GB/T 42929-2023 互联网金融智能风险防控技术要求（正式版）

ICSCCS03.060互联网金融智能风险防控技术要求国家市场监督管理总局国家标准化管理委员会IGB/T42929—2023 Ⅲ 1 13术语和定义 14互联网金融业务与风险概述 25智能风险防控技术框架 2 3 36.2风险监测 36.3风险识别与分析 46.4风险评价 56.5风险处置 5 67.1风险防控规则与模型 67.2智能分析与处理 68智能风险防控系统安全 88.1基础安全 88.2应用安全 88.3数据安全 9智能风险防控系统运行 9.1日常运行 9.2应急响应 附录A(资料性)互联网金融典型业务及风险 A.1互联网金融典型业务场景及通用风险 A.2注册场景及安全风险 A.3登录和密码找回场景及安全风险 A.4交易场景及安全风险 A.5支付场景及安全风险 A.6信贷场景及安全风险 附录B(资料性)机器学习 B.1有监督机器学习 B.2半监督机器学习 ⅡB.3无监督机器学习 B.4关系网络 B.5自动机器学习 附录C(资料性)突发事件分类分级示例 C.1突发事件分类 C.2突发事件分级 ⅢGB/T42929—2023本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由全国金融标准化技术委员会(SAC/TC180)归口。本文件起草单位：中国互联网金融协会、支付宝(中国)网络技术有限公司、中国工商银行股份有限农业银行股份有限公司、中国平安保险(集团)股份有限公司、农信银资金清算中心有限责任公司、京东科技控股股份有限公司、第四范式(北京)技术有限公司、深圳市腾讯计算机系统有限公司、度小满科技(北京)有限公司、上海淇毓信息科技有限公司、东方微银科技股份有限公司、简单汇信息科技(广州)有GB/T42929—2023随着互联网金融的不断发展，基于互联网金融的新型金融欺诈风险不断涌现，并呈现出专业化、产出了智能风险防控技术，通过采用大数据、人工智能等技术实现智能风险防控，但在实际应用过程中存在概念不清、技术迥异、效果参差不齐等问题。为加强开展互联网金融业务的金融机构和非银行支付机构，以及提供智能风险防控技术服务的机构规范使用智能风险防控技术，保障个人及金融主体的合法权1GB/T42929—2023互联网金融智能风险防控技术要求现的安全要求以及运行要求等。和优化智能风险防控系统防控互联网金融风险。下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文本文件。GB/T35273信息安全技术个人信息安全规范GB/T35274信息安全技术大数据服务安全能力要求GB/T37721信息技术大数据分析系统功能要求GB/T37722信息技术大数据存储与处理系统功能要求GB/T37961信息技术服务服务基本要求3.13.23.3取相应措施的过程。3.4风险监测riskmonitoring2GB/T42929—20233.6风险防控规则riskpreventionandco按照一定的业务逻辑制定的风险事件判定指标。3.7注1:采用风险防控模型的方式实现风险的分析与识别，无须单独针对风险类型或特征制定相应的规则，通过模型的自反馈特性不断完善对风险判定的准确度。注2:在风险分析和识别过程中，风险防控规则和风险防控模型通常组合使用。3.8风险控制。4互联网金融业务与风险概述防控的核心是业务场景的安全风险，属于GB/T41462金融风险分类中的操作风险。例如，在用户注险。常见的互联网金融典型业务及风险见附录A,相关场景风险包括但不限于：根据不同的主体对象，需要从交易维度、账户维度、商户维度、客户维度设计并实施风险防控策5智能风险防控技术框架互联网金融智能风险防控的目标是防控互联网金融业务风险。