Антифрод в платежах: технологии выявления подозрительных операций

Когда в 2014 году я настраивал первые rule-based фильтры для эквайринга небольшого ритейлера, казалось, что блокировка по BIN-диапазону и лимиту суммы — это уже серьезная защита. Прошло десять лет, и сегодня ни один зрелый платежный сервис не полагается на одиночные сигналы. Современный антифрод — это многослойная система, где решение по каждой транзакции принимается на основе десятков, а иногда и сотен признаков: от суммы и географии до поведенческих паттернов, цифровых отпечатков устройства и графовых связей между участниками цепочки.

Что такое антифрод и зачем он нужен

Антифрод-система в платежах решает три задачи, и все они критичны для бизнеса:

• находит подозрительные операции до списания денег — то есть работает на этапе авторизации, когда еще можно предотвратить потерю;
• снижает число успешных мошеннических транзакций — напрямую влияет на fraud loss и chargeback rate;
• удерживает баланс между безопасностью и удобством для клиента — пожалуй, самая сложная задача, потому что перекос в любую сторону бьет по бизнесу.

Слабый антифрод бьет сразу по двум сторонам: бизнес теряет деньги на fraud-операциях, а клиентский опыт портится из-за ложных блокировок. По моему опыту интеграции платежных шлюзов, особенно болезненно это ощущается в сценариях с мгновенными переводами и P2P-платежами — там задержка даже на 30 секунд воспринимается пользователем как сбой. Поэтому цель не в том, чтобы заблокировать все рискованное, а в том, чтобы быстро и точно отделять нормальное поведение от аномального. Это принципиально иной подход, чем просто «закручивание гаек».

Какие операции чаще всего попадают в зону риска

Подозрительными обычно считают операции, которые выбиваются из привычного профиля клиента или не похожи на нормальный платежный поток. За годы работы с эквайрингом и процессингом я выделил несколько типовых паттернов, которые практически всегда требуют дополнительной проверки:

• слишком высокая сумма для этого пользователя — особенно если средний чек за последние 30 дней был в разы ниже;
• резкий рост частоты операций — например, когда клиент, совершавший 2-3 платежа в неделю, вдруг инициирует 15 транзакций за час;
• платежи из необычной страны или региона — классический триггер, но важно учитывать не только геолокацию IP, но и соответствие BIN-диапазону карты;
• несовпадение устройства, IP-адреса и привычного сценария входа — сюда же относится смена браузера, языка системы, разрешения экрана;
• серия коротких попыток оплаты — типичный признак перебора карточных данных или тестирования украденных реквизитов;
• признаки компрометации карты или аккаунта — например, если токенизированная карта внезапно используется на новом устройстве без 3-D Secure;
• аномальные связи между счетами, устройствами и получателями — это уже выход на уровень графового анализа, о котором поговорим дальше.

На практике важен не один сигнал, а их комбинация. Например, сам по себе платеж ночью — не всегда риск. Но если это новый девайс, новый город, нетипичная сумма и несколько неудачных попыток подряд, риск уже заметно выше. Именно на таких комбинациях строятся современные скоринговые модели, и именно их сложнее всего обучить на исторических данных без качественной разметки.

Из чего состоит современный антифрод

Современная система антифрода обычно строится как несколько уровней защиты. Это не просто «поставили ML-модель и забыли» — наслоение методов дает устойчивость к разным типам атак и позволяет гибко настраивать политику под конкретный продукт.

1. Правила

Это базовый слой: пороги по сумме, частоте, странам, BIN-диапазонам, устройствам, числу неуспешных попыток и так далее. Правила просты в управлении и понятны бизнесу — compliance-отдел их обожает, потому что можно четко объяснить регулятору, почему заблокирована та или иная операция. Но у правил есть фундаментальное ограничение: они быстро устаревают. Мошенники адаптируются, и то, что работало вчера, сегодня уже может пропускать атаки. К тому же жесткие правила часто дают высокий false positive rate — а это прямые потери выручки.

2. Скоринг

Каждой транзакции присваивается риск-оценка. Чем выше скор, тем больше вероятность, что операция мошенническая. Такой подход помогает не принимать решение «черно-белым» способом, а выстраивать гибкую политику: пропустить, запросить подтверждение через 3-D Secure или отправить в ручную проверку. В интеграции платежных шлюзов я часто видел, как правильно настроенный скоринг снижает долю ложных блокировок на 20-30% без роста fraud rate — просто за счет того, что система перестает рубить все подряд и начинает дифференцировать риски.

