كشف حسابات بغال الأموال (money mules)

بغل الأموال (money mule) هو حساب يستقبل أموالاً مسروقة تخصّ شخصاً آخر ويمرّرها خلال ساعات مقابل حصّة. عادةً ما يعود الحساب إلى شخص حقيقي اجتاز إجراءات اعرف عميلك (KYC) بنظافة، لذا تُخفق فحوصات التسجيل الثابتة في رصده. تُمسك بالبغال عبر مراقبة ما يفعله الحساب بمجرد أن تصل إليه أموال لم يكتسبها، وإلى أين يُرسلها.

الدلائل سلوكية وعلائقية. الجزء الصعب هو التوقيت. يبدو البغل المُجنّد مطابقاً تماماً لأي عميل عادي حتى لحظة وصول الإيداع الاحتيالي، ومن تلك اللحظة تملك دقائق، وأحياناً ثوانٍ، قبل مغادرة المدفوعات الصادرة. التقييم على دفعة ليلية عديم الفائدة هنا. ما يستحقّ عناءه هو نموذج يُقيّم عملية بعينها من تدفّق داخل ثم محاولة تدفّق خارج عند وقت الترخيص، مستخدماً فقط المعلومات التي كانت موجودة في تلك اللحظة بالذات.

ما يفعله الحساب، لا ما هو عليه

ابدأ بسلوك حساب مفرد عبر حياته القصيرة. الخصائص التي تحمل وزناً كلّها تقريباً خصائص لحظة زمنية (point-in-time): تصف حالة الحساب عند اللحظة التي توشك الأموال أن تغادر فيها، دون استخدام أي شيء مما بعد تلك اللحظة. إن أخطأت في نوافذ الاستعادة الزمنية (lookback windows) سرّبت النتيجة إلى الخصائص، وهو ما يُنتج نموذجاً يبدو ممتازاً في الاختبار الرجعي (backtest) وينهار في بيئة الإنتاج.

السلوكيات الجديرة بالترميز:

• الخمول ثم النشاط المفاجئ. حساب يبقى قرب الصفر لأسابيع، ثم يستقبل إيداعاً ويحاول فوراً تمرير معظمه. نسبة العبور (pass-through ratio) ومدّة المكوث (dwell time) بين الإيداع والسحب من أقوى الخصائص المفردة التي نراها.
• أرضية الرصيد. تميل البغال إلى تفريغ الحساب حتى يقارب الصفر في كل دورة. الرصيد المتبقّي بعد التدفّق الخارج، كنسبة من التدفّق الداخل، مفيد لأن المستفيد الحقيقي نادراً ما يُصفّر حسابه عن قصد.
• عدم تطابق الجهاز والجلسة عند لحظة الصرف. غالباً ما يكون الجهاز الذي يسجّل الدخول لتحريك الأموال ليس الجهاز المُسجَّل. هنا تتداخل إشارات البغال مع إشارات الاستيلاء على الحساب (account takeover)، والأجدر أن تُشارك الخصائص بينهما بدلاً من بنائها مرّتين.
• الفجوة الزمنية بين التسجيل وأول تدفّق بغل. تُحرّك الحسابات المُجنّدة حديثاً الأموال المسروقة بعد فتحها بوقت قصير. الفجوة الضيقة بين عمر الحساب وأول عملية عبور كبيرة ترفع درجة الخطورة.
• المبالغ ذات الأرقام المدوّرة والواعية بالحدود. التدفّقات الصادرة بمقدار أقل بقليل من عتبات المراجعة الداخلية، أو المقسّمة إلى أجزاء شبه متساوية، تدلّ على شخص يعرف مواقع أسلاك التنبيه.

لا شيء من هذه حاسم بمفرده. حساب رواتب يُمرّر الإيجار كل شهر يستوفي عدداً منها. يكتسب النموذج قيمته بدمجها وبالاشتراط على التدفّق الداخل: النمط الصادر نفسه حميد بعد إيداع راتب ومشبوه بعد إيداع من طرف مقابل يبدو هو ذاته مخترَقاً.

الشبكة هي مكمن الثقة

الحساب المفرد غامض. العلاقات بين الحسابات ليست كذلك. نادراً ما تعمل البغال بمفردها؛ فهي الطبقة المرئية من عملية توزيع تنشر الأموال المسروقة عبر كثير من الحسابات المستقبِلة وتجمعها عند عدد أصغر من نقاط الصرف النقدي. تظهر تلك البنية في رسم المعاملات البياني (transaction graph).

