加速度增強的信用卡詐欺
加速度增強的信用卡詐欺
早期預警規則
早期預警規則
陶幼慧
陶幼慧
國立高雄大學資管系
國立高雄大學資管系
[email protected]
[email protected]
亞太工商管理研究所：資訊管理個案
亞太工商管理研究所：資訊管理個案
大綱
大綱
網路行銷簡介
網路行銷簡介
網路廣告
網路廣告
網路行銷
緒論
緒論
-
-
信用卡詐欺
信用卡詐欺
信用卡詐欺嚴重，銀行抑制因詐欺而導致
信用卡詐欺嚴重，銀行抑制因詐欺而導致
的
的
獲利率降低
獲利率降低
詐欺基本上分為兩大類
詐欺基本上分為兩大類
[1]
[1]
：
：
信用卡
信用卡
遺失或被竊
遺失或被竊
或僅
或僅
卡號
卡號
被偷而被盜用
被偷而被盜用
緒論
緒論
-
-
發卡銀行的處理方式
發卡銀行的處理方式
傳統的詐欺調查主要在處理
傳統的詐欺調查主要在處理
被舉發可疑的案子
被舉發可疑的案子
然而隨著
然而隨著
資料倉儲
資料倉儲
與
與
資料探勘
資料探勘
技術的成熟
技術的成熟
詐欺行為的偵調逐漸的進入應用於資訊科技的
詐欺行為的偵調逐漸的進入應用於資訊科技的
早期預
早期預
警
警
(early warning)
(early warning)
的層次
的層次
以
以
分析客戶的資料
分析客戶的資料
來發掘可疑的
來發掘可疑的
詐欺模式
詐欺模式
(fraud
(fraud
patterns)
patterns)
，詐欺調查處在
，詐欺調查處在
主動調查
主動調查
的地位，可將詐
的地位，可將詐
欺偵破時間推前，愈早發現愈可
欺偵破時間推前，愈早發現愈可
降低剩餘信用額度
降低剩餘信用額度
(available credit limit)
緒論
緒論
-
-
詐欺偵測系統
詐欺偵測系統
現今發卡銀行的
現今發卡銀行的
詐欺偵測系統
詐欺偵測系統
往往整合不同的技術
往往整合不同的技術
[1]
[1]
，且多以具自我學習能力的
，且多以具自我學習能力的
類神經網路
類神經網路
(neural-networks)
(neural-networks)
為主
為主
[1-4]
[1-4]
，成功的商業軟
，成功的商業軟
體的例子有
體的例子有
PRISM
PRISM
[8]
[8]
、
、
Falcon[9]
Falcon[9]
及
及
Darwin[10]
Darwin[10]
。
。
一般的發卡銀行亦會自行輔以簡單的
一般的發卡銀行亦會自行輔以簡單的
專家系統
專家系統
來
來
補強
補強
詐欺偵測模式的
詐欺偵測模式的
完整與即時性
完整與即時性
，例如
，例如
萬恩銀行
萬恩銀行
(Bank
(Bank
One)
One)
信用卡以自行開發以規則為基礎的
信用卡以自行開發以規則為基礎的
(rule-
(rule-based)
緒論
緒論
-
-
詐欺偵測資料來源
詐欺偵測資料來源
早期的詐欺偵測軟體由於資料取得不易的
早期的詐欺偵測軟體由於資料取得不易的
困難，所以偵測所用的資料往往僅
困難，所以偵測所用的資料往往僅
以前一
以前一
日的銷售終端機
日的銷售終端機
(Point of
(Point of
Sale
Sale
，
，
POS)
POS)
交易資料為主
交易資料為主
。
。
而最近因
而最近因
資料倉儲
資料倉儲
環境的成熟，很多發卡
環境的成熟，很多發卡
銀行也逐漸擁有
目的
目的
提出一個
提出一個
加速度
加速度
(acceleration)
(acceleration)
觀點的
觀點的
規則
規則
增強模式
增強模式
，利用
，利用
歷史資料來加強
歷史資料來加強
早期僅
早期僅
使用前一日資料的
使用前一日資料的
rule-based
rule-based
詐欺偵測的
詐欺偵測的
成效
成效
[5]
[5]
。
。
並以一
並以一
發卡銀行實際的執行結果
發卡銀行實際的執行結果
來說明以加
來說明以加
速度增強的
速度增強的
終端跟蹤系統
終端跟蹤系統
(POS-track
(POS-track
system)
system)
與傳統的以前一日資料的
與傳統的以前一日資料的
終端警告
終端警告
(POS-alarm system)
