CN110363531B

CN110363531B - 处理欺诈的方法和装置

Info

Publication number: CN110363531B
Application number: CN201910227030.9A
Authority: CN
Inventors: 巴尔特·万德桑德; 康纳尔·艾尔瓦德; 克里斯蒂安·特劳姆; 埃宾·利姆; 芭芭拉·约赫姆斯; 奥利维尔·埃尔斯霍希特
Original assignee: Sony Corp
Current assignee: Sony Corp
Priority date: 2018-03-26
Filing date: 2019-03-25
Publication date: 2023-04-28
Anticipated expiration: 2039-03-25
Also published as: US20190295091A1; US11127015B2; CN110363531A

Abstract

本公开涉及处理欺诈的方法和装置。经由数据网络从至少一个用户帐户接收数据交易请求。基于预定义的欺诈检测规则分析数据交易请求，以生成与至少一个用户账户相关联的欺诈分数。如果相关联的欺诈分数超过预定义的欺诈可能性阈值，则将至少一个用户帐户分类为欺诈性帐户。经由数据网络与分类的欺诈性账户相关联的数据交易为伪随机地许可或阻止的。

Description

处理欺诈的方法和装置

技术领域

本公开涉及用于处理用于数据交易(诸如与电子商务等相关的数据交易)的用户账户的欺诈性滥用的方法和装置。

背景技术

在日益互联的世界中，服务提供商(例如，用于电子商务)及其用户两者都可从数据网络(诸如因特网)上的流线型访问和快速数据交易中受益。此类数据交易的突出示例为在电子商务平台上在线购买商品、软件或服务。不幸地是，向数字通信和记录保存的变换也为欺诈者提供了滥用用户帐户的多个切入点。用户帐户允许用户向服务提供商的***进行认证，并且可能获得访问由该***提供或连接到的资源的授权。要登录帐户，用户通常需要使用密码或其它凭据对自身进行认证，以便进行记帐、安全、登陆和资源管理，仅举几个示例。用户帐户可以各种方式欺诈性地(ab)使用。例如，用户凭证可被盗取，被盗用户的帐户可用于欺诈性购买。对于另一个示例，伪造用户的伪造用户帐户可设置为使用被盗***进行购买。欺诈情形是多种多样的。

越来越多的在线服务提供商需要实时做出反应，以提供最佳的用户体验。例如，用户应当能够设置新帐户或进行数字购买而不会有明显延迟。这种实时要求使得欺诈性用户(欺诈者)更容易理解和反向设计服务提供商使用的工具如何检测欺诈性行为工作。欺诈者可更好地制定策略来绕开此类欺诈检测工具。

因此，期望欺诈者更难以分析和提取欺诈检测工具的行为或模式。

发明内容

根据第一方面，本公开提供了处理欺诈的方法。该方法包括经由数据网络从至少一个用户账户接收数据交易请求；基于预定义的欺诈检测规则分析数据交易请求以生成与至少一个用户账户相关联的欺诈分数；如果相关联的欺诈分数超过预定义的欺诈可能性阈值，则将至少一个用户账户分类为欺诈性账户；以及经由数据网络伪随机地许可或阻止与分类的欺诈性账户相关联的数据交易。

根据另一方面，本公开提供了用于处理欺诈的装置。该装置包括接收器，该接收器被配置为经由数据网络从至少一个用户帐户接收数据交易请求。该装置也包括处理器电路，该处理器电路被配置为基于预定义的欺诈检测规则分析数据交易请求以生成与至少一个用户账户相关联的欺诈分数；如果相关联的欺诈分数超过预定义的欺诈可能性阈值，则将至少一个用户帐户分类为欺诈性帐户；以及经由数据网络伪随机地许可或阻止与分类的欺诈性账户相关联的数据交易。

