WO2022249266A1 - 不正検知システム、不正検知方法およびプログラム記録媒体 - Google Patents

Abstract

学習モデルの生成に用いる取引データを容易に抽出することができるようにするため、不正検知システム１００は、分類部１０１と、出力部１０２を備えている。分類部１０１は、少なくとも１つの項目が書き換えられた口座取引のデータを含む複数の口座取引のデータをクラスタリングによって分類する。出力部１０２は、少なくとも１つの項目が書き換えられた口座取引とクラスタリングによって同じクラスタに分類された口座取引のデータを出力する。

Description

不正検知システム、不正検知方法およびプログラム記録媒体

　本発明は、口座取引のデータから不正な処理を検知する技術に関するものである。

　金融機関における口座取引のデータから資金の流れを解析することで企業間の不正な取引の監視が行われることがある。しかし、口座取引のデータは膨大であり、また、不正検知のためには詳細な解析が必要となる。そのため、不正な取引の監視は、口座取引のデータを用いて機械学習によって生成された学習モデルを用いて行われることがある。

　不正検知を行う学習モデルを機械学習によって生成する際には、不正な取引のデータと正常な取引のデータが必要となる。しかし、不正な取引のデータは、正常な取引のデータに比べて少ない。正常な取引のデータが少ない状態で機械学習を行うと学習モデルの精度が低下する恐れがある。よって、実績データに基づく、不正な取引のデータが少ない場合に、不正な取引のデータの少なさを補う技術があることが望ましい。そのような実績のデータが少ない場合に、不正な取引のデータの少なさを補う技術としては、特許文献１のような技術が開示されている。

　特許文献１の不正取引検知装置は、同一の企業に対する同一の日付の取引をグループ化することで正常な取引のデータ数を減らしている。特許文献１の不正検知装置は、正常な取引のデータ数を減らし、正例と負例の割合が同等となるように学習データを選択することで不正取引の精度を向上している。

特開２０２０－１５４５４３号公報

　しかし、特許文献１の技術では、不正取引のデータは学習モデルを生成する際に、取引の実績データを用いて作業者が準備する必要がある。そのため、不正の実例が少ない取引形態などにおいて、不正取引のデータの準備が困難になる恐れがある。

　本発明は、上記の課題を解決するため、学習モデルの生成に用いる口座取引データを容易に抽出することができる不正検知システム等を提供することを目的としている。

　上記の課題を解決するため、本発明の不正検知システムは、分類部と、出力部を備えている。分類部は、少なくとも１つの項目が書き換えられた口座取引のデータを含む複数の口座取引のデータをクラスタリングによって分類する。出力部は、少なくとも１つの項目が書き換えられた口座取引とクラスタリングによって同じクラスタに分類された、口座取引のデータを出力する。

　本発明の不正検知方法は、分類部と、出力部を備えている。分類部は、少なくとも１つの項目が書き換えられた口座取引のデータを含む複数の口座取引のデータをクラスタリングによって分類する。本発明の不正検知方法は、少なくとも１つの項目が書き換えられた口座取引とクラスタリングによって同じクラスタに分類された、口座取引のデータを出力する。

　本発明のプログラム記録媒体は、不正検知プログラムを記録している。不正検知プログラムは、少なくとも１つの項目が書き換えられた口座取引のデータを含む複数の口座取引のデータをクラスタリングによって分類する処理をコンピュータに実行させる。本発明の不正検知方法は、少なくとも１つの項目が書き換えられた口座取引とクラスタリングによって同じクラスタに分類された、口座取引のデータを出力する処理をコンピュータに実行させる。

　本発明によると、学習モデルの生成に用いる口座取引データを容易に抽出することができる。

本発明の第１の実施形態の構成の概要を示す図である。 本発明の第１の実施形態の不正検知システムの構成の例を示す図である。 本発明の第１の実施形態の口座取引のデータの例を示す図である。 本発明の第１の実施形態の不正検知システムの動作フローの例を示す図である。 本発明の第１の実施形態の口座取引のデータの例を示す図である。 本発明の第１の実施形態におけるクラスタリングの結果の表示画面の例を示す図である。 本発明の第１の実施形態の不正検知システムの動作フローの例を示す図である。 本発明の第１の実施形態の不正検知システムの動作フローの例を示す図である。 本発明の第１の実施形態における不正検知結果の表示画面の例を示す図である。 本発明の第１の実施形態における不正検知結果の表示画面の例を示す図である。 本発明の第２の実施形態の不正検知システムの構成の例を示す図である。 本発明の第２の実施形態の不正検知システムの動作フローの例を示す図である。 本発明の実施形態の他の構成の例を示す図である。

　本発明の第１の実施形態について図を参照して詳細に説明する。図１は、本実施形態の情報処理システムの構成の概要を示す図である。本実施形態の情報処理システムは、不正検知システム１０と、端末装置２０を備えている。不正検知システム１０と、端末装置２０は、ネットワークを介して接続されている。

　本実施形態の情報処理システムの不正検知システム１０は、企業における不正な処理を機械学習によって生成された学習モデルを用いて、企業間の口座取引のデータから検知するシステムである。不正検知システム１０は、不正な処理を検知する学習モデルを機械学習によって生成する際に用いる学習データを、実際に行われている口座取引のデータから抽出する。不正な処理とは、例えば、不正な売買のための企業間の口座取引のことである。不正な処理は、企業の会計処理における不正であってもよい。不正な売買とは、例えば、押し込み販売、または循環取引のような法令で禁止された企業間における売買のことである。

　不正検知システム１０は、口座取引のデータのうち、不正な処理があった場合に特徴的な数値となることが想定される項目が書き換えられた口座取引のデータと、数値が書き換えられていない通常の口座取引データを合わせて同一のグループとしたデータをクラスタリングによって分類する。不正な処理の類型ごとに特徴が現れる項目が異なるため、データが書き換えられた口座取引のデータの生成とクラスタリングは、不正な処理の類型ごとに行われる。例えば、押し込み販売と循環取引では、特徴が現れる項目が異なるため、それぞれに対して、データが書き換えられた口座取引のデータの生成とクラスタリングが行われる。

