Detectarea fraudei

Detectarea fraudelor

Antifrauda nu este doar un "model de risc. "Acesta este circuitul: evenimente standardizate → caracteristici și grafice → reguli/modele → decizie și acțiune → explicație și recursuri → măsurarea efectului și controlul derivei. Mai jos este o instrucțiune de sistem aplicabilă platformelor de plată și jocuri de noroc, piețelor și serviciilor fintech.

1) Harta amenințării (ceea ce protejăm)

Scheme de plată: carduri furate, testarea cardurilor, chargeback-uri, fraudă prietenoasă.
Riscurile contului: hacking/interceptare, multiaccounting, abuz de bonus, ferme de dispozitive.
KYC/AML: documente false, manechine, numerar, sancțiuni/riscuri PEP.
Comportament: roboți, scripturi, modele anormale de rate/tranzacții.
Afiliat: fraudarea traficului/sesizări, stimularea depozitelor de calitate scăzută.

2) Semnale și materii prime

Dispozitiv/rețea: amprenta dispozitivului, pânză/ceară, emulatoare, IP/ASN/proxy/VPN, geovelositi.
Plata: BIN/MCC/tara card, 3DS/ECI, rezultate AVS/CVV, viteza (prin card/cont/dispozitiv), abateri limita.
Comportament: viteza formelor, traiectoriile mouse/touch, timpul de ședere, succesiunea acțiunilor.
Social/graph: coincidența telefoanelor/e-mail/hărți/adrese/dispozitive, caracteristici comune cu noduri „rele”.
CUS/Documente: Calitate OCR/selfie-matching/liveliness (liveness), data/sursa, liste negre/sanctiuni.

3) Magazin de caracteristici (punct în timp)

Ferestre de timp: 5m/1h/24h/7d pentru caracteristica de viteză; expon. netezire.
Unități după identitate: prin user_id, telefon, e-mail, hartă, dispozitiv, IP/ASN.

Geo/Timp: Țară/Regiune/Timezone/Profile locale de vacanță

Grafic caracteristică: grad/triunghi conta/PageRank, proporția de conexiuni cu cele rele, componentă.
Calitate KYC: încredere OCR, editarea distanței de nume/adrese, validarea IBAN/TIN.
Anti-fețe: strict punct-in-time, fără mărci viitoare; paritate online/offline.

4) Marcarea și variabilele țintă

Obiective: chargeback = 1, confirmed_fraud=1, bonus_abuse=1.
Ferestrele adevărului amânat: etichetele vin după T (chargebacks), folosesc „friza” perioadei de învățare.
Distribuţie: dezechilibru puternic (0. 1-1% „unități”) → cântărire/eșantionare cu atenție.
Etichete surogat: confirmări manuale și apeluri - păstrați încredere.

5) Modele și abordări

Reguli (policy-as-code): liste albe/liste negre, praguri de viteză, geovelocități, atribute incompatibile. Rapid, ușor de înțeles, de bază pentru fail-safe.
Supraveghere: creșterea gradientului/pădurilor, regresie logistică, NN tabulare cu pierderi sensibile la costuri.
Anomalii: Izolation Forest, LOF, robust z-score/sezonier-decomp, autoencodere.
Abordări grafice: predicția legăturii, încorporarea GNN/DeepWalk, regulile generale ale dispozitivului/hărții.
Hibrizi: cascadă (reguli → ML → grafic), ansambluri cu amenzi diferite pentru FP/FN.
Calibrare: Platt/Isotonic pentru probabilități; praguri de la costul erorilor.

6) Măsurători de calitate (focus pe clase rare)

PR-ASC ca primar; ASC-ROC este secundară dezechilibrului.
Recall@FPR≤x%, Precision @ k, Utilitar sensibil la costuri.
Acoperire și latență p95 pentru scoring de producție.
Corectitudine/Hamuri: Erori pe segmentul de țară/dispozitiv/metodă de plată.

7) Politica de prag și histerezis

• "score ≥ τ_block' → autoblocare;
• 'τ _ review ≤ score <τ_block' → manual review;
• 'score <τ_review' → sărind peste.

Adăugați histerezis (pragul de intrare/ieșire este diferit) și cool-down (intervale minime de încercare) pentru a evita „clipirea”.

Tabelul de decizii exemplu

8) Circuit online: scoring și orchestrație

Streaming: Evenimente prin autobuz; caracteristici din magazinul de caracteristici online; idempotency via 'event _ id'.
Latență: țintă p95 (de exemplu, ≤ 100-300 ms pe cerere).
Orchestrator: livrare garantată, retrai/backoff, DLQ, rate-limită pe canale.
Canale de acțiune: 3DS/step-up, hold/limit, bloc, cerere de documente, bilet la managerul de caz, notificare către utilizator.
Audit: end-to-end' corelation _ id' „signal→resheniye→deystviye→iskhod”.

9) Managementul omului în buclă și al cazului

Cazuri: incidente/dovezi agregate, arată o explicație (caracteristici/reguli de top, vecini grafici).
Permisiuni: auto-bloc/limită parțială/cerere de suplimentare ACC/închidere.
Instruire: editările analiștilor revin la date (relabel), atragerea activelor la frontieră.
SLA: prioritate P1/P2, timpi de răspuns, cozi, partajarea sarcinii.

