В интернет-магазине встречаются злоупотребления скидками, реферальными программами, бонусными баллами и правилами возврата. В маркетплейсе нужно учитывать действия продавца и покупателя: спор по доставке, сомнительный товар или согласованные действия нескольких аккаунтов. У сети магазинов добавляются возвраты без первоначальной покупки, ручные скидки и корректировки на кассе. У сервиса подписки — повторные бесплатные периоды и спорные списания.

В отеле, туристической компании или парке развлечений предметом анализа могут быть промокоды, аннулирования бронирований, возвраты билетов, операции с гостевыми сертификатами и привилегиями участников программы лояльности. В B2B — нетипичные изменения реквизитов и условий заказа, несогласованные скидки и операции контрагентов. Для каждого сценария сначала определяют событие, возможную потерю и результат, который можно проверить; общая «оценка подозрительности человека» здесь мало помогает.

Типовой план реализации Fraud detection (Модель Риска) проекта выглядит следующим образом.

Подтверждённый случай по итогам внутреннего расследования, установленное злоупотребление возвратом и подтверждённый захват аккаунта могут стать разными типами флагов. Сигнал платёжного сервиса, жалоба или необычная частота операций сначала остаются поводом для проверки. Закрытый без нарушений спор, законный возврат и техническая ошибка должны получать собственный статус.

Для каждого флага сохраняют тип схемы, событие, доказательство, дату возникновения и дату подтверждения, итог проверки и степень уверенности. Это важно для обучения: если возврат признали злоупотреблением спустя месяц, модель не должна «знать» решение расследования при оценке заказа месячной давности. Кроме того, операция без обнаруженного нарушения не обязательно является доказанно добросовестной: часть случаев никто не проверял.

Исследование Ortega Vasquez и соавторов посвящено именно обучению при неполной разметке, когда известны лишь некоторые случаи мошенничества.

Сайт и приложение дают историю сессий, входов, заказов и попыток применить предложение. Касса и учётная система — чеки, возвраты, скидки, движение товара и автора операции. CRM и программа лояльности — историю коммуникаций и бонусов. Кол-центр, билетная система и доставка добавляют обращения, изменения бронирования и фактическое исполнение заказа.

Далее события связывают через идентификаторы заказа, аккаунта, карты лояльности, точки продаж и рабочего места; при наличии подходящих оснований используют также сигналы устройства и адреса доставки. У связи должна быть указана уверенность. Один адрес семьи или общий терминал магазина не означает, что все операции принадлежат одному человеку. При анализе действий сотрудника существенны его роль, разрешённые полномочия, смена и история согласований.

К данным о заказе можно добавить историю платёжных исходов, частоту смены реквизитов, результаты доставки и сведения от подключённых антифрод-сервисов. В B2B полезны доступные сведения о юридическом лице и его реквизитах. Для разных стран и каналов состав источников будет различаться: дополнительные данные оценивают по качеству, доступности и применимости к конкретному решению.

Например, несколько заказов с одного устройства — повод посмотреть связи между ними; для семьи или общедоступного компьютера это может быть обычным поведением. Резкий рост возвратов у магазина тоже требует контекста: рядом могли открыть пункт приёма возвратов или изменить правила акции. Надёжный мониторинг сохраняет происхождение каждого признака и позволяет специалисту увидеть объяснение сигнала.

Правила быстро выявляют известные нарушения процесса: например, операцию, которая выходит за полномочия роли и не имеет обязательного согласования. Модель, обученная на проверенных флагах, оценивает риск возврата, заказа или сессии с учётом множества признаков. Поиск аномалий отмечает новые и редкие сочетания действий; их смысл устанавливает проверка. Графовый анализ помогает увидеть группы аккаунтов, заказов, устройств, адресов и сотрудников, связанных повторяющимися операциями.

Для новых покупателей истории мало, поэтому ранняя оценка больше опирается на параметры текущей сессии и операции. Для давних клиентов и сотрудников полезнее динамика: насколько событие отличается от их собственного поведения и от сопоставимой группы. Обзор исследований графовых методов выявления фрода показывает, зачем при сложных схемах учитывать связи между объектами; выбор конкретного метода зависит от данных и стоимости его применения.

Представим программу лояльности: новые аккаунты получают приветственные баллы, делают похожие заказы, используют связанные адреса доставки, а позднее по части покупок оформляются возвраты. Каждое событие встречается и у обычных клиентов; внимание вызывает общая история и концентрация выгоды. Проверка может показать и добросовестное объяснение, поэтому схема остаётся гипотезой до подтверждения.

Для сотрудников примером будет серия ручных корректировок после закрытия продаж, повторяющиеся основания возврата и сумма операций, непривычная для этой роли и точки. Здесь особенно важно сравнивать сопоставимые смены и учитывать изменения процессов. В прикладном исследовании возвратов онлайн-ритейлера модель использовали, чтобы направить на аудит 5% возвратных операций с наибольшим оценочным риском. Это пример приоритизации проверок; отобранные операции ещё не считаются доказанным нарушением. Get Access

Несколько аккаунтов, одно устройство и серия возвратов могут образовать группу, даже если риск каждой отдельной покупки невелик. Внутреннее расследование иногда требует связать сотрудника, рабочее место, ручное изменение операции и получателя возврата. На графе такие связи видно быстрее, чем в длинной таблице транзакций.

При этом общая связь не равна общей ответственности. Семья может делить адрес, кассир обслуживает множество клиентов, а корпоративный компьютер используют коллеги. В карточке случая поэтому показывают тип связи, период её существования и исходные события; специалист должен иметь возможность отклонить ошибочное объединение.

