新的移动货币服务上线几周之内，欺诈就会找上门来，而且它很少看起来像黑客攻击。它看起来像一通友好的电话、一条声称钱被误转的短信、一张一夜之间被换掉的 SIM 卡，或是一个悄悄钻规则空子的代理。由于移动货币是即时且不可撤销的，防范远比追回重要。本指南逐一介绍每个运营商都必须针对性设计的欺诈手法、阻止它们的管控措施，以及如何建立一套既能保护客户、又不会让服务难以使用的反欺诈体系。
为什么移动货币会成为目标
- 速度与不可撤销性：资金几秒内到账，几分钟内就能提现。
- 新用户：许多客户初次接触数字金融，不熟悉各种骗局。
- 手机号即身份：控制了 SIM 卡就可能控制了钱包。
- 分散的代理：成千上万家独立商户经手现金和客户数据。
- 规模：数以百万计的小额交易，在缺乏良好监控时很容易掩盖异常。
需要针对性设计的九种手法
1. 社会工程与冒充身份
这是迄今最常见的欺诈。来电者冒充客服、服务商的“安全团队”、银行甚至亲戚，说服受害者透露 PIN 码、一次性验证码，或通过转账来“撤回”一笔交易。
管控措施：反复宣传服务商绝不会索要 PIN 码；短信使用官方发件人标识；应用内消息无法伪造；重置 PIN 后设置冷静期并增加检查；对新收款人设置频率规则。
2. “钱转错了”
受害者收到一条假短信，声称有钱到账，随后接到电话要求把钱退回。实际上从来没有钱到账。
管控措施：教客户在应用或菜单中查看余额，而不是看短信；让真实回执易于识别；提供正式的冲正渠道，让客户永远不需要自己“退钱”。
3. SIM 卡劫持
欺诈者为受害者的号码补办一张 SIM 卡，通常借助伪造的身份证件或营业网点的内鬼，然后重置 PIN 码并清空钱包。
管控措施：在可行的情况下接入移动网络的换卡信号；换卡后一段时间内拦截或限制交易；重置 PIN 需要额外验证；通过其他渠道提醒客户；重置后立即限制提现。
4. PIN 码被盗与偷窥
在代理点或共用手机上被人看到的 PIN 码，或被假代理收集的 PIN 码。
管控措施：所有渠道均遮蔽 PIN；多次输错后锁定钱包；应用内生物识别登录与自动锁定；单笔和每日限额。
5. 通过应用接管账户
利用被盗的登录凭证或未锁屏的被盗手机进入应用。
管控措施：每次资金操作都要输入 PIN，而不仅仅是登录时；应用切到后台时自动锁定；设备注册并对新设备进行验证；新设备登录时发出提醒。
6. 代理欺诈
代理可能拆分交易以赚取更多佣金、收取非官方费用、进行绕过 KYC 的直接存款，或收集客户的 PIN 码。欺诈者也会冒充总部来针对代理。
管控措施：分析拆分交易和异常模式；公示资费并通过短信回执显示官方费用；培训代理；明确规定总部绝不会要求转账；对每个代理设置限额并加以监控。详见代理网络详解。
7. 商户欺诈
向商户出示伪造的付款确认、员工滥用退款，或商户本身就是收取欺诈款项的幌子。
管控措施：商户以应用内确认或余额为准；采用收款请求和动态二维码，由商户设定金额；退款只能针对原始付款并需审批；对商户进行尽职调查和监控。参见商户支付。
8. 骡子账户
通常用借来或盗来的身份证件注册的账户，用于快速接收和转移被盗资金。
管控措施：分级 KYC，对验证程度低的账户设置低限额；监控从众多无关汇款人收款后立即提现的账户；限制每个代理和每个证件的注册数量；对账户、设备和代理进行关联分析。
9. 内部欺诈
拥有后台权限的员工违规修改限额、冲正交易或创建账户。
管控措施：基于角色的权限；对冲正、限额变更和手工调账等敏感操作实行双人复核；不可篡改的审计日志；定期审查权限。
应该内置于平台、而非停留在制度上的管控
反欺诈制度的效果取决于执行它的系统。以下措施应内置于平台之中：
| 管控措施 | 阻止的风险 |
|---|---|
| 每次资金操作都需 PIN，多次输错后锁定钱包 | 手机被盗、PIN 被猜中 |
| 与 KYC 等级挂钩的单笔和每日限额 | 骡子账户、单次失陷造成的大额损失 |
| 频率与阈值规则 | 快速掏空、拆分交易、骡子账户行为 |
| 确认前显示收款人姓名 | 误转和部分欺诈转账 |
| 应用内生物识别登录与自动锁定 | 随手的账户接管 |
| 后台和企业账户的双人复核 | 内部欺诈和企业欺诈 |
| 统一且可审计的冲正引擎 | 无痕迹的手工调账 |
