CN117057808A - 充值风险行为的识别方法、装置、电子设备及介质 - Google Patents

Abstract

本申请公开了一种充值风险行为的识别方法、装置、电子设备及介质，其方法包括：获取第一用户通过前端应用充值渠道进行充值的交易数据；对所述交易数据进行特征提取，得到至少一项监测数据；确定所述监测数据是否满足预设的充值风险规则，得到至少一项风险监测结果；根据所述风险监测结果确定行为风险等级，并根据所述行为风险等级对所述第一用户的充值行为进行风险预警。本申请能够有效识别用户在充值过程中的发生的充值风险行为，有效预防钓鱼诈骗，减少用户损失，维护企业形象。

Description

充值风险行为的识别方法、装置、电子设备及介质

技术领域

本申请涉及风险监测技术领域，具体涉及一种充值风险行为的识别方法、装置、电子设备及介质。

背景技术

随着电子商务的发展，越来越多的人使用线上应用办理各种业务。

对于加油站或者充电场站来说，业务重点也逐渐转移到线上应用，但是线上应用存在很多不安全隐患，如一些钓鱼诈骗行为都是采用应用软件进行的。

而现有技术中，对于加油站或者充电场站的风控普遍集中于物理安全上，如火灾、爆炸等；而对金融风险鲜有研究。

发明内容

针对上述问题，本申请实施例提供了一种充值风险行为的识别方法、装置、电子设备及介质，以克服或者至少部分克服现有技术的不足之处。

第一方面，本申请实施例提供了一种充值风险行为的识别方法，包括：

获取第一用户通过前端应用充值渠道进行充值的交易数据；

对所述交易数据进行特征提取，得到至少一项监测数据；

确定所述监测数据是否满足预设的充值风险规则，得到至少一项风险监测结果；

根据至少一项所述风险监测结果确定行为风险等级，并根据所述行为风险等级对所述第一用户的充值行为进行风险预警。

可选的，在上述方法中，所述前端应用充值渠道为前端应用充值二维码或者前端应用充值链接。

可选的，在上述方法中，所述监测数据为多项；所述确定所述监测数据是否满足预设的充值风险规则，包括：

并行确定各项所述监测数据是否满足对应的充值风险子规则；

若多项所述监测数据中的任意一项或几项分别满足对应的充值风险子规则，则确定所述监测数据满足预设的充值风险规则；

若各项所述监测数据均不满足对应的充值风险子规则，则确定所述监测数据不满足预设的充值风险规则。

可选的，在上述方法中，所述监测数据包括：充值登录设备关联的前端应用的账户数量、充值登录设备IP归属地、用户在预设历史时长内的充值次数、用户发起充值请求的IP归属地和用户充值地址、所述前端应用充值渠道的第二用户账号关联的第三方支付OpenID的数量、和所述第一用户的第三方支付OpenID关联的前端应用的账号数量中的至少两项；

所述并行确定各项所述监测数据是否满足对应的充值风险子规则，包括：

并行执行以下预警判断步骤中的至少两项：

预警判断步骤1：判断所述充值登录设备关联的账户数量是否大于等于预设的第一数量阈值，若是，则确定所述充值登录设备关联的账户数量满足对应的充值风险子规则，否则，则确定所述充值登录设备关联的账户数量不满足对应的充值风险子规则；

预警判断步骤2：判断所述充值登录设备IP归属地是否属于预设的IP归属异常范围，若是，则确定所述充值登录设备IP归属地满足对应的充值风险子规则，否则，则确定所述充值登录设备IP归属地不满足对应的充值风险子规则；

预警判断步骤3：判断所述用户在预设历史时长内的充值次数是否大于预设的充值次数阈值，若是，则确定所述用户在预设历史时长内的充值次数满足对应的充值风险子规则，否则，则确定所述用户在预设历史时长内的充值次数不满足对应的充值风险子规则；

预警判断步骤4：判断所述用户发起充值请求的IP归属地和所述用户充值地址是否一致，若不一致，在确定所述用户发起充值请求的IP归属地满足对应的充值风险子规则，否则，则确定所述用户发起充值请求的IP归属地不满足对应的充值风险子规则；

预警判断步骤5：判断所述前端应用充值渠道的第二用户账号关联的第三方支付OpenID的数量是否大于等于第二数量阈值，若是，则确定所述前端应用充值渠道的第二用户账号关联的第三方支付OpenID的数量满足对应的充值风险子规则，否则，则确定所述前端应用充值渠道的第二用户账号关联的第三方支付OpenID的数量不满足对应的充值风险子规则；

预警判断步骤6：判断确定所述第一用户的第三方支付OpenID关联的前端应用的账号数量是否大于等于第三数量阈值，若是，则确定所述第一用户的第三方支付OpenID关联的前端应用的账号数量满足对应的充值风险子规则，否则，则确定所述第一用户的第三方支付OpenID关联的前端应用的账号数量不满足对应的充值风险子规则。

