كشف غسل المعاملات في المدفوعات

غسل المعاملات هو أن يعالج نشاط تجاري غير مُعتمد مدفوعاته عبر حساب نشاط آخر مُعتمد. فتاجرٌ جرى تأهيله لبيع حصائر اليوغا يمرّر حجم معاملات البطاقات الخاص بصيدلية غير مرخّصة، أو بعملية مقامرة، عبر واصفه (descriptor) الخاص. يرى البنك المستحوذ تسوية نظيفة مقابل رقم تاجر (MID) معروف. أما البائع الحقيقي فلم يظهر قط في مرحلة الاكتتاب (underwriting)، ولذلك لم يقيّم أحدٌ مخاطره. الكشف يعني العثور على النشاط الثاني المختبئ داخل الأول.

هذه مشكلة أصعب من احتيال البطاقات لأن حامل البطاقة يحصل عادةً على ما دفع مقابله. نادراً ما يقدّم من يشتري أحذية رياضية مقلّدة أو دواءً خارج دواعي استعماله المعتمدة اعتراضاً. ويبقى معدل ردّ المبالغ المدفوعة، الرقم الذي تراقبه البنوك المستحوذة بشكل تلقائي، مستقراً. أنت تبحث عن نشاط تجاري لا يريد أن يُرى، يعمل خلف واصف صدر بشكل شرعي، داخل محفظة يكون فيها الإنذار الأعلى صوتاً صامتاً بحكم التصميم.

ما يفضحه دفتر التسوية

على التاجر غير المُفصح عنه أن يحرّك الأموال، وتحريك الأموال يترك بصمة. فمتجر زهور جرى تأهيله بمتوسط قيمة عملية 40 يورو وبحجم معاملات نهاري في أيام العمل، يبدأ فجأةً بتسوية عمليات بقيمة 180 يورو عند الثانية صباحاً، مركّزة على حفنة من البلدان لم يذكرها ملف التأهيل قط. عدم التطابق بين الملف الذي جرى تأهيله عليه والسلوك المُسوّى فعلياً هو أول ما يستحق النمذجة.

بشكل ملموس، نبني السمات انطلاقاً من المعاملات المُسوّاة ونقارنها بالملف المُصرّح به للتاجر عند التأهيل:

• توزيع أحجام العمليات مقارنةً بالمتوسط المُصرّح به ومجموعة الأقران ضمن رمز تصنيف التاجر (MCC)، ليس المتوسط فحسب بل شكل الذيل الإحصائي.
• حجم المعاملات بحسب وقت اليوم ويوم الأسبوع مقابل ما يبدو عليه متجر حقيقي في تلك الفئة.
• مزيج المعاملات العابرة للحدود وتركّز بلد الجهة المُصدِرة نسبةً إلى قاعدة العملاء المُصرّح بها.
• أنماط الاسترداد وعكس العمليات، التي تتصرف بشكل مختلف حين يكون “التاجر” يختبر نطاقات بطاقات بدلاً من خدمة مشترين.
• تبدّل الواصفات (descriptors) وتواتر ظهور معرّفات طرفيات (terminal IDs) جديدة تحت رقم تاجر واحد.

لا شيء من هذه المؤشرات قاطع بمفرده. فقد يكون لمتجر الزهور شهر ديسمبر جيد. الإشارة هي أن يبتعد التوزيع المشترك عن الخط المرجعي الذي جرى التأهيل عليه ويبقى بعيداً، ولهذا يميل مراقب الانحراف (drift monitor) على سجل كل تاجر إلى التفوق على أي عتبة ثابتة. أنت تسأل ما إذا كان هذا الحساب لا يزال يتصرف كالنشاط التجاري الذي اكتتبته.

السمات عند نقطة زمنية محددة وفخ التسرّب

الخطأ الذي يُفسد هذه النماذج بهدوء هو التدريب على بيانات لم تكن لتتوفر للنموذج وقت التسجيل. فإذا جاء التصنيف (label) من تحقيق أُغلق في مارس، وبنيتَ السمات من بيانات تسوية تمتد حتى أبريل، فإن النموذج يتعلم من المستقبل. سيبدو ممتازاً في الاختبار الرجعي (backtest) وينهار في الإنتاج، لأن بيانات ما بعد مارس لا وجود لها بعد وقت الاستدلال.

