EP4268170A1 - Procédé et système de détection automatisée de risque de fraude dans un système surveillé - Google Patents

Procédé et système de détection automatisée de risque de fraude dans un système surveillé

Info

Publication number
EP4268170A1
EP4268170A1 EP21847699.2A EP21847699A EP4268170A1 EP 4268170 A1 EP4268170 A1 EP 4268170A1 EP 21847699 A EP21847699 A EP 21847699A EP 4268170 A1 EP4268170 A1 EP 4268170A1
Authority
EP
European Patent Office
Prior art keywords
events
operator
monitored system
risk
subset
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
EP21847699.2A
Other languages
German (de)
English (en)
Inventor
Hakima BERDOUZ QRICHI ANIBA
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Commissariat a lEnergie Atomique et aux Energies Alternatives CEA
Original Assignee
Commissariat a lEnergie Atomique CEA
Commissariat a lEnergie Atomique et aux Energies Alternatives CEA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Commissariat a lEnergie Atomique CEA, Commissariat a lEnergie Atomique et aux Energies Alternatives CEA filed Critical Commissariat a lEnergie Atomique CEA
Publication of EP4268170A1 publication Critical patent/EP4268170A1/fr
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/045—Combinations of networks
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/0464—Convolutional networks [CNN, ConvNet]
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • G06N3/09—Supervised learning
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4016—Transaction verification involving fraud or risk level assessment in transaction processing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Definitions

