• 分享

    更多

       

    黑客为什么不攻击支付宝?

    2019-02-19  lindan9997

    女票发给我一段视频。

    中哥?#19968;?#36527;一震,这么大的事儿居委会咋没通知我??赶紧打开视频。

    500

    我去,这是黑客吗?谁来解释一下,明明是黑客,为神马穿得这么白,连脸都是白的。。。

    还有,你带着那个面具?#20040;?#30721;,能看清鬼啊?这是在练盲打么??闭着眼睛攻击支付宝,是为了表现一?#32622;?#35270;和侮辱么???

    往后看了五分钟,冷静了一下,我不禁三呼卧槽。这是一个叫做《智造将来》的节目,浙江卫视的。虽说黑客的装束槽点满满,但干的事情还是很刺激的:

    他们在试图推倒三个身娇体柔的支付宝账户,把账户里的钱偷偷转走。。。

    主持人说,他们之所以搞得这么硬核,就是为了现场检测一下支付宝的安全性能到底好不好,你的钱放在支付宝里到?#35013;?#19981;安全。

    为了?#20040;?#23478;舒爽看片,这里中哥插一嘴:

    支付宝怎么保护大家的账户安全呢?并不是你想的那样,在杭州有一个脸上贴着“支”的敢死队,每天在网上和黑客手动硬刚。

    500

    真?#30331;?#20917;是,“安保工作”是由安全部门的童鞋开发的一套“风控系统”来自动完成的。这套风控系统有点像参加高考的你,在之前的学习阶段有“老师”各?#25351;?#23548;,但是一旦被推到实战场景里,就只能靠自己?#30333;?#21160;滑行”了。

    500

    回到节目现场,情况很是危急。一边是黑客奋力攻击,一边是受害者支付宝各种殊死抵抗。

    就在我为支付宝捏一把汗的时候,剧情突然走向?#37096;瘢?strong>受害者家属也来到了现场!

    500

    这个男人?#34892;?#25991;,是支付宝风控部门的老大,蚂蚁金服的副总裁。支付宝的安全系统,就是他团队的作品。一堆头?#25991;?#20063;记不住,这么说吧,如果你支付宝里钱丢了,就找他赔。

    看到雄文这个名字我就震精了,目测支付宝安全老大,应该管理很多码农。不?#23567;?#20339;娃?#20445;↗ava)或者“稀加?#20445;–+),居然?#34892;?#25991;,这是摆明了有野心跟中哥抢夺10w+啊。。。

    对不起跑偏了,继续看节目。

    对第一个账户的攻击开始惹。黑客攻击主持人蒋昌建的支付宝。他们事先通过钓鱼 Wi-Fi 收集了他的手机号,然后又利用近场?#37327;?#22120;偷到了他的银行卡号。用这些信息尝试重置他的支付宝密码。然而,重置支付宝密码还需要身份证,黑客并没有办法拿到蒋昌建的身份证号。于是登录他的支付宝失败

    500

    对第二个账户的攻击开始惹。黑客攻击的是嘉宾王孟秋的支付宝。这次攻击的对象黑客通过?#30333;部狻?/strong>拿到了王孟秋的支付宝登录密码,顺利登陆。但是由于不知道支付宝支付密码,所以转账失败

    500

    对第三个账户的攻击开始惹。这次攻击目标是现场一?#36824;?#20247;的支付宝。由于提前在这部手机里植入了木马,黑客可以完全控制这部手机,所以他们使用手机验证码就直接登陆了支付宝。然后黑客选择修改支付密码,修改支付密码需要验证个人信息,黑客又通过手机里存储的银行卡和身份证照片,成功修改了支付密码。转账眼看就要成功。

    我满心激动,等着看黑客使出最后的杀手锏一击致命。。。

    然后。。。突然。。。转账失败了!节目结束了!结束了!束了!了!

    500

    纳尼?XX都X了你就给我看这个?我期待中支付宝被黑客干翻在地的场景被XX总局吃了吗?

