Индикаторы мошенничества: поведенческие, транзакционные, технические

Вы уже хорошо разбираетесь в типах и схемах мошенничества. Теперь давайте разберемся, как мы их находим. Мошенники постоянно меняют методы, и наша задача — быть на шаг впереди. Для этого нужны индикаторы мошенничества.

Что такое индикаторы мошенничества?

Индикаторы мошенничества — это «красные флаги»: аномалии или паттерны в данных, которые указывают на потенциальный фрод. Они бывают очень разными и часто проявляются в комбинации.

Мы делим их на три категории:

• Поведенческие
• Транзакционные
• Технические

Поведенческие индикаторы

Поведенческие индикаторы показывают, как пользователь взаимодействует с системой. Мошенники часто отклоняются от привычного поведения.

• Нетипичная активность аккаунта:
  • Вход из необычного места (например, всегда Москва, а тут Владивосток).
  • Резкое изменение времени активности (ночные операции, если обычно пользователь активен днём).
  • Множество неудачных попыток входа, за которыми следует успешный.
• Изменение привычных паттернов:
  • Внезапная смена настроек аккаунта (телефон, email, платёжные данные).
  • Необычно быстрая или медленная навигация по сайту/приложению.
  • Использование новых способов оплаты или доставки.
• Социальная инженерия:
  • Попытки выманить конфиденциальные данные через фишинг.
  • Манипуляции жертвой: угрозы, ложные обещания, создание срочности.

💡 Пример: Пользователь обычно делает 2-3 небольшие покупки в месяц. Вдруг он пытается совершить 10 крупных транзакций за час. Это явный поведенческий индикатор.

Транзакционные индикаторы

Транзакционные индикаторы связаны с характеристиками самих операций.

• Необычные суммы и частота:
  • Очень крупные или, наоборот, очень мелкие транзакции, нехарактерные для пользователя.
  • Множество транзакций за короткий срок (например, "дроппинг" — много мелких платежей).
  • Повторяющиеся транзакции на одну сумму или одному получателю, если это нетипично.
• География и логистика:
  • Транзакции из страны, отличной от страны выпуска карты или проживания пользователя.
  • Доставка товаров на новый адрес, отличный от адреса регистрации.
  • Использование одного адреса доставки для разных аккаунтов.
• Данные платежных инструментов:
  • Использование множества разных карт с одного аккаунта.
  • Попытки оплаты картами с истёкшим сроком действия или неверным CVV/CVC.
  • Быстрое переключение между платёжными системами.

⚠️ Важно: Один транзакционный индикатор редко доказывает мошенничество. Комбинация нескольких индикаторов значительно повышает вероятность фрода.

Технические индикаторы

Технические индикаторы — это данные с устройств, сетей и ПО, которые используют мошенники.

• IP-адреса и геолокация:
  • Использование прокси, VPN или Tor для скрытия реального IP.
  • Частая смена IP-адресов или использование "плохих" IP (связанных с мошенничеством).
  • Несоответствие IP-адреса и заявленного местоположения.
• Устройства и браузеры:
  • Использование эмуляторов или виртуальных машин.
  • Попытки подмены данных устройства (User-Agent, разрешение экрана, ОС).
  • Использование устаревших или необычных версий браузеров.
  • Обнаружение нескольких аккаунтов с одного уникального устройства.
• Скорость и автоматизация:
  • Нечеловеческая скорость ввода данных (например, заполнение форм за миллисекунды).
  • Использование ботов или скриптов для регистрации, транзакций, спама.
  • Отсутствие естественных пауз при взаимодействии с интерфейсом.

🛠️ Инструменты: Для выявления технических индикаторов часто используют специализированные антифрод-системы, которые собирают и анализируют "цифровые отпечатки" устройств.

Комбинация индикаторов

Самый эффективный подход — комбинация всех трёх типов индикаторов. Один "красный флаг" может быть ложным срабатыванием. Но когда несколько индикаторов указывают на одно и то же, вероятность мошенничества резко возрастает.

Например, вы видите крупную транзакцию (транзакционный индикатор) с нового устройства (технический индикатор) из необычного региона (поведенческий/технический индикатор) сразу после смены пароля (поведенческий индикатор). Это уже серьёзный повод для расследования.

Практическое задание

Представьте, что вы работаете в крупном интернет-магазине. Пользователь User_777 совершил следующие действия:

1. Зарегистрировался 5 минут назад.
2. Сразу добавил в корзину три дорогих смартфона.
3. Попытался оплатить их картой, которая ранее не использовалась на сайте.
4. Адрес доставки указал в другом городе, чем IP-адрес покупки.
5. Банк отклонил оплату.
6. Сразу после этого User_777 попытался оплатить заказ другой картой, но уже с другого IP-адреса (через VPN).

Ваша задача: Перечислите, какие индикаторы мошенничества (поведенческие, транзакционные, технические) вы видите в этой ситуации.

---

Понимание этих индикаторов — ваш первый шаг к эффективному обнаружению мошенничества. Дальше мы погрузимся в аналитические инструменты, которые помогут вам эти индикаторы выявлять и интерпретировать. Начнём с основ работы с данными: извлечения и фильтрации с помощью SQL.