是咕咕鸡

希望我分享的文章能够给每一位读者带来帮助!

0%

我是怎么入行做风控的

引言

常听到周围有人说“风控”这个词,只知道这是一个神秘的部门,对他们做的事却一知半解,只知道这个风控部门对公司非常重要,任何活动和信息都最好向风控部门报备以评估风险,尤其涉及到钱的问题。

到底什么是风控?为什么需要风控?风控到底在干什么?本文将向你解惑。

什么是风控

风控,即风险控制(Risk Control),智库·百科定义如下

风险控制是指风险管理者采取各种措施和方法,消灭或减少风险事件发生的各种可能性,或者减少风险事件发生时造成的损失。
风险控制的四种基本方法是:风险回避、损失控制、风险转移、风险保留

以上信息是不是有种我好像明白了但是又没全明白的感觉,我将结合实际案例来拆分讲解一下。
举一个栗子,假设你在职一家规模还算挺大的在线交易电商平台,公司老板宣布:我们也得搞一个像马爸爸那样的“双十一”节日增加销售额,提升利润,钱凭什么让他一个人赚去,我们也要造势!
那运营部的老大 get 到了老板的要求后,知道来活了,立即准备搞各种形式多样的营销活动,怎么搞?砸钱!没钱没客户,用大优惠大折扣来造势!吸引用户过来,舍不得孩子套不着狼!
此时风控的老大也 get 到了老板的要求,并且知道运营的老大要搞事,赶紧组织部门会议,商讨活动方案

风险回避

产运部想来个活动:咱有钱,活动节日当天,来了就送现金!一人 3 元,无门槛,且可直接提现,豪横!
风控部立马回复:不行,你这个活动不能上(风险回避),知道这个风险有多大么,无门槛且来就送,万一黑产手上养了一批号,上来就给你薅秃了,而且他们速度非常快,可以直接用机器来代替人工,等真正的用户进来,啥也没了,一地鸡毛,不能上!

损失控制

产品一想也是,咱虽然老板拨钱了,但是好钢不能用在刀把上啊!万一钱被薅没了,平台没啥完单,我不完犊子了。活动升级:先造势,节日当天 3 元送现金只在 9:00 ~ 12:00 期间,且只给前 1w 名客户无脑送(损失控制),这样就算被薅了,活动金额上线就 30 万块,咱也损失不大,毕竟赚了一波人气。

风险转移

产品部一个抖机灵:我们可以联和各大厂商做活动,在我支付 10 元,即可换购某某平台年卡会员卡(风险转移),现在那么多互联网平台需要拉新,我们流量大,他们肯定配合,而且他们应该也有风控的吧,不会出问题的。就算没有,我们损失也不大,双赢。

以上的例子举得比较极端,主要是让读者朋友们有个大致的理解风控是什么。
白话总结:风控是为公司省钱的,避免公司经济上有较大的损失。日常工作中主要是寻找并发现公司的经营活动中存在的漏洞,且如果这些漏洞不及时修复的话,可能会给公司带来重大经济损失及形象影响。

为什么需要风控

如上你已大致了解什么是风控了,风控对于企业的重要毋庸置疑,但不是所有企业都是需要风控的,目前我们听到最多雇佣风控从业的公司要么是金融行业,要么是互联网那个行业,归根结底也是和钱相关的。

打个比方:如果企业是一辆行驶的汽车,那么风控就是安全带和安全气囊。车祸随时都能发生,但是发生的那一刻,安全带大概率能保证你的安全,甚至能救你的命。风控不是消灭风险,而是和风险对抗,避免风险,或者将损失降至最小。风控和企业的业务场景是有摩擦的,有时为了安全,不得不做出一定的业务妥协,就像安全带虽然能关键时刻保命,但是你牺牲了舒适性:只要上车你就得戴着。

我们举实际的、真实的案例来说明为什么需要风控:

案例一:薅羊毛

某多多百元通用优惠券的营销推广出现重大漏洞,无论新老用户,都可以领取 100 元无门槛券,注意是领取,不是抢购。有网友通过接码平台充值了 54 万的 Q 币和 64 万的话费。有黑灰产团伙通过一个过期的优惠券漏洞取数千万元平台优惠券,进行不正当牟利。


流量时代的到来,越来越多的互联网企业站在风口上随风而起,竞争也变得越来越激烈,各家企业为了“抢人”,不得不发开发各种营销活动来刺激用户对平台的粘性,以期提升 GMV 。此时,黑产伺机切入活动的玩法漏洞,牟取暴利,导致企业损失惨重。

案例二:金融骗贷

某头部互联网小贷平台,被黑产骗带金额高达数千万元。黑产通过产业链工具包括但不限于:设备多开、肉鸡、接码平台、通讯录养号等手段。成功骗过平台设置的各种活动限制关卡,贷款后即刻删号,企业想追都没办法追。


互联网金融的兴起,即我们熟知的小贷行业。暂且不论它对社会的好与坏,黑产就是瞄准了他比银行金融审核更轻,“人的信息”拿的更少的点,用技术突破了企业设置的门槛,成功的薅走了企业的资金。