可选的，在上述方法中，所述根据至少一项所述风险监测结果确定行为风险等级，包括：

为各项所述监测数据分配权重；

基于分配的权重，为各项所述监测数据对应的风险监测结果打分；

对各项所述风险监测结果的打分结果进行加和，得到行为风险等级分数；

根据行为风险等级分数，确定对应的行为风险等级。

可选的，在上述方法中，所述根据所述行为风险等级对所述第一用户的充值行为进行风险预警，包括：

中断所述第一用户通过所述前端应用充值渠道生成充值订单；

若所述行为风险等级为低级，则向所述第一用户的终端发送支付行为的风险提示，并响应于所述第一用户对所述风险提示的忽略操作，恢复所述充值订单；

若所述行为风险等级为中级，则向所述第一用户的终端发送支付行为的验证链接，并响应于所述第一用户对所述验证链接的验证操作，确定验证通过结果并恢复所述充值订单；

若所述行为风险等级为高级，则阻断所述充值订单的生成。

可选的，在上述方法中，所述根据所述行为风险等级对所述第一用户的充值行为进行风险预警，还包括：

响应于所述第一用户对所述风险提示的确认操作，阻断所述充值订单的生成；

若确定所述第一用户对所述验证链接的验证结果为不通过，则阻断所述充值订单的生成。

第二方面，本申请实施例还提供了一种充值风险行为的识别装置，所述装置包括：

获取单元，用于获取第一用户通过前端应用充值渠道进行充值的交易数据；

提取单元，用于对所述交易数据进行特征提取，得到至少一项监测数据；

判断单元，用于确定所述监测数据是否满足预设的充值风险规则，得到至少一项风险监测结果；

预警单元，用于根据至少一项所述风险监测结果确定行为风险等级，并根据所述行为风险等级对所述用户的充值行为进行风险预警。

第三方面，本申请实施例还提供了一种电子设备，包括：处理器；以及被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行上述的充值风险行为的识别方法。

第四方面，本申请实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质存储一个或多个程序，所述一个或多个程序当被包括多个应用程序的电子设备执行时，使得所述电子设备执行上述的充值风险行为的识别方法。

本申请实施例采用的上述至少一个技术方案能够达到以下有益效果：

本申请针对加油站以及充电场站的充值场景，提出一种充值风险行为的识别方法，获取用户在通过前端应用充值渠道进行充值过程中产生的交易数据，对交易数据进行特征提取，得到至少一项监测数据，然后基于预设的充值风险规则对监测数据风险预警，得到至少一项风险监测结果，然后根据一个或者多个风险监测结果确定对应的行为风险等级，并根据行为风险等级对用户的充值行为执行相应的风险预警措施。本申请能够有效识别用户在充值过程中的发生的充值风险行为，有效预防钓鱼诈骗，减少用户损失，维护企业形象。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1示出了根据本申请的一个实施例的充值风险行为的识别方法的流程示意图；

图2示出了根据本申请的一个实施例的充值风险行为的识别系统的结构示意图；

图3示出了根据本申请的另一个实施例的充值风险行为的识别方法的流程示意图；

图4示出了根据本申请的一个实施例的充值风险行为的识别装置的结构示意图；

图5为本申请实施例中一种电子设备的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

以下结合附图，详细说明本申请各实施例提供的技术方案。

随着电子金融的发展，电信诈骗也越来越猖獗。一些诈骗分子会采用一些现有的前端应用的支付渠道进行诈骗，由于加油站或者充电场站的前端应用经常采用提前充值的方式，且具有提现方便的特点，成为一些诈骗分子的青睐的对象。

采用加油站或者充电场站的前端应用的支付二维码或者支付链接进行诈骗的行为可简述如下：一些诈骗分子与诈骗对象进行联系时，向诈骗对象发送加油站或者充电场站的前端应用的支付二维码或者支付链接，诈骗对象通过支付二维码或者支付链接进行付款，这些款项则流入了诈骗分子的加油站或者充电场站的前端应用的账号中，诈骗分子再进行套现，实现诈骗款的洗白；同时，诈骗对象发现自己的钱流向了某个企业的前端应用，如团油或者快电等，可能对该企业进行投诉以及款项追回，对企业形象的负面影响。

对此，本申请提供了一种充值风险行为的识别方法，本申请的主要构思在于：获取用户在目标前端应用进行交易的充值时候产生的交易数据，通过对交易数据进行特征提取和特征分析，确定是否有发生钓鱼诈骗的风险；若是则可以通过对用户的充值行为进行预警甚至阻断，来避免用户的损失。