　不正検知システム１０は、項目が書き換えられた口座取引のデータとクラスタリングによって同じクラスタに分類された口座取引を正例として用いて、口座取引のデータから不正な処理に用いられた口座取引を検知する学習モデルを不正検知モデルとして生成する。不正検知モデルの生成は、不正な処理の類型ごとに行われる。また、不正検知システム１０は、不正な処理の有無を監視する対象となる口座取引のデータを入力データとして、不正な処理の類型ごとに生成されている不正検知モデルを用いて不正な処理の有無を予測する。

　不正検知システム１０の構成について説明する。図２は、不正検知システム１０の構成の例を示す図である。不正検知システム１０は、取得部１１と、分類部１２と、検知モデル生成部１３と、検知部１４と、出力部１５と、記憶部１６を備えている。

　取得部１１は、口座取引に関する複数の項目のデータのうち、一部の項目が書き換えられた口座取引のデータと、データの書き換えが行われていない口座取引のデータを取得する。データの書き換えが行われていない口座取引のデータは、通常の口座取引のデータともいう。

　取得部１１は、作業者の操作によって端末装置２０において、検知の対象となる不正な処理の類型に対応するように一部の項目が書き換えられた口座取引のデータを端末装置２０から取得する。取得部１１は、例えば、作業者の操作によって端末装置２０に入力された通常の口座取引のデータを端末装置２０から取得する。

　取得部１１は、口座取引を行った企業の財務指標のデータを取得する。取得部１１は、例えば、作業者の操作によって端末装置２０に入力された財務指標のデータを端末装置２０から取得する。取得部１１は、財務指標のデータをネットワークを介して接続されている財務情報の提供サーバから取得してもよい。

　財務指標とは、一定の期間における企業の業績、あるいは、ある時点の財政状態を表す値である。データの書き換えは、財務指標のデータに対して行われてもよい。財務指標のデータとは、企業の財務諸表に記載されたデータおよび財務諸表に記載されたデータから算出される指標である。企業の財務指標のデータの項目は、例えば、企業の売上高、営業利益、純粋利益、販売管理費、売上高営業利益率、および棚卸資産回転日数である。財務指標のデータの項目は、上記の例には限られない。

　図３は、口座取引のデータの例を示した図である。図３の口座取引のデータは、データの各項目の名称を示す「項目」と、各項目の数値または名称を示す「内容」によって構成されている。図３の口座取引のデータは、他の企業の口座への振り込みを依頼する企業名である委託者名、振り込みを実行する日を示す振込指定日、振り込みを依頼する企業側の口座情報、振込先の口座情報、振込先の企業名を示す振込先預金者名および振込金額の項目を含んでいる。口座取引のデータの項目は、上記の例には限られない。また、図３の内容に示すデータの形式は、一例であり図３の示す形式には限られない。

　分類部１２は、一部の項目が書き換えられた口座取引のデータと、通常の口座取引データを合わせたデータのクラスタリングを行う。分類部１２は、不正な処理の類型ごとに生成された一部の項目が書き換えられた口座取引のデータを用いてクラスタリングを行い、一部の項目が書き換えられた口座取引のデータと同一のクラスタに分類される通常の口座取引データを抽出する。分類部１２は、クラスタリングの対象となる口座取引における口座取引のデータと、口座取引を行った企業の財務指標のデータからあらかじめ設定された特徴量を抽出する。特徴量として抽出される口座取引および財務指標の項目は、例えば、財務、経理または情報処理の専門家によってあらかじめ設定されている。特徴量は、口座取引のデータおよび財務指標のデータから抽出される各項目のデータおよび複数の項目のデータの組み合わせによって設定される。分類部１２は、例えば、ｋ-means法を用いてデータのクラスタリングを行う。クラスタリングは、ｋ-means法以外のアルゴリズムを用いて行われてもよい。

　検知モデル生成部１３は、口座取引のデータおよび財務指標のデータを入力データ、不正な処理の有無を示すデータをラベルとして機械学習を行い、口座取引のデータおよび財務指標のデータから不正な処理を検知する不正検知モデルを生成する。検知モデル生成部１３は、一部の項目のデータが書き換えられた口座取引のデータとクラスタリングによって同じクラスタに分類された口座取引のデータを正例、データが書き換えられた口座取引のデータとは別のクラスタに分類された口座取引のデータを負例として機械学習を行う。検知モデル生成部１３は、不正な処理の類型ごとの不正検知モデルを生成する。検知モデル生成部１３は、不正な処理の類型に対応するように一部の項目のデータが書き換えられた口座取引のデータとクラスタリングによって同じクラスタに分類された口座取引のデータを正例として用いた機械学習を行い、不正な処理の類型ごとの不正検知モデルを生成する。

　検知モデル生成部１３は、口座取引のデータおよび財務指標のデータからあらかじめ設定された項目のデータを特徴量として抽出する。特徴量として抽出される口座取引および財務指標の項目は、分類部１２が抽出する特徴量の項目と同一である。

　検知モデル生成部１３は、例えば、ニューラルネットワークを用いて深層学習を行う機械学習アルゴリズムによって不正検知モデルを生成する。検知モデル生成部１３は、生成した不正検知モデルのデータを記憶部１６に保存する。

　検知モデル生成部１３は、異種混合学習ともよばれる機械学習アルゴリズムを用いて不正検知モデルを生成してもよい。異種混合学習を用いた機械学習を行う際に、検知モデル生成部１３は、口座取引および財務指標のデータを入力データ、不正な処理の有無を正解データとして決定木形式のルールによって場合分けし、各場合で異なる説明変数を組み合わせた線形モデルで不正な処理を検知する学習モデルを生成してもよい。検知モデル生成部１３は、データの場合分け条件の最適化、説明変数の組み合わせの最適化のよる予測モデルの生成、および不要な予測モデルの削除の処理を順に行うことで学習モデルを生成する。このような機械学習による学習モデルの生成方法は、異なる説明変数の組み合わせによる予測モデルを組み合わせて予測するため、異種混合学習と呼ばれる。異種混合学習によって不正検知モデルを生成することで、予測結果への影響が強い場合分けの条件を用いて不正な処理の有無の予測結果を説明することが可能になるため、予測結果の説明性が向上する。異種混合学習の手法は、例えば、米国特許出願公開第２０１４／０２２２７４１号明細書に開示されている。

