CN114266022A - 一种基于数据挖掘的反欺诈方法、装置及电子设备 - Google Patents

Abstract

本发明公开了一种基于数据挖掘的反欺诈方法、装置及电子设备，所述方法包括：基于设备信息分析设备用户行为习惯；根据设备用户行为习惯和设备周边风险信息识别存在欺诈风险的设备；根据设备用户信息和/或设备用户当前行为对所述存在欺诈风险的设备进行反欺诈操作。本发明基于设备用户信息通过数据挖掘设备用户行为习惯，基于设备用户行为习惯、设备周边风险信息来识别存在欺诈风险的设备，从而可以更为广泛的应用于各种形式的欺诈风险识别中。同时，根据设备用户信息和/或设备用户当前行为对所述存在欺诈风险的设备进行反欺诈操作，从而对不同情形的欺诈行为进行有效防范和控制，减小欺诈行为造成的损失，保证系统安全及用户隐私安全。

Description

一种基于数据挖掘的反欺诈方法、装置及电子设备

技术领域

本发明涉及数据处理技术领域，具体而言，涉及一种基于数据挖掘的反欺诈方法、装置、电子设备及计算机可读介质。

背景技术

随着互联网的发展，出现了各种互联网服务平台，比如：网购平台、网约车平台、共享平台、地图平台、音乐平台等等。这些平台给人们的生活带来了很大的便利，但因其与互联网紧密结合，也方便了黑灰产业从业人员通过诱导欺骗普通的设备用户进行诈骗犯罪活动。

为了识别这些存在欺诈风险的设备，通常会采集与设备相关的样本数据通过机器学习模型来预测该设备的风险值，将风险值大于阈值的设备识别为无风险设备，将风险值小于阈值的设备识别为有风险设备。而随着黑灰产业的更新，欺诈的形式变得多样化，比如：通过聊天或者语音产品触达正常用户进行欺诈；而现有这种方法依赖于与设备相关的样本数据，无法有效识别这些多样化的欺诈风险，更无法根据欺诈风险的实际情况对其进行有效的反欺诈处理，存在极大的安全隐患。

发明内容

有鉴于此，本发明主要目的在于提出一种基于数据挖掘的反欺诈方法、装置、电子设备及计算机可读介质，以期至少部分地解决上述技术问题中的至少之一。

为了解决上述技术问题，本发明第一方面提出一种基于数据挖掘的反欺诈方法，所述方法包括：

基于设备信息分析设备用户行为习惯；

根据设备用户行为习惯和设备周边风险信息识别存在欺诈风险的设备；

根据设备用户信息和/或设备用户当前行为对所述存在欺诈风险的设备进行反欺诈操作。

根据本发明一种优选的实施方式，所述根据设备用户信息和/或设备用户当前行为对所述存在欺诈风险的设备进行反欺诈操作包括：

根据设备用户信息对所述存在欺诈风险的设备进行级别划分，并向低于预定级别的存在欺诈风险的设备发送触达信息；和/或，

根据设备用户当前行为、设备用户信用评估结果及设备用户申请互联网服务的目评估结果识别恶意申请互联网服务的设备，并阻断所述设备申请互联网服务；和/或，

基于风险情报信息和设备用户当前行为识别被风险从业人员诱导申请互联网服务的设备，并阻断所述设备申请互联网服务。

根据本发明一种优先的实施方式，所述方法还包括：

定期获取新生效的反欺诈规则；

基于新生效的反欺诈规则对存在欺诈风险的设备进行反欺诈操作。

根据本发明一种优选的实施方式，所述基于设备信息分析设备用户行为习惯包括：

根据采集到的五元组信息生成设备用户行为数据；

根据采集到的设备用户信息生成设备用户画像；

根据所述设备用户行为数据和所述设备用户画像分析设备用户行为习惯。

根据本发明一种优选的实施方式，所述根据设备用户行为习惯和设备周边风险信息识别设备风险包括：

采集设备周边风险信息；

将设备用户行为习惯与设备周边风险信息进行比较，确定该设备是否有周边风险；

若设备有周边风险，对设备进行预设级别的多因子认证；

若设备未通过所述预设级别的多因子认证，将设备识别为存在欺诈风险的设备；

其中，所述设备周边风险包括：设备变更、设备地理位置变更、设备异常访问时间中的至少一种。

根据本发明一种优选的实施方式，若设备通过所述预设级别的多因子认证，将所述预设级别的多因子认证调整为下一预设级别的多因子认证；所述下一预设级别的多因子认证的认证难度大于所述预设级别的多因子认证。