案例三:水军

某短视频平台主播点赞和转发创新高,但都是僵尸粉
某宝店铺单量成交笔数及成交额一个月创新高。


互联网催生了一批“刷子”产业,他们唯利是图,抓住平台的依据用户是否喜欢(看得多、买点多)的曝光机制,疯狂造就“爆款”。这严重破坏了竞争协议,对那些认证经营、认真创作的人非常不公平。

风控在企业中扮演着“警察”的角色,它不会去消灭风险,也没办法消灭,但是风险来的时候,能识别出风险,并且按照处罚级别,从轻到重约束破坏企业规范的用户,从而能让企业走的更好走的更远。

风控与黑产

洞察黑产

黑产群体组织分工明细,并且善于伪装。黑产从业者有全职或兼职,在兼职人群中,有各行各业人员,辨认难度大。同时黑产群体技术更新迭代迅速,可以在短时间内对厂商的防护手段破解并更新多个版本的作弊工具。据不完全统计,在这个庞大的黑色产业链条中,黑产从业人员已达数十万余人,每年给互联网公司造成的经济损失超过百亿元。

说白了,这些人为了赚快钱,不择手段,通过新型的技术,来突破传统的防御手段,无往而不利。黑产常用的武器有:虚拟号码、代理 IP、设备伪造等等。每一种工具都对应一种攻击场景。

洞察风控

在和黑产对抗的过程中,我们总结了很多经验和教训,全流程覆盖业务玩法,从事前、事中、事后防控,业务全生命周期风控体系。
风控的武器库有:设备指纹、生物探针(UBT)、智能验证码等等。

我是怎么入行的

之前有别的部门同事问我:你是怎么入行的?仔细思考一下,这是问题同样适合所有行业,你是怎么入行金融的?医生?区块链?教师?
我仔细回想了一下,我入行风控完全是兴趣。但是这个前提是我接触到了风控这个领域。我刚工作所在的公司是搞金融的,当时我是一个后端开发,你可以理解为就是做产品研发的,那这个过程肯定要和风控部门打交道的,对于公司非风控部门的人来说,对他们那帮人的标签都是:“最牛*的团队!里面都是牛人!”、“公司的借贷的逾期率,坏账率能保持这么低都是依赖风控团队”、“不知道他们在干嘛,很神秘”…
在工作对接的过程中,也逐渐知道了风控是怎么玩的,比如上线一个活动,风控要求在参与活动、分享活动、领取奖励、奖励发放设置前置卡点,所有信息都调一次风控平台的接口,有风控判定当前用户能否参与活动。但是只能看出其型,不得其解:凭什么判定这笔单子不能过,需要拒绝?

本着提高自己和不服输的精神,咱也想成为最牛逼的人,我就会主动和对接的风控研发打招呼,询问不解的地方,久而久之,也大致明白了其中的概念,在下一次跳槽时,我在简历中标明有风控经验,并且投给了招聘风控岗位的公司,幸运的是遇到了愿意给培养并有学习机会公司,从此真正算是进入了风控这个领域。

给想入行的预备风控 er 的一些建议

风控相对教师、医生、java 后端这种算是小众行业,在你不了解或者完全没听过的情况下,你完全是没有概念的,也就根本谈不上入职也说。
如果你了解了后,想成为一个风控人的话,如下我是的一些建议:

尽早进入

这个对任何行业有效,尽早指的是应届生~工作 3 内之内,此时企业在招人的时候认为你还是“白的”,是可塑的,此时如果你对风控感兴趣,可直接向感兴趣的公司投简历,此时尽管没有任何经历,但是企业是在储备人才,部门是在培养“backup”,成功率非常高。

跨部门转职

很多同事都是在公司内部了解了风控这个职业,还真的有一小戳人真的转了过来,这相对社会招聘更有优势,最起码你进入公司时考核是过的,符合企业的人才标注。唯一的要求就是你当前的 TL 愿意放和风控的 TL 愿意收。

风控所在的公司一定是有一定的市场规模的,往往说中大体量的公司才会考虑接入风控,小公司一般也养不起风控团队,一是没有用户规模,没那么多钱,黑产瞧不上,二是风控研发的开销确实不是一个小公司能抗住的,成本会超过很多。

总结

作为互联网安全从业者,回顾这几年走过的路,黑产的技术发展和规模膨胀给我们带来了很大的压力,同时也让我们有了更大的动力去构建更加有效的安全防御产品体系。黑产也是人,他们也会进步,所以风控面临的挑战非常大,也欢迎各位加入风控领域,共创和平的互联网行业。

作为风控研发,我会在后续从 0 到 1 的分享风控的架构及技术细节,喜欢的欢迎关注订阅,第一时间收到文章更新。

欢迎关注公众号:咕咕鸡技术专栏
个人技术博客:https://jifuwei.github.io/ >

原创技术分享,您的支持鼓励是我继续创作的动力!

欢迎关注我的其它发布渠道