2. 交易反欺诈基础
在进入时序图神经网络建模之前，必须先建立对交易反欺诈业务本身的清晰认知。很多模型效果不佳，并非算法不够先进，而是对欺诈形态、团伙行为模式以及传统方法的边界理解不足。本章围绕四个问题展开：欺诈有哪些类型、团伙作案呈现什么特征、传统方法如何识别、它们为何会失效。
一、常见欺诈类型与核心原理
交易欺诈的本质是攻击者以非法获利为目的，通过伪装正常交易行为绕过风控规则。按发生环节和获利方式，常见类型可归纳如下：
| 欺诈类型 | 典型场景 | 关键识别信号 |
|---|---|---|
| 盗卡盗刷 | 银行卡信息泄露后被异地、异设备消费 | 设备指纹突变、地理位置跳跃、短时高频 |
| 账户盗用 | 撞库登录后转移余额或绑定新卡 | 登录IP异常、改密后立即转账 |
| 虚假交易/刷单 | 商户自买自卖套取补贴、提升排名 | 买卖双方高度重叠、金额规律、时间集中 |
| 套现 | 利用信用卡或消费信贷虚假消费套取现金 | 整数金额、固定商户、还款后立即消费 |
| 营销薅羊毛 | 批量注册账号领取优惠券并集中变现 | 设备聚集、注册时间密集、收货地址集中 |
| 洗钱/资金归集 | 多账户分散转入后集中转出 | 资金快进快出、层级归集、对手方重复 |
这些类型并非孤立存在。真实案件中，攻击者往往组合使用：先批量注册（薅羊毛），再养号模拟正常行为，最后集中套现或洗钱。因此，单点规则很难覆盖完整链路。
二、团伙作案特征：从个体到网络
团伙欺诈与个体欺诈最大的区别在于行为之间存在协同性。个体欺诈关注单账户异常，团伙欺诈关注多个账户之间的关联结构。典型特征包括：
- 设备与网络聚集：多个账户共用同一设备指纹、IP段、WiFi或代理池，形成设备-账户二部图的高密度子图。
- 时间同步性：注册、登录、下单、转账等动作在短时间内集中爆发，呈现明显的时间簇。
- 资金闭环：资金在团伙内部账户间流转，形成环形或星形归集路径，最终流向少数出口账户。
- 行为模板化：操作序列高度相似，如固定金额、固定间隔、固定商品，缺乏真实用户的随机性。
- 身份信息关联：手机号段、收货地址、银行卡BIN、身份证归属地存在重叠或规律性。
团伙识别的核心视角转变：从“这个账户是否异常”转向“这群账户是否构成一个协同网络”。时序图神经网络正是为这种网络结构建模而生。
三、传统识别方法与流程
传统反欺诈方法主要分为规则引擎、统计模型和孤立点检测三类，其典型流程如下：
- 数据采集：交易流水、登录日志、设备信息、关系数据。
- 特征工程：构造单账户统计特征，如近1小时交易笔数、近7天平均金额、设备更换次数。
- 规则/模型打分：命中规则或模型输出风险分。
- 阈值决策：超过阈值则拦截、人工审核或放行。
- 案件复盘：确认欺诈后回溯规则，补充黑名单。
一个典型的规则配置片段如下：
rule: high_frequency_transfer
condition:
- tx_count_1h > 10
- distinct_counterparty_1h > 5
- amount_sum_1h > 50000
action: block_and_review
priority: 100
统计模型则常用逻辑回归、随机森林、XGBoost，输入以账户级聚合特征为主。孤立点检测如LOF、Isolation Forest用于发现偏离群体分布的账户。
四、局限性分析与误区复盘
传统方法在应对团伙欺诈时存在结构性缺陷：
- 规则滞后：规则依赖已知欺诈模式，攻击者一旦变异，规则立即失效，形成“打补丁”循环。
- 特征割裂：单账户特征无法表达账户之间的关联，团伙中每个账户单独看可能都“正常”。
- 静态视角：统计窗口固定，难以捕捉行为序列的时序演化，如“养号-激活-爆发”三阶段。
- 误伤与漏报并存：阈值调高漏报团伙，调低误伤正常高频用户，如商户、代购。
- 黑名单对抗：攻击者批量更换设备、IP、账号，黑名单命中率快速下降。
常见误区：认为“账户级模型分数高就是团伙”。实际上，团伙中大量账号可能分数很低，真正暴露团伙的是关系结构和时序同步性，而非单点分数。仅靠账户级模型，会系统性漏掉“沉默成员”。
复盘一个典型场景：某平台遭遇薅羊毛团伙，规则引擎仅拦截了少数高频账号，但团伙通过大量低频账号分散领取，单账号日均仅1-2笔，完全绕过频率规则。事后图分析发现，这些账号共享同一批设备指纹和收货地址，构成明显密集子图。这说明：当欺诈从个体转向团伙，识别范式必须从“点”转向“图”，从“静态”转向“时序”。