　検知モデル生成部１３は、ルール発見型推論ともよばれる機械学習アルゴリズムを用いて不正検知モデルを生成してもよい。ルール発見型推論を用いた機械学習を行う際に、検知モデル生成部１３は、口座取引のデータおよび財務指標のデータからあらかじめ設定された項目のデータを特徴量として抽出する。検知モデル生成部１３は、ランダムフォレストを用いた周知の手法によって特徴量の組み合わせと、特徴の組み合わせが満たす条件ごとの不正な処理が行われた確率および行われていない確率を算出する。特徴量の組み合わせには、1項目の財務指標のみの特徴量も含まれる。

　検知モデル生成部１３は、ルールごとに不正な処理が行われた確率および行われていない確率を算出する。検知モデル生成部１３は、不正な処理が行われた確率を、学習に口座取引のデータが用いられた口座取引数のうち、特徴量がルールで設定された条件を満たる口座取引数の割合を用いて算出する。また、検知モデル生成部１３は、不正な処理が行われていない確率を、学習に口座取引のデータが用いられた口座取引数のうち、特徴量がルールで設定された条件を満たさない口座取引数の割合を用いて算出する。

　検知モデル生成部１３は、生成したルールを選別アルゴリズムで選別し、不正な処理が行われた確率を予測する上で重要なルールを特定する。検知モデル生成部１３は、例えば、各ルールで算出された確率を用いて微分可能なモデルとし、連続最適化問題として扱う選別アルゴリズムを用いてルールの選別を行う。検知モデル生成部１３は、選別したルールについて、絞り込みの度合いが高いルールを上位とした順位付けを行う。検知モデル生成部１３は、ルールの順位と、各ルールを関連付けたデータを不正検知モデルのデータとして記憶部１６に保存する。上記のようなルール発見型推論を用いることで、予測結果に影響が大きいルールを提示することができるので、予測結果の説明性が向上する。

　不正検知モデルは、企業間の口座取引のデータおよび財務指標のデータを用いて不正な処理の有無を予測できるものであれば上記の方法以外の機械学習アルゴリズムによって生成されてもよい。上記の例では予測結果の説明可能な学習モデルを生成する機械学習アルゴリズムによって不正検知モデルを生成しているが、線形モデルを用いた学習モデルを生成し、不正な処理に用いられている口座取引の検知に用いてもよい。そのような構成とする場合に、検知した口座取引のデータを分析することで、不正な処理に用いられた口座取引のデータにおいて特徴的な項目を抽出してもよい。

　検知モデル生成部１３は、不正な処理の形態に応じて複数の不正検知モデルを生成してもよい。不正な処理の形態に応じて、予測に影響を与える特徴量が変化するため、不正な処理の形態に応じて複数の不正検知モデルを生成することで、不正な処理の形態に応じて不正検知モデルを生成することで精度の高い予測が可能になる。また、検知モデル生成部１３は、不正検知モデルによって検知した口座取引のデータと、実際の取引における不正な処理の有無の確認結果の情報を用いて不正検知モデルの再学習を行ってもよい。

　検知部１４は、口座取引のデータおよび財務指標のデータを入力データとして、不正検知モデルを用いて、不正が行われている口座取引を検知する。検知部１４は、不正検知の対象となる口座取引のデータおよび財務指標のデータから不正検知モデルで設定された特徴量のデータを抽出する。検知部１４は、不正検知の対象となる口座取引のデータおよび財務指標のデータから抽出した特徴量を入力データとして、不正検知モデルを用いて不正の有無を予測する。検知部１４は、例えば、入力データが不正な処理に用いられた口座取引である確率を算出し、不正な処理に用いられた口座取引である確率が基準以上の口座取引を不正な処理に用いられている口座取引として特定する。また、不正検知モデルが複数、存在する場合には、検知部１４は、例えば、作業者の操作によって端末装置２０に入力される不正検知モデルまたは不正な処理の形態の選択結果に応じた不正検知モデルを用いて不正の有無の予測を行う。

　出力部１５は、分類部１２のクラスタリングの結果を端末装置２０に出力する。出力部１５は、例えば、データが書き換えられた口座取引のデータと同一のグループに分類された口座取引のデータを端末装置２０に出力する。また、出力部１５は、不正の有無の予測結果を端末装置２０に出力する。出力部１５は、例えば、検知部１４が不正として特定した口座取引の情報を端末装置２０に出力する。出力部１５は、クラスタリングの結果および不正の有無の予測結果を不正検知システム１０に接続された図示しない表示装置に出力してもよい。

　記憶部１６は、一部の項目のデータが書き換えられた口座取引のデータ、通常の口座取引のデータおよび財務指標のデータを保存している。記憶部１６は、データが書き換えられた口座取引のデータと同じクラスタにクラスタリングによって分類された口座取引を特定する情報を保存している。記憶部１６は、不正検知モデルのデータを保存している。

　取得部１１、分類部１２、検知モデル生成部１３、検知部１４および出力部１５における各処理は、例えば、ＣＰＵ（Central Processing Unit）上でコンピュータプログラムを実行することで行うことができる。取得部１１、分類部１２、検知モデル生成部１３、検知部１４および出力部１５における処理は、例えば、１台の情報処理装置において行われる。また、取得部１１、分類部１２、検知モデル生成部１３、検知部１４および出力部１５における処理は、ネットワークを介して接続されている複数の情報処理装置において行われてもよい。