互联网金融智能风险防控能基于业防控目标。智能风险防控系统主要包含以下四个部分，其技术框架见图1。程中的风险防控功能实现。c)智能风险防控系统安全，保障其自身的基础安全、应用安全、数据安全，支撑智能风险防控d)智能风险防控系统运行，在日常运行和应急响应中确保智能风险防控持续高效运行。3GB/T42929—2023风险监测风险监测风险识别与分析风险防控规则与模型智能分析与处理智能风险防控技术应用安企要求智能风险防控系统运行智能风险防控系统安全互联网金融业务场景基础安全要求数据安全要求智能风险防控功能风险处置应急响应日常运行风险评价图1互联网金融智能风险防控技术框架6智能风险防控功能6.1概述风险防控各环节核心功能如下：a)风险监测：对接互联网金融业务渠道，实现业务风险监控场景接入，收集并转发互联网金融业务的上下文信息至风险识别与分析模块；b)风险识别与分析：接收业务信息后，基于风险防控规则与模型提供的支撑，结合智能分析与处理方法，对风险控制对象的上下文信息进行识别与分析，向风险评价模块输出风险识别与分析结果；c)风险评价：对输入结果信息进行判定，结合智能分析与处理能力，可基于历史数据和场景信息6.2风险监测风险监测主要技术包括：b)应根据互联网金融业务流程要素设置风险监测对象，业务流程要素包括交互方、操作过程、操c)应同时具备自动化监测功能和人工监测能力，并根据业务的重要程度和业务量大小进行合理选择；e)监测结果应实时传递到风险识别与分析功能模块；f)应具备对接处理外部数据用于风险监测的能力；g)监测要求涉及银行业应用系统的，可参考GB/T40473.2—2021中联机监控和批量监控相关4GB/T42929—2023h)各机构应根据风险偏好制定风险监测覆盖率和误判率指标，建议风险监测覆盖率不低于80%,误判率不高于10%;i)监测结果应包括监测对象价值评估、事件类型、事件的发生频度、威胁来源与类型等内容。6.3风险识别与分析风险识别主要技术包括：a)应支持信息真实性(如姓名、证件号、手机号、银行卡号等是否真实)和信息一致性(如姓名、证c)应采用层次化的技术方法进行风险识别；d)应具备快速识别层实现对高发风险的快速识别；f)宜支持风险识别过程可追溯、可审计；g)宜支持机器学习方式实现对风险的多维度、综合分析与识别，用于风险防控的机器学习技术见附录B;h)宜支持风险离线仿真、风险可视化等运营管理功能；i)宜具备能够识别潜在风险的异常检测功能；j)宜具备基于历史数据构建时序类风险特征变量、进行风险识别的能力。在线分析包括在线实时分析、在线准实时分析两种。a)在线实时分析在线实时分析主要针对安全威胁较高、计算资源需求较少、实时性要求较高的风险，分析过程为在线业务流程的必要步骤，分析结果决定所执行的即时业务流程分支。主要技术包括：1)应至少支持黑白名单过滤的风险分析；2)应支持风险分析规则的动态扩展；3)应支持风险分析过程可再现、可审计和可解释；4)宜支持使用模型进行风险分析；5)宜支持画像方式进行风险分析。b)在线准实时分析在线准实时分析主要针对安全威胁较高、计算资源需求较多、实时性要求较低的风险，分析过程不占用业务耗时，分析结果间接影响该笔业务流程走向。主要技术包括：1)应支持黑名单、白名单、风险列表等分析与过滤方法支撑数据的实时变更；2)应支持风险分析过程可再现、可审计和可解释；3)宜支持风险分析规则与模型的自动学习与更新；4)宜支持使用模型进行风险分析；5)宜支持异步的风险预警。