Антифрод-движки: сигналы, скоринг, правила

1) Задача антифрода и ключевые KPI

Цель — минимизировать убытки от фрода при максимальном апруве добросовестных игроков и низкой задержке решения. Верхнеуровневые метрики:

Fraud rate (по депозитам/выигрышам/чарджбэкам), Chargeback rate, Bonus abuse rate.
Approval rate / FPR (false positive rate), Precision/Recall, AUC/PR-AUC для моделей.
Latency решения (p95/p99, целевой бюджет real-time: 50–150 мс), Cost savings vs baseline.
Manual review rate и SLA по разбору кейсов.

2) Архитектура в реальном времени

Типовой конвейер:

1. Сбор событий: депозит, вывод, регистрация, логин, ставка, изменение реквизитов, создание тикета, использование промокодов.

2. Обогащение: KYC/AML статусы, поведенческие фичи, гео/девайс, граф-связи, риск профиля провайдера платежа.

3. Реальное время: шина событий (Kafka/PubSub), feature store с окнами 5 мин/1 час/24 часа, скоринг-сервис (онлайн-модель + правила).

4. Действия: allow/deny/challenge (3DS/SCA, доп. KYC), лимитирование, блок промо, ручная проверка.

5. Фидбек-луп: чарджбэки, подтверждённые кейсы, апелляции → разметка → переобучение.

6. Мониторинг: дашборды и алерты по метрикам, дрейфу данных, «тихим» окнам и всплескам.

3) Сигналы (features) первого порядка

Идентификация и среда:

Device fingerprint (WebGL/Canvas, User-Agent стабильность, шрифты), IP-репутация (VPN/хостинг), ASN, прокси.
Geo-поведение: рассинхрон ip-гео vs платежного BIN/адреса, смена страны/часового пояса.
Поведенческая биометрия: ритм кликов/скролла, скорость и «дрожание» мыши, ритм печати, mobile-gyro.
Бот-паттерны: headless-браузеры, аномально стабильные тайминги, повторы сценариев.

Финансы и платежи:

BIN-фичи, эмитент, риск-страна, 3DS-статус, возвраты по карте.
Velocity-фичи: n депозитов за 10 мин/1 час, сумма за окно, попытки оплат разными картами/кошельками.
Crypto-ред флаги: депозиты с миксеров/высокорисковых бирж, «ломаная» граф-связь UTXO.

Аккаунт и соц-граф:

Почта-провайдер/возраст домена, однофамильцы/одинаковые адреса, совпадения телефонов/карт/устройств.
Multi-account/Cluster detection: общие девайсы/IP, повторяющиеся паттерны регистрации и входов.
Промо-абьюз: всплеск регистраций на один адрес/подсеть, быстрый cash-out бонусов, циклы «депозит-минимальная ставка-вывод».

Игровое поведение:

Session velocity (время до первой ставки, средний интервал между ставками), ставки без вариативности, игра только бонусами, остановка активности сразу после wagering.

4) Скоринг-модели: от логистической регрессии до граф-ML

Подходы комбинируются:

Градиентный бустинг/логистическая регрессия для интерпретируемых, быстрых моделей в проде.
Sequence-модели (GBDT на агрегатах с временными окнами, LightGBM/CatBoost; реже — LSTM/Transformer на событиях).
Граф-модели (Node2Vec/GraphSAGE) для выявления кластеров мультиаккаунта.
Ансамбли и риск-скор: нормируем скор 0..100. Порог A — auto-allow, B — challenge/KYC, C — deny.

Пример простого скоринга (псевдокод):


risk = 0 if ip_is_hosting: risk += 25 if device_reused_over_5_accounts_24h: risk += 30 if deposit_velocity_1h > 3: risk += 20 if email_domain_new or temp: risk += 10 if chargeback_history: risk += 40 score = min(100, risk)
decision = "ALLOW" if score < 30 else "CHALLENGE" if score < 60 else "DENY"

5) Правила: зачем они, если есть ML

Правила нужны для:

Быстрых реакций на новые схемы (zero-day паттерн).
Юридически прозрачных кейсов (audit/обоснование).
Тонкой политики (региональные исключения, VIP-уровни, провайдер-специфика).

Типовые правила:

Velocity: `count(deposits, 10m) ≥ 3` и `distinct_cards_24h ≥ 2` → CHALLENGE.
Geo-mismatch: BIN_country ≠ IP_country и нет 3DS → DENY.
Device reuse: `device_hash` встретился на ≥ N аккаунтах за 72 ч → BAN/REVIEW.
Promo: новый аккаунт + бонус + ставка на минимуме + попытка мгновенного вывода → HOLD + верификация.
Crypto: входящие UTXO из high-risk кластеров → HOLD до KYC/источника средств.

Управление правилами: дерево решений/таблицы решений (Decision Table), приоритеты, конфликты, «shadow-режим» перед включением. Логи: какая ветка сработала, какие фичи решающие.

6) Баланс между риском и конверсией

Risk-based authentication: SCA/3DS/доп. KYC — только на пограничных скоровых диапазонах.

Whitelist/graylist/blacklist на уровне BIN, провайдеров, партнеров, VIP.

А/В-тесты политик: сравнение порогов, стоимость ошибки vs выручка, удержание.

Explainability: SHAP/feature importance на проде для апелляций и обучения саппорта.