　不正検知システム１０における各処理を複数の情報処理装置において行うとき、例えば、分類部１２および検知モデル生成部１３における処理と、検知部１４における処理を別の情報処理装置で行ってもよい。また、例えば、分類部１２における処理と、検知モデル生成部１３における処理と、検知部１４における処理を別の情報処理装置で行ってもよい。また、例えば、クラスタリングによって学習データを生成する分類部１２における処理と、学習モデルを生成し、生成した学習モデルで不正な処理の有無を予測する検知モデル生成部１３および検知部１４における処理を別の情報処理装置において行ってもよい。上記のような構成とする場合、取得部１１、出力部１５および記憶部１６は、各情報処理装置に備えられる。また、複数の情報処理装置において処理を行う場合の構成は、上記の例に限られない。

　記憶部１６は、例えば、ハードディスクドライブを用いて構成されている。記憶部１６は、不揮発性の半導体記憶装置などの他の種類の記憶装置または複数の種類の記憶装置の組み合わせによって構成されていてもよい。記憶部１６は、不正検知システム１０と接続されている記憶装置上に備えられていてもよい。また、記憶部１６は、ネットワークを介して接続されている情報処理装置が制御する記憶装置上に備えられていてもよい。

　端末装置２０は、不正検知システム１０から取得するクラスタリングの結果および不正な処理の有無の予測結果の表示データを図示しない表示装置に表示する。また、端末装置２０は、作業者の操作によって入力される口座取引のデータの書き換えデータを不正検知システム１０に送る。

　本実施形態の不正検知システム１０の動作について説明する。図４は、クラスタリングによって不正検知モデルの生成に用いる口座取引のデータを抽出する際の動作フローの例を示す図である。

　作業者の操作によって端末装置２０において、検知の対象となる不正な処理の類型に対応するように一部の項目が書き換えられた口座取引のデータが入力データとして入力される。端末装置２０は、入力された入力データを不正検知システム１０に送る。

　図５は、一部の項目のデータが書き換えられた口座取引のデータの例を示す図である。図５の口座取引のデータは、口座取引のデータの項目、書き換え前のデータおよび書き換え後のデータによって構成されている。図５では、書き換え前のデータでは、委託者名として示されている企業Aから、振込先預金者名として示されている企業Fの口座に送金が行われている。通常とは逆の方向に送金が行われるデータを生成することで、不正によって通常とは異なる方向に送金が行われる口座取引を同一のクラスタに分類する際のデータとして用いることができる。

　取得部１１は、検知の対象となる不正な処理の類型に対応するように一部の項目が書き換えられた口座取引のデータを取得する。また、取得部１１は、通常の口座取引のデータと、口座取引を行っている各企業の財務指標のデータを取得する(ステップＳ１１）。

　口座取引のデータおよび財務指標のデータが取得されると、分類部１２は、口座取引のデータと、財務指標のデータからあらかじめ設定された特徴量を抽出する（ステップＳ１２）。分類部１２は、財務指標を口座取引の間隔のデータに補正して特徴量を抽出する。財務指標のデータが1年単位のデータであり、口座取引が月１回行われる場合、分類部１２は、財務指標のデータを均等に割ることで１か月分のデータを算出することで財務指標のデータから口座取引の間隔と同じ期間の特徴量を抽出する。また、例えば、財務指標のデータが四半期ごと、すなわち、３か月単位のデータであり、口座取引が月１回行われる場合、分類部１２は、財務指標のデータを３で割って１か月分のデータを算出することで財務指標のデータから口座取引の間隔と同じ期間の特徴量を抽出する。また、口座取引のデータは、１回の取引分ではなく、複数回の口座取引のデータが組み合わされていてもよい。例えば、毎月１回行われる口座取引のデータ１年分と、年間の財務指標のデータが用いられてもよい。

　分類部１２は、１件の口座取引のデータから抽出した特徴量と、送金元と送金先の企業の財務指標のデータからそれぞれ抽出した特徴量のデータを関連付けて、1件の口座取引のデータとして生成する。

　特徴量を抽出すると、分類部１２は、項目が書き換えられた口座取引のデータと、通常の口座取引のデータを１グループのデータとした後、口座取引のデータのクラスタリングを行う（ステップＳ１３）。分類部１２は、例えば、クラスタリングによって口座取引を２つのクラスタに分類する。クラスタの数は、２つ以外であってもよい。

　クラスタリングが行われると、出力部１５は、クラスタリングの結果を端末装置２０に出力する。出力部１５は、項目が書き換えられた口座取引と同一のクラスタに分類された口座取引を特定できる情報を端末装置２０に出力する。口座取引を特定できる情報とは、例えば、口座取引の日時、送金の依頼元の企業名および送金先の企業名のことをいう。図３の口座取引のデータの例において、送金の依頼元の企業名は、委託者名、送金先の企業名は振込先預金者名である。出力部１５は、項目が書き換えられた口座取引と同一のクラスタに分類された口座取引を特定できる情報に、口座取引のデータおよび財務指標のデータを付加して端末装置２０に出力してもよい。また、出力部１５は、クラスタリングの結果をグラフとして表示するデータを端末装置２０に出力してもよい。

　図６は、クラスタリングの結果の表示画面の例を模式的に示した図である。図６の左側のグラフは、多次元のデータをクラスタリングした結果を主成分分析によって２次元のグラフに表示したものである。図６の左側のグラフの白丸は、通常の口座取引のデータを示し、黒丸は一部の項目が書き換えられた口座取引のデータと示している。図６の例では、白丸と黒丸によって表示されているが、通常の口座取引のデータと、項目が書き換えられた口座取引のデータは、色分けなど他の方法によって区別されてもよい。また、口座取引のデータは、クラスタごとに円や矩形によって囲まれていてもよく、また、異なる色で区別されていてもよい。

　図６の右側の下段には、データが書き換えられた口座取引のデータとクラスタリングによって同一のクラスタに分類された口座取引のデータと、口座取引を行った企業の財務指標のデータが抽出データとして表示されている。また、図６の右側の上段には、データが書き換えられた口座取引のデータと、口座取引を行った企業の財務指標のデータが基準データとして表示されている。

　図６の左側のグラフ上において、作業者のマウス操作によって左側のいずれかのデータがクリックされた場合、または、いずれかのデータの位置にカーソルが合わされた場合に、対応する口座取引および財務指標のデータが表示されるようにしてもよい。また、図６の左側のグラフ上において、マウス操作によってデータが選択された場合に、選択されたデータが他のデータとは異なる色で表示されるようにしてもよい。また、図６の左側のグラフ上において、マウス操作によってデータが選択された場合に、選択されたデータが点滅して表示されるようにしてもよい。

