CN105741114A - 计算机盗帐户识别方法及系统 - Google Patents

Abstract

本发明涉及用户安全技术，公开了一种计算机盗帐户识别方法及系统。在本发明的方法和系统中，不但从可疑交易的数据中提取出案发时特征数据，而且提取出案发后特征数据来进行得分计算，以确认该可疑交易是否为盗账户案件，充分考虑案件发生前后的特征变化，以突出盗用者模拟被盗者行为也无法回避的特征，从而提高识别准确率和覆盖率。

Description

计算机盗帐户识别方法及系统

技术领域

本发明涉及用户安全技术，特别涉及计算机盗帐户识别方法及系统。

背景技术

在通过第三方支付平台的交易中，买方选购商品，使用第三方平台提供的账户进行支付，由第三方支付平台通知卖家发货；买方检验物品后，就可以通知付款给卖家，第三方平台再将款项转至卖家账户。在这种互联网交易之中，存在两种盗用类型：盗卡和盗账户。

从盗取余额购买网游虚拟物品再倒卖，再到将余额转到自己银行卡，盗用者的作案行为五花八门。而且，收购信息、伪造身份证、持假证办理银行卡和手机卡、盗取账户余额，如今的盗账户案件已经成为一个庞大的犯罪产业链。因此，大力打击盗账户犯罪团伙，成为互联网支付公司和公安机关的一大工作重点，然后，提高盗账户案件的定性识别性能是进行线下打击的前提条件和关键步骤。

然而，盗用者作案越来越“高明”，他们可以通过被盗者账户之前的交易记录，充分掌握被盗者的日常操作环境，从而修改作案时环境信息；通过了解被盗者之前的转账金额和频次特征，模拟被盗者行为。这种全新的作案手法给盗用案件的定性识别带来了极大的难度和挑战。

而现有的盗账户案件定性方法大都是基于案件发生时的异常操作行为特征，包括环境是否可靠、交易行为是否异常。但是，仅仅考虑盗用者的作案时的信息特征而采集的这些特性往往无法全面地描述整个作案的场景信息，进而无法全方面地构建属性特征，从而导致对案件的定性识别性能不佳，甚至产生了大量的错判和漏判。

因此，亟需提出一种新的识别方法来有效地甄别盗用案件。

发明内容

本发明的目的在于提供一种计算机盗帐户识别方法及系统，充分考虑案件发生前后的特征变化，提高识别准确率和覆盖率。

为解决上述技术问题，本发明的实施方式公开了一种计算机盗帐户识别方法，该方法包括以下步骤：

获取可疑交易的数据；

从可疑交易的数据中提取出可疑交易在第一设定时间段的案发时特征数据和案发后特征数据；

根据案发时特征数据和案发后特征数据计算得分；

判断得分是否大于第一阈值，若得分大于第一阈值，则确认可疑交易为盗帐户案件。

本发明的实施方式还公开了一种计算机盗账户识别系统，该系统包括：

第一获取模块，用于获取可疑交易的数据；

第一提取模块，用于从获取模块获取的可疑交易的数据中提取出可疑交易在第一设定时间段的案发时特征数据和案发后特征数据；

计算模块，用于根据第一提取模块提取的案发时特征数据和案发后特征数据计算得分；

判断模块，用于判断计算模块计算的得分是否大于第一阈值；以及

判定模块，用于若判断模块确认得分大于第一阈值，则确认可疑交易为盗帐户案件。

本发明实施方式与现有技术相比，主要区别及其效果在于：

在本发明中，不但从可疑交易的数据中提取出案发时特征数据，而且提取出案发后特征数据来进行得分计算，以确认该可疑交易是否为盗账户案件，充分考虑案件发生前后的特征变化，以突出盗用者模拟被盗者行为也无法回避的特征，从而提高识别准确率和覆盖率。

