3、欺诈类型全景：按渠道（线上/线下）、按场景（卡支付、账户支付、跨境支付）分类
支付欺诈并非单一形态，而是随支付渠道、支付场景和资金流向不断演变的复杂攻击面。理解欺诈类型的全景，是构建有效交易监测模型的前提。本章从两个核心维度展开：按渠道（线上/线下）区分欺诈的技术特征与作案手法，按场景（卡支付、账户支付、跨境支付）剖析欺诈的资金链路与风控难点。只有将渠道与场景交叉分析，才能精准定位监测规则的设计重点。
3.1 按渠道分类：线上欺诈与线下欺诈
3.1.1 核心原理：渠道决定欺诈暴露面
线上与线下支付在信息载体、验证手段、物理接触三个维度存在本质差异，这直接决定了欺诈手法的技术路径。线上支付（Card-Not-Present, CNP）中，欺诈者无需持有物理卡片，仅需获取卡号、有效期、CVV等敏感数据即可发起交易；而线下支付（Card-Present, CP）通常要求物理卡片或移动设备与POS终端交互，欺诈者必须获得或伪造实体介质。
| 维度 | 线上支付 | 线下支付 |
|---|---|---|
| 信息载体 | 卡数据/账户凭证/设备指纹 | 物理卡片/手机NFC/二维码 |
| 验证强度 | 依赖3DS、OTP、风控规则 | 芯片+PIN、生物识别 |
| 欺诈技术门槛 | 较低（数据泄露即可批量攻击） | 较高（需制卡设备或物理接触） |
| 典型攻击向量 | 撞库、钓鱼、恶意脚本、API滥用 | 侧录、伪卡、POS篡改、调包 |
| 监测数据可用性 | IP、设备、行为轨迹丰富 | 地理位置、终端ID、操作时序 |
3.1.2 判断方法：渠道特征识别与风险信号提取
交易监测系统首先需要判断一笔交易属于线上还是线下，再套用对应的规则集。判断依据包括：
- 交易入口标识：MCC（商户类别码）、POS入口代码、API调用来源、支付网关标识。
- 验证方式：是否经过3DS验证、是否输入CVV2、是否使用芯片+PIN。
- 环境数据：线上交易可获取IP、User-Agent、设备ID；线下交易可获取终端序列号、商户位置。
线上欺诈的核心风险信号包括：短时间内多卡尝试（卡测试攻击）、IP与账单地址不匹配、设备指纹异常（模拟器、Root/越狱）、交易频率突变。线下欺诈的核心风险信号包括：同一张卡在极短时间内出现在地理距离遥远的两个POS、伪卡使用的磁条数据与芯片数据不一致、非常规营业时间的交易。
3.1.3 案例拆解：线上卡测试攻击与线下伪卡盗刷
案例A：线上卡测试攻击（Card Testing）
背景与约束：某跨境电商平台在凌晨2点至4点间，监测到同一IP段发起大量小额交易（0.5-2美元），成功率极低但请求量巨大。平台风控团队仅有交易日志和基础设备指纹数据。
分析判断过程：初始现象是支付成功率从正常92%骤降至40%，且大量交易被发卡行拒绝（响应码05）。通过聚类分析发现，这些交易均来自同一C段IP（203.0.113.x），且User-Agent集中在两款老旧浏览器。进一步关联发现，这些卡号的前6位（BIN）分布异常分散，不符合正常用户行为。
实际操作步骤：① 临时封禁该IP段；② 对同一设备指纹在10分钟内的交易次数设置阈值（超过5次即触发验证码）；③ 对金额低于2美元且连续失败3次的交易直接拒绝；④ 将BIN分散度作为风险特征加入实时模型。
结果对比：实施后，该时段欺诈请求量下降97%，正常用户误伤率仅0.3%。复盘经验：卡测试攻击的核心特征是“低值高频+高失败率”，监测规则应聚焦于交易频次与失败率组合，而非单笔金额。
案例B：线下伪卡盗刷
背景与约束：某大型商超连锁在3天内接到12起客户投诉，称银行卡在身边但发生异地POS消费。商超POS系统与收单机构联机，但缺乏实时风控。
分析判断过程：调取交易日志发现，12笔交易均发生在同一台POS终端（终端号T10023），且交易时间集中在下午3-5点。进一步核查发现，该POS终端在案发前一周曾被报修，维修人员有接触终端内部的机会。
实际操作步骤：① 立即停用T10023终端；② 调取维修记录，确认侧录风险；③ 对过去30天内使用过该终端的银行卡进行风险排查；④ 向收单机构上报，申请对受影响卡片的交易监控升级。
结果对比：最终确认该POS被植入侧录模块，共影响47张卡，由于及时拦截，实际损失控制在3笔。复盘经验：线下欺诈的监测不能仅依赖交易数据，还需结合终端生命周期管理（安装、维修、报废）和物理安全审计。
3.1.4 常见误区与总结复盘
