CN105335354A - 欺诈信息识别方法和装置 - Google Patents

Abstract

本发明公开了欺诈消息识别方法和装置。该欺诈消息识别方法，包括:从接收到的消息中提取联系信息；以及判断该联系信息是否满足变形条件，若满足，则将该消息标记为欺诈消息，若不满足，将联系信息与黑名单库和白名单库进行对比，若提取到的联系信息命中所述黑名单库，将所述消息标记为欺诈消息，并根据联系信息的类型将联系信息通知给相关服务提供者；若联系信息命中白名单库，则放行所述消息；否则根据所述联系信息的类型将所述联系信息发送给相关服务提供者，若服务提供者确定该联系信息由欺诈行为，将此消息标记为欺诈消息，并将联系信息、该消息的发送方号码加入垃圾消息过滤规则中，并通知该消息接收者该消息存在欺诈风险。

Description

欺诈信息识别方法和装置

技术领域

本发明涉及通信技术领域，尤其涉及欺诈信息识别方法和装置。

背景技术

随着电信技术的快速发展，短信业务呈现爆发性增长和普及，短信已成为人们日常生活中一种重要的交流方式和信息传递途径，但随之而来的垃圾短信也急剧泛滥，大量的垃圾短信给用户带来了困扰。而且近年来，大量电信欺诈事件都以垃圾短信为载体，给用户及运营商带来危害，甚至严重影响到国家安全和社会稳定。含电信欺诈信息的垃圾短信中往往携带不法分子的联系信息，如手机号码、微信号、QQ号、网址、银行帐号等，诱骗用户去主动联系不法分子、查询不法信息、下载木马、转账，这往往会给用户造成经济损失，远超过单纯垃圾短信的危害。因此，必须有效治理以垃圾短信为载体的电信欺诈事件以保障手机用户、运营商的利益，促进移动通信行业和整个社会的和谐发展。

目前的垃圾短信过滤技术重点在于关键词匹配、频次检测、黑白名单识别，但并不能很好地识别含有欺诈内容的短信(欺诈短信)。而目前的电信欺诈识别技术仅是针对主叫号码进行治理，但却不能针对短信内容中的非法者联系信息进行有效识别和治理。因此，如何快速有效识别利用短信实施电信欺诈就成为了一个亟需解决的问题。

发明内容

本发明的目的在于提供一种能够快速有效地识别利用短信实施电信欺诈的解决方案。

根据本发明的一个方面，提供了一种欺诈消息识别方法，包括以下步骤:从接收到的消息中提取联系信息；以及判断提取到的联系信息是否满足预先定义的变形条件，若满足，则将该消息标记为欺诈消息。

优选地，该欺诈消息识别方法还包括以下步骤：若判断出提取到的联系信息不满足预先定义的变形条件，则将提取到的联系信息与预先建立的黑名单库和白名单库进行对比，其中若提取到的联系信息命中所述黑名单库，则将所述消息标记为欺诈消息，并根据所述联系信息的类型将所述联系信息通知给相关服务提供者；并且若提取到的联系信息命中预先建立的白名单库，则放行所述消息。

优选地，该欺诈消息识别方法还包括以下步骤：若提取到的联系信息没有命中所述黑名单库和白名单库，则根据所述联系信息的类型将所述联系信息通知给相关服务提供者。

优选地，该欺诈消息识别方法还包括以下步骤：在将所述联系信息发送给相关服务提供者之后，向所述服务提供者查询所述联系信息是否有欺诈行为，如果有，则将所述消息标记为欺诈消息，并将所述联系信息、所述消息的发送方号码加入垃圾消息过滤规则中，并通知所述消息接收者该消息存在欺诈风险。

优选地，该欺诈消息识别方法还包括以下步骤：如果所述服务提供者确认所述联系信息没有欺诈行为，则放行此消息，并将所述消息的内容、发送方号码写入日志。

优选地，该欺诈消息识别方法还包括以下步骤：定期更新所述黑名单库和白名单库；定期检查所述日志；以及若发现欺诈消息，则将该欺诈消息中的联系信息通知给相关服务提供者。

优选地，该欺诈消息识别方法还包括以下步骤：当所述消息被标记为欺诈消息时，将所述联系信息和所述消息的发送方号码加入所述黑名单库，其中，当所述联系信息存在变形时，将所述联系信息回复成未变形格式，并将其加入所述黑名单库。