3. Машинное обучение

ML-модели анализируют сотни признаков одновременно и находят комбинации, которые трудно описать вручную. В антифроде используются несколько классов моделей, и каждый закрывает свой спектр угроз:

• supervised learning — обучение на размеченных примерах «мошенничество / не мошенничество»; хорошо работает для карточного fraud и аккаунт-тейковера, но критично зависит от качества разметки;
• unsupervised learning — поиск аномалий без готовой разметки; незаменим для выявления новых схем, которых еще нет в обучающей выборке;
• graph analysis — анализ связей между аккаунтами, устройствами, картами и получателями; об этом дальше будет отдельный разговор, потому что это один из самых мощных инструментов;
• модели для выявления последовательностей и скрытых паттернов поведения — например, анализ временных рядов транзакций для обнаружения нетипичной активности.

4. Ручная модерация

Ни одна автоматическая система не закрывает все кейсы. Для спорных транзакций нужен фрод-оператор, который принимает финальное решение по сигналам от системы, истории клиента и внешним данным. В необанках и финтех-проектах, с которыми я работал, ручная модерация обычно покрывает 5-15% от всех транзакций, попавших под подозрение — это тот хвост, где автоматика дает недостаточно уверенный сигнал. Важно, чтобы оператор имел доступ к полному контексту: не только скор и правила, но и графовые связи, историю устройства, поведенческие паттерны.

Как технологии выявляют подозрительные операции

Поведенческий анализ

Система сравнивает текущую операцию с обычным поведением клиента: время, сумма, средний чек, частота, типы мерчантов, глубина сессии, сценарий входа. Это один из самых практичных способов поймать «тихий» fraud, когда мошенник действует аккуратно и не вызывает мгновенного срабатывания правила. Например, если пользователь обычно платит через мобильное приложение в будни с 9 до 18 часов, а тут вдруг проводит крупный платеж через веб-версию в 3 часа ночи с нового устройства — это повод для эскалации, даже если сумма формально не превышает лимиты.

Device fingerprinting

Платежная система собирает набор характеристик устройства: браузер, ОС, язык, разрешение экрана, сетевые параметры, иногда сигналы поведения. Задача — понять, что перед системой не просто новый пользователь, а, возможно, уже известное мошенническое устройство или связанный с ним кластер. В современных платежных шлюзах fingerprinting стал стандартом де-факто, но его эффективность сильно зависит от качества реализации: дешевые решения легко обходятся подменой user-agent, а серьезные системы анализируют десятки параметров и выявляют аномалии даже при попытках маскировки.

Behavioral biometrics

Это анализ того, как человек взаимодействует с интерфейсом: скорость набора, движение мыши, ритм кликов, паузы, порядок действий. У мошенника эти паттерны часто отличаются от обычного пользователя — например, при ручном вводе украденных карточных данных движения более резкие и неуверенные, чем при привычном автозаполнении. Технология пока не стала массовой в российском эквайринге, но в необанках и финтех-проектах, ориентированных на высокий уровень безопасности, ее внедряют все чаще.

Graph-анализ

Один из самых сильных современных инструментов. Система строит сеть связей между картами, счетами, устройствами, IP, адресами доставки, телефонами и получателями. Так легче увидеть:

• группу аккаунтов, которые работают через одни и те же устройства;
• «фабрику» фейковых профилей — когда десятки аккаунтов создаются с одного IP и сразу начинают проводить платежи;
• цепочки обналичивания — классическая схема с mule-счетами, где деньги проходят через несколько звеньев за короткое время;
• скрытые связи, которые не видны в одиночной транзакции — например, когда мошенник меняет карты и устройства, но сохраняет паттерн поведения.

На практике граф-анализ сложнее внедрять, чем правила или скоринг: нужны соответствующие компетенции в команде и инфраструктура для хранения и обработки графовых данных. Но для борьбы с организованными схемами это, пожалуй, единственный эффективный метод.

Аномалия-детекция

Когда у компании мало размеченных мошеннических кейсов — а это типичная ситуация для стартапов и новых платежных продуктов — помогают модели, которые ищут отклонения от нормы. Они особенно полезны против новых схем, которых еще нет в обучающей выборке. Минус в том, что такие модели дают больше ложных срабатываний, поэтому их обычно используют не как самостоятельный слой, а как дополнительный сигнал для скоринга или ручной модерации.

