WO2023003261A1 - 전자 상거래에서의 이상 거래 탐지를 위한 클러스터링 방법 및 시스템 - Google Patents

전자 상거래에서의 이상 거래 탐지를 위한 클러스터링 방법 및 시스템 Download PDF

Info

Publication number
WO2023003261A1
WO2023003261A1 PCT/KR2022/010204 KR2022010204W WO2023003261A1 WO 2023003261 A1 WO2023003261 A1 WO 2023003261A1 KR 2022010204 W KR2022010204 W KR 2022010204W WO 2023003261 A1 WO2023003261 A1 WO 2023003261A1
Authority
WO
WIPO (PCT)
Prior art keywords
identifier
transaction
information
transaction information
node
Prior art date
Application number
PCT/KR2022/010204
Other languages
English (en)
French (fr)
Inventor
채소영
황인욱
김기철
Original Assignee
주식회사 에스투더블유
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 에스투더블유 filed Critical 주식회사 에스투더블유
Publication of WO2023003261A1 publication Critical patent/WO2023003261A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q30/00—Commerce
    • G06Q30/018—Certifying business or products
    • G06Q30/0185—Product, service or business identity fraud
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q30/00—Commerce
    • G06Q30/06—Buying, selling or leasing transactions
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06K—GRAPHICAL DATA READING; PRESENTATION OF DATA; RECORD CARRIERS; HANDLING RECORD CARRIERS
    • G06K19/00—Record carriers for use with machines and with at least a part designed to carry digital markings
    • G06K19/06—Record carriers for use with machines and with at least a part designed to carry digital markings characterised by the kind of the digital marking, e.g. shape, nature, code
    • G06K19/067—Record carriers with conductive marks, printed circuits or semiconductor circuit elements, e.g. credit or identity cards also with resonating or responding marks without active components
    • G06K19/07—Record carriers with conductive marks, printed circuits or semiconductor circuit elements, e.g. credit or identity cards also with resonating or responding marks without active components with integrated circuit chips
    • G06K19/0723—Record carriers with conductive marks, printed circuits or semiconductor circuit elements, e.g. credit or identity cards also with resonating or responding marks without active components with integrated circuit chips the record carrier comprising an arrangement for non-contact communication, e.g. wireless communication circuits on transponder cards, non-contact smart cards or RFIDs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4016—Transaction verification involving fraud or risk level assessment in transaction processing
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q30/00—Commerce
    • G06Q30/01—Customer relationship services
    • G—PHYSICS
    • G08—SIGNALLING
    • G08B—SIGNALLING OR CALLING SYSTEMS; ORDER TELEGRAPHS; ALARM SYSTEMS
    • G08B21/00—Alarms responsive to a single specified undesired or abnormal condition and not otherwise provided for
    • G08B21/18—Status alarms