图1示出了根据本申请的一个实施例的充值风险行为的识别方法的流程示意图，从图1可以看出，本申请至少包括步骤S110～步骤S140：

步骤S110：获取第一用户通过前端应用充值渠道进行充值的交易数据。

本申请的充值风险行为的识别方法可以由风控服务器执行，具体执行时，可以在用户的终端设备，如手机中以插件或者SDK等形式实现数据获取功能，需要说明的是，在实际场中中，这种功能的实现是经过用户授权的。

将进行充值的用户记为第一用户，在本申请的一些实施例中，所述前端应用充值渠道以前端应用充值二维码或者前端应用充值链接等形式展现，以下为了方便陈述均已充值二维码的形式进行说明。

在用户进行各种线上业务时，经常出现通过一个业务人员(本申请中记为第二用户)发送的充值二维码进行充值或者缴费的场景，比如保险费用的缴纳、账号的充值等等。

一些诈骗分子可能利用用户的充值行为进行诈骗，比如诈骗分子(第二用户)将自己账号的前端应用的充值二维码发送给诈骗对象(第一用户)，诈骗对象采用该充值二维码充值后，其钱财就会流入诈骗分子的前端应用的账号中，从而造成诈骗对象经济上的损失。

因此，本申请提出了充值风险行为的识别方法，主要适用于上述场景中对风险行为的识别。首先，获取第一用户通过前端应用充值渠道进行充值的交易数据，如一个用户通过识别一个前端应用，如团油的充电二维码进行充值时产生的交易数据。

图2示出了根据本申请的一个实施例的充值风险行为的识别系统的结构示意图，从图2可以看出，充值风险行为的识别系统200包括风控服务器210以及部署于用户终端的风控SDK 220，风控SDK 220在用户授权的前提下，具有获取用户的交易数据的功能；其中，风控服务器210中部署有可实现本申请的充值风险行为的识别方法的充值风险行为的识别装置400(图4)。

本申请的充值风险行为的识别方法应用于风控服务器210，需要说明的是，图2仅作为一个示例性的说明，不对本申请构成任何的限制，凡是能够实现本申请的充值风险行为的识别方法的业务逻辑的系统或者架构均可，如将充值风险行为的识别方法的业务逻辑同样集成于SDK中，以插件形式部署到用户终端中，对此本申请不作限定，课根据需要选择。

需要说明的是，本申请的充值风险行为的识别方法是一个实时的，即当用于对充电二维码进行识别或者扫描时，即触发风控SDK 220的一个交易数据的获取行为，风控SDK220在获取到第一用户的交易数据后，将其发送至风控服务器210。

交易数据中包括但不限于：充值登录设备信息、用户历史交易信息等等，对此本申请不作限定，可以根据需要设定。

步骤S120：对所述交易数据进行特征提取，得到至少一项监测数据。

在获取到原始的交易数据后，可以对交易数据进行特征提取，特征提取可以为但不限于：预处理、数据清洗、关键词提取等等。提取后，得到一项或者多项监测数据。

在本申请的一些实施例中，监测数据包括但不限于用户设备充值登录设备关联的前端应用的账户数量、充值登录设备IP归属地、用户在预设历史时长内的充值次数、用户发起充值请求的IP归属地和用户充值地址、所述前端应用充值渠道的第二用户关联的第三方支付OpenID的数量、和所述第一用户的第三方支付OpenID关联的前端应用的账号数量中的一项或者多项。

步骤S130：确定所述监测数据是否满足预设的充值风险规则，得到至少一项风险监测结果。

本申请中事先根据异常充值的特点抽象得到了充值风险规则，当一个用户的监测数据满足预设的充值风险规则的前提下，就有可能发生充值风险行为。

具体的，对于每一项监测数据提前设置有对应的充值风险规则，记为充值风险子规则，基于提取的监测数据，运行对应的充值风险子规则，即可得到对应的风险监测结果。

当监测数据为一项时，可以直接根据对应的充值风险子规则进行运算，以及确定对应的风险监测结果。

当监测数据为多项时，对各项监测数据的风险预警可以是串行的也可以是并行的，优选的，由于本申请的各项监测数据中相互没有影响，且后续中对于每一项风险监测结果均可能使用，为了提高计算效率，可以并行确定各项所述监测数据是否满足对应的充值风险子规则；若多项所述监测数据中的任意一项或几项分别满足对应的充值风险子规则，则确定所述监测数据满足预设的充值风险规则；只有当各项所述监测数据均不满足对应的充值风险子规则，则确定所述监测数据不满足预设的充值风险规则。

在本申请的一些实施例中，风险监测结果可以以表示一项监测数据是否满足对应的充值风险子规则的代码来体现，如0或者1，当一项监测数据的风险监测结果为指定代码，如1，则表示存在这诈骗等行为的风险。

在本申请的另一些实施例中，风险监测结果也可以以分数的形式展现。如提取到多项监测数据，如果一项监测数据满足对应的充值风险子规则，则为该项记10分，当分数累计到一定值，则表示存在这风险行为的风险。