附图说明

以下将仅通过示例并且参考附图来描述装置和/或方法的一些示例，其中

图1示出了根据本公开的实施例的欺诈检测的方法的流程图；

图2示出了欺诈性用户帐户的伪随机阻止/允许的概念；

图3示出了用于欺诈性用户帐户的服务劣化的概念；以及

图4示出了根据本公开的实施例的用于欺诈检测的装置的框图。

具体实施方式

现在将参考附图更全面地描述各种示例，附图中示出了一些示例。

因此，虽然其它示例能够具有各种修改和替代形式，但是其一些特定示例在附图中示出并且随后将被详细描述。然而，该详细描述并不将进一步的示例限制于所描述的特定形式。进一步的示例可涵盖落入本公开范围内的所有修改、等同物和替代物。

最近，在线零售欺诈尝试大幅增加。虽然不能阻止犯罪分子的一些欺诈行为，但是仍然可反击欺诈者。存在各种欺诈检测的概念，从手动欺诈检测策略到全自动欺诈检测，这些概念可防止电子商务和/或电子银行欺诈并且保护在线服务提供商和/或银行免受经济损失。

各种反欺诈或欺诈检测工具是基于类似的原理：用户将数据交易请求(例如，包含订单详细信息)发送到服务提供商。欺诈检测结构筛选数据交易请求的风险因素，并且以风险分数和/或“批准/拒绝”响应的形式返回警报。为了检测可能的财务欺诈，可分析多个警告标志，例如，不同的运输和账单地址、同一物品的重复订单、海外的大额订单等。

例如，更先进的欺诈检测工具可基于机器学习，其中，实时洞察(real-timeinsights)可被输入到可立即检测欺诈性行为的机器学习模型中。与手动或人工欺诈检测方式相比，机器学习可提供更快的速度，并且可包含更广泛的在线欺诈信号。然而，本公开的具有优势的技术人员将理解，可采用从基于人为判断的纯手动概念到半自动化到全自动方法的各种欺诈检测的概念和规则，诸如机器学习。因此，欺诈检测工具可以是在线业务中本地运行的一组人为定义的规则，针对过去的欺诈行为而训练的机器学习模型，或是由在线业务调用以检测欺诈的在线评分服务。

在任一情况下，欺诈检测结构可应用预定的欺诈检测规则或模型来识别欺诈性行为模式。如果用户帐户基于欺诈检测规则和/或欺诈检测模型被分类为欺诈性用户帐户，则该帐户通常被阻止。也就是说，不可经由欺诈性帐户执行数据交易，该服务被阻止用于欺诈性用户帐户。欺诈者可分析检测工具使用的潜在欺诈检测策略，并且提出绕开欺诈检测工具的规则或模型的策略。例如，他们可使用虚假帐户或用户数据的不同组合快速设置新帐户和/或修改帐户，直至他们发现未(尚未)归类为欺诈性帐户的新组合。当欺诈分数显示重复阻止行为时，欺诈者可发现致使其帐户被阻止的确切行为(规则集)。这些知识可有助于规避潜在的高欺诈分数，并且防止可能禁止该账户。由于业务实时回复，欺诈者可通过尝试许多不同的攻击排列来非常快速地理解行为。

本公开解决了该问题并且描述了如何使欺诈者更难以提取欺诈检测工具的行为。

图1示出了根据本公开的实施例的处理欺诈的方法100的示意性流程图。

从服务提供商的角度示出了方法100。方法100包括经由数据网络从或经由至少一个用户帐户接收数据交易请求的操作110。接下来，基于欺诈检测规则和/或模型来分析所接收的数据交易请求(操作120)，以生成与至少一个用户账户相关联的欺诈分数。如果相关联的欺诈分数超过某个欺诈可能性阈值，则将至少一个用户帐户分类(操作130)为欺诈性帐户。然后，根据本公开的实施例，与分类的欺诈性账户相关联的数据交易不会始终被阻止而是无限制地许可、受限制地许可(例如，具有一些劣化)或者以伪随机方式被完全阻止(操作140)。这种伪随机许可/阻止行为似乎对欺诈者来说为不可预测的，并且使其难以分析从而因此绕开潜在的欺诈检测规则/模型。