　クラスタリングの確認結果は、作業者の操作によって端末装置２０に入力データとして入力される。クラスタリングの確認結果は、例えば、データが書き換えられた口座取引のデータと同一のクラスタにクラスタリングによって分類された口座取引のデータを学習データとして用いるか否かの選択結果として入力される。また、クラスタリングの確認結果は、学習データとして十分な数の口座取引のデータが得られたかについての情報として入力される。端末装置２０は、クラスタリングの確認結果を示す入力データを不正検知システム１０に送る。

　クラスタリングの終了の有無は、例えば、学習データがあらかじめ設定された数、得られたかによって決定される。必要な学習データの数は、不正検知モデルの生成に用いる機械学習アルゴリズムに応じて設定されている。学習データとして十分な数の口座取引のデータが得られ、結果が基準を満たしているとき（ステップＳ１４でＹｅｓ)、出力部１５は、学習データとして用いると選択された口座取引のデータを学習データとして記憶部１６に保存する（ステップＳ１５）。

　学習データとして十分な数の口座取引のデータが存在せず、結果が基準を満たしていないとき（ステップＳ１４でＮｏ）、出力部１５は、学習データとして用いると選択された口座取引のデータを学習データとして記憶部１６に保存する。学習データとして用いる口座取引のデータが保存されると、取得部１１は、クラスタリングの条件の変更結果とデータの修正結果を端末装置２０から取得する（ステップＳ１６）。クラスタリングの条件の変更結果は、作業者の操作によって端末装置２０に入力される。クラスタリングの条件の変更は、例えば、特徴量とクラスタの数のいずれかまたは両方を変更することによって行われる。クラスタリングの条件の変更結果が取得されると、分類部１２は、変更結果を反映した条件でクラスタリングの処理を行う。

　不正検知モデルを生成する際の動作について説明する。図７は、不正検知システム１０において、不正検知モデルを生成する際の動作フローを示す図である。

　検知対象の不正な処理の類型に対応する不正検知モデルの生成の際に学習データとして用いる口座取引のデータごとに、ラベルとして用いる不正な処理の有無を示す情報が、作業者の操作によって、端末装置２０に入力データとして入力される。端末装置２０は、入力データを不正検知システム１０に送る。

　取得部１１は、検知対象の不正な処理の類型に対応する学習データとして生成された口座取引のデータと財務指標のデータと、不正な処理の有無を示すラベルのデータを取得する（ステップＳ２１）。学習データに用いられる口座取引のデータのうち、データの一部が書き換えられたデータと同一のクラスタに分類された口座取引のデータには、不正な処理があったことを示す情報がラベルとして付加されている。学習データに用いられる口座取引のデータのうち、不正な処理の類型に対応するようにデータの一部が書き換えられたデータとは異なるクラスタに分類された口座取引のデータには、不正な処理が無かったことを示す情報がラベルとして付加されている。

　口座取引のデータが取得されると、検知モデル生成部１３は、口座取引のデータと財務指標のデータから特徴量を抽出する（ステップＳ２２）。検知モデル生成部１３は、口座取引のデータから抽出した特徴量と、送金元と送金先の企業の財務指標のデータからそれぞれ抽出した特徴量のデータを関連付けて、1件の口座取引のデータとして生成する。

　特徴量を抽出すると、検知モデル生成部１３は、口座取引のデータを入力データ、不正の有無を示すデータをラベルとして機械学習を行い、口座取引のデータから不正を検知する不正検知モデルを生成する（ステップＳ２３）。検知モデル生成部１３は、口座取引のデータおよび財務指標のデータから抽出された特徴量と、不正な処理の関係を学習することで不正検知モデルを生成する。不正検知モデルを生成すると、検知モデル生成部１３は、生成した不正検知モデルのデータを記憶部１６に保存する。

　不正検知モデルを生成すると、検知モデル生成部１３は、テスト用データを用いて不正検知モデルの精度の検証を行う。検知モデル生成部１３は、例えば、学習データのうち不正検知モデルの生成に使われていないデータを入力データとし、不正な処理の有無を予測し、予測結果とラベルのデータを比較することで、正解率を算出する。正解率が所定の基準以上であったとき（ステップＳ２４でＹｅｓ）、検知モデル生成部１３は、予測モデルのデータを記憶部１６に保存する（ステップＳ２５）。不正検知モデルのデータを保存すると、不正検知システム１０は、不正な処理の類型に対応した不正検知モデルの生成の動作を完了する。

　正解率が所定の基準未満のとき（ステップＳ２４でＮｏ）、取得部１１は、学習の再実行用の条件を取得する（ステップＳ２６）。取得部１１は、例えば、作業者の操作によって端末装置２０に入力された再学習用の条件を端末装置２０から取得する。再学習の条件が取得されると、不正検知システム１０は、ステップＳ２２に戻り、不正検知モデルの生成の動作を繰り返して行う。

　不正検知モデルを用いて不正検知を行う際の動作について説明する。図８は、不正検知システム１０において、不正な処理の有無を予測する際の動作フローの例を示す図である。

　取得部１１は、監視対象の口座取引、すなわち、不正な処理の有無の検知の対象となる口座取引のデータと財務指標のデータを取得する（ステップＳ３１）。口座取引のデータが取得されると、検知部１４は、検知対象となる不正な処理の類型に対応する不正検知モデルで設定されている特徴量を口座取引のデータから抽出する（ステップＳ３２）。不正検知モデルが不正な処理の類型に対応するように複数、生成されている場合には、いずれの不正検知モデルを用いるかの情報は、例えば、作業者の操作によって端末装置２０に入力される。そのような構成とする場合に、取得部１１は、不正な処理の検知に用いる不正検知モデルの情報を端末装置２０から取得する。いずれの不正検知モデルを用いるかの情報は、不正検知システム１０に直接、入力されてもよい。また、不正な処理の類型の情報が入力され、検知部１４が対応する不正検知モデルを特定してもよい。そのような構成とする場合に、不正な処理の類型と不正検知モデルとの対応は、あらかじめ設定されている。