    我突然想起了一个新闻:

    500

    女棋士赢了。。。

    用了好久,?#20063;?#25509;受支付宝真的赢了这个事实。虽说在节目上支付宝赢了,然而,在日常和黑客的乱斗中,支付宝难道就没有输的时候吗?我不信。

    于是,中哥下定决心要去和雄文聊聊,写一篇雄文背后故事的雄文,?#20040;?#23478;认识一下我雄文里的雄文到底是怎样的雄文。

    几天后,在支付宝童鞋的引荐下,我坐在了雄文大叔的对面。我不是要?#36864;?#19979;棋,而是要探究一下支付宝背后的秘密。

    500

    雄文

    (一)支付宝能不能扛住“黑客围殴?#20445;?/strong>

    “老实说,节目上被攻击的支付宝,是不是假的支付宝?”我劈头盖脸就问。

    “当然是真的支付宝。”雄文?#39057;?#39118;轻。

    “你怎么证明?”我说。

    “为?#35828;?#35270;节目,如果要模拟一个假的支付宝,还要做出一套假的风控系统,要开发好多代码。太麻烦了。还不如用真的。况且真的风控系统我们做了十?#25913;輳?#24178;嘛要用假的。。。”他说。

    500

    “所以,被攻击的那三个账户,也是真的咯?”我问。

    “如假包换”他说。“支付宝账户都是实名制,背后挂着身份证的。不仅用不了假的,做节目的时候,连真的都差点用不了。。。”

    纳尼?雄文大叔在说什么?

    原来,在节目录制之前,需要进行一次彩排。彩排时候选定了三个账户被黑客一顿锤,支付宝防住了,一切都没问题。结果第二天要正式录制的时候,奇特的事情发生了——这三个账户被支付宝风控系统判定为受攻击高危账户,直接保护起来了,暂时限制对外转账功能一段时间。。。无?#21361;?#33410;目组只能另外换三个账户。也就是最终出现在节目上的那三个。

    “系统都是自动运行的,被封住的账户,就连我也无权解开。。。”雄文一摊手。

    我去,你是魔鬼吗?支付宝风控系统疯起来连自己人都刚啊,六亲不认,肃然起敬。

    “这支付宝的风控系统,叫个啥名?”

    “叫 AlphaRisk!”他说。

    “账户是真的,攻击是真的,AlphaRisk 的防御也完全是自动化的,那么也就是说在节目现场,你根本不知道它能不能挡住黑客的进攻咯?”我问。

    “是的。”

    “那你慌么?”

    “有点。”

    ?#21834;!!!?/p>

    雄文这么不?#21050;?#36335;出牌的坦诚,让我本来?#24613;?#22909;的一万个?#23460;?#37117;瞬间失效。

    “录节目时你最慌的是什么时候?”

    “AlphaRisk 判断一个账户是不是被盗用,是要综合很多指标来判断的。其中一个重要的维度就是看转走多少钱。结果在节目彩排的时候,黑客强行登录支付宝账号以后,居然只转5块钱!说实话,这么少的金额,是有可能被 AlphaRisk 放过的。转这么少钱,也没跟我商量,当时我真是捏了一把汗。还好支付宝给力,拦住了。”雄文吐槽。

    500

    感觉白衣黑客们费劲气力,才看清5这个按键在哪。。。

    500

    雄文当时的表情是这样的。

    看看,在节目上黑客攻击三个支付宝账户都功败垂成时,雄文有多开心。

    500

    支付宝曾对外发布了一个数据:资损?#23454;?#20110;千万分之五。意思就是,存在支付宝里的钱,出问题的概?#23454;?#20110;千万分之五。

    千万分之五,真牛X!等等,好像哪里不对。。。假如我就是那倒霉的千万分之五,我是不是要去杭州上访?

    “不用,如果你的支付宝真的没被拦住,被盗了,我们赔给你就是了。”雄文淡定地说。

    确实,我记得支付宝从2004年上线之后,就有一个口号?#23567;?#20320;敢付,我敢赔。”只不过说实话这么多年中哥的支付宝账户也没丢过钱,不知道他们到底是赔不赔。。。既然今天支付宝副总裁都这么?#30423;耍?#37027;我?#21028;?#20102;。

    也就是说,理论上支付宝并不能保证防御住每一次具体的黑客攻击,但这对于普通用户来?#30340;?#19981;重要,因为每个人的钱都是绝对安全的。

    说实话,见到雄文之前,我是没想到他会这么坦诚的。好不容易逮到他,得多?#23454;?#30005;视台不让播的内容。

    接下来就到了中哥硬核科普时间了,今天的话题是:

    你家支付宝的门神——AlphaRisk——到底是咋工作的?