5GB/T42929—2023离线分析主要针对计算资源需求较多、实时性要求较低的风险，主要技术包括：a)应支持风险分析过程可再现、可审计和可解释；b)宜支持风险分析规则与模型的自动学习与更新；c)宜支持风险分析数据变量的清洗；d)宜支持数据质量监测；e)宜支持风险特征变量的离线加工计算。6.4风险评价风险计算采用定性、定量相结合的计算方法。风险计算方法针对业务面临风险的大小进行准确排序，以确定风险的处置策略。风险计算可参考GB/T20984—2022中给出的风险计算方法。6.4.2风险分级通过风险计算，对业务实际风险进行综合分析与评价，并对风险计算值进行等级化处理。等级化处理的方法是按照风险评价得分的高低进行等级划分，风险值越高，风险等级越高。风险分级可参考GB/T20984—2022中给出的风险分级方法。6.5风险处置风险处置的基本要求包括：a)应及时有效消减业务流程中的实时风险，依据风险评价结果，按照风险分级进行风险处置；b)应适度接受残余风险，根据业务可接受的处置成本将残余风险防控在可接受的范围内，处置方c)应依据国家和行业主管部门发布的信息安全建设要求进行风险处置。业务流程中的实时风险处置应结合风险分级结果，主要技术包括：a)应至少支持拒绝服务、限权两种风险处置方式；b)应支持风险处置策略的熔断机制；c)宜支持风险的自动处置；d)宜根据业务模式(如日常模式、业务高峰模式)支持风险处置方式的分组管理，并支持处置方式组之间的快速切换；e)宜采用自动学习和更新机制实现风险处置策略的优化。针对业务流程中的残余风险，应根据安全风险的严重程度、加固措施实施的难易程度、风险处置的6GB/T42929—20237智能风险防控技术7.1风险防控规则与模型7.1.1风险防控规则风险防控规则的主要技术包括：确率、KS值(Kolmogorov-Smirnov)、曲线下面积(AreaUnderCurve,AUC)等指标进行综合线等方面；7.1.2风险防控模型风险防控模型的主要技术包括：控、模型运行维护和模型下线等模型全生命周期流程进行管理；计、开发、测试、部署、运维等环节应按模型框架类型遵循GB/T37961、GB/T37721、GB/T37722的要求；c)模型训练流程应包括数据导入、数据预处理、特征工程、模型训练和模型评估等步骤；d)模型库中的模型，宜采用在线、离线或自动更新等多种方式发布上线，满足模型应用的需求；e)模型发布上线前应制定覆盖率、准确率、召回率等监控指标，并根据业务实际需求设置监控阈值，例如对欺诈交易的覆盖率大于90%、准确率大于95%等；f)宜同时支持多种模式对模型覆盖率、准确率、召回率等指标进行监控，比照初始业务需求或业务需求变动对各项指标的要求，按模型生命周期流程完成模型的更新和迭代，实现对模型变更调整的闭环管理；g)规则与模型应按业务实际需要进行定期更新，防止发生被绕过而造成规则与模型失效的情况出现。7.2智能分析与处理智能分析与处理由以下四个部分构成。a)智能分析与处理逻辑：局风险核查与运营，支持风险决策效果量化评估与运营；2)应支持事前安全防护，结合终端风险态势感知、威胁情报构筑事前风险防线，利用可靠的大数据的风险感知和预警体系；7GB/T42929—20234)应支持事后风险核查与挖掘，对风险事件、案件的可视化流转和风险核查，利用机器学习和事中实时风险识别与决策；5)应支持可视化风险运营和监控，利用工具或大数据分析技术，使用包括但不限于触发量、和优化。