Definitions

  • the present invention relates to a method and system for detecting an abnormal transaction in electronic commerce, and more particularly, to a method and system for detecting an abnormal transaction for detecting a user who engages in an abnormal transaction such as fraud or illegal product sales.
  • the present invention is to solve the above problems, and an object of the present invention is to track abnormal transactions by generating and analyzing an identity graph based on information of a transaction already performed in an e-commerce platform and user information of the corresponding transaction.
  • Another object of the present invention is to prevent abnormal transactions from occurring by grouping abnormal users who have performed abnormal transactions through an identity graph and monitoring abnormal users.
  • the present invention provides a method for detecting an abnormal transaction by an electronic device, comprising steps a of generating an identity map based on first transaction information pre-stored in an e-commerce server, and a new upload to the e-commerce server. 2 Step b of collecting transaction information, step c of extracting the first identifier and the second identifier included in the second transaction information and generating a third identifier by combining a plurality of second identifiers, and 3 It is characterized by including a step d of searching for the identifier in the identity map and determining whether the second transaction information is an abnormal transaction.
  • the present invention provides a map generation module for generating an identity map based on first transaction information pre-stored in an e-commerce server, a transaction information collection module for collecting second transaction information newly uploaded to an e-commerce server, and a second transaction information.
  • the included first and second identifiers are extracted, a plurality of second identifiers are combined to generate a third identifier, and the first and third identifiers are searched in the identity map to determine whether the second transaction information is an abnormal transaction. It is characterized in that it includes a transaction information analysis module to do.
  • the present invention as described above, it is possible to track abnormal transactions by generating and analyzing an identity graph based on information on transactions already performed in an e-commerce platform.
  • the present invention can prevent abnormal transactions from occurring by grouping abnormal users who have performed abnormal transactions through an identity graph and monitoring abnormal users.
  • FIG. 1 is a flowchart for explaining a method of constructing an identity map used in an abnormal transaction detection method according to an embodiment of the present invention
  • FIG. 2 is a diagram showing an example of an identity map according to an embodiment of the present invention.
  • FIG. 3 is a flowchart for explaining an abnormal transaction detection method according to an embodiment of the present invention.
  • FIG. 4 is a diagram showing the configuration of an abnormal transaction detection apparatus according to an embodiment of the present invention.
  • An abnormal transaction detection method includes step a of generating an identity map based on first transaction information previously stored in an e-commerce server, and step b of collecting second transaction information newly uploaded to the e-commerce server. Step c of extracting the first identifier and the second identifier included in the second transaction information and generating a third identifier by combining a plurality of second identifiers, and searching for the first identifier and the third identifier in the identity map. and a step d of determining whether the second transaction information is an abnormal transaction.
  • step a may include extracting at least one first identifier from first transaction information; extracting second identifiers other than the first identifier from the first transaction information and generating a third identifier by combining a plurality of second identifiers; generating a first node corresponding to the unique identification information of the first user included in the first transaction information; generating a second node based on the first identifier and/or the third identifier; and generating an identity map using the first node and the second node.
  • a transaction information database is built by collecting a plurality of first transaction information pre-stored in an e-commerce server;
  • the first transaction information may further include a tag according to whether or not there is an abnormal transaction.
  • the first identifier includes a device ID and payment information
  • the second identifier includes one of postal code, address information, contact information, name, contact information, and IP information
  • the payment information may include account information or card information
  • the address information may be converted into a road name address, unnecessary letters, symbols, and spaces may be removed from the detailed address of the road name address, and the format of the detailed address may be unified by using a hyphen.
  • one of the second identifiers that is not defined as the third identifier may be further set as the fourth identifier.
  • the generating of the identity map may include setting a distance of an edge between a first node and a second node corresponding to the first identifier to 0, and a first node corresponding to the third identifier to the first node.
  • the method may include setting a distance of an edge between two nodes to 1 and a distance of an edge between the first node and a second node corresponding to the fourth identifier to 2.
  • the method may further include dividing the first cluster into at least one group and processing the second transaction information.
  • step d when a second node corresponding to the first identifier or the third identifier exists in the identity map, the third transaction information is based on an edge distance to the first node. can be blocked, monitored or tracked.
  • third transaction information when the edge distance is 0, third transaction information is blocked, when the edge distance is 1, a notification is provided to an administrator terminal, and when the edge distance is 2, third transaction information is provided. may be tracked and provided to the manager terminal.
  • An abnormal transaction detection apparatus includes a map generation module for generating an identity map based on first transaction information pre-stored in an e-commerce server, and collecting second transaction information newly uploaded to the e-commerce server.
  • the transaction information collection module extracts the first identifier and the second identifier included in the second transaction information, generates a third identifier by combining a plurality of second identifiers, and puts the first identifier and the third identifier into an identity map. It may include a transaction information analysis module that searches and determines whether the second transaction information is an abnormal transaction.
  • each component may be implemented as a hardware processor, and the above components may be integrated and implemented as one hardware processor, or the above components may be combined with each other and implemented as a plurality of hardware processors.
  • Abnormal transactions occurring in e-commerce may include fraud, illegal product sales, self-transactions, etc., all of which are stored as data in the e-commerce server, so the abnormal transaction tracking device is an e-commerce server By accessing and parsing the data, users performing abnormal transactions (abnormal users) can be tracked.
  • Transaction information may include product information, payment information, delivery information, and user information.
  • Product information includes product name and product image
  • payment information includes account information and card information
  • shipping information includes shipping address and postal code
  • user information includes seller information and buyer information, but seller or It may include the purchaser's name, contact information, access device ID (unique device identification information), device model, access IP address, and location information.
  • the access IP address included in the user information may mean a static IP address excluding IP addresses assigned by telecommunication companies and public facility IPs. Accordingly, since the access IP address included in the transaction information means an IP address used by a small number of people at home or in the company, if the IP addresses of multiple transaction information overlap, the seller or buyer conducting the transaction may judge it to be suspicious. There is plenty of room.
  • FIG. 1 is a flowchart illustrating an example of constructing an identity map used in an abnormal transaction detection method according to an embodiment of the present invention.
  • the electronic device may build a transaction information database by collecting a plurality of pieces of first transaction information pre-stored in the electronic commerce server.
  • the electronic device may further collect images related to the first product corresponding to the first product information by crawling the website for the first product image included in the first transaction information.
  • the electronic device may build a transaction information database by further including an image related to the collected first product as a first product image.
  • the first transaction information stored in the transaction information database may include a tag according to whether or not there is an abnormal transaction.
  • the first transaction information previously determined to be an abnormal transaction may include an abnormal transaction tag.
  • the electronic device may further store dangerous IP information about an IP address reported as fraud or blocked by an electronic commerce user in a transaction information database.
  • the electronic device may collect additional information such as the IP owner organization, country, allocated bandwidth range (CIDR), etc. for the reported IP address and further include it in risky IP information.
  • the electronic device may extract at least one first identifier from first transaction information stored in the transaction information database.
  • the first identifier may be a device ID and payment information, which are unique data that are difficult for a user to arbitrarily change.
  • the electronic device may generate a third identifier by extracting a second identifier excluding the first identifier from the first transaction information and combining a plurality of second identifiers.
  • the second identifier is information that the user can arbitrarily modify at any time, and since it is difficult to determine an abnormal user alone, a plurality of second identifiers can be combined to be used as a sufficient basis for determining an abnormal user.
  • the electronic device may generate a third identifier by combining a plurality of second identifiers such as postal code, address information, contact information, name, and last four digits of contact information.
  • second identifiers such as postal code, address information, contact information, name, and last four digits of contact information.
  • the electronic device may further set an identifier not defined as a third identifier among the second identifiers as a fourth identifier.
  • the electronic device may normalize the first address information included in the first transaction information before using the first address information as the second identifier. Since one of the road name address and the lot number address is used depending on the user, the uniformity of the address information is poor, and the electronic device may convert the lot number address into a road name address when the address information is a lot number address. In addition, the electronic device may remove unnecessary letters, symbols, and spaces included in the detailed address and unify the format of the detailed address through hyphens. For example, when the detailed addresses are Building No. 101, No. 307, and Building B, No. 3, the electronic device may unify the detailed addresses to 101-307 and B-3, respectively.
  • the electronic device may create a first node corresponding to the unique identification information of the first user included in the first transaction information.
  • the electronic device may generate a second node based on the first identifier and/or the third identifier extracted from the first transaction information.
  • the first node and the second node will be connected by an edge. In this way, the identity map will be constructed around nodes for user's unique identification information.
  • the electronic device may generate an identity map using the first node and the second node.
  • the electronic device may connect nodes such as the first node (a) - the second node - the first node (b).
  • the electronic device may determine that the first node (a) and the first node (b) use different unique identification information by the same user.
  • the electronic device may set a distance of an edge between the first node and the second node.
  • the electronic device may set the edge distance between the first node and the second node corresponding to the first identifier to 0. Accordingly, when there are a plurality of first nodes connected to the second node, the distance between the edges of the plurality of first nodes becomes zero.
  • the electronic device may use a value set by a manager for the third identifier in setting the distance of the edge between the first node and the second node corresponding to the third identifier.
  • the electronic device sets the distance of the edge between the second node corresponding to the third identifier having sufficient grounds to determine the risk of the transaction information and the first node to 1, and the second node corresponding to the fourth identifier and the first node.
  • the edge distance between nodes can be set to 2.
  • the electronic device may differentiate the first node and the second node for the first transaction information including the abnormal transaction tag from the first node and the second node for the first transaction information that does not include the abnormal transaction tag. For example, the electronic device may change the color or size of the node corresponding to the first transaction information including the abnormal transaction tag.
  • the electronic device may configure all connected first nodes and second nodes as one cluster.
  • an identity map may include at least one cluster.
  • the electronic device may divide the cluster into at least one group. Specifically, the electronic device sets a first group belonging to the cluster and a second node corresponding to the first identifier as a first group, and sets the first node and a set of second nodes corresponding to the third identifier. It may be set as the second group, and a set of second nodes corresponding to the first node and the fourth identifier may be set as the third group.
  • the electronic device includes a second node having an edge distance of 0 from the first node as a first group, a second node having an edge distance of 1 from the first node as a second group, and an edge distance of 2 from the first node.
  • the second node may be set as a third group.
  • the electronic device may determine the degree of risk of an abnormal transaction through a group classified for a cluster and provide an event corresponding thereto. A detailed description of the event will be described later with reference to FIG. 3 .
  • FIG. 3 is a flowchart illustrating a method for detecting an abnormal transaction according to an embodiment of the present invention.
  • the electronic device may detect an abnormal transaction based on the identity map generated through the flowchart of FIG. 1 .
  • the electronic device may collect second transaction information newly uploaded to the electronic commerce server.
  • the electronic device may follow a conventional technique in collecting the second transaction information.
  • the second transaction information can be divided into pre-transaction, transaction, and transaction completion states, and the newly uploaded second transaction information in the pre-transaction state will include only the second product information and the second user information (seller),
  • the second transaction information in the transaction state may include second product information, second payment information, second delivery information, and second user information (seller and buyer).
  • the electronic device may change the status of the second transaction information to transaction in progress.
  • the electronic device may store the second transaction information in a transaction information database.
  • the electronic device may extract the first identifier and the second identifier included in the second transaction information and generate a third identifier by combining a plurality of second identifiers.
  • the first identifier is a device ID and payment information, which are unique data that are difficult for a user to arbitrarily change
  • the second identifier is anything other than the first identifier
  • the third identifier is a combination of a plurality of second identifiers.
  • the electronic device may determine whether the second transaction information is an abnormal transaction by searching the identity map for the first identifier and the third identifier in order to determine whether the second transaction information is generated by an abnormal user.
  • the method for detecting abnormal transactions comprehensively analyzes abnormal transactions using various identifiers, it will be difficult for abnormal users to avoid detecting abnormal transactions.
  • the first identifier may include a device ID and payment information.
  • the first identifier When the state of the second transaction information is before transaction, the first identifier will be a device ID, and when the state of the second transaction information is during transaction and transaction completed, the first identifier is a second user (second seller and second buyer) may include the device ID and payment information of
  • the electronic device searches for the first identifier in the identity map, and when a second node corresponding to the first identifier exists in the identity map, a first transaction corresponding to the second node through the color or size of the second node. It may be determined whether the information includes an abnormal transaction tag. If the corresponding second node is related to the abnormal transaction, the electronic device may determine that the user (second seller or second buyer) corresponding to the second transaction information is the abnormal user. In this case, since the second node corresponding to the first identifier belongs to the first group of the identity map, the electronic device may block the second transaction information and the second user determined to be an abnormal user.
  • the electronic device may further identify whether the second nodes corresponding to the second seller and the second buyer are in the same cluster.
  • the electronic device may determine the second transaction information as an own transaction and block the second transaction information.
  • the third identifier is a combination of a plurality of second identifiers of delivery information including a delivery address and postal code, name, contact information, access IP address, and location information, and the second identifier set by the administrator It can follow any combination of identifiers.
  • the fourth identifier means that the third identifier is not selected among the second identifiers.
  • the third identifier and the fourth identifier may also not include a specific identifier according to the state of the third transaction information.
  • the electronic device searches for the third identifier in the identity map, and when a second node corresponding to the third identifier exists in the identity map, the second user (second seller or second buyer) corresponding to the second transaction information It can be determined that the user is highly likely to be an abnormal user.
  • the electronic device may provide a notification to a user who is not determined to be an abnormal user among third users, a third seller and a third buyer, and a manager terminal.
  • the electronic device searches for the fourth identifier in the identity map, and when a second node corresponding to the fourth identifier exists in the identity map, a second user (second seller or second buyer) corresponding to the second transaction information ) is likely to be an abnormal user. Since the second node corresponding to the fourth identifier belongs to the third group, the electronic device can track the transaction process of the third user, possibly an abnormal user, and provide it to the manager terminal so that the manager can monitor it. .
  • the electronic device determines that seller A is an abnormal user based on the second user information
  • the electronic device connects to the terminal of buyer B among the second users. Danger notification may be provided to the administrator terminal.
  • the electronic device may further search the transaction information database for the second access IP address included in the second user information.
  • the access IP address included in the second user information is the same as the dangerous IP address stored in the abnormal transaction database or uses the same band range
  • the second transaction information is generated in the IP band mainly used by the abnormal user. It is determined that the second transaction information is blocked.
  • the electronic device can access the dark web based on the name, contact information, etc. included in the second user information and determine whether the electronic device has been exposed to an abnormal user.
  • the electronic device may block the second transaction information.
  • the electronic device may identify a feature region in the second product image of the second transaction information and extract a feature descriptor of the second product image.
  • the feature region refers to a main region for extracting a descriptor of a feature of an image, that is, a feature descriptor for determining whether images are identical or similar, and the feature descriptor will express the features of the second product image as vector values.
  • the feature region according to an embodiment of the present invention includes a contour included in the image, a corner such as a corner among the contours, a blob distinguished from the surrounding region, a region that is invariant or covariant according to the deformation of the image, or higher than the ambient brightness. It can be a pole with dark or bright features.
  • the electronic device may calculate the feature descriptor using the position of the feature region of the second product image, or brightness, color, sharpness, gradient, scale, or pattern information of the feature region.
  • a feature descriptor may be calculated by converting a brightness value, a change value of brightness, or a distribution value of a feature region into a vector.
  • the electronic device may determine whether the same first product image as the second product image is stored in the transaction information database based on the feature descriptor of the second product image.
  • the electronic device may determine the second product image as a stolen image and block the second transaction information.
  • the electronic device may update the transaction information database based on the second transaction information. Specifically, the electronic device may update the transaction information database by adding a tag indicating an abnormal transaction to the second transaction information that is determined to be an abnormal transaction and blocked.
  • the electronic device may update the identity map based on the second transaction information. Specifically, the electronic device may further expand the identity map by generating and connecting second nodes corresponding to the first identifier and the third identifier of the second transaction information to the first node for the second user of the second transaction information.
  • the abnormal transaction detection apparatus may include a database creation module 10 , a map creation module 20 , a transaction information collection module 30 , and a transaction information analysis module 40 .
  • the database creation module 10 may collect a plurality of pieces of first transaction information pre-stored in the electronic commerce server.
  • the database creation module 10 may build a transaction information database based on the first transaction information.
  • the electronic device may further collect images related to the first product corresponding to the first transaction information by crawling the website for the first product image included in the first transaction information.
  • the electronic device may build a transaction information database by further including an image related to the collected first product as a first product image.
  • the database creation module 10 may further store dangerous IP information on IP addresses reported as fraudulent or blocked by e-commerce users in the transaction information database.
  • the electronic device may collect additional information such as the IP owner organization, country, allocated bandwidth range (CIDR), etc. for the reported IP address and further include it in risky IP information.
  • CIDR allocated bandwidth range
  • the map generation module 20 may extract at least one first identifier from first transaction information stored in the transaction information database.
  • the first identifier may be a device ID and payment information, which are unique data that are difficult for a user to arbitrarily change.
  • the map generation module 20 may generate a third identifier by extracting a second identifier except for the first identifier from the first transaction information and combining a plurality of second identifiers.
  • the second identifier is information that the user can arbitrarily modify at any time, and since it is difficult to determine an abnormal user alone, it can be used as a sufficient basis for determining an abnormal user by generating a third identifier by combining a plurality of second identifiers. made it
  • the map generation module 20 may further set one of the second identifiers that is not defined as the third identifier as the fourth identifier.
  • the map generation module 20 may normalize the first address information included in the first transaction information before using the first address information as the second identifier. Since one of the road name address and the lot number address is used depending on the user, the uniformity of the address information is poor, and the map generation module 20 may convert the lot number address into a road name address when the address information is a lot number address. In addition, the map generating module 20 may remove unnecessary letters, symbols, and blanks included in the detailed address and unify the format of the detailed address through hyphens.
  • the map generation module 20 may generate a first node corresponding to the unique identification information of the first user included in the first transaction information.
  • the map generation module 20 may generate a second node based on the first identifier and/or the third identifier extracted from the first transaction information.
  • the first node and the second node will be connected by an edge. In this way, the identity map will be constructed around nodes for user's unique identification information.
  • the map generation module 20 may generate an identity map using the first node and the second node.
  • the map generation module 20 may connect nodes such as the first node (a) - the second node - the first node (b) when the second nodes connected to the other first nodes are the same. In this case, the map generating module 20 may determine that the first node (a) and the first node (b) are the same user using different unique identification information.
  • the map generation module 20 may set a distance of an edge between the first node and the second node when generating the identity map.
  • the map generation module 20 may set a distance of an edge between the first node and the second node corresponding to the first identifier to zero. Accordingly, when there are a plurality of first nodes connected to the second node, the distance between the edges of the plurality of first nodes becomes zero.
  • the map generating module 20 may use a value set by a manager for the third identifier in setting the distance of the edge between the first node and the second node corresponding to the third identifier.
  • the map generation module 20 sets the distance between the edge between the second node and the first node corresponding to the third identifier to 1, and the distance between the edge between the second node and the first node corresponding to the fourth identifier to 2. can be set
  • the map generation module 20 may configure all first nodes and second nodes connected in the identity map as one cluster. Accordingly, the identity map may include at least one cluster, and a first node belonging to one cluster may be assumed to be the same user.
  • the map generating module 20 may classify one cluster into at least one group. Specifically, the map generation module 20 sets a first group belonging to the cluster and a second node corresponding to the first identifier as a first group, and sets the first node and the second node corresponding to the third identifier to the first group. A set of nodes may be set as a second group, and a set of second nodes corresponding to the first node and the fourth identifier may be set as a third group.
  • the map generation module 20 takes a second node having an edge distance of 0 from the first node as a first group, a second node having an edge distance of 1 from the first node as a second group, and a first node and an edge as a second group.
  • a second node having a distance of 2 may be set as a third group.
  • the map creation module 20 may determine the degree of risk of an abnormal transaction through groups classified for clusters and provide events such as blocking and tracking corresponding thereto.
  • the transaction information collection module 30 may collect second transaction information newly uploaded to the electronic commerce server and store the second product information in a transaction information database.
  • the transaction information collection module 20 may follow the prior art in collecting the second transaction information.
  • the second transaction information can be divided into pre-transaction, transaction, and transaction completion states, and the newly uploaded second transaction information in the pre-transaction state will include only the second product information and the second user information (seller),
  • the second transaction information in the transaction state may include second product information, second payment information, second delivery information, and second user information (seller and buyer).
  • the transaction information collection module 30 may change the status of the second transaction information to transaction in progress. there is.
  • the transaction information collection module 30 may store the second transaction information in the transaction information database.
  • the transaction information analysis module 40 may extract the first identifier and the third identifier included in the second transaction information.
  • the first identifier is a device ID and payment information, which are unique data that are difficult for a user to arbitrarily change
  • the second identifier means anything other than the first identifier
  • the third identifier means a combination of a plurality of second identifiers.
  • the transaction information analysis module 40 may determine whether the second transaction information is an abnormal transaction by searching the identity map for the first identifier and the third identifier in order to determine whether the second transaction information is generated by an abnormal user.
  • the first identifier may include a device ID and payment information.
  • the first identifier When the state of the second transaction information is before transaction, the first identifier will be a device ID, and when the state of the second transaction information is during transaction and transaction completed, the first identifier is a second user (second seller and second buyer) may include the device ID and payment information of
  • the transaction information analysis module 40 searches for the first identifier in the identity map, and if a second node corresponding to the first identifier exists in the identity map, the corresponding second node is identified through the color or size of the second node. It may be determined whether the corresponding first transaction information includes an abnormal transaction tag. If the corresponding second node is related to the abnormal transaction, the electronic device may determine that the user (third seller or third buyer) corresponding to the second and third transaction information is an abnormal user. In this case, since the second node corresponding to the first identifier belongs to the first group of the identity map, the electronic device may block the second transaction information and the second user determined to be an abnormal user.
  • the third identifier is a product image, product introduction text and text including conversation history between users, delivery information including delivery address and postal code, name, contact information, access IP address, and location information.
  • delivery information including delivery address and postal code, name, contact information, access IP address, and location information.
  • a combination of a plurality of second identifiers and may be based on a combination of second identifiers set by an administrator.
  • the fourth identifier means that the third identifier is not selected among the second identifiers.
  • the third identifier and the fourth identifier may also not include a specific identifier according to the state of the third transaction information.
  • the transaction information analysis module 40 searches for the third identifier in the identity map, and when a second node corresponding to the third identifier exists in the identity map, the second user (second seller or second user) corresponding to the second transaction information It may be determined that the second purchaser) is highly likely to be an abnormal user. As the second node corresponding to the third identifier belongs to the second group, the transaction information analysis module 40 notifies the user who is not determined to be an abnormal user among the second user, the second seller and the second buyer, and the manager terminal. can provide
  • the transaction information analysis module 40 searches for the fourth identifier in the identity map, and when a second node corresponding to the fourth identifier exists in the identity map, the second user (second user) corresponding to the second transaction information It may be determined that the seller or the second purchaser) is likely to be an abnormal user.
  • the electronic device can track the transaction progress of the second user, possibly an abnormal user, and provide the tracking process to the manager terminal so that the manager can monitor it. .
  • the transaction information analysis module 40 may further search the transaction information database for the second access IP address included in the second user information.
  • the transaction information analysis module 40 is removed from the IP band mainly used by the abnormal user. Second transaction information may be blocked by determining that transaction information has been generated.
  • the transaction information analysis module 40 may determine whether the second user information is exposed to an abnormal user by accessing the dark web based on the name, contact information, etc. included in the second user information. The transaction information analysis module 40 may block the second transaction information when the name and contact information included in the second user information are exposed on the dark web.
  • the transaction information analysis module 40 may detect a feature region of the second product image included in the second transaction information.
  • the transaction information analysis module 40 may extract feature descriptors of the second product image.
  • the transaction information analysis module 40 may calculate a feature descriptor using the position of the feature region of the second product image or brightness, color, sharpness, gradient, scale, or pattern information of the feature region.
  • a feature descriptor may be calculated by converting a brightness value, a change value of brightness, or a distribution value of a feature region into a vector.
  • the transaction information analysis module 40 may determine whether the same first product image as the second product image is stored in the transaction information database based on the feature descriptor of the second product image.
  • the transaction information analysis module 40 may determine the second product image as a stolen image and block the second transaction information.
  • the transaction information analysis module 40 may update the transaction information database based on the second transaction information. Specifically, the transaction information analysis module 40 may update the transaction information database by adding a tag indicating an abnormal transaction to second transaction information that is determined to be an abnormal transaction and blocked.
  • the transaction information analysis module 40 may update the identity map based on the second transaction information. Specifically, the electronic device may further expand the identity map by generating and connecting second nodes corresponding to the first identifier and the third identifier of the second transaction information to the first node for the second user of the second transaction information.

