在银行的操作中,一类卡开户必须用户到银行现场开户,但是二、三类卡可以远程开户。
远程开户的中心要义是:证明我是我,还要证明我是合法的我。
具体操作步骤是,先通过手机卡和对应的验证码通过第一层验证,再上传身份证的正反面信息,通过人脸识别通的验证,接着关联一类银行卡账号,最后,填写个人信息、电子签名等完成开户。
图片来源:央视新闻
看上去这些步骤都很简单,而且大大节约了去银行窗口现场开卡的时间,但是有很多安全风险,可以直接造成几类后果:
1.在银行搞活动时,批量开卡薅羊毛,套取现金;
2.利用第三方支付平台漏洞,用虚假账号盗取资金;
3.有些人向黑产贩卖虚假账户的信息,自己搞一把虚假账号,又通过黑产来贩卖做好的虚假账号的信息,实现“完美闭环”;
4.通过虚假的账号信息实施诈骗、洗钱等非法活动。
总之一句话,搞钱,干坏事。
黑产的N个诡计
我们来看看黑产的招数:
第一招,偷梁换柱。
攻击者想用别人的身份信息注册,但手里没有别人的手机卡,得不到验证码,怎么办?他想到了一招——自己找一个170号段的非实名制手机号接收短信,通过第一关。
但是,问题来了,这个170的手机号也不是别人的真手机号,他是怎么蒙混过关的?
原来,最终提交的数据是非法手机号,服务端验证会出错,但是攻击者将提交验证的数据劫持并将手机号改成了别人的真手机号。
第二招,临门一脚截胡。
攻击者上传假照片,虚假手机验证码等,虽然这些验证环节均失败,但是在最后后台结果返回时,篡改结果,由于这几项信息没有连接起来统一认证,服务端认为“结果对”则“程序对”,前面一系列认证都算通过。
第三招,谁真谁假?
攻击者用真实信息开户,真实信息开户上传到服务端时,服务端明确信息没有问题,返回的数据允许正常开户,你以为他要开具一张真卡?错,攻击者把服务端发回的数据包改成验证失败,客户端拿到服务端验证失败的结果后选择再提交一次,由于客户端身份已经被认可,服务端会接受后续客户端发送的数据,这时攻击者通过篡改的方式提交一次虚假信息,就能实现使用虚假信息的虚假开户
第四招,搞定客户端。
攻击者直接破解客户端的源码,篡改运行中的业务数据,实现虚假开户。
第五招,见招拆招。
由于身份证识别系统和一些人脸识别系统