    500

    (二)黑客偷钱,总共分三步

    你可以简单想象一下,用支付宝转账,要过三?#26469;?#38376;:

    第一道:登录密码;

    第二道:支付密码;

    第三道:AlphaRisk 风险控制系统。

    雄文说。

    来,我们一道一道地科普。

    第一关、登录密码 

    500

    这个很简单。你登录支付宝的时候,要输入登录密码,证明你是你。

    你可能会杠说,不对啊,我?#30475;?#22312;手机上登录支付宝,不用输入密码,直接就打开了啊!没错,那是因为你经常登录,并且没有换手机。这种情况下,你账户有风险的概率很低。支付宝没有必要?#30475;?#37117;打扰你,让你输密码。

    这里,我们学到了今天最重要的一个概念:打扰率。

    一个 App,每要求你做一件事,比如输入密码,比如让你接收一个短信验证码,这都算一次打扰。而在用户体验中,打扰是要扣分的。所以,通过频繁打扰用户的方式来保证你的“绝对安全?#20445;?#24182;不是个好办法。

    500

    由上图可知,频繁打扰是一件很烦的事,这个问题涉及到深奥的产品哲学,我们在最后还会详细?#33268;邸?/p>

    我们继续说登录密码。

    如果你在一部手机里很久都没有登录支付宝,那是需要重新输入密码的。如果你换了一部新手机登录支付宝,那么不仅要输入密码,还要二次校验(短信验证码或者回答安全问题)。

    所以,黑客单单偷到了你的支付宝登录密码,是无法直接登录你的支付宝的。那他们是怎么做的呢?中哥可以告诉你几种可能性:

    1)你的身份信息泄?#22534;?#37325;。

    刚才我说到,支付宝密码是可以被重置的,需要提供身份证、银行卡等一?#30423;行?#24687;。如果这些信息隐私信息都被黑产掌握了,那么从某种程度上说,他就是你了。?#35805;?#27861;,你的密码?#19981;?#34987;重置,他可以登录。

    2)你的手机丢了。

    你的手机丢了的意思是——你的手机不仅丢了,并且没有设置开屏密码或指纹解锁。否则坏人解不开你的手机,就跟没丢一样。

    反正黑客只要进入你的手机主屏,接下来就有两种情况:

    你在几天内用过支付宝,那么,黑客不用输入密码,就像你本人使用一样,能直接登陆。

    你最近没有登录支付宝,那么支付宝会要求你输入密码,此时黑客可以选择重置密码,选择手机接收验证码,也是可以重置密码成功登录的。

    此?#35828;?#19968;关。

    第二关、支付密码 

    500

    如果坏人破解了你的登录密码,那么接下来他想把钱转走,就要遇到“支付密码”这?#25318;?#21475;。

    你记得不,支付宝会要求你的支付密码和登录密码不同,目的就是为了防止坏人破解了你的登录密码,直接就能攻破你的支付密码。

    这里有个小细节:支付宝最近?#25913;?#20250;鼓励你用指纹代替支付密码。当然,用户也可以手动选择切换——这次支付不用指纹,就用密码。这关实际?#31995;?#19981;住黑客,但是你要记住这个细节,一会儿有用。

    接下来我们继续说黑客怎么攻破你的支付密码:

    1)用你之前泄露的其他登录密码尝试。

    一般人不会把支付宝支付密码和其他应用的登录密码设置为一个,这种方法成功率从实战数据中看比?#31995;汀?/p>

    2)重置你的支付密码。

    重置你的密码,需要你的个人信息,或者需要你的手机。如果黑客已经掌握了这些,那么他很可能重置支付密码成功。

    你一定以为:黑客破了我的支付密码,钱就会被转走了噜。

    错!图样图森破!黑客的噩梦才刚刚开始。

    马上就会进入第三步骤:AlphaRisk。

    第三关、AlphaRisk 

    500

    前面两步,黑客的所有操作,其实 AlphaRisk 都在默默看着,只是它没说话而?#36873;?/p>

    当前两个密码都输入正确后,AlphaRisk 会作为最后一道门神,像尉迟恭和秦叔宝一样,决定放不放走这个钱。

    那么,AlphaRisk 判断的依据是什么呢?