Сравнение подходов

Как выстроить антифрод-систему в реальном проекте

Шаг 1. Определить, что именно защищаем

Антифрод для эквайринга, P2P-переводов, кошельков и B2B-платежей будет отличаться. Сначала нужно четко описать:

• какой тип транзакций идет в поток — карточные платежи, мгновенные переводы по СБП, кошельковые операции;
• какие схемы мошенничества наиболее вероятны — для эквайринга это чаще всего кардинг и дружественный fraud, для P2P — социальная инженерия и mule-сети;
• где потери критичнее всего: деньги, chargeback, репутация, блокировка клиентов — и как это влияет на бизнес-метрики.

Шаг 2. Собрать качественные данные

Без данных антифрод превращается в набор догадок. Нужны:

• транзакционные поля — сумма, валюта, MCC-код, BIN, тип аутентификации;
• поведение в сессии — глубина просмотра, время на странице оплаты, количество попыток;
• данные о девайсе и сети — fingerprint, IP, геолокация, параметры соединения;
• история клиента — средний чек, частота, типичные мерчанты, давность аккаунта;
• результат ручной проверки — обратная связь от операторов для дообучения моделей;
• исход спора или возврата — chargeback-данные как источник разметки для supervised learning.

Чем чище и полнее дата-пайплайн, тем меньше мусора попадет в модель. На практике я не раз сталкивался с тем, что кривые данные на входе давали красивую, но бесполезную модель на выходе.

Шаг 3. Настроить базовые правила

Перед ML почти всегда нужен rule engine. Он помогает быстро закрыть очевидные сценарии:

• лимиты на частоту — velocity checks, которые отсекают явный перебор;
• стоп-листы — черные списки карт, устройств, IP-адресов;
• географические ограничения — например, блокировка платежей из стран с высоким уровнем fraud;
• рискованные BIN-ы — диапазоны, которые часто фигурируют в мошеннических схемах;
• сигналы по velocity и device reuse — когда одно устройство используется для множества аккаунтов за короткий промежуток.

Шаг 4. Добавить скоринг и маршрутизацию

Дальше система должна не просто «да / нет», а выбирать действие в зависимости от уровня риска:

• пропустить — для низкорисковых транзакций, где все сигналы в норме;
• запросить 3-D Secure или дополнительную проверку — для операций со средним риском;
• отправить на ручную модерацию — когда автоматика не дает уверенного ответа;
• временно заблокировать — с возможностью разблокировки после верификации;
• усилить мониторинг аккаунта — если есть подозрения, но недостаточно оснований для блокировки.

Шаг 5. Измерять качество

Без метрик антифрод быстро деградирует. Обычно смотрят:

• fraud rate — доля мошеннических транзакций в общем потоке;
• false positive rate — сколько нормальных клиентов получили отказ;
• approval rate — общий уровень одобрения, критичный для конверсии;
• chargeback rate — соотношение опротестованных транзакций к общему объему;
• долю ручных проверок — если она растет, значит автоматика не справляется;
• время реакции на новую схему — от обнаружения до внедрения контрмер;
• экономический эффект от срабатываний — сколько денег сэкономлено на предотвращенном fraud минус потери от ложных блокировок.

Типовые ошибки при построении антифрода

• Ставить слишком жесткие правила и терять хороших клиентов — классика, когда бизнес пугается одного инцидента и закручивает гайки до предела.
• Обучать модели на старых паттернах и не переобучать их — мошенники адаптируются, и модель, обученная полгода назад, уже может пропускать новые схемы.
• Игнорировать ручную разметку и обратную связь операторов — это золотой источник данных для дообучения, который часто пропадает зря.
• Смотреть только на транзакцию, а не на поведение и связи — изолированный анализ одной операции дает слишком узкую картину.
• Переоценивать один сигнал, например IP или страну — мошенники давно научились их подменять.
• Не разделять fraud, abuse и операционные ошибки — это разные проблемы с разными методами решения.
• Внедрять ML без понятной стратегии объяснимости — когда модель выдает решение, которое никто не может интерпретировать, это создает риски и для compliance, и для бизнеса.

Самая дорогая ошибка — считать, что антифрод можно один раз настроить и забыть. Мошенники адаптируются быстрее, чем большинство внутренних регламентов. По моему опыту, эффективная система требует пересмотра правил и моделей как минимум раз в квартал, а в высокорисковых сегментах — ежемесячно.