其中，所述消息是短信，且所述联系信息包括电话号码、手机号码、QQ号码、微信号码、网址、银行账号。

其中，所述变形条件包括构成以相近似的其他字符代替联系信息中的一个或多个字符、在联系信息中插入特殊字符、和以大写字母代替小写字母。

根据本发明的另一方面，提供了一种欺诈消息识别装置，包括内容处理模块，其中，所述内容处理模块包括:提取单元，其从接收到的消息中提取联系信息；以及判断单元，其判断提取到的联系信息是否满足预先定义的变形条件，若满足，则将该消息标记为欺诈消息。

优选地，该欺诈消息识别装置还包括：异常检测模块，若所述判断单元判断出提取到的联系信息不满足预先定义的变形条件，所述异常检测模块将提取到的联系信息与预先建立的黑名单库和白名单库进行对比，其中若提取到的联系信息命中所述黑名单库，所述异常检测模块将所述消息标记为欺诈消息，并根据所述联系信息的类型将所述联系信息通知给相关服务提供者；并且若提取到的联系信息命中预先建立的白名单库，则所述异常检测模块放行所述消息。

其中，若提取到的联系信息没有命中所述黑名单库和白名单库，则所述异常检测模块根据所述联系信息的类型将所述联系信息通知给相关服务提供者。

其中，在将所述联系信息提供给相关服务提供者之后，所述异常检测模块向所述服务提供者查询所述联系信息是否有欺诈行为，如果有，则将所述消息标记为欺诈消息，并将所述联系信息、所述消息的发送方号码加入垃圾消息过滤规则中，并通知所述消息接收者该消息存在欺诈风险。

其中，如果所述服务提供者确认所述联系信息没有欺诈行为，所述异常检测模块放行该消息，并将所述消息的内容、发送方号码写入日志。

优选地，该欺诈消息识别装置还包括：更新模块，其定期更新所述黑名单库和所述白名单库并且定期检查所述日志，以及若发现欺诈消息，则将该欺诈消息中的联系信息通知给相关服务提供者。

其中，当所述消息被标记为欺诈消息时，所述异常检测模块将所述联系信息和所述消息的发送方号码加入所述黑名单库，其中，当所述联系信息存在变形时，所述异常检测模块将所述联系信息回复成未变形格式，并将其加入所述黑名单库。

其中，所述消息是短信，且所述联系信息包括电话号码、手机号码、QQ号码、微信号码、网址、银行账号。

其中,所述变形条件包括构成以相近似的其他字符代替联系信息中的一个或多个字符、在联系信息中插入特殊字符、和以大写字母代替小写字母。

本发明的技术方案能够快速有效地识别利用短信实施的电信欺诈，而且，本发明的技术方案仅对短信内容中的联系信息进行提取，并依据提取到的联系信息来确定是否存在欺诈，而不对短信的其他内容进行提取，从而更好的保护了用户的隐私，此外，避免了关键字匹配方式的繁琐。本发明的技术可以在用户终端侧或运营商的垃圾短信监控系统处部署，既可以单独使用，也可以与其他垃圾短信过滤技术组合使用，来提高识别效率与识别准确率；也可以将短信中的涉及欺诈的联系信息与互联网、金融行业共享，从而更好地保护用户、运营商的权益。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

下面结合附图和具体实施方式对本发明的技术方案作进一步具体说明。

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是示出根据本发明一个实施例的欺诈信息识别装置的框图；

图2是示出根据本发明另一个实施例的基于短信内容分析和共享电信欺诈的系统的框图；以及

图3是示出根据本发明一个实施例的由图1所示的欺诈信息识别装置实现的欺诈信息识别方法的流程图。

具体实施方式

下面将结合附图来详细说明本发明的实施例。

图1是示出根据本发明一个实施例的欺诈信息识别装置的框图。如图1所示，欺诈消息识别装置100包括内容处理模块102，其中，所述内容处理模块102包括:提取模块104，其从接收到的消息中提取联系信息；以及判断模块106，其判断提取到的联系信息是否满足预先定义的变形条件，若满足，则将该消息标记为欺诈消息。

该欺诈消息识别装置还包括：异常检测模块108，若所述判断模块106判断出提取到的联系信息不满足预先定义的变形条件，所述异常检测模块108将提取到的联系信息与预先建立的黑名单库和白名单库进行对比其中，若提取到的联系信息命中所述黑名单库，则所述异常检测模块108将所述消息标记为欺诈消息，并根据所述联系信息的类型将所述联系信息通知给相关服务提供者；并且若提取到的联系信息命中预先建立的白名单库，则所述异常检测模块108放行所述消息。

此外，若提取到的联系信息没有命中所述黑名单库和白名单库，则所述异常检测模块108根据所述联系信息的类型将所述联系信息通知给相关服务提供者。在将所述联系信息提供给相关服务提供者之后，异常检测模块108向所述服务提供者查询所述联系信息是否有欺诈行为，如果有，则将所述消息标记为欺诈消息，并将所述联系信息、所述消息的发送方号码加入垃圾消息过滤规则中，并通知所述消息接收者该消息存在欺诈风险。