    举个栗子:一个老警察靠在公交车站,他如何发现一个正在挤上车的小伙是个贼呢?他会通过几个维度:眼神、举止、穿着、和前人之间的距离、是否遮挡手上的行为等等等等。有经验的警察不用等到“偷钱”那个动作发生,就已经能准确判断谁是小偷。

    同样,AlphaRisk 也像一个老警察,它?#19981;?#20174;一些维度来观察一笔交?#20303;?#27604;如:设备、环?#22330;?#20559;好、行为、关系、账户、身份、交易,等等。

    500

    如果其中所有维度任何一个或者多个有异常,都会引起 AlphaRisk 的警觉,直接强制操作者进行人脸活体验证,手机验证码,或者干脆就截断交?#20303;?/p>

    不知你感受到了没。日常你用支付宝转账给别人,你觉得非常自由,支付宝从来不添乱,恰恰是因为 AlphaRisk 对每一笔交易都做了极其细致的?#25318;?#20043;后,觉得没问题才不拦着的。

    你可能会问,为神马 AlphaRisk 等到那么惊险的最后一步才起作用呢?早点出来这个“哔——”就装得不够到位吗?

    这个地?#25509;?#28041;及到刚才的概念——打扰率,如果支付宝在输入交易密码之前就用 AlphaRisk 跳出一堆人脸验证手机验证码,那就会让你觉得很?#22330;?#20316;为一个有尊严的 App,支付宝把安全性最强的 AlphaRisk 放到最后一步,就是为了最少的打扰。

    下面说 AlphaRisk 的工作细节。

    以《制造将来》里面的操作举例。攻击第三个手机的时候,黑客已经拿到了登录密码和交易密码,并且是照着身份证的照片把身份证号一次输入正确的,为神马 AlphaRisk 会认为这个交易有风险呢?

    500

    ?#20040;?#23478;都能理解的话说,大概是酱:

    首先,支付宝是在?#21543;?#30340;手机上登陆的;

    其?#21361;?#25903;付宝的登录密码是刚刚被重置过的;

    再?#21361;?#25903;付宝的支付密码也刚刚被重置过;

    还有,转出账户和被转入账户之间没有任何人?#20351;?#32852;;

    还有,转出账户所在城市和被转入账户所在城?#26657;?#26412;身就很少存在转账行为;

    等等等等。

    其实,还有很多不正常的维度可供 AlphaRisk 参考。

    比如刚才我?#23460;?#21334;了关子的一个细节:操作者本来习惯用指纹支付,突然今天强制改成了密码支付。这一个蛛丝马迹,起码说明事出有因,足够让 AlphaRisk 关注到这次交易的风险。

    啊,?#30423;?#36825;么多,终于大概解释清楚了支付宝风控的三?#25318;亍?/p>

    雄文告诉我,支付宝也不是一开始就有这么?#30475;?#30340;智能风控能力的。

    在2004年,支付宝刚上线,他们就大?#21834;?#20320;敢付,我敢赔”的口号。实际上在那个时候,支付宝还真是“敢赔”。意思是,虽说风控?#38469;?#26377;点糙,但我们胆子大,敢赔钱给用户而?#36873;!!?/p>

    “那后来你们是怎么一步步提高风控能力的呢?”我好奇的地问。

    “你要是那么哗哗地赔钱,你?#19981;?#25340;了老命提高风控能力的!”

    ?#21834;!!!?/p>

    (三)偷不到钱,那骗钱行不行?

    有一个问题其实很值得一说。

    宽泛来说,支付宝账户受损失,有两种情况:1、账户被盗;2、你被诈骗之后主动转钱给别人。

    当然,你的账户被盗,支付宝会赔钱给你。但如果你被骗,用支付宝主动转钱给骗子,就?#35805;?#27861;找支付宝赔钱了。毕竟,被骗不能赖钱包。

    但是雄文告诉我,作为一个有追求的钱包,这两年支付宝恰恰在“识别诈骗”方面苦练?#35760;傘?/p>

    这种对诈骗的识别能力,同样在 AlphaRisk 身上。

    骗子骗人,一般都是直接打电话,或者在微信上骗,那些过程支付宝肯定不知道。它只能看到一个账户给另一个账户转了钱。。。通过这么少的信息,它怎么能判断你是不是被骗了呢??