为解决上述技术问题，本发明第二方面提供一种基于数据挖掘的反欺诈装置，所述装置包括：

分析模块，用于基于设备信息分析设备用户行为习惯；

识别模块，用于根据设备用户行为习惯和设备周边风险信息识别存在欺诈风险的设备；

反欺诈模块，用于根据设备用户信息和/或设备用户当前行为对所述存在欺诈风险的设备进行反欺诈操作。

根据本发明一种优选的实施方式，所述反欺诈模块包括：

发送模块，用于根据设备用户信息对所述存在欺诈风险的设备进行级别划分，并向低于预定级别的存在欺诈风险的设备发送触达信息；和/或，

第一阻断模块，用于根据设备用户当前行为、设备用户信用评估结果及设备用户申请互联网服务的目评估结果识别恶意申请互联网服务的设备，并阻断所述设备申请互联网服务；和/或，

第二阻断模块，用于基于风险情报信息和设备用户当前行为识别被风险从业人员诱导申请互联网服务的设备，并阻断所述设备申请互联网服务。

根据本发明一种优先的实施方式，所述装置还包括：

获取模块，用于定期获取新生效的反欺诈规则；

动态反欺诈模块，用于基于新生效的反欺诈规则对存在欺诈风险的设备进行反欺诈操作。

根据本发明一种优选的实施方式，所述分析模块包括：

第一生成模块，用于根据采集到的五元组信息生成设备用户行为数据；

第二生成模块，用于根据采集到的设备用户信息生成设备用户画像；

子分析模块，用于根据所述设备用户行为数据和所述设备用户画像分析设备用户行为习惯。

根据本发明一种优选的实施方式，所述识别模块包括：

第三采集模块，用于采集设备周边风险信息；

比较模块，用于将设备用户行为习惯与设备周边风险信息进行比较，确定该设备是否有周边风险；

认证模块，用于若设备有周边风险，对设备进行预设级别的多因子认证；

子识别模块，用于若设备未通过所述预设级别的多因子认证，将设备识别为存在欺诈风险的设备；

其中，所述设备周边风险包括：设备变更、设备地理位置变更、设备异常访问时间中的至少一种。

根据本发明一种优选的实施方式，所述装置还包括：调整模块，用于若设备通过所述预设级别的多因子认证，将所述预设级别的多因子认证调整为下一预设级别的多因子认证；所述下一预设级别的多因子认证的认证难度大于所述预设级别的多因子认证。

为解决上述技术问题，本发明第三方面提供一种电子设备，包括：

处理器；以及

存储计算机可执行指令的存储器，所述计算机可执行指令在被执行时使所述处理器执行上述的方法。

为解决上述技术问题，本发明第四方面提供一种计算机可读存储介质，其中，所述计算机可读存储介质存储一个或多个程序，当所述一个或多个程序被处理器执行时，实现上述方法。

本发明基于设备用户信息通过数据挖掘设备用户行为习惯，基于设备用户行为习惯、设备周边风险信息、以及对黑灰产业特点的不断认识，来识别存在欺诈风险的设备，从而可以更为广泛的应用于各种形式的欺诈风险识别中。同时，根据设备用户信息和/或设备用户当前行为对所述存在欺诈风险的设备进行反欺诈操作，从而对不同情形的欺诈行为进行有效防范和控制，减小欺诈行为造成的损失，保证系统安全、用户隐私安全及用户财产安全。

附图说明

为了使本发明所解决的技术问题、采用的技术手段及取得的技术效果更加清楚，下面将参照附图详细描述本发明的具体实施例。但需声明的是，下面描述的附图仅仅是本发明的示例性实施例的附图，对于本领域的技术人员来讲，在不付出创造性劳动的前提下，可以根据这些附图获得其他实施例的附图。

图1是本发明实施例一种基于数据挖掘的反欺诈方法的流程示意图；

图2是本发明实施例一种基于数据挖掘的反欺诈装置的结构框架示意图；

图3是根据本发明的一种电子设备的示例性实施例的结构框图；

图4是本发明一种计算机可读介质实施例的示意图。

具体实施方式

现在将参考附图来更加全面地描述本发明的示例性实施例，虽然各示例性实施例能够以多种具体的方式实施，但不应理解为本发明仅限于在此阐述的实施例。相反，提供这些示例性实施例是为了使本发明的内容更加完整，更加便于将发明构思全面地传达给本领域的技术人员。