  • TITLE Method and system for automated fraud risk detection in a monitored system
  • the present invention relates to a method and a system for automated detection of the risk of fraud in a monitored system, from signals characterizing said monitored system.
  • the invention is in the field of automated fraud prediction and detection, and finds various applications in systems in which fraud can occur, for example financial systems, compliance management and control systems and performance, banking systems, insurance systems, industrial systems.
  • heterogeneous data flows structured (for example execution logs, formatted files) or unstructured (for example images, audio recordings) which characterize events (e.g. operations, actions, transactions, executions, provision of data).
  • Events are assigned to operators, they are performed or generated/controlled by operators of the monitored system.
  • the data characterizing the monitored system are recorded temporally.
  • a constant and recurring problem, whether it concerns financial systems, banking systems, industrial systems, and information systems, is to automatically detect, at an early stage, any irregularity, anomaly or inconsistency that may be due to fraudulent use of the system or errors in the use of the system or compromises or even intrusions that may affect it.
  • Fraud is understood here to mean an operation carried out by intentionally violating one or more rules and defense barriers defining the legitimate operation of a system or of one or more of its attributes, an attribute designating a founding characteristic of the system (or "feature " in English).
  • the operator who ordered such an operation/transaction is presumed to be a fraudster and is suspected of being the source of the fraud.
  • Various fraud detection methods are known in the state of the art, in particular financial fraud detection, which are based on artificial intelligence and machine learning techniques, based on supervised learning on databases relating to financial transactions.
  • the known methods generally provide a rating component, characterizing the risk or the probability of fraud.
  • risk probability of error in decision-making, expressed in terms of false positive rate and false negative rate.
  • the false positive rate is the percentage of cases where the method applied detects fraud, while it is a proven legitimate operator.
  • the false negative rate is the percentage of cases where the method applied detects a legitimate operator, whereas it is a case of a proven fraudster.
  • Such probabilities of error in decisions are calculated by applying the detection method to data relating to cases of fraud or proven legitimate events/operations.
  • One of the objectives of the invention is to remedy this drawback, by proposing a more reliable method.
  • the invention proposes, according to one aspect, a method for automated detection of the risk of fraud in a monitored system, from data flows generated by said monitored system and characterizing events, carried out or generated by operators in said monitored system.
  • This method comprises steps, implemented by a calculation processor, of:
  • the method of automated fraud risk detection in a monitored system independently implements a first legitimacy calculation process, concomitant with a second illegitimacy calculation process.
  • the first process and the second process are robust calculation methods deployed substantially in parallel.
  • the method for automated fraud risk detection in a monitored system according to the invention may also have one or more of the characteristics below, taken independently or in all technically conceivable combinations.
  • the pre-processing comprises a determination of events from said recorded data, a calculation of a signature of each event of at least a part of said events, said signature being representative of a risk of malfunction of the monitored system following said event .
  • the pre-processing also includes a determination of a subset of critical events whose signature is greater than a predetermined risk threshold.
  • the method comprises successive iterations of the application steps of said first and second processes, the first process being applied to distinct parts of said subset of critical events until validation of a first convergence criterion, the second process being applied to distinct parts of said subset of critical events until validation of a second convergence criterion.
  • step D) implements a third convergence criterion, and in the case of absence of convergence according to said third convergence criterion, the method comprises an iteration of steps A) to D) on another set of data recorded over a second time period, situated in the past with respect to said first time period.
  • the calculation of the signature of each event is carried out according to past events, by a logistic regression method.
  • the parameters of said first parameterized process are obtained by supervised learning.
  • the parameters of said second parameterized process are obtained by unsupervised learning.
  • the method includes a prior step of classifying said events into a plurality of classes, and the application of steps A) to D) for at least one class of events.
  • the invention relates to an automated fraud risk detection system in a monitored system, based on data flows generated by said monitored system and characterizing events, carried out or generated by operators in said monitored system.
  • This system comprises at least one calculation processor configured to implement:
  • the invention relates to one or more computer program(s) comprising software instructions which, when implemented by a programmable electronic device, implement an automated fraud risk detection method in a monitored system as briefly described above.
  • Figure 1 is an example of a fraud detection system according to one embodiment
  • FIG 2 is a block diagram of the main steps of a pre-processing phase of an automated fraud risk detection method according to one embodiment
  • FIG 3 figure 3 is a synoptic of the main processing steps by two distinct processes for the automated detection of fraud risk
  • Figure 4 schematically illustrates a neural network architecture.
  • the invention finds applications for the automated detection of the risk of fraud in any system to be monitored, and in particular in the case where the system to be monitored is a compliance and performance control management system in the industrial field.
  • Figure 1 schematically illustrates an automated fraud detection system according to one embodiment in a monitored system 2.
  • the monitored system generates data streams 4i to 4k , which are recorded in one or more electronic memory units 6, for example in the form of a database or any other data storage structure.
  • unit 6 is formed by a plurality of interconnected memories.
  • Each data stream 4i corresponds to a time period T, the time periods Ti to T k succeeding each other in time.
  • each time period has the same predetermined duration, for example between one month and one year, for example equal to six months.
  • the time periods follow one another, for example in a given chronological order, for example the period T i+i being prior to the period T, and so on.
  • the data streams 4i are stored as they are generated by the monitored system 2.
  • Each data stream includes structured or unstructured data and characterizes events performed or generated by the monitored system 2.
  • the data When recorded by the monitored system, the data, structured or unstructured, is preferably categorized and labeled according to the specifics of the monitored system.
  • the structured data includes for example execution logs, formatted files, alarm feedback by monitoring mechanisms, and the unstructured data includes for example images/videos, audio recordings.
  • the recorded data characterizes events (e.g. operations, actions, transactions, executions, provision of data).
  • Events are assigned to operators, they are performed or generated/controlled by operators of the monitored system.
  • Operator information is also recorded, in association with the data streams.
  • each operator denoted Op
  • each operator is identified by a chosen ld_Op identifier, and optionally, each operator also has an associated Profil_Op profile, which is also stored by the monitored system 2.
  • An operator profile includes characteristic attributes of the operator, for example age, sex, place of birth, in professional activity or not...
  • the data streams 4i stored over associated time periods T are accessible to an automated fraud detection system 10 according to the invention.
  • system 10 is adapted to also receive contextual information 9 from an external database 8, the contextual information 9 comprising for example statistical knowledge on profiles of suspected fraudsters.
  • the system 10 implements the stored data streams 4, and optionally the contextual information 9 to determine events relating to feared situations or threats, hereinafter called critical events.
  • a critical event means any operation, action, transaction, execution or provision of data which, according to an analysis carried out, may result from a potential malfunction of the monitored system, i.e. from an anomaly or inconsistency, or from a risk of anomaly or inconsistency in the event of detection of precursor events, relating to the operating rules of the monitored system.
  • a potential malfunction of the monitored system i.e. from an anomaly or inconsistency, or from a risk of anomaly or inconsistency in the event of detection of precursor events, relating to the operating rules of the monitored system.
  • Each event, and a fortiori each critical event is attributed to an operator.
  • the invention makes it possible to detect whether the or each operator associated with critical events is a legitimate operator or a fraudulent operator (or presumed fraudster).
  • the critical events detected corresponding to errors or malfunctions of the monitored system the detection carried out then constitutes an opportunity to improve the monitored system and/or the way of managing or carrying out operations, transactions, etc. in this system.
  • the invention makes it possible to take measures to prevent the fraudulent operator from continuing to act, to take corrective measures, to avoid the occurrence of a major risk or threat .
  • the automated fraud detection system 10 comprises one or more calculation units 11 (e.g. one or more calculation processors) for example distributed over several computers or on a single computer, or more generally a programmable electronic device, configured to put implemented:
  • calculation units 11 e.g. one or more calculation processors
  • a module 16 for applying, substantially in parallel, two parameterized processes for estimating the risk of fraud which are respectively: a first parameterized process for estimating the risk of fraud, the parameters of the first parameterized process being obtained by learning ( module 18) on a first database BDD1 of data representative of events carried out or generated by legitimate operators; a second parameterized process for estimating the risk of fraud, the parameters of the second process being obtained by learning (module 20) on a second database representative of events carried out or generated by fraudulent operators; a module 17 for comparing the results of said first process and second process to determine whether said operator is a legitimate operator or a fraudulent operator.
  • the first process and the second process are applied to 4i data streams associated with periods Ti, until validation of a convergence criterion as explained in detail below.
  • the calculation unit 11 is adapted to communicate with a memory unit 22, making it possible to store useful data and parameters for the implementation of the modules 12, 14, 16 and 17.
  • the module 12, if any, as well as the modules 14, 16 and 17, are implemented in the form of software code, and form a computer program, comprising software instructions which, when they are implemented by a programmable electronic device, implement an automated fraud risk detection method in a monitored system.
  • the modules 12, 14, 16, 17 are each made in the form of a programmable logic component, such as an FPGA (from the English Field Programmable Gate Array), or a GPGPII (from the English General-purpose processing on graphics processing), or else in the form of a dedicated integrated circuit, such as an ASIC (Application Specific Integrated Circuit).
  • a programmable logic component such as an FPGA (from the English Field Programmable Gate Array), or a GPGPII (from the English General-purpose processing on graphics processing), or else in the form of a dedicated integrated circuit, such as an ASIC (Application Specific Integrated Circuit).
  • the computer program for automated fraud risk detection in a monitored system is also capable of being recorded on a computer-readable medium, not shown.
  • the computer-readable medium is, for example, a medium capable of storing electronic instructions and of being coupled to a bus of a computer system.
  • the readable medium is an optical disc, a magneto-optical disc, a ROM memory, a RAM memory, any type of non-volatile memory (for example EPROM, EEPROM, FLASH, NVRAM), a magnetic card or an optical card.
