CN104881783A

CN104881783A - 电子银行账户欺诈行为及风险检测方法与系统

Info

Publication number: CN104881783A
Application number: CN201510246101.1A
Authority: CN
Inventors: 宋晨; 史淼; 王远; 徐震
Original assignee: Institute of Information Engineering of CAS
Current assignee: Institute of Information Engineering of CAS
Priority date: 2015-05-14
Filing date: 2015-05-14
Publication date: 2015-09-02

Abstract

本发明公开一种电子银行账户欺诈行为及风险检测方法与系统。该方法包括模型构建与风险分析，使用主流大数据处理平台对原始数据提取总体指标和个体指标，并对该指标进行分析，建立针对不同账户的风险评分模型，并依据新输入数据对模型进行动态调整和更新；评价待检测账户时，提取该账户对应指标并对每项指标的风险评分进行加权累加得到账户的风险评分值，进一步基于对历史所有风险评分值分布的分析所得到的风险等级模型为待评价账户进行等级划分，最终产生风险级别较高的账户。本发明在大数据处理平台下，利用总体指标与个体指标相结合的方法，从数据中发现特征，并对不同账户使用不同特征，降低了欺诈行为检测误报率，同时提高了数据处理效率。

Description

电子银行账户欺诈行为及风险检测方法与系统

技术领域

本发明涉及电子商务领域，更为具体地，涉及一种电子银行账户欺诈行为及风险检测方法与系统。

背景技术

电子银行是银行传统柜台业务的延伸，可使银行业务不再受营业地点、营业时间的限制，随时为人们提供所需的金融服务。在其带来便利的同时也面临着诸多安全风险，尤其随着欺诈案例的不断增加，将会为银行及其用户带来巨大的损失。目前，为了更好的预防电子银行欺诈行为的发生，主要采用依据专家系统生成规则的方式检测欺诈行为，然而，基于规则方法通常会带来规则更新滞后、误报率高、匹配效率低等问题，使得银行和用户的利益不能够得到保障。

目前针对该领域的专利是200910204571.6，该专利采用基于规则的方法进行电子银行风险监控，主要着眼于使用单一规则和历史规则完成风险识别过程，并依据风险识别的阈值结果进行交易行为的响应。但是针对整个系统中关键的规则生成过程没有详细的叙述，造成后续风险分值的生成以及依据风险阈值进行风险评价的过程缺乏有力支撑。而且如前所述，基于规则的检测方式已不能够适应当前电子银行所面临的现实情况：首先，该方法对于新的风险无法识别，其次，当规则数目过于庞大时，分析检测过程将对系统处理能力带来明显压力。

综上所述，需要对传统基于规则的检测方法进行改进，从行为出发检测欺诈，并提出针对欺诈行为的风险评价方法与系统。

发明内容

本发明提供一种电子银行账户欺诈行为及风险检测方法与系统，用于对电子银行业务中账户欺诈行为进行检测，同时评估该行为存在的欺诈风险。

一方面，本发明提供了一种电子银行账户欺诈行为及风险检测方法，该方法包括：

1)为账户构建指标体系，包括总体指标与个体指标；

a)所述总体指标为能够反映大多数用户行为习惯的指标；

b)所述个体指标为能够反映每个电子银行账户自身历史行为习惯的指标；

2)使用统计学方法对样本数据的总体指标和个体指标进行计算；

a)所述总体指标计算方法以操作会话为单位；

b)所述个体指标计算方法以账户为单位；

3)通过对样本数据指标分布进行分析，设置指标特征区间，并为每个特征区间生成相应的风险评分值；

4)对账户进行检测和评价的过程包括特征提取、欺诈检测、风险评价三个部分：

a)所述特征提取将获取账户的总体指标特征和个体指标特征，组成特征向量；

b)所述欺诈检测将特征向量中每个分量与对应指标的特征区间进行比较，并产生相应的风险评分；

c)所述风险评价将特征向量中每个分量的风险评分按照该向量之间的关系以及向量的重要性进行加权求和，得到针对该账户的风险评分结果，并将该风险评分结果依据设定风险等级阈值得到定性的风险评价结果，并判断该账户是否存在欺诈行为。所述风险等级阈值的生成，依据一段历史区间中所有风险评分结果的分布情况进行设定，形成不同的风险等级，例如：高风险、中风险、低风险等。

另一方面，本发明提供了一种电子银行账户欺诈行为与风险检测系统，该系统包括数据收集与预处理子系统、模型构建子系统、风险分析子系统三部分。同时由于本发明所采集的数据量较大，因此在系统架构时完全采用主流大数据工具。