7) Граф-анализ и мультиаккаунт

Узлы: аккаунты, устройства, карты, телефоны, IP. Рёбра: «использовал», «связан».

Метрики: triads/клики, компоненты связности, центральность.

Правила на графе: если в компоненте > k новых аккаунтов за 24 ч с одинаковым device fingerprint → блок промо, лимиты на вывод, ручная проверка ключевых узлов.

8) Про промо-фрод/бонус-абьюз

Сигналы:

Серийные регистрации с однотипными адресами, одноразовые почты.
Быстрое выполнение минимального wagering и попытка вывода «в ноль».
Координация через одинаковые девайсы/IP/рефералы.
Митигировать: лимиты на бонусы по девайсу и платёжным реквизитам, KYC при первом выводе, персонализированные условия wagering, velocity-кап на промо.

9) Процессы и кейс-менеджмент

Queueing & Prioritization: приоритезация кейсов по сумме риска/потерь.

Playbooks для аналитиков: чек-листы, какие доказательства собирать (скриншоты транзакций, выписки, объяснения).

SLA: auto-решение ≤ 150 мс, ручные кейсы p95 ≤ 24 ч; эскалация high-value ≤ 2 ч.

Апелляции: трассировка решения, иерархия пересмотра, ретроспектива ошибочных flag’ов.

10) Данные и качество

Feature store: онлайновые окна (5 мин, 1 ч, 24 ч) + оффлайн-агрегаты.

Data quality: completeness, freshness, drift. Алёрты, когда доля null/fallback растёт.

Версионирование: схемы событий, версии моделей и набора правил, «replay» на истории.

11) Мониторинг моделей и дрейф

Data drift / concept drift: PSI/KS-тесты, контроль сезонности (вечера/выходные/релизы промо).

Online-мониторинг: калибровка скоринга (Brier score), стабильность порогов.

Shadow / Champion-Challenger: выведение новых моделей в тень, сравнение по оффлайн-ярлыкам/поздним чарджбэкам.

12) Комплаенс и требования регуляторов

KYC/AML: санкционные списки, PEP, источники средств; пороги ручной проверки.

GDPR/данные: минимизация, purpose limitation, explainability решений.

PCI DSS (карты), SCA/PSD2 (ЕС), требования MGA/UKGC/Curacao и пр.

Аудит: неизменяемые логи решений, кто/когда менял правило или модель.

13) Профили рисков и действия

Пример политики действий:

Score < 30 → ALLOW, без трения.
30–59 → CHALLENGE: SCA/3DS, селективный KYC (селфи+док), лимит на сумму/скорость.
60–79 → HOLD: заморозка вывода, запрос источника средств, ручной обзор.
≥ 80 → DENY/BAN: блок промо/выводов, закрытие аккаунта при подтверждении.

14) Производительность и надёжность

Latency budget: лёгкие фичи в онлайне, тяжёлые — в кэших/преподсчитанных окнах.

Fail-safe: деградация к базовым правилам при сбое модели/фич-стора; таймауты и circuit breaker.

HA: несколько инстансов скоринг-сервиса, статeless, blue-green деплой, канареечные релизы.

Rate-limits на критичные действия (регистрация, смена реквизитов, выводы).

15) Пример события и ответа движка

Вход (сокращённо):

json
{
"event": "withdraw_request",  "user_id": "u_92871",  "amount": 1200.00,  "currency": "EUR",  "ip": "185.12.34.56",  "device_hash": "d:1a2b3c",  "bin_country": "GB",  "ip_country": "DE",  "kyc_status": "BASIC",  "velocity_withdraw_24h": 3,  "bonus_active": true,  "wagering_progress": 22
}

Ответ антифрода:

json
{
"decision": "HOLD",  "score": 68,  "reasons": ["Geo_mismatch", "Withdraw_velocity_high", "Active_bonus_low_wagering"],  "actions": ["Request_KYC_Level2", "Freeze_withdrawal_48h", "Notify_analyst_queue_high"]
}

16) Внедрение: поэтапный план

1. Discovery: инвентаризация событий, источников, SLA.

2. MVP: базовые правила + простая модель, latency ≤ 150 мс.

3. Graph-слой: кластеризация мультиаккаунта, санкции на промо.

4. Поведенческая биометрия: снижение ботов/скриптов.

5. Оптимизация конверсии: риск-базированная аутентификация, пороги.

6. Операционка: кейс-менеджмент, алерты, отчёты для регулятора.

7. Непрерывное улучшение: shadow-запуски, retrain каждые N недель, пост-мортемы.

17) Чек-лист практических мер

Единый feature store с окнами и SLA обновления.
Протокол объяснимости решений (лог причин, SHAP-карты).
Decision table с приоритетами, тестами конфликтов.
Rate-limits и hold-политики на вывод/промо.
Graph-проверки мультиаккаунта перед начислением бонусов.
А/В-рамка для порогов и политик.
Fail-safe режим без модели и без внешних интеграций.
Регулярные ретроспективы ложноположительных/ложноотрицательных кейсов.

Резюме

Сильный антифрод-движок — это не «пара правил», а живой контур из сигналов, скоринга и управляемых политик, который работает быстро, объяснимо и адаптивно. Комбинируйте ML-скоринг с чёткими правилами, граф-анализом и риск-базированной аутентификацией — и вы снизите убытки от фрода без избыточного трения для честных игроков.