  • each of the learning modules 18, 20 is produced in the form of software code, and forms a computer program implementing a learning phase for each of the first and second risk estimation processes of fraud.
  • Figure 2 is a block diagram of the main steps of a pre-processing phase of a fraud risk detection method according to one embodiment.
  • This preprocessing phase comprises a step 30 for obtaining one or more 4i to 4k data streams generated by the monitored system.
  • the data stream 4i corresponding to a chosen time period T is obtained in step 30.
  • Step 30 is followed by a step 32 of data analysis to determine events, e.g. operations, actions, transactions, executions, provision of data to the monitored system, incident alerts, and an optional step 34 of classification of events, described below.
  • events e.g. operations, actions, transactions, executions, provision of data to the monitored system, incident alerts, and an optional step 34 of classification of events, described below.
  • Step 32 or step 34 is followed by a step 36 of calculating a signature representative of a risk of malfunction of the monitored system for each event, then by a step 38 of determining and extracting a subset of critical events.
  • the steps 36 of calculating a signature representative of a risk of malfunctioning of the monitored system and 38 of determining a subset of critical events are carried out by implementing a method of capture and characterization of weak signals, as described in patent FR 3 009 615 B1.
  • a risk signature is calculated, for an event under consideration, by using a dependency between the event under consideration and events from the past on which the event under consideration depends, for example by using a tree representation of the dependencies between events.
  • a risk signature is calculated by a logistic regression algorithm.
  • a risk signature S is calculated by the formula:
  • ⁇ p(z) is an activation function with formula: ⁇ p(z) w is a vector of weights.
  • a risk signature of an event is calculated from risk signatures of N past events, each having a signature 0 , j e ⁇ 1, ... , N ⁇ .
  • the value 8 brings a bias.
  • this signature is compared with a predetermined risk threshold, and the subset of critical events is determined as being the subset of events whose signature is greater than said predetermined risk threshold.
  • step 38 a subset of critical events is determined, each critical event being associated with an operator.
  • the following steps of the fraud risk detection method are carried out for one or each of the operators associated with one or more critical event(s) of the subset of critical events.
  • the pre-processing steps 32 to 38 are performed on events associated with one and the same operator.
  • the application of the pre-processing described above makes it possible to determine one or more subsets of critical events, each subset of critical events being associated with an operator identified in the monitored system.
  • the method further comprises an optional step 34 of classification, for example implemented before or after the step 32 of analyzing the data to determine events, eg operations, actions, transactions, executions, provision of data to the monitored system, incident alerts, classification of events into several classes of events.
  • the principal component analysis (PCA) classification method can be used, for quantitative data or for qualitative data, using an association table.
  • PCA principal component analysis
  • MCA multiple correspondence factor analysis
  • FIG. 3 is a block diagram of the main stages of processing by two distinct parameterized processes for estimating the risk of fraud, this processing being carried out substantially in parallel, for the same operator, and, where applicable, for the same class of 'events.
  • the method comprises an initialization step 50, comprising a supply of data representative of critical events, associated with, and more precisely attributed to the same operator Op_M with identifier I d_M , these data corresponding to at least part of the sub- set of critical events determined at the end of the preliminary preprocessing phase.
  • Data representative of critical events include, for example, measurements, evaluations, deviations, thresholds, etc.
  • Data representative of events is provided over one or more time periods.
  • An index k indicates a time period T k for which the processing is applied, the time periods being processed in a chosen order, for example an inverse chronological order, ie starting with a time period close to a present time instant and progressing l reverse chronological order, ie moving away from the present moment towards the past.
  • the index k is initialized to 1, Ti designating a last time period before the present time (i.e. the time of application of the processing).
  • Ti designating a last time period before the present time (i.e. the time of application of the processing).
  • the initialization step 50 is followed by steps 52 and 54, substantially concomitant, which are respectively a step 52 of application of a first parameterized process for estimating the risk of fraud, called “process 1” below, and an step 54 of applying a second parameterized fraud risk estimation process, called “process 2” below.
  • the “process 1” and the “process 2” are applied to the same part of the data representative of critical events associated with the operator identified by ld_M, of the time period T k .
  • the “process 1” implements a machine learning algorithm, for example an artificial neural network comprising a plurality of layers, respectively an input layer, at the minus one hidden layer, one output layer.
  • learning 46 of the parameters of “process 1” is learning of the supervised type.
  • the “process 2” implements a machine learning algorithm, for example an artificial neural network comprising one or more layers.
  • learning 48 of the parameters of “process 2” is learning of the unsupervised type.
  • the two processes apply different neural networks, parameterized by training on different learning bases, respectively BDD1 and BDD2, the first base BDD1 containing data representative of events carried out or generated by legitimate operators; and the second database BDD2 containing data representative of events carried out or generated by fraudulent operators.
  • Data Xi to XN supplied as input to such a neural network are represented in the form of a vector or a matrix. These data are for example representative of previously determined critical events, associated with the operator identified by ld_M.
  • Figure 4 schematically illustrates a deep neural network with two hidden layers.
  • the neural network 100 of Figure 4 has an input layer 102, two hidden layers 104, 106 and an output layer 108.
  • Each layer Ci has a number Ni of neurons 1 10.
  • the numbers Ni vary from one layer to another.
  • each neuron of each layer is connected to each neuron of the preceding layer and to each neuron of the following layer, such a network of neurons being a fully connected network.
  • a neuron 110 calculates a weighted sum of its inputs, with an optional addition of bias b, then applies a function called the activation function c to the calculated weighted sum.
  • each neuron performs a nonlinear combination of inputs.
  • the activation function c is for example the sigmoid function:
  • the parameters defining a neural network, for one or more chosen activation function(s) are the weights Wi and the bias values b for each neuron of each layer. These parameters are calculated in a learning phase, on supervised or unsupervised learning data, to achieve an objective, that is to say to obtain output values from the output layer 108 which satisfy a predetermined criterion, for example a cost function denoted J(W,B), where W denotes the set of weights defining the neural network and B the set of biases.
  • the cost function J(W,B) is defined so as to minimize the probability of error in the desired result.
  • the neural network applied by “process 1” provides at the output of the output layer a first legitimacy score Score 1(M,X,k) characterizing the operator identified by ld_M and a first probability of occurrence Prob1(M,X,k) associated with the critical events tested, over the time period T k .
  • the first legitimacy score is for example a real value between 0 and 1, corresponding respectively to 0% legitimacy up to 100% legitimacy.
  • the value of the first legitimacy score indicates an estimate of distance between the identifier operator ld_M and a legitimate reference individual or an estimate of distance between the identifier operator ld_M and a fraudulent individual of reference.
  • a legitimate reference individual is either a statistical individual representing the statistical distribution of the population that he represents, or else one or more individuals, whose legitimacy has been concretely proven, either after a suspicion, ultimately not proven, or else depending an optimal temporal history justifying his qualification as a legitimate reference individual.
  • the cost function to be minimized for the neural network applied by “process 1” is for example a function associated with the detection error of a fraudulent operator.
  • process 1 implements a convolutional neural network CNN (for “Convolutional Neural Network”), comprising for example an input layer, an output layer and two hidden layers.
  • CNN for “Convolutional Neural Network”
  • the neural network applied by “process 2” provides at the output of the output layer a second legitimacy score Score2(M,X,k) characterizing the operator ld_M and a second probability of occurrence Prob2(M,X,k) associated with the critical events tested, over the time period T k .
  • process 2 implements a convolutional neural network CNN (for “Convolutional Neural Network”).
  • CNN for “Convolutional Neural Network”.
  • simpler architectures are preferred, for example a single-layer neural network, in order to gain in interpretability and explainability.
  • a first criterion of convergence of the results of “process 1” is verified at step 56, and in the case where this first convergence criterion is not verified, “process 1” is iterated on the data representative of other critical events of the subset of critical events of the time period T k .
  • a second criterion of convergence of the results of “process 2” is verified at step 58, and in the case where this second convergence criterion is not verified, “process 2” is iterated on the data representative of other critical events of the subset of critical events of the time period T k . Then, when the first convergence criterion and the second convergence criterion are verified, the respective results of “process 1” and of “process 2” are compared during a comparison step 60 implementing a third convergence criterion. For example, a calculated absolute difference between the first legitimacy score and the second legitimacy score is compared to a predetermined legitimacy score threshold.
  • the index k indicating the time period processed is incremented (step 62), and the steps 52, 56 and 54, 58 are iterated over a new time period, preferably a period time of the past.
  • step 60 is followed by a step 64 for verifying the final result. Verification of the third convergence criterion indicates that the first legitimacy score and the second legitimacy score are close to the same final legitimacy score. It is checked in step 64 whether the final legitimacy score corresponds to a reference fraudster individual, i.e. indicates that the operator identified by ld_M is a presumed fraudster operator.
  • step 64 is followed by a step 66 of enrichment of the first learning database BDD1.
  • step 66 is followed by the implementation of step 46 for learning the parameters of “process 1”.
  • step 64 is followed by a step 68 for raising the alert, for example by sending a notification, or any other means, to authorities managing the system monitored.
  • the alert is processed by applying a check 70 by a human supervisor, who validates or invalidates the automated fraud detection.
  • this step is followed by a step 72 of enriching the second database BDD2, and optionally, an implementation of the step 48 of learning the parameters of "process 2".
  • the solution will delimit the scope of investigation associated with the process in question, by identifying on the one hand, all the human actors operating and/or interacting in the perimeter concerned, by listing and evaluating on the other hand, all the organizational factors associated processes, and finally, the operational and industrial history of the industrial installation housing the process.
  • each individual present or intervening in the process, or even upstream or downstream of the process is assessed using this solution.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • General Physics & Mathematics (AREA)
  • Computational Linguistics (AREA)
  • Health & Medical Sciences (AREA)
  • Evolutionary Computation (AREA)
  • General Health & Medical Sciences (AREA)
  • Molecular Biology (AREA)
  • Biophysics (AREA)
  • Biomedical Technology (AREA)
  • Artificial Intelligence (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Data Mining & Analysis (AREA)
  • Business, Economics & Management (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Accounting & Taxation (AREA)
  • Finance (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • Debugging And Monitoring (AREA)
  • User Interface Of Digital Computer (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)