进一步地，通过删除数据项来判断是否存在销毁作案痕迹，可以在案件发生后及时识别出盗账户案件，提高识别效率。

进一步地，通过IP地址的信用级别来判断当前交易环境是否为黑环境，从而识别出潜在的盗账户案件，针对性强。

进一步地，考虑案发后的一些特征数据，可以在案件发生到报案期间提高案件识别率。

附图说明

图1是本发明第一实施方式中一种计算机盗帐户识别方法的流程示意图；

图2是本发明第一实施方式中案发时特征数据和案发后特征数据的示意图。

图3是本发明第一实施方式中一种计算机盗帐户识别方法中数据处理的流程示意图；

图4是本发明第一实施方式中一种计算机盗帐户识别方法中数据分析的流程示意图；

图5是本发明第一实施方式中一种计算机盗帐户识别方法的应用模式的示意图；

图6是本发明第二实施方式中一种计算机盗账户识别系统的结构示意图。

图7是本发明第二实施方式中一种计算机盗账户识别系统的结构示意图。

图8是本发明第二实施方式中一种计算机盗账户识别系统中构建模块的结构示意图。

具体实施方式

在以下的叙述中，为了使读者更好地理解本申请而提出了许多技术细节。但是，本领域的普通技术人员可以理解，即使没有这些技术细节和基于以下各实施方式的种种变化和修改，也可以实现本申请各权利要求所要求保护的技术方案。

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明的实施方式作进一步地详细描述。

本发明第一实施方式涉及一种计算机盗帐户识别方法。图1是该计算机盗帐户识别方法的流程示意图。如图1所示，该计算机盗帐户识别方法包括以下步骤：

在步骤101中，获取可疑交易的数据。

此后进入步骤102，从可疑交易的数据中提取出可疑交易在第一设定时间段的案发时特征数据和案发后特征数据。

此后进入步骤103，根据案发时特征数据和案发后特征数据计算得分。

此后进入步骤104，判断得分是否大于第一阈值，若得分大于第一阈值，则进入步骤105，否则结束本流程。

在步骤105中，确认可疑交易为盗帐户案件。

此后结束本流程。

在本实施方式中，不但从可疑交易的数据中提取出案发时特征数据，而且提取出案发后特征数据来进行得分计算，以确认该可疑交易是否为盗账户案件，充分考虑案件发生前后的特征变化，以突出盗用者模拟被盗者行为也无法回避的特征，从而提高识别准确率和覆盖率。

优选地，如图2所示，案发后特征数据可以包括是否存在销毁作案痕迹、案件发生前后的收支情况的差异性、嫌疑盗用者与资金收益方是否有后续的资金往来、是否多次卡边金额操作、案件发生后是否有找回密码操作、是否在特殊时段操作以及是否多次销赃操作等等。考虑案发后的一些特征数据，可以在案件发生到报案期间提高案件识别率。

案发时特征数据可以包括交易环境是否为黑环境、账户在过去一段时间内登录不同环境的次数、买家最近一段时间的交易习惯是否发生变化以及账户在交易环境下的交易特征是否发生变化等等。

此外，可以理解，在本发明的其他实施方式中，还可以融入除了上述特征数据外的新的特征数据来提升识别准确率和覆盖率。

在本发明的各个实施方式中，关于上述案发后特征数据和案发时特征数据的具体操作可以如下：设置表示案发前后收支差异的参数m，案发前后收支差异每增加一个量级，参数m加1，例如，如果案发前的支出为案发后的支出的1/10，则m设为1，如果案发前的支出为案发后的支出的1/100，则m设为2，依次类推；设置表示账户登录不同环境次数的参数n，账户登录不同环境次数每增加3次，参数n加1，例如，如果账户登录不同环境次数为4次，则设置n为1，如果账户登录不同环境次数为6次，则设置n为2；或者设置表示案件发生后是否有找回密码操作的参数k，若有找回密码操作，则设置参数k为1，否则参数k为0。然后，根据这些参数来计算得分，以判定该可疑交易是否为盗账户案件。可以理解，可以类似地设置表示其他案发后特征数据和案发时特征数据的参数，具体值也可以根据需要进行设置，不限于上述值。

以下分别以案发时特征数据和案发后特征数据中的交易环境是否为黑环境和是否存在销毁作案痕迹为例进行详细描述。

1.通过删除数据项来判断是否存在销毁作案痕迹，可以在案件发生后及时识别出盗账户案件，提高识别效率。具体地说：

案发后特征数据包括可疑交易在第一设定时间段的删除数据项。上述步骤103中包括以下子步骤：

根据可疑删除数据表对可疑交易在第一设定时间段的删除数据项进行识别并统计，得到可疑交易在第一设定时间段的可疑删除数据项的数量，可疑删除数据表限定了可疑删除数据项；

判断可疑删除数据项的数量是否大于第二阈值，若大于，则在得分中增加相应分数。

可以理解，可疑删除数据表可以根据需要进行设置，例如可疑删除数据表中可以包括订单删除、买卖家评价删除等可疑删除数据项。

2.通过网间互联协议(InternetProtocol，简称“IP”)地址的信用级别来判断当前交易环境是否为黑环境，从而识别出潜在的盗账户案件，针对性强。具体地说：

