Distinguishing Statistical Outliers, Behavioral Anomalies, and Fraud in Mobile Financial Transactions: An Unsupervised and Inferential Analysis Using PaySim

في الشبكة الواسعة وغير المرئية للأموال عبر الهاتف المحمول، حيث تتحرك مليارات الدولارات عبر الهواتف كل يوم، يوجد توتر مستمر بين تدفق التجارة المشروعة والسرقة الخفية للأموال. ولحماية هذا النظام، يعتمد المحللون على مفهوم "القيم المتطرفة" (outlier)—وهي معاملة تبدو غريبة مقارنة بالملايين من المعاملات العادية المحيطة بها. لسنوات، كان الافتراض السائد في هذه الصناعة هو أنه إذا بدت المعاملة غريبة بما يكفي، فمن المرجح أن تكون عملية احتيال. يشير هذا المنطق إلى أن العثور على الأشياء الغريبة هو نفسه العثور على المجرمين. ومع ذلك، فإن هذا الاعتقاد يرتكز على أساس هش: فكرة أن الغرابة الإحصائية، والسلوك غير المعتاد، والسرقة الفعلية، كلها أشياء متطابقة. وفي الواقع، هذه ثلاثة مفاهيم مختلفة؛ إذ يمكن أن تكون المعاملة غريبة دون أن تكون مسروقة، ويمكن للمعاملة المسروقة أن تبدو طبيعية تمامًا. إن فهم الفرق بين هذه الطبقات الثلاث ليس مجرد تمرين أكاديمي؛ بل هو المفتاح لوقف الجريمة المالية دون تجميد حسابات الأبرياء.

لقد وضعت دراسة حديثة هدفًا لاختبار ما إذا كانت هذه المفاهيم الثلاثة متميزة حقًا أم أنها مجرد أسماء مختلفة لنفس المشكلة. استخدم الباحثون مجموعة بيانات اصطناعية ضخمة تسمى "PaySim"، وهي تحاكي أكثر من ستة ملايين معاملة أموال عبر الهاتف المحمول لمشغل في أفريقيا. ورغم أن البيانات يتم إنشاؤها بواسطة الكمبيوتر، إلا أنها تمت معايرتها لتعكس أنماط العالم الحقيقي، بما في ذلك أكثر من ثمانية آلاف حالة مؤكدة من الاحتيال. لم يحاول الفريق مجرد بناء نظام إنذار أفضل؛ بل طرحوا سؤالًا أكثر جوهرية: هل الأدوات التي نستخدمها لرصد المعاملات "الغريبة" تمسك بالفعل بالمعاملات "الإجرامية"؟ لقد تعاملوا مع البيانات كمختبر، حيث فصلوا المعاملات إلى ثلاث فئات: تلك غير العادية إحصائيًا، وتلك التي تتصرف بغرابة، وتلك المصنفة فعليًا كاحتيال.

بدأ التحقيق بفحص المعاملات نفسها. قام الباحثون بهندسة مجموعة من السمات لمعرفة ما يجعل المعاملة الاحتيالية مختلفة عن المعاملة العادية. واكتشفوا أن العلامة الأكثر دلالة لم تكن حجم الأموال المتحركة، بل ما حدث لرصيد حساب المرسل بعد ذلك. في المحاكاة، قام المحتالون بتفريغ حساب المرسل تمامًا، تاركين إياه عند الصفر. خلق هذا "باقيًا" (residual) رياضيًا محددًا، أو فرقًا متبقيًا، يكاد يكون معدومًا في المعاملات العادية. وعندما اختبروا ذلك، وجدوا أن نمط تفريغ الرصيد كان إشارة أقوى بكثير من الاحتيال من مبلغ التحويل الخام. وأكد اختبار إحصائي قياسي أن هذا الفرق كان هائلًا، وأكبر بكما من أي عامل آخر. ومع ذلك، أشار الباحثون بحذر إلى أن هذه النتيجة خاصة بكيفية بناء المحاكاة، حيث يتم تعريف الاحتيال بهذا القاعدة المحددة لتصفير الحساب. في العالم الحقيقي، حيث قد يترك المحتالون بضعة سنتات خلفهم أو يستخدمون حيلًا أكثر تعقيدًا، قد لا تكون هذه الإشارة المحددة مثالية بهذا الشكل.