在符合本发明的技术构思的前提下，在某个特定的实施例中描述的结构、性能、效果或者其他特征可以以任何合适的方式结合到一个或更多其他的实施例中。

在对于具体实施例的介绍过程中，对结构、性能、效果或者其他特征的细节描述是为了使本领域的技术人员对实施例能够充分理解。但是，并不排除本领域技术人员可以在特定情况下，以不含有上述结构、性能、效果或者其他特征的技术方案来实施本发明。

附图中的流程图仅是一种示例性的流程演示，不代表本发明的方案中必须包括流程图中的所有的内容、操作和步骤，也不代表必须按照图中所显示的的顺序执行。例如，流程图中有的操作/步骤可以分解，有的操作/步骤可以合并或部分合并，等等，在不脱离本发明的发明主旨的情况下，流程图中显示的执行顺序可以根据实际情况改变。

附图中的框图一般表示的是功能实体，并不一定必然与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

各附图中相同的附图标记表示相同或类似的元件、组件或部分，因而下文中可能省略了对相同或类似的元件、组件或部分的重复描述。还应理解，虽然本文中可能使用第一、第二、第三等表示编号的定语来描述各种器件、元件、组件或部分，但是这些器件、元件、组件或部分不应受这些定语的限制。也就是说，这些定语仅是用来将一者与另一者区分。例如，第一器件亦可称为第二器件，但不偏离本发明实质的技术方案。此外，术语“和/或”、“及/或”是指包括所列出项目中的任一个或多个的所有组合。

请参阅图1，图1是本发明提供的一种基于数据挖掘的反欺诈方法，所述方法可用于在互联网服务中进行反欺诈操作，其中，所述互联网服务可以是各种互联网服务平台提供的服务，例如：可以是网购平台、网约车平台、共享平台、搜索平台、社交平台等等，只要是基于互联网提供服务的平台，都可以适用，本发明不做具体限定。如图1所示，所述方法包括：

S1、基于设备信息分析设备用户行为习惯；

其中，设备信息可以包括五元组信息和设备用户信息。则所述基于设备信息分析设备用户行为习惯包括：

S101、根据采集到的五元组信息生成设备用户行为数据；

其中，五元组信息用于标识设备的访问属性，可以包括：设备唯一识别码、WIFI唯一识别码、设备访问时间、设备用户唯一识别码、设备用户访问服务IP地址、设备用户访问事件等等。示例性的，可以通过客户端采集设备唯一识别码(比如：UDID)、WIFI唯一识别码(即：WIFI路由器的唯一标识符)；通过服务端采集设备访问时间、设备用户唯一识别码(比如：IMEI码)、设备用户访问服务IP地址、设备用户在客户端的访问事件。所述访问事件包括访问行为和访问对象，所述访问行为可以包括：设备用户在客户端的登录、点击、浏览、滑动、长按、搜索、购买、申请，等等。

所述设备用户行为数据是指设备用户在APP、小程序、WEB端等平台所做的用户行为(比如：浏览、点击、搜索、滑动、长按等)数据。其中，用户行为由时间、地点、人物、交互、交互的内容五个元素组成。在生成设备用户行为数据时，可以在设备用户授权的情况下，采集五元组信息，再将设备用户在客户端的访问行为、发生该访问行为的时间(即：设备访问时间)、发生该访问行为的地点(即：设备用户访问服务IP地址)、发生该访问行为的设备(即：设备唯一识别码、WIFI唯一识别码、设备用户唯一识别码)、访问的对象组合起来生成设备用户行为数据。在另一种示例中，可以通过五元组信息来定义行为数据，再根据采集到的行为数据生成设备用户行为数据。比如：搜索是一个访问事件，在什么时间、什么平台上、哪一个设备ID、做了搜索、搜索的内容是什么。这是一个完整的用户行为，可以通过埋点的方式预先在网站或者是APP中定义千千万万个这样的用户行为，从而获取设备用户行为数据。

S102、根据采集到的设备用户信息生成设备用户画像；

其中，设备用户信息可以包括：设备用户的身份信息(比如：身份证号码)、性别、年龄、联系方式、学历、职业、户籍地址、常住地址，等等；这些信息可以在用户注册、或者，申请互联网服务时，由用户自行提交。对于基于互联网的资源交换业务，设备用户信息还可以包括：设备用户的信用额度、进行资源交换的目的、第三方信息等等；所述资源是指任何可被利用的物质、信息、金钱、时间等。信息资源包括计算资源和各种类型的数据资源。其中，数据资源包括各个领域中的各种专用数据。所述第三方信息可以包括：央行征信数据、公安风险电话数据、威胁情报信息等等。所述第三方信息可以直接通过相关的第三方平台获取。