案发时特征数据包括可疑交易的IP地址。上述步骤103中包括以下子步骤：

在地址信用表中查询可疑交易的IP地址的信用级别，地址信用表限定了IP地址的信用级别；

至少部分地根据IP地址的信用级别计算得分。

此外，可以理解，该地址信用表根据IP地址的使用情况来设置信用级别，发生过盗账户案件的IP地址的信用级别较低。

作为可选实施方式，如图3所示，在步骤101前还包括以下步骤：

在步骤301中，获取所有历史交易的数据。

此后进入步骤302，从历史交易的数据中提取每一历史交易在第二设定时间段的案发时特征数据和案发后特征数据。

此后进入步骤303，对每一历史交易的案发时特征数据和案发后特征数据进行统计分析并建立识别模型。

此后结束本流程。

在步骤103中，上述得分通过该识别模型进行计算。

优选地，如图4所示，上述步骤303中包括以下子步骤：

在子步骤401中，对每一历史交易在第二设定时间段中缺失的案发时特征数据和案发后特征数据进行补齐。

此后进入子步骤402，去除案发时特征数据和案发后特征数据的离群数据点。

此后进入子步骤403，对案发时特征数据和案发后特征数据进行统计分布分析。

此后进入子步骤404，对案发时特征数据和案发后特征数据进行分散并进行回归建模。

此后结束本流程。

可以理解，识别模型可以根据实际需要进行建立，以适用不同类型的盗账户案件的识别。

由上述可以看到，建立盗账户案件的识别模型的前提是构建足够代表案件特征的特征集。如图2所示，本发明包含了做案时和做案后的行为信息，实现了360度全景特征描述。特别地，针对盗用者获取账户后，可模拟被盗者的操作环境和交易行为这一新特点，充分考虑案件发生前后的操作频率、固有属性的变化，突出盗用者模拟被盗者行为也无法回避的特征因子。通过提取案件发生到被盗者报案之间的破案黄金期的特性因子来提高效率和性能，这些新的特征因子包括嫌疑盗用者是否存在销毁作案痕迹；案件发生前后的收支情况的差异性(如账号从纯收入变为纯支出)；是否多次卡边金额操作；案件发生后是否有找回密码操作；嫌疑盗用者与资金收益方是否有后续的资金往来；是否在特殊时段操作以及是否多次销赃操作等等。

经过检验结果表明通过追踪案发后行为的特征融入，相比于现有的聚焦于案件发生时的特征因子的方法，本发明准确率和覆盖率都有不同程度的提高，体现了优良的性能。通过对嫌疑盗用者的案发后行为进行追踪分析，360度全景还原案件过程，大大提高了盗账户案件的定性识别，降低资金损失，保障用户安全。

在本发明一个优选例子中，图5示出了上述方法的一种应用模式，主要分为模型构建和预测应用。

从数据库中抓取过往案件/非案件的上述全特征信息，进行适当的数据最值分析、缺失值补齐和离群点去除等统计分析操作，基于woe和iv值连续变量分箱处理。完成这些数据准备后，即可进行盗账户案件定性的识别模型的构建和未知可疑案件的定性识别的预测应用。

在线应用时，需要提取案件任务信息、涉嫌交易信息和事件信息用于提取各特征。然后，根据识别模型获得得分来判断是否为盗帐户案件。最后，根据制定的赔付策略进行决策，确定是否赔付。

此外，在识别模型的上线应用时，随着盗用特征的变化，通过适时的识别模型迭代优化，融入新的特征因子来维持和提升识别模型的性能。

当然，在本发明的其他实施例中，也可以将上述特征数据用于其他应用模式中，也能达到提高识别准确率和覆盖率的效果，并不限于上述的应用模式。

本发明的各方法实施方式均可以以软件、硬件、固件等方式实现。不管本发明是以软件、硬件、还是固件方式实现，指令代码都可以存储在任何类型的计算机可访问的存储器中(例如永久的或者可修改的，易失性的或者非易失性的，固态的或者非固态的，固定的或者可更换的介质等等)。同样，存储器可以例如是可编程阵列逻辑(ProgrammableArrayLogic，简称“PAL”)、随机存取存储器(RandomAccessMemory，简称“RAM”)、可编程只读存储器(ProgrammableReadOnlyMemory，简称“PROM”)、只读存储器(Read-OnlyMemory，简称“ROM”)、电可擦除可编程只读存储器(ElectricallyErasableProgrammableROM，简称“EEPROM”)、磁盘、光盘、数字通用光盘(DigitalVersatileDisc，简称“DVD”)等等。

