2. 交易欺诈基础

在进入阈值优化与预期损失控制之前，必须先建立对交易欺诈的“共同语言”。很多团队在讨论风控策略时，争论的并不是模型好坏，而是对欺诈类型、黑产手法和识别逻辑的理解不一致。本章将围绕四个问题展开：欺诈有哪些类型、行业常用术语如何定义、黑产如何组织攻击链路、以及风控系统识别欺诈的基本逻辑是什么。

一、核心原理：交易欺诈的本质是“身份、意图与资金”的错配

正常交易满足三个条件：操作者拥有账户合法授权、交易意图真实、资金流向与业务目的一致。欺诈则是其中至少一项被伪造或滥用。根据错配方式，交易欺诈通常分为以下几类：

• 盗用型欺诈：攻击者通过撞库、钓鱼、木马获取账户凭证，直接盗刷余额或绑定支付方式。特点是登录设备、地理位置、行为节奏与历史差异明显。
• 伪冒型欺诈：使用虚假身份或他人身份信息注册、申请信贷、绑定银行卡。特点是身份资料真实但人与证件不匹配，常伴随团伙批量操作。
• 商户侧欺诈：虚假商户、恶意退款、刷单套现、二清跑路。特点是交易本身看似正常，但资金最终回流到攻击者控制的账户。
• 营销套利：利用优惠券、返现、积分规则批量套取利益。单笔金额小，但频次高、账号关联性强，属于“薅羊毛”向欺诈的过渡形态。
• 拒付欺诈：持卡人收到商品后恶意发起拒付，或攻击者用盗卡消费导致真实持卡人拒付。特点是交易成功后一段时间才暴露，属于滞后性损失。

二、常见术语与业务场景对照

风控、支付、反欺诈团队在日常协作中会高频使用一批术语。理解这些术语的准确含义，是后续阈值调优和损失计算的基础。下表整理了最常用的术语及其业务含义：

在实际业务中，不同场景的风险重心不同。例如，电商支付更关注盗卡和拒付，信贷申请更关注伪冒和团伙欺诈，营销活动更关注批量套利。识别逻辑必须与场景匹配，不能一套规则打天下。

三、黑产链路：从信息获取到资金变现的完整链条

黑产不是零散攻击，而是分工明确的产业链。理解链路有助于在关键节点布置拦截策略。典型链路如下：

1. 信息获取：通过钓鱼网站、木马、数据泄露、内鬼倒卖获取账号、密码、身份证、银行卡信息。此阶段风控难以直接感知，但可通过异常登录和设备变更发现端倪。
2. 账号养号：攻击者用自动化工具批量注册或接管账号，模拟正常行为积累信用，避免触发早期风控。此阶段特征是行为模式高度相似、设备集中、时间规律。
3. 攻击执行：在目标平台发起盗刷、套现、虚假交易。此阶段是风控拦截的主战场，特征是交易金额、频次、收款方与历史行为偏离。
4. 资金变现：通过虚假商户、跑分平台、加密货币、礼品卡等方式将资金洗白。此阶段特征是资金快进快出、多层转账、收款账户新开且集中。
5. 对抗升级：攻击者根据拦截结果调整策略，更换IP、设备、行为节奏，甚至使用真人众包绕过自动化检测。此阶段要求风控具备持续学习和策略迭代能力。

四、欺诈识别的基本逻辑与常见误区

欺诈识别的基本逻辑可以概括为：在可接受的误报率下，尽可能早地识别并拦截高预期损失交易。具体流程包括：

• 数据采集：设备、网络、账户、行为、交易、关系网络等多源数据。
• 特征工程：将原始数据转化为可判定的风险特征，如“设备关联账号数”“1小时交易频次”“收款方历史投诉率”。
• 规则与模型：规则处理确定性风险，模型处理模糊风险，两者叠加输出风险分。
• 阈值决策：根据风险分和预期损失设定拦截、审核、放行三档阈值。
• 反馈闭环：将人工审核结果、拒付数据、用户申诉回流，持续优化特征和阈值。

以下是一段简化的规则引擎配置示例，展示如何用条件组合表达风险判定：

{
  "rule_id": "R_ATO_001",
  "description": "账户接管高风险：新设备+异地登录+大额转账",
  "conditions": {
    "device_is_new": true,
    "login_location_diff": ">500km",
    "transfer_amount": ">5000",
    "time_since_login": "<10min"
  },
  "action": "BLOCK",
  "risk_score": 95
}

在实际复盘中最常见的误区有三类：

1. 只看单笔金额，不看关联网络。攻击者用大量小额交易绕过金额阈值，但设备、IP、收款方高度关联。忽略关系网络会导致漏报。
2. 阈值一刀切，不区分场景和用户分层。新用户和老用户、高客单和低客单场景的风险容忍度不同。统一阈值必然导致某类场景误杀或漏杀偏高。
3. 只优化拦截率，不计算预期损失。拦截率提升可能伴随误报成本上升。正确的目标是最小化“欺诈损失+误杀成本+审核成本”的总和，而非单纯追求拦截率。