从2021年假日购物骗局中得到的安全教训

到了假日购物季——尤其是11月下旬的感恩节、黑色星期五和网络星期一(北美地区的购物节，算是“美版双11”)——大量消费者涌入网络“薅”羊毛。网络犯罪分子自然也不会放过机会，他们会在圣诞节前的时间里，利用消费者“占便宜”的心理加大攻击力度，2021年也不例外。

据TransUnion研究指出，发生在感恩节和网络星期一期间的全球所有电子商务交易中，近18%存在潜在欺诈性，比去年同期增加了4%。以下是欺诈者针对2021年假日购物季采取的四种典型欺诈方式，以及零售商的应对建议：

网络钓鱼即服务(PhaaS)活动针对黑色星期五购物者

电子邮件安全公司Egress透露，在黑色星期五之前和当天，仿冒主要品牌的网络钓鱼即服务 (PhaaS) 活动有所增加。调查数据显示，与网络钓鱼工具包相关的域名抢注增加了397%，冒充亚马逊的网络钓鱼工具包增加了334.1%。

研究人员观察了近4000页冒充亚马逊的内容，并详细剖析了一个针对黑色星期五的网络钓鱼电子邮件示例，其中提供了虚假的亚马逊促销活动，试图引诱收件人填写附件表格以换取优惠券。进一步分析显示，该附件包含XBAgent恶意软件。

Egress威胁情报副总裁Jack Chapman表示，“PhaaS降低了网络犯罪分子的准入门槛，使得冒充知名品牌和欺骗受害者变得更加容易。最近，挂牌出售的网络钓鱼工具包数量不断增加，凸显了犯罪分子在繁忙的购物时间进行攻击的企图。”

零售商应如何应对网络钓鱼活动

Egress首席执行官Tony Pepper强调称，零售商在防御此类网络钓鱼活动方面必须发挥重要的作用。零售商应该主动告知客户有关电子邮件通信的最佳实践，在他们的官网和社交媒体渠道上提供有关电子邮件的使用指导，以及有关发现和报告网络钓鱼电子邮件的一般性建议。

此外，零售商还需要应对的另一个趋势是，网络犯罪分子正利用网站漏洞入侵并构建自己的欺诈页面来收集凭据。研究显示，在最近的一起涉及UPS的案例中，黑客能够在真实的UPS网站中建立一个页面，然后将其用于网络钓鱼攻击。由于该链接在技术上是合法的，因此收件人几乎不可能知道他们被骗了。零售商有责任确保识别并修补漏洞，以免其网站沦为网络犯罪分子牟利的工具。

诱饵替换计划将购物者引诱到欺诈性网站

在假日购物季检测到的另一个值得注意的欺诈策略，是一种称为“诱饵替换”(bait-and-switch)的计划，旨在诱使受害者以为他们通过在线比价网站获得了超值优惠，结果却是将他们定向到一个收集信息的虚假网站。一旦受害者填写表格并登记他们的兴趣，来自虚假网站的人就会打电话给他们，获取他们的银行卡详细信息，然后很快就带着他们的钱消失了。受害者被骗了，卡的详细信息用在了其他地方的其他购买途径，而电话中承诺的大笔交易永远不会兑现。

当欺诈者掌握卡的详细信息时，他们通常会先去大型商家处试水，进行小额购买以测试他们获得的信息，然后再进行更大额度的消费。确认卡能够正常消费后，他们就会致电商家的“客户支持中心”修改收货地址。受害者最终意识到自己的卡存在欺诈行为，并向银行投诉，迫使商家承担损失。

零售商应如何应对诱饵替换骗局

为了防止这种类型的欺诈，零售商需要采用能够实时捕捉欺诈者的策略和技术。通过先进的机器学习算法，商家可以使用IP地理位置、电子邮件地址和邮政地址等唯一标识符来识别欺诈交易。但是，防欺诈不仅限于这些方法，还需要实时机制，自动拒绝高风险订单，以及为新账户欺诈和账户接管案件发送风险信号。

行为生物识别技术通过不断评估消费者在设备上刷卡的方式、手握设备的方式、特定的按键模式、设备移动等，同样能够赋予商家这种能力。通过使用这些数据，商家可以了解数字模式何时出现了偏差(与过去的行为不同)——可能表明账户已被盗——并立即采取行动阻止欺诈活动。

结账滥用和库存囤积扭曲了市场趋势

考虑到假日购物季“折扣密集”的性质，市场越来越饱和，许多零售商和欺诈者都想分一杯羹。这时候，就很容易发生“结账滥用”(其性质相当于“票务倒卖”)的情况。欺诈者使用自动脚本在几分钟或几秒钟内购买大量高端限量版产品，耗尽合法商家的库存。然后他们再以更高的价格转售这些物品。

同样地，库存囤积——使用机器人将产品放入购物车、扭曲库存数据并使产品看起来缺货的过程——也在同步进行中。要知道，机器人可以在短短两秒钟内清除物品的库存。事实是，电子商务将继续存在，现在是零售商和品牌商针对此类欺诈采取坚定策略的时候了——否则必将面临声誉受损的窘境。

零售商应如何应对结账滥用和库存欺诈

零售商需要了解账户接管、新账户欺诈和其他欺诈攻击的范围。这涉及分析运动和行为——寻找与击键、滚动、鼠标移动和触摸屏交互有关的非人为趋势。

Magecart card skimming攻击针对WooCommerce

Card skimming是一种针对在线购物的常见欺诈策略。它的工作原理是将恶意代码注入浏览在线支付表格的电子商务网站。这种攻击方式首先在电子商务平台Magento上受到关注，随后众多犯罪集团转而采用card skimming策略来窃取支付卡详细信息。

RiskIQ的研究发现，Magecart就是这样的一个群体，且正在利用WooCommerce(一种被在线零售商广泛使用的开源WordPress插件)中的潜在漏洞和弱点在最近的假日购物季发起新一轮攻击。该网络威胁情报公司还详细介绍了使用WooCommerce插件针对零售商的3款Magecart skimmers，它们分别为：

The WooTheme Skimmer：RiskIQ称，在使用受损WooCommerce主题的五个域中检测到的这一Skimmer相对简单。操作员混淆了所有发现的迭代中的skimming代码，除了一个。然而，这一个实例似乎是错误的，因为RiskIQ在明文版本出现之前检测到同一个受感染域中的混淆skimmer。

The Slect Skimmer：RiskIQ解释，这个拼写错误是一个前所未见的Skimmer，一旦DOM内容完全加载，它就会做两件有趣的事情：它将查找skimmer不想从中提取数据的一系列表单字段，例如打开的文本字段、密码和复选框;接下来，事件侦听器会侦听按钮的点击，这可能会避开安全研究人员的沙箱。

The Gateway Skimmer：Risk IQ解释称，这个skimmer的复杂程度很高，恶意行为者采用了多层和步骤来隐藏和混淆过程。该skimmer代码庞大且难以消化，同时还运行着一些在其他skimmer中观察到的特殊功能。

零售商应如何应对card skimming

RiskIQ的博客写道，在假期旺季，零售商和在线购物者特别容易遭受card skimming攻击。WooCommerce用户通常是中小型企业，这类企业有时被认为是最脆弱的，因为他们缺乏复杂且经过严格审查的第三方工具等资源。然而，多年来的证据表明，无论是小型还是大型零售商都可能沦为Magecart skimming的目标。面对这种情况，除了对恶意软件进行强大的检测外，网站运营商还应定期检查其crontab命令是否存在异常内容，确保访问权限正确，对访问进行审核等。