Низкий риск позволяет провести операцию обычным способом. Средний может потребовать дополнительного подтверждения или проверки специалистом. При высоком риске компания может временно приостановить конкретную выплату, возврат или изменение реквизитов до решения ответственной команды. Для разных типов риска и каналов устанавливают отдельные правила: у спорного заказа, возврата в магазине и изменения реквизитов разные сроки и цена задержки.

Карточка расследования собирает цепочку событий, риск, причины срабатывания, предполагаемый размер потери, подтверждающие документы и действия специалиста. После проверки фиксируют итог, а также его последующие изменения. Работа антифрод-системы на этом не заканчивается: в исследовании организации антифрод-процессов в e-commerce отдельно подчёркнута роль подразделения, которое расследует сигналы и возвращает результат в процесс обучения модели.

Романов и Рындин (2018) описывают прототип антифрод-системы для международной доставки посылок. Она проверяет действия клиента при регистрации, изменении адресов и оплате: сначала применяет простые правила, затем модель оценивает подозрительность операции по данным об авторизациях, адресах, карте и платежах.

Авторы сравнили четыре алгоритма; лучший результат в эксперименте показала нейросеть — AUC 0,952. Это результат тестирования модели, а не подтверждённый эффект внедрения: в статье нет данных о снижении потерь в работающей компании.

Заблокированный заказ может быть покупкой постоянного клиента. Подозрение в отношении сотрудника может возникнуть из-за изменения регламента или сбоя учётной системы. Поэтому пороги выбирают с учётом стоимости пропущенного нарушения, стоимости проверки и последствий ошибочного ограничения. Для серьёзных решений предусматривают проверку человеком, возможность пересмотра и запись оснований.

Отдельная сложность возникает в данных для обучения: обычно детально расследуют уже подозрительные события. Если принять все остальные за безопасные, модель перенимает прежние слепые зоны команды. Полезно сохранять статус «не проверено» и выборочно проверять часть случаев за пределами зоны высокого риска. Доступ к подробностям операций сотрудников и клиентов разграничивают по ролям; в отчётах показывают столько данных, сколько нужно для решения.

Техническая точность сама по себе мало говорит о пользе системы. При фиксированной мощности команды проверок важно, сколько нарушений она подтверждает среди первых 100 или 1 000 сигналов. Бизнес также смотрит на предотвращённые и возвращённые потери, стоимость расследования, время обнаружения, долю ошибочно задержанных операций и изменения конверсии или скорости обслуживания.

Сравнение проводят на последовательных периодах и отдельно по типам схем, каналам и регионам. Новая модель не должна получать при проверке данные, появившиеся после оцениваемой операции. Поскольку подтверждение части случаев приходит с задержкой, оперативные и окончательные метрики показывают раздельно. При возможности новое решение сначала запускают параллельно действующему процессу, а финансовый эффект оценивают по сопоставимым группам операций.

Маркетплейс товаров с историей использования Carousell в Юго-Восточной Азии вместе со Stripe изменил процессы оценки рисков для покупателей и продавцов. В опубликованном кейсе сообщается о снижении ложноположительных срабатываний на 75%, росте доли одобрений банками-эмитентами на 10% и сокращении числа дополнительных проверок 3D Secure на 15%. Результаты относятся к совокупности изменений платёжного и антифрод-процесса. Stripe

Американский косметический бренд Dermalogica продаёт товары профессиональным клиентам и обычным покупателям. Согласно опубликованному кейсу Stripe, после настройки правил и моделей под эти группы доля мошеннических операций сократилась на 50% за первые шесть месяцев. Важная деталь этого примера — цена ошибочного ограничения заказа постоянного профессионального клиента. Stripe

В исследовании внедрения антифрод-системы Microsoft описаны модели последовательностей, граф связей и согласование решений с ручной проверкой и банком. Авторы сообщают о дополнительных 75 млн долларов экономии за два года и снижении ошибочных отказов. Эти цифры относятся к конкретному масштабу бизнеса и полному процессу принятия решений; переносить их на другую компанию как ожидаемый эффект нельзя.

На главном экране показывают число операций, количество сигналов, подтверждённые случаи, оценку и факт потерь, стоимость проверок и ошибочные ограничения. Фильтры позволяют перейти к каналу, региону, магазину, типу схемы и периоду. Отдельная вкладка показывает очередь расследований: возраст случая, ожидаемую величину потери, ответственного и срок решения.

Для аналитика важны качество флагов и моделей: доля подтверждений в верхней части списка, полнота на проверенной выборке, доля непроверенных случаев, изменение структуры сигналов и задержка получения окончательного статуса. Для операционного руководителя — где возникают потери и успевает ли команда реагировать. Отчёт по сотрудникам показывают ответственным специалистам с учётом их полномочий; агрегированная версия для руководства не требует раскрывать все персональные детали расследований.

Пример интерактивного дашборда - в конце материала.

Например, с ручных возвратов в розничной сети, спорных заказов в e-commerce или злоупотребления бонусами. Команда описывает правила процесса, собирает историю событий и исходов проверок, определяет стоимость ошибки и строит простой ориентир на действующих правилах. Затем модель ранжирует новые случаи параллельно текущей работе: становится видно, помогает ли она находить нарушения раньше и с меньшими затратами.

После проверки результата можно подключить другие каналы и сценарии, объединить связанные события и расширить граф связей. У каждого расширения остаются три измеримых вопроса: какие потери обнаружены, сколько добросовестных операций затронуто и насколько быстрее команда приходит к обоснованному решению.