Betrugserkennung

Betrugserkennung

Fraud ist nicht nur ein „Risikomodell“. Es ist eine Kontur: standardisierte Ereignisse → Merkmale und Graphen → Regeln/Modelle → Entscheidung und Aktion → Erklärung und Appelle → Wirkungsmessung und Driftkontrolle. Im Folgenden finden Sie eine Systemanleitung, die für Zahlungs- und Spieleplattformen, Marktplätze und Fintech-Dienste gilt.

1) Bedrohungskarte (was wir schützen)

Zahlungssysteme: gestohlene Karten, Kartentest, Chargebacks, freundlicher Betrug.
Kontorisiken: Hacking/Interception, Multi-Accounting, Bonus-Missbrauch, Gerätefarmen.
KYC/AML: gefälschte Dokumente, Aushängeschilder, Überfälle, Sanktions-/PEER-Risiken.
Verhalten: Bots, Skripte, anomale Wett-/Transaktionsmuster.
Partner: Betrug Verkehr/Empfehlungen, Stimulation von minderwertigen Einlagen.

2) Signale und Rohstoffe

Gerät/Netzwerk: device fingerprint, canvas/wag, Emulatoren, IP/ASN/proxy/VPN, geovelosity.
Zahlung: BIN/MCC/Land der Karte, 3DS/ECI, AVS/CVV-Ergebnisse, Velocity (per Karte/Konto/Gerät), Limitabweichungen.
Verhalten: Geschwindigkeit der Formen, Maus-/Touchtrajektorien, Dwell-Zeit, Abfolge von Aktionen.
Sozial/Graphisch: Übereinstimmungen von Telefonen/E-Mail/Karten/Adressen/Geräten, gemeinsame Daten mit „schlechten“ Knoten.
Die kus/Dokumente: die Qualität OCR/селфи-матчинг/живость (liveness), das Datum/Quelle, der blacklists/Sanktion.

3) Feature Engineering (Feature Store, Point-in-Time)

Zeitfenster: 5m/1h/24h/7d für velocity-fit; Expon. Glätten.
Aggregate nach Identität: per user_id, Telefon, E-Mail, Karte, Gerät, IP/ASN.
Geo/Zeit: Land/Region/Zeitzone/lokale Ferienprofile.
Graph-fichi: degree/triangle count/PageRank, Anteil der Verbindungen mit schlechten, component.
KYC Qualität: confidence OCR, edit distance Namen/Adressen, IBAN/INN Validierung.
Anti-Licks: ausschließlich Point-in-Time, keine zukünftigen Tags; online/offline parity.

4) Markup und Zielvariablen

Ziele: chargeback = 1, confirmed_fraud=1, bonus_abuse=1.
Fenster der verzögerten Wahrheit: Tags kommen nach T (Charjbacks), verwenden Sie den „Fries“ der Periode beim Lernen.
Verteilung: starkes Ungleichgewicht (0. 1-1% „Einheiten“) → Wiegen/Sampling vorsichtig.
Surrogat-Tags: manuelle Bestätigungen und Appelle - Vertrauen bewahren.

5) Modelle und Ansätze

Regeln (Policy-as-Code): Whitelists/Blacklists, Velocity-Schwellenwerte, Geovelosity, inkompatible Attribute. Schnell, erklärbar, die Basis für fail-safe.
Supervision: Gradientenboosting/Forest, logistische Regression, tabellarische NNs mit kostensensitiven Losses.
Anomalien: Isolation Forest, LOF, robust z-score/seasonal-decomp, Auto-Encoder.
Graph-Ansätze: Link-Vorhersage, GNN/DeepWalk-Embeddings, Regeln „gemeinsames Gerät/Karte“.
Hybriden: Cascade (Regeln → ML → Graf), Ensembles mit unterschiedlichen Strafen für FP/FN.
Kalibrierung: Platt/Isotonic für Wahrscheinlichkeiten; Schwellenwerte für die Fehlerkosten.