本发明第二实施方式涉及一种计算机盗账户识别系统。图6是该计算机盗账户识别系统的结构示意图。如图6所示，该计算机盗账户识别系统包括：

第一获取模块，用于获取可疑交易的数据。

第一提取模块，用于从第一获取模块获取的可疑交易的数据中提取出可疑交易在第一设定时间段的案发时特征数据和案发后特征数据。

计算模块，用于根据第一提取模块提取的案发时特征数据和案发后特征数据计算得分。

判断模块，用于判断计算模块计算的得分是否大于第一阈值。以及

判定模块，用于若判断模块确认得分大于第一阈值，则确认可疑交易为盗帐户案件。

在本实施方式的系统中，不但从可疑交易的数据中提取出案发时特征数据，而且提取出案发后特征数据来进行得分计算，以确认该可疑交易是否为盗账户案件，充分考虑案件发生前后的特征变化，以突出盗用者模拟被盗者行为也无法回避的特征，从而提高识别准确率和覆盖率。

优选地，如图2所示，案发后特征数据包括是否存在销毁作案痕迹、案件发生前后的收支情况的差异性、嫌疑盗用者与资金收益方是否有后续的资金往来、是否多次卡边金额操作、案件发生后是否有找回密码操作、是否在特殊时段操作以及是否多次销赃操作。考虑案发后的一些特征数据，可以在案件发生到报案期间提高案件识别率。

案发时特征数据包括交易环境是否为黑环境、账户在过去一段时间内登录不同环境的次数、买家最近一段时间的交易习惯是否发生变化以及账户在交易环境下的交易特征是否发生变化。

以下分别对案发时特征数据和案发后特征数据中的交易环境是否为黑环境和是否存在销毁作案痕迹为例进行详细描述。

1.通过删除数据项来判断是否存在销毁作案痕迹，可以在案件发生后及时识别出盗账户案件，提高识别效率。具体地说：

案发后特征数据包括可疑交易在第一设定时间段的删除数据项。

上述计算模块包括：

统计子模块，用于根据可疑删除数据表对可疑交易在第一设定时间段的删除数据项进行识别并统计，得到可疑交易在第一设定时间段的可疑删除数据项的数量，可疑删除数据表限定了可疑删除数据项。

判断子模块，用于判断统计子模块得到的可疑删除数据项的数量是否大于第二阈值。以及

第一计算子模块，用于若判断子模块确认可疑删除数据项的数量大于第二阈值，则在得分中增加相应分数。

此外，可以理解，可疑删除数据表可以根据需要进行设置，例如可疑删除数据表中可以包括订单删除、买卖家评价删除等可疑删除数据项。

2.通过IP地址的信用级别来判断当前交易环境是否为黑环境，从而识别出潜在的盗账户案件，针对性强。具体地说：

案发时特征数据包括可疑交易的IP地址。

计算模块包括：

查询子模块，用于在地址信用表中查询可疑交易的IP地址的信用级别，地址信用表限定了IP地址的信用级别。以及

第二计算子模块，用于至少部分地根据IP地址的信用级别计算得分。

此外，可以理解，该地址信用表根据IP地址的使用情况来设置信用级别，发生过盗账户案件的IP地址的信用级别较低。

作为可选实施方式，如图7所示，上述系统还包括：

第二获取模块，用于获取所有历史交易的数据。

第二提取模块，用于从第二获取模块获取的历史交易的数据中提取每一历史交易在第二设定时间段的案发时特征数据和案发后特征数据。以及

构建模块，用于对第二提取模块提取的每一历史交易的案发时特征数据和案发后特征数据进行统计分析并建立识别模型。

上述计算模块通过识别模型计算得分。

优选地，如图8所示，上述构建模块包括：

补齐子模块，用于对每一历史交易在第二设定时间段中缺失的案发时特征数据和案发后特征数据进行补齐。

去除子模块，用于去除案发时特征数据和案发后特征数据的离群数据点。

分析子模块，用于对案发时特征数据和案发后特征数据进行统计分布分析。以及

构建子模块，用于对案发时特征数据和案发后特征数据进行分散并进行回归建模。

第一实施方式是与本实施方式相对应的方法实施方式，本实施方式可与第一实施方式互相配合实施。第一实施方式中提到的相关技术细节在本实施方式中依然有效，为了减少重复，这里不再赘述。相应地，本实施方式中提到的相关技术细节也可应用在第一实施方式中。

