CN110839216A - 识别通讯信息诈骗的方法和装置 - Google Patents

Abstract

本发明实施例提供一种识别通讯信息诈骗的方法和装置。所述方法包括：检测指定时间段内的全量短信话单，输出第一列表，第一列表包括第一类疑似受骗号码以及第一类疑似受骗号码发生通讯的时间点；检测指定时间段内的全量上网话单，输出第二列表，第二列表包括第二类疑似受骗号码以及第二类疑似受骗号码发生通讯的时间点；检测指定时间段内的全量通话话单，输出第三列表，第三列表包括第三类疑似受骗号码以及第三类疑似受骗号码发生通讯的时间点；根据各列表中的疑似受骗号码以及各疑似受骗号码发生通讯的时间点识别出通讯信息诈骗事件。本发明实施例通过检测用户短信、上网和通话话单数据，能够提升通讯信息诈骗事件的识别覆盖率。

Description

识别通讯信息诈骗的方法和装置

技术领域

本发明实施例涉及通信技术领域，尤其涉及一种识别通讯信息诈骗的方法和装置。

背景技术

通讯信息诈骗是指犯罪分子使用电信网络，通过电话、网络或短信等方式，编造虚假信息，设置骗局，对受害人实施远程、非接触式诈骗，诱使受害人给犯罪分子转账的犯罪行为。通讯信息诈骗作为新型网络通信犯罪，作案手段多样、套路隐蔽，常通过多种通讯方式串联诈骗目标用户。例如，在典型的金融诈骗场景中，诈骗份子常通过短信发送恶意网址至潜在受骗用户，并电话诱导其登陆该恶意网址，填写用户的银行信息，最终将其财产转移。在此场景下，诈骗份子与受骗用户的通讯交互方式较多，但各通讯方式下的诈骗号码各不相同，且其号码及行为均不具明显规律。

现有的针对通讯信息诈骗的判别技术例如基于通话信令话单分析的判别技术，通过对用户在通话时产生的信令话单进行分析，统计特定诈骗场景下通话号码及呼叫行为的规律，判定是否为通讯信息诈骗行为。又如，基于通话语音语义分析的判别技术仅对通话过程的语音内容进行识别，分析已识别的关键字语义，判定是否为通讯信息诈骗行为。

在诈骗手段多样化、精准化，多诈骗业务链串联的背景下，现有的通讯信息诈骗的仅分析诈骗业务链中的某环节(如通话)的特定行为逻辑，分析维度单一，可识别出的受诈骗用户的数量和范围有限。

发明内容

针对现有技术问题，本发明实施例提供一种识别通讯信息诈骗的方法和装置。

一方面，本发明实施例提供一种识别通讯信息诈骗的方法，所述方法包括：

检测指定时间段内的全量短信话单，输出第一列表，所述第一列表包括第一类疑似受骗号码以及第一类疑似受骗号码发生通讯的时间点；

检测指定时间段内的全量上网话单，输出第二列表，所述第二列表包括第二类疑似受骗号码以及第二类疑似受骗号码发生通讯的时间点；

检测指定时间段内的全量通话话单，输出第三列表，所述第三列表包括第三类疑似受骗号码以及第三类疑似受骗号码发生通讯的时间点；

根据各列表中的疑似受骗号码以及各疑似受骗号码发生通讯的时间点识别出通讯信息诈骗事件。

另一方面，本发明实施例提供一种识别通讯信息诈骗的装置，所述装置包括：

短信检测单元，用于检测指定时间段内的全量短信话单，输出第一列表至识别单元，所述第一列表包括第一类疑似受骗号码以及第一类疑似受骗号码发生通讯的时间点；

网址检测单元，用于检测指定时间段内的全量上网话单，输出第二列表至识别单元，所述第二列表包括第二类疑似受骗号码以及第二类疑似受骗号码发生通讯的时间点；

通话检测单元，用于检测指定时间段内的全量通话话单，输出第三列表至识别单元，所述第三列表包括第三类疑似受骗号码以及第三类疑似受骗号码发生通讯的时间点；

所述识别单元，用于根据各列表中的疑似受骗号码以及各疑似受骗号码发生通讯的时间点识别出通讯信息诈骗事件。

另一方面，本发明实施例还提供一种电子设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述识别通讯信息诈骗的方法的步骤。

另一方面，本发明实施例还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如上述识别通讯信息诈骗的方法的步骤。

本发明实施例通过检测用户短信、上网及通话话单数据，从三个维度的数据综合判断通讯信息诈骗行为，根据检测出的号码在一定时间段发生接收群发短信、恶意网址访问以及异常通话行为的关联度，识别出不同程度的疑似受骗用户，能够提高识别通讯信息诈骗的准确率，以及提升诈骗事件识别覆盖率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施例提供的识别通讯信息诈骗的方法的流程示意图；

图2为本发明一实施例提供的检测指定时间段内的全量短信话单的方法的流程示意图；

图3为本发明一实施例提供的检测指定时间段内的全量上网话单的方法的流程示意图；

图4为本发明一实施例提供的检测指定时间段内的全量通话话单的方法的流程示意图；

图5为本发明一实施例提供的识别通讯信息诈骗的装置的结构示意图；

图6为本发明一实施例提供的电子设备的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1示出了本发明实施例提供的一种识别通讯信息诈骗的方法的流程示意图。