在一些实施例中，数据网络可以为因特网。然而，受益于本公开的技术人员将理解，也可想到任何其它公共或私有数据网络。例如，数据交易请求可为在线支付请求，包括用户的***或其它银行账户信息。可使用一组预定义的欺诈检测规则(例如，统计技术)或基于一个或多个智能欺诈检测机器学习模型(人工智能)来分析数据交易请求的用户数据。因此，分析120数据交易请求的操作可包括将来自至少一个用户账户的数据交易请求馈送到机器学习模型，该机器学习模型被配置为识别欺诈性数据交易。

例如，由欺诈检测方案生成的欺诈分数可指示欺诈性使用的低、中或高概率。传统上，具有低欺诈分数的用户帐户不会被阻止，而至少具有高欺诈分数的用户帐户才会被阻止。也就是说，传统上欺诈分数和账户阻止之间存在直接关系(例如，高欺诈分数导致被阻止的用户账户)。本公开提出有意地不阻止所有识别或分类的欺诈性账户以模糊欺诈检测工具的真实行为。也就是说，即使欺诈分数高或非常高的用户帐户也不一定被阻止。相反，组织(或许可)是伪随机执行的。在一些实施例中，伪随机地无限制地许可、限制地许可或阻止数据交易包括基于预定义的伪随机种子生成伪随机许可限制序列以初始化伪随机数生成器。如果将该伪随机许可组织序列视为“0”和“1”的二进制序列，则“0”可表示“组织”，而“1”可表示“许可”。因此，如果具有高欺诈分数的用户帐户伪随机地与“1”相关联，则用户帐户可不会被阻止，因此欺诈者可未意识到欺诈检测工具已将其帐户分类为欺诈性的。

然而，从本公开中受益的技术人员将理解，欺诈性用户帐户的伪随机许可然而从服务提供商或企业获得可接受的丢失率并且使用伪随机选择算法通过允许一些不良行为来引起欺诈者的挫败感。这里，争论的焦点为，如果欺诈者不能获得积极的投资回报(ROI)，他们将被迫停止对企业的攻击。我们认为，从长远来看，低损失率是可接受的。

注意，故意未被阻止的分类的欺诈形帐户和/或数据交易仍可被标记为欺诈性的。在一些实施例中，可向未阻止的欺诈性账户提供服务或商品的温和/劣化版本(例如，“服务不可用”、不允许通过难题、挑战等达到成功的“温和的游戏环境”等等)。因此，在一些实施例中，相比于故意劣化与分类的欺诈性账户相关联的数据交易，伪随机地许可或阻止数据交易的操作140另外包括与分类的非欺诈性账户相关联的数据交易。也就是说，与分类的欺诈性账户相关联的许可的数据交易可被故意劣化。使数据交易劣化可包括故意使用较高等待时间进行数据通信、故意发送更多不可靠响应、假装服务不可用或故意传送劣化数据内容中的至少一种。可想到许多其它服务劣化。在一个示例中，不同类型的劣化可用于第一许可数据交易和第二许可数据交易。这种服务劣化而无法识别原因可导致对欺诈者造成巨大的挫败感。

图2示出了可如何采用本公开的实施例的示例情形。

用户帐户按用户分组。普通或常规用户202使用***中的相应用户帐户204将大部分时间1映射到1。普通用户帐户204通常接收低欺诈分数。欺诈用户206经常映射到N个用户帐户或一组用户帐户208，其将表现出基本上相同的欺诈行为。这些欺诈性账户208可取决于每个账户上的活动接收从低、中到高的欺诈分数。由于这些账户208可基于使用规则或人工智能的欺诈检测方案链接到欺诈者206，因此基于欺诈分数采取的操作可为随机的。具有低、中和高欺诈分数的用户帐户可被阻止或许可，这取决于提供的伪随机种子。使用此类伪随机种子允许对服务提供者进行可预测的跟踪以允许通过的操作。然而，欺诈者无法恢复阻塞的原因使得更难或甚至不可能发现所采用的欺诈检测模式。这增加了欺诈者放弃的机会。

