Антифрод-қозғалтқыштар: сигналдар, скоринг, ережелер

1) Антифрод міндеті және негізгі KPI

Мақсаты - адал ойыншылардың барынша ауыртпалығы мен шешімнің төмен кідіруі кезінде фрод шығынын барынша азайту. Жоғарғы деңгей өлшемдері:

Fraud rate (депозиттер/ұтыстар/чарджбэктер бойынша), Chargeback rate, Bonus abuse rate.
Approval rate/FPR (false positive rate), Precision/Recall, AUC/PR-AUC модельдері үшін.
Latency шешім (p95/p99, нысаналы бюджет real-time: 50-150 мс), Cost savings vs baseline.
Кейстерді талдау бойынша Manual review rate және SLA.

2) Нақты уақыттағы сәулет

Типтік конвейер:

1. Оқиғаларды жинау: депозит, шығару, тіркеу, логин, мөлшерлеме, деректемелерді өзгерту, тикет жасау, промокодтарды пайдалану.

2. Байыту: KYC/AML мәртебесі, мінез-құлық фичтері, гео/девайс, баған-байланыс, төлем провайдері бейінінің тәуекелі.

3. Нақты уақыт: оқиғалар шинасы (Kafka/PubSub), 5 мин/1 сағат/24 сағат терезелері бар feature store, скоринг-сервис (онлайн-модель + ережелер).

4. Әрекеттер: allow/deny/challenge (3DS/SCA, KYC қосымша), лимиттеу, промо блогы, қолмен тексеру.

5. Фидбек-луп: чарджбэки, расталған кейстер, апелляциялар → белгілеу → қайта оқыту.

6. Мониторинг: өлшемдер, деректердің дрейфі, «тыныш» терезелер мен жарылыстар бойынша дашбордтар мен алерталар.

3) Бірінші реттегі сигналдар (features)

Сәйкестендіру және орта:

Device fingerprint (WebGL/Canvas, User-Agent тұрақтылығы, қаріптер), IP-беделі (VPN/хостинг), ASN, прокси.
Geo-мінез-құлық: ip-geo vs төлем BIN/мекенжайы, елдің/уақыт белдеуінің ауысуы.
Мінез-құлық биометриясы: клик/скролл ырғағы, тышқанның жылдамдығы мен «дірілдеуі», басып шығару ырғағы, mobile-gyro.
Бот-паттерндер: headless-браузерлер, аномальды тұрақты таймингтер, сценарийлердің қайталануы.

Қаржы және төлемдер:

BIN-фичтер, эмитент, тәуекел-ел, 3DS-мәртебесі, карта бойынша қайтарымдар.
Velocity-фичи: 10 минут/1 сағат үшін n депозит, терезе үшін сома, әртүрлі карталармен/әмияндармен төлеу әрекеттері.
Crypto-ред жалаулар: миксерлерден/жоғары тәуекелді биржалардан депозиттер, UTXO «сынған» баған-байланыс.

Аккаунт және соц-баған:

Пошта-провайдер/домен жасы, бір текті/бірдей мекенжайлар, телефондардың/карталардың/құрылғылардың сәйкестігі.
Multi-account/Cluster detection: жалпы құрылғылар/IP, қайталанатын тіркеу және кіріс үлгілері.
Промо-абьюз: бір мекенжайға/кіші желіге тіркелулердің өсуі, бонустардың жылдам cash-out, «депозит-ең төменгі ставка-шығару» циклдері.

Ойын әрекеті:

Session velocity (бірінші мөлшерлемеге дейінгі уақыт, мөлшерлемелер арасындағы орташа аралық), вариативтілігі жоқ мөлшерлемелер, тек бонустармен ойнау, wagering кейін бірден белсенділікті тоқтату.

4) Скоринг-модельдер: логистикалық регрессиядан ML бағанына дейін

Тәсілдер:

Өнімдегі түсіндірілетін, жылдам модельдер үшін градиенттік бустинг/логистикалық регрессия.
Sequence-модельдері (уақытша терезелері бар агрегаттардағы GBDT, LightGBM/CatBoost; сирек - оқиғаларда LSTM/Transformer).
Мультиаккаунт кластерлерін анықтау үшін баған-модельдер (Node2Vec/GraphSAGE).
Ансамбльдер және тәуекел-екпін: екпінді нормалаймыз 0.. 100. A табалдырығы - auto-allow, B - challenge/KYC, C - deny.