在本申请的一些实施例中，对于监测数据充值登录设备关联的账户数量、充值登录设备IP归属地、用户在预设历史时长内的充值次数、用户发起充值请求的IP归属地和用户充值地址、所述前端应用充值渠道的第二用户关联的第三方支付OpenID的数量、和所述第一用户的第三方支付OpenID关联的前端应用的账号数量分别设置了对应的充值风险子规则。对于这些监控数据，可以分别采用下述的预警判断步骤1～6中的方法判断其是否满足对应的充值风险子规则。

且当监测数据为多项时，可以并行确定各项所述监测数据是否满足对应的充值风险子规则，即并行执行以下预警判断步骤中的至少两项：

预警判断步骤1：判断所述充值登录设备关联的账户数量是否大于等于预设的第一数量阈值，若是，则确定该项监测数据满足对应的充值风险子规则，否则，则确定该项监测数据不满足预设的充值风险子规则。

其中，充值登录设备指的是第一用户采用的进行充值的终端设备，如第一用户的手机；充值登录设备关联的前端应用的账户数量是指该充值登录设备上关联的应用前端的用户的数量，如第一用户的同一个手机上登录过的多个团油的账号，则将每一个不同的账号记为一个用户，如一个手机上登录过的5个团油的账号，则充值登录设备关联的账户数量为5。

通常一个用户只有一个账户数量，如果单一设备关联账号过多，则可能出现问题，因此所述充值登录设备关联的账户数量是否大于等于预设的第一数量阈值，如4个，若是，则确定所述监测数据满足对应的充值风险子规则，否则，则确定所述监测数据不满足预设的充值风险子规则。预警判断步骤2：判断所述充值登录设备IP归属地是否属于预设的IP归属异常范围，若是，则确定该项监测数据满足对应的充值风险子规则，否则，则确定该项监测数据不满足对应的充值风险子规则。

其中，充值登录设备IP归属地指的是充值登录设备的网络地址，根据充电场站的经营范围，预设有IP归属异常范围，如海外等充电场站没有覆盖的地方，都可以列入到IP归属异常范围内，如果充值登录设备IP归属地属于预设的IP归属异常范围，则确定所述监测数据满足预设的充值风险子规则，否则，则确定所述监测数据不满足预设的充值风险子规则。

预警判断步骤3：判断所述用户在预设历史时长内的充值次数是否大于预设的充值次数阈值，若是，则确定该项监测数据满足对应的充值风险子规则，否则，则确定该项监测数据不满足对应的充值风险子规则。

其中，用户在预设历史时长内的充值次数是指在过去历史一段时间内，通过前端应用充值渠道进行充值的总次数，如果一个用户频繁充值，肯定是有问题的，如可以获取用户过去7天内的充值次数，若其大于预设次数，如3次，则确定所述监测数据满足预设的充值风险子规则，否则，则确定所述监测数据不满足预设的充值风险子规则。

预警判断步骤4：判断所述用户发起充值请求的IP归属地和所述用户充值地址是否一致，若不一致，则确定该项监测数据满足对应的充值风险子规则，否则，则确定该项监测数据不满足对应的充值风险子规则。

其中，用户发起充值请求的IP归属地可以为用户终端设备(充值登录设备)发出的请求的IP归属地，用户发起充值请求的IP归属地通常与前述的充值登录设备IP归属地一致，由于一些网络问题，也有可能不一致。用户充值地址可以理解为用户经常使用的充电地址或者在比较近的历史时间内发生充电的地址，判断所述用户发起充值请求的IP归属地和所述用户充值地址是否一致，若不一致，确定所述监测数据满足预设的充值风险子规则，否则，则确定所述监测数据不满足预设的充值风险子规则。

预警判断步骤5：判断所述前端应用充值渠道的第二用户账户关联的第三方支付OpenID的数量是否大于等于第二数量阈值，若是，则确定该项监测数据满足对应的充值风险子规则，否则，则确定该项监测数据不满足对应的充值风险子规则。

其中，将提供前端应用充值渠道的人记为第二用户，如果第一用户通过提供前端应用充值渠道向自己的账号中进行充值，则第一用户与第二用户相同；如果发生诈骗行为，则第一用户与第二用户不同，第一用户则是通过提供前端应用充值渠道进行充值，则会向他人的账号中进行充值。

对前端应用账号进行充值时，通常采用第三方平台的支付方式，如支付宝，如果第二用户是一个诈骗分子，则可能为其前端应用账号充值的第一用户有很多，其前端应用账号就会与多个第一用户的第三方支付OpenID产生关联，可以理解为若一个前端应用账户关联的第三方支付OpenID过多，则存在诈骗行为的风险，而且风险比较高。通过判断所述前端应用充值渠道的第二用户账户关联的第三方支付OpenID的数量是否大于等于第二数量阈值可以得知这个用户的充值行为是否存在风险，若前端应用充值渠道的第二用户账户关联的第三方支付OpenID的数量大于等于第二数量阈值，如6个，则确定所述监测数据满足预设的充值风险子规则，否则，则确定所述监测数据不满足预设的充值风险子规则。

