Motores antifraude: señales, puntuación, reglas

1) Tarea antifraude y KPI clave

El objetivo es minimizar las pérdidas de Frod con el aprove máximo de los jugadores de buena fe y el retraso bajo de la decisión. Métricas de nivel superior:

Fraud rate (por depósitos/ganancias/charjbacks), Chargeback rate, Bonus abuse rate.
Approval rate/FPR (tasa positiva falsa), Precision/Recall, AUC/PR-AUC para modelos.
Latency solutions (p95/p99, presupuesto objetivo en tiempo real: 50-150 ms), Costs savings vs baseline.
Nota de revisión manual y análisis de casos SLA.

2) Arquitectura en tiempo real

Transportador tipo:

1. Recolección de eventos: depósito, retiro, registro, inicio de sesión, puja, cambio de datos, creación de tickets, uso de códigos promocionales.

2. Enriquecimiento: KYC/AML estados, feedback conductual, geo/device, grafo-comunicaciones, riesgo de perfil de proveedor de pago.

3. Tiempo real: bus de eventos (Kafka/PubSub), feature store con ventanas de 5 min/1 hora/24 horas, servicio de puntuación (modelo en línea + reglas).

4. Acciones: allow/deny/challenge (3DS/SCA, KYC), límite, bloque promocional, verificación manual.

5. Fidbeck-loop: charjbacks, casos confirmados, apelaciones → marcaje → readiestramiento.

6. Monitoreo: dashboards y alertas por métricas, deriva de datos, ventanas «silenciosas» y ráfagas.

3) Señales (características) de primer orden

Identificación y entorno:

Dispositivo fingerprint (WebGL/Canvas, estabilidad de usuario-agente, fuentes), reputación IP (VPN/hosting), ASN, proxy.
Comportamiento geo: rassinchron ip-geo vs BIN/dirección de pago, cambio de país/zona horaria.
Biometría conductual: ritmo de clics/scroll, velocidad y «temblor» del ratón, ritmo de impresión, mobile-gyro.
Patrones de bot: navegadores sin cabeza, temporizaciones anormalmente estables, repeticiones de scripts.

Finanzas y pagos:

Fichas BIN, emisor, país de riesgo, estado 3DS, devoluciones con tarjeta.
Velocity-fichi: n depósitos por 10 min/1 hora, cantidad por ventana, intentos de pago con diferentes tarjetas/carteras.
Banderas Crypto-Red: depósitos de mezcladores/intercambios de alto riesgo, enlace gráfico «roto» UTXO.

Cuenta y Soc-Conde:

Correo-proveedor/antigüedad del dominio, monofamiliares/direcciones idénticas, coincidencias de teléfonos/tarjetas/dispositivos.
Multi-account/Cluster detection: dispositivos/IP compartidos, patrones de registro y de inicio de sesión repetidos.
Promoción Abews: un aumento de registros en una dirección/subred, bonos cash-out rápidos, ciclos de «depósito-tasa mínima-retiro».

Comportamiento del juego:

Session velocity (tiempo antes de la primera apuesta, intervalo medio entre apuestas), apuestas sin variabilidad, juego sólo bonos, detener la actividad inmediatamente después de wagering.

4) Modelos de puntuación: de regresión logística a grafo-ML

Los enfoques se combinan:

Boosting degradado/regresión logística para modelos interpretables y rápidos en venta.
Modelos de secuencia (GBDT en unidades con ventanas de tiempo, LightGBM/CatBoost; menos comúnmente - LSTM/Transformer en eventos).
Modelos de grafo (Node2Vec/GraphSAGE) para identificar clústeres multiaccount.
Conjuntos y Riesgo-Score: Racionamos Skor 0.. 100. El umbral A es auto-allow, B es desafío/KYC, C es deny.

Ejemplo de puntuación simple (pseudocódigo):


risk = 0 if ip_is_hosting: risk += 25 if device_reused_over_5_accounts_24h: risk += 30 if deposit_velocity_1h > 3: risk += 20 if email_domain_new or temp: risk += 10 if chargeback_history: risk += 40 score = min(100, risk)
decision = "ALLOW" if score < 30 else "CHALLENGE" if score < 60 else "DENY"

5) Reglas: por qué son, si hay ML

Se necesitan reglas para:

Reacciones rápidas a los nuevos circuitos (patrón de día cero).
Casos legalmente transparentes (audit/justificación).
Políticas sutiles (exenciones regionales, niveles VIP, especificidades del proveedor).

Reglas modelo:

Velocity: `count(deposits, 10m) ≥ 3` и `distinct_cards_24h ≥ 2` → CHALLENGE.
Geo-mismatch: BIN_country ≠ IP_country и нет 3DS → DENY.
Device reuse: 'device _ hash' se reunió en ≥ cuentas N en 72 h → BAN/REVIEW.
Promo: nueva cuenta + bonificación + apuesta en mínimo + intento de retiro instantáneo → HOLD + verificación.
Crypto: UTXO entrantes de clústeres de alto riesgo → HOLD a KUS/fuente de fondos.

Administración de reglas: árbol de decisiones/tabla de soluciones (Decision Table), prioridades, conflictos, «shadow-mode» antes de habilitar. Logs: qué rama funcionó, qué fichas son decisivas.

6) Equilibrio entre riesgo y conversión

Risk-based authentication: SCA/3DS/доп. KYC - sólo en los rangos de escoltas fronterizas.

Whitelist/graylist/blacklist a nivel BIN, proveedores, socios, VIP.

A/En pruebas de políticas: comparación de umbrales, costo de error vs ingresos, retención.

Explainability: SHAP/feature importance en venta para apelaciones y entrenamiento de sapport.

