Антифрод-рушії: сигнали, скоринг, правила

1) Завдання антифроду і ключові KPI

Мета - мінімізувати збитки від фроду при максимальному апруві сумлінних гравців і низькій затримці рішення. Верхньорівневі метрики:

Fraud rate (за депозитами/виграшами/чарджбекам), Chargeback rate, Bonus abuse rate.
Approval rate/FPR (false positive rate), Precision/Recall, AUC/PR-AUC для моделей.
Latency рішення (p95/p99, цільовий бюджет real-time: 50–150 мс), Cost savings vs baseline.
Manual review rate і SLA з розбору кейсів.

2) Архітектура в реальному часі

Типовий конвеєр:

1. Збір подій: депозит, висновок, реєстрація, логін, ставка, зміна реквізитів, створення тікету, використання промокодів.

2. Збагачення: KYC/AML статуси, поведінкові фічі, гео/девайс, граф-зв'язку, ризик профілю провайдера платежу.

3. Реальний час: шина подій (Kafka/PubSub), feature store з вікнами 5 хв/1 година/24 години, скоринг-сервіс (онлайн-модель + правила).

4. Дії: allow/deny/challenge (3DS/SCA, дод. kyc), лімітування, блок промо, ручна перевірка.

5. Фідбек-луп: чарджбеки, підтверджені кейси, апеляції → розмітка → перенавчання.

6. Моніторинг: дашборди і алерти по метриках, дрейфу даних, «тихим» вікнам і сплескам.

3) Сигнали (features) першого порядку

Ідентифікація та середовище:

Device fingerprint (WebGL/Canvas, User-Agent стабільність, шрифти), IP-репутація (VPN/хостинг), ASN, проксі.
Geo-поведінка: розсинхрон ip-гео vs платіжного BIN/адреси, зміна країни/часового поясу.
Поведінкова біометрія: ритм кліків/скролла, швидкість і «тремтіння» миші, ритм друку, mobile-gyro.
Бот-патерни: headless-браузери, аномально стабільні таймінги, повтори сценаріїв.

Фінанси та платежі:

BIN-фічі, емітент, ризик-країна, 3DS-статус, повернення по карті.
Velocity-фічі: n депозитів за 10 хв/1 годину, сума за вікно, спроби оплат різними картками/гаманцями.
Crypto-ред прапори: депозити з міксерів/високоризикових бірж, «ламана» граф-зв'язок UTXO.

Акаунт і соц-граф:

Пошта-провайдер/вік домену, однофамільці/однакові адреси, збіги телефонів/карт/пристроїв.
Multi-account/Cluster detection: загальні девайси/IP, повторювані патерни реєстрації та входів.
Промо-аб'юз: сплеск реєстрацій на одну адресу/підмережу, швидкий cash-out бонусів, цикли «депозит-мінімальна ставка-виведення».

Ігрова поведінка:

Session velocity (час до першої ставки, середній інтервал між ставками), ставки без варіативності, гра тільки бонусами, зупинка активності відразу після wagering.

4) Скоринг-моделі: від логістичної регресії до граф-ML

Підходи комбінуються:

Градієнтний бустинг/логістична регресія для інтерпретованих, швидких моделей в проді.
Sequence-моделі (GBDT на агрегатах з тимчасовими вікнами, LightGBM/CatBoost; рідше - LSTM/Transformer на подіях).
Граф-моделі (Node2Vec/GraphSAGE) для виявлення кластерів мультиаккаунта.
Ансамблі і ризик-скор: нормуємо скор 0.. 100. Поріг A - auto-allow, B - challenge/KYC, C - deny.

Приклад простого скорингу (псевдокод):


risk = 0 if ip_is_hosting: risk += 25 if device_reused_over_5_accounts_24h: risk += 30 if deposit_velocity_1h > 3: risk += 20 if email_domain_new or temp: risk += 10 if chargeback_history: risk += 40 score = min(100, risk)
decision = "ALLOW" if score < 30 else "CHALLENGE" if score < 60 else "DENY"

5) Правила: навіщо вони, якщо є ML

Правила потрібні для:

Швидких реакцій на нові схеми (zero-day патерн).
Юридично прозорих кейсів (audit/обґрунтування).
Тонкої політики (регіональні винятки, VIP-рівні, провайдер-специфіка).

Типові правила:

Velocity: `count(deposits, 10m) ≥ 3` и `distinct_cards_24h ≥ 2` → CHALLENGE.
Geo-mismatch: BIN_country ≠ IP_country и нет 3DS → DENY.
Device reuse: 'device _ hash'зустрівся на ≥ N акаунтах за 72 год → BAN/REVIEW.
Promo: новий аккаунт + бонус + ставка на мінімумі + спроба миттєвого виведення → HOLD + верифікація.
Crypto: вхідні UTXO з high-risk кластерів → HOLD до КУС/джерела коштів.

Управління правилами: дерево рішень/таблиці рішень (Decision Table), пріоритети, конфлікти, «shadow-режим» перед включенням. Логи: яка гілка спрацювала, які фічі вирішальні.

6) Баланс між ризиком і конверсією

Risk-based authentication: SCA/3DS/див. KYC - тільки на прикордонних швидких діапазонах.

Whitelist/graylist/blacklist на рівні BIN, провайдерів, партнерів, VIP.

А/В-тести політик: порівняння порогів, вартість помилки vs виручка, утримання.

Explainability: SHAP/feature importance на проді для апеляцій і навчання саппорта.