    500

    雄文给我讲了一个真实的例子。

    一个妈妈,她的孩子在外地打工,做快递小哥。突然有一天,她接到了一个?#21543;?#30005;话,告诉她儿子出了车祸,急需抢救,需要她打钱过来。妈妈开始没相信,把电话挂了。但是身边的电视正好播出了一条新闻,说他儿子所在的城?#26657;?#26377;一个?#31361;?#23567;哥出了严重车祸。这下她着急了,赶快给对方回电话,要把钱转过去。

    就在这位妈妈把钱转给骗子的时候,AlphaRisk 判断了风险,并且弹出了提示,告诉她有这笔转账可能是被骗了。妈妈选择无视,关掉弹窗继续转账。这?#21361;珹lphaRisk 判断强风险,直接阻断了交易,锁定账户两小时。

    这位妈妈非常生气,觉得自己的儿子出了事,支付宝却不让转账,于是拨打客服理论。正在这时,他的儿子碰巧打电话给妈妈,这才揭穿了骗子的骗局。

    在这个例子中,AlphaRisk 是凭什么判断转账存在诈骗风险呢?

    雄文说,至少有三点:

    1、妈妈平常的支出,都是小额的日常生活,买?#39034;校?#31361;然一下转几万块显得很异常。

    2、对方的收款账户是新注册的。而且近几日只有大额收款和提现,并没有日常消?#36873;?/p>

    3、这两个账户之间从未有过直接转账。

    你看,基础逻辑和判断账户被盗差不多,只不过,判断被骗可以利用的信息比判断被盗少得多,所以难得多。

    但最让雄文头疼的是,截断用户付款固然好,但是万一截错了,用户是要跟支付宝拼命地。。。支付宝但?#27493;?#26029;用户的交易,必须证据确凿。如果没有百分百的证据,一般会选择弹窗提示。然鹅,很多时候即使支付宝弹出了警视窗,用户都会选择直接关掉,没啥作用。

    即使是这样,雄文团队也对弹窗内容改了?#25351;模?#21487;谓是苦口?#21028;?#21834;。

    这是修?#37027;?#30340;↓↓↓

    500

    这是修改后的↓↓↓

    500

    前两天,雄文和团队突然找到了一个好方法,他们?#20599;?#26041;反诈骗中心“合作弹?#21834;薄?#20363;如你是重庆人,在支付宝判断你的一笔交易有风险时,弹出的内容不是“支付宝提醒您注意诈骗?#20445;?#32780;是“重庆反诈骗中心提醒您,这个交易有可能是诈骗。”

    “这样一下,用户终止交易的比率大大增加!”改了几个字,就能让好多人少上当。雄文老激动了,这两天从地方到中央找反诈中心公安?#25351;?#31181;合作。

    “到目前为止,用户遭受诈骗,有85-90% 都能收到弹窗提示。”雄文大叔开心地说。

    现在是这样↓↓↓

    500

    说到这,雄文大叔给我普及了一个金融小常识:

    一般的在线交易系统,对于转账这个操作,只涉?#21834;?#36716;出”和“到账”两个?#21050;?#36825;边转出之后,那边就到账。就像一盏灯只存在“开”和“关”两个?#21050;?#19981;可能存在“这边钱扣掉,那边还不到账”的情况。

    但是支付宝为了防止诈骗,开发?#35828;?#19977;个?#21050;?#31867;似“预授权?#21834;?#22914;果你觉得这次转账有风险,可以设置2小?#34987;?#32773;24小时延时到账。这种情况下资金就在“预授权”?#21050;?#22312;这个期间如果你发现被诈骗,可以报警并向支付宝申请冻结资金。

    “预授权?#30333;刺?#30340;钱,按理说到时之后就会顺利进入转入账户。但只要有公安机关的相关凭证,就可以退回到转出账户。

    别看只是加了一个“预授权”的?#21050;?#36825;相当于给了受害者一个“时光机?#20445;?#22238;到过去,改变那个无可挽回的错误。

    雄文说,为了增加这个新?#21050;?#20182;们两年里对支付宝底的层代码做了很大的修改。虽然大动干戈,但这件事非常值得。

    500

    (?#27169;?#29609;漂移的老司机 

    讲真,人类对一台机器的要求是很变态的。好的机器不仅要代替人,还要比人更精神。

    毕竟是亲生的, 说到 AlphaRisk,雄文特别开心。他觉得如果2017年支付宝没有开始研究 AlphaRisk,现在很多风控策略还靠人肉的话,一定会被“时代的洪流”所击垮。