1)所述数据收集与预处理子系统，利用数据收集工具实时、批量收集关系数据库中的数据存入分布式数据存储平台中，并分别以会话和用户为单位进行数据预处理；

a)所述分布式数据存储平台采用主流大数据工具搭建，能够支持海量异构数据的存储和查询；

b)所述预处理过程使用分布式计算技术以会话和用户为主键对数据进行整理，整理后的数据能够直接被用来进行模型构建以及风险分析；

2)所述模型构建子系统用于实现如下功能：使用大数据工具中的分布式计算技术对预处理后的数据生成进行总体指标与个体指标的提取与训练，并依据指标特征的分布划分阈值区间，依据阈值生成不同的风险评分模型，并依据策略对该模型进行动态更新；

所述动态更新具体包括，各类型指标阈值区间的设置会依据新补充的数据进行定期的更新扩充。其中，所述新补充的数据为上次训练数据之后的新数据。其中，所述更新扩充是对总体指标以及个体指标特征区间进行校正。

3)所述风险分析子系统用于实现如下功能：其依据总体模型与该账户的个体模型得到当前账户每个指标的风险评分，并依据指标之间的关系和指标重要程度设定累加权重从而生成该账户的总风险评分，该总体风险评分与风险等级划分相对应，得到当前账户的风险级别，最终依据账户的风险级别对账户交易行为进行响应。所述交易行为响应主要包括几种形式：阻断交易、电话确认后恢复交易、执行交易。

本发明的电子银行账户欺诈行为检测及风险评价系统具有如下有益效果：

本发明对账户行为进行分析，得到账户风险评分值，根据所述评分结果与风险阈值的关系判断是否为风险账户，并在检测系统中显示相关分析结果；本发明在大数据处理平台下(可支持数据存储、查询、分析)，利用总体指标与个体指标相结合的方法，从数据中发现特征，并对不同账户使用不同特征，降低了欺诈行为检测误报率，同时提高了数据处理效率。

附图说明

图1是本发明的一种电子银行账户欺诈行为及风险检测方法的流程图；

图2是图1中所述的S102的流程图；

图3是图1中所述的S103的流程图；

图4是图3中所述的S310的流程图；

图5是图3中所述的S320的流程图。

具体实施方式

为使本发明的实施例的目的、技术方案和优点更加清楚，下面进一步结合附图对本发明作详细描述。

1.图1是本发明的电子银行账户欺诈行为及风险检测方法的流程图。如图1所示，所述方法包括：

1)S101，数据收集与预处理，将存储在业务系统中的数据以实时或者批量的方式收集到分布式数据存储平台中，例如使用Storm和HDFS，并通过并行计算方法，例如MapReduce，以会话和账户为单位对数据进行整理；

2)S102，模型构建，对整理好的历史样本数据提取总体指标与个体指标处理，并使用统计学方法依据数据分布划分指标特征区间，为每一个特征区间设定一个风险评分值；

3)S103，风险分析，对待评价的账户数据提取总体指标与个体指标，并将指标的特征值与模型构建输出的风险评分对应的特征区间进行比较，得到该指标的风险评分值，将所有指标的风险评分值加权综合得到该账户最终的风险评分结果，并依据风险等级为该账户进行风险级别评定。

2.在本发明的一种实施方式中，所述构建模型主要的输入为账户的时间类信息、交易类信息及客户端类信息。

并且需要说明的是，对于总体指标以及个体指标，指标类型不尽相同，并且所使用的统计量也不相同，例如，总体指标包括：时间类指标和交易类指标等；个体指标包括：时间类指标、交易类指标、客户端类指标以及关系类指标等。又如，采用的统计量包括概率分布、均值-方差等类型。总体类指标的统计对象为全体用户，个体类指标的统计对象为单个用户；总体类指标更关注于整体分布，而个体类指标关注个人习惯。

3.下面将对图2进行详细描述，该图2是上面步骤S102的具体流程：

1)S201，提取指标特征值，例如使用概率分布、均值-方差、马尔可夫链等；

2)S202，采用统计学方法依据分布获得指标的特征区间，例如使用聚类方法对特征值进行聚合，如果聚合为3个中心，则认为该指标的特征区间能够被确定为3，并且区间的边界确定为聚类边界；