Abstract

L'invention concerne un procédé et un système de détection automatisée de risque de fraude dans un système surveillé, à partir de flux de données générés par ledit système surveillé et caractérisant des évènements, réalisés ou générés par des opérateurs dans ledit système surveillé. Le procédé comporte : un pré-traitement (30-38) d'au moins un ensemble de données enregistrées sur une période temporelle pour obtenir un sous-ensemble d'évènements critiques associés à un opérateur; l'application itérative d'un premier processus (52,56) paramétré d'estimation de risque de fraude, pour obtenir un premier score de légitimité et une première probabilité d'occurrence associée; l'application itérative d'un deuxième processus (54,58) paramétré d'estimation de risque de fraude, pour obtenir un deuxième score de légitimité et une deuxième probabilité d'occurrence associée, et la comparaison (60) des résultats desdits premier processus et deuxième processus pour déterminer (64) si ledit opérateur est un opérateur légitime ou un opérateur frauduleux.

Description

TITRE : Procédé et système de détection automatisée de risque de fraude dans un système surveillé
La présente invention concerne un procédé et un système de détection automatisée de risque de fraude dans un système surveillé, à partir de signaux caractérisant ledit système surveillé.
L’invention se situe dans le domaine de la prédiction et détection automatisées de fraudes, et trouve des applications diverses dans des systèmes dans lesquels des fraudes peuvent se produire, par exemple des systèmes financiers, systèmes de gestion et de contrôle de la conformité et de la performance, systèmes bancaires, systèmes d’assurances, systèmes industriels.
Plus généralement, on s’intéresse à des systèmes critiques à surveiller, caractérisés par des flux de données hétérogènes, structurées (par exemple des journaux d’exécution, des fichiers formatés) ou non structurées (par exemple images, enregistrements audio) qui caractérisent des évènements (e.g. opérations, actions, transactions, exécutions, fourniture de données). Les évènements sont attribués à des opérateurs, ils sont effectués ou générés/commandés par des opérateurs du système surveillé. Les données caractérisant le système surveillé sont enregistrées temporellement.
Une problématique constante et récurrente, qu’il s’agisse de systèmes financiers, de systèmes bancaires, de systèmes industriels, et de systèmes d’information, est de détecter automatiquement, de manière précoce, toute irrégularité, anomalie ou incohérence pouvant relever d’une utilisation frauduleuse du système ou d’erreurs dans l’utilisation du système ou de compromissions voire d’intrusions pouvant l’affecter. On entend ici par fraude une opération effectuée en violant intentionnellement une ou plusieurs règles et barrières de défense définissant le fonctionnement légitime d’un système ou de l’un ou plusieurs de ses attributs, un attribut désignant une caractéristique fondatrice du système (ou « feature » en anglais). Dans un cas de suspicion d’opération ou de transaction frauduleuse, l’opérateur ayant commandée une telle opération/transaction est présumé fraudeur et est suspecté d’être à l’origine de la fraude. On peut distinguer entre fraude externe, émanant d’opérateurs externes qui se font passer pour des opérateurs légitimes (par exemple, en faisant une obfuscation d’un profil d’opérateur légitime), et fraude interne, émanant d’opérateurs a priori légitimes, mais potentiellement ayant des comportements malveillants, compromettants voire étant potentiellement complices avec des opérateurs externes. On connaît dans l’état de la technique diverses méthodes de détection de fraudes, en particulier de détection de fraudes financières, qui sont basées sur des techniques d’intelligence artificielle et d’apprentissage machine (ou « machine learning » en anglais), basées sur l’apprentissage supervisé sur des bases de données relatives aux transactions financières. Les méthodes connues fournissent en général une composante de notation, caractérisant le risque ou la probabilité de fraude. Comme pour toute méthode d’estimation probabiliste, il existe un risque (une probabilité) d’erreur dans la prise de décision, exprimé en termes de taux de faux positifs et taux de faux négatifs. Le taux de faux positifs est le pourcentage de cas où la méthode appliquée détecte une fraude, alors qu’il s’agit d’un opérateur légitime avéré. De manière duale, le taux de faux négatifs est le pourcentage de cas où la méthode appliquée détecte un opérateur légitime, alors qu’il s’agit d’un cas de fraudeur avéré. De telles probabilités d’erreur dans les décisions sont calculées en appliquant la méthode de détection sur des données relatives à des cas de fraude ou d’évènements/opérations légitimes avérés.
Cependant, il a été constaté que la plupart des méthodes de détection de fraudes de l’état de la technique fournissent des taux trop élevés de faux-positifs, ce qui impacte négativement le système en termes de performance et d’expérience clients, et ne garantit pas que tous les faux-négatifs aient été détectés.
Un des objectifs de l’invention est de remédier à cet inconvénient, en proposant une méthode plus fiable.
A cet effet, l’invention propose, selon un aspect, un procédé de détection automatisée de risque de fraude dans un système surveillé, à partir de flux de données générés par ledit système surveillé et caractérisant des évènements, réalisés ou générés par des opérateurs dans ledit système surveillé. Ce procédé comporte des étapes, mises en œuvre par un processeur de calcul, de :
A) pré-traitement d’au moins un ensemble de données enregistrées sur une période temporelle pour obtenir un sous-ensemble d’évènements critiques associés à un opérateur,
B) application itérative d’un premier processus paramétré d’estimation de risque de fraude, les paramètres dudit premier processus paramétré étant obtenus par apprentissage sur une première base de données représentatives d’évènements réalisés ou générés par des opérateurs légitimes, sur au moins une partie dudit sous-ensemble d’évènements critiques, pour obtenir un premier score de légitimité et une première probabilité d’occurrence associée ;
C) application itérative d’un deuxième processus paramétré d’estimation de risque de fraude, les paramètres dudit deuxième processus étant obtenus par apprentissage sur une deuxième base de données représentatives d’évènements réalisés ou générés par des opérateurs frauduleux, sur au moins une partie dudit sous-ensemble d’évènements critiques, pour obtenir un deuxième score de légitimité et une deuxième probabilité d’occurrence associée,
D) Comparaison des résultats desdits premier processus et deuxième processus pour déterminer si ledit opérateur est un opérateur légitime ou un opérateur frauduleux.
Avantageusement, le procédé de détection automatisée de risque de fraude dans un système surveillé selon l’invention met en œuvre indépendamment un premier processus de calcul de légitimité, concomitant à un deuxième processus de calcul d’illégitimité. Avantageusement, le premier processus et le deuxième processus sont des procédés de calcul robustes déployés sensiblement en parallèle.
Le procédé de détection automatisée de risque de fraude dans un système surveillé selon l’invention peut également présenter une ou plusieurs des caractéristiques ci- dessous, prises indépendamment ou selon toutes les combinaisons techniquement envisageables.
Le pré-traitement comporte une détermination d’évènements à partir desdites données enregistrées, un calcul d’une signature de chaque évènement d’au moins une partie desdits évènements, ladite signature étant représentative d’un risque de dysfonctionnement du système surveillé suite audit évènement.
Le pré-traitement comporte en outre une détermination d’un sous-ensemble d’évènements critiques dont la signature est supérieure à un seuil de risque prédéterminé.
Le procédé comporte des itérations successives des étapes d’application desdits premier et deuxième processus, le premier processus étant appliqué sur des parties distinctes dudit sous-ensemble d’évènements critiques jusqu’à validation d’un premier critère de convergence, le deuxième processus étant appliqué sur des parties distinctes dudit sous-ensemble d’évènements critiques jusqu’à validation d’un deuxième critère de convergence.
Suite à la mise en œuvre des étapes A) à C) sur un ensemble de données enregistrées sur une période temporelle dite première période temporelle, l’étape D) met en œuvre un troisième critère de convergence, et dans le cas d’absence de convergence selon ledit troisième critère de convergence, le procédé comporte une itération des étapes A) à D) sur un autre ensemble de données enregistrées sur une deuxième période temporelle, située dans le passé par rapport à ladite première période temporelle.
Le calcul de signature de chaque évènement est effectué en fonction d’évènements passés, par une méthode de régression logistique. Les paramètres dudit premier processus paramétré sont obtenus par un apprentissage supervisé.
Les paramètres dudit deuxième processus paramétré sont obtenus par un apprentissage non supervisé.
Le procédé comporte une étape préalable de classification desdits évènements en une pluralité de classes, et l’application des étapes A) à D) pour au moins une classe d’évènements.
Selon un autre aspect, l’invention concerne un système de détection automatisée de risque de fraude dans un système surveillé, à partir de flux de données générés par ledit système surveillé et caractérisant des évènements, réalisés ou générés par des opérateurs dans ledit système surveillé. Ce système comporte au moins un processeur de calcul configuré pour mettre en oeuvre :
A) un module de pré-traitement d’au moins un ensemble de données enregistrées sur une période temporelle pour obtenir un sous-ensemble d’évènements critiques associés à un opérateur,
B) un module d’application itérative d’un premier processus paramétré d’estimation de risque de fraude, les paramètres dudit premier processus paramétré étant obtenus par apprentissage sur une première base de données représentatives d’évènements réalisés ou générés par des opérateurs légitimes, sur au moins une partie dudit sous-ensemble d’évènements critiques, pour obtenir un premier score de légitimité et une première probabilité d’occurrence associée ;
C) un module d’application itérative d’un deuxième processus paramétré d’estimation de risque de fraude, les paramètres dudit deuxième processus étant obtenus par apprentissage sur une deuxième base de données représentatives d’évènements réalisés ou générés par des opérateurs frauduleux, sur au moins une partie dudit sous- ensemble d’évènements critiques, pour obtenir un deuxième score de légitimité et une deuxième probabilité d’occurrence associée,
D) un module de comparaison des résultats desdits premier processus et deuxième processus pour déterminer si ledit opérateur est un opérateur légitime ou un opérateur frauduleux.
Selon un autre aspect, l’invention concerne un ou plusieurs programme(s) d’ordinateur comportant des instructions logicielles qui, lorsqu’elles sont mises en œuvre par un dispositif électronique programmable, mettent en œuvre un procédé de détection automatisée de risque de fraude dans un système surveillé tel que brièvement décrit ci- dessus. D’autres caractéristiques et avantages de l’invention ressortiront de la description qui en est donnée ci-dessous, à titre indicatif et nullement limitatif, en référence aux figures annexées, parmi lesquelles :
[Fig 1] la figure 1 est un exemple de système de détection de fraude selon un mode de réalisation;
[Fig 2] la figure 2 est un synoptique des principales étapes d’une phase de prétraitement d’un procédé de détection automatisée de risque de fraude selon un mode de réalisation ;
[Fig 3] la figure 3 est un synoptique des principales étapes d’un traitement par deux processus distincts pour la détection automatisée de risque de fraude ;
[Fig 4] la figure 4 illustre schématiquement une architecture de réseau de neurones.
