快递公司防范运输欺诈

客户：五大快递公司之一

一家年收入超过500亿美元、位居全球前五的快递公司（以下简称“服务商”）希望保护其客户免遭账户接管，并防止欺诈性账户注册。

挑战1：账户接管

该服务提供商希望保护其Web和移动应用中的客户登录，防范凭据填充攻击。凭据填充是指犯罪分子在登录应用中批量测试从第三方窃取的凭据，以实施账户接管。攻击者会获取大量被盗凭据；由于用户重复使用密码，通常会发现其中约0.1%–2%的凭据在目标网站上有效。

在8个月内，除持续不断的自动化流量外，该提供商还经历了三次彼此独立的大规模自动化流量激增。在某些情况下，单日攻击流量超过100,000次POST请求，比合法流量高出50%。该提供商还于2017年秋季发布了一次原生移动API重大升级，而该API经常成为攻击者的目标。

这些攻击给该服务提供商造成了高昂损失。该服务提供商不仅要赔偿客户被盗的资金，还要承担使用账户关联信用卡进行未经授权交易所产生的所有拒付费用。即使是凭据填充攻击本身，也会给该服务提供商带来高昂成本。客户会因包裹丢失或账户被锁定而大量向服务台投诉（账户锁定是攻击者多次登录失败所致）。

挑战2：欺诈性账户创建

该服务提供商还面临两种利用欺诈性账户创建实施诈骗的挑战。在第一种诈骗手法中，犯罪分子使用富裕地区邮政编码范围内的地址，通过程序批量创建虚假账户，并利用公开的个人数据正确回答基于知识的身份验证问题。随后，他们利用该服务提供商的免费服务跟踪包裹，并在包裹发货时接收通知。这样一来，窃贼便可跟踪包裹并拦截货件，其中许多货件装有可供转售的商品。

在第二种欺诈手法中，攻击者创建虚假账户，并将盗取的信用卡绑定到这些账户。随后，他们在非法交易平台上发布折扣配送、包裹转寄等服务广告，并使用虚假账户购买配送标签。如果信用卡失窃受害者发现欺诈行为，快递服务商就必须向其退还配送费用，还可能需要向信用卡发卡机构支付拒付手续费。

解决方案

该提供商最初尝试自行构建解决方案来应对这些挑战。它结合使用Web应用防火墙、负载均衡器和分析工具，将服务台工单与客户投诉关联起来，然后强制重置密码，以期解决问题。这种自行构建的方法未能有效缓解自动化攻击，欺诈行为仍在持续。

由于无法自行解决这一问题，该提供商转而采用F5 Distributed Cloud Bot Defense，并决定在Web端和移动端的登录及账户创建应用中部署该解决方案。

成果

典型的Distributed Cloud Bot Defense部署分为两个阶段：观察模式和缓解模式。在观察模式下，F5会分析应用收到的所有请求，以定制防御措施并标记自动化流量。在缓解模式下，F5会根据自动化活动的性质和提供商的需求，以编程方式采取相应措施。

观察模式

Distributed Cloud Bot Defense进入观察模式后，服务提供商立即能够全面查看并了解其登录流量的性质。如图1所示，在观察模式下，该服务可在登录应用中区分合法的人工流量（绿色）与不需要的自动化流量（红色）。

Distributed Cloud Bot Defense还为该提供商提供了高级威胁情报报告，其中包含对自动化流量来源的深入分析。例如，该服务发现一半的自动化活动是良性的，而该提供商此前并不了解这一情况。

此外，在观察模式下，Distributed Cloud Bot Defense识别出3个独立的自动化活动，图中分别标记为1、2和3。在整个观察期内，这些活动组产生的自动化事务占比接近一半。如果攻击团伙试图通过调整工具来绕过Distributed Cloud Bot Defense，例如使用新的代理来路由流量，或模拟其他类型的浏览器，该服务仍可根据其他信号识别该攻击团伙。

F5还对每个攻击活动进行了深入分析。图2是向该提供商展示的攻击活动#2的聚焦视图。该活动是一次高度分散的凭据填充攻击，攻击流量来自超过25,000个IP地址。在为期3天的攻击活动中，此类攻击占全部流量的50%以上。该活动的另一个显著特点是，攻击者试图进入登录流程之后的工作流。

缓解模式

经过近6个月的观察期后，该提供商将Distributed Cloud Bot Defense切换至缓解模式。该服务随即阻止了凭据填充攻击，避免了数千个账户被接管。据该提供商估算，在F5保护其消费者登录和账户创建应用后，每年可减少至少350万美元的欺诈损失。

* F5将活动定义为一组来自同一来源的自动请求，这些请求通过数百种专有信号识别。

未来计划

鉴于Distributed Cloud Bot Defense在保护网站和移动应用上的消费者登录方面取得了良好成效，该服务提供商正在扩大部署范围，以保护企业客户的新账户注册及其他业务应用，包括企业登录、配送、支付和跟踪服务。

该服务提供商还在与F5合作，高效放行来自企业客户的合法（良性）自动化流量。这些客户使用面向消费者的登录应用中的自动化功能，以提高产品发货效率。