Landscapes

  • Business, Economics & Management (AREA)
  • Engineering & Computer Science (AREA)
  • Accounting & Taxation (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Finance (AREA)
  • Theoretical Computer Science (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • Economics (AREA)
  • Marketing (AREA)
  • Development Economics (AREA)
  • Entrepreneurship & Innovation (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Emergency Management (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

본 발명은 전자 상거래에서의 이상 거래 추적 방법 및 시스템에 관한 것으로, 전자 상거래 플랫폼에 업로드 된 상품 정보의 복합적인 특징 데이터를 분석하여 이상 거래를 추적하는 것을 일 목적으로 한다. 이러한 목적을 달성하기 위한 본 발명은 전자 장치가 이상 거래를 추적하는 방법에 있어서, 전자 상거래 서버에 기 저장된 제1 거래 정보를 기반으로 아이덴티티 맵을 생성하는 a 단계, 전자 상거래 서버에 새로 업로드 되는 제2 거래 정보를 수집하는 b 단계, 제2 거래 정보에 포함된 제1 식별자 및 제2 식별자를 추출하고, 복수 개의 제2 식별자를 결합하여 제3 식별자를 생성하는 c 단계 및 제1 식별자 및 제3 식별자를 아이덴티티 맵에 검색하여 제2 거래 정보가 이상 거래인지 판단하는 d 단계를 포함하는 이상 거래 탐지 방법.