如图1所示，本发明实施例提供的识别通讯信息诈骗的方法具体包括以下步骤：

S11、检测指定时间段内的全量短信话单，输出第一列表，所述第一列表包括第一类疑似受骗号码以及第一类疑似受骗号码发生通讯的时间点；

本发明实施例从全量短信(如全省或全国)发送记录中检测短信发送方的号码和行为，筛选过滤出存在广撒网现象的疑似诈骗信息群发短信，将接收到该短信的号码作为第一类疑似受骗号码，将第一类疑似受骗号码和这些号码接收疑似诈骗短信的时间点保存在第一列表中。

S12、检测指定时间段内的全量上网话单，输出第二列表，所述第二列表包括第二类疑似受骗号码以及第二类疑似受骗号码发生通讯的时间点；

本发明实施例从全量上网日志记录(如全省或全国)中检测用户主动点击访问的连接网址，筛选过滤出主动点击访问过疑似恶意网址或钓鱼网站的用户号码，作为第二类疑似受骗号码，将第二类疑似受骗号码和这些号码访问疑似恶意网址的时间点保存在第二列表中。

S13、检测指定时间段内的全量通话话单，输出第三列表，所述第三列表包括第三类疑似受骗号码以及第三类疑似受骗号码发生通讯的时间点；

本发明实施例从全量通话话单(如全省或全国)中检测用户的通话行为，筛选过滤出与陌生号码存在异常通话行为的用户，作为第三类疑似受骗号码，将第三类疑似受骗号码和接收到这些号码的通话的时间点保存在第三列表中。

S14、根据各列表中的疑似受骗号码以及各疑似受骗号码发生通讯的时间点识别出通讯信息诈骗事件。

本发明实施例通过检测用户短信、上网及通话话单数据，从三个维度的数据综合判断通讯信息诈骗行为，根据检测出的号码在一定时间段发生接收群发短信、恶意网址访问以及异常通话行为的关联度，识别出不同程度的疑似受骗用户，能够提高识别通讯信息诈骗的准确率，以及提升诈骗事件识别覆盖率。

本发明实施例通过检测短信话单、上网话单和通话话单，仅检测用户号码和通讯行为，不涉及用户敏感信息，保证用户信息安全。

本发明实施例能够基于串联诈骗事件的多维度数据准确溯源通讯信息诈骗的完整业务链，有效提升诈骗事件识别覆盖率。

在上述实施例的基础上，S11具体包括：

获取所述短信话单中的发送方号码作为待检测号码；

根据正常短信业务接口白名单从所述待检测号码中剔除确认为正常短信业务接口类号码的发送方号码；

具体地，所述正常短信业务接口白名单包括银行、公检法等。

统计剩余的各待检测号码在所述指定时间段内对应的接收方不同号码总个数、接收方不同号码段总个数以及接收方平均每个号码段的不同号码个数，以及统计各待检测号码在所述指定时间段内的短信回复率；

具体地，指定时间段内待检测号码对应的所有短信接收方个人号码(11位)，以号码前7位作为一个号段，统计接收方不同号码总个数、不同号段总个数，以及接收方平均每个号段的不同号码个数，平均每个号码段的不同号码个数＝接收方不同号码总个数/接收方不同号段总个数，以及统计时间内待检测号码的短信回复率，短信回复率＝有回复记录的短信发送量/短信发送总量。

当所述待检测号码对应的接收方不同号码总个数且接收方不同号码段总个数大于第一指定阈值，或者所述待检测号码对应的所述接收方平均每个号码段的不同号码个数大于第二阈值，或者所述待检测号码在所述指定时间段内的短信回复率小于第三阈值，判定所述待检测号码为疑似诈骗号码；

具体地，广撒网疑似诈骗短信的判断条件包括：接收方不同号码总个数、不同号段总个数均大于指定阈值；接收方平均每个号段的不同号码个数大于指定阈值；发送方的短信回复率低于指定阈值。若待检测号码命中以上任意一个条件，则判断待检测号码的发送短信属于疑似诈骗信息群发短信。

根据接收方号码在接收到所述疑似诈骗号码发送的短信的时间点前n天的通话话单和短信话单判断接收方号码与所述疑似诈骗号码是否属于陌生关系；

具体地，提取接收方号码在接收到疑似群发短信前的历史n天通话及短信记录，若该接收方号码与疑似诈骗号码历史n天内均无通话或短信记录，则对于接收方号码而言该疑似诈骗号码属于陌生关系。

当接收方号码与所述疑似诈骗号码属于陌生关系时，判定所述接收方号码为第一类疑似受骗号码，所述接收方号码接收所述疑似诈骗号码的短信时间为第一类疑似受骗号码发生通讯的时间点；

将所述第一类疑似受骗号码以及第一类疑似受骗号码发生通讯的时间点保存至第一列表。

图2示出了本发明实施例提供的检测指定时间段内的全量短信话单的方法的流程示意图。

如图2所示，本发明实施例提供的检测指定时间段内的全量短信话单的方法具体包括以下步骤：

提取检测时间段t内短信话单，通过对比正常短信业务端口白名单，剔除已确认的正常短信业务端口类号码，将余下的短信发送方号码作为待检测号码；

检测t时间内待检测号码对应的所有短信接收方个人号码(11位)，以号码前7位作为一个号段，统计接收方不同号码总个数、不同号段总个数，以及接收方平均每个号段的不同号码个数(平均每个号码段的不同号码个数＝接收方不同号码总个数/接收方不同号段总个数)；