    如今,AlphaRisk 有两个杀手锏:

    1、和人比,它厉害到不知哪里去了。

    500

    你可能已经知道,AlphaRisk 就是一种“人工智能。你作为一个人每天?#39029;?#37324;短悲欢离合其实?#23616;?#37117;是判断,人工智能每天也是做一件事:判断

    人工智能判断事情的标准,和人又像又不像。这里涉及到一个大家普遍理解得不好的?#38469;?#26775;,中哥正好以 AlphaRisk 为例简单科普几句:

    人工智能和人各自做一个判断,有点像两个大厨?#30452;?#20570;一桌菜给你吃。这分为三步:

    1、他们使用的原?#29616;?#31867;都是一样的青椒、萝卜、鸡肉等等。(这意味着人工智能和人用于判断一件事情的基础数据是一样的。)

    2、但是,他们炒菜的路数可就不一样了。人类可能会做出鱼香肉丝、宫保鸡丁、水果拼盘,但是机器会根据自己的理解做出西瓜披萨,苹果蒸?#21834;?#24039;克力烧茄子等等常人不能想象的?#20849;恕#?#36825;意味着人工智能的判断模型和人?#35748;?#20284;又不同。)

    3、最后,?#38454;?#33756;?#30452;?#19978;来,食客们会发现,两种菜虽然不一样,但是都能填饱?#20146;櫻?#32780;且机器做的明显更好吃更营养。(这意味着人工智能判断的准确度比人类还高。)

    简单总结人工智能的工作原理:通过人类看都看不过来的数据,用风骚的机器思维,做出一击致命的判断。

    这里给你几个数据你感受一下。

    AlphaRisk 用来判断的风险点有几千个(如交易金额、支付宝注册地、交易时间、使用密码支付还是指纹支付等)。把这么多数据进行惨无?#35828;?#30340;交叉运算,总运算量是巨大的。

    在平时,每秒钟全世界都会用支付宝进行上万次的交?#20303;?#22914;果在双十一这种狂欢节,每秒支付宝要处理25万笔交?#20303;?#20320;想想看,就像商场的?#25214;?#21488;后面,排队排了25万个顾客,每一笔交易,AlphaRisk 都还要计算无数次来判断它是不是有风险,这得累计多大的计算量。。。

    如果这些计算量交给人来做,等到算完,估计已经到了9102年双11了吧。

    这么疯狂的机器,日常得有不少码农为它检修上油吧。。。

    雄文说哈哈哈NO!因为,这两年他们已经搞出了一?#20303;白?#21160;驾驶”系统。

    纳尼?支付宝?#19981;?#24320;?#30423;?#20040;?求车牌号!其实,不是你想的那样,这就到了 AlphaRisk 的第二个逆天优势。

    2、这是个会自动驾驶的老司机。

    500

    那些做坏事的黑客,连过年都不休息,天天“苦炼内功?#20445;?#19981;断升级自己盗取支付宝账户和诈骗用户的?#38469;酢?#36825;是为什么?因为他们知道,如果能早几天研究出一个盗取支付宝的方法,那赚的钱可比在支付宝?#20064;?#30340;码农加班费多多了。

    对手那么疯狂,AlphaRisk 也要加油?#21028;?#21834;。正常情况下,AlphaRisk 想要学会新的反诈骗套路,要工程师手动输入代码。

    但是,雄文和支付宝安全团队的队员很“懒?#20445;?#20182;们觉得,AlphaRisk 已经长大了,不能每天晚上给它“检查作业?#20445;?#23427;要自己学习新的知识了。

    所以过去两年,攻城狮们很少砍柴,主要磨?#19969;?#20182;们建立了一个自动建模的系统。每天都会有一些用户损失通过?#31471;?#28192;道反馈到支付宝风控团队,这个自动建模系统就可以通过学习这些AlphaRisk 没有拦截成功的案例来建立新的风险模型,然后把这个模型输入到 AlphaRisk 里,下?#21351;?#36935;到同样的问题,AlphaRisk 就能一眼识别。

