4. 团伙识别业务理解：团伙欺诈的定义、典型行为模式、图构建的业务逻辑

4.1 团伙欺诈的定义与业务边界

团伙欺诈（Collusion Fraud / Organized Fraud）是指多个实体（账户、设备、IP、手机号等）通过有组织的协作，利用系统规则漏洞或业务逻辑缺陷，共同实施欺诈行为以获取非法利益。与单人欺诈相比，团伙欺诈具有更强的隐蔽性、更高的对抗能力和更大的损失规模。

4.2 典型团伙欺诈行为模式

在金融、电商、社交等业务场景中，团伙欺诈的行为模式通常可归纳为以下五类：

1. 设备农场模式： 使用少量设备（或模拟器）批量注册/登录大量账户，设备指纹高度集中，账户间无正常社交关系。
2. 养号团伙模式： 先通过模拟正常行为（点赞、关注、小额交易）提升账户信用分，再集中实施欺诈。账户间存在规律性的互助行为。
3. 刷单炒信模式： 商家与刷手团伙协作，通过虚假交易提升商品排名。表现为买家与卖家之间形成星型或环型交易网络。
4. 骗贷团伙模式： 团伙成员互相提供虚假资料、循环担保、多头借贷。资金最终流向少数核心账户。
5. 羊毛党模式： 利用批量注册的账户，集中领取新用户优惠券、红包、返现。IP、设备、收货地址高度重合。

4.3 图构建的业务逻辑

将团伙欺诈问题转化为图学习问题，核心在于 “实体定义” 和 “边定义”。实体是图中的节点，边是节点之间的业务关联。合理的图结构应能反映团伙欺诈的传播路径和聚集特性。

4.3.1 实体（节点）定义

4.3.2 边（关系）定义

边的构建需基于业务日志中的共现关系。常见的边类型包括：

• 登录关系边： 同一设备登录多个账户 → 设备-账户边。
• 交易关系边： 账户 A 向账户 B 转账 → 账户-账户边（有向）。
• 共享关系边： 多个账户使用同一收货地址 → 账户-地址边。
• 社交关系边： 账户间的关注、点赞、评论 → 账户-账户边（无向）。
• 资金关系边： 同一银行卡绑定多个账户 → 银行卡-账户边。

4.4 图构建的业务逻辑要点总结

• 多实体异构： 团伙识别图通常为异构图，包含多种节点类型和边类型。GraphSAGE 支持对异构图的采样和聚合。
• 时间窗口约束： 边的构建需考虑时间窗口（如 7 天内、30 天内），避免引入过期的关联关系。
• 业务规则过滤： 在构建图之前，先用业务规则过滤掉明显正常的共现关系（如公司 IP、家庭 WiFi），减少图规模并提升信噪比。
• 标签定义： 团伙标签通常来源于历史已确认的欺诈案件、人工标注或规则引擎的高置信度输出。标签需覆盖正负样本，且注意团伙标签的传播性（一个节点被标记为欺诈，其强关联节点也应被标记）。