生物识别技术：印尼网络安全的护城河

本文选自 KrASIA , 原文标题 Is biometric identification enough to stop fraud in Indonesia，作者 Ursula Florene 

面对日益增加的网络诈骗案件，许多东南亚科技公司正尝试使用生物识别技术来保护数据安全、反击网络诈骗者，但目前这项技术仍存在漏洞。

印尼女生 Maia Estianty 原本是想在网上订一些食物，结果她的电子钱包被不法分子洗劫一空。

2019年12月，Estianty 在 Gojek 的订餐软件 GoFood 上叫了一顿外卖。时间没过去多久，她接到骑手的一通电话，说他的摩托车坏了，但幸运的是他的同事可以帮忙送 Estianty 的食物。Estianty 只需要拨打骑手提供的电话来确认该订单已被转交。

Estianty 照司机的话拨打了这个号码，她没有意识到这个号码已经被设置了呼叫转移，从而给黑客机会黑进她的电话。对方劫持了她的 Gojek 帐户，透支了她 GoPay 上近80万印尼盾（约57美元）的信用额度，随后尝试访问手机上的其他 app。Estianty 赶快注销了她的信用卡，甚至停用了电话号码。

她在 Instagram 上发帖分享了自己的受骗经历，虽然帖子现在已被删除，但引起了公众的关注。据当地媒体 Kompas 报道，Gojek 赔偿了 Estianty 的信用额度损失，并公开谴责了骗子。

不幸的是，并非所有受害者都像 Estianty 那样幸运。在印度尼西亚，类似的诈骗十分猖獗，其中很少案件能够见报，也鲜有人得到了赔偿。

与骗子赛跑

印度尼西亚有1.97亿互联网用户，但大部分人在信息安全方面缺乏认知。根据Gajah Mada 大学数字社会研究中心（CfDS）发布的一份报告，绝大多数印尼网络用户都很容易落入骗子的陷阱，甚至包括那些被认为更了解网络的年轻一代网民。

这些网络诈骗最常用的工具是“社会工程学”，这是黑客米特尼克在《欺骗的艺术》中提出的一种诈骗手法，利用人的心理弱点、本能反应、好奇心、信任、贪婪等，诱骗其做出某些举动或透露机密信息，并通过这些从合法用户手中套取的信息，进行诈骗或入侵计算机系统。骗子会用“您赢了彩票”或“这是系统要求”之类的借口来骗取受害者的一次性密码（OTP）等隐私信息，以达成控制受害者账户的目的。根据 CfDS 的报告，由于对此缺乏防范意识，这种骗局在印尼很容易成功。而 CfDS 也指出，“社会工程学”已经进化的更加先进了。

为了应对日益严重的网络诈骗，许多企业开始利用技术革新保护用户的财产安全。生物识别技术就是其中一种手段，它能使网络诈骗变得更困难。在确认身份的过程中加入用户物理特征的识别，例如，如果在电子钱包帐户中检测到异常行为，平台可能会在处理异常交易之前要求用户进行面部或指纹识别，验证失败则冻结该帐户。

很多印度尼西亚的科技公司现在都在研究生物识别技术，以提升用户安全感。今年，Grab 推出了指纹识别来代替字符串密码，并开始要求驾驶员和用户在进行身份验证时自拍。

“多年来，我们已经意识到诈骗者永远不会停手。我们所做的，是遏制当前诱骗用户的手段的发展，并给出新的解决办法。”  Grab 技术专利部门负责人 Wui Ngiap Foo 说。 “要跟上骗子的步伐，我们也必须不断发展。”

Grab的自拍识别功能 

生物特征识别是 Grab 安全系统 GrabDefense 的第二层保护。该公司还使用人工智能技术对用户的行为进行分析，AI 会根据一系列用户特征和数据（例如浏览时间和交易金额），将真实用户与欺诈账户区分开。

例如，被盗的帐户往往很少登陆，但会尝试进行金额异常高的转账。当这些账户被标记后，系统将提示用户进行额外的身份验证程序，例如提交自拍照等，通过后才允许交易。 而当 AI 通过欺诈模型确信欺诈行为正在发生时，系统通常会立即禁止或中止交易。

今年7月，Gojek 也上线了面部识别功能，以预防在该应用上出现交易欺诈。印尼电子钱包平台 Dana 也同样采用了面部识别的登录方式，Dana 的 CEO 兼联合创始人vince Iswara 表示，越来越多的用户激活了面部识别，因为该技术已被证明可以有效防止帐户被盗。由于该登录方式广受欢迎，Dana 正考虑将它用于更广泛的场景。

几乎所有公司都表示，他们不会共享所收集的用户生物特征数据。Grab 称公司非常重视个人数据保护，乘客的自拍照被安全地存储，不与任何人（包括驾驶员）共享。而 Gojek 则有明确的隐私规定，该公司不会将用户的生物识别数据保存在自己的系统上，而是在用户的设备上存储。

徘徊与盲点

据印尼政策研究及宣传学会（ELSAM）副主任 Wahyudi Djafar 称，目前印尼的法律中仅涵盖了指纹和视网膜这两种生物特征数据，还没有通过立法严格控制对生物识别数据的使用。

2020年1月最新起草的个人数据保护法案将面部特征数据涵盖在内，但是印尼议会尚未通过此法。根据草案，生物识别数据属于“特定的个人数据”，只能用于有限的目的，例如在刑事案件或紧急医疗事件中。

网络安全公司 Vaksincom 的一位安全专家 Alfons Tanujaya 表示，生物特征识别有助于防止欺诈。 “它与 OTP 不同，后者是文本中可以看到或被共享的数字号码。生物特征则无法复制，因为它们需要一个即时存在的物理实体。”

但是，印度尼西亚“道德黑客”组织的创始人 Teguh Aprianto 注意到了一个漏洞。使用生物特征的登录方式并不能完全替代密码登录，它们只是可选功能。由于登录数据仅存储在用户的设备上，因此无法保护他们免受使用其他设备登陆账户（例如 Estianty 的情况）的黑客的攻击。 “指纹登录将毫无用处，诈骗者如果可以访问帐户所有者的电话，仍然可以使用 OTP 劫持该帐户。”

Aprianto 说，如果未知设备尝试登录的话，数字平台应该在应用内发送通知，而不是通过 SMS，而新设备只能在获得常用设备的允许后才能登录。

对此，科技企业必须继续保持警惕，因为对使用“社会工程学”的欺诈者来说，生物识别技术仍然存在漏洞。

文｜任嘉@36氪出海

图｜Unsplash 

寻求报道、与作者交流、商务合作、投稿转载，请扫码联系36氪出海运营。