    自动建模还不是全部。

    你知道,每年双11的时候,支付宝会像?#36861;?#22612;一样,承受一下交易量水漫金山的感觉。这个时候,如果还执行原来的风控策略,就会导?#24405;?#31639;力严重不足的情况。本来人家零点秒?#20445;?#32467;果支付宝算了十秒钟,跟人家说没问题去付钱吧。结果秒杀的限量款衣服早都被人家抢得毛都不剩。这会造成大批群众到杭州上访的。。。

    所以,支付宝需要根据不同的情景,调整 AlphaRisk 的风控策略。这就像一辆车,根据路况不同,切换12345档。

    原来每到双11,攻城狮们就会写一套新的风控策略,为 AlphaRisk 手动换挡。从2017年开始,完全不用了。AlphaRisk 学会了骚气的自动换挡。交易量巨大的时候,就自动切换为高档,交易量低的时候,就瞬间调回来。

    这不就和汽车的自动驾驶是一回事么。。。

    我第一次发现,原来自动驾驶不仅仅是汽?#30423;?#22495;的人工智能。凡是需要复杂人工智能的场景,其实都有自动驾驶的一席之地。甭管是人是机,反正这个世界缺不了老司机。

    500

    (五)三个“隐秘战场”

    其实,中哥知道,科普半天支付宝 AlphaRisk 的风?#24080;?#21035;?#38469;酰?#20320;也未必听得进去,因为我已经提前剧透了,反正你丢了钱支付宝会赔给你。

    不过,要是你以为雄文和支付宝风控团队只玩?#38469;酰?#37027;就太小看他们了。

    有道是:“科学的尽头是哲学。”

    这句话不无?#35272;懟?#22909;多事是科学解决不了的。比如你女票天天吵着要买钻石戒指,你告诉她从科学角度?#30340;?#29609;意儿其实就是?#36857;?#37027;你当晚必定自?#26680;?/p>

    虽说支付宝的风控做得很科学,但是雄文却每天都面临三个哲学问题:

    第一,打扰率和资损率如?#32441;?#34913;?

    500

    之前我们已经介绍过这个重要概念“打扰率?#20445;?#23601;是支付宝为了保障你账户的安全,弹出来一些验证提示等等打扰你的行为的概率。

    当然?#38469;?#27700;平是在不断进步的。但假设在?#38469;?#20445;持不变的情况下,这是个跷跷板。打扰?#35797;?#39640;,资损率就越低。

    如果让中哥这样的抠门来做决定,那估计是要把资损?#24335;?#21040;极限,对用户的打扰率有多高。。。爱咋咋地。。。因为这样能保证赔出去的钱最少。

    当然,支付宝没有这样做。他们在资损?#24335;档偷?#21315;万分之五之后,转而把?#38469;?#37325;心放在了降低打扰率和诈骗识别上。

    资损?#23454;偷?#21315;万分之五的时候,我们就认为被盗是小概率?#24405;?#20102;。即使被盗,也能做到全额赔付。这个时候,我们要用?#38469;?#30340;进步让用户体验到温度。

    雄文说。

    正所谓:“有?#38469;?#30340; App 千篇一律,有温度的 App 万里挑一”。表面上看,这是一个产品哲学?#22270;际?#21462;舍。但在这个天平上,你其实可以测量用户的重量。

    第二,赔付与不赔付如?#32441;?#34913;?

    500

    你可能会说,不是刚刚都?#30423;?#20040;,被盗就赔,自己转给骗子不赔。

    没错,但是在现实生活中,总有那些让人哭笑不得的中间地带。

    我随便给你举两个例子。

    第一个例子:卖早点的老?#29275;?#25226;自己的收款码放在早?#32479;倒?#21488;上,结果有一天,一个混球突然把老张的收款码偷偷换成自己的。老张忙着做早点,结果半个小时才发现。他联系支付宝客服,你是支付宝的话,你赔还是不赔?