如果所述服务提供者确认所述联系信息没有欺诈行为，所述异常检测模块108放行该消息，并将所述消息的内容、发送方号码写入日志。

该欺诈消息识别装置还包括：更新模块110，其定期更新所述黑名单库、白名单库和定期检查所述日志，以及若发现欺诈消息，则将该欺诈消息中的联系信息通知给相关服务提供者。

当所述消息被标记为欺诈消息时，所述异常检测模块108将所述联系信息和所述消息的发送方号码加入所述黑名单库，其中，当所述联系信息存在变形时，所述内容处理模块102将所述联系信息恢复成未变形格式，并将其加入所述黑名单库。

在该实施例中，所述消息为短信，并且所述联系信息包括电话号码、手机号码、QQ号码、微信号码、网址、银行账号等。

在该实施例中，所述变形条件包括构成以相近似的其他字符代替联系信息中的一个或多个字符(如以l或i替换1，诸如将186xxx1xxxx写成186xxxixxxx)、在联系信息中插入特殊字符、和以大写字母代替小写字母。

根据本发明的另一个实施例，如图2所示，提供了一种基于短信内容分析和共享电信欺诈的系统200，其包括：短信内容处理模块202、异常检测模块204、查询模块206、预警模块208、管理模块210和合作伙伴模块212。

短信内容处理模块202实时扫描短信流量，对短信进行逐字节的处理，识别短信中包含的联系信息及类型，检查短信是否使用了变形、逃避等手段。具体地，短信内容处理模块202执行如下处理：判断短信内容中是否包含联系信息(如电话号码、手机号码、网址、银行账号、微信、QQ等)，如果不包含联系信息，则结束处理；如果包含联系信息，则识别该联系信息是否有变形手段，如l或i替换1、加入了特殊字符、网址全部大写等，如果该联系信息有变形手段，则将联系信息恢复成变形前格式，并将此短信标注为欺诈短信，并记录标注理由变形，将联系信息和标注理由提交给合作伙伴模块212，将联系信息和该短信的发送方号码和接收方号码发送给预警模块208，并结束处理，如果该联系信息没有变形手段，则将联系信息和短信发送方号码和接收方号码发送给异常检测模块204。

异常检测模块204负责检查当前短信是否具有欺诈特征。具体的，异常检测模块204将从短信内容处理模块202接收到的联系信息与预先建立的黑名单库和白名单库进行比较，如果联系信息命中黑名单库，则异常检测模块204将当前短信标注为欺诈短信，同时根据联系信息类型，通知合作伙伴模块212；如果联系信息命中白名单库，则异常检测模块204放行当前短信，将短信标注为正常。此外，如果从短信内容处理模块202接收到的联系信息没有命中黑名单库和白名单库，则异常检测模块204将联系信息提交到查询模块206，并从查询模块206接收查询结果。如果查询结果将短信标注欺诈短信，则常检测模块204将此短信发送方号码和接收号码及联系信息提交给预警模块208，否则放行此短信，并将短信内容、短信发送方号码和接收方号码写入日志。

查询模块210在接收到来自异常检测模块204的联系信息后，首先确定该联系信息的类型，即，判断该联系信息是电话号码、手机号码、QQ号码、微信号码、网址、银行账号等中的哪一种，并且根据联系信息的类型，将联系信息发送给相应的服务提供商。例如，如果联系信息是手机号码或固定电话号码，则查询模块210将此号码提交给运营商号码查询模块，同时查询百度、Sohu开放的骚扰号码查询接口，如果返回的结果为该联系信息是骚扰电话，则查询模块210将当前短信标注为欺诈短信；如果联系信息是银行卡号，则将查询模块210此卡号提交给银联接口进行查询，如果银行返回查询结果表明该银行卡号为可疑卡号，则查询模块210将此短信标注为欺诈短信。如果联系信息是微信号或QQ号，则查询模块210将此联系信息提交给腾讯公司进行查询，如果腾讯公司返回的查询结果表明该联系信息是可疑用户，则查询模块210将此短信标注为欺诈短信。如果联系信息是网址，则查询模块210将此联系信息提交给反欺诈网站联盟进行查询，如果反欺诈网站联盟返回的查询结果表明该联系信息为可疑用户，则查询模块210将此短信标注为欺诈短信。此外，查询模块210将短信标注结果返回给异常检测模块204。