b)智能分析与处理数据：2)应对风险防控数据进行特征分类(如设备类、行为习惯类、位置类等),并结合业务场景和多种备份策略；3)应具备多种数据通信能力[如超文本传输协议(HTTP)、套接字(socket)协议]对接外部三方数据；c)智能分析与处理技术：1)应具备对数据进行实时/离线分析、处理和查询能力；2)应具备计算资源动态和线性扩展能力；4)宜具备数据迭代计算，及运行多种机器学习算法的能力；5)宜将图技术与业务场景结合，构建场景化知识图谱(如交易知识图谱、贷款申请知识图谱等),利用图算法加工指标作为风险特征用于事中风险识别与决策和AI模型开发；利用图谱的可视化做风险核查与运营，提高风险核查可解释性；6)宜使用如自然语言处理(NaturalLanguageProcessing)、文本/图像/音视频分类等技术进行分析与处理；实现建模过程中的数据保护；8)可具备依托自动机器学习技术自动发现风险特征、自动进行风险模型训练的能力。d)智能分析与处理管理：1)应支持灵活的规则、模型、策略编排设定，对相关的执行做好优先级控制，并有效控制规则、策略的串行关系，根据系统资源使用情况合理设定并行执行个数；3)应对规则、模型、策略预估时间具备有效的管理机制，避免模型异常影响正常风险防控；4)应对离线计算资源和在线业务计算资源做好隔离，避免离线计算影响在线业务运行；5)宜从机构、角色等多维度，采用权限访问控制策略，对不同角色主体授予匹配的数据权限，并留存系统操作日志，对账号和对应操6)宜构建完善的风险运营体系，建设高效的风险管理制度、流程和团队，标准统一，分工合8GB/T42929—20238智能风险防控系统安全互联网金融智能风险防控相关系统宜按照GB/T22239中三级系统的相关内容执行，安全技术宜按照GB/T22239中安全物理环境、安全通信网络、安全区域边界、安全计算环境、云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求、工业控制系统安全扩展要求等相关条款执行。互联网金融智能风险防控相关系统宜按照GB/T22239中三级系统的相关内容执行，安全管理宜按照GB/T22239中安全管理中心、安全管理制度、安全管理机构、安全管理人员运维管理等相关条款执行。8.2应用安全浏览器缓存安全要求主要包括：a)不应在浏览器缓存中记录敏感信息b)登录认证相关的缓存应设置仅超文本传输协议属性(Httponly)为真(True);c)只在安全环境下传递的缓存应设置安全属性(Secure)为真(True);d)应用网络标记(Cookie)应尽量采取子浏览器缓存的形式，以避免缓存数量的快速膨胀。身份认证安全主要技术包括：a)不应仅通过脚本或其他形式在客户端进行验证；b)应在应用服务器进行最终认证处理；c)网页上的登录或认证表单应加入验证码，以阻止攻击者使用自动登录工具连续尝试登录，从而降低被暴力破解的风险；d)验证码在设计上应增加安全机制，以免被轻易破解；e)应对账户密码设置长度及复杂度进行要求；f)所有针对其他第三方开放接口的认证处理模块应统一；g)认证处理模块应对提交的参数进行合法性检查；i)不应在系统中预留任何的后门账号或特殊的访问机制；j)对于重要的管理事务或重要的交易事务应采取短信验证码、生物特征识别身份认证等方式进行二次认证，以防范会话劫持和跨站请求伪造给用户带来损失；k)应用软件应能在指定的闲置时间间隔到期后，自动锁定客户端的使用；1)对于系统自动分配或者预设的强度较弱的初始用户口令，系统应强制用户首次登录时修改初始口令；m)应定期强制用户修改密码，修改口令时不应允许新设定的口令与旧口令相同；n)管理页宜实施强身份认证，如双因素认证、安全套接字协议(SecureSocketsLayer)双向证书9GB/T42929—2023会话管理安全要求主要包括：a)应避免在统一资源定位符(URL)等敏感位置暴露会话标识符；b)当网络应用(WebApplication)跟踪到非法会话，应记录日志、清除会话并返回到认证界面；c)不应使用客户端提交的未经审核的信息来给会话信息赋值，防止会话信息被篡改，如