7) Análisis gráfico y multiaccount

Nodos: cuentas, dispositivos, tarjetas, teléfonos, IP. Rybra: «usado», «conectado».

Métricas: triads/clics, componentes de conectividad, centralidad.

Reglas en el gráfico: si en el componente> k nuevas cuentas en 24 horas con el mismo dispositivo fingerprint → bloque promocional, límites de salida, comprobación manual de los nodos clave.

8) Pro Promo Frod/Bonus Abuse

Señales:

Registros seriales con el mismo tipo de direcciones, correos desechables.
Ejecución rápida del mínimo wagering e intento de salida «a cero».
Coordinación a través de los mismos dispositivos/IP/referencias.
Mitigar: límites a los bonos de device y datos de pago, KYC en la primera retirada, condiciones personalizadas de wagering, velocity-cap en la promoción.

9) Procesos y gestión de casos

Queueing & Prioritization: priorizar los casos según la cantidad de riesgo/pérdida.

Playbooks para analistas: listas de verificación, qué pruebas recopilar (capturas de pantalla de transacciones, extractos, explicaciones).

SLA: solución automática ≤ 150 ms, casos manuales p95 ≤ 24 h; escalada de alto valor ≤ 2 h.

Apelaciones: seguimiento de la sentencia, jerarquía de revisión, retrospectiva de flag's erróneos.

10) Datos y calidad

Feature store: ventanas en línea (5 min, 1 h, 24 h) + unidades offline.

Data quality: completeness, freshness, drift. Alerty, cuando la proporción null/fallback crece.

Versioning: diagramas de eventos, versiones de modelos y un conjunto de reglas, «replay» en historias.

11) Monitoreo de modelos y deriva

Drift/concept drift: pruebas PSI/KS, control de estacionalidad (noches/fines de semana/lanzamientos promocionales).

Monitoreo en línea: calibración de puntuación (Brier score), estabilidad de los umbrales.

Shadow/Champion-Challenger: llevar nuevos modelos a la sombra, comparación por atajos fuera de línea/charjbacks posteriores.

12) Cumplimiento y requisitos de los reguladores

KYC/AML: listas de sanciones, PEP, fuentes de fondos; umbrales de verificación manual.

GDPR/datos: minimización, limitación de la pureza, explainability soluciones.

PCI DSS (tarjetas), SCA/PSD2 (UE), requisitos MGA/UKGC/Curacao, etc.

Auditoría: registros inmutables de soluciones que cambian la regla o el modelo.

13) Perfiles de riesgo y acciones

Ejemplo de política de acción:

Score <30 → ALLOW, sin fricción.
30-59 → DESAFÍO: SCA/3DS, selectivo KYC (selfie + dock), límite de cantidad/velocidad.
60-79 → HOLD: congelación de retirada, solicitud de fuente de fondos, revisión manual.
≥ 80 → DENY/BAN: bloque de promociones/conclusiones, cierre de cuenta cuando se confirme.

14) Rendimiento y fiabilidad

Latency budget: fiches ligeros en línea, pesados en caches/ventanas de lectura.

Fail-safe: degradación a las reglas básicas cuando falla el modelo/fih sator; timeouts y circuit breaker.

HA: múltiples instancias de servicio de puntuación, estateless, blue-green deploy, lanzamientos canarios.

Ratios-límites a acciones críticas (registro, cambio de datos, conclusiones).

15) Ejemplo de evento y respuesta del motor

Entrada (abreviada):

json
{
"event": "withdraw_request",  "user_id": "u_92871",  "amount": 1200. 00,  "currency": "EUR",  "ip": "185. 12. 34. 56",  "device_hash": "d:1a2b3c",  "bin_country": "GB",  "ip_country": "DE",  "kyc_status": "BASIC",  "velocity_withdraw_24h": 3,  "bonus_active": true,  "wagering_progress": 22
}

Respuesta antifraude:

json
{
"decision": "HOLD",  "score": 68,  "reasons": ["Geo_mismatch", "Withdraw_velocity_high", "Active_bonus_low_wagering"],  "actions": ["Request_KYC_Level2", "Freeze_withdrawal_48h", "Notify_analyst_queue_high"]
}

16) Aplicación: plan por etapas

1. Descubrimiento: inventario de eventos, fuentes, SLA.

2. MVP: reglas básicas + modelo simple, latency ≤ 150 ms.

3. Graph-capa: agrupamiento multiaccount, sanciones promo.

4. Biometría conductual: reducción de bots/scripts.

5. Optimización de la conversión: autenticación basada en riesgos, umbrales.

6. Operación: gestión de casos, alertas, informes para el regulador.

7. Mejora continua: shadow-lanzamientos, retrain cada N semanas, post-mortem.

17) Lista de medidas prácticas

Una única tienda de características con ventanas y actualizaciones de SLA.
Protocolo de explicabilidad de las decisiones (registro de razones, SHAP).
Mesa de decisión con prioridades, pruebas de conflicto.
Rate-limits y hold-policy por salida/promoción.
Comprobación gráfica de multiaccount antes de acumular bonos.
Marco A/B para umbrales y políticas.
Modo seguro sin modelo y sin integraciones externas.
Retrospectivas regulares de casos falsos positivos/falsos negativos.

Resumen

Un motor antifraude fuerte no es un «par de reglas», sino un circuito vivo de señales, puntuación y políticas controladas que funciona de manera rápida, explicable y adaptativa. Combine la puntuación ML con reglas claras, el análisis gráfico y la autenticación basada en el riesgo, y reducirá las pérdidas de frodo sin demasiada fricción para los jugadores honestos.