互金风控丨哪些地方需要进行风控？

风险控制的定义首先理解两个概念：风险管理和风险控制。风险管理：指在一定的风险环境下，如何将项目或企业的风险降至最低的管理过程。其基本程序包括风险识别、风险评估、风险评估、风险控制和风险管理效果评估。风险控制：是指风险管理者采取各种措施和方法消除或减少风险事件的可能性，或减少风险事件造成的损失。因此，风险控制实际上是风险管理的一个环节。风险控制是风险控制的缩写。（风险管理流程）在共同黄金行业，风险控制的内涵非常广泛，包括控制所有可能的风险事件，涉及人员经营风险、业务经营风险、技术经营风险和外部事件带来的风险。本文所描述的风险控制并不包括所有与风险相关的知识，如指定公司内部的各种规范，以防止风险事件的发生。本文重点讨论业务和技术风险控制。2风险控制应用场景废话少说，那么风险控制在哪里可以用呢？根据其定义，风险控制应用于共同基金的各个地方，主要包括个人信贷和小微企业信贷、投资过程中的风险控制、平台资金安全、平台技术安全、用户资金安全、用户账户安全、推广运营活动等环节。一般来说，风险控制用于判断还款能力和还款意愿、反欺诈、反欺诈、反羊毛收集、防止外部攻击内部系统、防止平台和用户资金问题等。从行业维度来看，消费金融、供应链金融、信用贷款、金融平台、P2等风险控制应用于共同基金行业P、大数据信用调查、第三方支付（第四方聚合支付）等细分领域，也可用于电子商务、游戏、社交网络等“传统”互联网公司。甚至可以说，任何互联网公司都需要风险控制。(风险控制应用场景)当然，共同基金行业的风险控制不仅仅是各种数据、各种算法建模、各种风险评估。事实上，用户的账户、投资支付等环节往往存在各种风险，了解这部分也很重要。本文是互联网金融风险控制基础知识的第一篇文章，主要阐述了用户账户安全、投资支付安全和推广运营的风险控制。与其他互联网行业相比，互联网金融产品的账户和资金安全尤为重要。如果用户遭受经济损失，平台的利益和声誉可能会双重损失。基于此，互联网金融产品(无论是移动还是Web)都采取了各种措施来保护用户账户资金的安全。在保证安全的前提下，用户体验和安全始终是鱼与熊掌，提升用户体验。在产品设计和背景开发中，应提前预测各种情况，并在产品层面和技术层面给出解决方案。用户账户安全涉及木马植入、暴力破解密码、拖库碰撞、虚假注册、短信轰炸、手机丢失等。各种问题可能发生在注册登录验证码发送等场景中。3.1  建立注册手机号黑名单。注册时进行控制。这里可以使用第三方风险控制平台建立的号码黑名单。实名认证。注册后通过直接实名认证或银行卡绑定实名认证，增加平台对用户的了解。当然，根据监管要求，所有投资贷款支付都需要实名认证。3.2短信验证码共同基金平台可能遇到的情况包括垃圾注册、短信接口轰炸，干扰正常短信发布，消耗大量短信服务费。黑客可以通过抓取包获取短信接口，并通过代理IP使用不同的手机号码不断要求短信接口。我的项目也遇到过类似的情况。预防措施包括:产品层面图形验证:用户注册时，需要输入验证码或拖动滑条，以识别机器人注册。IP地址和手机号码地理位置映射：IP地址和手机号码本身携带地理位置属性，通过建立GEO-IP库和手机号码属于地库映射来判断风险。请求限制：如果同一IP请求的短信接口达到一定次数（如5次），则IP请求限制为24小时。60s的单个手机号码只能要求一个短信接口，1小时内最多要求3次，24小时内最多要求5次。短信预警：通过评估平台的短信业务量，账户开放日发送上限，限制每日最大发送额度，提醒相关人员超过一定限度。3.3登录行为判断用户是否在常驻地登录。建立地理围栏。如果用户目前的登录地点与用户号码的所有权和常驻地不同，则通过发送短信通知用户。TouchID使用移动终端、图形绘制进入app。