7) Граф-аналіз і мультиаккаунт

Вузли: акаунти, пристрої, карти, телефони, IP. Ребра: «використовував», «пов'язаний».

Метрики: triads/кліки, компоненти зв'язності, центральність.

Правила на графі: якщо в компоненті> k нових акаунтів за 24 год з однаковим device fingerprint → блок промо, ліміти на виведення, ручна перевірка ключових вузлів.

8) Про промо-фрод/бонус-аб'юз

Сигнали:

Серійні реєстрації з однотипними адресами, одноразові пошти.
Швидке виконання мінімального wagering і спроба виведення «в нуль».
Координація через однакові девайси/IP/реферали.
Мітигувати: ліміти на бонуси за девайсом і платіжними реквізитами, KYC при першому виведенні, персоналізовані умови wagering, velocity-кап на промо.

9) Процеси та кейс-менеджмент

Queueing & Prioritization: пріоритезація кейсів за сумою ризику/втрат.

Playbooks для аналітиків: чек-листи, які докази збирати (скріншоти транзакцій, виписки, пояснення).

SLA: auto-рішення ≤ 150 мс, ручні кейси p95 ≤ 24 год; ескалація high-value ≤ 2 год.

Апеляції: трасування рішення, ієрархія перегляду, ретроспектива помилкових flag'ів.

10) Дані та якість

Feature store: онлайнові вікна (5 хв, 1 год, 24 год) + оффлайн-агрегати.

Data quality: completeness, freshness, drift. Алерти, коли частка null/fallback зростає.

Версіонування: схеми подій, версії моделей і набору правил, «replay» на історії.

11) Моніторинг моделей і дрейф

Data drift / concept drift: PSI/KS-тести, контроль сезонності (вечори/вихідні/релізи промо).

Online-моніторинг: калібрування скорингу (Brier score), стабільність порогів.

Shadow / Champion-Challenger: виведення нових моделей у тінь, порівняння за офлайн-ярликами/пізніми чарджбеками.

12) Комплаєнс і вимоги регуляторів

KYC/AML: санкційні списки, PEP, джерела коштів; пороги ручної перевірки.

GDPR/дані: мінімізація, purpose limitation, explainability рішень.

PCI DSS (карти), SCA/PSD2 (ЄС), вимоги MGA/UKGC/Curacao тощо

Аудит: незмінні логи рішень, хто/коли змінював правило або модель.

13) Профілі ризиків і дії

Приклад політики дій:

Score <30 → ALLOW, без тертя.
30–59 → CHALLENGE: SCA/3DS, селективний KYC (селфі + док), ліміт на суму/швидкість.
60–79 → HOLD: заморожування виводу, запит джерела коштів, ручний огляд.
≥ 80 → DENY/BAN: блок промо/висновків, закриття аккаунта при підтвердженні.

14) Продуктивність і надійність

Latency budget: легкі фічі в онлайні, важкі - в кеших/підрахованих вікнах.

Fail-safe: деградація до базових правил при збої моделі/фіч-стора; таймаути і circuit breaker.

HA: кілька інстансів скоринг-сервісу, статeless, blue-green деплою, канарські релізи.

Rate-limits на критичні дії (реєстрація, зміна реквізитів, висновки).

15) Приклад події та відповіді рушія

Вхід (скорочено):

json
{
"event": "withdraw_request",  "user_id": "u_92871",  "amount": 1200. 00,  "currency": "EUR",  "ip": "185. 12. 34. 56",  "device_hash": "d:1a2b3c",  "bin_country": "GB",  "ip_country": "DE",  "kyc_status": "BASIC",  "velocity_withdraw_24h": 3,  "bonus_active": true,  "wagering_progress": 22
}

Відповідь антифрода:

json
{
"decision": "HOLD",  "score": 68,  "reasons": ["Geo_mismatch", "Withdraw_velocity_high", "Active_bonus_low_wagering"],  "actions": ["Request_KYC_Level2", "Freeze_withdrawal_48h", "Notify_analyst_queue_high"]
}

16) Впровадження: поетапний план

1. Discovery: інвентаризація подій, джерел, SLA.

2. MVP: базові правила + проста модель, latency ≤ 150 мс.

3. Graph-шар: кластеризація мультиаккаунта, санкції на промо.

4. Поведінкова біометрія: зниження ботів/скриптів.

5. Оптимізація конверсії: ризик-базована автентифікація, пороги.

6. Операційка: кейс-менеджмент, алерти, звіти для регулятора.

7. Безперервне поліпшення: shadow-запуски, retrain кожні N тижнів, пост-мортеми.

17) Чек-лист практичних заходів

Єдиний feature store з вікнами і SLA оновлення.
Протокол пояснюваності рішень (лог причин, SHAP-карти).
Decision table з пріоритетами, тестами конфліктів.
Rate-limits і hold-політики на висновок/промо.
Graph-перевірки мультиаккаунта перед нарахуванням бонусів.
А/В-рамка для порогів і політик.
Fail-safe режим без моделі і без зовнішніх інтеграцій.
Регулярні ретроспективи хибнопозитивних/хибнонегативних кейсів.

Резюме

Сильний антифрод-рушій - це не «пара правил», а живий контур з сигналів, скорингу і керованих політик, який працює швидко, зрозуміло і адаптивно. Комбінуйте ML-скоринг з чіткими правилами, граф-аналізом і ризик-базованою автентифікацією - і ви знизите збитки від фроду без надмірного тертя для чесних гравців.