Description

전자 상거래에서의 이상 거래 탐지를 위한 클러스터링 방법 및 시스템
본 발명은 전자 상거래에서의 이상 거래 탐지 방법 및 시스템에 관한 것으로, 보다 자세하게는 사기, 불법 제품 판매 등 이상 거래를 하는 사용자를 탐지하는 이상 거래 탐지 방법 및 시스템에 관한 것이다.
최근 인터넷 인프라가 발전함에 따라 전자 상거래가 활성화되어 사용자들이 사용하던 물품(중고 물품)을 다른 사용자에게 판매하는 등의 플랫폼이 다수 등장하였다. 이러한 중고 거래 플랫폼에는 당근마켓, 중고나라 등이 존재한다. 그러나 중고 물품을 거래함에 있어서 중고 거래의 특성 상, 사기와 같은 이상 거래 피해자가 갈수록 증가하고 있기 때문에, 사기 등과 같은 이상 거래를 수행하는 사용자를 식별하는 기술이 요구되고 있다.
본 발명은 전술한 문제점을 해결하기 위한 것으로서, 전자 상거래 플랫폼에서 이미 수행된 거래의 정보 및 해당 거래의 사용자 정보를 기반으로 아이덴티티 그래프를 생성 및 분석하여 이상 거래를 추적하는 것을 일 목적으로 한다.
또한 본 발명은 아이덴티티 그래프를 통해 이상 거래를 수행한 비정상 사용자를 그룹핑하고 비정상 사용자를 모니터링하여 이상 거래 발생을 방지하는 것을 일 목적으로 한다.
이러한 목적을 달성하기 위한 본 발명은 전자 장치가 이상 거래를 탐지하는 방법에 있어서, 전자 상거래 서버에 기 저장된 제1 거래 정보를 기반으로 아이덴티티 맵을 생성하는 a 단계, 전자 상거래 서버에 새로 업로드 되는 제2 거래 정보를 수집하는 b 단계, 제2 거래 정보에 포함된 제1 식별자 및 제2 식별자를 추출하고, 복수 개의 제2 식별자를 결합하여 제3 식별자를 생성하는 c 단계, 및 제1 식별자 및 제3 식별자를 아이덴티티 맵에 검색하여 제2 거래 정보가 이상 거래인지 판단하는 d 단계를 포함하는 것을 일 특징으로 한다.
또한 본 발명은 전자 상거래 서버에 기 저장된 제1 거래 정보를 기반으로 아이덴티티 맵을 생성하는 맵 생성 모듈, 전자 상거래 서버에 새로 업로드 되는 제2 거래 정보를 수집하는 거래 정보 수집 모듈, 제2 거래 정보에 포함된 제1 식별자 및 제2 식별자를 추출하고, 복수 개의 제2 식별자를 결합하여 제3 식별자를 생성하며, 제1 식별자 및 제3 식별자를 아이덴티티 맵에 검색하여 제2 거래 정보가 이상 거래인지 판단하는 거래 정보 분석 모듈을 포함하는 것을 일 특징으로 한다.
전술한 바와 같은 본 발명에 의하면, 전자 상거래 플랫폼에서 이미 수행된 거래의 정보를 기반으로 아이덴티티 그래프를 생성 및 분석하여 이상 거래를 추적할 수 있다. 또한 본 발명은 아이덴티티 그래프를 통해 이상 거래를 수행한 비정상 사용자를 그룹핑하고 비정상 사용자를 모니터링하여 이상 거래 발생을 방지할 수 있다.
도 1은 본 발명의 일 실시 예에 따른 이상 거래 탐지 방법에 사용되는 아이덴티티 맵을 구축하는 방법을 설명하기 위한 순서도,
도 2는 본 발명의 일 실시 예에 의한 아이덴티티 맵의 예시를 나타낸 도면,
도 3은 본 발명의 일 실시 예에 따른 이상 거래 탐지 방법을 설명하기 위한 순서도,
도 4는 본 발명의 일 실시 예에 따른 이상 거래 탐지 장치의 구성을 도시한 도면이다.
본 출원의 일 실시예에 따른 이상 거래 탐지 방법은, 전자 상거래 서버에 기 저장된 제1 거래 정보를 기반으로 아이덴티티 맵을 생성하는 a 단계, 전자 상거래 서버에 새로 업로드 되는 제2 거래 정보를 수집하는 b 단계, 제2 거래 정보에 포함된 제1 식별자 및 제2 식별자를 추출하고, 복수 개의 제2 식별자를 결합하여 제3 식별자를 생성하는 c 단계, 및 제1 식별자 및 제3 식별자를 아이덴티티 맵에 검색하여 제2 거래 정보가 이상 거래인지 판단하는 d 단계를 포함할 수 있다.
본 출원의 일 실시예에 따르면, 상기 a 단계는, 제1 거래 정보에서 적어도 하나의 제1 식별자를 추출하는 단계; 제1 거래 정보에서 제1 식별자를 제외한 제2 식별자를 추출하고, 복수 개의 제2 식별자를 결합하여 제3 식별자를 생성하는 단계; 제1 거래 정보에 포함된 제1 사용자의 고유 식별 정보에 대응하는 제1 노드를 생성하는 단계; 제1 식별자 및/또는 제3 식별자를 기반으로 제2 노드를 생성하는 단계; 및 제1 노드 및 제2 노드를 이용하여 아이덴티티 맵을 생성하는 단계를 포함할 수 있다.
본 출원의 일 실시예에 따르면, 전자 상거래 서버에 기 저장된 복수 개의 제1 거래 정보를 수집하여 거래 정보 데이터베이스를 구축하되; 제1 거래 정보는 이상 거래 유무에 따른 태그를 더 포함할 수 있다.
본 출원의 일 실시예에 따르면, 제1 식별자는 디바이스 ID 및 결제 정보를 포함하고, 제2 식별자는 우편번호, 주소지 정보, 연락처, 이름, 연락처, 및 IP 정보 중 하나를 포함하되, 상기 결제 정보는 계좌 정보 또는 카드 정보를 포함할 수 있다.
본 출원의 일 실시예에 따르면, 상기 주소지 정보를 도로명 주소로 변환하고, 상기 도로명 주소의 상세 주소에서 불필요한 글자와 기호, 공란을 제거하고 하이픈을 이용하여 상세 주소의 형식을 통일할 수 있다.
본 출원의 일 실시예에 따르면, 제2 식별자 중 제3 식별자로 정의되지 않은 것을 제4 식별자로 더 설정할 수 있다.
본 출원의 일 실시예에 따르면, 이덴티티 맵을 생성하는 단계는, 제1 노드와 제1 식별자에 대응하는 제2 노드 간 엣지의 거리를 0으로, 제1 노드와 제3 식별자에 대응하는 제2 노드 간 엣지의 거리를 1로, 제1 노드와 제4 식별자에 대응하는 제2 노드 간 엣지의 거리를 2로 설정하는 단계를 포함할 수 있다.
본 출원의 일 실시예에 따르면, 상기 아이덴티티 맵에 포함된 제1 노드 및 제2 노드 중 엣지로 연결되어 있는 모든 노드를 제1 클러스터로 설정하는 단계; 제1 클러스터를 적어도 하나의 그룹으로 구분하여, 제2 거래 정보를 처리하는 단계를 더 포함할 수 있다.
본 출원의 일 실시예에 따르면, 제1 노드와 엣지의 거리가 0인 제2 노드를 제1 그룹으로 설정하는 단계; 제1 노드와 엣지의 거리가 1인 제2 노드를 제2 그룹으로 설정하는 단계; 및 제1 노드와 엣지의 거리가 2인 제2 노드를 제3 그룹으로 설정하는 단계를 포함할 수 있다.
본 출원의 일 실시예에 따르면, 상기 d 단계는, 상기 아이덴티티 맵에 제1 식별자 또는 제3 식별자에 대응하는 제2 노드가 존재하는 경우, 제1 노드와의 엣지 거리를 기반으로 제3 거래 정보를 차단, 모니터링 또는 추적할 수 있다.
본 출원의 일 실시예에 따르면, 상기 엣지 거리가 0일 경우 제3 거래 정보를 차단하고, 상기 엣지 거리가 1일 경우 관리자 단말에 알림을 제공하며, 상기 엣지 거리가 2일 경우 제3 거래 정보를 추적하여 상기 관리자 단말에 제공할 수 있다.
본 출원의 일 실시예에 따른 이상 거래 탐지 장치는, 전자 상거래 서버에 기 저장된 제1 거래 정보를 기반으로 아이덴티티 맵을 생성하는 맵 생성 모듈, 전자 상거래 서버에 새로 업로드 되는 제2 거래 정보를 수집하는 거래 정보 수집 모듈, 및 제2 거래 정보에 포함된 제1 식별자 및 제2 식별자를 추출하고, 복수 개의 제2 식별자를 결합하여 제3 식별자를 생성하며, 제1 식별자 및 제3 식별자를 아이덴티티 맵에 검색하여 제2 거래 정보가 이상 거래인지 판단하는 거래 정보 분석 모듈을 포함할 수 있다.
전술한 목적, 특징 및 장점은 첨부된 도면을 참조하여 상세하게 후술되며, 이에 따라 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자가 본 발명의 기술적 사상을 용이하게 실시할 수 있을 것이다. 본 발명을 설명함에 있어서 본 발명과 관련된 공지 기술에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 상세한 설명을 생략한다.
도면에서 동일한 참조부호는 동일 또는 유사한 구성요소를 가리키는 것으로 사용되며, 명세서 및 특허청구의 범위에 기재된 모든 조합은 임의의 방식으로 조합될 수 있다. 그리고 다른 식으로 규정하지 않는 한, 단수에 대한 언급은 하나 이상을 포함할 수 있고, 단수 표현에 대한 언급은 또한 복수 표현을 포함할 수 있음이 이해되어야 한다.
본 명세서에서 사용되는 용어는 단지 특정 예시적 실시 예들을 설명할 목적을 가지고 있으며 한정할 의도로 사용되는 것이 아니다. 본 명세서에서 사용된 바와 같은 단수적 표현들은 또한, 해당 문장에서 명확하게 달리 표시하지 않는 한, 복수의 의미를 포함하도록 의도될 수 있다. 용어 "및/또는," "그리고/또는"은 그 관련되어 나열되는 항목들의 모든 조합들 및 어느 하나를 포함한다. 용어 "포함한다", "포함하는", "포함하고 있는", "구비하는", "갖는", "가지고 있는" 등은 내포적 의미를 갖는 바, 이에 따라 이러한 용어들은 그 기재된 특징, 정수, 단계, 동작, 요소, 및/또는 컴포넌트를 특정하며, 하나 이상의 다른 특징, 정수, 단계, 동작, 요소, 컴포넌트, 및/또는 이들의 그룹의 존재 혹은 추가를 배제하지 않는다. 본 명세서에서 설명되는 방법의 단계들, 프로세스들, 동작들은, 구체적으로 그 수행 순서가 확정되는 경우가 아니라면, 이들의 수행을 논의된 혹은 예시된 그러한 특정 순서로 반드시 해야 하는 것으로 해석돼서는 안 된다. 추가적인 혹은 대안적인 단계들이 사용될 수 있음을 또한 이해해야 한다.
또한, 각각의 구성요소는 각각 하드웨어 프로세서로 구현될 수 있고, 위 구성요소들이 통합되어 하나의 하드웨어 프로세서로 구현될 수 있으며, 또는 위 구성요소들이 서로 조합되어 복수 개의 하드웨어 프로세서로 구현될 수도 있다.
이하, 첨부된 도면을 참조하여 본 발명에 따른 바람직한 실시 예를 상세히 설명하기로 한다.
본 발명의 일 실시 예에 의한 전자 상거래에서 발생하는 이상 거래는 사기, 불법 제품 판매, 자전 거래 등을 포함할 수 있으며, 이는 모두 전자 상거래 서버에 데이터로 저장됨에 따라 이상 거래 추적 장치는 전자 상거래 서버에 접근하여 데이터를 파싱해 이상 거래를 수행하는 사용자(비정상 사용자)를 추적할 수 있다.
본 발명의 일 실시 예에 의한 거래 정보는 상품 정보, 결제 정보, 배송 정보, 사용자 정보를 포함할 수 있다. 상품 정보는 상품 명칭 및 상품 이미지를 포함하며, 결제 정보는 계좌 정보와 카드 정보를 포함하고, 배송 정보는 배송 주소지와 우편 번호를 포함하며, 사용자 정보는 판매자 정보 및 구매자 정보를 포함하되, 판매자 혹은 구매자의 이름, 연락처, 접속 디바이스 ID(디바이스 고유 식별 정보), 디바이스 모델, 접속 IP 주소, 위치 정보를 포함할 수 있다.
사용자 정보에 포함된 접속 IP 주소는 통신사에서 부여한 IP 주소와 공공시설 IP를 제외한 고정 IP를 의미할 수 있다. 이에 따라 거래 정보에 포함된 접속 IP 주소는 가정, 회사에서 소수의 사람들이 사용하는 IP 주소를 의미하기 때문에 복수 개의 거래 정보의 IP 주소가 겹치는 경우 해당 거래를 수행하는 판매자 혹은 구매자가 수상하다고 판단할 여지가 충분하다.
도 1은 본 발명의 일 실시 예에 따른 이상 거래 탐지 방법에 사용되는 아이덴티티 맵을 구축하는 예시를 설명하기 위한 순서도이다.
단계 100에서, 전자 장치는 전자 상거래 서버에 기 저장된 복수 개의 제1 거래 정보를 수집하여 거래 정보 데이터베이스를 구축할 수 있다.
전자 장치는 거래 정보 데이터베이스를 구축함에 있어서, 제1 거래 정보에 포함된 제1 상품 이미지를 웹 사이트 크롤링 하여 제1 상품 정보에 대응하는 제1 상품과 관련된 이미지를 더 수집할 수 있다. 전자 장치는 수집한 제1 상품과 관련된 이미지를 제1 상품 이미지로 더 포함하여 거래 정보 데이터베이스를 구축할 수 있다.
거래 정보 데이터베이스에 저장된 제1 거래 정보에는 이상 거래 유무에 따른 태그가 포함되어 있을 것이다. 구체적으로, 기존에 이상 거래로 판단된 제1 거래 정보는 이상 거래 태그를 포함할 것이다.
전자 장치는 전자 상거래의 사용자로부터 사기 등으로 신고되거나 차단된 IP 주소에 대한 위험 IP 정보를 거래 정보 데이터베이스에 더 저장할 수 있다. 전자 장치는 신고된 IP 주소에 대한 IP 소유기관, 국가, 할당 대역범위(CIDR) 등의 부가정보를 수집하여 위험 IP 정보에 더 포함시킬 수 있다.
단계 110에서, 전자 장치는 거래 정보 데이터베이스에 저장된 제1 거래 정보에서 적어도 하나의 제1 식별자를 추출할 수 있다. 제1 식별자는 사용자가 임의로 변경하기 어려운 고유 데이터인 디바이스 ID와 결제 정보일 수 있다.
단계 120에서, 전자 장치는 제1 거래 정보에서 제1 식별자를 제외한 제2 식별자를 추출하고, 복수 개의 제2 식별자를 결합하여 제3 식별자를 생성할 수 있다. 제2 식별자는 사용자가 언제든지 임의로 수정할 수 있는 정보로, 단독으로는 비정상 사용자를 판단하기 어려운 요소임에 따라, 복수 개의 제2 식별자를 결합하여 비정상 사용자 판단의 충분한 근거로 사용될 수 있게 하였다.