恶意用户通过统一资源定位符篡改手机号码等；d)当用户退出时，应清除该用户的会话信息，以防止遗留在内存中的会话信息被窃取，减少内存e)应设置会话超时机制，在超时过后清除该会话信息；f)应确保会话标识的随机性；g)应在服务器端对业务流程进行必要的流程安全控制，保证流程衔接正确，防止关键鉴别步骤被权限管理安全要求主要包括：b)应为每个用户设定标识、权限等安全属性；c)应在用户登录时进行身份核验；d)当用户鉴别连续失败达到指定次数后，应阻止用户进一步的鉴别请求；e)应具有用户登录超时锁定或注销功能；f)若控制台提供远程管理功能，应能对可远程管理的主机地址进行身份鉴别和访问控制，并保证传输数据的保密性和完整性；g)对于每一个需要授权访问的页面或请求都应核实用户的会话标识是否合法、用户是否被授权执行这个操作；h)授权和用户角色数据应存放在服务器端，鉴权处理也应在服务器端完成；i)一个账号应只能拥有必需的角色和必需的权限，且实现权限最小化原则。日志规范要求主要包括：a)每一条安全日志应包括事件发生的日期、时间、用户标识、事件远程登录方式进行管理还应记录管理主机的地址；b)应使用操作系统访问控制确保日志文件的安全，并限制对日志文件的访问；c)应将有权限操作日志文件的用户数量减到最小；d)应只为特定账户(如管理员)授予只读访问权限，防止日志被篡改、删除；e)日志传输过程应支持加密认证机制；f)数据传输异常中断时系统应能够提示、重新传输，保证日志不会丢失；g)日志记录中不应包含业务的敏感信息或者对敏感信息进行脱敏处理，避免因日志分析导致业务敏感数据泄露；h)应对下列相关安全事件生成安全日志：3)鉴别连续尝试不成功的次数超出了设定的限值；GB/T42929—20234)增加、删除管理员角色和对管理员角色的属性进行修改的操作；5)对上述审计事件的备份和删除；6)升级；7)检测操作等。安全审计要求主要包括：a)应具备对中间件日志、应用日志、错误日志等文件进行异常行为的分析、识别能力；c)应对审计记录进行保护和定期备份，避免受到未预期的删除、修改或覆盖等，并且保存时间不低于6个月；d)应对审计进程进行保护，防止未经授权的中断。8.2.7引用第三方资源安全引用第三方资源安全要求主要包括：a)不应在产品中引用第三方客户端脚本(Javascript)文件，如需引入资源，请求将资源内容下载、进行安全评估并部署到系统域内后，再进行引用；b)不应引用第三方动画文件、图片文件和嵌入第三方页面；c)非必要情况不应使用第三方软d)应对第三方软件的零日(0-day)漏洞进行监测，对于已发现的漏洞应及时进行升级修复；e)产品中如果需要对第三方软件进行修改，应查看相关协议并确认。8.3数据安全基本数据安全要求包括：a)应采用校验技术或密码技术保证数据在传输和存储过程中的完整性，包括但不限于鉴别数据、b)应采用数字签名验签技术确保从外部数据源导入数据的完整性；c)应对数据存储完整性进行检测验证；业务数据和敏感个人信息等；e)应采用密码技术保证敏感数据在存储过程中的保密性，包括但不限于鉴别数据、敏感业务数据和敏感个人信息等，以及这些数据的备份；f)应采用不可逆的数据清除技术或工具执行数据销毁操作，防止数据被恢复造成数据泄露；g)对于汇聚融合数据，汇聚融合前应根据汇聚融合后可能产生的数据内容、所用于的目的范围开展数据安全影响评估，汇聚融合的数据不应超出采集时所声明的使用范围，涉及多方机构合作的应以合同协议等方式明确用于汇聚融合的数据内容和范围、结果用途和知悉范围以及数据GB/T42929—2023的个人信息处理活动的原则和安全要求，设计并实施覆盖互联网金融业务风险防控全生命周期的个人信息保护策略，并在必要时对执行这些要求导致的对智能分析与处理的适用性和精度的影响进行评估。