(POS-alarm system)
系統
系統
的績效
的績效
比較
比較
。
。
章節的編排
章節的編排
第二節介紹詐欺偵測系統的
第二節介紹詐欺偵測系統的
一般作業方式
一般作業方式
第三節定義並
第三節定義並
比較
比較
POS-alarm
POS-alarm
與加速度增強的
與加速度增強的
POS-track
POS-track
的規則
的規則
第四節以一實際的
第四節以一實際的
個案兩年下來實施
個案兩年下來實施
POS-alarm
POS-alarm
與
與
POS-track
POS-track
系統的
系統的
成效
成效
作說明
作說明
第五節則就詐欺偵測
第五節則就詐欺偵測
作業流程的改善建議
作業流程的改善建議
作討論
作討論
以第六節作簡短的
以第六節作簡短的
結論與建議
結論與建議
詐欺偵測系統與作業
詐欺偵測系統與作業
以發覺比對交易資料的
以發覺比對交易資料的
詐欺型態
詐欺型態
(pattern)
(pattern)
為最有效
為最有效
信用卡交易資料
信用卡交易資料
信用卡刷終端機所產生的
信用卡刷終端機所產生的
授權
授權
(authorization)
(authorization)
資料
資料
簽名於收據帳單的
簽名於收據帳單的
簽單
簽單
(draft)
(draft)
資料
資料
簽單
簽單
大多則於
大多則於
數日後
數日後
才會寄到發卡銀行
才會寄到發卡銀行
輸入資料庫中
輸入資料庫中
，
，
授權
授權
資料比較有
資料比較有
即時性
即時性
同時適用於授權資料與簽單資料，一個詐欺個案經由
同時適用於授權資料與簽單資料，一個詐欺個案經由
授權資
授權資
料
料
偵破會
偵破會
比透過簽單資料
比透過簽單資料
偵破的
偵破的
損失減少很多
損失減少很多
很多
很多
行業
行業
(
(
如郵購或網路購物
如郵購或網路購物
)
)
或商家
或商家
並不刷卡而直接簽
並不刷卡而直接簽
單
單
，所以授權與簽單資料
，所以授權與簽單資料
同時使用才具有雙重保障
同時使用才具有雙重保障
詐欺偵測系統與作業
詐欺偵測系統與作業
(
(
續
續
)
)
規則產生 規則產生 [5][5] 已結案的已結案的詐欺個案詐欺個案中所分析歸納出中所分析歸納出 有些則是從詐欺偵查或早期預警有些則是從詐欺偵查或早期預警專員的經驗專員的經驗產生的產生的 規則中的 規則中的判斷事件判斷事件又分兩種：發生之又分兩種：發生之次數次數與與金額金額 詐欺早期預警系統則將 詐欺早期預警系統則將每個帳號的所有紀錄每個帳號的所有紀錄讀入並嘗試去讀入並嘗試去對照所有的對照所有的 判斷事件的真假 判斷事件的真假，然後檢查那些規則可被列舉，然後檢查那些規則可被列舉 (referred)(referred) 可疑，可疑， 被列舉的帳號會連同該規則的資料送到待處理的佇列 被列舉的帳號會連同該規則的資料送到待處理的佇列 (queue)(queue) 中。中。 規則中判斷事件的 規則中判斷事件的臨界值臨界值 (threshold)(threshold) 選定會影響規則本身應用的選定會影響規則本身應用的 效力 效力 一般而言，可取自一般而言，可取自專家的經驗或歷史資料專家的經驗或歷史資料的分析結果的分析結果 相關的相關的模糊理論模糊理論 (Fuzzy Theory)(Fuzzy Theory) 技術即多半採技術即多半採專家的經驗專家的經驗來來
設定其臨界值，而
設定其臨界值，而類神經網路類神經網路則多半透過則多半透過歷史資料歷史資料自我學習並動自我學習並動 態的調整其臨界值
詐欺偵測系統與作業
詐欺偵測系統與作業
(
(
續
續
)
)
信用卡公司因為經由詐欺偵測系統產生的可疑個案數量
信用卡公司因為經由詐欺偵測系統產生的可疑個案數量
很大，會成立一個
很大，會成立一個
詐欺早期預警處理
詐欺早期預警處理
單位來篩選佇列中
單位來篩選佇列中
的案子
的案子
如果
如果
可疑度高
可疑度高
的話，就會
的話，就會
打電話
打電話
至持卡人家
至持卡人家
查證
查證
，一旦
，一旦
查證屬實，詐欺早期預警專員則會停止該卡的使用權並
查證屬實，詐欺早期預警專員則會停止該卡的使用權並
將案子
將案子
轉往詐欺偵查單位