6) Qualitätsmetriken (Fokus auf seltene Klassen)

PR-AUC als Haupt; ROC-AUC ist sekundär bei einem Ungleichgewicht.
Recall@FPR≤x%, Precision@k, Cost-sensitive utility.
Coverage und Latency p95 für Prod-Scoring.
Fairness/Harms: Fehler nach Ländersegmenten/Geräten/Zahlungsmethoden.

7) Schwellenwertpolitik und Hysterese

• "score ≥ τ_block' → Auto-Block
• 'τ _ review ≤ score <τ_block' → manuelle Überprüfung
• 'score <τ_review' → Pass.

Fügen Sie Hysterese (Ein-/Ausstiegsschwelle variiert) und Cool-Down (minimale Wiederholungsintervalle) hinzu, um „Blinken“ auszuschließen.

Beispiel für Entscheidungstabelle

8) Online-Schaltung: Scoring und Orchestrierung

Streaming: Veranstaltungen über den Bus; fichi aus dem Online-Feature-Store; Idempotenz durch 'event _ id'.
Latenz: Ziel p95 (z. B. ≤ 100-300 ms pro Anfrage).
Orchestrator: garantierte Lieferung, Retrays/Backoff, DLQ, Rate-Limit durch Kanäle.
Aktionskanäle: 3DS/step-up, Hold/Limit, Block, Anforderung von Dokumenten, Ticket zum Fallmanager, Benachrichtigung des Benutzers.
Audit: Ende-zu-Ende' correlation _ id''signal→resheniye→deystviye→iskhod'.

9) Human-in-the-Loop und Fallmanagement

Fälle: Incidents/Zeugnisse aggregieren, Erklärung zeigen (Top-Features/Regeln, Nachbarschaftsgraphen).
Berechtigungen: Auto-Disc/Partial Limit/Request extra. CUS/Closing.
Training: Revisionen von Analysten gehen zurück in Daten (relabel), Asset-Lening an der Grenze.
SLA: Priorität der P1/P2, Reaktionszeit, Warteschlangen, Lastverteilung.

10) Graphenanalyse in der Praxis

Связи: `user ↔ device ↔ card ↔ phone ↔ email ↔ IP`.
Muster: „Sterne“ von Testkarten, „Komponenten“ von Bonus-Missbrauch, gemeinsame Proxies/VPNs.
Knoten/Kanten-Scoring: gewichteter PageRank, suspiciousness durch den Anteil der schlechten Nachbarn.
Präventiv: Quarantäne neuer Knoten, wenn sie Teil einer „infizierten“ Komponente sind.

11) KYC/AML/Sanktionen und Compliance

Matching: Sanktionslisten/RER/advers-media; fuzzy-Suche, Namensnormalisierung/Transliteration.
Dokumente: Lebendigkeit/Anti-Spoofing, MRZ/Sichtprüfung, Geo-Konsistenz.
Das transakzionnyj Monitoring: die Regeln nach den Summen/Schwellen/Ketten der Übersetzungen, das Drehbuch obnala.
Governance: RLS/CLS, PII Masking, Entscheidungsprotokoll, Erklärbarkeit und Berufungspfad.

12) Bewertung der Wirkung (nicht nur „Genauigkeit“)

[
EV =\text {Vorankündigung. Schaden} -\text {Wert falscher Blöcke} -\text {Transaktionskosten}
]

Policies/Tests: A/V/Quasiexperimente (DiD) für Schwellenwerte und Regeln; bandits, um die Step-up-Methode auszuwählen.
Guardrails: Beschwerden/Appelle, NPS, Anteil der „falschen Sperren“ (FPR), Latenz.

13) Überwachung, Drift und SLO

Qualität: PR-AUC/Recall @ FPR durch Schiebefenster; Kalibrierung der Wahrscheinlichkeiten.
Drift: PSI/KL nach Schlüssel-Fics, Anteil „unbekannter“ BIN/ASN, neue Geräte-Cluster.
Operationen: p95 Latenz, Anteil Timeouts,% manuelle Eskalationen, Backlog Revue.
SLO: Verfügbarkeit> 99. 9%, Decision→Action p95 ≤ 2–5 c; „Stopp-Kran“ bei der Verschlechterung der Datenqualität.
Runibuki: Anstieg der Testkarten, 3DS Fall, Anbieter Outage, Sturm der Protokolle.