Қарапайым скоринг мысалы (жалған құжат):


risk = 0 if ip_is_hosting: risk += 25 if device_reused_over_5_accounts_24h: risk += 30 if deposit_velocity_1h > 3: risk += 20 if email_domain_new or temp: risk += 10 if chargeback_history: risk += 40 score = min(100, risk)
decision = "ALLOW" if score < 30 else "CHALLENGE" if score < 60 else "DENY"

5) Ережелер: егер ML болса, олар не үшін

Ережелер:

Жаңа схемаларға жылдам реакциялар (zero-day паттерн).
Заңды мөлдір кейстер (audit/негіздеме).
Жұқа саясат (өңірлік ерекшеліктер, VIP-деңгейлер, провайдер-ерекшелік).

Үлгі ережелер:

Velocity: `count(deposits, 10m) ≥ 3` и `distinct_cards_24h ≥ 2` → CHALLENGE.
Geo-mismatch: BIN_country ≠ IP_country и нет 3DS → DENY.
Device reuse: 'device _ hash' 72 сағат ішінде ≥ N аккаунттарында кездесті → BAN/REVIEW.
Promo: жаңа аккаунт + бонус + минималды ставка + жылдам шығару әрекеті → HOLD + верификация.
Crypto: high-risk кластерлерінен кіретін UTXO → ҚКЖ/қаражат көзіне дейін HOLD.

Ережелерді басқару: шешімдер ағашы/шешімдер кестесі (Decision Table), артықшылықтар, қайшылықтар, қосу алдындағы «shadow» күйі. Логи: қандай тармақ жұмыс істеді, қандай фичтер шешуші.

6) Тәуекел мен конверсия арасындағы теңгерім

Risk-based authentication: SCA/3DS/доп. KYC - тек қана шекаралық сиыр диапазондарында.

BIN деңгейінде Whitelist/graylist/blacklist, провайдерлер, әріптестер, VIP.

Саясаттың А/В-тесттері: шектерді салыстыру, қате құны vs түсім, ұстап қалу.

Explainability: SHAP/feature importance апелляцияға және саппортты оқытуға арналған.

7) Баған-талдау және мультиаккаунт

Тораптар: аккаунттар, құрылғылар, карталар, телефондар, IP. Қабырға: «пайдаланған», «байланған».

Метриктер: triads/кликтер, байланыстылық компоненттері, орталықтығы.

Бағандағы ережелер: егер> k компонентінде 24 сағат ішінде бірдей device fingerprint → промо блогы бар жаңа аккаунттар болса, шығару лимиттері, кілт түйіндерді қолмен тексеру.

8) Промо-фрод/бонус-абьюз

Сигналдар:

Бір типті мекенжайлары бар сериялық тіркеулер, бір реттік пошталар.
Ең аз вагерингті жылдам орындау және «нөлге» шығару әрекеті.
Бірдей девайстар/IP/рефералдар арқылы үйлестіру.
Митигирлеу: девайс және төлем деректемелері бойынша бонустарға арналған лимиттер, бірінші шығарылымда KYC, дербес wagering шарттары, промо үшін velocity-cap.

9) Процестер және кейс-менеджмент

Queueing & Prioritization: тәуекел/шығын сомасы бойынша кейстерді басымдыққа алу.

Playbooks талдаушылар үшін: чек парақтары, қандай дәлелдемелерді жинау (транзакциялардың скриншоттары, үзінділер, түсініктемелер).

SLA: auto-шешім ≤ 150 мс, қол кейстері p95 ≤ 24 сағ; эскалация high-value ≤ 2 сағ.

Апелляциялар: шешімді трассалау, қайта қарау иерархиясы, қате flag 'дердің ретроспективасы.

10) Деректер мен сапа

Feature store: онлайн терезелер (5 мин, 1 сағ, 24 сағ) + оффлайн-агрегаттар.

Data quality: completeness, freshness, drift. null/fallback үлесі өскен кезде.

Нұсқалау: оқиғалар схемасы, модельдер мен ережелер жиынтығы, тарихқа «replay».

11) Модельдер мен дрейфтердің мониторингі

Data drift/concept drift: PSI/KS-тесттер, маусымдық бақылау (кешкі/демалыс/жарнамалық шығарылымдар).