计算t时间内待检测号码的短信回复率(短信回复率＝有回复记录的短信发送量/短信发送总量)；

判断待检测号码是否命中广撒网疑似诈骗短信的判断条件，如果命中继续进行检测，如果没有命中，返回到第一步；

提取接收方号码在接收到疑似群发短信前的历史n天通话及短信记录；

判断接收方与发送方是否属于陌生关系，如果不是陌生关系，结束流程，如果判断为陌生关系，进行下一步骤；

判断接受方号码属于疑似受骗号码，输出号码及短信接收时间。

在上述实施例的基础上，S12具体包括：

根据所述上网话单获取用户主动访问的连接网址作为待检测网址；

根据已知的恶意网址黑名单库确定所述待检测网址中的恶意网址；

具体地，提取检测时间段内上网话单，将用户主动点击访问的链接网址与已知的恶意网址黑名单库(可来源于公安案情、用户投诉、用户标记等)进行匹配。如果命中黑名单列表，则判断该用户属于疑似受骗用户。

获取剩余的各待检测网址的网页内容关键词；

具体地，通过爬虫技术获取访问网址的网页内容，爬取待检测网址、已知正常网址白名单及恶意网址黑名单的网页信息，从爬取结果中的keyword字段提取该网页的关键词列表。

计算待检测网址的网页内容关键词与已知正常网址白名单或恶意网址黑名单中各网址的网页内容关键词之间的相似度；

具体地，计算提取到的网页内容关键词与已知正常网页白名单(如公检法、电商官方网站)或恶意网址黑名单的关键词相似度。

当计算出的相似度大于第四阈值时，对应的待检测网址确定为恶意网址；

判定访问所述恶意网址的用户号码为第二类疑似受骗号码，访问所述恶意网址的时间为第二类疑似受骗号码发生通讯的时间点；

将所述第二类疑似受骗号码以及第二类疑似受骗号码发生通讯的时间点保存至第二列表。

图3示出了本发明实施例提出的检测指定时间段内的全量上网话单的方法的流程示意图；

参照图3，本发明实施例提出的检测指定时间段内的全量上网话单的方法具体包括以下步骤：

提取检测时间段t内上网话单；

提取用户主动点击的连接网址；

根据恶意网址黑名单库判断网址是否命中黑名单，如果命中黑名单，输出访问网址的号码以及访问时间，否则继续进行检测；

通过爬虫技术提取访问网址的页面内容关键词；

根据已知正常网页白名单的内容关键词和已知恶意网址黑名单的内容关键词计算待检测网页与已知正常网页白名单或恶意网址黑名单的内容关键词相似度；

判断关键词相似度是否大于指定阈值，若不大于阈值，结束流程，若大于阈值进行下一步骤；

判定访问网址用户为疑似受骗用户，输出访问网址的号码及访问时间。

具体地，所述计算待检测网址的网页内容关键词与已知正常网址白名单或恶意网址黑名单中各网址的网页内容关键词之间的相似度包括：

对已知正常网址白名单以及恶意网址黑名单中各网址的网页内容关键词进行去重排序，建立全量关键词表；

具体地，全量关键词表的格式为(关键词1，关键词2，关键词3...关键词N)。

将待检测网址的网页内容关键词与全量关键词表中关键词进行对比，将在全量关键词表中出现的关键词的值设置为1，将在全量关键词表中未出现的关键词的值设置为0，建立待检测网址的关键词向量；

例如，待检测网页仅出现过全量关键词表中的关键词1与关键词3，则其关键词词向量为(1,0,1,0,0,0...0)。

将已知正常网址白名单或恶意网址黑名单中每个网址的网页内容关键词与所述全量关键词表中关键词进行对比，将在全量关键词表中出现的关键词的值设置为1，将在全量关键词表中未出现的关键词的值设置为0，建立多个样本的关键词向量；

具体地，与建立待检测网址的关键词向量的方法相同，对正常网址白名单中的每个网址、恶意网址黑名单中每个网址都建立关键词向量，作为样本的关键词向量。

计算所述待检测网址的关键词向量与各样本的关键词向量的余弦相似度，得到所述待检测网址的网页内容关键词与已知正常网址白名单或恶意网址黑名单中各网址的网页内容关键词之间的相似度。

将已知正常网址白名单及恶意网址黑名单作为样本集，遍历计算待检测网页与各样本的关键词词向量的余弦相似度，作为评价两者相似度的标准。余弦相似度计算公式如下：

对于待检测网页的关键词词向量A＝(A₁,A₂,...,A_n)，样本的关键词词向量B＝(B₁,B₂,...,B_n)，余弦相似度cosθ的计算公式为：

其中cosθ的取值范围为[0,1]。余弦相似度取值越趋近于0，表示这两个网页的相似程度越低；取值越趋近于1，表示这两个网页的相似程度越高，用户访问的越有可能是恶意网址。

在上述实施例的基础上，S13具体包括：

获取所述通话话单中通话时长大于第五阈值的通话记录；

具体地，通话时长大于一定时间的通话为有效通话。

根据各通话记录中的主叫号码和被叫号码在通话时间点前n天的通话话单和短信话单判断所述主叫号码和被叫号码是否属于陌生关系；

具体地，对于每一通长通话，若主叫号码与被叫号码在通话时间点前的历史n天内无通话记录，则判断两者属于陌生关系，继续进行检测；否则判断属于正常通话，结束检测。

当所述主叫号码和被叫号码为陌生关系时，将所述主叫号码和被叫号码作为待检测号码进行检测；

具体地，当主叫号码和被叫号码判断为陌生关系时，主叫和被叫都有可能是诈骗号码，因此将主叫号码和被叫号码均作为待检测号码继续进行检测。

如果所述待检测号码的尾号与已知正常号码相同或类似，或者属于不规则号码，或者在所述指定时间段内所述待检测号码的主叫次数大于第六阈值且主叫比例大于第七阈值，或者在所述指定时间段内所述待检测号码的接通率小于第八阈值，判定所述被叫号码为第三类疑似受骗号码，所述被叫号码接收到通话的时间为第三类疑似受骗号码发生通讯的时间点；