9智能风险防控系统运行在智能风险防控系统日常运行时：a)应根据业务重要程度制定业务连续性计划及业务中断影响分析；c)应定期开展应急预案演练，根据人员、信息资源等变动情况以及演练情况适时予以更新完善，确保应急预案的有效性和灾难发生时的可获取性；增长；e)风险防控并发处理能力应满足业务时效性要求、业务延时在可接受范围内；f)宜采用多重TP指标来监测风险防控系统或服务的性能，包括但不限于TP50、TP90、TP99、TP999等；注：TP指标即TopPercentile,指在一个时间段内，统计该方法每次调用所消耗的时间，并将这些时间按从小到大的顺序进行排序，取出结果为：总次数×指标数=对应TP指标的序号，根据对应TP指标的序号取出排序好的时间。TP50指在一个时间段内(如5min),统计该方法每次调用所消耗的时间，并将这些时间按从小到大的顺序进行排序，取位于50%的那个序号的时间作为TP50值；TP90、TP99、TP999值计算方式依此类推。g)宜采用可用率(正常执行次数/总执行次数)指标来监测风险防控系统或服务的可用性；h)宜采用分布式架构、使用集群方案代替单机来提升风险防控系统或服务的可用性；i)宜具备采用分布式存储等技术实现数据的高可用和高容错能力；j)宜具备智能风险防控输入流量的调度和限制能力。9.2应急响应在风险事件影响业务正常运行时，智能风险防控系统按照应急响应框架智能分析事件级别，识别风险干系人，并触发预警和相应级别的应急预案，支撑风险事件的应急响应。9.2.2事前预案智能推荐智能风险防控系统应提供应急预案智能分析。应急预案遵循风险隔离原则，根据各业务的情况，在业务、资金、信息和人员等方面建立风险隔离机制，防止风险的扩散与传导。系统自动巡检并确保重要业务风险应急场景和应急预案及时更新。基于风险优先级和监管要求，自动生成应急演练计划及实施方案。根据梳理的风险应急场景，在风险识别和风险监控的基础上，基于风险应急场景的预警规则，根据风险监控及其他相关渠道自动收集预警信息。GB/T42929—2023智能风险防控系统突发事件预警时应根据分类分级(参考附录C)和策略精准推送，区别提示。突发事件预警级别应遵循就高和升级原则建立模型。等。针对不同等级的突发事件，智能匹配和执行不同的响应及同步时效要求。根据突发事件处置过程，智能风险防控系统自动生成事件报告，并根据风险处置操作完善风险事件预案。处置包括：a)三级及以上等级突发事件总结报告自动发送给应急响应专职部门，四级突发事件总结报告自动发送给子业务应急响应小组，并同步报送给金融机构应急响应专职部门；恢复过程等；c)智能跟踪总结问题的整改，根据事件级别扫描和跟踪问题整改进度，在规定的整改时间内预警应急响应专职团队和风险管理委员会，确保切实落实整改事项；d)定期智能生成风险事件处置总结，并基于风险事件处置的历史数据智能评估应急预案的有效性和突发事件处理的效果。GB/T42929—2023(资料性)互联网金融典型业务及风险A.1互联网金融典型业务场景及通用风险互联网金融业务场景中面临的典型安全风险集中在账号、交易和支付三个典型业务流程中。业务场景通用风险示意见图场景通用风险示意见图A.1。猫池活动刷单打码平台恶意评论黑产团队批量注册垃圾账号找回密码拖库洗库真实信息资料登录非黑产用户交易安全代理服务器利用已泄露的账户进行撞库登录账号安全撞库图A.1业务场景通用风险示意A.2注册场景及安全风险注册场景及安全风险分析见表A.1。注册场景及安全风险分析场景分析操作说明信息流方向信息流内容可能存在风险注册场景1.用户点击注册按钮；2.填写注册信息；3.点击手机验证码获取验证码(可选)从用户终端到服务器注册信息1.