需要说明的是，本发明各设备实施方式中提到的各模块都是逻辑模块，在物理上，一个逻辑模块可以是一个物理模块，也可以是一个物理模块的一部分，还可以以多个物理模块的组合实现，这些逻辑模块本身的物理实现方式并不是最重要的，这些逻辑模块所实现的功能的组合才是解决本发明所提出的技术问题的关键。此外，为了突出本发明的创新部分，本发明上述各设备实施方式并没有将与解决本发明所提出的技术问题关系不太密切的模块引入，这并不表明上述设备实施方式并不存在其它的模块。

综上，本发明在对盗账户案件进行定性时，不仅考虑交易环境是否可靠、交易的行为是否异常(包括频次和金额)等做案时的特性因子，更重要的是充分考虑了案发后续的操作行为特征因子。具体表现为嫌疑盗用者是否存在销毁作案痕迹，案件发生前后的收支情况的差异性，嫌疑盗用者与资金收益方是否有后续的资金往来，是否多次卡边金额操作，是否在特殊时段操作以及是否多次销赃操作等等。

通过提取案件发生到被盗者报案之间的破案黄金期的特性因子，实现了360度全景特征描述，全面地考虑案件发生时和案件发生后的异常操作行为，提高盗账户案件定性的性能。

需要说明的是，在本专利的权利要求和说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

虽然通过参照本发明的某些优选实施方式，已经对本发明进行了图示和描述，但本领域的普通技术人员应该明白，可以在形式上和细节上对其作各种改变，而不偏离本发明的精神和范围。

Claims (14)

1.一种计算机盗帐户识别方法，其特征在于，该方法包括以下步骤：

获取可疑交易的数据；

从所述可疑交易的数据中提取出所述可疑交易在第一设定时间段的案发时特征数据和案发后特征数据；

根据所述案发时特征数据和所述案发后特征数据计算得分；

判断所述得分是否大于第一阈值，若所述得分大于第一阈值，则确认所述可疑交易为盗帐户案件。

2.根据权利要求1所述的计算机盗帐户识别方法，其特征在于，所述案发后特征数据包括所述可疑交易在第一设定时间段的删除数据项；

所述“根据所述案发时特征数据和所述案发后特征数据计算得分”的步骤中包括以下子步骤：

根据可疑删除数据表对所述可疑交易在第一设定时间段的删除数据项进行识别并统计，得到所述可疑交易在第一设定时间段的可疑删除数据项的数量，所述可疑删除数据表限定了可疑删除数据项；

判断所述可疑删除数据项的数量是否大于第二阈值，若大于，则在所述得分中增加相应分数。

3.根据权利要求1所述的计算机盗帐户识别方法，其特征在于，所述案发时特征数据包括所述可疑交易的IP地址；

所述“根据所述案发时特征数据和所述案发后特征数据计算得分”的步骤中包括以下子步骤：

在地址信用表中查询所述可疑交易的IP地址的信用级别，所述地址信用表限定了IP地址的信用级别；

至少部分地根据所述IP地址的信用级别计算得分。

4.根据权利要求1所述的计算机盗帐户识别方法，其特征在于，所述案发后特征数据包括是否存在销毁作案痕迹、案件发生前后的收支情况的差异性、嫌疑盗用者与资金收益方是否有后续的资金往来、是否多次卡边金额操作、案件发生后是否有找回密码操作、是否在特殊时段操作以及是否多次销赃操作。

5.根据权利要求1所述的计算机盗帐户识别方法，其特征在于，所述案发时特征数据包括交易环境是否为黑环境、账户在过去一段时间内登录不同环境的次数、买家最近一段时间的交易习惯是否发生变化以及账户在交易环境下的交易特征是否发生变化。