对于异常检测模块204提交的欺诈短信，预警模块208将该短信的发送方号码加入垃圾短信列表，运营商对此可以通过将发送方号码加入垃圾短信过滤网关黑名单或以人工核查的方式进行处理。运营商可以选择性地向短信接收号码发送提醒短信，告知可能的电信欺诈风险。

管理模块210定期更新黑名单库和白名单库中的号码、网址、账号信息等，以去掉已经作废的内容。

定期人工检查异常检测模块形成的含联系信息的短信日志，管理人员将离线验证联系信息及短信内容，如被证实为欺诈短信，则将相应信息填入黑名单规则中，同时根据联系信息类型，通知合作伙伴模块212，告知此联系信息需要重点监控风险，同时将此短信的发送方号码和接收方号码及联系信息提交给预警模块208。

合作伙伴模块212是设置用于在银行、360公司、腾讯公司等行业合作伙伴处和运营商之间实现互联的接口，其支持两种功能：运营商提供联系信息，向相应的合作伙伴查询此联系信息对应的用户是否为欺诈用户；以及运营商提供被证实为欺诈短信中的联系信息，使合作伙伴接收此信息。此外，合作伙伴还可以选择将上述联系信息直接写入系统或经过人工审核再进行写入。

在该实施例中的方案中，不保留用户短信内容，仅对短信内容中的联系信息进行提取和分析，因此不会侵犯用户隐私，同时具有较快的处理速度，可以与其他垃圾短信过滤方案结合使用，增加整体系统的过滤效率。该实施例中的基于短信内容分析和共享电信欺诈的系统200可以部署在用户终端上，也可部署在运营商垃圾短信过滤网关处。

根据本发明的另一个实施例，提供了一种有前述的基于短信内容分析和共享电信欺诈的系统200执行的基于短信内容分析和共享电信欺诈的识别方法300，该识别方法包括如下步骤：

步骤301，初始化，构建黑名单库、白名单库、联系信息表；

步骤302，接收一条新的短信，从该短信的内容中提取联系信息；

步骤303，判断联系信息是否满足事先定义的垃圾短信变形条件，如果满足，则将此短信标识为欺诈短信，并执行步骤306；否则将联系信息和该短信的发送方号码、接收方号码发送给异常检测模块204，并执行步骤304；

步骤304，异常检测模块204将提取到的联系信息与事先建立的黑名单库和白名单库进行对比，如果命中黑名单库，则将当前短信标注为欺诈短信，并执行步骤308；如果命中白名单库，执行步骤309；

步骤305，如果联系信息均为命中黑名单库和白名单库，则异常检测模块204通过查询模块206向合作伙伴查询该联系信息是否有欺诈行为，如果有欺诈行为，则将此短信的发送方号码和接收方号码以及该联系信息提交给预警模块208，并执行步骤306；否则放行此短信，并将短信的内容、短信发送方号码和接收方号码写入日志，并执行步骤309；

步骤306，预警模块208将当前短消息的发送方号码及联系信息加入垃圾短信过滤规则中，并通知短信接收用户该段信存在欺诈风险；

步骤307，管理模块210定期更新黑名单库和白名单库，定期检查日志，如发现欺诈短信，则执行步骤308；

步骤308，将联系信息通知给相关合作伙伴；

步骤309，结束当前短消息的处理，准备接收下一封短消息。

本发明的技术方案能够快速有效地识别利用短信实施的电信欺诈，而且，本发明的技术方案仅对短信内容中的联系信息进行提取，并依据提取到的联系信息来确定是否存在欺诈，而不对短信的其他内容进行提取，从而更好的保护了用户的隐私，此外，避免了关键字匹配方式的繁琐。本发明的技术可以在用户终端侧或运营商的垃圾短信监控系统处部署，既可以单独使用，也可以与其他垃圾短信过滤技术组合使用，来提高识别效率与识别准确率；也可以将短信中的涉及欺诈的联系信息与互联网、金融行业共享，从而更好地保护用户、运营商的权益。

可以理解的是，以上实施方式仅仅是为了说明本发明的原理而采用的示例性实施方式，然而本发明并不局限于此。对于本领域内的普通技术人员而言，在不脱离本发明的精神和实质的情况下，可以做出各种变型和改进，这些变型和改进也视为本发明的保护范围。

Claims (18)

1.一种欺诈消息识别方法，包括以下步骤:

