2. 欺诈检测基础

在进入 XGBoost 建模之前，必须先建立对欺诈检测业务的整体认知。欺诈检测不是单纯的二分类问题，它同时受到业务规则、资金安全、用户体验和监管合规的多重约束。理解欺诈的类型、发生场景、衡量指标以及技术难点，决定了后续特征工程、样本构造和模型评估的方向是否正确。

一、欺诈类型：从行为动机划分

欺诈的核心特征是“以欺骗手段获取不当利益”。在交易场景中，常见的欺诈类型可以按行为主体和发生环节划分：

• 盗卡盗刷：攻击者通过数据泄露、钓鱼或侧录获取卡号、有效期、CVV，在短时间内进行多笔消费或提现。特点是突发性强、金额集中、设备与地理位置异常。
• 账户接管：攻击者通过撞库、短信劫持或社会工程获取用户账户权限，修改绑定信息后发起转账或消费。特点是登录行为异常、操作序列突变。
• 虚假注册与薅羊毛：利用批量注册、虚拟号码或自动化脚本获取新客优惠、补贴或积分。单笔金额小，但频次高、团伙化明显。
• 商户侧欺诈：虚假商户、恶意退款、刷单炒信，或商户与持卡人合谋套现。特点是交易模式与正常经营行为存在结构性偏差。
• 洗钱与资金归集：通过多层账户转移资金，掩盖来源。单笔交易可能看似正常，但网络结构异常。

不同类型对应不同的特征体系。盗刷更依赖设备指纹、IP 和交易时序；账户接管更依赖登录日志和行为序列；薅羊毛更依赖注册频次、设备聚集度和图关系。建模前必须明确当前业务要解决的是哪一类或哪几类欺诈。

二、常见业务场景与数据形态

欺诈检测广泛存在于支付、电商、信贷、保险和社交平台。以支付交易为例，典型数据形态包括：

这些场景的共同点是：欺诈样本占比极低、标签获取滞后、对抗性强。模型不仅要识别已知模式，还要对新型攻击保持一定泛化能力。

三、业务指标：不能只看准确率

欺诈检测的评估必须与业务成本挂钩。常用的业务指标包括：

• 召回率：抓到的欺诈占全部欺诈的比例。召回不足意味着资金损失。
• 精确率：被拦截交易中真正欺诈的比例。精确率低会导致大量误杀，影响正常用户。
• 误杀率：正常交易被拦截的比例，直接关联客诉和流失。
• 人工审核量：模型输出后需要人工复核的工单量，影响运营成本。
• 资损率：欺诈成功金额占总交易金额的比例，是最终业务结果指标。

实际落地时，通常先设定一个可接受的误杀率上限，再在该约束下最大化召回率。例如：误杀率不超过 0.5%，目标召回率不低于 80%。这个约束会直接影响后续的阈值选择和代价敏感学习策略。

四、技术挑战与常见误区

欺诈检测建模面临以下核心技术挑战：

1. 极端不平衡：正样本可能只有千分之一甚至更低，直接训练会导致模型偏向多数类。
2. 标签延迟与噪声：欺诈确认往往需要数天甚至数周，且存在漏标和误标。
3. 概念漂移：欺诈手法持续变化，历史模式可能迅速失效。
4. 特征时效性：设备、IP、行为序列等特征在线上必须低延迟计算。
5. 对抗性：攻击者会针对模型规则进行规避，模型需要持续迭代。

下面是一个典型的类别分布检查代码，用于在建模前确认不平衡程度：

import pandas as pd

df = pd.read_csv("transactions.csv")
print(df["is_fraud"].value_counts())
print(df["is_fraud"].value_counts(normalize=True))

# 输出示例
# 0    99432
# 1      568
# Name: is_fraud, dtype: int64
# 0    0.99432
# 1    0.00568

从上面的输出可以看到，欺诈样本仅占约 0.57%。这意味着如果模型把所有样本都预测为正常，准确率仍高达 99.43%，但召回率为 0。因此，后续必须采用合适的采样策略、代价敏感学习或阈值调整，而不能依赖默认的准确率评估。