预警判断步骤6：判断确定所述第一用户的第三方支付OpenID关联的前端应用的账号数量是否大于等于第三数量阈值，若是，则确定该项监测数据满足对应的充值风险子规则，否则，则确定该项监测数据不满足对应的充值风险子规则。

诈骗分子对一个诈骗对象进行诈骗时，为了防止由于金额过大被限制等原因，可能个诈骗对象发送多个前端应用的充值二维码，引导诈骗对象进行充值。而诈骗对象通常是采用一个第三方账号对多个前端应用的账号进行充值，因此，可通过判断确定所述第一用户的第三方支付OpenID关联的前端应用的账号数量是否大于等于第三数量阈值来确定是否存在这种风险，判断确定所述第一用户的第三方支付OpenID关联的前端应用的账号数量是否大于等于第三数量阈值，如3个，若是，则确定所述监测数据满足预设的充值风险规则，否则，则确定所述监测数据不满足预设的充值风险规则。

步骤S140：根据至少一项所述风险监测结果确定行为风险等级，并根据所述行为风险等级对所述用户的充值行为进行风险预警。

在本申请的一些实施例中，为每一项监测数据设置了对应的行为风险等级，如充值登录设备关联的账户数量对应的行为风险等级为中级、充值登录设备IP归属地对应的行为风险等级为低级等等。

当监测数据为一项时，可以直接根据风险监测结果确定对应的行为风险等级。如监测数据额外充值登录设备关联的账户数量，且确定其满足对应的充值风险子规则，然后根据该风险监测结果确定对应的行为风险等级为中级。

在本申请的另一些实施例中，当监测数据为多项时，所述根据各项所述风险监测结果确定行为风险等级，包括：为各项所述监测数据分配权重；基于分配的权重，为各项监测数据对应的风险监测结果打分；对各项所述风险监测结果的打分结果进行加和，得到行为风险等级分数；根据行为风险等级分数，确定对应的行为风险等级。

当监测数据为多项时，可以将多项监测数据的多个风险监测结果结合起来，确定最终的行为风险等级，如为各项监测数据分配权重，并对各项监测数据对应的风险监测结果进行打分，如每一项监测数据满足对应的充值风险子规则，则其风险监测结果基础分是10分，每一项监测数据不满足对应的充值风险子规则，则其风险监测结果基础分是0分；进行打分时，如果一项监测数据满足对应的充值风险子规则，则对将其权重与基础分10进行乘积，得到该项监测数据的风险监测结果的打分结果；如果一项监测数据不满足对应的充值风险子规则，则对将其权重与基础分0进行乘积，得到该项监测数据的风险监测结果的打分结果；最后将多项打分进行加和，得到最终的打分结果。

可以提前预设打分结果对应的行为风险等级，根据最终的打分结果，即可以确定命中的行为风险等级。行为风险等级包括但不限于高级、中级和低级。

以上打分方式仅作为示例性的说明，本申请对打分的方式不作限定，可以根据业务需要进行设置。

本申请还根据不同的行为风险等级设置了不同的防御措施，来避免用户的损失，具体的，所述根据所述行为风险等级对所述用户的充值行为进行风险预警，包括：中断所述第一用户通过前端应用充值渠道生成充值订单；若所述行为风险等级为低级，则向所述第一用户终端发送支付行为的风险提示，并响应于所述第一用户对所述风险提示的忽略操作，恢复所述充值订单；若所述行为风险等级为中级，则向所述第一用户终端发送支付行为的验证链接，并响应于所述第一用户对所述验证链接的验证操作，确定验证通过结果并恢复所述充值订单；若所述行为风险等级为高级，则阻断充值订单的生成；在另一些实施例中，所述根据所述行为风险等级对所述用户的充值行为进行风险预警，还包括：响应于所述第一用户对所述风险提示的确认操作，阻断所述充值订单的生成；若确认所述第一用户对所述验证链接的验证结果为不通过，则阻断所述充值订单的生成。

第一用户在通过前端应用充值渠道进行充值时，后台的整体流程是创建充值订单然后跳转到支付链接，以供第一用户进行充值。

当确定用户行为存在风险时，中断第一用户通过前端应用充值渠道生成的充值订单，并且根据不同的行为风险等级，执行不同的防御措施。

具体的，若行为风险等级为低级，则风控服务器可以向第一用户的终端发送支付行为的风险提示，并且给出第一用户两个选择，一个为确认一个为忽略，若用户选择忽略，则风控服务器响应于第一用户对风险提示的忽略操作，恢复所述充值订单；若用户选择确认，风控服务器阻断充值订单的生成。