L’invention trouve des applications pour la détection automatisée de risque de fraude dans tout système à surveiller, et en particulier dans le cas où le système à surveiller est un système de gestion de contrôle de la conformité et de la performance dans le domaine industriel.
La figure 1 illustre schématiquement un système de détection automatisée de fraude selon un mode de réalisation dans un système surveillé 2.
Le système surveillé génère des flux de données 4i à 4k, qui sont enregistrés dans une ou plusieurs unités de mémoire électroniques 6, par exemple sous forme de base de données ou toute autre structure de mémorisation de données. Par exemple, l’unité 6 est formée d’une pluralité de mémoires interconnectées.
Chaque flux de données 4i correspond à une période temporelle T, les périodes temporelles Ti à Tk se succédant dans le temps. Par exemple, chaque période temporelle a une même durée prédéterminée, par exemple comprise entre un mois et un an, par exemple égale à six mois. Les périodes temporelles se succèdent, par exemple dans un ordre chronologique donné, par exemple la période Ti+i étant antérieure à la période T, et ainsi de suite.
De préférence, les flux de données 4i sont mémorisés au fur et à mesure de leur génération par le système surveillé 2.
Chaque flux de données comprend des données structurées ou non structurées et caractérisent des évènements effectués ou générés par le système surveillé 2.
Lors de leur enregistrement par le système surveillé, les données, structurées ou non structurées, sont de préférence catégorisées et étiquetées en fonction des spécificités du système surveillé. Les données structurées comprennent par exemple des journaux d’exécution, des fichiers formatés, des remontées d’alarmes par des mécanismes de surveillance, et les données non structurées comprennent par exemple des images/vidéos, des enregistrements audio.
Les données enregistrées caractérisent des évènements (e.g. opérations, actions, transactions, exécutions, fourniture de données).
Les évènements sont attribués à des opérateurs, ils sont effectués ou générés/commandés par des opérateurs du système surveillé.
Des informations relatives aux opérateurs sont également enregistrées, en association avec les flux de données .
Par exemple, dans un mode de réalisation, chaque opérateur, noté Op, est identifié par un identifiant ld_Op choisi, et optionnellement, chaque opérateur a également un profil Profil_Op associé, qui est également mémorisé par le système surveillé 2.
Un profil d’opérateur comprend des attributs caractéristiques de l’opérateur, par exemple âge, sexe, lieu de naissance, en activité professionnelle ou non...
Les flux de données 4i mémorisés sur des périodes temporelles associées T sont accessibles à un système 10 de détection automatisée de fraude selon l’invention.
Dans un mode de réalisation le système 10 est adapté pour recevoir également des informations contextuelles 9 d’une base de données externe 8, les informations contextuelles 9 comprenant par exemple des connaissances statistiques sur des profils de fraudeurs présumés.
Le système 10 met en œuvre les flux de données 4 mémorisés, et optionnellement les informations contextuelles 9 pour déterminer des évènements relatifs à des situations ou menaces redoutées, appelés ci-après évènements critiques.
On entend ici par évènement critique toute opération, action, transaction, exécution ou fourniture de données qui, selon une analyse effectuée, peut relever d’un dysfonctionnement potentiel du système surveillé, i.e. d’une anomalie ou incohérence, ou d’un risque d’anomalie ou incohérence en cas de détection d’évènements précurseurs, relative aux règles de fonctionnement du système surveillé. Chaque évènement, et a fortiori chaque évènement critique, est attribué à un opérateur.
Suite à une détection d’évènements critiques, l’invention permet de détecter, si le ou chaque opérateur associé à des évènements critiques, est un opérateur légitime ou un opérateur frauduleux (ou fraudeur présumé).
Dans le cas d’un opérateur légitime, les évènements critiques détectés correspondant à des erreurs ou des dysfonctionnements du système surveillé, la détection effectuée constitue alors une opportunité d’amélioration du système surveillé et/ou de la manière de gérer ou d’effectuer des opérations, transactions etc. dans ce système.
Dans le cas d’un opérateur frauduleux (fraudeur présumé), l’invention permet de prendre des mesures pour empêcher l’opérateur frauduleux de continuer à agir, prendre des mesures correctives, éviter la survenue d’un risque majeur ou d’une menace.
Le système 10 de détection automatisée de fraude comporte une ou plusieurs unités de calcul 11 (e.g. un ou plusieurs processeurs de calcul) par exemple réparties sur plusieurs ordinateurs ou sur un seul ordinateur, ou plus généralement dispositif électronique programmable, configurée(s) pour mettre en œuvre :
-optionnellement, un module 12 de classification des données des flux de données 4i en classes,
-un module 14 de pré-traitement des évènements pour déterminer un sous- ensemble de données critiques associés à un opérateur ;
-un module 16 d’application, sensiblement en parallèle, de deux processus paramétrés d’estimation de risque de fraude qui sont respectivement : un premier processus paramétré d’estimation de risque de fraude, les paramètres du premier processus paramétré étant obtenus par apprentissage (module 18) sur une première base BDD1 de données représentatives d’évènements réalisés ou générés par des opérateurs légitimes ; un deuxième processus paramétré d’estimation de risque de fraude, les paramètres du deuxième processus étant obtenus par apprentissage (module 20) sur une deuxième base de données représentatives d’évènements réalisés ou générés par des opérateurs frauduleux ; un module 17 de comparaison des résultats desdits premier processus et deuxième processus pour déterminer si ledit opérateur est un opérateur légitime ou un opérateur frauduleux.
Le premier processus et le deuxième processus sont appliqués sur des flux de données 4i associés à des périodes Ti, jusqu’à validation d’un critère de convergence comme expliqué en détail ci-après.
L’unité de calcul 11 est adaptée pour communiquer avec une unité 22 de mémoire, permettant de stocker des données et paramètres utiles pour la mise en œuvre des modules 12, 14, 16 et 17.
Dans un mode de réalisation, le module 12, le cas échéant, ainsi que les modules 14, 16 et 17, sont réalisés sous forme de code logiciel, et forment un programme d’ordinateur, comportant des instructions logicielles qui, lorsqu’elles sont mises en œuvre par un dispositif électronique programmable, mettent en œuvre un procédé de détection automatisée de risque de fraude dans un système surveillé.
En variante non représentée, les modules 12, 14, 16, 17 sont réalisés chacun sous forme d’un composant logique programmable, tel qu’un FPGA (de l’anglais Field Programmable Gate Array), ou un GPGPII (de l’anglais General-purpose processing on graphies processing), ou encore sous forme d’un circuit intégré dédié, tel qu’un ASIC (de l’anglais Application Specific Integrated Circuit).
Le programme d’ordinateur de détection automatisée de risque de fraude dans un système surveillé est en outre apte à être enregistré sur un support, non représenté, lisible par ordinateur. Le support lisible par ordinateur est par exemple, un médium apte à mémoriser les instructions électroniques et à être couplé à un bus d’un système informatique. A titre d’exemple, le support lisible est un disque optique, un disque magnéto- optique, une mémoire ROM, une mémoire RAM, tout type de mémoire non-volatile (par exemple EPROM, EEPROM, FLASH, NVRAM), une carte magnétique ou une carte optique.
Dans un mode de réalisation, chacun des modules d’apprentissage 18, 20 est réalisé sous forme de code logiciel, et forme un programme d’ordinateur mettant en œuvre une phase d’apprentissage pour chacun des premier et deuxième processus d’estimation de risque de fraude.
La figure 2 est un synoptique des principales étapes d’une phase de pré-traitement d’un procédé de détection de risque de fraude selon un mode de réalisation.
Cette phase de prétraitement comprend une étape 30 d’obtention d’un ou plusieurs flux de données 4i à 4k générés par le système surveillé.
Par exemple, le flux de données 4i correspondant à une période temporelle T choisie est obtenu à l’étape 30.
L’étape 30 est suivie d’une étape 32 d’analyse des données pour déterminer des évènements, e.g. opérations, actions, transactions, exécutions, fourniture de données au système surveillé, alertes d’incidents, et d’une étape 34 facultative de classification des évènements, décrite ci-après.
L’étape 32 ou l’étape 34 est suivie d’une étape 36 de calcul d’une signature représentative d’un risque de dysfonctionnement du système surveillé pour chaque évènement, puis d’une étape 38 de détermination et d’extraction d’un sous-ensemble d’évènements critiques.
Dans un mode de réalisation, les étapes 36 de calcul d’une signature représentative d’un risque de dysfonctionnement du système surveillé et 38 de détermination d’un sous- ensemble d’évènements critiques sont effectuées en mettant en œuvre un procédé de captage et de caractérisation de signaux faibles, tel que décrit dans le brevet FR 3 009 615 B1.
En variante, une signature de risque est calculée, pour un évènement considéré, en utilisant une dépendance entre l’évènement considéré et des évènements du passé dont l’évènement considéré dépend par exemple en utilisant une représentation arborescente des dépendances entre évènements.
Par exemple, les formules suivantes sont appliquées :
S — G2 x 0 x M
Et G, e,Hi e {1, 2, 3, 4}
Dans un mode de réalisation, une signature de risque est calculée par un algorithme de régression logistique.
Une signature de risque S est calculée par la formule :
S = <p(wTo + 5)
Où <p(z) est une fonction d’activation de formule : <p(z) w est un vecteur de pondérations.
Par exemple, une signature de risque d’un évènement est calculée à partir de signatures de risque de N évènements du passé, ayant chacun une signature 0 , j e {1, ... , N}. La valeur 8 apporte un biais.
Dans un mode de réalisation, suite à un calcul, pour chaque évènement, d’une signature représentative d’un risque de dysfonctionnement du système surveillé, cette signature est comparée à un seuil de risque prédéterminé, et le sous-ensemble d’évènements critiques est déterminé comme étant les sous-ensemble d’évènements dont la signature est supérieure audit seuil de risque prédéterminé.
A l’issue de l’étape 38, un sous-ensemble d’évènements critiques est déterminé, chaque évènement critique étant associé à un opérateur.
Les étapes suivantes du procédé de détection de risque de fraude sont effectuées pour l’un ou chacun des opérateurs associés à un ou plusieurs évènement(s) critique(s) du sous-ensemble d’évènements critiques.
Dans une variante, les étapes de pré-traitement 32 à 38 sont effectuées sur des évènements associés à un seul et même opérateur.
Ainsi, l’application du pré-traitement décrit ci-dessus permet de déterminer un ou plusieurs sous-ensembles d’évènements critiques, chaque sous-ensemble d’évènements critiques étant associé à un opérateur identifié dans le système surveillé. Dans une variante, le procédé comporte en outre une étape facultative 34 de classification, par exemple mise en œuvre avant ou après l’étape 32 d’analyse des données pour déterminer des évènements, e.g. opérations, actions, transactions, exécutions, fourniture de données au système surveillé, alertes d’incidents, dé classification des évènements en plusieurs classes d’évènements.
Par exemple la méthode de classification par analyse en composantes principales (ACP) est utilisable, pour des données quantitatives ou pour des données qualitatives, en utilisant un tableau d’associations. Par exemple l’analyse factorielle des correspondances multiples (ACM) est utilisée.
Bien entendu, d’autres méthodes de classification de l’état de la technique sont également applicables.
Dans cette variante, toutes les autres étapes sont appliquées par classe d’évènements, de manière itérative.