处理欺诈的另一个实施例在图3中示出。

另选地或另外地，一些实施例提供了使用该欺诈性账户访问或消费的服务或产品的劣化版本。这意味着非欺诈性用户帐户可以正常提供服务，而所允许的欺诈性用户帐户则以故意劣化的方式提供服务。劣化可以是任何/多种类型，用户体验的任何事物会减少或中断。例如：缓慢/不一致的响应时间、无法加载部分内容、包含问题、缺少特征的内容的替代版本等。当图3的概念被评分/分类为欺诈时，可与伪随机地许可或阻止帐户一起使用。

知情允许的欺诈性账户仍然可通过劣化的操作来实现。劣化操作的示例为高延迟、不可靠的响应、服务不可用、提供改变的内容版本(具有故障的视频内容、无法解决的/崩溃的游戏、添加到音乐的刺激性噪声、随机阻止的应用程序等)。

通过提供劣化版本的服务或产品损坏，可进一步减少所许可的欺诈性帐户。这使得欺诈者更难以检测到其帐户已被识别为欺诈性的。因此，欺诈者可仍然继续其最初滥用此帐户的意图。但是他不会成功，因为劣化会阻止或改变服务、消耗品(例如，内容的更改版本)等的成功使用。

需要考虑的一个重要因素是，应该平衡允许的欺诈性行为的数量，使得其对服务所有者的投资回报产生积极影响，对攻击者产生负面影响。

攻击者将具有以下费用：

·设置新的欺诈行动

·弄清楚什么是欺诈行为，什么不是欺诈行为

服务所有者将具有以下费用：

·允许一定比例的欺诈性流量

·适应新的欺诈模式

此成本函数可由业务提供。

如果欺诈者没有注意到服务的失败行为并且继续其原始的不良意图，则本公开的实施例可对欺诈者的信誉造成损失。如果最初的意图是将该帐户出售给另一个用户，则该其他用户将遭受相同的劣化版本。或者，如果意图为将帐户提供给另一个(一组)欺诈者(多个)，则该帐户也可证明他们也无法使用。

受益于本公开的技术人员将理解，所描述的方法可为计算机实施的。用于处理欺诈的装置400在图4中示意性地示出。

装置400包括接收器402，接收器402被配置为经由数据网络404从至少一个用户账户408接收数据交易请求406。装置400的处理器电路410被配置为基于预定义的欺诈检测规则来分析所接收的数据交易请求406，以便生成与至少一个用户账户相关联的欺诈分数。处理器电路410也被配置为：如果相关联的欺诈分数超过预定义的欺诈可能性阈值，则将至少一个用户账户分类为欺诈性账户，并且伪随机地许可或限制经由数据网络与分类的欺诈性账户相关联的数据交易。处理器电路410可被配置为基于预定义的伪随机种子生成伪随机许可阻止序列。

除了伪随机地允许或阻止数据交易之外，处理器电路410可被配置为许可数据交易，但是与分类的非欺诈性账户相关联的数据交易相比，故意劣化与分类的欺诈性账户相关联的许可数据交易。

以下示例涉及其它实施例。

(1)一种处理欺诈的方法，包括：

经由数据网络从至少一个用户帐户接收数据交易请求；

基于预定义的欺诈检测规则来分析数据交易请求，以生成与至少一个用户账户相关联的欺诈分数；

如果相关联的欺诈分数超过预定义的欺诈可能性阈值，则将至少一个用户帐户分类为欺诈性帐户；并且

经由数据网络伪随机地许可或阻止与所分类的欺诈性账户相关联的数据交易。

(2)根据(1)所述的方法，其中，伪随机地许可或阻止数据交易包括基于预定义的伪随机种子生成伪随机许可阻止序列。

(3)根据(1)或(2)中的任一项所述的方法，其中，伪随机地许可或阻止数据交易包括相对于与所分类的非欺诈性账户相关联的数据交易故意劣化与所分类的欺诈性账户相关联的许可数据交易。

