从光大信用卡被羊毛党刷爆事件，看企业业务安全

相信大家今天一定被羊毛党刷爆光大银行***的信息刷屏了。有人甚至在朋友圈晒出战绩，在5月25日凌晨的一个小时中，有中介靠替人刷卡变现挣了四十万元！

猎人君整理了一下资料，为大家还原该事件：

5月25日凌晨1点多，羊毛党收到了一条微信信息：光大***放水，快去打电话提额。

“放水”是羊毛党内部的黑话，意思是指有些银行在面临KPI压力的时候，放松审核规则，可以提额、套现、刷分换礼物。

据透露，光大***此次放水持续了大约三小时，时间从5月25日凌晨一点左右开始，结束于当天凌晨四点左右。在这段时间之内，金卡用户可以封顶提到6万，白金卡提到15万。

猎人君看到的网络截图，最早的提额成功短信是1：06分。

在专业***论坛“我爱卡”中，目前成功提额的晒单帖已经有100多个，相关帖超过300个，时间仅仅过去20多个小时。而晒单帖已被大量转到各个赚客群、羊毛群。预估本次提额成功的***可能高达数千张；按照每张卡平均5万元计算，可能涉及上亿的资金套现。

为什么这次光大***超出了正常授信额，这种异常消费行为却没有引起风控系统报警？

据分析，银行为了业绩会定期放水（也就是放松审核规则），虽然没有所谓的应用漏洞，但导致了业务逻辑上的风险点，很容易就会被黑产钻空子。

另外，除了正常的提额需求和利益链外，黑产在花呗、***提额上还发展出了一条完整的产业链。网上有很多如何提额的黑产交流群：

猎人君认为，企业业务安全问题已经从传统的漏洞攻防问题，上升到了业务流程逻辑层面。

随着互联网的快速发展，羊毛党已经渗透到日常生活中的方方面面。企业为了激励消费者，在策划市场活动时免不了需要投入一些实质性的奖励和优惠，只要这些优惠信息、奖励措施不停，羊毛党也将永不停歇的耕耘在这片“沃土”上。

这也就意味着，业务流程逻辑已经成为影响企业安全的重点。想要把羊毛党成功地挡在门外，除了技术上的防护，企业更加需要从整体业务流程上做好把控。

线上业务缺乏上线前的业务安全测试标准和流程。传统的渗透测试更关注基础层的攻防安全，业务层的流程和逻辑问题没有一个测试标准和量化方法，导致企业即使提前预感到某业务可能存在的风险，也很难在上线前在内部形成共识。

如银行风控为了业绩放水，事先会定好数量，比如只放100张提额，放满之后有人再申请就会失效，但此次光大***仍被提额几千张，企业难以把控。

从2017年开始，黑产就处于爆发态势，已完成自身迭代并适应了当下这个“黄金时代”。黑产流量入口从“肉鸡”变成“网络账号及虚拟身份”，流量变现场景爆发，更多的线上业务场景的出现为黑产提供了丰富的变现渠道。

如***提额，虽然不能马上变成现金，但可以有种种方法变现，比如从电商网站购买大件商品等都可以实现变现。

企业需要在业务流程上持续优化，如银行的反欺诈规则中必须增加信用提额的个体异常和群体异常指标，以防范未经授权的信用提额操作，提高提现门槛。

哪怕是传统的安全问题，在攻防上也发生了巨大的攻防平面转移。如盗号及信息泄露问题，已经从早期的主机漏洞攻防，直接拖数据库，变成通过海量已泄露的账号密码来撞库攻击获取。

近几年暗网中新增的数据泄露也基本是长期撞库攻击积累起来的库。所以即使是旧风险，企业也应该关注到攻防平面的变化，调整应对方法，增强业务安全感知能力。

对于互联网行业来说，面临黑产的肆虐是不可避免的，这也是防攻不断提升的过程。此次爆发的事件也值得我们去反思：传统的只关注漏洞攻防的策略显然已无法与现在的黑产势力抗衡，作为防守方的企业也要关注业务流程逻辑问题，才能不断完善企业业务风控体系。

本文作者：永安在线

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/72181.html