’Tis the Season to Be Cyber-Wary: How Thales Protects Against Account Takeover During Peak Shopping Season

假日购物季是在线零售商一年中最繁忙的时期，也正日益成为最危险的时期。随着流量激增和顾客争相下单，网络犯罪分子利用这种分心和庞大的流量混入其中。账户接管攻击在11月和12月急剧飙升，目标是购物者保存的支付信息、积分、愿望清单和个人数据。

大多数零售商专注于保持网站速度和营销活动顺利进行，但这种季节性压力在身份验证、登录流程和应用程序编程接口端点方面造成了盲点。攻击者深知这一点，他们使用自动化工具和人工智能驱动的机器人，以极小的阻力潜入账户。

在高峰期，未被察觉的凭证填充激增或一连串可疑登录尝试，很快就会转化为实际的财务损失和客户不满。对许多零售商而言，挑战不在于戏剧性的数据泄露，而在于在损害已经造成之前一直未被发现的、悄无声息且持续存在的账户滥用。

账户接管攻击的升级

根据2025年 Imperva 坏机器人报告，账户接管攻击在2024年增加了40%，自2022年以来增加了50%以上。这一增长反映了现代数字业务不断扩大的攻击面以及被盗凭证的日益普及。

账户接管攻击很少是传统意义上的暴力破解。大多数依赖于自动化和智能技术。攻击者使用：

这些技术都通过能够模拟合法流量并将攻击分布到数千个IP地址以避免检测的机器人网络得到了增强。

一旦账户被攻破，攻击者可以更改存储的支付信息、兑换积分、窃取个人数据，或通过单点登录集成渗透到连接的系统中。损害可能广泛且难以撤销，使得补救成本高昂、复杂，并且往往为时已晚，无法完全保护受害者。

一次成功的账户接管不仅是一次安全失败，更是一场业务危机。其后果会波及财务、监管和声誉等多个层面。

监管机构越来越将用户凭证保护不足视为可预防的失误。在金融服务、零售和电信等数字身份是客户互动基础的行业，风险尤其高。

人工智能正在扩大账户接管活动的规模和复杂性。以往暴力破解纯粹依赖数量，而人工智能带来了适应性学习和行为模仿。

现代的凭证填充机器人现在可以模拟人类导航、引入人工暂停并模仿打字模式，以绕过速率限制和行为检测系统。基于泄露数据训练的机器学习模型可以根据语言、人口统计信息和先前的密码重置来预测可能的密码序列。

这种能力将传统防御变成了减速带而非障碍。结果是攻击更快、更隐蔽，需要智能、上下文感知的应对措施。

随着组织进行应用现代化，API变得既必不可少又暴露在外。它们连接服务、移动客户端和第三方集成，现在已成为身份和数据访问的主要渠道。

根据Imperva的遥测数据，2024年所有API攻击中约有12%是账户接管。其中许多攻击是低流量、高价值的，旨在逃避检测。攻击者以小额增量（例如用户标识符、积分余额和支付令牌）窃取敏感信息，并随后将这些数据用于大规模欺诈或身份盗窃。

在假日购物季，攻击者会利用零售系统面临更大压力、处理的自动化流量远超平时这一情况。机器人被设计成能无缝融入这种活动。它们模仿真实客户使用合法的浏览器、逼真的请求头和正确格式的API调用，这使得它们很难与真正的购物者区分开来。

攻击者不会触发明显的高流量峰值，而是悄悄地通过登录API测试被盗凭证，探测身份验证流程，并找出哪些账户是有效的。它们重用令牌、利用薄弱的会话处理，并以适合高峰期流量的节奏发起凭证填充活动。由于这些请求在结构上看起来是正确的，它们通常能绕过流量检测，溜过基本的速率限制。

一旦进入账户，自动化脚本便会提取积分余额、更改送货地址、修改存储的支付方式，或通过单点登录渗透以获取其他服务的访问权限。对许多零售商来说，这些隐蔽的API驱动攻击现在已成为基于凭证的入侵增长最快的源头，并且在11月和12月风险最高。

提高假日季期间登录流量的可见性 在购物高峰期，登录量激增，攻击者利用这种嘈杂环境隐藏自身。监控登录尝试、异常的会话行为、设备更改和重复失败，以便及早发现可疑活动。
在不拖慢真实客户的前提下强化身份验证 购物者期待快速的结账体验，尤其是在促销活动期间。使用更智能的身份验证控制，根据新设备或登录尝试突然激增等风险信号做出反应，同时为真实用户保持流程顺畅。
保护登录和结账等高价值页面 这些是假日抢购期间被重点攻击的目标。账户接管攻击通常从登录页面开始，并在结账时升级。确保这些流程有最强的监控和保护措施，以便在账户被攻陷之前检测到异常行为。
保护涉及客户账户和订单的所有API 零售商依赖API进行登录、结账、积分、订单历史和账户管理。这些端点在11月和12月会经历巨大的流量增长，使其成为自动化滥用的主要目标。对其应用全面的可见性和安全控制。
部署高级机器人防护以阻止自动化的账户接管尝试 机器人在假日促销期间会急剧增加。高级机器人防护能够实时识别并阻止自动化的凭证测试、脚本化登录尝试和账户探测，而不会给真正的购物者增加阻碍。这对于在您最繁忙的几周内防止账户接管至关重要。