예를 통해 구체적으로 설명하면, 전자 장치는 우편번호, 주소지 정보, 연락처, 이름, 연락처의 끝 4자리 등의 제2 식별자 중 복수 개를 결합하여 제3 식별자를 생성할 수 있다. 제2 식별자가 조작의 가능성이 농후하나, 우편번호와 배송 주소지의 경우 사용자의 주요 생활지에서 먼 곳으로 설정하게 되면 거래 상품을 가지러 가고 오는 비용을 소모해야 하기 때문에 조작의 확률이 낮다고 판단하고 다른 제2 식별자를 결합하여 제3 식별자를 생성함으로써 비정상 사용자의 판단의 근거에 사용될 수 있게 하였다.
한편, 전자 장치는 제2 식별자 중 제3 식별자로 정의되지 않은 식별자를 제4 식별자로 더 설정할 수 있다.
전자 장치는 제1 거래 정보에 포함된 제1 주소지 정보를 제2 식별자로 사용하기 이전에 제1 주소지 정보를 정규화 할 수 있다. 사용자에 따라 도로명 주소와 지번 주소 중 어느 하나를 사용하기 때문에 주소지 정보의 통일성이 떨어져, 전자 장치는 주소지 정보가 지번 주소일 경우 지번 주소를 도로명 주소로 변환할 수 있다. 또한 전자 장치는 상세 주소에 포함된 불필요한 글자와 기호, 공란을 제거하고 하이픈을 통해 상세 주소의 형식을 통일할 수 있다. 예를 들어, 상세주소가 101동 307호와 B동 3호일 경우 전자 장치는 상세주소를 각각 101-307과 B-3으로 통일할 수 있다.
단계 130에서, 전자 장치는 제1 거래 정보에 포함된 제1 사용자의 고유 식별 정보에 대응하는 제1 노드를 생성할 수 있다.
단계 140에서, 전자 장치는 제1 거래 정보에서 추출한 제1 식별자 및/또는 제3 식별자를 기반으로 제2 노드를 생성할 수 있다. 제1 노드와 제2 노드는 엣지로 연결될 것이다. 이와 같이 아이덴티티 맵은 사용자의 고유 식별 정보에 대한 노드를 중심으로 구성될 것이다.
단계 150에서, 전자 장치는 제1 노드 및 제2 노드를 이용하여 아이덴티티 맵을 생성할 수 있다. 전자 장치는 다른 제1 노드에 연결된 제2 노드가 동일한 경우, 제1 노드(a) - 제2 노드 - 제1 노드(b)와 같이 노드를 연결할 수 있다. 이 경우 전자 장치는 제1 노드(a)와 제1 노드(b)는 동일한 사용자가 다른 고유 식별 정보를 사용한 것으로 판단할 수 있다.
전자 장치는 아이덴티티 맵을 생성함에 있어서 제1 노드 및 제2 노드 간의 엣지의 거리를 설정할 수 있다.
전자 장치는 제1 노드와 제1 식별자에 대응하는 제2 노드 간 엣지의 거리를 0으로 설정할 수 있다. 이에 따라 제2 노드에 연결된 제1 노드가 복수 개일 경우 복수 개의 제1 노드 간 엣지의 거리는 0이 될 것이다.
또한 전자 장치는 제1 노드와 제3 식별자에 대응하는 제2 노드 간 엣지의 거리를 설정함에 있어서, 제3 식별자에 대한 관리자의 설정 값을 이용할 수 있다. 전자 장치는 거래 정보의 위험도를 판단하기에 충분한 근거를 가지는 제3 식별자에 대응하는 제2 노드와 제1 노드 간 엣지의 거리를 1로 설정하고, 제4 식별자에 대응하는 제2 노드와 제1 노드 간 엣지의 거리를 2로 설정할 수 있다.
나아가 전자 장치는 이상 거래 태그를 포함하는 제1 거래 정보에 대한 제1 노드 및 제2 노드를 그렇지 않은 제1 거래 정보에 대한 제1 노드 및 제2 노드와 차별화할 수 있다. 예를 들어, 전자 장치는 이상 거래 태그를 포함하는 제1 거래 정보에 대응하는 노드의 색상 혹은 크기를 달리할 수 있다.
단계 160에서, 전자 장치는 연결된 모든 제1 노드 및 제2 노드를 일 클러스터로 설정할 수 있다. 따라서 아이덴티티 맵은 적어도 하나의 클러스터를 포함할 수 있다.
단계 170에서, 전자 장치는 클러스터를 적어도 하나의 그룹으로 구분할 수 있다. 구체적으로 설명하면, 전자 장치는 클러스터에 속한 제1 노드와 제1 식별자에 대응하는 제2 노드의 집합을 제1 그룹으로 설정하고, 제1 노드와 제3 식별자에 대응하는 제2 노드의 집합을 제2 그룹으로 설정하고, 제1 노드와 제4 식별자에 대응하는 제2 노드의 집합을 제3 그룹으로 설정할 수 있다.
즉, 전자 장치는 제1 노드와 엣지 거리가 0인 제2 노드를 제1 그룹으로, 제1 노드와 엣지 거리가 1인 제2 노드를 제2 그룹으로, 제1 노드와 엣지 거리가 2인 제2 노드를 제3 그룹으로 설정할 수 있다.
상기 단계를 통해 생성된 아이덴티티 맵의 일 예로 도 2를 참조할 수 있다.
전자 장치는 클러스터에 대하여 구분된 그룹을 통해 이상 거래의 위험도를 판단하고 그에 대응하는 이벤트를 제공할 수 있다. 이벤트에 대한 구체적인 설명은 도 3에서 후술한다.
도 3은 본 발명의 일 실시 예에 의한 이상 거래 탐지 방법을 설명하기 위한 순서도이다. 도 3을 참조하면, 전자 장치는 도 1의 순서도를 통해 생성된 아이덴티티 맵을 기반으로 이상 거래를 탐지할 수 있다.
단계 200에서, 전자 장치는 전자 상거래 서버에 새로 업로드 되는 제2 거래 정보를 수집할 수 있다. 전자 장치는 제2 거래 정보를 수집함에 있어서 종래의 기술을 따를 수 있다.
제2 거래 정보는 거래 전, 거래 중, 거래 완료의 상태로 구분될 수 있으며, 새로 업로드 되는 거래 전 상태의 제2 거래 정보는 제2 상품 정보와 제2 사용자 정보(판매자)만을 포함할 것이고, 거래 중 상태의 제2 거래 정보는 제2 상품 정보, 제2 결제 정보, 제2 배송 정보, 그리고 제2 사용자 정보(판매자 및 구매자)를 포함할 것이다. 전자 장치는 거래가 진행되지 않은 제2 거래 정보에 대응하는 제2 결제 정보, 제2 배송 정보, 제2 사용자 정보가 추가로 수신되면, 제2 거래 정보의 상태를 거래 중으로 변경할 수 있다.
단계 210에서, 전자 장치는 제2 거래 정보를 거래 정보 데이터베이스에 저장할 수 있다.
단계 220에서, 전자 장치는 제2 거래 정보에 포함된 제1 식별자 및 제2 식별자를 추출하고, 복수 개의 제2 식별자를 결합해 제3 식별자를 생성할 수 있다. 도 1에서 상술한 바와 같이 제1 식별자는 사용자가 임의로 변경하기 어려운 고유 데이터인 디바이스 ID와 결제 정보이고, 제2 식별자는 제1 식별자를 제외한 것, 그리고 제3 식별자는 복수 개의 제2 식별자를 결합한 것을 의미한다.
단계 230에서, 전자 장치는 제2 거래 정보가 비정상 사용자에 의해 생성되었는 지를 판단하기 위해, 제1 식별자 및 제3 식별자를 아이덴티티 맵에 검색하여 제2 거래 정보가 이상 거래인 지 판단할 수 있다.
본 발명의 일 실시 예에 의한 이상 거래 탐지 방법은 다양한 식별자를 이용하여 복합적으로 이상 거래를 분석하기 때문에, 비정상 사용자가 이상 거래 탐지를 회피하는 것이 곤란해질 것이다.
이하에서는 제2 거래 정보에 포함된 제1 식별자 및 제3 식별자 각각을 아이덴티티 맵에 검색하여 제2 거래 정보가 이상 거래인지를 판단하는 방법을 설명한다.
1) 제1 식별자
본 발명의 일 실시 예에 의한 제1 식별자는 디바이스 ID와 결제 정보를 포함할 수 있다. 제2 거래 정보의 상태가 거래 전일 경우, 제1 식별자는 디바이스 ID일 것이고, 제2 거래 정보의 상태가 거래 중 및 거래 완료일 경우, 제1 식별자는 제2 사용자(제2 판매자 및 제2 구매자)의 디바이스 ID와 결제 정보를 포함할 수 있다.
전자 장치는 제1 식별자를 아이덴티티 맵에 검색하여, 아이덴티티 맵에 제1 식별자에 대응하는 제2 노드가 존재하는 경우, 해당 제2 노드의 색상 혹은 크기를 통해 해당 제2 노드에 대응하는 제1 거래 정보가 이상 거래 태그를 포함하는 지를 판단할 수 있다. 전자 장치는 해당 제2 노드가 이상 거래와 관련이 있으면, 제2 거래 정보에 대응하는 사용자(제2 판매자 혹은 제2 구매자)가 비정상 사용자인 것으로 판단할 수 있다. 이 때, 제1 식별자에 대응하는 제2 노드는 아이덴티티 맵의 제1 그룹에 속함에 따라 전자 장치는 제2 거래 정보 및 비정상 사용자로 판단된 제2 사용자를 차단할 수 있다.
나아가 제1 식별자에 제2 판매자 및 제2 구매자의 디바이스 ID가 모두 포함되어 있을 경우, 전자 장치는 제2 판매자와 제2 구매자에 대응하는 제2 노드가 동일 클러스터 내에 있는 지 더 식별할 수 있다. 전자 장치는 제2 판매자와 제2 구매자에 대응하는 제2 노드가 동일 클러스터 내에 있다고 판단하면, 제2 거래 정보를 자전 거래로 판단하고 제2 거래 정보를 차단할 수 있다.
2) 제3 식별자
본 발명의 일 실시 예에 의한 제3 식별자는 배송 주소지와 우편 번호를 포함하는 배송 정보, 이름, 연락처, 접속 IP 주소, 위치 정보의 제2 식별자 중 복수 개를 결합한 것으로, 관리자에 의해 설정된 제2 식별자의 조합에 따를 수 있다. 제4 식별자는 제2 식별자 중 제3 식별자로 선택되지 않은 것을 의미한다. 제3 식별자 및 제4 식별자 역시 제3 거래 정보의 상태에 따라 특정 식별자가 포함되지 않을 수 있다.
전자 장치는 제3 식별자를 아이덴티티 맵에 검색하여, 아이덴티티 맵에 제3 식별자에 대응하는 제2 노드가 존재하는 경우, 제2 거래 정보에 대응하는 제2 사용자(제2 판매자 혹은 제2 구매자)가 비정상 사용자일 가능성이 높은 것으로 판단할 수 있다. 제3 식별자에 대응하는 제2 노드는 제2 그룹에 속함에 따라 전자 장치는 제3 사용자인 제3 판매자와 제3 구매자 중 비정상 사용자로 판단되지 않은 사용자와 관리자 단말에 알림을 제공할 수 있다.
또한, 전자 장치는 제4 식별자를 아이덴티티 맵에 검색하여, 아이덴티티 맵에 제4 식별자에 대응하는 제2 노드가 존재하는 경우, 제2 거래 정보에 대응하는 제2 사용자(제2 판매자 혹은 제2 구매자)가 비정상 사용자일 가능성이 있는 것으로 판단할 수 있다. 제4 식별자에 대응하는 제2 노드는 제3 그룹에 속함에 따라 전자 장치는 관리자가 모니터링을 할 수 있도록 비정상 사용자일 가능성이 있는 제3 사용자의 거래 진행 과정을 추적하여 관리자 단말에 제공할 수 있다.
예를 들어 제2 거래 정보에 판매자 A와 구매자 B에 대한 제2 사용자 정보가 포함되어 있고, 전자 장치는 제2 사용자 정보에 의해 판매자 A가 비정상 사용자라고 판단하면 제2 사용자 중 구매자 B의 단말과 관리자 단말에 위험 알림을 제공할 수 있다.
- 접속 IP 주소
한편 본 발명의 다른 실시 예에 의한 전자 장치는 제2 사용자 정보에 포함된 제2 접속 IP 주소를 거래 정보 데이터베이스에 더 검색할 수 있다. 전자 장치는 제2 사용자 정보에 포함된 접속 IP 주소가 이상 거래 데이터베이스에 저장된 위험 IP 주소와 동일하거나, 같은 대역범위를 사용하고 있을 경우, 비정상 사용자가 주로 사용하는 IP 대역에서 제2 거래 정보가 생성된 것으로 판단하여 제2 거래 정보를 차단할 수 있다.
- 다크 웹 노출
또한 전자 장치는 제2 사용자 정보에 포함된 이름, 연락처 등을 기반으로 다크 웹에 접속하여 비정상 사용자에게 노출되었는 지를 판단할 수 있다. 전자 장치는 제2 사용자 정보에 포함된 이름과 연락처가 다크 웹에 노출된 경우, 제2 거래 정보를 차단할 수 있다.
- 상품 이미지 도용
한편 본 발명의 다른 실시 예에 의한 전자 장치는 제2 거래 정보의 제2 상품 이미지에서 특징 영역을 식별하고 제2 상품 이미지의 특징 기술자를 추출할 수 있다. 특징 영역은, 이미지들 사이의 동일 유사 여부를 판단하기 위한 이미지의 특징에 대한 기술자, 즉 특징 기술자를 추출하는 주요 영역을 말하며, 특징 기술자는 제2 상품 이미지의 특징들을 벡터 값으로 표현할 것이다.
본 발명의 일 실시 예에 의한 특징 영역은 이미지가 포함하고 있는 윤곽선, 윤곽선 중에서도 코너 등의 모퉁이, 주변 영역과 구분되는 블롭(blob), 이미지의 변형에 따라 불변하거나 공변하는 영역, 또는 주변 밝기보다 어둡거나 밝은 특징이 있는 극점일 수 있다.
전자 장치는 제2 상품 이미지에 대한 특징 영역의 위치, 또는 특징 영역의 밝기, 색상, 선명도, 그라디언트, 스케일 또는 패턴 정보를 이용하여 특징 기술자를 계산할 수 있다. 예를 들어 특징 기술자는 특징 영역의 밝기 값, 밝기의 변화 값 또는 분포 값 등을 벡터로 변환하여 계산될 수도 있다.
전자 장치는 제2 상품 이미지의 특징 기술자를 기반으로 거래 정보 데이터베이스에 제2 상품 이미지와 동일한 제1 상품 이미지가 저장되어 있는 지를 판단할 수 있다.
상품 정보 데이터베이스에 제2 상품 이미지와 동일한 제1 상품 이미지가 존재하는 경우, 전자 장치는 제2 상품 이미지를 도용 이미지로 판단하고, 제2 거래 정보를 차단할 수 있다.
다시 도 2에 대한 설명으로 복귀하면, 단계 240에서 전자 장치는 제2 거래 정보를 기반으로 거래 정보 데이터베이스를 업데이트할 수 있다. 구체적으로, 전자 장치는 이상 거래로 판단되어 차단된 제2 거래 정보에 이상 거래를 의미하는 태그를 추가하여 거래 정보 데이터베이스를 업데이트할 수 있다.
단계 250에서 전자 장치는 제2 거래 정보를 기반으로 아이덴티티 맵을 업데이트할 수 있다. 구체적으로, 전자 장치는 제2 거래 정보의 제2 사용자에 대한 제1 노드에, 제2 거래 정보의 제1 식별자 및 제3 식별자에 대응하는 제2 노드를 생성하여 연결함으로써 아이덴티티 맵을 더 확장할 수 있다.
