​对话Resistant AI创始人Martin Rehak：应对金融业日新月异的网络挑战

与经济的许多领域一样，数字技术在金融业中发挥着越来越重要的作用。比如人工智能 (AI) 和机器学习 (ML) 等自动化技术，提高了银行的运营效率，同时创造了更加顺畅的客户体验。 然而，数字银行和金融业务的变革，尤其是在新冠疫情期间，为网络犯罪分子提供了新的机会去攻击金融业这个极具诱惑力的目标。这也导致金融犯罪和网络犯罪在近年来呈现融合之势。信息安全杂志（Infosecurity）最近采访了Resistant AI的创始人兼首席执行官、布拉格捷克科技大学的讲师兼高级研究员马丁·雷哈克（Martin Rehak），讨论了针对金融业网络攻击的演变以及缓解这些威胁的应对措施。

近年来，我们所看到的金融犯罪和网络犯罪融合到了什么程度？

技术因素令网络犯罪成为金融犯罪的最大源头，它开启了易受攻击的漏洞之门。然而，这种方式最近发生了改变。 它曾经是一个非常简单的场景：欺诈者侵入个人电脑（PC）或笔记本电脑并在浏览器上安装跟踪器，当用户登录自己的网银时，欺诈者便可以进入他们的银行账户进行洗钱或偷钱。这个例子表明了金融犯罪和网络犯罪在最基本层面上的融合——但它不再是主要威胁。 如今，组织在网络犯罪方面面临的关键问题主要是大规模的黑客攻击。犯罪分子攻击的不是安全系统，而是公司赖以开展在线业务流程的自动化和人工智能系统。欺诈者已经组织成专家角色，可以工业化地生成新的伪造文件和身份，并将它们加载到金融系统中（每小时可多达数千份），然后将它们卖给其他犯罪分子，无需见面，所有交易均在线处理。 这种黑客攻击行为模糊了欺诈、洗钱和网络犯罪之间的界限。因此，传统负责欺诈风险和合规性的团队需要开始像网络安全专家和黑客一样思考，并共享相关风险状况、人员、流程和技术的数据和情报，以阻止敌人的追踪。

您能否举例说明结合网络技术、欺诈和洗钱的网络攻击？这些攻击是否特别难以察觉和阻止？

我们以保险欺诈为例，如今人们可以获得 50 个被盗身份或轻松创建 50 个假的数字身份。欺诈者用这 50 个名字投保，然后为这些人伪造事故并向保险公司索赔。其中 25 项索赔可能会被拒绝，但也有25 项可能会成功，而赔偿金则直接赔付给了犯罪分子。即使犯罪随后被举报和调查，当局寻找和调查的也是不存在的人或身份被盗的无辜者。 当你发现其中一些身份被完全不同的犯罪分子用来创建加密交易账户，并清洗勒索软件攻击的收益时，问题的严重性就显而易见了。 以他人名义进行的欺诈行为大幅增加，其规模之大连警方都无法应对。只有银行和金融科技机构内部的金融犯罪打击团队才能真正解决这一问题。 检测和阻止这些攻击的难度主要取决于部署方法。仅依靠人工干预的传统方法不足以快速应对数字欺诈，而且过于耗时。相信简单自动化或基于规则的人工智能能迎头赶上，只是造成了当前黑客猖獗的混乱局面。即使是更智能的人工智能系统，如果不全面考虑新客户，也无法阻止这一趋势。 我们需要一种实时身份取证来帮助确认新客户的真实身份，如果现有客户已受到威胁，便不再按预期行事。

人工智能和机器学习在金融服务领域的发展在多大程度上会带来新的欺诈挑战和威胁？

至少，新冠疫情的发生，令能够快速和即时支付交易的数字及移动客户平台的弱点暴露无遗，几乎没有客户身份验证或交易验证的时间。同样的，在数字时代，你的客户 (KYC) 和客户入职难以了解，使金融服务机构及其客户面临网络犯罪和金融欺诈的风险显著增加。 金融服务的快速扩张和自动化使客户摩擦最小化，这给验证和风险管理政策以及实践带来了新的挑战。现在评估数字交互是否真实引用来自多个来源的大量数据，包括地理位置、会话行为、商家、机构和客户档案的数据等。 此外，如今的金融欺诈者正在成为针对这些复杂数字环境的专家，并正在使用区块链和即时支付等创新手段来对付银行及其客户。

组织应该如何应对这些威胁？

人工智能和机器学习的作用很明确，它是实时有效监管现代金融体系的唯一尺度因素。它将最高级的文档和客户行为评估结合在一起，以揭示合成身份、试图接管账户、洗钱以及其他新型的金融服务欺诈行为，其中许多都源于网络犯罪。使用算法、方法和能力之间不断完善的体系，以及用数据去学习攻击模式，便可以减轻威胁。 与此同时，需要注意的是，犯罪分子本身也在使用人工智能和机器学习来支持他们的活动，所以这就像一场猫捉老鼠的游戏，金融服务必须不断发展以赢得胜利。 如今，由人工智能驱动的实时身份取证能够检测到高级金融犯罪、欺诈和操纵行为，并擅长将这些点连接起来，以发现它们所保护的底层系统中未曾识别的漏洞，从而阻止未来的攻击。