3)S203，确定风险评分，按照特征区间内样本取样的异常程度进行风险值设定，即抽样样本异常度越低风险值设置为低，相反风险值设定越高。

4.当有账户进行风险分析时，进入步骤S103。

图3是图1中的S103的流程图，具体可以包括：风险评分计算与风险级别确定。

1)S310风险评分计算，其流程如图4所示，包括：

a)S311通过特征提取过程获得待分析账户的总体指标，通过总体指标模型得到被检测账户在该模型下的风险评分，可有多个指标，对一系列指标进行按照指标关系以及重要程度进行加权累加，得到结果值1。

b)S312通过特征提取过程获得待分析账户的个体指标，通过个体指标模型得到被检测账户在该模型下的风险评分，可有多个指标通过该数据与账户、历史统计指标正常样本的偏差和阈值区间之间的关系得到对应风险值，进行累加，得到结果值2。

c)S313将结果值1和结果值2进行加权累加，得到账户最终风险评分。

需要说明的是，在本发明的实施方式中，步骤i和步骤ii的执行顺序并无限制，系统可以先执行步骤i再执行步骤ii，也可以先执行步骤ii再执行步骤i。

2)S320风险级别确定，其流程如图5所示，包括：

a)S321依据历史数据中所有风险评分结果的分布进行风险等级划分，例如，使用分段拟合的方法得到不同的风险等级；

b)S322将用户风险评分值与风险等级对应的评分区间进行比较，如果落在该区间中，则用户被划定为该风险级别。

5.下面以具体的例子对上述S102至S103的执行过程进行详细阐述。

在本例中，构建两种模型，分别为：

总体指标设置①：例如，操作时长等。

个体指标设置②：例如，交易时间段等。

其中，①属于所有账户行为习惯的衡量指标、②属于单个账户行为习惯的衡量指标，①和②的特征区间的选择，设置不同区间对应风险值，分值在0-10分，账户的初始风险值都为0，不同的指标进行加权累加后，总体指标与个体指标再进行加权求和得到最终的风险评分值。

在本例中，将原始数据在大数据处理平台Hadoop下进行处理，则：

1)原始数据以会话为单位进行整理，以会话为Key，原始数据为Value；

2)模型构建部分对采集到的数据进行对应指标的特征提取，例如，总体指标中的操作时长和个体指标中的交易时间段：

a)规则①：操作时长进行分段最小二乘拟合，得到不同的4个特征区间，对每个区间的会话进行抽样查看，发现操作时长较短的区间抽样数据的正常率较高，因此按照时间长短一次设定对应风险值为0、1、5、10，记为r₁；

b)规则②：交易时间段以小时为单位划分为24个区间，记录账户历史操作时间段，计算账户在过去一段时间内在区间内操作的频次，不同的频次代表不同的风险值，例如，所有的样本数据中，账户在上午9时操作的次数为10次，下午3时操作的次数为5，其他时段操作次数为0，则可以认为上午9时以及下午3时的风险值为0，而其他时段的风险值为1，记为r₂；

3)风险分析部分可分为风险评分计算和风险级别确定：

a)风险评分计算，将规则①和规则②的结果进行加权累加，得到该账户一个会话的风险评分结果值，R＝r₁*10％+r₂*90％，多个会话按照加权累加的方式得到总的风险评分值。

b)风险级别确定，通过历史风险评分的分布，计算出风险划分区间，例如，可使用分段最小二乘拟合得到合适的边界，目前划分为无风险、低风险、中风险、高风险四个级别，然后将R与不同风险级别的风险区间进行比较，确定最终账户的风险级别。

表1为本实施例的检测数据列表，包括5个检测样本和高风险账户、中低风险账户数量。

表1.检测样本和风险账户数量

检测样本编号	高风险账户数量	中低风险账户数量
			1	0	1683663
2	3	1640642
			3	6	1650139
4	7	1626480

5

12

1612951

对以上数据进行进一步分析，发现高风险账户的问题包括：

总体指标类中的操作时长、操作数量均检测出异常；

个体类指标中的操作时长、操作数量、用户IP地址变化、交易时间、交易对象、交易码均检测出异常。

综上所述，本发明的电子银行账户欺诈行为检测及风险评价方法与系统通过大数据处理平台对账户行为是否与所有账户总体指标以及个体指标相一致进行欺诈检测，并根据所述风险评分值与风险级别的对应关系判断是否为欺诈行为账户，并在自主设定的单位时间对检测账户的预定义规则进行更新与补充，当大量账户进行检测时，模型构建与风险分析分为总体指标和账户指标综合对账户进行衡量，从而实现总体趋势与个人习惯双方面共同决定账户的行为是否表现异常的方法，增强了欺诈检测准确性。同时，本发明的系统还具有处理海量数据的优良性能。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明海量数据处理能力，在大量数据的学习和训练下才可以保证辨别账户欺诈行为的准确性，大量数据基于大数据处理平台，保证了数据处理准确性、高效性与性能的优越性。