具体地，判断待检测号码是否与不规范号码、陌生号码或仿冒正常号码等有长时间的异常通话行为，若待检测号码满足以下任一条件，则认为对应的通话为异常通话，异常通话判断条件如下：

号码尾号与已知正常号码(如公检法、银行、客服官方热线等)相同或类似；

号码属于不规则号码(即号码不符合通信运营商号码格式规范)；

t时间内号码主叫次数高于指定阈值，且主叫比例(主叫比例＝主叫通话次数/总通话次数)高于指定阈值；

t时间内号码主叫接通率低于指定阈值。

将判断为异常通话的接收方号码作为第三类疑似受骗号码，接收方收到异常通话的时间为第三类疑似受骗号码的通讯时间点。

将所述第三类疑似受骗号码以及第三类疑似受骗号码发生通讯的时间点保存至第三列表。

图4示出了本发明实施例提出的检测指定时间段内的全量通话话单的方法的流程示意图；

参照图4，本发明实施例提出的检测指定时间段内的全量通话话单的方法具体包括以下步骤：

提取检测时间段t内通话话单；

筛选出通话时长超过指定阈值的长通话记录；

判断主叫号码与被叫号码是否属于陌生关系，如果为陌生关系，继续进行下一步骤，如果不是陌生关系，结束流程；

判断主叫号码和被叫号码是否符合异常通话判断条件，如果符合，进行下一步骤；否则结束流程；

判定被叫号码为疑似受骗号码，输出号码及通话时间。

在上述实施例的基础上，S14具体包括：

统计各列表中各疑似受骗号码所命中的列表的个数；

具体地，各疑似受骗号码可能只记录在一个列表中，也可能记录在多个列表中，被记录的个数越多，说明号码受骗程度越深。

当疑似受骗号码所命中的列表个数为1时，判定该所述疑似受骗号码为疑似浅度受骗用户；

具体地，本发明实施例将只命中一个列表即只在一个列表中有记录的号码标记为疑似浅度受骗号码。

当疑似受骗号码所命中的列表个数大于1时，计算所述疑似受骗号码在不同列表中对应的发生通讯的时间点之间的平均绝对离差；

当计算出的平均绝对离差小于第九阈值时，判定所述疑似受骗号码为疑似深度受骗用户。

具体地，当受骗号码命中多个列表即在多个列表中有记录时，计算各列表记录的通讯时间点的平均绝对离差，以表示各列表通讯事件的关联度。平均绝对离差越小，各列表通讯事件的关联度越大，则诈骗分子的通讯交互程度越深，疑似受骗号码的用户受骗概率越大，程度越深。

具体地，所述计算所述疑似受骗号码在不同列表中对应的发生通讯的时间点之间的平均绝对离差包括：

将所述疑似受骗号码在不同列表中对应的发生通讯的时间点T_i转换为时间戳格式之后，计算所有发生通讯的时间点T_i的平均值

具体地，将各列表通讯时间点转换为单位为秒的时间戳格式，从而计算发生通讯的时间点的平均值。

根据平均值

计算发生通讯的时间点的平均绝对离差mad，平均绝对离差mad计算公式如下：

其中，n为所述疑似受骗号码所命中的列表个数，T_i为所述疑似受骗号码在不同列表中对应的发生通讯的时间点。

具体地，若mad小于指定阈值，则说明该号码在t时间段内发生的各通讯事件的关联度越大，诈骗份子的通讯交互程度较深，因此，该号码属于疑似深度受骗用户。

本发明实施例还提供一种识别通讯信息诈骗的装置。

图5示出了本发明实施例提供的一种识别通讯信息诈骗的装置的结构示意图。

如图5所示，本发明实施例提供的识别通讯信息诈骗的装置包括短信检测单元11、网址检测单元12、通话检测单元13以及识别单元14，其中：

所述短信检测单元11，用于检测指定时间段内的全量短信话单，输出第一列表至所述识别单元14，所述第一列表包括第一类疑似受骗号码以及第一类疑似受骗号码发生通讯的时间点；

本发明实施例从全量短信(如全省或全国)发送记录中检测短信发送方的号码和行为，筛选过滤出存在广撒网现象的疑似诈骗信息群发短信，将接收到该短信的号码作为第一类疑似受骗号码，将第一类疑似受骗号码和这些号码接收疑似诈骗短信的时间点保存在第一列表中。

所述网址检测单元12，用于检测指定时间段内的全量上网话单，输出第二列表至所述识别单元14，所述第二列表包括第二类疑似受骗号码以及第二类疑似受骗号码发生通讯的时间点；

本发明实施例从全量上网日志记录(如全省或全国)中检测用户主动点击访问的连接网址，筛选过滤出主动点击访问过疑似恶意网址或钓鱼网站的用户号码，作为第二类疑似受骗号码，将第二类疑似受骗号码和这些号码访问疑似恶意网址的时间点保存在第二列表中。

