2、欺诈图谱基础：图谱数据结构与常见欺诈模式
欺诈图谱（Fraud Graph）是反欺诈系统的核心数据底座。它将用户、设备、账户、交易、IP 地址等实体抽象为节点，将彼此之间的行为关系抽象为边，并通过属性描述实体与关系的特征。本章从图谱数据结构出发，逐步拆解团伙欺诈、环状交易、资金池三类典型欺诈模式，为后续阈值自动巡检提供图论基础。
2.1 图谱数据结构
欺诈图谱采用属性图模型（Property Graph Model），由节点、边、属性三要素构成。下表对比了三者在反欺诈场景下的含义与示例：
| 要素 | 定义 | 反欺诈示例 |
|---|---|---|
| 节点（Vertex） | 表示实体对象，每个节点有唯一 ID 和类型标签 | 用户节点（user）、设备节点（device）、银行卡节点（card） |
| 边（Edge） | 表示节点之间的有向或无向关系，可携带方向与权重 | “登录”（user → device）、“转账”（account → account） |
| 属性（Property） | 节点或边的键值对，用于存储特征信息 | 节点属性：注册时间、设备型号；边属性：转账金额、时间戳 |
实践要点：在构建图谱时，建议为每个节点和边至少保留
create_time 和 source 两个通用属性，便于后续时间窗口切片与数据溯源。
以下 SVG 展示了一个简化的欺诈图谱结构，包含用户、设备、银行卡三类节点以及登录、绑定、转账三类关系：
2.2 常见欺诈模式
基于图谱结构，欺诈行为会呈现出特定的拓扑模式。识别这些模式是阈值自动巡检的前提。以下重点介绍三种高频模式：
2.2.1 团伙欺诈（Clique / Dense Subgraph）
团伙欺诈表现为多个节点之间形成高密度连接，通常由同一黑产团伙控制的多个账户、设备相互关联。典型特征包括：
- 高连通性：团伙内部节点间边数远高于正常群体。
- 共享资源：多个账户共用同一设备、IP 或银行卡。
- 行为同步：注册、登录、交易时间高度集中。
巡检关注点：团伙检测常用社区发现算法（如 Louvain、Label Propagation）。阈值巡检应关注子图密度（edges / nodes）和共享设备数两个指标，当密度超过 0.7 或单设备关联账户数 > 5 时触发告警。
2.2.2 环状交易（Cycle Transaction）
环状交易指资金在多个账户之间形成闭合回路，目的是洗钱、刷单或制造虚假流水。图谱中表现为有向环结构。关键特征：
- 闭环路径：从账户 A 出发，经过若干跳转后回到 A。
- 金额接近：环内各笔转账金额往往相近或呈倍数关系。
- 时间紧凑：环内交易通常在数分钟至数小时内完成。
以下 SVG 展示了一个典型的 4 节点环状交易结构：
2.2.3 资金池（Money Pool / Star Graph）
资金池模式表现为多个账户向一个中心账户集中转账，或由一个中心账户分散转出到多个账户。图谱中呈现星型结构。常见于非法集资、二清结算、羊毛党变现等场景。核心特征：
- 中心节点出入度失衡：中心账户入度或出度远高于正常水平。
- 金额汇聚/分发：多笔小额转入后大额转出，或大额转入后分散到多个账户。
- 时间窗口集中：汇聚或分发行为通常在短时间内完成。
阈值巡检陷阱：资金池模式中，中心节点的交易频次和金额可能处于“正常业务范围”内，但结合图谱结构（如一度邻居数 > 20）即可识别。建议将节点出入度比值和邻居节点多样性作为联合阈值。
2.3 三种模式对比总结
| 模式 | 图谱拓扑 | 典型指标 | 巡检阈值示例 |
|---|---|---|---|
| 团伙欺诈 | 高密度子图 | 子图密度、共享设备数 | 密度 > 0.7 或单设备关联账户 > 5 |
| 环状交易 | 有向环 | 环长度、环内金额方差 | 环长 ≥ 3 且金额方差 < 0.1 |
| 资金池 | 星型结构 | 中心节点出入度、邻居数 | 入度/出度 > 10 且一度邻居 > 20 |