Dolandırıcılıkla mücadele konusundaki deneyimim, büyük ölçüde bir çevrimiçi pazar dolandırıcılığı ve satıcı kalitesi ekibindeki yazılım mühendisi rolümle sınırlıydı. Bu görevde, ürün yöneticileri, veri ekipleri, güven ekipleri, dolandırıcılıkla mücadele ekipleri, politika ekipleri ve diğer ürün alanındaki diğer paydaşlarla işbirliği yapma fırsatım oldu.

Dolandırıcılık tipik olarak veri ekiplerinin, operasyon ekiplerinin ve ürün sahiplerinin bulgularından kaynaklanır ve ardından dolandırıcılığı analiz etmek ve alınacak uygun önlemlere karar vermek için bir süreç vardır. Benim rolüm bu önlemleri uygulamaktı.

Genel olarak, dolandırıcılıkla mücadele konusundaki deneyimim çok olumlu oldu. Büyük bir çevrimiçi pazarın iç işleyişini ve farklı ekiplerin dolandırıcılığı tespit etmek, araştırmak ve bununla mücadele etmek için nasıl işbirliği yaptığını daha iyi anlamamı sağladı. Ayrıca, dolandırıcılığı etkili bir şekilde tespit edebilmek ve azaltabilmek için ürünü ve kullanıcılarını net bir şekilde anlamanın önemini daha iyi takdir etmemi sağladı.

Daha spesifik bir düzeyde, dolandırıcılığı deneyimlerime dayanarak kişisel olarak üç kategoriye ayırdım: bir hata nedeniyle ortaya çıkan beklenmedik dolandırıcılık, platformumuzdan kullanıcılara fayda sağlamak için bir özelliğin amaç dışı kullanımı ve dolandırıcılık (hesap ele geçirme ve sosyal mühendislik gibi) ). Bu makalede bu 3'ün hepsini ele alacağım ve bu dolandırıcılığın oluşmasını nasıl en aza indireceğimi paylaşacağım.

Bir hata nedeniyle ortaya çıkan beklenmedik dolandırıcılık

Kimse dolandırıcılık beklemez, ancak koddaki hatalar veya kusurlar nedeniyle oluşabilir. Bunlar, geliştiricilerin bir özelliği test etmeyi unuttuğu veya yeterince test etmediği son durum senaryoları olabilir. Kütüphanelerdeki güvenlik sorunları da bir faktör olabilir. Örneğin, Steam'de insanların ücretsiz oyunlar oluşturmasına izin veren bir hata vardı. Neyse ki, Valve , dolandırıcılar bundan yararlanamadan sorunu çözdü. Fark edilmeseydi ne kadar para kaybedeceklerini bir düşünün. Başka bir örnek, saldırganların sistemlere girip istediklerini yapmalarına olanak tanıyan Log4j güvenlik açığıdır . Bir hizmet, e-para gibi finansal hizmetler sunuyorsa, bir saldırganın yol açabileceği olası zarar çok büyüktür.

Bu tür bir dolandırıcılığı en aza indirmek için kullanılabilecek birkaç uygulama vardır, örneğin: sistemleri ve kodu otomatik araçlarla düzenli olarak test ederek iyi bir test uygulamasına sahip olmak; Gosec (Golang için), Gitleaks , Dependabot ve Trivy gibi araçları kullanarak manuel ve otomatik düzenli güvenlik denetimleri uygulamak ; güvenli kodlama uygulamalarının uygulanması ; ve iyi bir kod inceleme uygulamalarına sahip olun.

Sonuçta, hiçbir sistem mükemmel değildir, ancak dolandırıcılığı en aza indirgemek için belirli uygulamaları kullanarak mükemmelliğe ulaşmaya çalışabiliriz.

Özelliğin amaçlanmayan kullanımı

İnsanlar, çevrimiçi hizmet özelliklerimizden kendi çıkarları için yararlanmanın yollarını bulma konusunda yaratıcıdır. Bunun bir örneği, platformumuzda yeni kullanıcı sayısını artırmak için tasarlanan ancak birden fazla hesap oluşturan ve onları birbirlerine yönlendiren bazı kullanıcılar tarafından haksız bir avantaj elde etmek için kötüye kullanılan yönlendiren özelliğidir. Bu sorunu çözmek için yönlendiren avantajını azaltmak, ödülü talep etmek için doğrulama eklemek veya aynı cihaz kimliğini, e-posta adresini veya telefon numarasını kullanan kullanıcıları kara listeye almak gibi çeşitli yaklaşımlar uygulayabiliriz. Diğer örnekler, kuponlar veya indirimler gibi, aynı kişi tarafından platformumuzdan daha fazla fayda sağlamak için kötüye kullanılan sübvansiyonlu özelliklerdir.

