“短信轰炸”为何难治理?
“短信轰炸”会造成短信通道阻塞、企业品牌形象受损、短信费用被大量恶意消耗等负面影响,对用户的手机通信和正常生活带来困扰。如何破局“短信轰炸”,无疑是个亟待解决的问题,而其中的难点与互联网的产品形态息息相关。
大部分的网站和移动应用APP在注册时需要手机号码获取验证码短信,利用短信验证来鉴别手机号是否属于用户本人。然而,这种验证方式背后却暗藏许多安全隐患。其中最主要的一种就是黑产利用各类平台的短信验证接口进行短信轰炸。
在下发验证码前加一层校验,可以有效地防止黑产恶意利用,但此时,企业也需要承担用户流失的风险,因为多加一步动作,就意味着用户转化率可能降低。
另一方面,由于这类“短信轰炸”模式利用的是海量网站,这就意味着传统单业务线频控的安全策略对这种利用无效,即便被调用短信接口的企业有防范措施,但因该类网站或软件一般集成的短信发送接口都会放在本机上调用,这样防护措施只会对当前使用网站或软件的作恶人员的IP有用,其他不同IP则不受限制。而有些“短信轰炸”软件为了提高可用度,会在软件内置代理IP绕过短信接口的限制,达到无限制对外发送大量短信的目的。
破局“短信轰炸”主动出击才是上策
面对防不胜防的“短信轰炸”,需由被动防御走向主动治理,腾讯守护者计划安全团队针对企业从源头上防范“短信轰炸”黑产提供了几点建议。
其一是对被黑产利用的验证码接口增加人机验证,如图形验证码等基础防范策略,提高黑产团队恶意利用接口的门槛,压缩黑产生存空间。比如腾讯验证码能根据用户多维环境因素,精确区分可信、可疑和恶意用户,弹出不同的验证方式,带来更精细化的验证体验。
其二是针对移动端打造一键验证方案,替换过时的短信验证码。如腾讯云号码认证服务集成了三大运营商特有的网关取号、验证能力,自动通过底层数据网关和短信网关识别本机号码,在不泄漏用户信息的前提下,安全、快速地验证用户身份,一键免密注册和登录。
此外,互联网企业还能通过统一风控服务,在下发短信验证码前,根据风控结果有选择地打击;支持QQ、微信等授权登录方式,尽可能的减少短信验证带来的风险;针对短信验证码的发送量级做好监控,及时发现异常监控。返回搜狐,查看更多