本发明实施例中，所述设备用户画像是根据设备用户信息抽象出来的一个标签化的用户模型，涉及设备用户的属性、兴趣和行为等特征。构建设备用户画像的核心工作，主要是通过对大量设备用户信息进行分析和挖掘，给设备用户贴“标签”，而“标签”是能表示设备用户某一维度特征的标识。

S103、根据所述设备用户行为数据和所述设备用户画像分析设备用户行为习惯；

其中，所述设备用户行为习惯用于描述设备用户在互联网服务平台的行为习惯，可以包括：设备用户喜好、设备用户习惯行为，等等。其中，设备用户喜好可以包括：设备型号、设备喜欢的产品类型，等等。设备用户习惯行为可以包括：设备地理位置、设备访问时间、设备访问路径，等等。

示例性的，可以通过图表分析法，基于设备用户行为数据和设备用户画像数据分析设备用户指定行为(比如：点击行为)的活跃情况，从而确定设备用户习惯行为；通过图表分析法，基于设备用户行为数据和设备用户画像数据分析设备用户对指定特征(比如：颜色、形状等)的喜好，从而确定设备用户喜好。在另一种示例中，可以通过预设行为分析模型来分析设备用户行为习惯；比如，可以基于历史设备用户行为数据和历史设备用户画像预先训练用于分析用户喜好的第一模型和用于分析用户行为习惯的第二模型。其中，第一模型和第二模型可以采用可以完成多分类任务的模型，比如：支持向量机模型、逻辑回归模型、决策树模型，等等。

进一步，根据设备用户习惯行为可以预测设备用户在未来的行为，以向设备用户进行个性化推送服务。

S2、根据设备用户行为习惯和设备周边风险信息识别存在欺诈风险的设备；

本发明实施例中，设备周边风险是通过分析黑灰产业的特点而确定的可能存在欺诈行为的设备变更。示例性的，设备周边风险可以是：设备型号变更、设备地理位置变更、设备异常访问时间、设备异常访问路径中的至少一种。

在一种示例中，所述根据设备用户行为习惯和设备周边风险信息识别存在欺诈风险的设备可以包括：

S201、采集设备周边风险信息；

其中，设备周边风险信息与设备周边风险相对应，比如：设备周边风险包括：设备型号变更、设备异常访问时间，则设备周边风险信息包括：设备型号，设备访问时间。

S202、将设备用户行为习惯与设备周边风险信息进行比较，确定该设备是否有周边风险；

本发明实施例中，基于对设备用户行为数据和设备用户画像的分析得到能够预测设备用户行为和喜好的设备用户行为习惯，则根据设备用户行为习惯可以得到在正常情况下设备用户喜好和设备用户习惯行为，从而可以得到与设备周边风险信息对应的正常情况下的设备周边风险信息，比较设备周边风险信息与正常情况下的设备周边风险信息，当二者相同时，确定设备没有周边风险，二者不同时，确定设备有周边风险。

以设备周边信息为：设备型号和设备访问时间为例，若当前采集到的设备型号与正常情况下的设备型号相同，且当前采集到的设备访问时间与正常情况下的设备访问时间相同，则确定设备没有周边风险；若当前采集到的设备型号与正常情况下的设备型号不相同，或者，当前采集到的设备访问时间与正常情况下的设备访问时间不相同，则确定设备有周边风险。

S203、若设备有周边风险，对设备进行预设级别的多因子认证；

其中，多因子认证(multi-factor authentication，mfa)是一种计算机访问控制方法，用户要通过两种以上的认证机制之后，才能得到授权，使用计算机资源。本发明在设备存在周边风险时，结合多因子认证，一方面可以识别存在欺诈风险的设备，另一方面还可以对存在欺诈风险的设备进行阻断。其中：通过认证的设备识别为不存在欺诈风险的设备，并向该设备提供授权，使用计算机资源；未通过认证的设备识别为存在欺诈风险的设备，不向该设备提供授权，该设备无法使用计算机资源，从而保证互联网服务的交易安全。

示例性的，可以根据认证难度，预先设置多个级别的多因子认证，比如：设置认证难度最小的预设第一级别的多因子认证包括：账号密码认证和网页认证，认证难度大于所述预设第一级别的多因子认证的预设第二级别的多因子认证包括：账号密码认证、网页认证和短信认证，认证难度大于所述预设第二级别的多因子认证的预设第三级别的多因子认证包括：账号密码认证、网页认证、短信认证，和人脸识别等等。