10) Analiza graficului în practică

: 'user device card telefon e-mail IP'.
Modele: „stele” de testare a cardurilor, „componente” de abuz bonus, proxy-uri generale/VPN-uri.
Noduri/margini de notare: PageRank ponderat, suspiciune de proporția de vecini răi.
Preventiv: carantina noduri noi în cazul în care acestea sunt incluse în componenta „infectate”.

11) KYC/AML/sancțiuni și conformitate

Meci: liste de sancțiuni/POP/media de adrese; căutare fuzzy, normalizarea/transliterarea numelui.
Documente: liveliness/anti-spoofing, verificarea semnelor vizuale/MRZ, geo-consistenta.
Monitorizarea tranzacțiilor: au fost resetate normele privind sumele/pragurile/lanțurile de transferuri, scenariile.
Guvernanță: RLS/CLS, mascarea PII, jurnalul decizional, explicabilitatea și calea de atac.

12) Estimarea efectului (nu numai „precizie”)

[
EV =\text {Rev. daune} -\text {Costul blocurilor false} -\text {Costuri de tranzacție}
]

Politici/teste: A/B/cvasi-experimente (DiD) pentru praguri și reguli; bandiți pentru a selecta o metodă pas-up.
Parapete: reclamații/contestații, NPS, proporția de „încuietori incorecte” (FPR), latență.

13) Monitorizare, derivă și SLO

Calitate: PR-ASC/Recall @ FPR prin fereastră glisantă; probabilitatea de calibrare.
Drift: PSI/KL după caracteristici cheie, cota de „necunoscut” BIN/ASN, noi clustere de dispozitive.
Operațiuni: latență p95, ponderea timpilor,% din escaladările manuale, revizuirea restanțelor.
SLO: disponibilitate> 99. 9%, Decision→Action p95 ≤ 2-5 c; „stopcock” în cazul degradării calității datelor.
Runibooks: creștere în testarea cărților, scădere în 3DS, furnizor de întreruperi, furtună de bușteni.

14) Arhitectura datelor și a codurilor

Evenimente: schemă canonică (UTC, versiune, sursă), chei idempotente.
Feature Store: paritate online/offline, zboruri punct-in-time, transformări versioning.
Modele: registru de versiuni, conducte reproductibile, certificare în producție, shadow-lansare.
Reguli-as-Code: depozit git, liste de revizuire/verificare, teste de regresie.
Explicabilitate: jurnalul de greutăți SHAP/regulă, eșantioane de caz pentru instruirea de sprijin.

15) Securitate, confidențialitate, etică

Minimizare PII: tokenizare/hashing de identificatori; separați magazinele „sigure”.
Acces: RLS/CLS și audit citește/încarcă; export - cu jetoane și termene limită.
Corectitudine: Diferențierea erorilor de testare în funcție de regiune/metodă, eliminarea atributelor nevalide.
Transparență: motive pentru decizii și apel ușor de înțeles la utilizator.

16) Pseudo-SQL și rețete

Jurnal de tranzacții Idempotent

sql
MERGE INTO fact_payments t
USING staging_payments s
ON t. txn_id = s. txn_id
WHEN MATCHED AND s. updated_at > t. updated_at THEN
UPDATE SET status=s. status, amount=s. amount, updated_at=s. updated_at
WHEN NOT MATCHED THEN
INSERT (txn_id,user_id,card_hash,amount,currency,event_time,created_at)
VALUES (s. txn_id,s. user_id,s. card_hash,s. amount,s. currency,s. event_time,NOW());

Caracteristici de viteză (fereastră 24h)

sql
SELECT user_id,
COUNT()             AS tx_24h,
SUM(amount)            AS sum_24h,
COUNT(DISTINCT card_hash)     AS uniq_cards_24h,
COUNT(DISTINCT device_hash)    AS uniq_devices_24h,
MIN(event_time)          AS first_tx_24h,
MAX(event_time)          AS last_tx_24h
FROM fact_payments
WHERE event_time >= NOW() - INTERVAL '24 hour'
GROUP BY user_id;

17) Lista de verificare a lansării antifraudă

• Semnale și circuite standardizate, idempotență activată
• Feature Store cu paritate point-in-time, online/offline
• Etichetele sunt formate fără fețe, ferestrele de adevăr amânate sunt luate în considerare
• Politica de prag cu histerezis și step-up, SLA și parapete stabilite
• Managementul cazului și umană în buclă sunt configurate, explicabilitatea este disponibilă
• Metrics: PR-ASC, Recall @ FPR, Cost-utilitate; corectitudine-diagnosticare
• Drift/Eroare de monitorizare, Alerte, Runibooks incidente
• Guvernanță: versiuni model/regulă, recenzii, audituri de soluții, conformitate KYC/AML
• Un plan/B/DiD pentru praguri/politici; folback în condiții de siguranță pe reguli

Total

Antifrauda puternică este un hibrid de reguli, modele și grafice într-o buclă controlată: semnale și caracteristici de înaltă calitate → politica de prag cu histerezis → punctaj online rapid și orchestrarea acțiunilor → om-în-buclă și apeluri transparente → metrica efectului și controlul derivei. Urmând această schemă, reduceți pierderile, limitați daunele cauzate de încuietorile false și mențineți încrederea utilizatorilor și a autorităților de reglementare.