كشف عمليات الاحتيال والاحتيال بالدفع الفوري المُصرَّح به

في الاحتيال بالدفع الفوري المُصرَّح به (APP fraud) يُرسل العميل الأموال بنفسه. فهو يُسجّل الدخول من جهازه المعتاد، ويجتاز كل خطوة من خطوات المصادقة، ويُؤكّد تحويلاً يعتقد أنه مشروع. الحساب ليس مُختَرقاً، بل الشخص هو المُختَرق. وعلى الكشف أن يُقيّم ما إذا كان صاحب الحساب الحقيقي يقع ضحية خداع، وهذا هو ما يُحدّد ما تقيسه وكيف تستجيب على حدٍّ سواء.

نماذج احتيال المدفوعات القياسية مُدرَّبة على خصم مختلف. فهي تتعلّم بصمات مهاجم استولى على حساب: جهاز جديد، وشبكة غير مألوفة، وجلسة لا تُشبه في سلوكها تاريخ العميل مطلقاً. أما في احتيال الدفع الفوري المُصرَّح به فكل واحدة من تلك الإشارات نظيفة، لأن العميل الحقيقي هو من يقوم بالعمل. وجّه نموذج الاستيلاء على الحساب (account takeover) نحو حركة الاحتيال بالدفع، فسيمرّر الدفعة، لأنه بحسب تعريفه لا شيء خاطئ. يحتاج كشف الاحتيال إلى مسار تقييم منفصل، مبني على خصائص مختلفة وتصنيف مختلف، وله رؤيته الخاصة لما تعنيه النتيجة السيّئة أصلاً.

الرهانات هنا ليست مجرّدة. ففي المملكة المتحدة، دخلت قواعد التعويض الإلزامية الصادرة عن منظّم أنظمة المدفوعات (Payment Systems Regulator) حيّز التنفيذ في 7 أكتوبر 2024، وأصبح البنك المُرسِل والبنك المُستقبِل يتقاسمان الآن كلفة تعويض معظم ضحايا الاحتيال بالدفع الفوري المُصرَّح به عبر المدفوعات السريعة (Faster Payments). وبذلك انتقل إتقان الكشف من عمل يقوم على حسن النية إلى بند مباشر في حساب الخسائر.

مشكلة التصنيف تأتي أولاً

قبل أي نمذجة، اضبط الهدف بدقّة، لأن تصنيفات الاحتيال بالدفع الفوري المُصرَّح به تُفسَد بصمت بطرق تُجمّل أرقامك في الوضع دون اتصال.

التصنيف الذي تريده هو “كانت هذه الدفعة عملية احتيال”، والمصدر الوحيد الموثوق هو النتيجة المؤكَّدة: أبلغ العميل عنها، وعُولجت القضية، وأكّد بنك المستفيد أنه حساب بغل مالي (mule account). ويصل هذا التأكيد بعد أيام أو أسابيع من الدفعة. وكل ما تتعلّمه في تلك النافذة الزمنية مُلوَّث لأغراض التدريب. فسمعة حساب المستفيد اللاحقة، وحقيقة أن خمسة عشر ضحية أخرى دفعوا إلى الرمز المصرفي (sort code) ذاته، واستذكار العميل نفسه لمحتوى المكالمة الهاتفية، لم يكن أيٌّ منها موجوداً عند التصريح بالدفعة.

لذا افرض صحّة التقاط اللحظة الزمنية (point-in-time correctness) بلا هوادة. ثبّت كل خاصية عند الطابع الزمني للتصريح، ووفّق بينها وبين سلسلة نشأة حدث الدفعة (lineage).

• يجب أن تعكس خصائص المستفيد ما كان معلوماً فقط قبل الخصم، لا علامة البغل المالي التي أُلحقت لاحقاً.
• يجب حساب الخصائص السلوكية من الجلسة حتى نقرة التأكيد، لا من الجلسة الكاملة التي تشمل إنهاء العميل للمكالمة مع المحتال.
• لا تربط أبداً جدول نتائج إدارة القضايا (case management) بمجموعة الخصائص. فهو مصدر التصنيف؛ وإن لامس الخصائص فقد بنيتَ تسرّباً.

عندما يبدو نموذج الاحتيال أفضل بشكل صارخ في الاختبار الرجعي (backtest) من نموذج الاستيلاء على الحساب المجاور له، افترض وجود نظر إلى المستقبل حتى تُثبت العكس. فمعظم التحسّن الظاهر يتبيّن أنه خاصية تُشفّر الإجابة بصمت.

الإشارات التي تفصل عمليات الاحتيال فعلاً

الدفعة تحت الإكراه تترك آثاراً، لكنها تعيش في سياق الدفعة وسلوك العميل لا في هُويته. وهذه هي العائلات التي تستحقّ هندستها.