　検知部１４は、口座取引のデータから抽出した特徴量と、送金元と送金先の企業の財務指標のデータからそれぞれ抽出した特徴量のデータを関連付けて、１件の口座取引のデータとして生成する。

　設定されている特徴量を抽出すると、検知部１４は、特徴量を入力データとして不正検知モデルを用いて不正な処理の有無を予測する（ステップＳ３３）。検知部１４は、例えば、不正検知モデルを用いて口座取引データから不正な処理が行われた確率を算出し、不正な処理が行われた確率があらかじめ設定された基準以上のときに、不正な処理が行われたことを特定する。

　不正な処理の有無の予測が行われると、出力部１５は、予測結果を端末装置２０に不正検知結果として出力する（ステップＳ３４）。

　不正検知結果を受け取ると、端末装置２０は、不正検知結果を図示しない表示装置に出力する。また、出力部１５は、不正検知システム１０に直接、接続されている表示装置に不正検知結果を出力してもよい。

　図９は、不正検知結果の表示画面の例を示している。図９では、不正検知結果として、不正な処理に用いられた可能性が高い口座取引の一覧が表示されている。図９のでは、不正検知結果として、不正な処理に用いられた可能性が高い口座取引を識別する情報と、不正な処理が行われた可能性を示すスコアが示されている。不正な処理が行われた可能性を示すスコアは、例えば、不正な処理が行われている確率として不正検知モデルによって算出した値を用いて算出される。図９の例では、数値が大きくなるほど不正な処理に用いられた可能性が高いことを示している。

　図１０は、不正検知結果のうち、個別の口座取引の不正検知結果を表示する表示画面の例を示している。出力部１５は、例えば、図９の例において、個別の口座取引が選択されたときに、選択された口座取引について、図１０のような個別の口座取引の不正検知結果を出力する。図１０では、不正検知結果として企業Ｐの取引に不正があったことを検知し、取引先の企業がＲであったことが示されている。また、図１０の下段には、不正が検知された企業Ｐの口座取引のデータと財務指標のデータが表示されている。

　図１０の上段の右側には、予測理由の表示欄が設定され、不正な処理が行われていると予測した理由が表示されている。不正な処理が行われていると予測した理由には、例えば、不正検知モデルによる予測の際の各特徴量の重みを用いて、他の特徴量よりも重みが大きい特徴量に対応する口座取引の項目が表示される。予測結果に影響が大きい特徴量と説明文の関係はあらかじめ設定されている。また、例えば、ルール発見型推論を用いて不正検知モデルが生成されている場合には、出力部１５は、予測結果への影響が大きいルールを不正検知結果として出力してもよい。

　図１０の例では、不正な処理が検知された場合の表示画面の例を示しているが、不正な処理が行われていない口座取引についての予測結果の表示が行われてもよい。不正な処理が行われていない口座取引について表示を行う構成とする場合には、図１０のような表示画面において、不正な処理の有無の表示欄をさらに設けてもよい。また、口座取引ごとの不正の有無、不正の処理が行われた確率、または不正な処理が行われた可能性を示すスコアが一覧で表示され、いずれかの口座取引を選択すると、詳細なデータが表示されるようにしてもよい。

　本実施形態の不正検知システム１０は、口座取引のデータのうち一部の項目が書き換えられた口座取引のデータと、通常の口座取引のデータのクラスタリングを行い、データが書き換えられたデータと同一のクラスタに分類された通常の口座取引のデータを抽出している。また、不正検知システム１０は、クラスタリングによって抽出された口座取引のデータを不正な処理に用いられた口座取引の正例のデータとした機械学習を行うことで不正検知モデルを生成している。このようにクラスタリングによってデータを抽出することで、不正な処理に用いられる口座取引のデータに近い口座取引のデータを用いて不正検知モデルを生成することができる。

　不正な処理に用いられる口座取引の実データは少なく、不正な処理の類型ごとの実データはさらに少ない。そのため、不正な処理の類型に対応するように一部の項目を書き換えた口座取引のデータと同じクラスタに分類される口座取引のデータを抽出することで不正検知モデルの生成に適した学習データを数を増やし、不正検知モデルの精度を向上することができる。

　本実施形態の情報処理装置は、不正検知システム１０において、クラスタリングによって抽出した口座取引のデータを用いて不正な処理に関する学習データを抽出することで、学習データの収集に要する作業量を抑制することができる。また、意図的に書き換えた口座取引のデータと同一のクラスタに分類された口座取引のデータを用いることで、実例の少ない不正の形態においても、不正な処理を検知する不正検知モデルを生成することが可能になる。よって、本実施形態の情報処理システムを用いることで、学習モデルの生成に用いる口座取引データを容易に抽出することができる。また、本実施形態の情報処理システムは、クラスタリングによって抽出された口座取引のデータによって不正な処理に関する学習データを増やすことで、正例と負例の不均衡を抑制し、不正検知モデルの精度を向上させることができる。

　（第２の実施形態）
　本発明の第２の実施形態について図を参照して詳細に説明する。図１１は、本実施形態の不正検知システム１００の構成の概要を示す図である。本実施形態の不正検知システム１００は、分類部１０１と、出力部１０２を備えている。

　分類部１０１は、少なくとも１つの項目が書き換えられた口座取引のデータを含む複数の口座取引のデータをクラスタリングによって分類する。出力部１０２は、少なくとも１つの項目が書き換えられた口座取引とクラスタリングによって同じクラスタに分類された、口座取引のデータを出力する。

　第1の実施形態の分類部１２は、分類部１０１の一例である。また、分類部１０１は、分類手段の一態様である。第１の実施形態の出力部１５は、出力部１０２の一例である。また、出力部１０２は、出力手段の一態様である。