轉往詐欺偵查單位
做後續的處理
做後續的處理
評估成效有兩種：
評估成效有兩種：
命中率命中率 (hit rate)(hit rate) 是個案確認是個案確認詐欺的命中比例詐欺的命中比例
節省的損失避免節省的損失避免 (loss avoidance)(loss avoidance) 則以則以剩餘信用額度的金剩餘信用額度的金
額
加速度增強的詐欺偵測規則
加速度增強的詐欺偵測規則
假設一個
假設一個
POS-alarm
POS-alarm
的規則如下：
的規則如下：
If
If
(
(
自動提款機
自動提款機
(ATM)
(ATM)
預借現金的授權次數
預借現金的授權次數
大於
大於
1 #/hr
1 #/hr
and
and
ATM
ATM
預借現金的總金額大於
預借現金的總金額大於
200$/hr
200$/hr
)
)
or
or
(
(
ATM
ATM
預借現金的總金額大於
預借現金的總金額大於
299 $/hr
299 $/hr
)
)
then
then
將該帳號列為可疑待查
將該帳號列為可疑待查
If
If
(
(
Rb#/R > N
Rb#/R > N
and
and
Rb$/R > D1
Rb$/R > D1
)
)
or
or
(Rb$/R > D2)
(Rb$/R > D2)
then
then
列舉可疑，其中
列舉可疑，其中
b =
b =
ATM
ATM
預借現金，
預借現金，
N = 1 #/hr
N = 1 #/hr
，
，
D1=200 $/hr
D1=200 $/hr
，
，
D2=299 $/hr ----
D2=299 $/hr ----
(1)
(1)
加速度增強的詐欺偵測規則
加速度增強的詐欺偵測規則
(
(
續
續
)
)
Rb#
Rb#
=
=
最近
最近
R
R
區間
區間
內某項
內某項
消費行為
消費行為
b
b
的
的
次數
次數
#
#
Rb$ =
Rb$ =
最近
最近
R
R
區間內某項
區間內某項
消費行為
消費行為
b
b
的
的
金額
金額
$
$
Pb# =
Pb# =
歷史
歷史
P
P
區間
區間
內某項消費行為
內某項消費行為
b
b
的次數
的次數
#
#
Pb$ =
Pb$ =
歷史
歷史
P
P
區間內某項消費行為
區間內某項消費行為
b
b
的金額
的金額
$
$
R =
R =
最近
最近
R
R
區間
區間
內
內
最早與最晚
最早與最晚
消費的交易
消費的交易
時間差距
時間差距
P =
P =
歷史
歷史
P
P
區間
區間
內
內
最早與最晚
最早與最晚
消費的交易
消費的交易
時間差距
時間差距
加速度增強的詐欺偵測規則
加速度增強的詐欺偵測規則
(
(
續
續
)
)
調查員訪談及實際資料檢視
調查員訪談及實際資料檢視
歷史資料
歷史資料
中的
中的
相同的消費模
相同的消費模
式
式
可用來
可用來
提高
提高
以
以
前一日
前一日
資料檢驗出可疑待查的
資料檢驗出可疑待查的
命中率
命中率
可用
可用
歷史資料過濾
歷史資料過濾
掉一些
掉一些
經常性或間歇性高消費
經常性或間歇性高消費
的帳號減
的帳號減
低因
低因
誤判
誤判
而造成的效率問題。
而造成的效率問題。
所以
所以
POS-track
POS-track
規則
規則
是利用
是利用
POS-alarm
POS-alarm
中的速度資料
中的速度資料
與
加速度增強的詐欺偵測規則
加速度增強的詐欺偵測規則
(
(
續
續
)
)
式
式
(1)
(1)
加入
加入
歷史資料
歷史資料
後以
後以
加速度
加速度
表示如下：
表示如下：
If
If
((Rb#/R)/
((Rb#/R)/
Max( Pb#/P)
Max( Pb#/P)
> N
> N
and
and
(Rb$/R)/
(Rb$/R)/
Max(Pb$/P)
Max(Pb$/P)
> D1)
> D1)
or
or
(Rb$/R)/
(Rb$/R)/
Max(Pb$/P)
Max(Pb$/P)
> D2)
> D2)
then
then
舉發可疑
表一
表一
POS-alarm
POS-alarm
與
與
POS-track
POS-track