• حداثة المستفيد وسرعة إنشائه (velocity). أول دفعة على الإطلاق إلى مستفيد جديد كلياً، أُنشئ قبل التحويل بدقائق، إلى حساب لم يمضِ على وجوده هو نفسه سوى أيام. وتتيح لك مطابقة الكيانات (entity resolution) عبر مجتمع المستفيدين أن ترى متى يبدأ حساب واحد فجأة بالاستقبال من مُرسِلين كثيرين لا علاقة بينهم.
• احتكاك الجلسة والتردّد. مكوث طويل على شاشة الدفع، وتعديلات متكرّرة على حقل المرجع، واسم المستفيد يُكتب ويُعاد كتابته، وجلسة تتوقّف كأن العميل يقرأ نصّاً لشخص آخر. ضعيفة بمفردها، لكنها مفيدة في التجميع.
• غرض الدفعة مقابل الملف الشخصي (profile). تحويل إلى “حساب آمن”، أو مستفيد استثماري، أو مبلغ نقل ملكية عقارية لا يطابق أي صفقة عقارية معروفة، أو عميل لم يُرسل قط مدفوعات سريعة من أربعة أرقام يُحرّك فجأة كامل رصيده.
• نشاط هاتفي متزامن حيث يمكنك رصده. على الهاتف المحمول، وجود مكالمة جارية أثناء الدفعة من أقوى دلائل الإكراه، لأن عمليات احتيال انتحال الصفة والاستثمار والعواطف تجري كلها تقريباً عبر مكالمة مباشرة.
• بيانات استخباراتية مُشتركة عن المستفيد. مطابقات الرمز المصرفي ورقم الحساب مقابل خلاصات الإبلاغ القطاعية عن الاحتيال (industry scam-reporting feeds)، مُطبَّقة وفق التقاط اللحظة الزمنية بحيث لا تعتمد إلا على ما نُشر قبل الدفعة.

لا توجد إشارة واحدة حاسمة بمفردها. مهمّة النموذج هي دمجها في درجة للنية والإكراه (intent-and-coercion score) يمكن لطبقة السياسة (policy layer) أن تتصرّف بناءً عليها، وأن يُعيدها بسرعة كافية للمعالجة المباشرة الكاملة (straight-through processing) على الأغلبية النظيفة.

تدخّل دون حظر التحويلات السليمة

الدرجة تختار مستوى احتكاك، لا حُكماً بالموافقة أو الرفض، وإتقان هذا التدرّج هو حيث تُثبت ميزانية الإيجابيات الكاذبة (false-positive budget) جدواها. فكل تحويل بالدفع الفوري المُصرَّح به هو دفعة يريد العميل إتمامها. احظر عدداً كبيراً منها، فأنت ترفض إيجارات وودائع ورواتب؛ والأسوأ أن العميل سيلتفّ حولك إلى قناة لا يمكنك تقييمها البتة.

طابِق التدخّل مع نطاق الدرجة ونمط الاحتيال.

• درجة منخفضة: معالجة مباشرة، بلا احتكاك. هذه هي الأغلبية الساحقة، ويجب أن تظلّ غير مرئية.
• درجة متوسطة: تحذير موجَّه مُخصَّص للمستفيد. لافتات “هل أنت متأكّد؟” العامة تُرفض بشكل انعكاسي. أما التحذير الذي يُسمّي نوع الاحتيال الذي تشير إليه الخصائص فهو من النوع الذي يقرؤه العميل فعلاً.
• درجة مرتفعة: إيقاف صارم لتدخّل بشري. تعليق فترة تهدئة على الدفعة، أو مكالمة صادرة وفق نصّ مُعدّ، أو اشتراط التأكيد عبر قناة ثانية قبل أن تُغادر الأموال.

كل تدخّل يُكتب في سجلّ التدقيق (audit trail): الدرجة، والخصائص المُساهِمة، والإجراء المُتّخذ. عندئذٍ يستطيع المراجِع إعادة بناء سبب تعليق دفعة عميل ما، ويمكنك قياس ما إذا كان الاحتكاك قد منع خسارة أم أنه لم يفعل سوى إزعاج أحدهم. تابِع فاعلية التدخّل بوصفها مقياساً قائماً بذاته. فالتحذير الذي لا يتخلّى بعده أحد قط عن دفعته هو تحذير لا يفعل شيئاً، وهو يُنفق ميزانية احتكاكك دون أي عائد.

راقِب الانحراف (drift) عن كثب، لأن نصوص الاحتيال تتبدّل أسرع من أساليب الاحتيال بالبطاقات. فعندما ينتقل انتحال الصفة من “حسابك مُخترَق” إلى “طردك بحاجة إلى رسوم تحرير”، تتحرّك اللغة وأشكال الدفعات معه، وتتحلّل الخصائص المُضبوطة على دليل الربع الماضي. أعد اقتطاع مجموعة التقييم (eval set) من الحالات المؤكَّدة الحديثة على وتيرة منتظمة، وأبقِ البيانات الاستخباراتية عن المستفيدين في مخزن الخصائص (feature store) مُحدَّثة، وإلا انزلق النموذج بهدوء عائداً نحو تمرير كل شيء.