若行为风险等级为中级，风控服务器则向第一用户的终端发送支付行为的验证链接，验证链接中包含验证码或者刷脸等形式的验证内容，用户对验证连接进行操作，风控服务器响应于第一用户对所述验证链接的验证操作，确认验证结果为通过或者为不通过，若验证结果为通过，则并恢复所述充值订单；若验证结果为不通过，则阻断充值订单的生成。

若所述行为风险等级为高级，则说明风险较高，则直接阻断充值订单的生成。

由图1所示的方法可以看出，本申请针对加油站以及充电场站的充值场景，提出一种充值风险行为的识别方法，获取用户在通过前端应用充值渠道进行充值过程中产生的交易数据，对交易数据进行特征提取，得到至少一项监测数据，然后基于预设的充值风险规则对监测数据风险预警，得到至少一项风险监测结果，然后根据一个或者多个风险监测结果确定对应的行为风险等级，并根据行为风险等级对用户的充值行为执行相应的风险预警措施。本申请能够有效识别用户在充值过程中的发生的充值风险行为，有效预防钓鱼诈骗，减少用户损失，维护企业形象。

图3示出了根据本申请的另一个实施例的充值风险行为的识别方法的流程示意图。从图3可以看出，本实施例包括：

获取第一用户通过前端应用充值渠道进行充值的交易数据。

对所述交易数据进行特征提取，得到多项监测数据，监测数据包括：充值登录设备关联的前端应用的账户数量、充值登录设备IP归属地、用户在预设历史时长内的充值次数、用户发起充值请求的IP归属地和用户充值地址、所述前端应用充值渠道的第二用户账号关联的第三方支付OpenID的数量、和所述第一用户的第三方支付OpenID关联的前端应用的账号数量。

采用多个线程，并行执行前述的预警判断步骤1～预警判断步骤6，分别得到风险监测结果1～风险监测结果6。

根据预分配的权重，对各风险监测结果进行打分，并计算总分数，进一步确定对应的行为风险等级。

若行为风险等级为低级，则对用户进行风险提醒。

若行为风险等级为中级，则提示用户进行刷脸验证。

若行为风险等级为高级，则阻断充值订单的生成。

图4示出了根据本申请的一个实施例的充值风险行为的识别装置的结构示意图，从图4可以看出，充值风险行为的识别装置400包括：

获取单元410，用于获取第一用户通过前端应用充值渠道进行充值的交易数据；

提取单元420，用于对所述交易数据进行特征提取，得到至少一项监测数据；

判断单元430，用于确定所述监测数据是否满足预设的充值风险规则，得到至少一项风险监测结果；

预警单元440，用于根据所述风险监测结果确定行为风险等级，并根据所述行为风险等级对所述用户的充值行为进行风险预警。

在本申请的一些实施例中，在上述装置中，所述前端应用充值渠道为前端应用充值二维码或者前端应用充值链接。

在本申请的一些实施例中，在上述装置中，所述监测数据为多项；所述判断单元430，用于并行确定各项所述监测数据是否满足对应的充值风险子规则；若多项所述监测数据中的任意一项或几项分别满足对应的充值风险子规则，则确定所述监测数据满足预设的充值风险规则；若各项所述监测数据均不满足对应的充值风险子规则，则确定所述监测数据不满足预设的充值风险规则。

在本申请的一些实施例中，在上述装置中，所述监测数据包括：充值登录设备关联的账户数量、充值登录设备IP归属地、用户在预设历史时长内的充值次数、用户发起充值请求的IP归属地和用户充值地址、所述前端应用充值渠道的第二用户账号关联的第三方支付OpenID的数量、和所述第一用户的第三方支付OpenID关联的前端应用的账户数量中的至少两项；

所述判断单元430，用于并行执行以下预警判断步骤中的至少两项：

预警判断步骤1：判断所述充值登录设备关联的账户数量是否大于等于预设的第一数量阈值，若是，则确定所述充值登录设备关联的账户数量满足对应的充值风险子规则，否则，则确定所述充值登录设备关联的账户数量不满足对应的充值风险子规则；

预警判断步骤2：判断所述充值登录设备IP归属地是否属于预设的IP归属异常范围，若是，则确定所述充值登录设备IP归属地满足对应的充值风险子规则，否则，则确定所述充值登录设备IP归属地不满足对应的充值风险子规则；

预警判断步骤3：判断所述用户在预设历史时长内的充值次数是否大于预设的充值次数阈值，若是，则确定所述用户在预设历史时长内的充值次数满足对应的充值风险子规则，否则，则确定所述用户在预设历史时长内的充值次数不满足对应的充值风险子规则；

预警判断步骤4：判断所述用户发起充值请求的IP归属地和所述用户充值地址是否一致，若不一致，在确定所述用户发起充值请求的IP归属地满足对应的充值风险子规则，否则，则确定所述用户发起充值请求的IP归属地不满足对应的充值风险子规则；