На что особенно смотреть в российских реалиях

Для России особенно важны несколько специфических факторов, которые я выделил на основе интеграции платежных решений для локального рынка:

• высокий объем онлайн-платежей и быстрые сценарии оплаты — пользователи не готовы ждать, любая задержка снижает конверсию;
• распространенность P2P-переводов и C2B-сценариев — здесь свои схемы мошенничества, часто с использованием социальной инженерии;
• чувствительность клиентов к ложным блокировкам — в условиях высокой конкуренции среди банков и финтех-сервисов заблокированный клиент просто уйдет к другому провайдеру;
• необходимость сочетать безопасность с высокой конверсией — особенно в эквайринге, где каждая лишняя секунда на проверку снижает вероятность успешной оплаты;
• защита от социальной инженерии, а не только от технического fraud — телефонное мошенничество и фишинг остаются одними из главных угроз.

На практике это означает, что хороший антифрод должен быть не только «запрещающим», но и адаптивным. Если система слишком агрессивна, бизнес теряет платежи и лояльность. Если слишком мягкая — растут потери и операционная нагрузка на службу поддержки. Баланс здесь — не абстрактная цель, а конкретный набор метрик, которые нужно постоянно мониторить и настраивать.

Чек-лист внедрения антифрода

• Описать основные fraud-сценарии для своего продукта — от кардинга до аккаунт-тейковера и mule-сетей.
• Собрать единый поток транзакционных и поведенческих данных — без нормального дата-пайплайна дальше двигаться бессмысленно.
• Ввести rule-based фильтры как базовый уровень защиты — быстро, понятно, прозрачно для compliance.
• Настроить риск-скоринг и пороги решений — перейти от бинарной логики к дифференцированной.
• Добавить ML для аномалий и скрытых паттернов — начать ловить то, что не видно правилами.
• Построить граф связей между пользователями, устройствами и платежами — для выявления организованных схем.
• Организовать ручную проверку спорных кейсов — с доступом операторов к полному контексту.
• Регулярно пересматривать правила и модели — мошенники не стоят на месте.
• Считать не только fraud loss, но и false positives — потому что потеря клиента из-за ложной блокировки может стоить дороже предотвращенного fraud.
• Проверять, как антифрод влияет на конверсию и UX — безопасность не должна убивать пользовательский опыт.

Практический вывод: каким должен быть хороший антифрод

Хороший антифрод в платежах — это не одна «умная модель», а система, где правила, скоринг, машинное обучение, граф-анализ и ручная экспертиза работают вместе. Такой подход позволяет ловить и простые, и сложные схемы, быстро реагировать на новые атаки и не душить нормальных клиентов. За годы работы с платежной инфраструктурой я убедился: инвестиции в антифрод окупаются не только снижением прямых потерь, но и ростом доверия пользователей, которые знают, что их деньги под защитой, а платежи проходят без лишних трений.

FAQ

Чем антифрод отличается от обычной безопасности?

Антифрод фокусируется именно на подозрительных финансовых операциях, а не на всей информационной безопасности в широком смысле. Это разница между защитой периметра сети и анализом конкретной транзакции на предмет мошенничества.

Почему одних правил недостаточно?

Потому что мошенники меняют паттерны, а жесткие правила быстро перестают работать против новых схем. Кроме того, правила не учитывают комбинации признаков и контекст — они работают по принципу «если условие выполнено, то блокировать», что неизбежно ведет либо к избыточным блокировкам, либо к пропуску хитрых атак.

Что важнее: точность или минимизация ложных срабатываний?

Нужно балансировать оба показателя. Слишком «строгая» система режет выручку и бесит клиентов, слишком «мягкая» — пропускает fraud. Оптимальный баланс зависит от бизнес-модели: для маркетплейса с низкомаржинальными товарами важнее конверсия, для luxury-сегмента — безопасность.

Можно ли выявлять мошенничество без ML?

Да, но только на базовом уровне. Для устойчивой защиты в современных платежах обычно нужен гибридный подход: правила плюс модели. Без ML вы будете пропускать сложные схемы и не сможете адаптироваться к новым угрозам с нужной скоростью.

Что дает граф-анализ в антифроде?

Он помогает находить скрытые сети мошенников, связанные аккаунты и организованные схемы, которые не видны в одиночной транзакции. Например, когда мошенник регистрирует десятки аккаунтов с разных устройств, но все они в итоге выводят деньги на один счет — без графового анализа эту связь практически невозможно обнаружить.

Как понять, что антифрод работает?

Если снижаются fraud-loss и chargeback при приемлемом уровне ложных блокировок и без заметного проседания конверсии. Конкретные цифры зависят от индустрии, но хороший ориентир — когда false positive rate не превышает 2-3%, а fraud rate держится ниже целевого порога, установленного бизнесом.