La figure 3 est un synoptique des principales étapes d’un traitement par deux processus paramétrés distincts d’estimation de risque de fraude, ce traitement étant effectué sensiblement en parallèle, pour un même opérateur, et, le cas échéant, pour une même classe d’évènements.
Le procédé comprend une étape 50 d’initialisation, comprenant une fourniture de données représentatives d’évènements critiques, associés à, et plus précisément attribués à un même opérateur Op_M d’identifiant I d_M , ces données correspondant à au moins une partie du sous-ensemble d’évènements critiques déterminé à l’issue de la phase de prétraitement préalable. Les données représentatives d’évènements critiques comprennent par exemple des mesures, évaluations, dérives, seuils...
Les données représentatives d’évènements sont fournies sur une ou plusieurs périodes temporelles.
Un indice k indique une période temporelle Tk pour laquelle le traitement est appliqué, les périodes temporelles étant traitées dans un ordre choisi, par exemple un ordre chronologique inverse, i.e. en commençant par une période temporelle proche d’un instant temporel présent et progressant l’ordre chronologique inverse, i.e. en s’éloignant de l’instant présent vers le passé.
Par exemple, l’indice k est initialisé à 1 , Ti désignant une dernière période temporelle avant l’instant présent (i.e. l’instant d’application du traitement). Bien entendu, il s’agit d’une option, d’autres options étant possibles.
L’étape 50 d’initialisation est suivie des étapes 52 et 54, sensiblement concomitantes, qui sont respectivement une étape 52 d’application d’un premier processus paramétré d’estimation de risque de fraude, appelé « processus 1 » par la suite, et une étape 54 d’application d’un deuxième processus paramétré d’estimation de risque de fraude, appelé « processus 2 » par la suite.
Le « processus 1 » et le « processus 2 » sont appliqués sur une même partie des données représentatives d’évènements critiques associés à l’opérateur identifié par ld_M, de la période temporelle Tk.
Dans un mode de réalisation, le « processus 1 » met en œuvre un algorithme d’apprentissage machine (en anglais « Machine Learning »), par exemple un réseau de neurones artificiels comprenant une pluralité de couches, respectivement une couche d’entrée, au moins une couche cachée, une couche de sortie. De préférence, l’apprentissage 46 des paramètres du « processus 1 » est un apprentissage du type supervisé.
Dans un mode de réalisation, le « processus 2 » met en œuvre un algorithme d’apprentissage machine (en anglais « Machine Learning »), par exemple un réseau de neurones artificiels comprenant une ou plusieurs couches. De préférence, l’apprentissage 48 des paramètres du « processus 2 » est un apprentissage du type non-supervisé.
Les deux processus appliquent des réseaux de neurones différents, paramétrés par entraînement sur des bases d’apprentissage différentes, respectivement BDD1 et BDD2, la première base BDD1 contenant des données représentatives d’évènements réalisés ou générés par des opérateurs légitimes ; et la deuxième base de données BDD2 contenant des données représentatives d’évènements réalisés ou générés par des opérateurs frauduleux.
Ainsi, les deux processus sont fondés sur des hypothèses qui sont contradictoires.
Des données Xi à XN fournies en entrée d’un tel réseau de neurones sont représentées sous forme de vecteur ou de matrice. Ces données sont par exemple représentatives des évènements critiques préalablement déterminés, associés à l’opérateur identifié par ld_M.
La figure 4 illustre schématiquement un réseau de neurones profond à deux couches cachées.
Le réseau de neurones 100 de la figure 4 comporte une couche d’entrée 102, deux couches cachées 104, 106 et une couche de sortie 108.
Chaque couche Ci comporte un nombre Ni de neurones 1 10. Les nombres Ni varient d’une couche à une autre.
Dans cet exemple, chaque neurone de chaque couche est relié à chaque neurone de la couche précédente et à chaque neurone de la couche suivante, un tel réseau de neurones étant un réseau entièrement connecté (en anglais « fully connected »). Un neurone 1 10 calcule une somme pondérée de ses entrées, avec un ajout de biais b optionnel, puis applique une fonction dite fonction d’activation c sur la somme pondérée calculée.
On peut écrire :
Et
Y = (Z)
Où Xi sont les entrées, Wi les poids respectifs, b le biais, et c la fonction d’activation, Y la sortie.
Ainsi, chaque neurone effectue une combinaison non linéaire des entrées.
La fonction d’activation c est par exemple la fonction sigmoïde :
Bien entendu, d’autres fonctions d’activation sont connues, par exemple ReLU, pour unité linéaire rectifiée, notée R(z) :
R(z) = max(0, z)
D’autres fonctions d’activation connues, par exemple la fonction tangente hyperbolique ou la fonction de Heaviside., sont également applicables
Les paramètres définissant un réseau de neurones, pour une ou plusieurs fonction(s) d’activation choisies (par exemple la fonction d’activation peut différer d’une couche à une autre) sont les poids Wi et les valeurs de biais b pour chaque neurone de chaque couche. Ces paramètres sont calculés dans une phase d’apprentissage, sur des données d’apprentissage, supervisé ou non supervisé, pour atteindre un objectif, c’est-à- dire pour obtenir des valeurs de sortie de la couche de sortie 108 qui satisfont un critère prédéterminé, par exemple une fonction de coût notée J(W,B), où W désigne l’ensemble des poids définissant le réseau de neurones et B l’ensemble des biais. La fonction de coût J(W,B) est définie de manière à minimiser une probabilité d’erreur dans le résultat recherché.
De retour à la figure 3, dans un mode de réalisation, le réseau de neurones appliqué par le « processus 1 » fournit en sortie de la couche de sortie un premier score de légitimité Score 1(M,X,k) caractérisant l’opérateur identifié par ld_M et une première probabilité d’occurrence Prob1(M,X,k) associée aux évènements critiques testés, sur la période temporelle Tk. Le premier score de légitimité est par exemple une valeur réelle comprise entre 0 et 1 , correspondant respectivement à 0% de légitimité jusqu’à 100% de légitimité. Dans un mode de réalisation, la valeur du premier score de légitimité indique une estimation de distance entre l’opérateur d’identifiant ld_M et un individu légitime de référence ou une estimation de distance entre l’opérateur d’identifiant ld_M et un individu fraudeur de référence.
Un individu légitime de référence est soit un individu statistique représentant la distribution statistique de la population qu’il représente, ou bien un ou plusieurs individus, dont la légitimité a été prouvée concrètement, soit après une suspicion, finalement non avérée, ou bien en fonction d’un historique temporel optimal justifiant sa qualification d’individu légitime de référence.
La fonction de coût à minimiser pour le réseau de neurones appliqué par le « processus 1 » est par exemple une fonction associée à l’erreur de détection d’un opérateur frauduleux.
Par exemple, dans un mode de réalisation, le « processus 1 » met en œuvre un réseau de neurones convolutif CNN (pour « Convolutional Neural Network »), comportant par exemple une couche d’entrée, une couche de sortie et deux couches cachées.
De même, dans un mode de réalisation, le réseau de neurones appliqué par le « processus 2 » fournit en sortie de la couche de sortie un deuxième score de légitimité Score2(M,X,k) caractérisant l’opérateur ld_M et une deuxième probabilité d’occurrence Prob2(M,X,k) associée aux évènements critiques testés, sur la période temporelle Tk.
Par exemple, dans un mode de réalisation, le « processus 2 » met en œuvre un réseau de neurones convolutif CNN (pour « Convolutional Neural Network »). Pour le « processus 2 ” les architectures plus simples sont privilégiées de préférence, par exemple un réseau de neurones à une seule couche, afin de gagner en interprétabilité et en explicabilité.
Un premier critère de convergence des résultats du « processus 1 » est vérifié à l’étape 56, et dans le cas où ce premier critère de convergence n’est pas vérifié, le « processus 1 » est itéré sur les données représentatives d’autres évènements critiques du sous-ensemble d’évènements critiques de la période temporelle Tk.
De manière analogue, un deuxième critère de convergence des résultats du « processus 2 » est vérifié à l’étape 58, et dans le cas où ce deuxième critère de convergence n’est pas vérifié, le « processus 2 » est itéré sur les données représentatives d’autres évènements critiques du sous-ensemble d’évènements critiques de la période temporelle Tk. Ensuite, lorsque le premier critère de convergence et le deuxième critère de convergence sont vérifiés, les résultats respectifs du « processus 1 » et du « processus 2 » sont comparés lors d’une étape de comparaison 60 mettant en œuvre un troisième critère de convergence. Par exemple, une différence absolue calculée entre le premier score de légitimité et le deuxième score de légitimité est comparée à un seuil de score de légitimité prédéterminé.
Si le troisième critère de convergence n’est pas vérifié, l’indice k indiquant la période temporelle traitée est incrémenté (étape 62), et les étapes 52, 56 et 54, 58 sont itérées sur une nouvelle période temporelle, de préférence une période temporelle du passé.
Si le troisième critère de convergence est vérifié, l’étape de comparaison 60 est suivie d’une étape 64 de vérification du résultat final. La vérification du troisième critère de convergence indique que le premier score de légitimité et le deuxième score de légitimité sont proches d’un même score de légitimité final. Il est vérifié à l’étape 64 si le score de légitimité final correspond à un individu fraudeur de référence, i.e. indique que l’opérateur identifié par ld_M est un opérateur présumé fraudeur.
Dans le cas contraire, l’opérateur identifié par ld_M est présumé légitime, l’étape 64 est suivie d’une étape 66 d’enrichissement de la première base de données d’apprentissage BDD1.
Optionnellement, l’étape 66 est suivie de la mise en œuvre de l’étape 46 d’apprentissage des paramètres du « processus 1 ».
Dans le cas où l’opérateur identifié par ld_M est présumé fraudeur, l’étape 64 est suivie d’une étape 68 de levée d’alerte, par exemple par un envoi de notification, ou tout autre moyen, à des autorités gestionnaires du système surveillé.
De préférence l’alerte est traitée par application d’une vérification 70 par un superviseur humain, qui valide ou invalide la détection de fraude automatisée.
En cas de validation à l’étape de vérification 74, cette étape est suivie d’une étape 72 d’enrichissement de la deuxième base de données BDD2, et optionnellement, d’une mise en œuvre de l’étape 48 d’apprentissage des paramètres du « processus 2 ».
Dans le cadre d’une investigation déployée après une suspicion d’irrégularités intentionnelles sur un procédé industriel de fabrication ou de transformation, pouvant être qualifiée de fraude industrielle, la solution délimitera le périmètre d’investigation associé au procédé en question, en identifiant d’une part, tous les acteurs humains opérant et/ou interagissant dans le périmètre concerné, en répertoriant et évaluant d’autre part, l’ensemble des facteurs organisationnels processus associés, et enfin, l’historique opérationnel et industriel de l’installation industrielle abritant le procédé. En plus de cibler la détection de tous les écarts associés aux processus et modes organisationnels au regard du référentiel réglementaire ou opérationnel applicable, chaque individu présent ou intervenant sur le procédé voire même en amont ou en aval du procédé, est évalué au moyen de la présente solution. Si par exemple, un individu est présent dans l’installation depuis un certain nombre d’années, qu’il est en conflit avec sa hiérarchie et que par exemple, il n’admet pas que ses collègues contrôlent ou vérifient par exemple, ses calculs ou sa tâche, alors le système abaissera son score de légitimité et lancera des investigations supplémentaires pour confirmer ou infirmer qu’il a intentionnellement commis une fraude ou une falsification de données, voire le cas échéant, chercher les faisceaux d’indices de preuve, indispensables pour aider le contrôleur dans sa prise de décisions.