系統的案
系統的案
例比較
加速度增強的詐欺偵測規則
加速度增強的詐欺偵測規則
(
(
續
續
)
)
前一日
前一日
的消費行為與
的消費行為與
過去一年
過去一年
的消費行為中
的消費行為中
最大值
最大值
來做一比較，如果
來做一比較，如果
比值
比值
超過某一
超過某一
臨界值
臨界值
則列舉可疑
則列舉可疑
待查
待查
原因是為了
原因是為了
消弭季節性的因素
消弭季節性的因素
且又不想與太老久以
且又不想與太老久以
前的歷史資料相比
前的歷史資料相比
有些
有些
季節
季節
則需用
則需用
較鬆的臨界值來決定列舉可疑的行
較鬆的臨界值
來決定列舉可疑的行
為；例如從
為；例如從
感恩節到聖誕節到新年期間
感恩節到聖誕節到新年期間
，通常消費
，通常消費
者的行為變化很大，如果用正常的臨界值則會造成
者的行為變化很大，如果用正常的臨界值則會造成
命中率的降低，適當的調整臨界值則可維持加速度
命中率的降低，適當的調整臨界值則可維持加速度
增強的的成效
增強的的成效
加速度增強的詐欺偵測規則
加速度增強的詐欺偵測規則
(
(
續
續
)
)
規則的臨界值亦因採購
規則的臨界值亦因採購
商品的種類
商品的種類
不同而有較大
不同而有較大
的變異，例如到
的變異，例如到
百貨公司消費
百貨公司消費
，很容易就比去
，很容易就比去
吃
吃
飯或看電影
飯或看電影
的單位時間交易筆數高。
的單位時間交易筆數高。
一個解決的方式是
一個解決的方式是
依商品的大類再細分不同的臨
依商品的大類再細分不同的臨
界值
界值
，也就是一條規則可延伸出
，也就是一條規則可延伸出
許多子規則
許多子規則
，這
，這
在系統程式的處理是很容易達成的
在系統程式的處理是很容易達成的
臨界值的
臨界值的
儲存空間
儲存空間
會因此彈性處理規則的需求，
會因此彈性處理規則的需求，
而以
而以
倍數的成長
倍數的成長
，因此規則的臨界值數目與其儲
，因此規則的臨界值數目與其儲
存空間的需求，是需要
存空間的需求，是需要
時間與經驗去調整
時間與經驗去調整
的
的
個案的實際成效
個案的實際成效
個案對象是美國萬恩銀行
個案對象是美國萬恩銀行
(Bank One)
(Bank One)
信用卡子
信用卡子
公司
公司
1994
1994
至
至
1997
1997
年中的詐欺偵測
年中的詐欺偵測
技術的演進
技術的演進
萬恩銀行信用卡於
萬恩銀行信用卡於
1994
1994
年的刷卡總金額排行
年的刷卡總金額排行
全美
全美
7
7
至
至
9
9
名
名
1997
1997
年中併購
年中併購
First USA
First USA
後排名升至
後排名升至
第
第
3
3
1998
1998
併購
併購
First Chicago NDB
First Chicago NDB
銀行後，排名升至
銀行後，排名升至
第
第
1
1
萬恩銀行在
萬恩銀行在
1990
1990
年初遭受到詐欺
年初遭受到詐欺
數量劇增的呆帳
數量劇增的呆帳
影響，不僅
影響，不僅
損失超越全美銀行的平均
損失超越全美銀行的平均
而且嚴重影響
而且嚴重影響
公司
公司
獲利率
獲利率
個案的實際成效
個案的實際成效
(
(
續
續
)
)
1993
1993
年底起找專才於引進
年底起找專才於引進
PRISM
PRISM
類神經網路
類神經網路
系統
系統
同時規劃一套以
同時規劃一套以
rule-based
rule-based
的專家系統
的專家系統
來早期預警可疑
來早期預警可疑
詐欺的帳號，希望藉由主動地調查可疑的詐欺的行動
詐欺的帳號，希望藉由主動地調查可疑的詐欺的行動
嚇阻
嚇阻
詐欺
詐欺
者並
者並
減少詐欺的損失
減少詐欺的損失
該專家系統是
該專家系統是
兩位資訊人員兩位資訊人員在在 SUN Sparc2000 ServerSUN Sparc2000 Server 以以 UNIX/CUNIX/C 環境中開環境中開
發的
發的
草創之初由歷史資料中找出了草創之初由歷史資料中找出了 1212 個規則個規則 (( 規則的產生可參閱規則的產生可參閱[5])[5]) 期初的期初的硬體投資約硬體投資約6060 萬美元萬美元