所述通话检测单元13，用于检测指定时间段内的全量通话话单，输出第三列表至所述识别单元14，所述第三列表包括第三类疑似受骗号码以及第三类疑似受骗号码发生通讯的时间点；

本发明实施例从全量通话话单(如全省或全国)中检测用户的通话行为，筛选过滤出与陌生号码存在异常通话行为的用户，作为第三类疑似受骗号码，将第三类疑似受骗号码和接收到这些号码的通话的时间点保存在第三列表中。

所述识别单元14，用于根据各列表中的疑似受骗号码以及各疑似受骗号码发生通讯的时间点识别出通讯信息诈骗事件。

本发明实施例通过检测用户短信、上网及通话话单数据，从三个维度的数据综合判断通讯信息诈骗行为，根据检测出的号码在一定时间段发生接收群发短信、恶意网址访问以及异常通话行为的关联度，识别出不同程度的疑似受骗用户，能够提高识别通讯信息诈骗的准确率，以及提升诈骗事件识别覆盖率。

本发明实施例通过检测短信话单、上网话单和通话话单，仅检测用户号码和通讯行为，不涉及用户敏感信息，保证用户信息安全。

本发明实施例能够基于串联诈骗事件的多维度数据准确溯源通讯信息诈骗的完整业务链，有效提升诈骗事件识别覆盖率。

在上述实施例的基础上，所述短信检测单元11包括：

第一获取模块，用于获取所述短信话单中的发送方号码作为待检测号码；

剔除模块，用于根据正常短信业务接口白名单从所述待检测号码中剔除确认为正常短信业务接口类号码的发送方号码；

第一统计模块，用于统计剩余的各待检测号码在所述指定时间段内对应的接收方不同号码总个数、接收方不同号码段总个数以及接收方平均每个号码段的不同号码个数，以及统计各待检测号码在所述指定时间段内的短信回复率；

具体地，指定时间段内待检测号码对应的所有短信接收方个人号码(11位)，以号码前7位作为一个号段，统计接收方不同号码总个数、不同号段总个数，以及接收方平均每个号段的不同号码个数，平均每个号码段的不同号码个数＝接收方不同号码总个数/接收方不同号段总个数，以及统计时间内待检测号码的短信回复率，短信回复率＝有回复记录的短信发送量/短信发送总量。

第一判断模块，用于当所述待检测号码对应的接收方不同号码总个数且接收方不同号码段总个数大于第一指定阈值，或者所述待检测号码对应的所述接收方平均每个号码段的不同号码个数大于第二阈值，或者所述待检测号码在所述指定时间段内的短信回复率小于第三阈值，判定所述待检测号码为疑似诈骗号码；

具体地，广撒网疑似诈骗短信的判断条件包括：接收方不同号码总个数、不同号段总个数均大于指定阈值；接收方平均每个号段的不同号码个数大于指定阈值；发送方的短信回复率低于指定阈值。若待检测号码命中以上任意一个条件，则判断待检测号码的发送短信属于疑似诈骗信息群发短信。

第二判断模块，用于根据接收方号码在接收到所述疑似诈骗号码发送的短信的时间点前n天的通话话单和短信话单判断接收方号码与所述疑似诈骗号码是否属于陌生关系；

具体地，提取接收方号码在接收到疑似群发短信前的历史n天通话及短信记录，若该接收方号码与疑似诈骗号码历史n天内均无通话或短信记录，则对于接收方号码而言该疑似诈骗号码属于陌生关系。

第三判断模块，用于当接收方号码与所述疑似诈骗号码属于陌生关系时，判定所述接收方号码为第一类疑似受骗号码，所述接收方号码接收所述疑似诈骗号码的短信时间为第一类疑似受骗号码发生通讯的时间点；

第一保存模块，用于将所述第一类疑似受骗号码以及第一类疑似受骗号码发生通讯的时间点保存至第一列表。

在上述实施例的基础上，所述网址检测单元12包括：

第二获取模块，用于根据所述上网话单获取用户主动访问的连接网址作为待检测网址；

第一确定模块，用于根据已知的恶意网址黑名单库确定所述待检测网址中的恶意网址；

具体地，提取检测时间段内上网话单，将用户主动点击访问的链接网址与已知的恶意网址黑名单库(可来源于公安案情、用户投诉、用户标记等)进行匹配。如果命中黑名单列表，则判断该用户属于疑似受骗用户。

第三获取模块，用于获取剩余的各待检测网址的网页内容关键词；

具体地，通过爬虫技术获取访问网址的网页内容，爬取待检测网址、已知正常网址白名单及恶意网址黑名单的网页信息，从爬取结果中的keyword字段提取该网页的关键词列表。

第一计算模块，用于计算待检测网址的网页内容关键词与已知正常网址白名单或恶意网址黑名单中各网址的网页内容关键词之间的相似度；

具体地，计算提取到的网页内容关键词与已知正常网页白名单(如公检法、电商官方网站)或恶意网址黑名单的关键词相似度。

第二确定模块，用于当计算出的相似度大于第四阈值时，对应的待检测网址确定为恶意网址；

第四判断模块，用于判定访问所述恶意网址的用户号码为第二类疑似受骗号码，访问所述恶意网址的时间为第二类疑似受骗号码发生通讯的时间点；

第二保存模块，用于将所述第二类疑似受骗号码以及第二类疑似受骗号码发生通讯的时间点保存至第二列表。

具体地，所述第一计算模块包括：

第一建立子模块，用于对已知正常网址白名单以及恶意网址黑名单中各网址的网页内容关键词进行去重排序，建立全量关键词表；

具体地，全量关键词表的格式为(关键词1，关键词2，关键词3...关键词N)。

第二建立子模块，用于将待检测网址的网页内容关键词与全量关键词表中关键词进行对比，将在全量关键词表中出现的关键词的值设置为1，将在全量关键词表中未出现的关键词的值设置为0，建立待检测网址的关键词向量；