Claims

REVENDICATIONS
1 . Procédé de détection automatisée de risque de fraude dans un système surveillé, à partir de flux de données générés par ledit système surveillé et caractérisant des évènements, réalisés ou générés par des opérateurs dans ledit système surveillé, caractérisé en ce qu’il comporte des étapes, mises en œuvre par un processeur de calcul, de :
A) pré-traitement (30-38) d’au moins un ensemble de données enregistrées sur une période temporelle pour obtenir un sous-ensemble d’évènements critiques associés à un opérateur,
B) application itérative d’un premier processus (52,56) paramétré d’estimation de risque de fraude, les paramètres dudit premier processus paramétré étant obtenus par apprentissage sur une première base de données représentatives d’évènements réalisés ou générés par des opérateurs légitimes, sur au moins une partie dudit sous-ensemble d’évènements critiques, pour obtenir un premier score de légitimité et une première probabilité d’occurrence associée ;
C) application itérative d’un deuxième processus (54,58) paramétré d’estimation de risque de fraude, les paramètres dudit deuxième processus étant obtenus par apprentissage sur une deuxième base de données représentatives d’évènements réalisés ou générés par des opérateurs frauduleux, sur au moins une partie dudit sous- ensemble d’évènements critiques, pour obtenir un deuxième score de légitimité et une deuxième probabilité d’occurrence associée,
D) Comparaison (60) des résultats desdits premier processus et deuxième processus pour déterminer (64) si ledit opérateur est un opérateur légitime ou un opérateur frauduleux.
2. Procédé selon la revendication 1 , dans lequel ledit pré-traitement comporte une détermination (32) d’évènements à partir desdites données enregistrées, un calcul d’une signature (36) de chaque évènement d’au moins une partie desdits évènements, ladite signature étant représentative d’un risque de dysfonctionnement du système surveillé suite audit évènement.
3. Procédé selon la revendication 2, dans lequel ledit pré-traitement comporte en outre une détermination (38) d’un sous-ensemble d’évènements critiques dont la signature est supérieure à un seuil de risque prédéterminé.
4. Procédé selon l’une quelconque des revendications 1 à 3, comportant des itérations successives des étapes d’application (52, 54) desdits premier et deuxième processus, le premier processus étant appliqué sur des parties distinctes dudit sous- ensemble d’évènements critiques jusqu’à validation (56) d’un premier critère de convergence, le deuxième processus étant appliqué sur des parties distinctes dudit sous- ensemble d’évènements critiques jusqu’à validation (58) d’un deuxième critère de convergence.
5. Procédé selon l’une quelconque des revendications 1 à 4, dans lequel, suite à la mise en œuvre des étapes A) à C) sur un ensemble de données enregistrées sur une période temporelle dite première période temporelle, l’étape D) met en œuvre un troisième critère de convergence, et dans le cas d’absence de convergence selon ledit troisième critère de convergence, le procédé comporte une itération des étapes A) à D) sur un autre ensemble de données enregistrées sur une deuxième période temporelle, située dans le passé par rapport à ladite première période temporelle.
6. Procédé selon l’une des revendications 1 à 5 dans lequel le calcul de signature (36) de chaque évènement est effectué en fonction d’évènements passés, par une méthode de régression logistique.
7. Procédé selon l’une des revendications 1 à 6 dans lequel les paramètres dudit premier processus paramétré sont obtenus par un apprentissage (46) supervisé.
8. Procédé selon l’une des revendications 1 à 7, dans lequel les paramètres dudit deuxième processus paramétré sont obtenus par un apprentissage (48) non supervisé.
9. Procédé selon l’une quelconque des revendications 1 à 8, comportant, une étape préalable (34) de classification desdits évènements en une pluralité de classes, et l’application des étapes A) à D) pour au moins une classe d’évènements.
10. Programme d’ordinateur comportant des instructions logicielles qui, lorsqu’elles sont exécutées par un dispositif électronique programmable, mettent en œuvre un procédé de détection automatisée de risque de fraude dans un système surveillé conforme aux revendications 1 à 9.
11. Système de détection automatisée de risque de fraude dans un système surveillé, à partir de flux de données générés par ledit système surveillé et caractérisant des évènements, réalisés ou générés par des opérateurs dans ledit système surveillé, caractérisé en ce qu’il comporte au moins un processeur de calcul configuré pour mettre en oeuvre :
A) un module (14) de pré-traitement d’au moins un ensemble de données enregistrées sur une période temporelle pour obtenir un sous-ensemble d’évènements critiques associés à un opérateur,
B) un module (16) d’application itérative d’un premier processus paramétré d’estimation de risque de fraude, les paramètres dudit premier processus 18 paramétré étant obtenus par apprentissage sur une première base de données (BDD1 ) représentatives d’évènements réalisés ou générés par des opérateurs légitimes, sur au moins une partie dudit sous-ensemble d’évènements critiques, pour obtenir un premier score de légitimité et une première probabilité d’occurrence associée ; - C) un module (16) d’application itérative d’un deuxième processus paramétré d’estimation de risque de fraude, les paramètres dudit deuxième processus étant obtenus par apprentissage sur une deuxième base de données (BDD2) représentatives d’évènements réalisés ou générés par des opérateurs frauduleux, sur au moins une partie dudit sous-ensemble d’évènements critiques, pour obtenir un deuxième score de légitimité et une deuxième probabilité d’occurrence associée,
D) un module (17) de comparaison des résultats desdits premier processus et deuxième processus pour déterminer si ledit opérateur est un opérateur légitime ou un opérateur frauduleux.
EP21847699.2A 2020-12-28 2021-12-28 Procédé et système de détection automatisée de risque de fraude dans un système surveillé Pending EP4268170A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR2014184A FR3118518A1 (fr) 2020-12-28 2020-12-28 Procédé et système de détection automatisée de risque de fraude dans un système surveillé
PCT/EP2021/087710 WO2022144347A1 (fr) 2020-12-28 2021-12-28 Procédé et système de détection automatisée de risque de fraude dans un système surveillé