以上实施例仅用以说明本发明的技术方案而非对其进行限制，本领域的普通技术人员可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明的精神和范围，本发明的保护范围应以权利要求书所述为准。

Claims

1.一种电子银行账户欺诈行为及风险检测方法，其步骤包括：

1)为电子银行账户构建指标体系，包括总体指标与个体指标，其中总体指标为反映大多数用户行为习惯的指标，个体指标为反映每个电子银行账户自身历史行为习惯的指标；

2)使用统计学方法对样本数据的总体指标和个体指标进行计算，其中总体指标的计算方法以操作会话为单位，个体指标的计算方法以账户为单位；

3)通过对样本数据的指标分布进行分析，设置指标特征区间，并为每个特征区间生成相应的风险评分值；

4)对于待检测账户，提取其总体指标特征和个体指标特征并组成特征向量，将特征向量中每个分量与步骤3)中对应指标的特征区间进行比较，得到风险评估结果，并判断该账户是否存在欺诈行为。

2.根据权利要求1所述的方法，其特征在于，所述总体指标包括时间类指标和交易类指标；所述个体指标包括时间类指标、交易类指标、客户端类指标以及关系类指标。

3.根据权利要求1所述的方法，其特征在于，步骤2)使用概率分布、均值-方差、或者马尔可夫链提取指标特征值。

4.根据权利要求1所述的方法，其特征在于，步骤3)使用聚类方法对特征值进行聚合，将聚合后得到的中心数作为该指标所划分的特征区间数量，并且区间的边界确定为聚类边界；然后按照特征区间内样本取样的异常程度进行风险值设定，即抽样样本异常度越低风险值设置为低，相反风险值设定越高。

5.根据权利要求1所述的方法，其特征在于，步骤4)对账户进行检测和评价的过程包括特征提取、欺诈检测、风险评价三个部分：

a)所述特征提取是获取账户的总体指标特征和个体指标特征，组成特征向量；

c)所述风险评价将特征向量中每个分量的风险评分按照该向量之间的关系以及向量的重要性进行加权求和，得到针对该账户的风险评分结果，并将该风险评分结果依据设定风险等级阈值得到定性的风险评价结果。

6.根据权利要求5所述的方法，其特征在于，所述风险等级阈值依据一段历史区间中所有风险评分结果的分布情况进行设定，形成不同的风险等级，然后将用户风险评分值与风险等级对应的评分区间进行比较，如果落在该区间中，则用户被划定为该风险级别。

7.一种电子银行账户欺诈行为及风险检测系统，其特征在于，包括数据收集与预处理子系统、模型构建子系统以及风险分析子系统；

所述数据收集与预处理子系统，利用数据收集工具实时、批量地收集关系数据库中的数据，存入分布式数据存储平台中，并分别以会话和用户为单位进行数据预处理；

所述模型构建子系统，使用大数据工具中的分布式计算技术对预处理后的数据生成进行总体指标与个体指标的提取与训练，并依据指标特征的分布划分阈值区间，依据阈值生成不同的风险评分模型，并依据策略对该模型进行动态更新；

所述风险分析子系统，依据总体模型与该账户的个体模型得到当前账户每个指标的风险评分，并依据指标之间的关系和指标重要程度设定累加权重从而生成该账户的总风险评分，该总体风险评分与风险等级划分相对应，从而得到当前账户的风险级别，并最终依据账户的风险级别对账户交易行为进行响应。

8.根据权利要求7所述的系统，其特征在于，所述分布式数据存储平台采用主流大数据工具搭建，能够支持海量异构数据的存储和查询；所述预处理过程使用分布式计算技术以会话和用户为主键对数据进行整理，整理后的数据能够直接被用来进行模型构建以及风险分析。

9.根据权利要求7所述的系统，其特征在于，所述动态更新包括：各类型指标阈值区间的设置依据新补充的数据进行定期的更新扩充；所述新补充的数据为上次训练数据之后的新数据，所述更新扩充是对总体指标以及个体指标特征区间进行校正。

10.根据权利要求7所述的系统，其特征在于，所述对账户交易行为进行响应包括：阻断交易、电话确认后恢复交易、执行交易。