도 4는 본 발명의 일 실시 예에 의한 이상 거래 탐지 장치를 설명하기 위한 구성도이다. 이하에서는 도 4를 참조하여 이상 거래 장치 장치를 설명한다. 이상 거래 탐지 장치에 대한 설명에 있어서, 앞서 설명한 이상 거래 탐지 방법과 중복되는 세부 실시 예는 생략될 수 있다. 구체적으로, 이상 거래 탐지 장치는 데이터베이스 생성 모듈(10), 맵 생성 모듈(20), 거래 정보 수집 모듈(30), 거래 정보 분석 모듈(40)을 포함할 수 있다.
데이터베이스 생성 모듈(10)은 전자 상거래 서버에 기 저장된 복수 개의 제1 거래 정보를 수집할 수 있다. 데이터베이스 생성 모듈(10)은 제1 거래 정보를 기반으로 거래 정보 데이터베이스를 구축할 수 있다. 전자 장치는 거래 정보 데이터베이스를 구축함에 있어서, 제1 거래 정보에 포함된 제1 상품 이미지를 웹 사이트 크롤링 하여 제1 거래 정보에 대응하는 제1 상품과 관련된 이미지를 더 수집할 수 있다. 전자 장치는 수집한 제1 상품과 관련된 이미지를 제1 상품 이미지로 더 포함하여 거래 정보 데이터베이스를 구축할 수 있다.
또한 데이터베이스 생성 모듈(10)은 전자 상거래의 사용자로부터 사기 등으로 신고되거나 차단된 IP 주소에 대한 위험 IP 정보를 거래 정보 데이터베이스에 더 저장할 수 있다. 전자 장치는 신고된 IP 주소에 대한 IP 소유기관, 국가, 할당 대역범위(CIDR) 등의 부가정보를 수집하여 위험 IP 정보에 더 포함시킬 수 있다.
맵 생성 모듈(20)은 거래 정보 데이터베이스에 저장된 제1 거래 정보에서 적어도 하나의 제1 식별자를 추출할 수 있다. 제1 식별자는 사용자가 임의로 변경하기 어려운 고유 데이터인 디바이스 ID와 결제 정보일 수 있다.
맵 생성 모듈(20)은 제1 거래 정보에서 제1 식별자를 제외한 제2 식별자를 추출하고, 복수 개의 제2 식별자를 결합하여 제3 식별자를 생성할 수 있다. 제2 식별자는 사용자가 언제든지 임의로 수정할 수 있는 정보로, 단독으로는 비정상 사용자를 판단하기 어려운 요소임에 따라, 복수 개의 제2 식별자를 결합한 제3 식별자를 생성함으로써 비정상 사용자 판단의 충분한 근거로 사용될 수 있게 하였다.
한편, 맵 생성 모듈(20)은 제2 식별자 중 제3 식별자로 정의되지 않은 것을 제4 식별자로 더 설정할 수 있다.
맵 생성 모듈(20)은 제1 거래 정보에 포함된 제1 주소지 정보를 제2 식별자로 사용하기 이전에 제1 주소지 정보를 정규화 할 수 있다. 사용자에 따라 도로명 주소와 지번 주소 중 어느 하나를 사용하기 때문에 주소지 정보의 통일성이 떨어져, 맵 생성 모듈(20)은 주소지 정보가 지번 주소일 경우 지번 주소를 도로명 주소로 변환할 수 있다. 또한 맵 생성 모듈(20)은 상세 주소에 포함된 불필요한 글자와 기호, 공란을 제거하고 하이픈을 통해 상세 주소의 형식을 통일할 수 있다.
맵 생성 모듈(20)은 제1 거래 정보에 포함된 제1 사용자의 고유 식별 정보에 대응하는 제1 노드를 생성할 수 있다.
맵 생성 모듈(20)은 제1 거래 정보에서 추출한 제1 식별자 및/또는 제3 식별자를 기반으로 제2 노드를 생성할 수 있다. 제1 노드와 제2 노드는 엣지로 연결될 것이다. 이와 같이 아이덴티티 맵은 사용자의 고유 식별 정보에 대한 노드를 중심으로 구성될 것이다.
맵 생성 모듈(20)은 제1 노드 및 제2 노드를 이용하여 아이덴티티 맵을 생성할 수 있다. 맵 생성 모듈(20)은 다른 제1 노드에 연결된 제2 노드가 동일한 경우, 제1 노드(a) - 제2 노드 - 제1 노드(b)와 같이 노드를 연결할 수 있다. 이 경우 맵 생성 모듈(20)은 제1 노드(a)와 제1 노드(b)는 동일한 사용자가 다른 고유 식별 정보를 사용한 것으로 판단할 수 있다.
맵 생성 모듈(20)은 아이덴티티 맵을 생성함에 있어서 제1 노드 및 제2 노드 간의 엣지의 거리를 설정할 수 있다. 맵 생성 모듈(20)은 제1 노드와 제1 식별자에 대응하는 제2 노드 간 엣지의 거리를 0으로 설정할 수 있다. 이에 따라 제2 노드에 연결된 제1 노드가 복수 개일 경우 복수 개의 제1 노드 간 엣지의 거리는 0이 될 것이다.
또한 맵 생성 모듈(20)은 제1 노드와 제3 식별자에 대응하는 제2 노드 간 엣지의 거리를 설정함에 있어서, 제3 식별자에 대한 관리자의 설정 값을 이용할 수 있다. 맵 생성 모듈(20)은 제3 식별자에 대응하는 제2 노드와 제1 노드 간 엣지의 거리를 1로 설정하고, 제4 식별자에 대응하는 제2 노드와 제1 노드 간 엣지의 거리를 2로 설정할 수 있다.
맵 생성 모듈(20)은 아이덴티티 맵에서 연결된 모든 제1 노드 및 제2 노드를 일 클러스터로 설정할 수 있다. 따라서 아이덴티티 맵은 적어도 하나의 클러스터를 포함할 수 있으며, 일 클러스터에 속한 제1 노드는 동일한 유저로 추정될 수 있다.
맵 생성 모듈(20)은 일 클러스터를 적어도 하나의 그룹으로 구분할 수 있다. 구체적으로 설명하면, 맵 생성 모듈(20)은 클러스터에 속한 제1 노드와 제1 식별자에 대응하는 제2 노드의 집합을 제1 그룹으로 설정하고, 제1 노드와 제3 식별자에 대응하는 제2 노드의 집합을 제2 그룹으로 설정하고, 제1 노드와 제4 식별자에 대응하는 제2 노드의 집합을 제3 그룹으로 설정할 수 있다.
즉, 맵 생성 모듈(20)은 제1 노드와 엣지 거리가 0인 제2 노드를 제1 그룹으로, 제1 노드와 엣지 거리가 1인 제2 노드를 제2 그룹으로, 제1 노드와 엣지 거리가 2인 제2 노드를 제3 그룹으로 설정할 수 있다.
맵 생성 모듈(20)은 클러스터에 대하여 구분된 그룹을 통해 이상 거래의 위험도를 판단하고 그에 대응하는 차단, 추적 등과 같은 이벤트를 제공할 수 있다.
거래 정보 수집 모듈(30)은 전자 상거래 서버에 새로 업로드 되는 제2 거래 정보를 수집하여 제2 상품 정보를 거래 정보 데이터베이스에 저장할 수 있다. 거래 정보 수집 모듈(20)은 제2 거래 정보를 수집함에 있어서, 종래 기술을 따를 수 있다.
제2 거래 정보는 거래 전, 거래 중, 거래 완료의 상태로 구분될 수 있으며, 새로 업로드 되는 거래 전 상태의 제2 거래 정보는 제2 상품 정보와 제2 사용자 정보(판매자) 만을 포함할 것이고, 거래 중 상태의 제2 거래 정보는 제2 상품 정보, 제2 결제 정보, 제2 배송 정보, 그리고 제2 사용자 정보(판매자 및 구매자)를 포함할 것이다. 거래 정보 수집 모듈(30)은 거래가 진행되지 않은 제2 거래 정보에 대응하는 제2 결제 정보, 제2 배송 정보, 제2 사용자 정보가 추가로 수신되면, 제2 거래 정보의 상태를 거래 중으로 변경할 수 있다.
거래 정보 수집 모듈(30)은 제2 거래 정보를 거래 정보 데이터베이스에 저장할 수 있다.
거래 정보 분석 모듈(40)은 제2 거래 정보에 포함된 제1 식별자 및 제3 식별자를 추출할 수 있다. 제1 식별자는 사용자가 임의로 변경하기 어려운 고유 데이터인 디바이스 ID와 결제 정보이고, 제2 식별자는 제1 식별자를 제외한 것, 제3 식별자는 복수 개의 제2 식별자를 결합한 것을 의미한다.
거래 정보 분석 모듈(40)은 제2 거래 정보가 비정상 사용자에 의해 생성되었는 지를 판단하기 위해 제1 식별자 및 제3 식별자를 아이덴티티 맵에 검색하여 제2 거래 정보가 이상 거래인 지 판단할 수 있다.
1) 제1 식별자
본 발명의 일 실시 예에 의한 제1 식별자는 디바이스 ID와 결제 정보를 포함할 수 있다. 제2 거래 정보의 상태가 거래 전일 경우, 제1 식별자는 디바이스 ID일 것이고, 제2 거래 정보의 상태가 거래 중 및 거래 완료일 경우, 제1 식별자는 제2 사용자(제2 판매자 및 제2 구매자)의 디바이스 ID와 결제 정보를 포함할 수 있다.
거래 정보 분석 모듈(40)은 제1 식별자를 아이덴티티 맵에 검색하여, 아이덴티티 맵에 제1 식별자에 대응하는 제2 노드가 존재하는 경우, 해당 제2 노드의 색상 혹은 크기를 통해 해당 제2 노드에 대응하는 제1 거래 정보가 이상 거래 태그를 포함하는 지를 판단할 수 있다. 전자 장치는 해당 제2 노드가 이상 거래와 관련이 있으면, 제2 제3 거래 정보에 대응하는 사용자(제3 판매자 혹은 제3 구매자)가 비정상 사용자인 것으로 판단할 수 있다. 이 때, 제1 식별자에 대응하는 제2 노드는 아이덴티티 맵의 제1 그룹에 속함에 따라 전자 장치는 제2 거래 정보 및 비정상 사용자로 판단된 제2 사용자를 차단할 수 있다.
2) 제3 식별자
본 발명의 일 실시 예에 의한 제3 식별자는 상품 이미지, 상품 소개글과 사용자 간 대화 내역을 포함하는 텍스트, 배송 주소지와 우편 번호를 포함하는 배송 정보, 이름, 연락처, 접속 IP 주소, 위치 정보의 제2 식별자 중 복수 개를 결합한 것으로, 관리자에 의해 설정된 제2 식별자의 조합에 따를 수 있다. 제4 식별자는 제2 식별자 중 제3 식별자로 선택되지 않은 것을 의미한다. 제3 식별자 및 제4 식별자 역시 제3 거래 정보의 상태에 따라 특정 식별자가 포함되지 않을 수 있다.
거래 정보 분석 모듈(40)은 제3 식별자를 아이덴티티 맵에 검색하여, 아이덴티티 맵에 제3 식별자에 대응하는 제2 노드가 존재하는 경우, 제2 거래 정보에 대응하는 제2 사용자(제2 판매자 혹은 제2 구매자)가 비정상 사용자일 가능성이 높은 것으로 판단할 수 있다. 제3 식별자에 대응하는 제2 노드는 제2 그룹에 속함에 따라 거래 정보 분석 모듈(40)은 제2 사용자인 제2 판매자와 제2 구매자 중 비정상 사용자로 판단되지 않은 사용자와 관리자 단말에 알림을 제공할 수 있다.
또한, 거래 정보 분석 모듈(40)은 제4 식별자를 아이덴티티 맵에 검색하여, 아이덴티티 맵에 제4 식별자에 대응하는 제2 노드가 존재하는 경우, 제2 거래 정보에 대응하는 제2 사용자(제2 판매자 혹은 제2 구매자)가 비정상 사용자일 가능성이 있는 것으로 판단할 수 있다. 제4 식별자에 대응하는 제2 노드는 제3 그룹에 속함에 따라 전자 장치는 관리자가 모니터링을 할 수 있도록 비정상 사용자일 가능성이 있는 제2 사용자의 거래 진행 과정을 추적하여 관리자 단말에 제공할 수 있다.
한편, 거래 정보 분석 모듈(40)은 제2 사용자 정보에 포함된 제2 접속 IP 주소를 거래 정보 데이터베이스에 더 검색할 수 있다. 거래 정보 분석 모듈(40)은 제2 사용자 정보에 포함된 접속 IP 주소가 이상 거래 데이터베이스에 저장된 위험 IP 주소와 동일하거나, 같은 대역범위를 사용하고 있을 경우, 비정상 사용자가 주로 사용하는 IP 대역에서 제2 거래 정보가 생성된 것으로 판단하여 제2 거래 정보를 차단할 수 있다.
나아가 거래 정보 분석 모듈(40)은 제2 사용자 정보에 포함된 이름, 연락처 등을 기반으로 다크 웹에 접속하여 비정상 사용자에게 노출되었는 지를 판단할 수 있다. 거래 정보 분석 모듈(40)은 제2 사용자 정보에 포함된 이름과 연락처가 다크 웹에 노출된 경우, 제2 거래 정보를 차단할 수 있다.
한편 거래 정보 분석 모듈(40)은 제2 거래 정보에 포함된 제2 상품 이미지의 특징 영역을 탐지할 수 있다. 거래 정보 분석 모듈(40)은 제2 상품 이미지의 특징 기술자를 추출할 수 있다.
거래 정보 분석 모듈(40)은 제2 상품 이미지에 대한 특징 영역의 위치, 또는 특징 영역의 밝기, 색상, 선명도, 그라디언트, 스케일 또는 패턴 정보를 이용하여 특징 기술자를 계산할 수 있다. 예를 들어 특징 기술자는 특징 영역의 밝기 값, 밝기의 변화 값 또는 분포 값 등을 벡터로 변환하여 계산될 수도 있다.
거래 정보 분석 모듈(40)은 제2 상품 이미지의 특징 기술자를 기반으로 거래 정보 데이터베이스에 제2 상품 이미지와 동일한 제1 상품 이미지가 저장되어 있는 지를 판단할 수 있다.
거래 정보 분석 모듈(40)은 거래 정보 데이터베이스에 제2 상품 이미지와 동일한 제1 상품 이미지가 존재하는 경우, 제2 상품 이미지를 도용 이미지로 판단하고, 제2 거래 정보를 차단할 수 있다
거래 정보 분석 모듈(40)은 제2 거래 정보를 기반으로 거래 정보 데이터베이스를 업데이트할 수 있다. 구체적으로, 거래 정보 분석 모듈(40)은 이상 거래로 판단되어 차단된 제2 거래 정보에 이상 거래를 의미하는 태그를 추가하여 거래 정보 데이터베이스를 업데이트할 수 있다.
거래 정보 분석 모듈(40)은 제2 거래 정보를 기반으로 아이덴티티 맵을 업데이트할 수 있다. 구체적으로, 전자 장치는 제2 거래 정보의 제2 사용자에 대한 제1 노드에, 제2 거래 정보의 제1 식별자 및 제3 식별자에 대응하는 제2 노드를 생성하여 연결함으로써 아이덴티티 맵을 더 확장할 수 있다.
본 명세서와 도면에 개시된 본 발명의 실시 예들은 본 발명의 기술 내용을 쉽게 설명하고 본 발명의 이해를 돕기 위해 특정 예를 제시한 것뿐이며, 본 발명의 범위를 한정하고자 하는 것은 아니다. 여기에 개시된 실시 예들 이외에도 본 발명의 기술적 사상에 바탕을 둔 다른 변형 예들이 실시 가능하다는 것은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에게 자명한 것이다.

