运营商|从注册，拉新到活动，我们是如何被薅垮的( 二 ) 新技术|车辆|芬兰|赫尔辛基

防范措施：

依托自身能力搭建渠道监管平台，或使用第三方渠道数据管理平台对所有的渠道进行监控。在此之前公司需要根据自身曾经的经验和友商的相关渠道转化数据作为一个对比，用以衡量渠道质量的优劣
优先找认识的人，或知名平台合作
尽量采用cps ,cpa 的计费方式，CPC和cpm是有钱人玩的
合作的条款明确列出流量的有效比例，从法律层面约束对方的行为

3. 验证码验证码作为目前最基础适用范围最广的登录手段，是最容易被攻击的薄弱点。
1）刷码
暴力刷码发生的情况不多，但是一旦发生，就是直接的经济损失。如果你的验证码获取次数是3次，刷子用100万的访问来刷你，按照目前短信群发的价格在0.3 – 1毛之间计算，直接的经济损失是9千-3万，这个月绩效没了。此类事情多发生在有正面冲突导致的蓄意行为，或者被第三方当做肉鸡，成为“短信轰炸机”的短信源。
有些平台看似每天的验证码的服务访问量没有异常，其实早已经是别人的‘肉鸡’了。【短信轰炸机】没用过也至少听过，在‘黑帽’领域早已是一个成熟的基础技能，在刷码的时候可以虚拟出比真机还真的环境，任你有千万张良计，我只靠“构建虚拟机环境‘一招过墙梯打败你。近几年随着各种与计算和大数据的投入，对于此类的安全时间的防御有所提升，但是基本是防御手段刚出来，转身就被攻破了，防守总是在供给之后，被动至极。
防范手段：
1、平日低调，多积德，不要逞强装横。暴力刷码是违F行为，如若没有特殊的情况一般不会引起这种事情发生。
2、搭建健全的验证码安全机制

APP获取用户手机的，设备型号，IMEI号码，筛出模拟器，必要时可以抓陀旋仪数据
验证码获取时间间隔60s
设置每自然日【连续】获取次数上限（单次机制，不可重复使用）
当用户连续获取？次验证码，且没有登录平台，开启图形/滑块验证。（此处不推荐鹅厂某些业务让用户发送短信到固定号码用以验证当前是自然人在操作真实通讯设备的措施。）
超过每日连续获取上限，启动号码/IP锁定机制。可分段锁定，2小时，半天，一天；也可以直接锁一天。分段锁定需要根据情况设置解锁后的获取次数，一般这个次数都小于每日连续获取阈值，这里建议只给一次
设置每自然日【最多】获取次数上限，超过将不能再触发获取验证码
连续？次触发下发验证码，但是用户未收到，提示用户启用语音验证。这里扩展一下语音验证，作为短信验证的辅助，一方面一定程度上防止被刷码，一方面解决用户获取不到的情况。（不用担心弱网环境下，用户收不到验证码是否能拨打/接听电话的问题。我们语音通讯所使用的底层技术还是2,3G的技术，对网络的要求比数据通讯的低，感兴趣的自己去查资料）
验证码连续输入错误？次，即开启图形/滑块验证机制，或开启号码/IP锁定机制
避免将短信验证码暴露在返回中，验证码只存在服务端中并不能通过任何api直接获取（测试环境随意）

说一段扎心的真实情况，对于真·灰产大佬来说，如果真的想在注册，验证码上做手脚，以上的多种方法都是直接无效的。云控 + 云手机（下图）目前的技术已经非常成熟，且呈现规模化，团体化的趋势。做金融和游戏的对于这种应该都不陌生，可以说深恶痛疾，APP拉新，拼团，有羊毛可褥的地方他们就会出现，而且往往损失惨重。可见我们所面临的安全风险形势依旧极其严峻，Pony哥一直在说的’科技向善‘是多么的重要。