京东多管齐下提升用户数据安全

　　2014年，京东商城占据了中国自营式B2C市场份额的51.9%。市场占有率的快速提升，也让京东商城成为黑客及不法分子觊觎的目标。如何应对日益严峻的网络安全形势，更好地保护用户数据？京东集团安全管理部负责人晋亮日前在接受采访时表示，京东始终对用户信息和用户数据进行最高级别的保护，针对网络安全领域出现的这种新动向，目前京东正在利用基于大数据分析的风险控制系统等一系列的措施来应对，以保护网站及用户信息的安全。

　　谈到网络犯罪，晋亮认为，目前由于用户账号中的资产会有更严格的保护，所以不法分子的目标转向掌握网民个人信息后，以冒充熟人或博取同情等精准式诈骗场景对受害人进行欺诈。CNNIC的统计报告也显示，2014年，有46.3%的网民遭遇过网络安全问题，在网上遭遇到消费欺诈比例高达12.6%。对于电商网站而言，不法分子通过撞库攻击等多种手段想方设法获取用户信息，再冒充客服对用户实施诈骗的案例屡见不鲜。

　　用大数据将不法分子挡在门外

　　据晋亮介绍，目前京东商城已经建立了一套风险控制体系来处理上述问题，其中充分利用了大数据技术的威力。京东具备有效的风控系统来分析和防护类似的安全风险，我们会通过一系列的技术手段去实时的识别类似的攻击行为并进行防御和处理，直接规避相应的风险。

　　所谓“撞库攻击”就是不法分子利用很多用户在不同网站使用同样用户名密码的习惯，利用被攻破或泄露的其他网站用户数据库，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可以登陆的用户数据。撞库攻击获取的有效用户数据可能被诈骗分子利用，登录其账户后获取用户联系方式、订单等信息，冒充客服等工作人员实施网络诈骗。

　　京东努力从源头上抵御撞库攻击，降低用户数据的风险。其中关键之处就是京东的大数据积累和分析技术。因为京东收集了用户从登录、浏览、选购、下单、付款到配送甚至售后服务的完整数据，因此可以针对典型用户的行为归纳出多种模型。“现在撞库攻击更多地是用一些外部泄漏的数据去进行线上比对，这种行为特征在技术上是比较好识别的。京东的风控系统可以实时识别这些特征行为，并进行相应的防护，”晋亮说。

　　针对有可能被撞库成功的用户，京东会利用大数据技术对其进行实时分析出来，一方面寻根溯源，从账户访问的蛛丝马迹发现黑客的行为，并将其加入相应的特征库，阻挡他们后续作案；另一方面，与后端的用户和其它系统进行联动，对风险账号提升安全级别，规避这些账号的风险。

　　多管齐下提升用户数据安全

　　晋亮介绍说，除了基于大数据的用户行为监测和风控体系，在数据安全层面，包括用户数据的传输、存储、展现这三个环节，京东也在采用更加缜密的技术措施，以保证用户数据的安全性。

　　在涉及用户密码的数据传输环节，京东已经全程采用HTTPS协议进行加密，可以规避黑客使用数据嗅探类程序获取用户名及密码等敏感信息。在数据存储环节，京东的数据库也使用了更加安全的加密算法进行处理。晋亮表示，即使这个数据由于某种可能暴露在外面，黑客也无法从这些加密的数据中破解出用户名和密码。在信息展现环节，对于用户的敏感信息，如手机号、邮箱、订单号等内容，京东已经对其进行了模糊化的处理，关键部分都进行了打码处理。不法分子即使通过撞库进入这些用户的后台，相关的具体隐私信息也不会被泄露。

　　另外，为了提升用户对网络诈骗的警惕性，在订单等页面，京东也在醒目的位置提醒用户，“京东平台及销售商不会以订单异常、系统升级等为由，要求用户点击任何链接进行退款操作”，相应的短信提醒也会发给用户。京东用户和商家交流的即时通讯工具“咚咚”中，也加入了防钓鱼、防木马等等机制，全面为用户打造安全屏障。

　　除了在集团内部加强安全措施外，京东也已经对外建立了安全应急响应中心平台。这个平台对外直接响应白帽子提交的漏洞。对于乌云等第三方漏洞提交平台，京东也特别关注并制定了更高的响应级别。晋亮表示，“京东非常希望与白帽子长期合作，会不断提高漏洞的奖励来回馈白帽子的贡献，并定期举办安全沙龙和会议来探讨交流安全风险的解决之道。同时，京东也希望能够与更多的安全众测平台展开合作，以提升京东平台的安全等级。”据了解，京东与腾讯的合作也已经延伸至安全领域，在防欺诈领域双方会进行合作，为用户提供购物安全保障。

　　尽管网络安全企业及电商平台在不断提升安全水平等级，但黑产巨大的利益导致整体的网络安全环境仍然比较严峻。从CNNIC的调查数据来看，有近一半的网民认为我国网络环境比较安全或非常安全。鉴于这样的现状，晋亮认为，广大用户在网购时，仍然需要提高网络安全意识，养成良好网络消费习惯，以保护自己的合法权益不受侵犯。