Остановить фрод,
а не клиента

Real-time Scoring

Решение внутри окна авторизации транзакции.

• Latency sub-100ms P95
• Feature store в реальном времени
• Approve / review / decline
• Детерминированный fallback

Device и поведение

Кто за транзакцией - не только что в ней.

• Device fingerprinting
• Behavioral biometrics
• Bot / emulator detection
• Сигналы account takeover (ATO)

Velocity и правила

Быстрые правила поверх ML-модели.

• Velocity checks (карта / устройство / IP)
• Rule engine для явной политики
• Hybrid: rules + GBM
• Shadow mode до enforcement

Graph и fraud rings

Организованный фрод работает как сеть.

• Выявление fraud rings
• Связывание общих идентичностей
• Shared-device / shared-card
• Визуализация для аналитика

Chargeback feedback loop

Каждый chargeback - label для следующей модели.

• Ingestion chargeback / dispute
• Автоматический relabeling
• Контролируемый retraining
• Отслеживание fraud-rate во времени

SCA / Step-up

Усиленная аутентификация только когда нужно - не для всех.

• Risk-based SCA (PSD2 TRA)
• Динамический step-up
• Управление exemptions
• Меньше трения для low-risk

РФ: ЦБ РФ (757-П), ФинЦЕРТ

Требования ЦБ РФ к защите информации (Положение № 757-П), обмен признаками мошеннических операций с ФинЦЕРТ, антифрод-требования для СБП и переводов.

Израиль: Банк Израиля, PCI-DSS

Директивы Банка Израиля по управлению рисками и защите информации в платёжных сервисах, требования по мониторингу операций и PCI-DSS для карточных данных - для израильских финансовых организаций и их русскоязычных клиентов.

ЕС: PSD2 SCA / TRA, GDPR

Strong Customer Authentication и Transaction Risk Analysis exemptions по PSD2 RTS - баланс между безопасностью и conversion; GDPR для device- и поведенческих сигналов.

США: PCI-DSS, карточные системы, FFIEC

PCI-DSS для данных карт, правила Visa/Mastercard и их программы мониторинга фрода (VAMP и аналоги), рекомендации FFIEC по аутентификации - для организаций с экспозицией на США.

Гибрид снижает false-positive

Что показывает индустрия: Переход с rule-based на гибрид (behavioral + GBM) снижает false-positive на 30-50% при сохранении recall (Bain payments tech 2024).

Где входим мы: ML-слой поверх движка правил - с shadow mode до включения enforcement в production.

Latency - продуктовое требование

Что показывает индустрия: Антифрод-решение должно укладываться в окно авторизации карты (sub-100ms), чтобы не бить по checkout.

Где входим мы: Проектирование feature store и serving, держащих P95 sub-100ms под реальной нагрузкой.

Feedback loop - это отличие

Что показывает индустрия: Модель без chargeback-петли быстро устаревает, когда паттерны фрода меняются.

Где входим мы: Подключение chargeback/dispute обратно в labeling и контролируемый retraining.

Сколько стоит ложное срабатывание антифрода?

Больше, чем кажется по отчёту о пойманном фроде. Заблокированный реальный клиент теряет доверие к платежу и часто не возвращается, а видно это не в fraud loss, а в конверсии чекаута. Поэтому мы считаем две метрики вместе - fraud loss и false-decline rate - и настраиваем пороги по их сумме, а не по одной из них.

Почему антифрод должен укладываться в sub-100ms?

Потому что решение принимается внутри окна авторизации транзакции. Если скоринг не успевает, система вынуждена пропускать транзакцию без проверки или ронять платёж. Feature store и serving проектируются так, чтобы P95 держался ниже 100 мс под реальной нагрузкой, плюс детерминированный fallback на случай деградации модели.

Как обучать модель, если фрода в данных доли процента?

Обычная accuracy на таких данных бесполезна - модель, отвечающая всегда "не фрод", будет права в 99% случаев. Работаем по precision-recall и стоимости ошибки каждого типа, используем взвешивание классов и оцениваем качество на отложенном периоде, а не на случайной выборке: паттерны фрода меняются во времени.

Можно ли объяснить клиенту, почему его операцию заблокировали?

Да, если объяснение сохраняется вместе со скором в момент решения. В audit trail пишутся факторы, поднявшие риск - скорость операций, новое устройство, несовпадение геолокации, - чтобы у поддержки был человеческий ответ клиенту, а у комплаенса обоснование для регулятора.

Зачем нужен graph-анализ, если правила уже работают?

Потому что организованный фрод работает как сеть, а правила смотрят на одну транзакцию. Общее устройство, повторяющийся адрес доставки, пересекающиеся карты - по отдельности слабые сигналы, а на графе они складываются в fraud ring, который правило по одной операции не увидит.

Как запустить новую модель, не сломав платежи?

Через shadow mode: модель считает скоры на реальном трафике, но ничего не блокирует. Так виден фактический уровень false-decline до включения enforcement. Порог поднимается постепенно, и каждый chargeback возвращается в разметку - это и есть feedback loop, без которого модель устаревает за пару кварталов.