　不正検知システム１００の動作について説明する。図１２は、不正検知システム１００の動作フローの例を示す図である。

　分類部１０１は、少なくとも１つの項目が書き換えられた口座取引のデータを含む複数の口座取引のデータをクラスタリングによって分類する（ステップＳ１０１）。口座取引のデータが分類されると、出力部１０２は、少なくとも１つの項目が書き換えられた口座取引とクラスタリングによって同じクラスタに分類された、口座取引のデータを出力する（ステップＳ１０２）。

　本実施形態の不正検知システム１００は、データが書き換えられた口座取引のデータを含む複数の口座取引のデータをクラスタリングによって分類し、同じクラスタに分類された口座取引を特定する情報を出力している。項目が書き替えられた口座取引と同一のクラスタに分類された口座取引のデータを学習データとして用いることで、学習に用いるデータを容易に取得することができる。その結果、本実施形態の不正検知システム１００を用いることで、学習モデルの生成に用いる口座取引データを容易に抽出することができる。

　第１の実施形態の不正検知システム１０および第２の実施形態の不正検知システム１００における各処理は、コンピュータプログラムをコンピュータで実行することによって行うことができる。図１３は、第１の実施形態の不正検知システム１０および第２の実施形態の不正検知システム１００における各処理を行うコンピュータプログラムを実行するコンピュータ２００の構成の例を示したものである。コンピュータ２００は、ＣＰＵ２０１と、メモリ２０２と、記憶装置２０３と、入出力Ｉ／Ｆ（Interface）２０４と、通信Ｉ／Ｆ２０５を備えている。

　ＣＰＵ２０１は、記憶装置２０３から各処理を行うコンピュータプログラムを読み出して実行する。ＣＰＵ２０１は、ＣＰＵとＧＰＵ（Graphics Processing Unit）の組み合わせによって構成されていてもよい。メモリ２０２は、ＤＲＡＭ（Dynamic Random Access Memory）等によって構成され、ＣＰＵ２０１が実行するコンピュータプログラムや処理中のデータが一時記憶される。記憶装置２０３は、ＣＰＵ２０１が実行するコンピュータプログラムを記憶している。記憶装置２０３は、例えば、不揮発性の半導体記憶装置によって構成されている。記憶装置２０３には、ハードディスクドライブ等の他の記憶装置が用いられてもよい。入出力Ｉ／Ｆ２０４は、作業者からの入力の受付および表示データ等の出力を行うインタフェースである。通信Ｉ／Ｆ２０５は、端末装置２０との間でデータの送受信を行うインタフェースである。また、端末装置２０も同様の構成とすることができる。

　各処理の実行に用いられるコンピュータプログラムは、記録媒体に格納して頒布することもできる。記録媒体としては、例えば、データ記録用磁気テープや、ハードディスクなどの磁気ディスクを用いることができる。また、記録媒体としては、ＣＤ-ＲＯＭ（Compact Disc Read Only Memory）等の光ディスクを用いることもできる。不揮発性の半導体記憶装置を記録媒体として用いてもよい。

　上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

　［付記１］
　少なくとも１つの項目が書き換えられた口座取引のデータを含む複数の口座取引のデータをクラスタリングによって分類する分類手段と、
　前記少なくとも１つの項目が書き換えられた口座取引と前記クラスタリングによって同じクラスタに分類された、口座取引をのデータを出力する出力手段と
　を備える不正検知システム。

　［付記２］
　前記分類手段は、前記少なくとも１つの項目が書き換えられた口座取引のデータを含む前記複数の口座取引のデータと、前記複数の口座取引それぞれを行った企業の財務指標のデータとから所定の特徴量を抽出し、前記所定の特徴量を用いて前記複数の口座取引を前記クラスタリングによって分類する付記１に記載の不正検知システム。

　［付記３］
　前記分類手段は、前記財務指標に対応する企業の口座取引の間隔に応じた期間のデータに前記財務指標のデータを補正し、補正した前記財務指標のデータから前記特徴量を抽出する付記２に記載の不正検知システム。

　［付記４］
　前記少なくとも１つの項目が書き換えられた口座取引と前記クラスタリングによって同じクラスタに分類された口座取引のデータと、不正な処理の関係を学習することによって、監視対象の口座取引のデータから不正な処理に用いられていた口座取引を検知する検知モデルを生成する検知モデル生成部をさらに備える付記１から３いずれかに記載の不正検知システム。

　［付記５］
　前記監視対象の口座取引のデータから前記検知モデルを用いて前記不正な処理に用いられた口座取引を検知する検知手段をさらに備え、
　前記出力手段は、検知した前記口座取引のデータを出力する付記４に記載の不正検知システム。

　［付記６］
　前記出力手段は、前記不正な処理に用いられた口座取引の検知結果への影響度が他の特徴量よりも高い特徴量を出力する付記５に記載の不正検知システム。

　［付記７］
　前記出力手段は、前記不正な処理に用いられた口座取引の検知結果への影響度が他の特徴量よりも高い特徴量を基に生成した前記検知結果の理由の説明文を出力する付記６に記載の不正検知システム。

　［付記８］
　少なくとも１つの項目が書き換えられた口座取引のデータを含む複数の口座取引のデータをクラスタリングによって分類し、
　前記少なくとも１つの項目が書き換えられた口座取引と前記クラスタリングによって同じクラスタに分類された口座取引のデータを出力する
　不正検知方法。

　［付記９］
　前記少なくとも１つの項目が書き換えられた口座取引のデータを含む前記複数の口座取引のデータと、前記複数の口座取引それぞれを行った企業の財務指標のデータとから所定の特徴量を抽出し、前記所定の特徴量を用いて前記複数の口座取引を前記クラスタリングによって分類する付記８に記載の不正検知方法。

　［付記１０］
　前記財務指標に対応する企業の口座取引の間隔に応じた期間のデータに前記財務指標のデータを補正し、補正した前記財務指標のデータから前記特徴量を抽出する付記９に記載の不正検知方法。

　［付記１１］
　前記少なくとも１つの項目が書き換えられた口座取引と前記クラスタリングによって同じクラスタに分類された口座取引のデータと、不正な処理の関係を学習することによって、監視対象の口座取引のデータから不正な処理に用いられた口座取引を検知する検知モデルを生成する検知モデル生成部をさらに備える付記８から１０いずれかに記載の不正検知方法。