Bu tür dolandırıcılığı tespit etmenin anahtarı, iyi bir izleme sistemine sahip olmaktır. İster hizmet izleme ister veri izleme olsun, mevcut herhangi bir aracı kullanabilirsiniz. Aldığımız önlemler olay bazındadır, dolandırıcılığa ve bunun iş üzerindeki etkisine bağlı olarak katı olabilir veya hiç önlem alınmayabilir.

Dolandırıcıları kendi avantajımıza da kullanabiliriz, örneğin sübvansiyonlu özellik dolandırıcılığında, dolandırıcının özelliği kullanması için bir yol yaratabiliriz, ancak sonunda sübvansiyonu ortadan kaldırarak ek bir metrik hack ile sonuçlanırız.

İyi yönetici araçları, sistemimiz üzerinde olumsuz bir etkisi varsa, bu dolandırıcılığı hızlı bir şekilde halletmek için operasyon ekibi tarafından kullanılabilir. Merkezi, kullanımı kolay ve iyi erişim kontrolü ile güvenilir olmalıdır.

dolandırıcılık

Dolandırıcılık, dolandırıcılığın en yaygın biçimlerinden biridir ve hesap devralma, sosyal mühendislik ve kimlik avı gibi birçok biçimde olabilir. Bu tür dolandırıcılık, hem finansal hem de itibar açısından çok zarar verebilir.

Bu tür dolandırıcılığı en aza indirmek için çevrimiçi hizmet sağlayıcının birkaç adım atması gerekir. İlk olarak, çok faktörlü kimlik doğrulama ve güçlü parola politikaları dahil olmak üzere sağlam bir kimlik doğrulama sistemi uygulamalıdırlar. İkinci olarak, IP adresi izleme, davranışsal analitik, cihaz kimliği izleme ve yetenekli dolandırıcılık tespit sistemleri gibi etkili dolandırıcılık tespit önlemleri uygulamalıdırlar. Son olarak, şüpheli faaliyetlere ilişkin açık bir politikaya ve bunları ele almak için bir sürece sahip olmalıdırlar.

Ayrıca, çevrimiçi hizmet sağlayıcılar güvenlik kültürlerini geliştirmek için adımlar atmalıdır. Bu, çalışanlar için düzenli güvenlik farkındalığı eğitimi vermeyi, kullanıcıları güçlü parolalar ve iki faktörlü kimlik doğrulama kullanmaya teşvik etmeyi ve güvenlik sistemlerini düzenli olarak gözden geçirmeyi içerir.

Genel olarak dolandırıcılıkla mücadele, çevrimiçi hizmet sağlayıcının ciddiye alması gereken karmaşık bir konudur. Yukarıda özetlenen önlemleri uygulayarak dolandırıcılık riskini en aza indirebilir ve kullanıcılarını ve işletmelerini koruyabilirler.

Çözüm

Dolandırıcılık, çevrimiçi hizmet sağlayıcıda devam eden bir sorundur ve hafifletilmesi zor olabilir. Ancak, proaktif bir yaklaşım benimseyen pazaryerleri dolandırıcılık riskini azaltabilir. Bu, güçlü kimlik doğrulama sistemlerinin uygulanmasını, etkili dolandırıcılık tespit önlemlerini ve şüpheli faaliyetlere ilişkin açık bir politikayı içerir. Ek olarak, pazar yerleri, düzenli güvenlik farkındalığı eğitimi vererek ve kullanıcıları güçlü parolalar ve iki faktörlü kimlik doğrulama kullanmaya teşvik ederek güvenlik kültürlerini geliştirmeye çalışmalıdır.

Kaynak

Pratik Test Piramidi

5 kod incelemesi en iyi uygulamaları — Work Life by Atlassian

Keşif Testi | Atlassian

Fingerprint Pro — Eski Adıyla FingerprintJS — Cihaz parmak izi API'sı

Web Uygulama Güvenliğinin Temelleri