从接收到的消息中提取联系信息；以及

判断提取到的联系信息是否满足预先定义的变形条件，若满足，则将该消息标记为欺诈消息。

2.根据权利要求1所述的识别方法，还包括以下步骤：

若判断出提取到的联系信息不满足预先定义的变形条件，则将提取到的联系信息与预先建立的黑名单库和白名单库进行对比，其中

若提取到的联系信息命中所述黑名单库，则将所述消息标记为欺诈消息，并根据所述联系信息的类型将所述联系信息通知给相关服务提供者；并且

若提取到的联系信息命中预先建立的白名单库，则放行所述消息。

3.根据权利要求2所述的识别方法，还包括以下步骤：

若提取到的联系信息没有命中所述黑名单库和白名单库，则根据所述联系信息的类型将所述联系信息发送给相关服务提供者。

4.根据权利要求3所述的识别方法，还包括以下步骤：

在将所述联系信息发送给相关服务提供者之后，向所述服务提供者查询所述联系信息是否有欺诈行为，如果有，则将所述消息标记为欺诈消息，并将所述联系信息、所述消息的发送方号码加入垃圾消息过滤规则中，并通知所述消息接收者该消息存在欺诈风险。

5.根据权利要求4所述的识别方法，还包括以下步骤：

如果所述服务提供者确认所述联系信息没有欺诈行为，则放行此消息，并将所述消息的内容、发送方号码写入日志。

6.根据权利要求5所述的识别方法，还包括以下步骤：

定期更新所述黑名单库和白名单库；

定期检查所述日志；以及

若发现欺诈消息，则将该欺诈消息中的联系信息通知给相关服务提供者。

7.根据权利要求2至6中任一项所述的识别方法，还包括以下步骤：

当所述消息被标记为欺诈消息时，将所述联系信息和所述消息的发送方号码加入所述黑名单库，其中，当所述联系信息存在变形时，将所述联系信息回复成未变形格式，并将其加入所述黑名单库。

8.根据权利要求1至6中任一项所述的识别方法，其中

所述消息是短信，且所述联系信息包括电话号码、手机号码、QQ号码、微信号码、网址、银行账号。

9.根据权利要求8所述的识别方法，其中

所述变形条件包括构成以相近似的其他字符代替联系信息中的一个或多个字符、在联系信息中插入特殊字符、和以大写字母代替小写字母。

10.一种欺诈消息识别装置，包括内容处理模块，其中所述内容处理模块包括:

提取单元，其从接收到的消息中提取联系信息；以及

判断单元，其判断提取到的联系信息是否满足预先定义的变形条件，若满足，则将该消息标记为欺诈消息。

11.根据权利要求10所述的识别装置，还包括：

异常检测模块，若所述判断单元判断出提取到的联系信息不满足预先定义的变形条件，所述异常检测模块将提取到的联系信息与预先建立的黑名单库和白名单库进行对比，其中

若提取到的联系信息命中所述黑名单库，所述异常检测模块将所述消息标记为欺诈消息，并根据所述联系信息的类型将所述联系信息通知给相关服务提供者；并且

若提取到的联系信息命中预先建立的白名单库，则所述异常检测模块放行所述消息。

12.根据权利要求11所述的识别装置，其中，

若提取到的联系信息没有命中所述黑名单库和白名单库，则所述异常检测模块根据所述联系信息的类型将所述联系信息发送给相关服务提供者。

13.根据权利要求12所述的识别装置，其中，

在将所述联系信息发送给相关服务提供者之后，所述异常检测模块向所述服务提供者查询所述联系信息是否有欺诈行为，如果有，则将所述消息标记为欺诈消息，并将所述联系信息、所述消息的发送方号码加入垃圾消息过滤规则中，并通知所述消息接收者该消息存在欺诈风险。

14.根据权利要求13所述的识别装置，其中，

如果所述服务提供者确认所述联系信息没有欺诈行为，所述异常检测模块放行该消息，并将所述消息的内容、发送方号码写入日志。

15.根据权利要求14所述的识别装置，还包括：更新模块，其定期更新所述黑名单库和所述白名单库并且定期检查所述日志，以及若发现欺诈消息，则将该欺诈消息中的联系信息通知给相关服务提供者。

16.根据权利要求11至15中任一项所述的识别装置，其中，

当所述消息被标记为欺诈消息时，所述异常检测模块将所述联系信息和所述消息的发送方号码加入所述黑名单库，其中，当所述联系信息存在变形时，所述异常检测模块将所述联系信息回复成未变形格式，并将其加入所述黑名单库。

17.根据权利要求10至15中任一项所述的识别装置，其中，

所述消息是短信，且所述联系信息包括电话号码、手机号码、QQ号码、微信号码、网址、银行账号。

18.根据权利要求17所述的识别装置，其中,

所述变形条件包括构成以相近似的其他字符代替联系信息中的一个或多个字符、在联系信息中插入特殊字符、和以大写字母代替小写字母。