Claims (12)

  1. 전자 장치가 이상 거래를 탐지하는 방법에 있어서,
    전자 상거래 서버에 기 저장된 제1 거래 정보를 기반으로 아이덴티티 맵을 생성하는 a 단계;
    전자 상거래 서버에 새로 업로드 되는 제2 거래 정보를 수집하는 b 단계;
    제2 거래 정보에 포함된 제1 식별자 및 제2 식별자를 추출하고, 복수 개의 제2 식별자를 결합하여 제3 식별자를 생성하는 c 단계; 및
    제1 식별자 및 제3 식별자를 아이덴티티 맵에 검색하여 제2 거래 정보가 이상 거래인지 판단하는 d 단계를 포함하는 이상 거래 탐지 방법.
  2. 제1항에 있어서, 상기 a 단계는,
    제1 거래 정보에서 적어도 하나의 제1 식별자를 추출하는 단계;
    제1 거래 정보에서 제1 식별자를 제외한 제2 식별자를 추출하고, 복수 개의 제2 식별자를 결합하여 제3 식별자를 생성하는 단계;
    제1 거래 정보에 포함된 제1 사용자의 고유 식별 정보에 대응하는 제1 노드를 생성하는 단계;
    제1 식별자 및/또는 제3 식별자를 기반으로 제2 노드를 생성하는 단계; 및
    제1 노드 및 제2 노드를 이용하여 아이덴티티 맵을 생성하는 단계를 포함하는 이상 거래 탐지 방법.
  3. 제2항에 있어서,
    전자 상거래 서버에 기 저장된 복수 개의 제1 거래 정보를 수집하여 거래 정보 데이터베이스를 구축하되;
    제1 거래 정보는 이상 거래 유무에 따른 태그를 더 포함하는 이상 거래 탐지 방법.
  4. 제2항에 있어서,
    제1 식별자는 디바이스 ID 및 결제 정보를 포함하고,
    제2 식별자는 우편번호, 주소지 정보, 연락처, 이름, 연락처, 및 IP 정보 중 하나를 포함하되,
    상기 결제 정보는 계좌 정보 또는 카드 정보를 포함하는 이상 거래 탐지 방법.
  5. 제4항에 있어서,
    상기 주소지 정보를 도로명 주소로 변환하고, 상기 도로명 주소의 상세 주소에서 불필요한 글자와 기호, 공란을 제거하고 하이픈을 이용하여 상세 주소의 형식을 통일하는 이상 거래 탐지 방법.
  6. 제2항에 있어서,
    제2 식별자 중 제3 식별자로 정의되지 않은 것을 제4 식별자로 더 설정하는 이상 거래 탐지 방법.
  7. 제6항에 있어서, 아이덴티티 맵을 생성하는 단계는,
    제1 노드와 제1 식별자에 대응하는 제2 노드 간 엣지의 거리를 0으로, 제1 노드와 제3 식별자에 대응하는 제2 노드 간 엣지의 거리를 1로, 제1 노드와 제4 식별자에 대응하는 제2 노드 간 엣지의 거리를 2로 설정하는 단계를 포함하는 이상 거래 탐지 방법.
  8. 제7항에 있어서,
    상기 아이덴티티 맵에 포함된 제1 노드 및 제2 노드 중 엣지로 연결되어 있는 모든 노드를 제1 클러스터로 설정하는 단계;
    제1 클러스터를 적어도 하나의 그룹으로 구분하여, 제2 거래 정보를 처리하는 단계를 더 포함하는 이상 거래 탐지 방법.
  9. 제8항에 있어서,
    제1 노드와 엣지의 거리가 0인 제2 노드를 제1 그룹으로 설정하는 단계;
    제1 노드와 엣지의 거리가 1인 제2 노드를 제2 그룹으로 설정하는 단계; 및
    제1 노드와 엣지의 거리가 2인 제2 노드를 제3 그룹으로 설정하는 단계를 포함하는 이상 거래 탐지 방법.
  10. 제9항에 있어서, 상기 d 단계는,
    상기 아이덴티티 맵에 제1 식별자 또는 제3 식별자에 대응하는 제2 노드가 존재하는 경우, 제1 노드와의 엣지 거리를 기반으로 제3 거래 정보를 차단, 모니터링 또는 추적하는 이상 거래 탐지 방법.
  11. 제10항에 있어서,
    상기 엣지 거리가 0일 경우 제3 거래 정보를 차단하고,
    상기 엣지 거리가 1일 경우 관리자 단말에 알림을 제공하며,
    상기 엣지 거리가 2일 경우 제3 거래 정보를 추적하여 상기 관리자 단말에 제공하는 이상 거래 탐지 방법.
  12. 전자 상거래 서버에 기 저장된 제1 거래 정보를 기반으로 아이덴티티 맵을 생성하는 맵 생성 모듈;
    전자 상거래 서버에 새로 업로드 되는 제2 거래 정보를 수집하는 거래 정보 수집 모듈; 및
    제2 거래 정보에 포함된 제1 식별자 및 제2 식별자를 추출하고, 복수 개의 제2 식별자를 결합하여 제3 식별자를 생성하며, 제1 식별자 및 제3 식별자를 아이덴티티 맵에 검색하여 제2 거래 정보가 이상 거래인지 판단하는 거래 정보 분석 모듈을 포함하는,
    이상 거래 탐지 장치.
PCT/KR2022/010204 2021-07-23 2022-07-13 전자 상거래에서의 이상 거래 탐지를 위한 클러스터링 방법 및 시스템 WO2023003261A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2021-0096771 2021-07-23
KR1020210096771A KR102597616B1 (ko) 2021-07-23 2021-07-23 전자 상거래에서의 이상 거래 탐지를 위한 클러스터링 방법 및 시스템