例如，待检测网页仅出现过全量关键词表中的关键词1与关键词3，则其关键词词向量为(1,0,1,0,0,0...0)。

第三建立子模块，用于将已知正常网址白名单或恶意网址黑名单中每个网址的网页内容关键词与所述全量关键词表中关键词进行对比，将在全量关键词表中出现的关键词的值设置为1，将在全量关键词表中未出现的关键词的值设置为0，建立多个样本的关键词向量；

具体地，与建立待检测网址的关键词向量的方法相同，对正常网址白名单中的每个网址、恶意网址黑名单中每个网址都建立关键词向量，作为样本的关键词向量。

第一计算子模块，用于计算所述待检测网址的关键词向量与各样本的关键词向量的余弦相似度。

对于待检测网页的关键词词向量A＝(A₁,A₂,...,A_n)，样本的关键词词向量B＝(B₁,B₂,...,B_n)，余弦相似度cosθ的计算公式为：

其中cosθ的取值范围为[0,1]。余弦相似度取值越趋近于0，表示这两个网页的相似程度越低；取值越趋近于1，表示这两个网页的相似程度越高，用户访问的越有可能是恶意网址。

在上述实施例的基础上，所述通话检测单元13包括：

第四获取模块，用于获取所述通话话单中通话时长大于第五阈值的通话记录；

第五判断模块，用于根据各通话记录中的主叫号码和被叫号码在通话时间点前n天的通话话单和短信话单判断所述主叫号码和被叫号码是否属于陌生关系；

具体地，对于每一通长通话，若主叫号码与被叫号码在通话时间点前的历史n天内无通话记录，则判断两者属于陌生关系，继续进行检测；否则判断属于正常通话，结束检测。

第三确定模块，用于当所述主叫号码和被叫号码为陌生关系时，将所述主叫号码和被叫号码作为待检测号码进行检测；

具体地，当主叫号码和被叫号码判断为陌生关系时，主叫和被叫都有可能是诈骗号码，因此将主叫号码和被叫号码均作为待检测号码继续进行检测。

第六判断模块，用于如果所述待检测号码的尾号与已知正常号码相同或类似，或者属于不规则号码，或者在所述指定时间段内所述待检测号码的主叫次数大于第六阈值且主叫比例大于第七阈值，或者在所述指定时间段内所述待检测号码的接通率小于第八阈值，判定所述被叫号码为第三类疑似受骗号码，所述被叫号码接收到通话的时间为第三类疑似受骗号码发生通讯的时间点；

具体地，判断待检测号码是否与不规范号码、陌生号码或仿冒正常号码等有长时间的异常通话行为，若待检测号码满足以下任一条件，则认为对应的通话为异常通话，异常通话判断条件如下：

号码尾号与已知正常号码(如公检法、银行、客服官方热线等)相同或类似；

号码属于不规则号码(即号码不符合通信运营商号码格式规范)；

t时间内号码主叫次数高于指定阈值，且主叫比例(主叫比例＝主叫通话次数/总通话次数)高于指定阈值；

t时间内号码主叫接通率低于指定阈值。

将判断为异常通话的接收方号码作为第三类疑似受骗号码，接收方收到异常通话的时间为第三类疑似受骗号码的通讯时间点。

第三保存模块，用于将所述第三类疑似受骗号码以及第三类疑似受骗号码发生通讯的时间点保存至第三列表。

在上述实施例的基础上，所述识别单元14包括：

第二统计模块，用于统计各列表中各疑似受骗号码所命中的列表的个数；

具体地，各疑似受骗号码可能只记录在一个列表中，也可能记录在多个列表中，被记录的个数越多，说明号码受骗程度越深。

第七判断模块，用于当疑似受骗号码所命中的列表个数为1时，判定该所述疑似受骗号码为疑似浅度受骗用户；

第二计算模块，用于当疑似受骗号码所命中的列表个数大于1时，计算所述疑似受骗号码在不同列表中对应的发生通讯的时间点之间的平均绝对离差；

第八判断模块，用于当计算出的平均绝对离差小于第九阈值时，判定所述疑似受骗号码为疑似深度受骗用户。

具体地，当受骗号码命中多个列表即在多个列表中有记录时，计算各列表记录的通讯时间点的平均绝对离差以表示各列表通讯事件的关联度。平均绝对离差越小，各列表通讯事件的关联度越大，则诈骗分子的通讯交互程度越深，疑似受骗号码的用户受骗概率越大，程度越深。

具体地，所述第二计算模块包括：

第二计算子模块，用于将所述疑似受骗号码在不同列表中对应的发生通讯的时间点T_i转换为时间戳格式之后，计算所有发生通讯的时间点T_i的平均值

第三计算子模块，用于根据平均值

计算发生通讯的时间点的平均绝对离差mad，平均绝对离差mad计算公式如下：

其中，n为所述疑似受骗号码所命中的列表个数，T_i为所述疑似受骗号码在不同列表中对应的发生通讯的时间点。

具体地，若mad小于指定阈值，则说明该号码在t时间段内发生的各通讯事件的关联度越大，诈骗份子的通讯交互程度较深，因此，该号码属于疑似深度受骗用户。

本发明实施例中的功能模块可以通过硬件处理器(hardware processor)来实现相关功能模块，本发明实施例不再赘述。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