يجب إعادة بناء كل سمة كما كانت في الطابع الزمني للتسجيل. وهذا يعني مخزن سمات (feature store) بعمليات ربط دقيقة “حتى تاريخه” (as-of joins)، لا لقطة من الجدول الحالي. فمتوسط قيمة عمليات التاجر يجب أن يكون متوسطه حتى يوم التسجيل، محسوباً على بيانات كانت قد سُوّيت وطُوبقت فعلياً حتى ذلك الحين. يهم هنا تأخر المطابقة: قد لا تُسوّى معاملة أُذن بها اليوم إلا بعد يومين أو ثلاثة، لذا فإن سمة ساذجة تفترض أن دفتر اليوم مكتمل تُدخل نظرة استباقية (lookahead). ابنِ مجموعة التقييم من لقطات مجمّدة عند نقطة زمنية محددة، واحتفظ بسلسلة النسب (lineage) كي يتمكن مراجع من إعادة إنتاج أي درجة.

جانب التصنيف يعاني المشكلة نفسها بشكل معكوس. فغسل المعاملات المؤكَّد نادر ويُؤكَّد متأخراً، غالباً بعد غرامة من شبكة بطاقات أو إحالة من جهات إنفاذ القانون. عامِل هذه الحالات كمجموعة إيجابية صغيرة وثمينة. نحتفظ بمجموعة تقييم فصل فيها محقق احتيال فعلياً، ونقاوم إغراء حشوها بتصنيفات إرشادية (heuristic) ضعيفة، لأنها تعلّم النموذج تقليد القاعدة الإرشادية بدلاً من اكتشاف الجريمة.

ربط الأنشطة التي تتشارك عموداً فقرياً واحداً

نادراً ما يوجد أقوى دليل في حساب واحد. فعادةً ما تمتد عملية الغسل عبر عدة تجار واجهة، وهم يتركون بصمات مشتركة: الحساب البنكي نفسه لصرف المستحقات، والمالك المستفيد نفسه بتهجئة مختلفة، وصفحة دفع مستضافة على الخادم نفسه، وكتلة عناوين IP تظهر عبر أرقام تجار (MIDs) يُفترض أنها غير مترابطة، ورقم هاتف يتكرر في ثلاثة ملفات تأهيل.

تحويل تلك الشظايا إلى روابط هو مهمة تحليل الكيانات (entity resolution). فبمجرد أن تربط الحسابات بالكيانات الكامنة خلفها، تصبح المحفظة رسماً بيانياً (graph)، ويظهر غسل المعاملات كبنية: عنقود من تجار واجهة هزيلين يوجّهون التسوية إلى حساب صرف واحد، أو رابط متجر (URL) يقود إلى كتالوج منتجات لم يجرِ تأهيل أحد عليه. كما تلتقط رؤية الرسم البياني حركة إعادة التأهيل، حيث يفتح مشغّلٌ أُنهي رقم تاجره ببساطة رقماً جديداً بواصف جديد وبنفس البنية التحتية تحته.

• حلّل حسابات الصرف والملّاك والأجهزة والروابط إلى كيانات معيارية قبل التسجيل.
• سجّل على مستوى الكيان والعنقود، لا لكل معاملة فحسب، كي تنتقل مخاطر حساب صرف مشترك إلى كل تاجر متفرّع عنه.
• احتفظ بقرارات التحليل ضمن سجل التدقيق، لأن رابطاً يؤدي إلى إنهاء تعامل يجب أن يصمد أمام تدقيق التاجر والشبكة والجهة التنظيمية.

حيث يتوقف النموذج ويبدأ الإنسان

إنهاء التعامل مع تاجر إجراء بالغ الأثر، له وزن حقيقي على الإيرادات وأبعاد قانونية، لذا فإن هذه النماذج تفتح حالات، لا تغلقها. المخرج المهم هو قائمة انتظار مرتّبة يستطيع محقق أن يعمل عليها، حيث تكون كل درجة مدعومة بالسمات المحددة التي دفعتها: انحراف قيمة العمليات، حساب الصرف المشترك، واجهة المتجر التي تبيع شيئاً غير ما جرى التأهيل عليه. الدرجة بلا تفسير غير قابلة للتطبيق، لأن على المحلل أن يكتب سرداً يصمد إذا استأنف التاجر أو سألت الشبكة عن كيفية التوصل إلى القرار.

هذا القيد يشكّل عملية البناء بأكملها. فميزانية الإيجابيات الكاذبة (false positives) تبقي قائمة الانتظار صغيرة بما يكفي كي يحقق المحللون بدلاً من الختم الآلي. وكل حالة يفصل فيها محقق تعود سمةً مُصنّفة، وهكذا تنمو مجموعة التقييم وتقيس بها الانحراف مع تغيّر تكتيكات الغاسلين ضدك. حجم التنبيهات هدف خاطئ. احكم على النموذج بما يحدث حين يعمل المحقق على حالة: هل يكشف النشاط غير المُفصح عنه، أم متجر زهور مرّ بشهر ديسمبر جيد؟ النموذج الذي يستمر في الوصول إلى الأول، بمعدل تستطيع قائمة الانتظار تصريفه فعلاً، يؤدي عمله.