S204、若设备未通过所述预设级别的多因子认证，将设备识别为存在欺诈风险的设备；

此外，在设备第一次进行多因子认证时，从认证难度最低的预设认证级别开始，若设备通过所述预设级别的多因子认证，可以随着设备周边风险出现的次数，逐次调整多因子认证的认证难度，以提高对风险设备识别的准确度。

以认证难度依次增高的预设第一级别的多因子认证、预设第二级别的多因子认证和预设第三级别的多因子认证为例，若设备通过所述预设第一级别的多因子认证，将所述预设第一级别的多因子认证调整为预设第二级别的多因子认证；若设备再次出现设备风险，并通过预设第二级别的多因子认证，则将所述预设第二级别的多因子认证调整为预设第三级别的多因子认证，依次类推，逐级提高多因子认证的认证难度。

S3、根据设备信息设备用户信息和/或设备用户当前行为对所述存在欺诈风险的设备进行反欺诈操作。

在一种示例中，本步骤可以：根据设备用户信息对所述存在欺诈风险的设备进行级别划分，并向低于预定级别的存在欺诈风险的设备发送触达信息；从而可以以触达的方式向收入较高而认知水平比较低的容易被欺诈的设备用户普及风险信息和/或提示风险，以减小这些设备用户被黑灰产业欺诈的风险。

其中，设备用户信息可以是：设备用户学历和/或设备用户职业；示例性的，可以根据设备用户学历高低对设备进行级别划分，其中，学历越低设备所在级别越低，设备用户对欺诈的防范意识越弱。也可以根据设备用户的职业平均收入高低对设备进行级别划分，其中，职业平均收入越高设备所在级别越低，设备用户受欺诈的损失越高。或者，可以根据学历和职业平均收入的对设备进行级别划分，学历越低、收入越高的设备所在级别越低。这种设备级别划分方式中，低级别设备对应被容易被欺诈的设备用户。显然，上述只是对本发明划分设备级别的一个示例，还可以基于其他设备用户信息来划分设备级别，本发明不做具体限定。

所述触达信息用于向设备用户普及风险信息和/或提示风险。示例性的，可以根据不同的风险类型预先配置对应的风险信息、风险提示信息，比如，对于欺诈风险，可以配置反诈骗信息、相关法律法规作为风险信息，配置诈骗提示信息作为风险提示信息。进一步的，对于低于预设级别的各个设备级别，可以根据级别的高低配置不同的风险信息和/或风险提示信息，以达到更好的预防风险效果。比如：级别越低，可以配置信息内容和信息触达的频率更多。

本发明实施例中，发送触达信息的方式，可以通过服务端要求客户端多次认证、也可以通过客户端提示触达信息，还可以通过智能语音系统进行语音介入等等。通过触达信息的条数和内容进行强有力的认证介入和风险提示，降低正常设备用户被欺诈的风险。

在另一种示例中，本步骤可以：根据设备用户当前行为、设备用户信用评估结果及设备用户申请互联网服务的目评估结果识别恶意申请互联网服务的设备，并阻断所述设备申请互联网服务；

其中，设备用户当前行为是与申请当前互联网服务相关的行为。可以包括：申请当前互联网服务的登录时间、登录设备ID、每天登录频次，等等；设备用户信用评估结果可以是第三方信用评估机构对设备用户进行信用评价的结果；设备用户申请互联网服务的目的评估结果可以是根据预设模型对设备用户申请互联网服务的目的进行评估的结果。

示例性的，若设备用户当前行为与设备用户行为习惯不一致、且设备用户信用评估结果低于预设值，同时，设备用户申请互联网服务目的的评估结果属于不正当用途，则确定该设备为恶意申请互联网服务的设备。

其中，阻断可以是：终止实时交易使交易延期并传递给智能语音坐席，智能语音坐席与设备用户通过语音确认是否存在被诱导的风险，若存在则及时协助用户避免或减轻损失；若误报则反馈误报原因帮助系统学习提升。

在又一种示例中，本步骤可以：基于风险情报信息和设备用户当前行为识别被风险从业人员诱导申请互联网服务的设备，并阻断所述设备申请互联网服务。

本发明可以结合风险情报信息和设备用户当前行为阻断被风险从业人员诱导申请互联网服务的设备申请，减小对正常设备用户的损失。

其中，风险情报信息可以是第三方提供的威胁情报、暗网交易情报等与黑灰产业相关的情报。若风险情报信息提示设备用户有被被风险从业人员诱导的风险，且设备用户当前行为与设备用户行为习惯不同，则确定该设备用户被风险从业人员诱导申请互联网服务。