Online-мониторинг: скорингті калибрлеу (Brier score), шектердің тұрақтылығы.

Shadow/Champion-Challenger: жаңа үлгілерді көлеңкеге шығару, оффлайн-жапсырмалар/кеш чарджбэктер бойынша салыстыру.

12) Комплаенс және реттегіштердің талаптары

KYC/AML: санкциялық тізімдер, PEP, қаражат көздері; қолмен тексеру шектері.

GDPR/деректер: минимизация, purpose limitation, explainability шешімдер.

PCI DSS (карталар), SCA/PSD2 (ЕС), MGA/UKGC/Curacao талаптары және т.б.

Аудит: ережені немесе модельді кім/қашан өзгерткен шешімдердің өзгермейтін логтары.

13) Тәуекелдер бейіндері және іс-қимылдар

Әрекет саясатының үлгісі:

Score <30 → ALLOW, үйкеліссіз.
30-59 → CHALLENGE: SCA/3DS, селективті KYC (селфи + док), сомаға/жылдамдыққа лимит.
60-79 → HOLD: мұздату, қаражат көзін сұрау, қолмен шолу.
≥ 80 → DENY/BAN: промо/қорытындылар блогы, растау кезінде аккаунтты жабу.

14) Өнімділік және сенімділік

Latency budget: жеңіл фичтер онлайнда, ауыр фичтер кэш/есептелген терезелерде.

Fail-safe: модель/фич-стор істен шыққан кезде базалық ережелерге деградация; таймауттар және circuit breaker.

HA: бірнеше скоринг-сервис инстанциялары, stateless, blue-green деплой, канареялық релиздер.

Rate-limits сыни әрекеттерге (тіркеу, деректемелерді ауыстыру, қорытындылар).

15) Оқиға мысалы және қозғалтқыштың жауабы

Кіру (қысқаша):

json
{
"event": "withdraw_request",  "user_id": "u_92871",  "amount": 1200. 00,  "currency": "EUR",  "ip": "185. 12. 34. 56",  "device_hash": "d:1a2b3c",  "bin_country": "GB",  "ip_country": "DE",  "kyc_status": "BASIC",  "velocity_withdraw_24h": 3,  "bonus_active": true,  "wagering_progress": 22
}

Антифрод жауабы:

json
{
"decision": "HOLD",  "score": 68,  "reasons": ["Geo_mismatch", "Withdraw_velocity_high", "Active_bonus_low_wagering"],  "actions": ["Request_KYC_Level2", "Freeze_withdrawal_48h", "Notify_analyst_queue_high"]
}

16) Енгізу: кезең-кезеңдік жоспар

1. Discovery: оқиғаларды, көздерді, SLA түгендеу.

2. MVP: базалық ережелер + қарапайым модель, latency ≤ 150 мс.

3. Graph-қабат: мультиаккаунтты кластерлеу, промо-ға санкциялар.

4. Мінез-құлық биометриясы: боттарды/сценарийлерді төмендету.

5. Конверсияны оңтайландыру: тәуекелге негізделген аутентификация, шектер.

6. Операциялық: кейс-менеджмент, алерттар, реттеушіге арналған есептер.

7. Үздіксіз жақсарту: shadow-іске қосу, әрбір N апта сайын retrain, пост-мортемалар.

17) Практикалық шаралардың чек-парағы

Терезелері мен SLA жаңартулары бар бірыңғай feature store.
Шешімдердің түсіндірілу хаттамасы (себептер, SHAP-карталар).
Басымдықтары бар Decision table.
Rate-limits және шығарылым/промо hold-саясаты.
Бонустарды есептеу алдында мультиаккаунтты Graph-тексеру.
Шектер мен саясаттарға арналған А/В-рамкасы.
Модельсіз және сыртқы интеграциясыз Fail-safe режимі.
Жалған оң/жалған теріс кейстердің тұрақты ретроспективалары.

Түйіндеме

Күшті антифрод-қозғалтқыш - «екі ереже» емес, тез, түсінікті және бейімделе жұмыс істейтін сигналдар, скоринг және басқарылатын саясаткерлердің тірі контуры. ML-скорингті нақты ережелермен, баған талдауымен және тәуекелге негізделген аутентификациямен біріктіріңіз - адал ойыншылар үшін артық үйкеліссіз фрод шығынын азайтасыз.