(4)根据(3)所述的方法，其中，劣化数据交易包括以下中的至少一个：故意使用较长等待时间进行数据通信、故意发送更多不可靠响应、假装服务不可用或故意传送劣化的数据内容。

(5)根据(1)至(4)中任一项所述的方法，其中，分析数据交易请求包括将数据交易请求从至少一个用户账户馈送到机器学习模型，该机器学习模型被配置为识别欺诈性数据交易。

(6)根据(1)至(5)中任一项所述的方法，其中，伪随机地许可或限制数据交易包括实时地对输入的数据交易请求作出反应。

(7)一种用于处理欺诈的装置，包括：

接收器，该接收器被配置为经由数据网络从至少一个用户帐户接收数据交易请求；

处理器电路，该处理器电路被配置为：

(8)根据(7)所述的装置，其中，处理器电路被配置为基于预定义的伪随机种子生成伪随机许可阻止序列。

(9)根据(7)或(8)所述的装置，其中，处理器电路被配置为和与所分类的非欺诈性账户相关联的数据交易相比，故意劣化与所分类的欺诈性账户相关联的许可数据交易。

(10)根据(7)至(9)中任一项所述的装置，其中，处理器电路被配置为分析数据交易请求、对至少一个用户帐户进行分类并且实时伪随机地许可或限制数据交易。

与一个或多个先前详细的示例和附图一起提及和描述的方面和特征也可与一个或多个其它示例组合，以便替换另一示例的相同特征或者为了另外引入另一个示例的功能。

当计算机程序在计算机或处理器上实行时，示例可进一步或涉及具有用于执行上述方法中的一个或多个的程序代码的计算机程序。可通过编程的计算机或处理器来执行各种上述方法的步骤、操作或过程。示例也可涵盖程序储存设备(诸如数字数据存储介质)，其为机器、处理器或计算机可读和编码机器可实行、处理器可执实行或计算机可实行指令程序。指令执行或致使执行上述方法的一些或全部操作。程序储存设备可包括或者为例如数字存储器、磁储存介质(诸如磁盘和磁带)、硬盘驱动器或光学可读数字数据储存介质。进一步的示例也可涵盖被编程为执行上述方法或(场)可编程逻辑阵列((F)PLA)或(场)可编程门阵列((F)PGA)的操作、被编程执行上述方法的操作的计算机、处理器或控制单元。

说明书和附图仅说明了本公开的原理。此外，本文所述的所有示例主要旨在明确地仅用于教学目的，以帮助读者理解本公开的原理以及发明人为促进本领域所贡献的概念。这里叙述本公开的原理、方面和示例的所有陈述以及其具体示例旨在涵盖其等同物。

表示为“用于...的器件”执行特定功能的功能块可指代被配置为执行特定功能的电路。因此，“用于一些事物的器件”可实施为“配置为或适合于一些事物的器件”，诸如被配置为或适合于相应任务的设备或电路。

图中所示的各种元件的功能，包括标记为“器件”、“用于提供信号的器件”、“用于产生信号的器件”等的任何功能块可以专用硬件(诸如作为“信号提供者”、“信号处理单元”、“处理器”、“控制器”等，以及能够实行与适当软件相关联的软件的硬件)的形式实施。当由处理器提供时，功能可由单个专用处理器、单个共享处理器或多个单独的处理器提供，其中一些或全部可为共享的。然而，术语“处理器”或“控制器”到目前为止不限于专门能够实行软件的硬件，而是可包括数字信号处理器(DSP)硬件、网络处理器、专用集成电路(ASIC)、现场可编程门阵列(FPGA)、用于储存软件的只读存储器(ROM)、随机存取存储器(RAM)和非易失性储存器。也可包括其它常规和/或定制的硬件。

