安全路透社
当前位置:安全路透社 > 网络转载 > 正文

移动APP安全行业报告电商篇

banner_内文.png

移动 APP 安全行业现状与导读

“ 移动应用开发者所面临的安全问题主要涉及面有终端漏洞威胁,应用重打包威胁,应用仿冒威胁。

本移动 APP 安全行业报告将对金融、电商、游戏三大重灾区行业进行举例分析并配以图表说明,还原移动 APP 安全行业本貌。本期来看电商篇。

上期金融篇链接:

金融篇——移动 APP 安全行业报告

现状概述

2016年移动电商APP总用户数量约6.3亿,其中约2.7亿用户遭受过不同程度安全问题,占比约43%。

电商行业移动用户规模 (1).png

电商行业移动 APP 受漏洞影响如图所示

高危占比14%:数据传输不安全导致用户订单泄露、篡改。

中危占比55%:本地数据存储不安全、用户隐私泄露。

低危占比29%:APP 业务逻辑被破解、算法剽窃。

电商行业移动 APP 漏洞评测.png

支付安全问题依旧位列电商行业移动 APP 安全问题之首,而被“薅羊毛”问题当属电商行业移动 APP 安全问题的代表。

电商-APP-安全问题类别.png

本篇报告我们针对电商行业移动 APP 代表性安全问题——被“薅羊毛”共同深入分析。

图示说话

与传统零售相比,用户网购体验流程区别较大,基本遵循下图所示的网购流程。

电商行业-APP-所遇到的安全问题.png

 网购流程图

每一个环节都可能引致重大的安全问题,电商 APP 也不例外。下面谈谈网购流程中较容易出现安全问题的三个环节:

账号注册-登录

电商 APP 的使用流程中,注册-登录过程都可以通过一些自动化工具来完成——批量注册账号、扫号。“羊毛党”们则利用了这一点, 刷取了大量的活动资源。因此,电商APP账号注册-登录系统则是电商平台打击黑产以及薅羊毛的第一道防线。

账号注册-登录.png

“羊毛党”们批量注册、扫号流程图

PS:扫号是指使用扫号器对账号、密码进行批量验证。

商品浏览

移动电商行业中,商家通过“平台活动”吸引用户、促进销量。而“羊毛党”则是通过“强占”商家的这种优质资源并转手真正的用户来谋利。损害了商家与用户的双向权益。

薅羊毛关系链.png

薅羊毛关系链

订单支付

支付系统是电商 APP 必不可少的一个模块,涉及到用户的账户密码、资金安全。用户在 APP 上支付时,数据如果不做有效保护,随时会被不法分子利用。 

案例说话

国内著名移动运营商遭黑卡薅羊毛,流量平台一月被抢8.2万G

2016年12月10日至2017年1月6日期间,某运营商的“有奖答题”营销活动被羊毛党疯狂利用,导致活动开始时网页崩溃,活动福利一抢而空。(参考链接

上述案例全过程分析

薄弱环节:无法鉴别真实用户

爆发这场“薅羊毛”大战的技术原因在于运营商(客户端APP、APP后台)无法有效识别出哪些是真实用户、哪些是羊毛党,也就是缺少图中所示的强大、高效的用户身份鉴别模块。

电商篇-02.png

身份鉴别模块作用示意图

突破关键:手机号验证已经不是门槛

为提高注册用户身份的真实性、过滤出高价值用户以及防止恶意注册、扫号,案例中的运营商使用了短信验证码。为此,如何突破短信验证码就成为薅羊毛的关键一步。如下图手机打码关系链图。

手机打码关系链.png

手机打码关系链

“薅羊毛”的产业链:分工有序

整个“薅羊毛”有着完备、成熟的产业体系。羊毛党们经过精心的准备,接下来的攻击和套现就变得简单化、便捷化。羊毛党们利用打码平台和卡商提供的海量手机号以及提供的打码服务在运营商的流量平台上批量注册账号,并用注册到的账号采用自动化的软件参与运行商的“有奖答题”活动。整个薅羊毛关系链暴露出这样的核心问题:单纯依据手机号码来鉴别用户已不足以满足电商 APP 被“薅羊毛”的安全需求。看看黑产在这个方向的专业分工:

黑产+1 (4).png

“薅羊毛”过程图示

解决方案

随着互联网的蓬勃发展,网购已经成为居民生活消费不可获取的重要部分。除了移动应用通用安全问题外,电商 APP 在业务安全方面存在的问题较大,腾讯云乐固针对电商 APP 提供了定制的安全解决方案。

乐固支付安全解决方案

采用高度定制的安全键盘,严格的双认证传输通道,确保输入数据安全以及输入层到传输层的数据安全,有效防止截屏、输入信息窃取等威胁。

乐固应用安全解决方案

乐固安全产品在源码、资源文件、运行时内存、逆向破解等方面对电商 APP 进行全方位保护。

乐固&天御业务安全解决方案

在 APP 集成短信验证码安全 SDK,与腾讯云乐固&天御防刷后台配合,有效防止批量注册、扫号以及“薅羊毛”等恶意行为,避免企业被刷带来的巨大经济损失。

联合防刷-防薅.png

多维度联合防刷-防薅

小结

对抗“羊毛党”,根源上是识别用户是否真实,是否可靠。电商平台需从多维度去鉴别、过滤。

腾讯云安全为用户提供了防刷安全解决方案,为电商平台业务安全保驾护航:   

使用腾讯云乐固,可对终端 APP 进行保护,进行数据加密、鉴权认证,防止在终端层面进行伪造和破解;   

而腾讯云天御,基于腾讯数十年积累的对抗经验,对各类黑产数据,如设备信息、手机号等可做到精准识别。并借助长期对抗建立起的恶意识别模型,快速感知异常行为,识别恶意请求。

本期对电商行业移动 APP 安全的分析先告一段落。

下期关键词预告:游戏行业、破解、重打包

获取移动 APP 安全行业安全问题详细解决方案请挪步这里,或者你对电商行业安全问题有不同见解,欢迎留言讨论

* 本文作者:云鼎实验室(企业帐号)

未经允许不得转载:安全路透社 » 移动APP安全行业报告电商篇

赞 (0)
分享到:更多 ()

评论 0

评论前必须登录!

登陆 注册