    直接说答案,赔。原因很简单,做生意不容易,虽然二维码被?#30423;?#25442;柱不是支付宝的责?#21361;?#20294;是支付宝不想让诚实的人受损失。

    别看雄文说得轻描淡写,当初决定二维码偷换也要赔的时候,所有人可是下了老大的决心的。因为,付款码偷换的整个流程,都不是支付宝能监?#23047;?#21046;的,所以他们不知道如果赔的话,要赔出去多少钱。

    雄文记得,那时候他跟支付宝老大井?#25237;?#21830;量这件事,井?#25237;?#31435;刻就同意了,他说:“我们?#24613;?#20010;?#25954;冢?#20808;赔着。”支付宝还专门给小摊主设计了一个语音播报的功能,收到款手机就会大声喊出来。

    当然,事后证明广大摊主并没有那么?#20013;模?#33258;己的二维码被偷换了还不知道。数据显示,真正因此受损失的小商家很少。

    第二个例子:小美联系支付宝客服要求赔偿,说一觉醒来支付宝里几万块的余额不翼而飞。但是支付宝通过数据查看, 这?#26159;?#26159;用她的手机,在她家的 Wi-Fi 环境里,密码根本没有被重置,都是一次输入正?#33539;?#34987;转走的。AlphaRisk 认为这很可能不是被盗,说白了,有可能是“监守自盗?#20445;?#22914;果你是支付宝,你赔不赔?

    直接说答案,不一定赔。原因也很简单,因为大家都要诚实。如果涉及到欺诈,支付宝并不能蒙受不白之冤。

    这是个真实的案例。后来的警察调查发现,这是她交往十年的?#20449;?#21451;,因为沾上了赌博不敢说,趁她睡觉的时候偷偷把钱转走的。

    雄文告诉我,支付宝风控部门有一个专门的团队,就是处理这种介于赔偿和不赔偿之间的中间地带。如果确实有警方介入,没有发现是监守自盗或亲友作案,那么支付宝就会赔付。

    第三,安全和安全感之间如?#32441;?#34913;?

    500

    你有没有过这样的经历:给别人转?#20040;?#19968;?#26159;?#32467;果支付宝问都没问,直接?#21028;?#20102;你的转账。这时你的心里会闪过一丝不安全感,就像穿着短裙的女装大?#26657;?#24635;感觉空空荡荡的。

    其实,AlphaRisk 在背后已经帮你掐指一算,判断了你的转账没有风险,只不过没有明确告诉你。

    雄文说,这是他们团队最近在努力思考的问题:“安全”没问题,但是用户的“安全?#23567;?#26377;问题,这要怎么平衡?

    其实有关“安全”和“安全?#23567;?#30340;问题,历史上有个经典公案。汽?#24471;殴?#19978;的时候,本来是没有声音的,但是广大司机们听不到声音,总觉得?#24471;?#27809;关好,百爪?#26377;摹?#20110;是,索性各大车厂专门设计了一个机关,让?#24471;殴?#38381;的时候发出坚实的“砰——”。然后,天下太平。。。

    “所以,你们也要在某些不需要打扰用户的时候,弹出验证消息吗?”我问。

    “谁说得准呢?”雄文笑了。

    没想到,每天我打开支付宝只是付个钱买个余额宝,其实它背后正在发生着无数秘密战争——支付宝风控团队带着 AlphaRisk 时刻在改进风控?#38469;酰?#24182;且在这样那样的平衡之间精确腾挪。

    告别雄文。走在杭州冬天温润的空气里,我突然觉得?#37027;?#24456;舒畅。

    一次偶然的电视节目,却让我认识了这么一位温暖的大叔,还有背后守护我们的工程师们。

    我记得曾经在网上看到过这样一个帖子:“黑客这么厉害,为什么不去攻击支付宝?”

    现在我觉得自己大概能回答这个问题了:他们攻击了,只是你不知道,因为有人在替你负重前行。

    很多备受推崇的产品经理在介绍经验时,总是强调“人心”二字。当时,我未免觉得这是一种政治正确的姿态。但当我和无数大佬聊过之后,越来越发现一个真理:

    ?#38469;?#21487;以打下世界,但只有良知可以赢得人心。

    世界辽阔,而且,没有想象中那么糟。

      本站是提供个人知识管理的网络存储空间,所有内容均由用户发布,不代表本站观点。如发现有害或侵权内容,请点击这里 或 拨打24小时举报电话:4000070609 与我们联系。

      猜你?#19981;?/strong>

      0条评论

      发表

      类似文章 更多

      终于破了11选5出号规律