Publications (1)

Publication Number Publication Date
EP4268170A1 true EP4268170A1 (fr) 2023-11-01

Family

ID=75746765

Family Applications (1)

Application Number Title Priority Date Filing Date
EP21847699.2A Pending EP4268170A1 (fr) 2020-12-28 2021-12-28 Procédé et système de détection automatisée de risque de fraude dans un système surveillé

Country Status (7)

Country Link
US (1) US12556569B2 (fr)
EP (1) EP4268170A1 (fr)
JP (1) JP2024501035A (fr)
CN (1) CN116710944A (fr)
CA (1) CA3203085A1 (fr)
FR (1) FR3118518A1 (fr)
WO (1) WO2022144347A1 (fr)

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150026027A1 (en) * 2009-06-12 2015-01-22 Guardian Analytics, Inc. Fraud detection and analysis

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4494570B2 (ja) * 2000-01-20 2010-06-30 株式会社小森コーポレーション 振りローラの振り装置
EP2288987A4 (fr) * 2008-06-12 2015-04-01 Guardian Analytics Inc Modélisation d'utilisateur pour la détection et l'analyse de fraude
CA2819643C (fr) * 2010-12-01 2019-05-21 Headwater Partners I Llc Dispositif pour utilisateur final qui garantit l'association d'une application a une politique de service au moyen de la verification d'un certificat d'application
FR3009615B1 (fr) 2013-08-06 2016-10-14 Commissariat Energie Atomique Procede et systeme de captage, discrimination et caracterisation de signaux faibles au moyen de leurs signatures respectives
US10009358B1 (en) * 2014-02-11 2018-06-26 DataVisor Inc. Graph based framework for detecting malicious or compromised accounts
US9787723B2 (en) * 2014-07-18 2017-10-10 Ping Identify Corporation Devices and methods for threat-based authentication for access to computing resources
US20160196615A1 (en) * 2015-01-06 2016-07-07 Wells Fargo Bank, N.A. Cross-channel fraud detection
US20190311367A1 (en) * 2015-06-20 2019-10-10 Quantiply Corporation System and method for using a data genome to identify suspicious financial transactions
JP7467033B2 (ja) * 2018-07-04 2024-04-15 キヤノンメディカルシステムズ株式会社 診療情報処理装置
CN111047428B (zh) * 2019-12-05 2023-08-08 深圳索信达数据技术有限公司 基于少量欺诈样本的银行高风险欺诈客户识别方法
CN111552680A (zh) * 2020-04-27 2020-08-18 深圳壹账通智能科技有限公司 业务欺诈识别数据库的构建方法、装置和计算机设备
WO2023128865A2 (fr) * 2021-12-29 2023-07-06 Gp Network Asia Pte. Ltd. Serveur de communication, procédé, dispositif utilisateur et système
US20240152926A1 (en) * 2022-11-03 2024-05-09 Chime Financial, Inc. Preventing digital fraud utilizing a fraud risk tiering system for initial and ongoing assessment of risk
US20250029101A1 (en) * 2023-07-20 2025-01-23 Mastercard International Incorporated Tokenized device identifier generator and tracking system
US20250148469A1 (en) * 2023-11-03 2025-05-08 Fmr Llc Deposit fraud detection

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150026027A1 (en) * 2009-06-12 2015-01-22 Guardian Analytics, Inc. Fraud detection and analysis

Also Published As

Publication number Publication date
CN116710944A (zh) 2023-09-05
CA3203085A1 (fr) 2022-07-07
US20240056471A1 (en) 2024-02-15
WO2022144347A1 (fr) 2022-07-07
FR3118518A1 (fr) 2022-07-01
US12556569B2 (en) 2026-02-17
JP2024501035A (ja) 2024-01-10

Similar Documents

Publication Publication Date Title
Rahul Strengthening Fraud Prevention with AI in P&C Insurance: Enhancing Cyber Resilience
US12066918B2 (en) System to track and measure machine learning model efficacy
US11321164B2 (en) Anomaly recognition in information technology environments
US20210406112A1 (en) Anomaly classification in information technology environments
US12411959B2 (en) Systems, methods, and apparatuses for detecting and implementing vulnerability fixes in an electronic environment
US11573882B2 (en) Systems and methods for optimizing a machine learning-informed automated decisioning workflow in a machine learning task-oriented digital threat mitigation platform
US20250124124A1 (en) Utilizing machine-learning models to determine take-over scores and intelligently secure digital account features
US12326925B2 (en) Systems and methods for password spraying identification and prevention using hash signature segmentation and behavior clustering analysis
US12423444B2 (en) System for software code cyber security based on machine learning vulnerability detection and generation and implementation of vulnerability test
FR3065558A1 (fr) Systeme et procede pour gerer la detection de fraudes dans un systeme de transactions financieres
CN119180713A (zh) 金融风险预测方法、预测装置及计算机设备
US12373277B2 (en) System and method for determining causes of network anomalies across a distributed network
US20250016158A1 (en) System and method for secure network access management using a dynamic constraint specification matrix
Moriah et al. Measuring and mitigating biases in motor insurance pricing
EP4268170A1 (fr) Procédé et système de détection automatisée de risque de fraude dans un système surveillé
US20250029106A1 (en) Automated rule creation for fraud detection using a machine learning-driven computing framework
US20170154279A1 (en) Characterizing subpopulations by exposure response
US20230229492A1 (en) Automated context based data subset processing prioritization
WO2022135972A1 (fr) Procede et dispositif de diagnostic d&#39;anomalies
EP3736743B1 (fr) Procédé de conception d&#39;un générateur de signature d&#39;une entité réalisant des actions dans une architecture informatique, procédé de détection de comportement anormal, programme d&#39;ordinateur et système correspondants
US12513165B2 (en) System and method to detect data leaks via a distributed data orchestration apparatus and transmitted fabricated data responses
US20260080304A1 (en) Data quality model for drift-resistant inferences
US20260010641A1 (en) Systems and methods for automatically generating and updating data security parameters using generative artificial intelligence
CN121260221A (zh) 一种风险芯片修复方法及装置
EP4488893A1 (fr) Génération de données d apprentissage pour l apprentissage machine d&#39;un modèle de prédiction d&#39;un risque de survenue d&#39;un évènement rare

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20230627

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
RAP3 Party data changed (applicant data changed or rights of an application transferred)

Owner name: COMMISSARIAT A L'ENERGIE ATOMIQUE ET AUX ENERGIESALTERNATIVES

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

17Q First examination report despatched

Effective date: 20260317