其中，阻断可以是：终止实时交易使交易延期并传递给智能语音坐席，智能语音坐席与设备用户通过语音确认是否存在被诱导的风险，若存在则及时协助用户避免或减轻损失；若误报则反馈误报原因帮助系统学习提升。

此外，本步骤还可以根据实际需要或者预先配置，将上述三种示例进行任意组合，从而更有效的对存在欺诈风险的设备进行反欺诈操作。

进一步的，本发明的反欺诈操作还可以根据黑灰产业的变化而进行动态调整，从而对不断变化的欺诈行为进行有效防范。则所述方法还可以包括：

在一种示例中，本步骤可以：定期获取新生效的反欺诈规则；

示例性的，新生效的反欺诈规则可以根据预设规则和/或黑灰产业的变化进行配置，引擎定期(比如：每隔3个月)到配置中心获取新生效的反欺诈规则，并将其加载到引擎中心。

进一步地，基于新生效的反欺诈规则对存在欺诈风险的设备进行反欺诈操作。

示例性的，可以预先配置多个反欺诈操作(比如：步骤S3中的各个反欺诈操作示例)，以及各个反欺诈操作对应的风险维度及触发条件，其中，风险维度用于反映反欺诈操作防范风险的类别。

本实施例中，反欺诈规则用于配置风险维度组合。通过动态解析新生效的反欺诈规则到引擎中心，选取新生效的反欺诈规则中的风险维度组合中各个风险维度对应的各个反欺诈操作，并当存在欺诈风险的设备满足选取的至少一个反欺诈操作的触发条件时，触发该至少一个反欺诈操作。

本公开实施例中在安全产品领域内，打通了风险全链路，公开了诈骗信息收集方式，风险防控从被动转为主动，从而有效守护用户财产安全。

具体包括：诈骗信息捕获和客户信息收集,，可以通过收集暗网数据、SSL证书监控、客服反馈等诈骗数据捕获，结合用户注册信息，访问日志等信息对诈骗信息和客户信息进行多维度收集加工。

基于自然搜素语言，通过模板数据可进行热加载进行数据检索配置，根据模板排列组合使数据分析灵活可配置，配置产出数据可以绘制出风险画像。

风险防控类型多样，防控分为事前、事中和事后，事前基于诈骗信息和客户信息综合分析在风险发生前提醒用户，事中在客户转账过程根据风险及时阻断资金转移，事后根据风险产生链路协助用户和相关部门进行事后补救；而且可以从事后追查问题提升到事前预防，防范效果显著。

图2是本发明一种基于数据挖掘的反欺诈装置，如图2所示，所述装置包括：

分析模块21，用于基于设备信息分析设备用户行为习惯；

识别模块22，用于根据设备用户行为习惯和设备周边风险信息识别存在欺诈风险的设备；

反欺诈模块23，用于根据设备用户信息和/或设备用户当前行为对所述存在欺诈风险的设备进行反欺诈操作。

根据本发明一种优选的实施方式，所述反欺诈模块23包括：

发送模块，用于根据设备用户信息对所述存在欺诈风险的设备进行级别划分，并向低于预定级别的存在欺诈风险的设备发送触达信息；

第一阻断模块，用于根据设备用户当前行为、设备用户信用评估结果及设备用户申请互联网服务的目评估结果识别恶意申请互联网服务的设备，并阻断所述设备的申请；

第二阻断模块，用于基于风险情报信息和设备用户当前行为识别被风险从业人员诱导申请互联网服务的设备，并阻断所述设备的申请。

根据本发明一种优选的实施方式，所述分析模块21包括：

第一采集模块，用于采集五元组信息生成设备用户行为数据；

第二采集模块，用于采集设备用户信息生成设备用户画像；

子分析模块，用于根据所述设备用户行为数据和所述设备用户画像分析设备用户行为习惯。

根据本发明一种优选的实施方式，所述识别模块22包括：

第三采集模块，用于采集设备周边风险信息；

比较模块，用于将设备用户行为习惯与设备周边风险信息进行比较，确定该设备是否有周边风险；

认证模块，用于若设备有周边风险，对设备进行预设级别的多因子认证；

子识别模块，用于若设备未通过所述预设级别的多因子认证，将设备识别为存在欺诈风险的设备；

其中，所述设备周边风险包括：设备变更、设备地理位置变更、设备异常访问时间中的至少一种。

根据本发明一种优选的实施方式，所述装置还包括：调整模块，用于若设备通过所述预设级别的多因子认证，将所述预设级别的多因子认证调整为下一预设级别的多因子认证；所述下一预设级别的多因子认证的认证难度大于所述预设级别的多因子认证。