ابنِ حلّ الكيانات (entity resolution) أولاً، لأن الرسم البياني ليس أفضل من عُقده. تتيح لك الأجهزة المشتركة، وتفاصيل المستفيدين المشتركة، وأرقام الهواتف المُعاد استخدامها، والأطراف المقابلة المموِّلة المشتركة، أن تدمج الحسابات التي تخصّ الفاعل نفسه أو الشبكة نفسها. عندها تصبح الخصائص العلائقية متاحة:

• المستفيدون الصادرون المشتركون. دفع كثير من الحسابات المستقبِلة غير المترابطة ظاهرياً إلى الحساب النهائي نفسه هو من أوضح بصمات الشبكات. عادةً ما يكون الحساب النهائي أقرب إلى نقطة الصرف النقدي.
• نسب التدفّق الداخل والخارج عند فوارق زمنية قصيرة. عُقدة تستقبل من كثيرين وتدفع إلى قلّة، كلّ ذلك ضمن نافذة ضيقة، تتصرّف كجامع. النمط المعاكس يشير إلى موزّع.
• سرعة تكوّن الحواف الجديدة. عنقود من الحسابات يبدأ فجأةً بالتعامل فيما بينه، حيث لم تكن هناك حواف قبل أسبوع، هو شبكة قيد التشكّل.
• المسافة إلى بغل معروف. بمجرد أن تؤكّد حساباً واحداً، ترث جيرانه المباشرون خطورة مرتفعة. نشر الدرجة قفزتين أو ثلاث للخارج، مع تلاشٍ (decay)، يكشف بقية الشبكة قبل أن يتخطّى كلّ حساب عتبته السلوكية الخاصة.

أبقِ الرسم البياني بدوره على أساس اللحظة الزمنية. من السهل بناء لقطة تتضمّن حوافّ تكوّنت بعد المعاملة التي تُقيّمها، وهي النسخة العلائقية من التسريب الاستشرافي (lookahead) ولا تقلّ عنه ضرراً. سلسلة أثر (lineage) كل خاصية رجوعاً إلى الطابع الزمني الذي كانت صالحة عنده يجب أن تصمد حين يسأل فريق استرداد أو جهة تنظيمية كيف اتُّخذ قرار إيقاف بعينه.

التقييم، والإيقاف، وتكلفة الخطأ

الكشف لا يفيد إلا إذا غيّر ما يحدث للمبلغ المصروف. وهذا يفرض قرارين هندسيين.

أولاً، زمن الاستجابة. إن كان على الدرجة أن تتحكّم في مدفوعات فورية صادرة (faster payment)، فهي تعمل ضمن مسار الترخيص وبميزانية زمنية صارمة بالمللي ثانية، لذا على مخزن الخصائص (feature store) أن يخدم حالة الحساب والشريحة ذات الصلة من الرسم البياني ضمن تلك الميزانية. الخصائص التي تتطلّب اجتياز الرسم البياني بالكامل وقت الطلب لا تصمد؛ تُحسِب مسبقاً وتُخزّن مؤقتاً خطورة الجوار وتُحدّثها وفق جدول زمني وعند أحداث الحواف الجديدة.

ثانياً، ميزانية الإنذارات الكاذبة (false-positive budget). إيقاف مدفوعات مشروعة مكلف بطريقة لا يماثلها رفض بطاقة، لأن العميل كان يحاول تحريك أمواله الخاصة وصار الآن عاجزاً. لذا تقع نقطة التشغيل حيث يستطيع طابور المراجعة تصريفها فعلاً، وتُوجَّه الإنذارات الحدّية إلى تحقّق مُعزّز (step-up) أو إيقاف قصير بدلاً من حظر قاطع. تصنيف بغل مؤكّد يستحقّ مراجعة يدوية؛ أما إشارة سلوكية ضعيفة على حساب راسخ فعادةً لا تستحقّ.

قِس الاستدعاء (recall) على المجموعة المؤكّدة وأبقِ ذلك التقييم منفصلاً عن بيانات الاستدعاء ذات التصنيف الضعيف وبيانات ردّ المدفوعات (chargeback) التي تدرّب عليها، وإلا أقنعت نفسك بأن النموذج أفضل مما هو عليه. راقب الانحراف (drift) عن كثب، لأن حرفة البغال تتكيّف بسرعة؛ أنماط هيكلة المبالغ ومدّة المكوث من ربعين مضيا تتلاشى، والحسابات التي كانت تخمل لأسابيع صارت تخمل لأيام. كل إيقاف وكل إفراج ينبغي أن يكتب سجلّ تدقيق (audit trail) يتضمّن الخصائص وشريحة الرسم البياني التي أنتجته، لأن ذلك السجلّ هو ما يتيح لك الدفاع عن قرار وما يتيح لك إعادة التدريب على نتائجك الخاصة.