预警判断步骤5：判断所述前端应用充值渠道的第二用户账号关联的第三方支付OpenID的数量是否大于等于第二数量阈值，若是，则确定所述前端应用充值渠道的第二用户账号关联的第三方支付OpenID的数量满足对应的充值风险子规则，否则，则确定所述前端应用充值渠道的第二用户账号关联的第三方支付OpenID的数量不满足对应的充值风险子规则；

预警判断步骤6：判断确定所述第一用户的第三方支付OpenID关联的前端应用的账号数量是否大于等于第三数量阈值，若是，则确定所述第一用户的第三方支付OpenID关联的前端应用的账号数量满足对应的充值风险子规则，否则，则确定所述第一用户的第三方支付OpenID关联的前端应用的账号数量不满足对应的充值风险子规则。

在本申请的一些实施例中，在上述装置中，所述预警单元440，用于为各项所述监测数据分配权重；基于分配的权重，为各项所述监测数据对应的风险监测结果打分；对各项所述风险监测结果的打分结果进行加和，得到行为风险等级分数；根据行为风险等级分数，确定对应的行为风险等级。

在本申请的一些实施例中，在上述装置中，所述预警单元440，用于中断所述第一用户通过前端应用充值渠道生成充值订单；若所述行为风险等级为低级，则向所述第一用户的终端发送支付行为的风险提示，并响应于所述第一用户对所述风险提示的忽略操作，恢复所述充值订单；若所述行为风险等级为中级，则向所述第一用户的终端发送支付行为的验证链接，并响应于所述第一用户对所述验证链接的验证操作，确定验证通过结果并恢复所述充值订单；若所述行为风险等级为高级，则阻断充值订单的生成。

在本申请的一些实施例中，在上述装置中，所述预警单元440，还用于响应于所述第一用户对所述风险提示的确认操作，阻断所述充值订单的生成；若确定所述第一用户对所述验证链接的验证结果为不通过，则阻断所述充值订单的生成。

上述的充值风险行为的识别装置可一一前述的充值风险行为的识别方法，在此不再一一赘述。

图5是本申请的一个实施例电子设备的结构示意图。请参考图5，在硬件层面，该电子设备包括处理器，可选地还包括内部总线、网络接口、存储器。其中，存储器可能包含内存，例如高速随机存取存储器(Random-Access Memory，RAM)，也可能还包括非易失性存储器(non-volatile memory)，例如至少1个磁盘存储器等。当然，该电子设备还可能包括其他业务所需要的硬件。

处理器、网络接口和存储器可以通过内部总线相互链接，该内部总线可以是ISA(Industry Standard Architecture，工业标准体系结构)总线、PCI(PeripheralComponent Interconnect，外设部件互连标准)总线或EISA(Extended Industry StandardArchitecture，扩展工业标准结构)总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图5中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。

存储器，用于存放程序。具体地，程序可以包括程序代码，所述程序代码包括计算机操作指令。存储器可以包括内存和非易失性存储器，并向处理器提供指令和数据。

处理器从非易失性存储器中读取对应的计算机程序到内存中然后运行，在逻辑层面上形成充值风险行为的识别装置。处理器，执行存储器所存放的程序，并具体用于执行上述方法。

上述如本申请图4所示实施例揭示的充值风险行为的识别装置执行的方法可以应用于处理器中，或者由处理器实现。处理器可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器，包括中央处理器(Central ProcessingUnit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(DigitalSignal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本申请实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。

该电子设备还可执行图4中充值风险行为的识别装置执行的方法，并实现充值风险行为的识别装置在图4所示实施例的功能，本申请实施例在此不再赘述。

本申请实施例还提出了一种计算机可读存储介质，该计算机可读存储介质存储一个或多个程序，该一个或多个程序包括指令，该指令当被包括多个应用程序的电子设备执行时，能够使该电子设备执行图4所示实施例中充值风险行为的识别装置执行的方法，并具体用于执行前述方法。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种充值风险行为的识别方法，其特征在于，包括：

获取第一用户通过前端应用充值渠道进行充值的交易数据；

对所述交易数据进行特征提取，得到至少一项监测数据；

确定所述监测数据是否满足预设的充值风险规则，得到至少一项风险监测结果；

根据至少一项所述风险监测结果确定行为风险等级，并根据所述行为风险等级对所述第一用户的充值行为进行风险预警。

2.根据权利要求1所述的方法，其特征在于，所述前端应用充值渠道为前端应用充值二维码或者前端应用充值链接。

3.根据权利要求1所述的方法，其特征在于，所述监测数据为多项；所述确定所述监测数据是否满足预设的充值风险规则，包括：

并行确定各项所述监测数据是否满足对应的充值风险子规则；

若多项所述监测数据中的任意一项或几项分别满足对应的充值风险子规则，则确定所述监测数据满足预设的充值风险规则；

若各项所述监测数据均不满足对应的充值风险子规则，则确定所述监测数据不满足预设的充值风险规则。

4.根据权利要求3所述的方法，其特征在于，所述监测数据包括：充值登录设备关联的前端应用的账户数量、充值登录设备IP归属地、用户在预设历史时长内的充值次数、用户发起充值请求的IP归属地和用户充值地址、所述前端应用充值渠道的第二用户账号关联的第三方支付OpenID的数量、和所述第一用户的第三方支付OpenID关联的前端应用的账号数量中的至少两项；