本领域技术人员可以理解，上述装置实施例中的各模块可以按照描述分布于装置中，也可以进行相应变化，分布于不同于上述实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

下面描述本发明的电子设备实施例，该电子设备可以视为对于上述本发明的方法和装置实施例的实体形式的实施方式。对于本发明电子设备实施例中描述的细节，应视为对于上述方法或装置实施例的补充；对于在本发明电子设备实施例中未披露的细节，可以参照上述方法或装置实施例来实现。

图3是根据本发明的一种电子设备的示例性实施例的结构框图。图3显示的电子设备仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图3所示，该示例性实施例的电子设备300以通用数据处理设备的形式表现。电子设备300的组件可以包括但不限于：至少一个处理单元310、至少一个存储单元320、连接不同电子设备组件(包括存储单元320和处理单元310)的总线330、显示单元340等。

其中，所述存储单元320存储有计算机可读程序，其可以是源程序或都只读程序的代码。所述程序可以被处理单元310执行，使得所述处理单元310执行本发明各种实施方式的步骤。例如，所述处理单元310可以执行如图1所示的步骤。

所述存储单元320可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)3201和/或高速缓存存储单元3202，还可以进一步包括只读存储单元(ROM)3203。所述存储单元320还可以包括具有一组(至少一个)程序模块3205的程序/实用工具3204，这样的程序模块3205包括但不限于：操作电子设备、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线330可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

电子设备300也可以与一个或多个外部设备100(例如键盘、显示器、网络设备、蓝牙设备等)通信，使得用户能经由这些外部设备100与该电子设备300交互，和/或使得该电子设备300能与一个或多个其它数据处理设备(例如路由器、调制解调器等等)进行通信。这种通信可以通过输入/输出(I/O)接口350进行，还可以通过网络适配器360与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)进行。网络适配器360可以通过总线330与电子设备300的其它模块通信。应当明白，尽管图3中未示出，电子设备300中可使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID电子设备、磁带驱动器以及数据备份存储电子设备等。

图4是本发明的一个计算机可读介质实施例的示意图。如图4所示，所述计算机程序可以存储于一个或多个计算机可读介质上。计算机可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的电子设备、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。当所述计算机程序被一个或多个数据处理设备执行时，使得该计算机可读介质能够实现本发明的上述方法，即：基于设备信息分析设备用户行为习惯；根据设备用户行为习惯和设备周边风险信息识别存在欺诈风险的设备；根据设备用户信息和/或设备用户当前行为对所述存在欺诈风险的设备进行反欺诈操作。

通过以上的实施方式的描述，本领域的技术人员易于理解，本发明描述的示例性实施例可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本发明实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个计算机可读的存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台数据处理设备(可以是个人计算机、服务器、或者网络设备等)执行根据本发明的上述方法。

所述计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读存储介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行电子设备、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语音的任意组合来编写用于执行本发明操作的程序代码，所述程序设计语音包括面向对象的程序设计语音—诸如Java、C++等，还包括常规的过程式程序设计语音—诸如“C”语音或类似的程序设计语音。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

综上所述，本发明可以执行计算机程序的方法、装置、电子设备或计算机可读介质来实现。可以在实践中使用微处理器或者数字信号处理器(DSP)等通用数据处理设备来实现本发明的一些或者全部功能。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，应理解的是，本发明不与任何特定计算机、虚拟装置或者电子设备固有相关，各种通用装置也可以实现本发明。以上所述仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (14)