本发明实施例还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如图1的方法。

图6示出了本发明一实施例提供的电子设备的结构示意图。

如图6所示，本发明实施例提供的电子设备包括存储器21、处理器22、总线23以及存储在存储器21上并可在处理器22上运行的计算机程序。其中，所述存储器21、处理器22通过所述总线23完成相互间的通信。

所述处理器22用于调用所述存储器21中的程序指令，以执行所述程序时实现如图1的方法。

例如，所述处理器执行所述程序时实现如下方法：

检测指定时间段内的全量短信话单，输出第一列表，所述第一列表包括第一类疑似受骗号码以及第一类疑似受骗号码发生通讯的时间点；

检测指定时间段内的全量上网话单，输出第二列表，所述第二列表包括第二类疑似受骗号码以及第二类疑似受骗号码发生通讯的时间点；

检测指定时间段内的全量通话话单，输出第三列表，所述第三列表包括第三类疑似受骗号码以及第三类疑似受骗号码发生通讯的时间点；

根据各列表中的疑似受骗号码以及各疑似受骗号码发生通讯的时间点识别出通讯信息诈骗事件。

本发明实施例提供的电子设备，通过检测用户短信、上网及通话话单数据，从三个维度的数据综合判断通讯信息诈骗行为，根据检测出的号码在一定时间段发生接收群发短信、恶意网址访问以及异常通话行为的关联度，识别出不同程度的疑似受骗用户，能够提高识别通讯信息诈骗的准确率，以及提升诈骗事件识别覆盖率。

本发明实施例还提供一种非暂态计算机可读存储介质，所述存储介质上存储有计算机程序，所述程序被处理器执行时实现如图1的步骤。

例如，所述处理器执行所述程序时实现如下方法：

检测指定时间段内的全量短信话单，输出第一列表，所述第一列表包括第一类疑似受骗号码以及第一类疑似受骗号码发生通讯的时间点；

检测指定时间段内的全量上网话单，输出第二列表，所述第二列表包括第二类疑似受骗号码以及第二类疑似受骗号码发生通讯的时间点；

检测指定时间段内的全量通话话单，输出第三列表，所述第三列表包括第三类疑似受骗号码以及第三类疑似受骗号码发生通讯的时间点；

根据各列表中的疑似受骗号码以及各疑似受骗号码发生通讯的时间点识别出通讯信息诈骗事件。

本发明实施例提供的非暂态计算机可读存储介质，通过检测用户短信、上网及通话话单数据，从三个维度的数据综合判断通讯信息诈骗行为，根据检测出的号码在一定时间段发生接收群发短信、恶意网址访问以及异常通话行为的关联度，识别出不同程度的疑似受骗用户，能够提高识别通讯信息诈骗的准确率，以及提升诈骗事件识别覆盖率。

本发明一实施例公开一种计算机程序产品，所述计算机程序产品包括存储在非暂态计算机可读存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，计算机能够执行上述各方法实施例所提供的方法，例如包括：

检测指定时间段内的全量短信话单，输出第一列表，所述第一列表包括第一类疑似受骗号码以及第一类疑似受骗号码发生通讯的时间点；

检测指定时间段内的全量上网话单，输出第二列表，所述第二列表包括第二类疑似受骗号码以及第二类疑似受骗号码发生通讯的时间点；

检测指定时间段内的全量通话话单，输出第三列表，所述第三列表包括第三类疑似受骗号码以及第三类疑似受骗号码发生通讯的时间点；

根据各列表中的疑似受骗号码以及各疑似受骗号码发生通讯的时间点识别出通讯信息诈骗事件。

本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种识别通讯信息诈骗的方法，其特征在于，所述方法包括：

检测指定时间段内的全量短信话单，输出第一列表，所述第一列表包括第一类疑似受骗号码以及第一类疑似受骗号码发生通讯的时间点；

检测指定时间段内的全量上网话单，输出第二列表，所述第二列表包括第二类疑似受骗号码以及第二类疑似受骗号码发生通讯的时间点；

检测指定时间段内的全量通话话单，输出第三列表，所述第三列表包括第三类疑似受骗号码以及第三类疑似受骗号码发生通讯的时间点；

根据各列表中的疑似受骗号码以及各疑似受骗号码发生通讯的时间点识别出通讯信息诈骗事件。

2.根据权利要求1所述的方法，其特征在于，所述检测指定时间段内的全量短信话单，输出第一列表包括：

获取所述短信话单中的发送方号码作为待检测号码；

根据正常短信业务接口白名单从所述待检测号码中剔除确认为正常短信业务接口类号码的发送方号码；

统计剩余的各待检测号码在所述指定时间段内对应的接收方不同号码总个数、接收方不同号码段总个数以及接收方平均每个号码段的不同号码个数，以及统计各待检测号码在所述指定时间段内的短信回复率；

当所述待检测号码对应的接收方不同号码总个数且接收方不同号码段总个数大于第一指定阈值，或者所述待检测号码对应的所述接收方平均每个号码段的不同号码个数大于第二阈值，或者所述待检测号码在所述指定时间段内的短信回复率小于第三阈值，判定所述待检测号码为疑似诈骗号码；