所述并行确定各项所述监测数据是否满足对应的充值风险子规则，包括：

并行执行以下预警判断步骤中的至少两项：

预警判断步骤1：判断所述充值登录设备关联的账户数量是否大于等于预设的第一数量阈值，若是，则确定所述充值登录设备关联的账户数量满足对应的充值风险子规则，否则，则确定所述充值登录设备关联的账户数量不满足对应的充值风险子规则；

预警判断步骤2：判断所述充值登录设备IP归属地是否属于预设的IP归属异常范围，若是，则确定所述充值登录设备IP归属地满足对应的充值风险子规则，否则，则确定所述充值登录设备IP归属地不满足对应的充值风险子规则；

预警判断步骤3：判断所述用户在预设历史时长内的充值次数是否大于预设的充值次数阈值，若是，则确定所述用户在预设历史时长内的充值次数满足对应的充值风险子规则，否则，则确定所述用户在预设历史时长内的充值次数不满足对应的充值风险子规则；

预警判断步骤4：判断所述用户发起充值请求的IP归属地和所述用户充值地址是否一致，若不一致，在确定所述用户发起充值请求的IP归属地满足对应的充值风险子规则，否则，则确定所述用户发起充值请求的IP归属地不满足对应的充值风险子规则；

预警判断步骤5：判断所述前端应用充值渠道的第二用户账号关联的第三方支付OpenID的数量是否大于等于第二数量阈值，若是，则确定所述前端应用充值渠道的第二用户账号关联的第三方支付OpenID的数量满足对应的充值风险子规则，否则，则确定所述前端应用充值渠道的第二用户账号关联的第三方支付OpenID的数量不满足对应的充值风险子规则；

预警判断步骤6：判断确定所述第一用户的第三方支付OpenID关联的前端应用的账号数量是否大于等于第三数量阈值，若是，则确定所述第一用户的第三方支付OpenID关联的前端应用的账号数量满足对应的充值风险子规则，否则，则确定所述第一用户的第三方支付OpenID关联的前端应用的账号数量不满足对应的充值风险子规则。

5.根据权利要求3所述的方法，其特征在于，所述根据至少一项项所述风险监测结果确定行为风险等级，包括：

为各项所述监测数据分配权重；

基于分配的权重，为各项所述监测数据对应的风险监测结果打分；

对各项所述风险监测结果的打分结果进行加和，得到行为风险等级分数；

根据行为风险等级分数，确定对应的行为风险等级。

6.根据权利要求1所述的方法，其特征在于，所述根据所述行为风险等级对所述第一用户的充值行为进行风险预警，包括：

中断所述第一用户通过所述前端应用充值渠道生成充值订单；

若所述行为风险等级为低级，则向所述第一用户的终端发送支付行为的风险提示，并响应于所述第一用户对所述风险提示的忽略操作，恢复所述充值订单；

若所述行为风险等级为中级，则向所述第一用户的终端发送支付行为的验证链接，并响应于所述第一用户对所述验证链接的验证操作，确定验证通过结果并恢复所述充值订单；

若所述行为风险等级为高级，则阻断所述充值订单的生成。

7.根据权利要求6所述的方法，其特征在于，所述根据所述行为风险等级对所述第一用户的充值行为进行风险预警，还包括：

响应于所述第一用户对所述风险提示的确认操作，阻断所述充值订单的生成；

若确定所述第一用户对所述验证链接的验证结果为不通过，则阻断所述充值订单的生成。

8.一种充值风险行为的识别装置，其特征在于，所述装置包括：

获取单元，用于获取第一用户通过前端应用充值渠道进行充值的交易数据；

提取单元，用于对所述交易数据进行特征提取，得到至少一项监测数据；

判断单元，用于确定所述监测数据是否满足预设的充值风险规则，得到至少一项风险监测结果；

预警单元，用于根据至少一项所述风险监测结果确定行为风险等级，并根据所述行为风险等级对所述用户的充值行为进行风险预警。

9.一种电子设备，包括：

处理器；以及

被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行所述权利要求1～7任一项所述的充值风险行为的识别方法。

10.一种计算机可读存储介质，所述计算机可读存储介质存储一个或多个程序，所述一个或多个程序当被包括多个应用程序的电子设备执行时，使得所述电子设备执行所述权利要求1～7任一项所述的充值风险行为的识别方法。