1.一种基于数据挖掘的反欺诈方法，其特征在于，所述方法包括：

基于设备信息分析设备用户行为习惯；

根据设备用户行为习惯和设备周边风险信息识别存在欺诈风险的设备；

根据设备用户信息和/或设备用户当前行为对所述存在欺诈风险的设备进行反欺诈操作。

2.根据权利要求1所述的方法，其特征在于，所述根据设备用户信息和/或设备用户当前行为对所述存在欺诈风险的设备进行反欺诈操作包括：

根据设备用户信息对所述存在欺诈风险的设备进行级别划分，并向低于预定级别的存在欺诈风险的设备发送触达信息；和/或，

根据设备用户当前行为、设备用户信用评估结果及设备用户申请互联网服务的目评估结果识别恶意申请互联网服务的设备，并阻断所述设备申请所述互联网服务；和/或，

基于风险情报信息和设备用户当前行为识别被风险从业人员诱导申请互联网服务的设备，并阻断所述设备申请所述互联网服务。

3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

定期获取新生效的反欺诈规则；

基于新生效的反欺诈规则对存在欺诈风险的设备进行反欺诈操作。

4.根据权利要求1-3任意一项所述的方法，其特征在于，所述基于设备信息分析设备用户行为习惯包括：

根据采集到的五元组信息生成设备用户行为数据；

根据采集到的设备用户信息生成设备用户画像；

根据所述设备用户行为数据和所述设备用户画像分析设备用户行为习惯。

5.根据权利要求1-4任意一项所述的方法，其特征在于，所述根据设备用户行为习惯和设备周边风险信息识别存在欺诈风险的设备包括：

采集设备周边风险信息；

将设备用户行为习惯与设备周边风险信息进行比较，确定该设备是否有周边风险；

若设备有周边风险，对设备进行预设级别的多因子认证；

若设备未通过所述预设级别的多因子认证，将设备识别为存在欺诈风险的设备；

其中，所述设备周边风险包括：设备变更、设备地理位置变更、设备异常访问时间中的至少一种。

6.根据权利要求5所述的方法，其特征在于，若设备通过所述预设级别的多因子认证，将所述预设级别的多因子认证调整为下一预设级别的多因子认证；所述下一预设级别的多因子认证的认证难度大于所述预设级别的多因子认证。

7.一种基于数据挖掘的反欺诈装置，其特征在于，所述装置包括：

分析模块，用于基于设备信息分析设备用户行为习惯；

识别模块，用于根据设备用户行为习惯和设备周边风险信息识别存在欺诈风险的设备；

反欺诈模块，用于根据设备用户信息和/或设备用户当前行为对所述存在欺诈风险的设备进行反欺诈操作。

8.根据权利要求7所述的装置，其特征在于，所述反欺诈模块包括：

发送模块，用于根据设备用户信息对所述存在欺诈风险的设备进行级别划分，并向低于预定级别的存在欺诈风险的设备发送触达信息；和/或，

第一阻断模块，用于根据设备用户当前行为、设备用户信用评估结果及设备用户申请互联网服务的目评估结果识别恶意申请互联网服务的设备，并阻断所述设备申请互联网服务；和/或，

第二阻断模块，用于基于风险情报信息和设备用户当前行为识别被风险从业人员诱导申请互联网服务的设备，并阻断所述设备申请互联网服务。

9.根据权利要求7或8所述的装置，其特征在于，所述装置还包括：

获取模块，用于定期获取新生效的反欺诈规则；

动态反欺诈模块，用于基于新生效的反欺诈规则对存在欺诈风险的设备进行反欺诈操作。

10.根据权利要求7-9任意一项所述的装置，其特征在于，所述分析模块包括：

第一生成模块，用于根据采集到的五元组信息生成设备用户行为数据；

第二生成模块，用于根据采集到的设备用户信息生成设备用户画像；

子分析模块，用于根据所述设备用户行为数据和所述设备用户画像分析设备用户行为习惯。

11.根据权利要求7-10任意一项所述的装置，其特征在于，所述识别模块包括：

第三采集模块，用于采集设备周边风险信息；

比较模块，用于将设备用户行为习惯与设备周边风险信息进行比较，确定该设备是否有周边风险；

认证模块，用于若设备有周边风险，对设备进行预设级别的多因子认证；

子识别模块，用于若设备未通过所述预设级别的多因子认证，将设备识别为存在欺诈风险的设备；

其中，所述设备周边风险包括：设备变更、设备地理位置变更、设备异常访问时间中的至少一种。

12.根据权利要求11所述的装置，其特征在于，所述装置还包括：调整模块，用于若设备通过所述预设级别的多因子认证，将所述预设级别的多因子认证调整为下一预设级别的多因子认证；所述下一预设级别的多因子认证的认证难度大于所述预设级别的多因子认证。

13.一种电子设备，包括：

处理器；以及

存储计算机可执行指令的存储器，所述计算机可执行指令在被执行时使所述处理器执行根据权利要求1-6中任一项所述的方法。

14.一种计算机可读存储介质，其中，所述计算机可读存储介质存储一个或多个程序，当所述一个或多个程序被处理器执行时，实现权利要求1-6中任一项所述的方法。

Images