根据接收方号码在接收到所述疑似诈骗号码发送的短信的时间点前n天的通话话单和短信话单判断接收方号码与所述疑似诈骗号码是否属于陌生关系；

当接收方号码与所述疑似诈骗号码属于陌生关系时，判定所述接收方号码为第一类疑似受骗号码，所述接收方号码接收所述疑似诈骗号码的短信时间为第一类疑似受骗号码发生通讯的时间点；

将所述第一类疑似受骗号码以及第一类疑似受骗号码发生通讯的时间点保存至第一列表。

3.根据权利要求1所述的方法，其特征在于，所述检测指定时间段内的全量上网话单，输出第二列表包括：

根据所述上网话单获取用户主动访问的连接网址作为待检测网址；

根据已知的恶意网址黑名单库确定所述待检测网址中的恶意网址；

获取剩余的各待检测网址的网页内容关键词；

计算待检测网址的网页内容关键词与已知正常网址白名单或恶意网址黑名单中各网址的网页内容关键词之间的相似度；

当计算出的相似度大于第四阈值时，对应的待检测网址确定为恶意网址；

判定访问所述恶意网址的用户号码为第二类疑似受骗号码，访问所述恶意网址的时间为第二类疑似受骗号码发生通讯的时间点；

将所述第二类疑似受骗号码以及第二类疑似受骗号码发生通讯的时间点保存至第二列表。

4.根据权利要求3所述的方法，其特征在于，所述计算待检测网址的网页内容关键词与已知正常网址白名单或恶意网址黑名单中各网址的网页内容关键词之间的相似度包括：

对已知正常网址白名单以及恶意网址黑名单中各网址的网页内容关键词进行去重排序，建立全量关键词表；

将待检测网址的网页内容关键词与全量关键词表中关键词进行对比，将在全量关键词表中出现的关键词的值设置为1，将在全量关键词表中未出现的关键词的值设置为0，建立待检测网址的关键词向量；

将已知正常网址白名单或恶意网址黑名单中每个网址的网页内容关键词与所述全量关键词表中关键词进行对比，将在全量关键词表中出现的关键词的值设置为1，将在全量关键词表中未出现的关键词的值设置为0，建立多个样本的关键词向量；

计算所述待检测网址的关键词向量与各样本的关键词向量的余弦相似度，得到所述待检测网址的网页内容关键词与已知正常网址白名单或恶意网址黑名单中各网址的网页内容关键词之间的相似度。

5.根据权利要求1所述的方法，其特征在于，所述检测指定时间段内的全量通话话单，输出第三列表包括：

获取所述通话话单中通话时长大于第五阈值的通话记录；

根据各通话记录中的主叫号码和被叫号码在通话时间点前n天的通话话单和短信话单判断所述主叫号码和被叫号码是否属于陌生关系；

当所述主叫号码和被叫号码为陌生关系时，将所述主叫号码和被叫号码作为待检测号码进行检测；

如果所述待检测号码的尾号与已知正常号码相同或类似，或者属于不规则号码，或者在所述指定时间段内所述待检测号码的主叫次数大于第六阈值且主叫比例大于第七阈值，或者在所述指定时间段内所述待检测号码的接通率小于第八阈值，判定所述被叫号码为第三类疑似受骗号码，所述被叫号码接收到通话的时间为第三类疑似受骗号码发生通讯的时间点；

将所述第三类疑似受骗号码以及第三类疑似受骗号码发生通讯的时间点保存至第三列表。

6.根据权利要求1所述的方法，其特征在于，所述根据各列表中的疑似受骗号码以及各疑似受骗号码发生通讯的时间点识别出通讯信息诈骗事件包括：

统计各列表中各疑似受骗号码所命中的列表的个数；

当疑似受骗号码所命中的列表个数为1时，判定该所述疑似受骗号码为疑似浅度受骗用户；

当疑似受骗号码所命中的列表个数大于1时，计算所述疑似受骗号码在不同列表中对应的发生通讯的时间点之间的平均绝对离差；

当计算出的平均绝对离差小于第九阈值时，判定所述疑似受骗号码为疑似深度受骗用户。

7.根据权利要求6所述的方法，其特征在于，所述计算所述疑似受骗号码在不同列表中对应的发生通讯的时间点之间的平均绝对离差包括：

将所述疑似受骗号码在不同列表中对应的发生通讯的时间点T_i转换为时间戳格式之后，计算所有发生通讯的时间点T_i的平均值

根据平均值计算发生通讯的时间点的平均绝对离差mad，，平均绝对离差mad计算公式如下：

其中，n为所述疑似受骗号码所命中的列表个数，T_i为所述疑似受骗号码在不同列表中对应的发生通讯的时间点。

8.一种识别通讯信息诈骗的装置，其特征在于，所述装置包括：

短信检测单元，用于检测指定时间段内的全量短信话单，输出第一列表至识别单元，所述第一列表包括第一类疑似受骗号码以及第一类疑似受骗号码发生通讯的时间点；

网址检测单元，用于检测指定时间段内的全量上网话单，输出第二列表至识别单元，所述第二列表包括第二类疑似受骗号码以及第二类疑似受骗号码发生通讯的时间点；

通话检测单元，用于检测指定时间段内的全量通话话单，输出第三列表至识别单元，所述第三列表包括第三类疑似受骗号码以及第三类疑似受骗号码发生通讯的时间点；

所述识别单元，用于根据各列表中的疑似受骗号码以及各疑似受骗号码发生通讯的时间点识别出通讯信息诈骗事件。

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至7任一项所述识别通讯信息诈骗的方法的步骤。

10.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至7任一项所述识别通讯信息诈骗的方法的步骤。

Images