò)來(lái)告知周玲稱，其購(gòu)買的貨物丟失需加微信給予賠償。接收到對(duì)方發(fā)來(lái)的二維碼后，周玲點(diǎn)擊識(shí)別立馬顯示貨物訂單異常。

　　隨后，周玲按照對(duì)方要求，又通過(guò)二維碼輸入了支付寶賬號(hào)，剛收到驗(yàn)證碼，語(yǔ)音就提示綁定支付寶的銀行卡被凍結(jié)，無(wú)法打進(jìn)賠償款。

　　見(jiàn)銀行卡凍結(jié)，慌亂之際周玲又聽(tīng)信對(duì)方要求，將6700元紅包轉(zhuǎn)入對(duì)方卡中試圖解凍。詐騙者并未立刻收手，而是主動(dòng)讓周玲獲悉余額寶錢款不見(jiàn)的事實(shí)，繼而以其余額寶也被凍結(jié)為由，指導(dǎo)其在一家借貸店鋪申請(qǐng)1500元借貸，并表示之后可將貨物賠償款和已被轉(zhuǎn)走的錢一并還給周玲。

　　再次按提示完成操作后，周玲才發(fā)現(xiàn)這是一個(gè)騙局，自己總計(jì)被騙走了8200元，對(duì)于她而言，這相當(dāng)于一年的學(xué)費(fèi)，無(wú)奈選擇報(bào)警。所幸，公安機(jī)關(guān)全力偵查，幫助周玲追回了被騙的8200元。

　　商家信息泄露過(guò)半來(lái)自“內(nèi)鬼”

　　近年，像周玲因網(wǎng)絡(luò)購(gòu)物遭遇詐騙的經(jīng)歷并不少見(jiàn)。無(wú)論是京東還是亞馬遜等電商平臺(tái)，同樣面臨用戶信息被泄露，遭遇假冒電商客服詐騙買家的困擾。2013年以來(lái)，京東幾乎每年都會(huì)對(duì)外發(fā)布聲明，稱接到消費(fèi)者反映有不法分子打著京東名義，通過(guò)京東客服電話極為相似的號(hào)碼向消費(fèi)者索要銀行卡和手機(jī)驗(yàn)證碼，或聲稱消費(fèi)者中獎(jiǎng)、向消費(fèi)者電話推銷打折卡等實(shí)施詐騙。

　　據(jù)電子商務(wù)生態(tài)安全聯(lián)盟發(fā)布的《白皮書(shū)》報(bào)告分析稱，整個(gè)電商生態(tài)中，從平臺(tái)到商家再到ISV(服務(wù)商)和物流，都會(huì)有信息泄露風(fēng)險(xiǎn)。這些環(huán)節(jié)信息泄露的比例依次為10%、36%、19%和35%。

　　商家泄露信息大部分是因內(nèi)部人員和賬號(hào)出問(wèn)題，即通常所說(shuō)的“內(nèi)鬼”。如商家內(nèi)部員工為謀取私利，通過(guò)直接出售數(shù)據(jù)或賬號(hào)給詐騙分子，從中獲取非法收入。此外，黑產(chǎn)分子還會(huì)偽裝稱客服上門應(yīng)聘，在獲取賬號(hào)權(quán)限后批量下載數(shù)據(jù)再借機(jī)離開(kāi)，這類情況通常發(fā)生在商家聚集的廣東地區(qū)，且多為團(tuán)伙流竄作案。

　　“假冒買家的騙子還會(huì)通過(guò)其他聊天軟件，給商家客服發(fā)送會(huì)觸發(fā)木馬下載的文檔或圖片等，并謊稱是自己需要購(gòu)買的貨品清單，沒(méi)有防備的商家客服往往會(huì)順勢(shì)點(diǎn)開(kāi)中招。”一位業(yè)內(nèi)資深安全專家介紹稱，這類內(nèi)鬼風(fēng)險(xiǎn)也是主要的信息泄露源，占到商家信息泄露的56%。

　　服務(wù)商泄露信息不容小覷

　　在周玲一案中，經(jīng)西安警方偵查發(fā)現(xiàn)，周玲提出更換收貨地址后，商家曾將她的相關(guān)信息發(fā)送至了有物流人員和黑產(chǎn)者在內(nèi)的QQ群。

　　辦案民警介紹稱，黑產(chǎn)人員往往會(huì)通過(guò)搜索類似“物流”“快遞”等關(guān)鍵詞，加入到物流快遞QQ群，用戶信息也因此容易被黑產(chǎn)者盜取并販賣。警方初步判斷，該類QQ群是周玲信息被泄露的根源。

　　按照電子商務(wù)生態(tài)安全聯(lián)盟白皮書(shū)調(diào)研，物流和服務(wù)商環(huán)節(jié)泄露用戶信息的情況也不可小視。

　　在物流環(huán)節(jié)，因物流公司大部分采取加盟模式，部分倉(cāng)庫(kù)、網(wǎng)點(diǎn)存在倉(cāng)內(nèi)局域網(wǎng)作業(yè)情況，導(dǎo)致應(yīng)用系統(tǒng)呈現(xiàn)多級(jí)數(shù)據(jù)存儲(chǔ)的架構(gòu)，極大增加了數(shù)據(jù)管理的復(fù)雜程度。同時(shí)，物流從業(yè)人員流動(dòng)性大，尤其是在歷年大促期間，大量臨時(shí)的分揀、派件人員加大了電商交易信息在物流環(huán)節(jié)發(fā)生信息泄露的不可控因素，常見(jiàn)的人員問(wèn)題包括面單拍照、賬號(hào)買賣、內(nèi)部人員批量數(shù)據(jù)導(dǎo)出等情形。

