账户接管：加大挑战力度，而不是直接封禁客户。
Charles Archibong, 联合创始人
如果登录操作疑似账户盗用，切勿猜测。先限制权限，允许会话继续进行，并要求对方提供只有经过验证的本人才能提供的身份证明，例如与其注册信息相符的最新自拍照，之后才能进行任何付款、更改受益人或重置密码的操作。
要点
- 大多数可疑的登录都是真实用户使用新手机或旅行时进行的；阻止这些登录会造成损失。
- 升级挑战应该是攻击者无法提供的信息，例如已验证人员的面部信息。
- 将挑战放在敏感操作之前，而不仅仅是在登录时。
- 将失败或放弃的升级视为强烈的信号，将通过的升级视为新的证据。
当登录操作疑似账户盗用时，最佳应对措施通常既不是允许登录，也不是锁定账户。而是限制登录权限，并要求对方提供只有真实客户才能提供的证据，例如提款证明、新的收款人证明、更改的电话号码或密码等，然后再进行任何敏感操作。
该验证信息应与您在注册时验证的人员信息关联，而不是与攻击者可能已控制的信息关联。一张清晰可见的自拍照，与客户的注册信息进行比对，是日常使用中最可靠的验证方式。而发送到攻击者可能刚刚更改过的号码的短信验证码则是最弱的验证方式。
为什么阻止操作是错误的默认值？
大多数看似危险的登录行为并非攻击。人们会购买新手机、旅行、重新安装应用，还会借用兄弟姐妹的手机。如果规定所有新设备都无法登录，那么大部分用户都会被拒之门外，而每次被拒都可能导致客服电话、交易丢失或账户被关闭。
放任不管更糟。一旦发生盗号事件，账户余额可能在几分钟内被清空，客户会期望你有所察觉。
两者之间还有一层保障。对于真正的顾客来说，这只需要几秒钟。而对于攻击者来说，如果挑战要求提供他们没有的东西，那么整个尝试就会失败。
什么情况下登录行为会被认为是账户盗用？
暗示收购的信号通常描述的是与客户自身历史记录相反的变化：
顾客以前从未用过的设备。
国家之间的变化速度太快，令人难以置信，例如一小时前还在拉各斯，现在却已经到了另一个大洲。
新设备到手后，用户在登录后几分钟内就进行了敏感操作，例如添加受益人。
在取款前重置密码或更改电话号码。
来自主机提供商的 IP 地址，而不是移动网络或家庭宽带的 IP 地址。
这些行为单独来看或许都有合理的解释。但综合起来，再加上试图转移资金的行为，就值得质疑了。
什么是好的进阶挑战？
根据攻击者接管账户后能否完成挑战来对挑战进行排名。
挑战 | 攻击者能通过它吗？ | 客户努力 |
|---|---|---|
再次输入密码 | 是的，他们已经有了。 | 低的 |
短信代码 | 有时候，如果他们控制了号码或更改了号码 | 低的 |
电子邮件链接 | 有时，如果电子邮件也被盗用了 | 低的 |
来自已知设备上应用程序的代码 | 并非来自新设备 | 低的 |
实时自拍，与报名匹配 | 只有通过破解此人的活体检测和人脸匹配才能实现 | 中等的 |
需出示身份证件并自拍照进行全面复核 | 仅凭顾客的身份证和面部信息。 | 高的 |
模式很简单：更严格的验证挑战与已验证人员而非凭证绑定。将最严格的验证选项留到风险最高的时候使用，并且切勿使用发送到同一会话中已更改的联系方式的验证码。
挑战应该设在哪里？
将挑战置于导致损失的操作之前，而不仅仅是登录时。以下是一个钱包应用程序的策略示例：
从已知设备登录：允许。
从新设备登录，其他一切正常：允许登录，但隐藏余额或限制转账，直到下一步操作。
在同一会话中添加新设备和受益人：需要上传与注册信息匹配的自拍照，受益人才会激活。
新设备、快速更改国家/地区以及提款金额超过客户通常金额：暂停提款并要求完全重新验证。
两次升级失败或放弃：冻结支付款项并立案审查。
除了最后一种情况外，这让客户始终留在应用程序内，即使是最后一种情况，他们也知道下一步该做什么。
如何使用阶梯式结果
一次通过的确认确认是证明正确的人在场的最新证据。记录下来，并以此解除该次会话或操作的限制。
挑战失败是最强烈的入侵信号之一。务必谨慎对待放弃的挑战：真正的客户可能只是忙于其他事情，但攻击者无法完成挑战，因此在风险较高的会话中反复放弃挑战值得审查。
在会话开始之前，务必通过您信任的渠道告知客户，使用了新设备并要求进行检查。
如何 Toden 支持这种流动
这些碎片拼凑在一起，既是信号，也是挑战和结果。
信号。您的后端可以向服务器发送登录、密码重置、收款人添加、设备变更、付款和提现等信号。POST /api/v1/activities提供您的设备参考信息、客户的 IP 地址和位置，并接收一份allow，review或者block根据触发的规则做出决策（活动监控文档 （在新标签页中打开））。重复使用稳定的设备参考信息可以随着时间的推移建立新设备证据，内置规则涵盖新设备和快速的国家/地区变更。此欺诈监控区域需要欺诈预防权限和已批准的业务配置文件。
挑战。对于个人用户，可以通过工作流程申请升级后的重新验证。 API 或从控制面板。您将收到entity.step_up_requested举办挑战赛 URL 以及您发送给客户或向客户展示的有效期（活动决策 Webhook （在新标签页中打开））。请妥善处理这些信息。 URL 非常敏感。对于已注册的老客户，生物识别重新认证会将新的自拍照与其注册参考号进行一对一匹配。
结果。 entity.step_up_completed告诉你客户是否通过；仅当通过时才继续passed属实。按事件 ID 对每个 webhook 进行去重。
您的平台应用了该结果。 Toden 可以建议审查或报告失败的挑战，但不能禁用托管在您自己的系统上的登录名、帐户或钱包。
发货前检查清单
列出可能导致损失的行为，并针对每项行为提出挑战。
确定哪些信号会触发哪些挑战，首先从新设备加上敏感操作开始。
删除任何依赖于同一会话中更改的联系方式的挑战。
确保通过挑战后无需提交支持工单即可解除限制。
路由失败，多次放弃对案件的挑战，并通过可信渠道通知客户。
回顾一个月的挑战：有多少真实客户挺身而出，以及在挑战中阻止了多少次攻击。
参考来源