Publications (1)

Publication Number Publication Date
WO2023003261A1 true WO2023003261A1 (ko) 2023-01-26

Family

ID=84975995

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2022/010204 WO2023003261A1 (ko) 2021-07-23 2022-07-13 전자 상거래에서의 이상 거래 탐지를 위한 클러스터링 방법 및 시스템

Country Status (3)

Country Link
US (1) US20230027870A1 (ko)
KR (1) KR102597616B1 (ko)
WO (1) WO2023003261A1 (ko)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005011049A (ja) * 2003-06-19 2005-01-13 Nec Soft Ltd データベース統合装置
KR20160064710A (ko) * 2014-11-28 2016-06-08 건국대학교 산학협력단 Ｌｄｆｇｂ 알고리즘을 이용한 비정상 침입 탐지 장치 및 방법
KR20170083330A (ko) * 2016-01-08 2017-07-18 한국인터넷진흥원 머신러닝을 이용하여 이상거래를 탐지하기 위한 장치 및 그 방법
KR101834260B1 (ko) * 2017-01-18 2018-03-06 한국인터넷진흥원 이상 거래 탐지 방법 및 장치
US20200169603A1 (en) * 2018-11-27 2020-05-28 Sailpoint Technologies, Inc. System and method for peer group detection, visualization and analysis in identity management artificial intelligence systems using cluster based analysis of network identity graphs

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080065694A1 (en) * 2006-09-08 2008-03-13 Google Inc. Local Search Using Address Completion
US7539644B2 (en) * 2007-03-08 2009-05-26 Softroute Corporation Method of processing online payments with fraud analysis and management system
US20190295089A1 (en) * 2018-03-23 2019-09-26 Microsoft Technology Licensing, Llc Transaction fraud detection based on entity linking
US11704673B1 (en) * 2020-06-29 2023-07-18 Stripe, Inc. Systems and methods for identity graph based fraud detection

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005011049A (ja) * 2003-06-19 2005-01-13 Nec Soft Ltd データベース統合装置
KR20160064710A (ko) * 2014-11-28 2016-06-08 건국대학교 산학협력단 Ｌｄｆｇｂ 알고리즘을 이용한 비정상 침입 탐지 장치 및 방법
KR20170083330A (ko) * 2016-01-08 2017-07-18 한국인터넷진흥원 머신러닝을 이용하여 이상거래를 탐지하기 위한 장치 및 그 방법
KR101834260B1 (ko) * 2017-01-18 2018-03-06 한국인터넷진흥원 이상 거래 탐지 방법 및 장치
US20200169603A1 (en) * 2018-11-27 2020-05-28 Sailpoint Technologies, Inc. System and method for peer group detection, visualization and analysis in identity management artificial intelligence systems using cluster based analysis of network identity graphs

Also Published As

Publication number Publication date
KR20230015531A (ko) 2023-01-31
KR102597616B1 (ko) 2023-11-02
US20230027870A1 (en) 2023-01-26

Similar Documents

Publication Publication Date Title
CN111800395A (zh) 一种威胁情报防御方法和***
WO2020258657A1 (zh) 异常检测方法、装置、计算机设备及存储介质
WO2015129983A1 (ko) 분산 퍼지 연관 규칙 마이닝에 기반한 영화 추천 장치 및 방법
WO2017155292A1 (ko) 비정상행위 탐색방법 및 탐색프로그램
WO2020251174A1 (ko) 사용자 맞춤형 패션 아이템 광고 방법 및 이를 실행하는 서버
WO2013168890A1 (ko) 광고 시스템 및 타겟 광고 방법
WO2020119384A1 (zh) 基于大数据分析的医保异常检测方法、装置、设备和介质
WO2012081887A2 (en) Method and apparatus for providing advertisement service in mobile communication system
WO2020087704A1 (zh) 信贷信息管理方法、装置、设备和存储介质
WO2024091080A1 (ko) 동영상 자동 생성 방법 및 동영상 자동 생성 서버
WO2023003261A1 (ko) 전자 상거래에서의 이상 거래 탐지를 위한 클러스터링 방법 및 시스템
WO2013062214A1 (ko) 금융 단말기 위치 판단 방법 및 시스템
WO2021085701A1 (ko) 블록체인 및 스마트컨트랙트를 이용한 보안 이벤트를 처리하기 위한 장치 및 이를 위한 방법
WO2023113158A1 (ko) 범죄 행위자 프로파일링 방법, 이를 수행하는 장치 및 컴퓨터 프로그램
WO2016195421A1 (ko) 통계 분석 기반의 데이터 프로파일링을 제공하기 위한 방법, 시스템 및 비일시성의 컴퓨터 판독 가능한 기록 매체
WO2016129804A1 (ko) 소비자 행동 패턴을 기반으로 한 웹페이지 생성 방법 및 활용 방법
WO2020143296A1 (zh) 数据采集方法、装置、设备及计算机可读存储介质
WO2020218744A1 (ko) 컨텐츠 무단복사 탐지방법 및 이를 이용하는 서비스 서버
WO2015108244A1 (ko) 콘텐츠 이용자 확인 시스템 및 그 방법
WO2022250188A1 (ko) 로우레벨 데이터 분석 기반의 이상 금융거래 탐지 시스템 및 그 방법
WO2021002485A1 (ko) 웹 애플리케이션 서버를 통한 사용자 식별 기반의 데이터베이스 보안장치
CN111782908A (zh) 一种基于数据挖掘聚类分析的web违规操作行为检测方法
WO2017000180A1 (zh) 一种建立交互关系的方法以及交互装置
CN111815333A (zh) 一种基于UnionId的多服务平台同一客户身份识别的方法
WO2022065819A1 (ko) 사용자 선택 의류를 기반으로 의류 추천 정보를 제공하는 방법, 및 이를 이용하는 서버

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22846131

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE