干货贴：互联网金融风控基础知识（一）

《干货贴：互联网金融风控基础知识（一）》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、干货贴：互联网金融风控基础知识（一）这可能是写给产品经理关于风控最全的基础干货了。前一阵写了一篇关于互联网金融支付基础知识的文章，受到了很多人点赞与收藏，今天继续介绍互金风控的基础知识。作为一个互金的产品经理，本文能帮助你更好的熟悉互金平台的各种风控需求，你甚至拿来就可以用。同时，作为运营、技术和风控，它能帮你站在各自角度更好的理解风控。文章提到的各种方案并不是一定非得实施，但了解这些能让产品人员知道哪些地方需要进行风控，且牢固树立风控意识，做到处变不惊。1风控的定义首先了解两个概念：风险管理和风险控制。风险管理：是指如何在项目或者企业在一定的风险的环境里，把风险减至最低

2、的管理过程。它的基本程序包括风险识别、风险估测、风险评价、风险控制和风险管理效果评价等环节。风险控制：是指风险管理者采取各种措施和方法,消灭或减少风险事件发生的各种可能性,或者减少风险事件发生时造成的损失。所以其实风险控制是风险管理中的一个环节。风控是风险控制的简称。（风险管理流程）在互金行业，风控的内涵非常宽广，包含了对所有可能风险事件的控制，涉及人员操作风险、业务操作风险、技术操作风险和外部事件带来的风险。本文所阐述的风控并不是把所有风险相关的知识都囊括其中，比如指定公司内部各种规范以防范风险事件发生。本文侧重业务上和技术上风险控制讨论。2风控应用场景废话少说，那么风

3、控在什么地方能用到呢？按照其定义，风控被运用到互金的各个地方，主要包括信贷中的个人信贷与小微企业信贷、投资过程中的风险控制、平台资金安全、平台技术安全、用户资金安全、用户账户安全、推广运营活动等环节。通俗来说，风控用于还款能力、还款意愿的判断，反欺诈反作弊反薅羊毛，防止外部对内部系统的攻击，防范平台和用户的资金出现问题等等。从行业维度来看，风控运用于互金行业中的消费金融、供应链金融、信用借贷、理财平台、P2P、大数据征信、第三方支付（第四方聚合支付）等各细分领域，同时还可用于电商、游戏、社交等“传统”互联网公司。甚至可以说，任何互联网公司都需要风控。（风控应用场景）当然，

4、互金行业的风控不只是一上来就各种数据，各种算法建模，各种风险评估。实际上，用户的账户、投资支付等环节往往存在着各种风险，了解这部分也非常重要。本文是互联网金融风控基础知识的第一篇，主要阐述用户账户安全、投资支付安全以及推广运营种的风险控制。3用户账户安全较于互联网其他行业，互联网金融产品的账号与资金安全显得尤为重要。若用户遭受经济损失，则平台的利益与口碑可能双输。基于此，互联网金融产品（无论是移动端还是Web端），均采取各种措施来保护用户帐号资金安全。对于互金平台，用户体验和安全永远是鱼和熊掌，在保证安全的前提下提高用户体验。在产品设计与后台开发的时候，应事前预计各种情况

5、并给出解决产品层面和技术层面的方案。用户账户安全涉及到木马植入，暴力破解密码，拖库撞库、虚假注册、短信轰炸、丢失等行为。在注册登录验证码发送等场景下均可能出现各种问题。3.1  注册行为建立注册号黑名单。在注册时就进行控制。此处可采用第三方风控平台建立的号码黑名单。实名认证。通过直接实名认证或者银行卡绑定完成注册后的实名认证，增加平台对用户的了解。当然，按照监管要求，所有投资借贷支付均需实名认证。3.2短信验证码互金平台可能遇到的情况包括垃圾注册，调用短信接口进行轰炸，干扰了正常的短信下发且大量消耗短信服务费。黑客可通过抓包的形式，获取短信接口，并通过代理IP，采用不同的

6、号，源源不断的请求短信接口。本人所在的项目就遇到过类似的情况。防止措施包括：产品层面采用图形验证：在用户注册时，为了识别出机器人注册，需输入验证码或者拖动滑条等方式。IP地址和号码地理位置映射：IP地址和号码本身携带着地理位置属性，通过建立GEO-IP库和号码归属地库映射，从而判断出风险。请求限制：同一IP请求短信接口达到一定次数（例如5次）则限制该IP请求24小时。单个号码60s只能请求1次短信接口，1小时内至多请求3次，24小时内至多请求5次。短信预警：通过评估平台短信业务量，帐号开设日发送上限，限定每天最大发送额度，超出一定限度则提醒相关人员。3.3登录行为判定用户

7、是否在常驻地登录。建立地理栅栏，若用户当前登录地与用户号码归属地、常驻地存在差异，通过下发短信通知用户。移动端采用TouchID、图形绘制进入app。为了让用户获取更高的安全保障，在用户完成注册行为后就立马启用TouchID、图形绘制，也可以在用户完成充值投资后立马提示用户。修改密码等场景下，需要输入原始密码并进行短信验证。（但此处存在一个悖论，我就是因为不知道原密码才来改密码的啊……请慎重）常用设备登录。普通用户常用设备为1台，多则两台。每台设备均对应特定的型号，若用户账号与最近登录设备不一致，通过下发短信告知用户。登录连续