- 误区一：认为线上欺诈风险高于线下。实际上，线下伪卡造成的单笔损失通常更高，且涉及物理安全，监测难度更大。
- 误区二：仅关注交易金额。线上欺诈常以小额试探开始，线下欺诈则可能直接大额盗刷，需要分别设置金额阈值。
- 误区三：忽略渠道切换。欺诈者常先通过线上获取卡数据，再到线下伪卡消费，或反之。监测模型应具备跨渠道关联能力。
3.2 按场景分类：卡支付、账户支付、跨境支付
3.2.1 核心原理：场景决定资金链路与风控触点
卡支付、账户支付和跨境支付在资金流转路径、参与方数量、清算时效上存在显著差异，这决定了欺诈监测的着力点不同。
- 卡支付：资金从发卡行→收单行→商户，涉及卡组织（Visa/Mastercard/银联）清算。欺诈风险集中在卡数据泄露和伪卡制作。
- 账户支付：资金在支付机构内部账户间划转，或通过代扣协议从银行账户扣款。欺诈风险集中在账户盗用、恶意绑定、协议滥用。
- 跨境支付：涉及多币种转换、跨境清算、不同司法辖区。欺诈风险集中在汇率套利、虚假交易、国际卡组织拒付（Chargeback）滥用。
| 场景 | 资金链路 | 主要参与方 | 欺诈类型 | 监测关键数据 |
|---|---|---|---|---|
| 卡支付 | 消费者→商户→收单行→卡组织→发卡行 | 持卡人、商户、收单行、发卡行 | 伪卡、CNP盗刷、卡测试 | 卡BIN、CVV验证结果、3DS结果 |
| 账户支付 | 消费者账户→支付机构内部账户→商户账户 | 用户、支付平台、商户 | 盗号、撞库、恶意绑卡、代扣欺诈 | 登录IP、设备指纹、绑卡时间、协议签约记录 |
| 跨境支付 | 消费者→收单行→卡组织→境外收单行→境外商户 | 消费者、境内收单、卡组织、境外收单、境外商户 | 跨境伪卡、汇率套利、虚假跨境交易 | IP国家、卡BIN国家、币种、汇率波动、清算时间 |
3.2.2 判断方法：场景识别与针对性规则设计
卡支付场景的监测重点：
- 验证卡BIN是否属于高风险国家或地区。
- 比对CVV2验证结果与交易响应码。
- 分析3DS认证结果——未通过3DS的高金额交易应提高风险评分。
- 监控卡测试模式：同一IP/设备在短时间内尝试多张卡。
账户支付场景的监测重点：
- 登录行为异常：新设备首次登录、异地登录、频繁更换绑定手机。
- 绑卡行为异常：短时间内绑定多张卡、绑定后立即发起交易。
- 代扣协议风险：用户主动解约后短时间内重新签约，或签约后立即大额扣款。
跨境支付场景的监测重点：
- IP国家与卡BIN国家不一致，且无合理解释（如旅游、留学）。
- 交易金额与币种不匹配，或频繁使用小众币种。
- 汇率波动异常时出现高频换汇交易。
- 清算时间异常：正常跨境清算需1-3个工作日，若出现秒级到账需警惕。
3.2.3 案例拆解：跨境支付中的汇率套利与虚假交易
背景与约束：某跨境支付平台支持美元、欧元、日元等12种货币结算。风控团队发现某商户的月交易量突然增长300%，且交易集中在美元兑日元汇率波动剧烈的时段。
初始现象与目标：商户声称是正常跨境电商业务，但交易平均金额为199.99美元，且大量订单的收货地址集中在同一海外仓。目标：判断是否存在汇率套利或虚假交易。
关键输入数据：交易时间戳、汇率快照、IP归属地、设备指纹、历史交易频率、退款率。
分析判断过程：① 提取该商户近90天交易数据，发现交易时间与日元兑美元汇率波动峰值高度相关（相关系数0.87）；② 同一设备指纹关联到3个不同商户号；③ 退款率从正常2%飙升至18%，且退款均发生在汇率反向波动后。
实际操作步骤：① 冻结该商户的结算账户；② 调取设备指纹库，确认多商户共用同一设备；③ 对退款订单进行人工审核，发现大量“买家”为同一批测试账号；④ 向卡组织发起拒付调查。
结果对比：确认该商户利用汇率波动进行套利，通过虚假交易赚取汇率差，共涉及金额约120万美元。平台追回损失并终止合作。复盘经验：跨境支付监测必须引入汇率因子和商户关联分析，单一维度的交易量监控无法识别此类复杂欺诈。
3.2.4 常见误区与总结复盘
- 误区一：将卡支付与账户支付混用同一套规则。卡支付的核心是卡数据验证，账户支付的核心是身份与行为验证，两者数据源不同，规则应独立设计。
- 误区二：忽视跨境支付中的本地支付方式。部分国家使用本地清算网络（如巴西的Boleto、印度的UPI），这些通道的欺诈模式与国际卡组织不同，需要单独建模。
- 误区三：仅关注欺诈交易本身，忽略资金归集行为。欺诈者通常会将多笔小额欺诈资金归集到一个账户，监测模型应识别“多对一”的资金汇聚模式。