| 为合作方提供签名的 webhook | 向已集成商户发送的虚假付款通知 |
| 反洗钱筛查接入点与案件管理 | 受制裁方、洗钱模式 |
真正有效的交易监控
规则是每个监控体系的起点。适用于移动货币的规则包括：
- 大量来自无关汇款人的转入，随后立即提现；
- 在短时间内反复出现略低于限额的交易；
- 休眠账户突然接收并转出大额资金；
- 重置 PIN 或更换 SIM 卡后立即出现的活动；
- 注册量与活跃客户比例异常的代理；
- 短时间内用同一证件、设备或代理注册的大量账户。
每条警报都需要有负责人、有记录在案的处理决定，并在需要时向金融情报机构报告。随着时间推移，已审核警报的结果可以用来训练更好的评分模型，但在早期，规则和良好的案件管理带来了大部分价值。
实时管控与事后管控
有些管控必须在资金变动之前生效：限额、PIN 校验、换卡后的拦截、频率上限。另一些在事后发挥作用：警报审核、调查、账户限制。两者都要设计。实时管控止损；事后审核发现下一条实时规则应当拦截的模式。
客户教育：成本最低的管控
大多数欺诈之所以得逞，是因为客户被说服采取了行动。当客户教育满足以下条件时，能明显减少欺诈：
- 在关键时刻反复提醒：注册、重置 PIN、第一笔大额转账。
- 具体明确：“我们绝不会打电话索要您的 PIN 码”比“注意安全”有效得多。
- 使用当地语言并通过代理传达，而不仅限于应用内。
- 有产品功能支撑：首次向新收款人转账时，或刚修改 PIN 后，在应用内弹出警示。
妥善对待受害者
您如何对待欺诈受害者，决定了客户对品牌的信任。提供快速的举报渠道；在欺诈被举报且资金仍在账户时，迅速冻结收款账户；及时调查；随时告知客户进展；使用受控的冲正流程，而不是非正式的处理方式。每一次冲正都应留下与原始交易关联的完整记录。
剖析一次 SIM 卡劫持攻击，以及可以在哪些环节阻止它
完整走一遍一次攻击，就能看出多层管控为什么重要。每一步都是阻止它的机会：
| 攻击者的步骤 | 可以阻止它的管控 |
|---|---|
| 从社交媒体或数据泄露中收集受害者的姓名、证件号和手机号 | 教育客户谨慎分享证件信息；代理点的数据保护 |
| 持伪造证件在营业网点补办 SIM 卡 | 移动网络的换卡核验；网点员工培训 |
| 受害者手机失去信号；攻击者的手机开始接收受害者的短信 | 移动网络或钱包通过其他渠道向受害者发出提醒 |
| 攻击者申请重置钱包 PIN | 换卡信号拦截或延迟重置；额外的身份问题或到代理点核验 |
| 攻击者在新设备上登录应用 | 新设备验证；向已登记邮箱或紧急联系人发送提醒 |
| 攻击者把余额转给多个骡子账户 | 换卡或重置 PIN 后暂缓转账；频率限制；新收款人限额 |
| 骡子在代理点提现 | 监控到账后快速提现；向代理发出警报；欺诈被举报后冻结收款方 |
没有任何一项管控是完美的，但攻击者必须全部突破。这就是纵深防御原则，也是为什么反欺诈必须同时在平台、与网络运营商的合作、代理网络和客户教育中进行设计。
在阻力与保护之间取得平衡
每项管控都会增加一些阻力。太少，欺诈会增长；太多，真实客户会放弃交易甚至放弃服务。实用原则：
- 基于风险的阻力：在高风险环节增加检查，例如首次向新收款人转账、重置 PIN 后的活动或异常大额交易，同时保持日常交易快捷。
- 以限额代替拦截：风险事件发生后临时降低限额，既能保护客户，又不妨碍其支付必需开支。
- 解释检查原因：“为了您的安全，修改 PIN 后 24 小时内转账受限”远比一条没有解释的失败提示更容易被接受。
- 衡量误报：跟踪每条规则影响到的真实客户，调整那些带来的困扰大于保护的规则。
新钱包的 30-60-90 天反欺诈计划
上线之前
- 为新账户配置 KYC 等级和审慎的限额。
- 启用 PIN 输错后锁定钱包，以及每次资金操作都需 PIN。
- 尽可能与移动网络运营商约定共享换卡信号。
- 用每一种上线语言撰写面向客户和代理的教育信息。
- 确定欺诈举报渠道和冻结流程。
前 30 天
- 亲自审查每一起被举报的欺诈案件，并将每起案件对应到一种手法。
- 开启核心监控规则：到账后快速提现、多个汇款人汇向同一收款人、重置 PIN 后的活动。
- 向代理通报已出现的欺诈手法。