　　而ISV(服務(wù)商)在電商生態(tài)中，主要會(huì)給商家提供開(kāi)發(fā)應(yīng)用系統(tǒng)，如進(jìn)行商品、會(huì)員和訂單的管理。這一環(huán)節(jié)掌握著各電商平臺(tái)的不同商家訂單信息。

　　無(wú)論是京東、淘寶還是亞馬遜等電商平臺(tái)商家，通常存在使用相同ISV的情況，意味著一旦這些跨店鋪、跨平臺(tái)的ISV服務(wù)商出現(xiàn)信息泄露，往往會(huì)殃及多家平臺(tái)。

　　通常情況下，騙子在掌握了詳細(xì)或部分受害者信息后，會(huì)通過(guò)電話、短信等方式聯(lián)系受害者，用掌握的受害者信息獲取信任，然后引導(dǎo)受害者進(jìn)行掃碼支付、在線轉(zhuǎn)賬、ATM機(jī)轉(zhuǎn)賬、在釣魚(yú)網(wǎng)站中填寫(xiě)資金賬戶信息、從借貸產(chǎn)品借出資金，并將資金轉(zhuǎn)入騙子賬戶或者在線進(jìn)行虛擬商品消費(fèi)或購(gòu)買基金產(chǎn)品。

　　資金到達(dá)騙子賬戶后詐騙者會(huì)迅速將資金分拆轉(zhuǎn)入二級(jí)、三級(jí)黑卡，然后進(jìn)行消費(fèi)或由專門的黑產(chǎn)者在全球各地取現(xiàn)。騙子的借口各式各樣，目的都是騙取受害者卡中的錢款和誘導(dǎo)借貸出來(lái)的錢款。

　　目前北京、上海、廣東、浙江、江蘇、山東、河北、江西等省市欺詐事件較為頻發(fā)且資損較大，但詐騙者來(lái)源地則主要集中在福建和廣東兩省。

　　電商建立全鏈路數(shù)據(jù)安全能力

　　近日，中國(guó)電信廣東公司在廣州舉辦以“溫柔藏刀”為主題的防范通訊信息詐騙創(chuàng)意快閃活動(dòng)。在現(xiàn)場(chǎng)，觀眾使用準(zhǔn)備好的“詐騙劇本”和手機(jī)給自己的親朋好友打個(gè)電話，通過(guò)換位思考的方式，了解騙子思維。在這個(gè)過(guò)程中，不少觀眾認(rèn)識(shí)了電商詐騙的場(chǎng)景和套路。

　　當(dāng)前，在反制電商詐騙中，部分電商平臺(tái)也作出了技術(shù)創(chuàng)新。近年，阿里巴巴就針對(duì)數(shù)據(jù)安全風(fēng)險(xiǎn)的防范，提煉出了一套數(shù)據(jù)安全能力成熟度模型(DSMM)，用來(lái)評(píng)估企業(yè)和機(jī)構(gòu)在數(shù)據(jù)安全整體上的能力水平，指導(dǎo)電子商務(wù)生態(tài)內(nèi)的各類企業(yè)和機(jī)構(gòu)進(jìn)行數(shù)據(jù)安全體系建設(shè)工作。

　　而其全鏈路數(shù)據(jù)安全防控技術(shù)與產(chǎn)品體系——御城河的數(shù)據(jù)泄露風(fēng)險(xiǎn)檢測(cè)及溯源技術(shù)，可預(yù)警商家、服務(wù)商、物流環(huán)節(jié)在內(nèi)的內(nèi)鬼操作、賬號(hào)風(fēng)險(xiǎn)、異常訪問(wèn)行為、木馬風(fēng)險(xiǎn)等各類數(shù)據(jù)風(fēng)險(xiǎn)。該系統(tǒng)每天會(huì)幫助服務(wù)商分析6.5億次核心數(shù)據(jù)訪問(wèn)行為并攔截風(fēng)險(xiǎn)，每天幫助物流商分析6000萬(wàn)次核心數(shù)據(jù)訪問(wèn)行為，已有超過(guò)300萬(wàn)商家的近800萬(wàn)終端也在使用受御城河保護(hù)的服務(wù)商或物流應(yīng)用。

　　在購(gòu)物狂歡的年末，安全專家提醒，在網(wǎng)上購(gòu)物后，若接到自稱客服退款等陌生電話，一律不要輕信，也不要加QQ或微信私聊。如果用戶錢款已被詐騙，也千萬(wàn)不要再次聯(lián)系詐騙電話，應(yīng)該及時(shí)保留證據(jù)并立即報(bào)警。

　　“陌生人發(fā)來(lái)的任何網(wǎng)頁(yè)或二維碼鏈接都不要輕易點(diǎn)擊查看。”安全專家特別強(qiáng)調(diào)。南方日?qǐng)?bào)記者 姚翀