垃圾注册，存在程序批量创建垃圾账户；2.存在注册欺诈风险1.服务器接受短信验证请求，发送手机验证码短信；2.服务器接受用户注册信息；3.服务器生成注册成功信息发送给手机从服务器到用户终端注册成功信息1.存在短信炸弹风险；2.存在手机打码注册风险GB/T42929—2023A.3登录和密码找回场景及安全风险登录和密码找回场景及安全风险分析见表A.2。表A.2登录和密码找回场景及安全风险分析场景分析操作说明信息流方向信息流内容可能存在风险登录场景用户点击登录按钮从用户终端到服务器请求登录指令1.账户盗用风险，发起越权交易风险；2.账户撞库风险1.服务器接受用户请求；2.服务器生成图形验证码的图片或短信验证码，随机生成4位字母或数字组成的图形验证码或随机生成6位数字组成的短信验证码；3.服务器将图形验证码或者短信验证码发送给用户终端从服务器到用户终端1.图形验证码2.短信验证码1.图形验证码难度不足、难以防止自动识别技术；2.手机打码风险密码找回场景1.用户点击密码找回；2.填写登录名、验证码从用户终端到服务器密码找回信息密码找回功能缺陷，可导致账户信息泄露、账户被盗风险“账户盗用风险，即由于木马钓鱼或互联网泄露数据等各种不安全操作，导致用户持有的账密信息被盗取。欺诈者在获取账密信息后，会尝试越权登录访问用户支付后台页面，进而发起盗卡交易行为，如购置虚拟商品等，导致用户账户资金损失。此外，越权访问获取支付账户的个人信息利用价值非常大，往往也会被欺诈者在黑产市场中反复利用进行交易。账户撞库风险，即通过收集互联网已泄露的用户和密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可登录账号密码给用户带来的风险。某一个应用或网站的安全性较弱导致被恶意攻击者攻陷，该网站的账密数据库发生泄漏，这个过程称为拖库。拖库后，数据被清洗、封装，黑产者对一些有价值的平台进行定向撞库攻击，即用已泄露账密进行模拟登录尝试，尝试成功即意味着单个账户撞库成功。账户撞库风险的危害在于导致数据大规模泄露。目前，黑产者攻击的成本随着工具自动化程度的提高而逐步降低。A.4交易场景及安全风险交易场景及安全风险分析见表A.3。GB/T42929—2023表A.3交易场景及安全风险分析场景分析操作说明信息流方向信息流内容可能存在风险交易场景1.浏览相应的商品，参与活动；2.填写地址进行下单从用户终端到服务器订单信息1.将被盗银行卡与平台新注册账号绑定，消费套现，导致出现赔付问题；2.恶意下单，发起大量订单占据有限的商品库存资源且不支付，导致正常用户无法购买，例如刷库存；3.恶意订单，在电子商务应用场景下，发起大量虚假地址订单造成配送资源浪费；4.黑客利用脚本自动购买紧俏金融产品标的，长期占据靠前排名，造成用户怀疑企业进行暗箱操作，例如刷单b:5.利用自动脚本参与抢购活动；6.利用虚假账号参与新用户注册活动，造成推广效果差，骗取高额佣金；7.利用支付接口逻辑漏洞，篡改支付金额或购买数量，进行恶意下单“刷库存，即攻击者通过大量购买库存产品，但不发生实际支付行为，让正常用户无法正常购买。对于在电商类网站通过相对低价格带动数据增长的新商户而言，遭遇此类勒索型攻击较为常见，属于一种业务勒索型攻击。刷单，即恶意攻击者可以通过伪造或非法获取如快递单号等数据来造成业务量大增的假象。A.5支付场景及安全风险支付场景主要面临的风险是盗卡支付、管理层面要求的反洗钱反套现监控风险。当个人金融信息的违规行为，通过利用系统或者账户卡的漏洞，获取经济上的收益，产生洗钱套现风险。支付场景及安全风险分析见表A.4。表A.4支付场景及安全风险分析场景分析操作说明信息流方向信息流内容可能存在风险支付场景1.