为了让用户获得更高的安全性，TouchID在用户完成注册后立即启用、图形绘制也可以在用户完成充值投资后立即提示用户。在修改密码等场景时，需要输入原始密码并进行短信验证。(但是这里有一个悖论，我只是因为不知道原密码才改密码..请小心)常用设备登录。普通用户常用的设备有一台，多达两台。每台设备对应于特定型号，如果用户账号与最近登录的设备不一致，则通过短信通知用户。如果密码连续输入错误5次，则限制该帐户24小时不能登录。上述登录注册的风险控制并非全部完成，也不是所有功能完成后都是安全的。开发能力开发需要优先考虑，产品经理需要梳理各种功能之间的关系，防止无法解决。4投资风险控制对于金融平台来说，用户往往在相同的量级下追求高回报。在一些理财平台上，热门高收益理财产品一开标就被秒光很常见。此时，一些技术用户会利用脚本作弊，以达到秒标的目的。因此，这些热门平台很难找到一个标准，占用了其他用户的资源。为防止此类问题：程序识别自动招标。程序自动招标具有以下特点。单个用户的招标操作频繁，相应页面（接口）在1分钟内超过10次，开标时间前经常要求。平台可以根据情况设置阈值进行识别。通过编写相应的脚本来识别这些用户，并根据规则将涉及自动投资的账户移交给运营商。增加产品层面的投资难度。如果机器投标非常猖獗，对平台影响很大，则应考虑牺牲用户体验来增加投资难度。类似于注册行为，在投资过程中添加滑动验证码、计算题、识别倒立汉字等。(比如淘宝在第二次杀戮活动中添加了计算题和四字成语首字母)。随着互联网的不断发展，获取客户的成本非常高。而互联网金融获得投资用户的成本是几百元。在竞争日益激烈的共同基金行业，特别是金融产品，需要在不同的平台上推广产品以获得目标用户。然而，为了表现，一些平台通过虚拟机创造了大量的流量氛围 代理IP点击广告。同时，一些渠道通过购买用户信息、模拟机器注册，甚至完成实名认证甚至银行卡验证。在这方面，它消耗了促销费用，但没有得到真正的用户。在互联网上，有一群人被称为“羊毛党”，各种信用卡，赚取各种奖品优惠券。哪里有红包，哪里就有他们的身影。他们是真正的用户，但他们来平台的目的不是参与活动或投资。这些人不能成为平台用户，占用和消耗平台资源。反作弊措施：5.1  建立和完善内部系统的“黑名单”(“灰名单”)，通过自己或第三方建立羊毛党用户的“黑名单”(“灰名单”)。这类用户的特点是平时不活跃，平台有促销活动有红包折扣时表现活跃。羊毛党用户的“黑名单”是通过分析用户行为来建立的。然而，建立这样的名单是一个长期的过程。在通过渠道推广之前，5.2推广效果监控系统应仔细考虑每个渠道的用户质量和渠道本身的声誉。如果不能确定推广渠道的优缺点，可以在前期少量推广。运营团队与产品、技术团队合作，建立营销效果监控系统。嵌入活动页面，监控页面UV、PV量。同时，监控不同渠道的注册转化率、投资转化率、投资额度等关键指标。渠道差，注册转化率低，投资比例低。这样，很容易区分不同渠道的优缺点。5.3电话回访通过“人肉”的方式确定渠道的优缺点。随机抽取用户在不同渠道播放回访电话，询问用户在哪里看到当前产品，并对用户进行产品体验调查。重点关注用户所在的区域、用户的年龄、性别、职业等信息，并与目标用户的特征进行比较。笔者在项目中遇到过，在试推广阶段发现某一渠道的注册手机号多来自广东，果断弃之。5.4建立自动预警机制，首先识别作弊者的行为特征，然后量化这种行为。然后通过写一个特定的脚本来识别这种行为，识别后自动通知操作员。最后，可以将这些用户添加到系统的“黑名单”(“灰名单”)中。使用这种“机器” 人工方法能有效帮助经营对抗羊毛党。例如，在短时间内（1小时内），5个或更多的用户被同一个人邀请完成登录注册和投资，但平均投资金额很低（<10元）。这样的用户一定有疑问。需要不断增加和完善类似的规则。