6.根据权利要求1至5中任一项所述的计算机盗帐户识别方法，其特征在于，在所述获取可疑交易的数据的步骤前还包括以下步骤：

获取所有历史交易的数据；

从所述历史交易的数据中提取每一历史交易在第二设定时间段的案发时特征数据和案发后特征数据；以及

对每一历史交易的案发时特征数据和案发后特征数据进行统计分析并建立识别模型；

在根据所述案发时特征数据和所述案发后特征数据计算得分的步骤中，所述得分通过所述识别模型进行计算。

7.根据权利要求6所述的计算机盗帐户识别方法，其特征在于，对每一历史交易的案发时特征数据和案发后特征数据进行统计分析并建立识别模型的步骤中包括以下子步骤：

对每一历史交易在所述第二设定时间段中缺失的案发时特征数据和案发后特征数据进行补齐；

去除所述案发时特征数据和所述案发后特征数据的离群数据点；

对所述案发时特征数据和所述案发后特征数据进行统计分布分析；

对所述案发时特征数据和所述案发后特征数据进行分散并进行回归建模。

8.一种计算机盗账户识别系统，其特征在于，该系统包括：

第一获取模块，用于获取可疑交易的数据；

第一提取模块，用于从所述第一获取模块获取的可疑交易的数据中提取出所述可疑交易在第一设定时间段的案发时特征数据和案发后特征数据；

计算模块，用于根据所述第一提取模块提取的所述案发时特征数据和所述案发后特征数据计算得分；

判断模块，用于判断所述计算模块计算的得分是否大于第一阈值；以及

判定模块，用于若所述判断模块确认所述得分大于第一阈值，则确认所述可疑交易为盗帐户案件。

9.根据权利要求8所述的计算机盗账户识别系统，其特征在于，所述案发后特征数据包括所述可疑交易在第一设定时间段的删除数据项；

所述计算模块包括：

统计子模块，用于根据可疑删除数据表对所述可疑交易在第一设定时间段的删除数据项进行识别并统计，得到所述可疑交易在第一设定时间段的可疑删除数据项的数量，所述可疑删除数据表限定了可疑删除数据项；

判断子模块，用于判断所述统计子模块得到的可疑删除数据项的数量是否大于第二阈值；以及

第一计算子模块，用于若所述判断子模块确认所述可疑删除数据项的数量大于第二阈值，则在所述得分中增加相应分数。

10.根据权利要求8所述的计算机盗账户识别系统，其特征在于，所述案发时特征数据包括所述可疑交易的IP地址；

所述计算模块包括：

查询子模块，用于在地址信用表中查询所述可疑交易的IP地址的信用级别，所述地址信用表限定了IP地址的信用级别；以及

第二计算子模块，用于至少部分地根据所述IP地址的信用级别计算得分。

11.根据权利要求8所述的计算机盗账户识别系统，其特征在于，所述案发后特征数据包括是否存在销毁作案痕迹、案件发生前后的收支情况的差异性、嫌疑盗用者与资金收益方是否有后续的资金往来、是否多次卡边金额操作、案件发生后是否有找回密码操作、是否在特殊时段操作以及是否多次销赃操作。

12.根据权利要求8所述的计算机盗账户识别系统，其特征在于，所述案发时特征数据包括交易环境是否为黑环境、账户在过去一段时间内登录不同环境的次数、买家最近一段时间的交易习惯是否发生变化以及账户在交易环境下的交易特征是否发生变化。

13.根据权利要求8至12中任一项所述的计算机盗账户识别系统，其特征在于，所述系统还包括：

第二获取模块，用于获取所有历史交易的数据；

第二提取模块，用于从所述第二获取模块获取的历史交易的数据中提取每一历史交易在第二设定时间段的案发时特征数据和案发后特征数据；以及

构建模块，用于对所述第二提取模块提取的每一历史交易的案发时特征数据和案发后特征数据进行统计分析并建立识别模型；

所述计算模块通过所述识别模型计算所述得分。

14.根据权利要求13所述的计算机盗账户识别系统，其特征在于，所述构建模块包括：

补齐子模块，用于对每一历史交易在所述第二设定时间段中缺失的案发时特征数据和案发后特征数据进行补齐；

去除子模块，用于去除所述案发时特征数据和所述案发后特征数据的离群数据点；

分析子模块，用于对所述案发时特征数据和所述案发后特征数据进行统计分布分析；以及

构建子模块，用于对所述案发时特征数据和所述案发后特征数据进行分散并进行回归建模。