第 31 至 60 天
- 根据警报处理结果调整规则；停用只会产生噪音的规则。
- 如果社会工程欺诈上升，为新收款人和首次大额转账增加限额。
- 对已确认案件涉及的账户、设备和代理开展关联分析。
第 61 至 90 天
- 向管理层发布月度欺诈仪表盘。
- 对代理开展一轮神秘顾客检查。
- 对照客户实际需求和欺诈模式，复核各 KYC 等级的限额。
反欺诈运营模式
即使是小型运营商也需要明确的职责分工。典型模式如下：
- 欺诈分析师每天监控警报并调查案件。
- 欺诈负责人负责规则、指标，以及与移动网络运营商和执法部门的联络。
- 客服团队经过培训，能够识别欺诈举报，并在任何时间立即启动冻结。
- 合规团队负责可疑交易报告以及与监管机构的沟通。
- 代理网络经理负责与代理相关的案件和培训。
最重要的运营承诺是速度：晚上 10 点收到的欺诈举报，必须在几分钟内完成冻结，而不是等到第二天早上，因为被盗资金往往在一小时内就被提现。
反欺诈体系的衡量指标
- 欺诈损失占交易金额的比例；
- 每百万笔交易中被举报的欺诈数量，按类型划分；
- 从举报到冻结账户的时间；
- 追回损失的比例；
- 各规则的警报量和真阳性率；
- 客户对误拦截的投诉，它反映出哪些管控过于严格。
从第一天就值得收集的信号
好的反欺诈决策依赖数据，而这些数据只有事先收集了才能使用。从上线之日起，确保平台记录：
- 设备标识以及每台设备首次出现在某账户上的日期；
- 换卡事件（在移动网络共享的情况下）；
- PIN 重置和 PIN 输错记录，含时间和渠道；
- 收款人历史：每位客户首次向每个收款人付款的时间；
- 渠道与位置信息：USSD、应用还是代理，以及涉及的代理；
- 注册信息：由哪个代理、用哪个证件注册了该账户，以及账户多快开始活跃。
有了这些数据，“在新设备上重置 PIN 后 24 小时内向新收款人大额转账”这类规则就很容易编写，而且非常有效。没有这些数据，调查人员只能从通话记录中拼凑事件经过。
反欺诈体系的常见错误
- 拦截过度。拦下大量真实客户的规则会把他们推回现金，还会产生客服成本。要像衡量损失一样认真衡量误报。
- 规则无人负责。每条规则都需要有人审查其结果并持续调整。
- 对举报反应迟缓。被盗资金几分钟内就会转走。受害者的举报必须在几分钟内、而不是几天后得到处理。
- 忽视内部人员。员工和代理欺诈的规模往往大于客户欺诈。职责分离和审计追踪同样适用于公司内部。
移动货币欺诈关键术语
| 术语 | 含义 |
|---|---|
| SIM 卡劫持 | 把客户的手机号转移到一张新的 SIM 卡上（有时是欺诈性的），以接管其账户。 |
| 社会工程 | 诱骗他人透露 PIN 码或验证码，或诱使其转账。 |
| 账户接管 | 犯罪分子取得真实客户钱包的控制权。 |
| 骡子账户 | 用于接收和转移被盗资金的钱包，通常用借来或买来的证件注册。 |
| 频率规则 | 限制或标记短时间内交易笔数或金额的规则。 |
| 误报 | 真实交易被错误地标记或拦截为可疑交易。 |
| 加强验证 | 对高风险操作要求的额外验证，例如回拨电话或第二个验证码。 |
| 职责分离 | 确保任何一个人都不能既发起又批准一项敏感操作。 |
常见问题
最常见的移动货币欺诈是什么？
社会工程：说服客户透露 PIN 码或转账，常见做法是冒充客服或谎称钱转错了。
SIM 卡劫持欺诈是如何运作的？
欺诈者为受害者的号码补办 SIM 卡，然后用它重置钱包 PIN 并转走资金。运营商通过换卡信号、换卡后暂缓交易以及更严格的 PIN 重置检查来应对。
欺诈转账可以撤回吗？
如果资金仍在收款账户中，服务商通常可以通过受控流程冻结并冲正。一旦被提现，追回就困难得多，这正是防范如此重要的原因。
KYC 分级能减少欺诈吗？
能。对验证程度低的账户设置低限额，可以降低骡子账户的价值，并限制任何单次失陷造成的损失。
PesaBridge 将这些管控置于核心系统之中：每次资金操作都需 PIN、多次输错后锁定钱包、按 KYC 等级设置单笔和每日上限、应用内生物识别登录与自动锁定、带频率和阈值规则的反洗钱筛查接入点、后台双人复核，以及统一且可审计的冲正引擎。了解安全与合规或联系我们的团队。