例如，框图可示出实施本公开的原理的高级电路图。类似地，流程框、流程图、状态转换图、伪代码等可表示各种过程、操作或步骤，其可例如基本上在计算机可读介质中表示并且因此由计算机或处理器实行，无论是否明确显示此类计算机或处理器。说明书或权利要求中公开的方法可通过具有用于执行这些方法的每个相应操作的装置的设备来实施。

应当理解，除非明确地或隐含地另外说明，例如出于技术原因，否则说明书或权利要求中公开的多个操作、过程、操作、步骤或功能的公开内容可不被解释为在特定顺序内。因此，多个操作或功能的公开不会将这些限制于特定顺序，除非由于技术原因这些操作或功能不可互换。此外，在一些示例中，单个操作、功能、过程、操作或步骤可包括或可分别分成多个子操作、功能、过程、操作或步骤。除非明确排除，否则可包括此类子行为，并且为该单一行为的公开的一部分。

此外，以下权利要求在此并入到具体实施方式中，其中每个权利要求可作为单独的示例独立存在。虽然每个权利要求可作为单独的示例独立存在，但是应当注意，尽管从属权利要求可在权利要求中提及与一个或多个其它权利要求的特定组合，但是其它示例也可包括从属权利要求与每个其它从属或独立权利要求的主题的组合。除非声明不打算特定组合，否则本文明确提出了此类组合。此外，即使该权利要求不直接取决于独立的权利要求，也旨在包括对任何其它独立权利要求的权利要求的特征。

Claims

1.一种处理欺诈的方法，所述方法包括以下步骤：

经由数据网络从至少一个用户帐户接收数据交易请求；

基于预定义的欺诈检测规则来分析所述数据交易请求，以生成与所述至少一个用户账户相关联的欺诈分数；

如果相关联的欺诈分数超过预定义的欺诈可能性阈值，则将所述至少一个用户帐户分类为欺诈性帐户；

经由所述数据网络伪随机地许可或阻止与所分类的欺诈性账户相关联的数据交易；并且

相对于与所分类的非欺诈性账户相关联的数据交易故意劣化与所分类的欺诈性账户相关联的许可的数据交易，

其中，劣化所述许可的数据交易包括以下中的至少一个：故意使用较长等待时间进行数据通信、故意发送更多不可靠响应、假装服务不可用或故意传送劣化的数据内容。

2.根据权利要求1所述的方法，其中，伪随机地许可或阻止所述数据交易包括基于预定义的伪随机种子生成伪随机许可限制序列。

3.根据权利要求1所述的方法，其中，分析所述数据交易请求包括将所述数据交易请求从所述至少一个用户账户馈送到机器学习模型，所述机器学习模型被配置为识别欺诈性数据交易。

4.根据权利要求1所述的方法，其中，伪随机地许可或限制数据交易包括实时地对输入的数据交易请求作出反应。

5.一种用于处理欺诈的装置，所述装置包括：

接收器，所述接收器被配置为经由数据网络从至少一个用户帐户接收数据交易请求；

处理器电路，所述处理器电路被配置为：

其中，所述处理器电路被配置为劣化所述许可的数据交易包括以下中的至少一个：故意使用较长等待时间进行数据通信、故意发送更多不可靠响应、假装服务不可用或故意传送劣化的数据内容。

6.根据权利要求5所述的装置，其中，所述处理器电路被配置为基于预定义的伪随机种子生成伪随机许可阻止序列。

7.根据权利要求5所述的装置，其中，所述处理器电路被配置为分析所述数据交易请求、对所述至少一个用户帐户进行分类并且实时伪随机地许可或限制所述数据交易。