点击确认购买，页面自动跳转到支付页面：2.利用第三方平台支付或者网银支付从服务器到用户终端1.绑定卡信息；2.金额信息1.盗卡支付风险：2.洗钱套现(买家和卖家双重角色、买家和卖家合谋等)A.6信贷场景及安全风险愿和还款能力等贷款核心要素的验证可能存在信息不对称，出现骗贷、多头借贷等风险。此外，互联网贷款的借款人信用状况普遍存在不同程度的瑕疵，在无法从商业银行等银行业金融机构获得低成本资金后转向互联网贷款，因此借款人整体的还款能力较弱，存在一定的道德风险和逆向选择。同时在贷后阶段也缺乏贷款检查手段及核实资金真实用途的抓手，存在一定的合规风险。信贷场景及安全风险分析见表A.5。GB/T42929—2023场景分析操作说明信息流方向信息流内容可能存在风险贷款申请场景填写贷款申请信息，进行贷款申请从用户端到服务器贷款申请信息1.数据黑产，申请信息造假，批量2.互联网金融平台间未实现数据信息共享，借款人多头借贷贷款审批环节信贷审批流程从服务端到客户端1.审批结果返回；2.如审批通过，资金提款到账；3.借款人账户资金变动1.借款人收入水平、负债情况、还款能力等数据不完整或核实2.审批策略或定价模型失效，无法有效识别借款人信用状况及进行合理定价贷后管理环节贷后还款行为监测外部数据到服务器更新1.贷后阶段贷款检查或催收缺乏2.资金用途无法核实，存在贷款挪用等合规风险GB/T42929—2023(资料性)机器学习B.1有监督机器学习在有足够数量的高风险、低(无)风险样本的场景下，宜使用有监督机器学习。此时可以应用例如逻辑回归(LogisticRegression,LR)、随机森林(RandomForests,RF)、梯度提升决策树(GradientBoostingDecisionTree,GBDT)、极端梯度提升(eXtremeGradientBoosting,XGBoost),甚至深度学习(DeepLearning,DL)等模型，有针对性地识别多维度特征空间的风险模式。B.2半监督机器学习签传播算法(LabelPropagationAlgorithm,LPA),可以基于少量的欺诈样本进行传播，从而发现更多的欺诈样本。B.3无监督机器学习为了灵活应对风险防控过程中的对抗，尤其是在新型异常风险的快速攻防应对上，宜使用无监督机器学习。支付风险防控场景常用的无监督机器学习技术主要包括K均值聚类(K-Means)等各种聚类、主成分分析(PrincipleComponentAnalysis,PCA)等降维技术。B.4关系网络传统通用的风险识别，更多的是从个体的指标角度识别。针对群体作案形式，智能风险防控的风险识别不应局限于个体特征，宜使用关系网络来识别群体欺诈。关系网络通过关系识别、特征挖掘、构建B.5自动机器学习型构建难度大、技术门槛高，往往需要具备专业知识的科学家完成。自动机器学习通过自动化机器学习算法覆盖建模全流程，减少人在数据准备、特征工程、模型训练和GB/T42929—2023(资料性)突发事件分类分级示例C.1突发事件分类根据自身业务情况和面对的风险状况，突发事件分类包括但不限于：台系统安全的事件等；b)数据安全事件：包括信息泄露、数据盗取、个人信息未经授权获取滥用等导致平台或用户产生大额资金损失及业务负面影响、行政处罚等；c)技术风险事件：包括技术原因导致的系统连续性、系统可靠性以及业务服务能力下降，且短时间内难以恢复，将影响正常运营或造成重大损失的事件等；d)物理安全事件：包括电力中断、网络损坏或硬件设备故障等；C.2突发事件分级根据突发事件的紧急程度、发展态势和可能造成的危害对突发事件进行分级，按严重程度从高到低可划分为：a)一级事件为对开展互联网金融业务的机构某块业务造成终止，或者