Tag: fruad

「SMS 認證」被電信商 (以及第三方) 拿來套利的市場

在 Hacker News 上看到「Twitter Lost $60M a Year Because 390 Telcos Used Bot Accounts to Pump A2P SMS (commsrisk.com)」這篇，內文報導是這裡：「Elon Musk Says Twitter Lost $60mn a Year Because 390 Telcos Used Bot Accounts to Pump A2P SMS」。

簡訊的實際成本極低，但利潤超級高，發送方與接收方都有極大的獲利空間。

而這邊提到的 SMS pumping 的方式就是電信商自己做，或是電信商與第三方合作，利用各種發簡訊的方式 (內容不重要)，讓 app 端要付出大量的簡訊成本，進而產生出大量的利潤。

在 Twilio 的「SMS Traffic Pumping Fraud」這頁就有這張圖：

簡訊的特點是很好 scale，你無法同時間接大量的電話，但可以同時間收大量的簡訊。在「SMS Fraud is costing you more than you realize」這邊也有提到這個問題。

這個問題在去年年底在我們自家的服務上就有看到跡象 (東南亞市場頗明顯)，當時搜尋有一些討論，而現在看起來 Elon Musk 這次吵應該又會有更多熱度...

話說這樣演化下去，SMS 認證的退場又多了一個理由，除了 SS7 在資安上的安全問題外，看起來成本問題也會跑進來。

Humble Bundle 對抗信用卡盜刷的方法

Humble Bundle 說明他們如何對抗信用卡盜刷的方法，主要是不斷的降低風險，然後讓人介入的機會降低 (因為人事成本很高)：「How Humble Bundle stops online fraud」。

其中第一點是特別想提的：

Our first line of defense is a machine-learning-based anti-abuse startup called Sift Science, which we’ve been training for years across 55,000,000 transactions. Given how many orders we process, Sift Science has a really good idea when someone is up to no good. The model adapts daily as we get more data.

Sift Science 在 2014 的時候提過：「偵測信用卡交易是否為盜刷的服務」。做的事情很簡單，你把大量的資料傳給 Sift Science，包括了各種使用者身份資訊，以及信用卡資料，Sift Science 可以透過 Machine Learning 的方法告訴你這筆交易的風險，讓你進一步的判斷。

其實不少家都有做類似的服務，像是 MaxMind 的 minFraud (就是做 GeoIP database 很有名的那家公司的另外一個產品)。當交易量很大的時候是個很有趣的應用，降低處理盜刷後續處理的成本。