📚 课程目录第4章电商支付欺诈常见类型

4. 电商支付欺诈常见类型

在电商支付反欺诈项目中，第一步不是建模，而是把“欺诈”拆成可观测、可归因、可处置的业务类型。不同欺诈类型的攻击目标、资金路径、数据特征和处置策略差异很大。如果把它们混在一个“黑样本”标签里训练模型，最终往往得到一个看似准确、实则无法解释、无法运营的模型。本节将围绕盗卡、盗刷、虚假交易、恶意退款、薅羊毛、账户盗用、洗钱七类常见欺诈，建立一套统一的分类认知框架。

一、核心原理：按“谁受损、谁获利、何时暴露”分类

欺诈分类不能只看表面行为，而应看三个关键维度：资金受损方、获利方、风险暴露时点。资金受损方决定了谁来承担损失，也决定了风控的优先级；获利方决定了攻击者的动机和可追踪的变现路径；风险暴露时点决定了我们是在支付前拦截、支付后拦截，还是只能事后追损。

欺诈类型	主要受损方	获利方式	典型暴露时点	核心识别信号
盗卡	持卡人、发卡行、商户	购买高价值易变现商品	支付后数小时至数天	卡号首次使用、IP与账单地址偏离
盗刷	账户持有人、平台	消耗账户余额或绑定卡	支付后即时至数小时	设备指纹突变、登录与支付时间极近
虚假交易	平台、品牌方	套取补贴、刷销量、洗钱	结算后或对账时	买卖双方关联、物流空包、评价异常
恶意退款	商户、平台	保留商品并退回资金	退款申请后	退款率异常、退货物流造假、频繁部分退款
薅羊毛	平台、营销预算	批量套取优惠券、积分、红包	活动期间实时暴露	设备聚集、手机号段集中、行为脚本化
账户盗用	账户持有人、平台	接管账户后消费或提现	登录后至支付前	异地登录、改密改绑、会话异常
洗钱	金融体系、平台	将非法资金合法化	长期对账与监管报送	资金快进快出、多账户循环、金额结构化

分类不是目的，而是为了给每一类欺诈配置不同的特征、规则、模型和处置动作。一个欺诈事件可能同时属于多个类型，例如账户盗用后盗刷并恶意退款，此时需要按主损失路径确定优先级。

二、方法流程：从事件到类型的归因路径

在实际项目中，我们通常按以下流程把一笔可疑支付归入具体欺诈类型：

采集支付上下文：订单号、用户ID、设备指纹、IP、收货地址、支付方式、金额、时间戳。
关联账户与卡：判断卡是否首次出现、是否与多个账户关联、是否命中历史黑名单。
比对行为基线：登录地点、下单频率、客单价、退款率是否偏离该用户历史。
识别资金链路：资金是否快进快出、是否经过多个账户、是否与已知洗钱模式相似。
判定主类型：按受损方和暴露时点确定主类型，并记录次要类型。
触发处置：拦截、二次验证、人工审核、延迟结算、冻结账户或报送。

下面是一段简化的规则引擎伪代码，用于在支付前对盗卡和账户盗用做初步分流：

def classify_fraud(event):
    score = 0
    reasons = []

    if event.card_is_new and event.ip_country != event.billing_country:
        score += 40
        reasons.append("new_card_cross_border")

    if event.login_to_pay_seconds < 60:
        score += 30
        reasons.append("login_pay_too_fast")

    if event.device_id in blacklist_devices:
        score += 50
        reasons.append("black_device")

    if event.refund_rate_30d > 0.5:
        score += 20
        reasons.append("high_refund_rate")

    if score >= 70:
        return {"action": "block", "type": "account_takeover_or_carding", "reasons": reasons}
    elif score >= 40:
        return {"action": "challenge", "type": "suspicious", "reasons": reasons}
    else:
        return {"action": "pass", "type": "normal", "reasons": reasons}

三、案例与场景：三类高频欺诈的实战拆解

场景一：盗卡购买高价数码产品。攻击者使用盗取的卡号，在凌晨下单购买手机并选择次日达。识别信号包括：卡为首次使用、账单地址与收货地址跨省、IP为代理、下单金额接近该品类上限。处置策略是支付前拦截并要求持卡人短信验证，同时标记设备与收货地址。

场景二：薅羊毛批量注册。营销活动上线后，短时间内出现大量新账户领取新人券，收货地址集中在同一小区，设备指纹高度相似。识别信号包括：注册时间聚集、手机号段集中、行为路径完全一致。处置策略是限制领取、增加实名验证、对已发放优惠券进行回收或作废。

场景三：虚假交易洗钱。商户与“买家”串通，通过虚假订单把资金从多个账户归集到商户，再提现到指定账户。识别信号包括：订单无真实物流、买家高度重复、退款率极低但评价异常、资金快进快出。处置策略是延迟结算、限制提现、上报可疑交易。

很多团队把“薅羊毛”当成低危风险，但在实际项目中，薅羊毛往往是账户盗用和洗钱的入口。批量注册的账户后续可能被用于盗刷、虚假交易或资金归集，因此不能只做活动级拦截，而要纳入统一账户风险画像。

四、误区与复盘：分类中最容易犯的错

误区一：把所有欺诈都标成“黑样本”。这会导致模型学到的是“异常”而不是“欺诈”，把正常的高客单价用户、跨境用户也误伤。正确做法是按类型打标，至少区分盗卡、盗刷、恶意退款、薅羊毛四类。

误区二：只看单笔交易，不看账户生命周期。盗卡可能在支付时表现正常，但账户注册、登录、改绑、退款等环节早已暴露。需要把支付事件放回账户时间线中判断。

误区三：忽视洗钱的长期性。洗钱不会在单笔支付中明显异常，而是通过多账户、多笔、多日循环完成。需要建立资金网络图谱和周期性对账机制。

复盘清单：

每类欺诈是否有独立的标签体系和处置策略？
是否记录了主类型和次要类型，便于后续归因？
是否把账户、设备、卡、收货地址、资金链路关联起来？
是否对薅羊毛、虚假交易等“低危”类型做了长期监控？
是否定期用真实案件回测分类规则和模型？

建立清晰的欺诈类型认知，是后续特征工程、模型训练和策略运营的基础。只有先分清“敌人是谁”，才能决定“用什么武器、在什么时间、打哪里”。