　［付記１２］
　前記監視対象の口座取引のデータから前記検知モデルを用いて前記不正な処理に用いられた口座取引を検知し、
　検知した前記口座取引のデータを出力する付記１１に記載の不正検知方法。

　［付記１３］
　記不正な処理に用いられた口座取引の検知結果への影響度が他の特徴量よりも高い特徴量を出力する付記１２に記載の不正検知方法。

　［付記１４］
　前記不正な処理に用いられた口座取引の検知結果への影響度が他の特徴量よりも高い特徴量を基に生成した前記検知結果の理由の説明文を出力する付記１３に記載の不正検知方法。

　［付記１５］
　少なくとも１つの項目が書き換えられた口座取引のデータを含む複数の口座取引のデータをクラスタリングによって分類する処理と、
　前記少なくとも１つの項目が書き換えられた口座取引と前記クラスタリングによって同じクラスタに分類された、口座取引のデータを出力する処理と
　をコンピュータに実行させる不正検知プログラムを記録したプログラム記録媒体。

　以上、上述した実施形態を例として本発明を説明した。しかしながら、本発明は、上述した実施形態には限定されない。即ち、本発明は、本発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。

　１０　　不正検知システム
　１１　　取得部
　１２　　分類部
　１３　　検知モデル生成部
　１４　　検知部
　１５　　出力部
　１６　　記憶部
　２０　　端末装置
　１００　　不正検知システム
　１０１　　分類部
　１０２　　出力部
　２００　　コンピュータ
　２０１　　ＣＰＵ
　２０２　　メモリ
　２０３　　記憶装置
　２０４　　入出力Ｉ／Ｆ
　２０５　　通信Ｉ／Ｆ

Claims (15)

1. 　少なくとも１つの項目が書き換えられた口座取引のデータを含む複数の口座取引のデータをクラスタリングによって分類する分類手段と、
   　前記少なくとも１つの項目が書き換えられた口座取引と前記クラスタリングによって同じクラスタに分類された、口座取引のデータを出力する出力手段と
   　を備える不正検知システム。
2. 　前記分類手段は、前記少なくとも１つの項目が書き換えられた口座取引のデータを含む前記複数の口座取引のデータと、前記複数の口座取引それぞれを行った企業の財務指標のデータとから所定の特徴量を抽出し、前記所定の特徴量を用いて前記複数の口座取引を前記クラスタリングによって分類する請求項１に記載の不正検知システム。
3. 　前記分類手段は、前記財務指標に対応する企業の口座取引の間隔に応じた期間のデータに前記財務指標のデータを補正し、補正した前記財務指標のデータから前記特徴量を抽出する請求項２に記載の不正検知システム。
4. 　前記少なくとも１つの項目が書き換えられた口座取引と前記クラスタリングによって同じクラスタに分類された口座取引のデータと、不正な処理の関係を学習することによって、監視対象の口座取引のデータから不正な処理に用いられていた口座取引を検知する検知モデルを生成する検知モデル生成部をさらに備える請求項１から３いずれかに記載の不正検知システム。
5. 　前記監視対象の口座取引のデータから前記検知モデルを用いて前記不正な処理に用いられた口座取引を検知する検知手段をさらに備え、
   　前記出力手段は、検知した前記口座取引のデータを出力する請求項４に記載の不正検知システム。
6. 　前記出力手段は、前記不正な処理に用いられた口座取引の検知結果への影響度が他の特徴量よりも高い特徴量を出力する請求項５に記載の不正検知システム。
7. 　前記出力手段は、前記不正な処理に用いられた口座取引の検知結果への影響度が他の特徴量よりも高い特徴量を基に生成した前記検知結果の理由の説明文を出力する請求項６に記載の不正検知システム。
8. 　少なくとも１つの項目が書き換えられた口座取引のデータを含む複数の口座取引のデータをクラスタリングによって分類し、
   　前記少なくとも１つの項目が書き換えられた口座取引と前記クラスタリングによって同じクラスタに分類された、口座取引のデータを出力する
   　不正検知方法。
9. 　前記少なくとも１つの項目が書き換えられた口座取引のデータを含む前記複数の口座取引のデータと、前記複数の口座取引それぞれを行った企業の財務指標のデータとから所定の特徴量を抽出し、前記所定の特徴量を用いて前記複数の口座取引を前記クラスタリングによって分類する請求項８に記載の不正検知方法。
10. 　前記財務指標に対応する企業の口座取引の間隔に応じた期間のデータに前記財務指標のデータを補正し、補正した前記財務指標のデータから前記特徴量を抽出する請求項９に記載の不正検知方法。
11. 　前記少なくとも１つの項目が書き換えられた口座取引と前記クラスタリングによって同じクラスタに分類された口座取引のデータと、不正な処理の関係を学習することによって、監視対象の口座取引のデータから不正な処理に用いられた口座取引を検知する検知モデルを生成する検知モデル生成部をさらに備える請求項８から１０いずれかに記載の不正検知方法。
12. 　前記監視対象の口座取引のデータから前記検知モデルを用いて前記不正な処理に用いられた口座取引を検知し、
    　検知した前記口座取引のデータを出力する請求項１１に記載の不正検知方法。
13. 　記不正な処理に用いられた口座取引の検知結果への影響度が他の特徴量よりも高い特徴量を出力する請求項１２に記載の不正検知方法。
14. 　前記不正な処理に用いられた口座取引の検知結果への影響度が他の特徴量よりも高い特徴量を基に生成した前記検知結果の理由の説明文を出力する請求項１３に記載の不正検知方法。
15. 　少なくとも１つの項目が書き換えられた口座取引のデータを含む複数の口座取引のデータをクラスタリングによって分類する処理と、
    　前記少なくとも１つの項目が書き換えられた口座取引と前記クラスタリングによって同じクラスタに分類された、口座取引のデータを出力する処理と
    　をコンピュータに実行させる不正検知プログラムを記録したプログラム記録媒体。

Images