14) Daten- und Code-Architektur

Ereignisse: kanonisches Schema (UTC, Version, Quelle), idempotente Schlüssel.
Feature Store: Online-/Offline-Parität, Point-in-Time-Requests, Versionierung von Transformationen.
Modelle: Versionsregister, reproduzierbare Pipelines, Zertifizierung in Prod, Shadow-Launch.
Rules-as-Code: git-Repository, Revue/Checklisten, Regressionstests.
Erklärbarkeit: SHAP/Regelgewichtsprotokoll, Fallbeispiele für das Sapport-Training.

15) Sicherheit, Privatsphäre, Ethik

PII-Minimierung: Tokenisierung/Hash-IDs; separate „Safe“ -Speicher.
Zugang: RLS/CLS und Lese-/Upload-Audit; Export - mit Token und Fristen.
Fairness: Fehlerdifferenzierung nach Regionen/Methoden prüfen, unzulässige Attribute ausschließen.
Transparenz: Gründe für Entscheidungen und nachvollziehbarer Appell an den Nutzer.

16) Pseudo-SQL und Rezepte

Idempotentes Transaktionslog

sql
MERGE INTO fact_payments t
USING staging_payments s
ON t. txn_id = s. txn_id
WHEN MATCHED AND s. updated_at > t. updated_at THEN
UPDATE SET status=s. status, amount=s. amount, updated_at=s. updated_at
WHEN NOT MATCHED THEN
INSERT (txn_id,user_id,card_hash,amount,currency,event_time,created_at)
VALUES (s. txn_id,s. user_id,s. card_hash,s. amount,s. currency,s. event_time,NOW());

Velocity-Funktionen (24h Fenster)

sql
SELECT user_id,
COUNT()             AS tx_24h,
SUM(amount)            AS sum_24h,
COUNT(DISTINCT card_hash)     AS uniq_cards_24h,
COUNT(DISTINCT device_hash)    AS uniq_devices_24h,
MIN(event_time)          AS first_tx_24h,
MAX(event_time)          AS last_tx_24h
FROM fact_payments
WHERE event_time >= NOW() - INTERVAL '24 hour'
GROUP BY user_id;

17) Checkliste zur Einleitung einer Betrugsbekämpfung

• Signale und Schaltungen standardisiert, Idempotenz aktiviert
• Feature Store mit Point-in-Time, Online-/Offline-Parität
• Markierungen ohne Licks gebildet, Fenster der verzögerten Wahrheit berücksichtigt
• Schwellenwertpolitik mit Hysterese und Step-up, SLA und Guardrails gesetzt
• Case Management und Human-in-the-Loop eingerichtet, Erklärbarkeit vorhanden
• Metriken: PR-AUC, Recall @ FPR, Kosten-Nutzen; fairness-Diagnostik
• Drift/Error Monitoring, Alerts, Runibooks von Vorfällen
• Governance: Modell-/Regelversionen, Revue, Entscheidungsaudit, KYC/AML Compliance
• Plan A/B/DiD für Schwellenwerte/Politiken; Sicheres Folback auf Regeln

Summe

Ein starkes Anti-Fraud ist ein Hybrid aus Regeln, Modellen und Graphen in einer kontrollierten Schleife: qualitative Signale und Daten → Schwellenwertpolitik mit Hysterese → schnelles Online-Scoring und Orchestrierung von Aktionen → Human-in-the-Loop und transparente Appelle → Effektmetriken und Driftkontrolle. Indem Sie diesem Muster folgen, reduzieren Sie Verluste, begrenzen den Schaden durch falsche Sperren und erhalten das Vertrauen von Benutzern und Regulierungsbehörden.