2. 反欺诈基础概念

在构建实时反欺诈决策系统之前，必须先把“敌人是谁、他们怎么赚钱、我们在哪些环节暴露风险、用什么语言描述风险”这四件事讲清楚。否则规则会写成拍脑袋，模型会训成黑盒，指标会算成自嗨。本节从欺诈类型、黑产产业链、风险场景、关键术语与指标体系四个维度建立共同语言。

一、欺诈类型：从单点作案到团伙作战

欺诈分类没有唯一标准，但工程上最实用的是按“攻击目标”和“作案手法”两个维度切分。按目标可分为账户侧、交易侧、营销侧、信贷侧；按手法可分为身份伪造、盗用、团伙套利、机器批量、内外勾结。

注意：同一笔事件往往同时命中多个类型。例如“虚假注册+营销套利”常成对出现，实时系统需要输出多标签风险，而不是强行归入单一类别。

二、黑产产业链：分工明确、工具化、平台化

黑产不是零散黑客，而是高度分工的产业链。上游提供资源，中游提供工具和账号，下游负责变现。理解产业链的意义在于：我们防御的不是一个人，而是一条流水线。

• 资源层：泄露数据、虚拟手机号、代理IP、打码平台、身份证素材。
• 工具层：自动化脚本、群控系统、改机工具、验证码识别、猫池。
• 账号层：批量注册账号、养号、租号、买卖账号。
• 变现层：薅羊毛、盗刷、骗贷、洗钱、虚假交易。
• 服务层：接码、代实名、代过风控、教程与售后，形成“黑产SaaS”。

三、风险场景：实时决策的四个关键时刻

实时反欺诈不是全链路均匀用力，而是在关键决策点做拦截或放行。典型场景包括：

1. 注册/登录：判断是否真人、是否批量、是否盗用。常用信号包括设备指纹、IP画像、行为轨迹、验证码通过率。
2. 营销领取：判断是否套利、是否多账号。常用信号包括账号关联图、收货地址聚集、券领取频次。
3. 支付/转账：判断是否盗刷、是否洗钱。常用信号包括金额偏离、收款方风险、时间与地点突变。
4. 信贷申请：判断是否包装、是否团伙。常用信号包括联系人网络、申请序列、设备与资料一致性。

每个场景的决策延迟要求不同：登录可能要求50ms内，支付可能要求100ms内，信贷申请可放宽到秒级。这直接决定了规则与模型的部署方式。

四、关键术语与指标体系：把风险说清楚

反欺诈领域有一套约定俗成的术语，混淆它们会导致策略错位。以下是最核心的几组：

• 欺诈率：欺诈事件数 / 总事件数，反映整体风险水位。
• 召回率：被拦截的欺诈数 / 全部欺诈数，衡量漏放程度。
• 误杀率：被拦截的正常数 / 全部正常数，衡量用户体验损失。
• 覆盖率：命中规则的请求数 / 总请求数，反映规则触达面。
• 准确率：拦截中真正欺诈的比例，衡量拦截质量。
• 决策耗时：从请求到返回决策的P99延迟，实时系统的生命线。

下面是一段典型的实时决策日志片段，展示了规则与模型如何共同输出决策：

{
  "event_id": "evt_20241015_883721",
  "scene": "payment",
  "user_id": "u_99213",
  "device_id": "d_7f3a",
  "amount": 12800.00,
  "rule_hits": ["R102_异地大额", "R215_新设备首笔"],
  "model_score": 0.87,
  "decision": "REJECT",
  "latency_ms": 63,
  "reason": "规则命中2条，模型分超阈值0.8"
}

复盘时常见误区有三：一是只看欺诈率不看误杀率，导致策略越来越严、用户流失；二是把离线指标直接当线上效果，忽略延迟和特征时效；三是把黑产当成静态对手，一次规则上线后长期不迭代。正确的做法是建立“监控—归因—迭代”闭环，让规则和模型随黑产成本曲线同步进化。