بعد ذلك، اختبر الفريق ثلاثة أساليب مختلفة من التعلم غير الخاضع للإشراف (unsupervised methods)—وهي خوارزميات مصممة لإيجاد الشذوذ دون إخبارها بما يبدو عليه الاحتيال. أرادوا معرفة ما إذا كانت هذه الكواشف "العمياء" ستحدد نفس المعاملات التي تم تصنيفها فعليًا كاحتيال. كانت النتائج مذهلة؛ إذ لم تتفق الطرق الثلاثة مع بعضها البعض إلا نادرًا. إحدى الطرق رصدت حالات احتيال قليلة لكنها أغفلت معظمها؛ وطريقة أخرى رصدت الكثير منها لكنها صنفت آلاف المعاملات البريئة على أنها مشبوهة. وعندما قاس الباحثون التداخل بين قوائم المعاملات "الغريبة" وقائمة "الاحتيال"، كان الاتصال غير مرئي تقريبًا. أقل من واحد بالمائة من حالات الاحتيال تم رصدها بواسطة الطرق الثلاث معًا في آن واحد. في الواقع، كان التداخل بين أي طريقة واحدة والاحتيال الفعلي صغيرًا جدًا لدرجة تشير إلى أن هذه الأدوات تبحث عن أشياء مختلفة تمامًا. يمكن للمعاملة أن تُصنف كقيمة متطرفة من قبل خوارزمية واحدة ويتم تجاهلها تمامًا من قبل خوارزمية أخرى، حتى لو كانت سرقة مؤكدة.

وللتعمق أكثر، نظر الباحثون في الحسابات نفسها بدلاً من مجرد المعاملات الفردية. قاموا بتجميع المستخدمين بناءً على سلوكهم العام، مثل عدد مرات سحبهم للنقد مقابل عدد مرات إرسالهم الأموال للآخرين. وباستخدام تقنية التجميع (clustering)، صنفوا هذه الحسابات إلى مجموعات. برزت مجموعة محددة: عنقود صغير من الحسابات التي تعمل كـ "وسطاء أموال" (money mules). عادة ما تحتفظ هذه الحسابات بأرصدة كبيرة، وتستقبل الأموال، ثم تقوم بصرفها فورًا، وهو نمط يتوافق مع الحسابات المستخدمة لغسل الأموال المسروقة. كان معدل الاحتيال في هذه المجموعة أعلى بنحو ثلاثين مرة من المتوسط. تشير هذه النتيجة إلى أنه بينما قد تبدو معاملة واحدة طبيعية، فإن تاريخ الحساب الذي يحملها يمكن أن يكشف عن نمط خطير. ومع ذلك، أشار الباحثون إلى أن المحاكاة كان لها قصور: معظم الحسابات في البيانات ظهرت مرة واحدة فقط، مما جعل من الصعب دراسة السلوك طويل الأمد. الحسابات القليلة التي تضمنت معاملات متعددة قدمت لمحة عن كيفية عمل التنميط السلوكي في الواقع.

تخلص الدراسة إلى أن الممارسة الشائعة للاعتماد على كاشف شذوذ واحد لإيقاف الاحتيال هي ممارسة معيبة بشكل أساسي. فالأدوات المستخدمة للعثور على الغرائب الإحصائية، والأدوات المستخدمة للعثور على الشذوذ السلوكي، ليست هي نفسها الأدوات اللازمة للعثور على الاحتيال. إنها تلتقط شرائح مختلفة من البيانات، والاعتماد على واحدة منها فقط يشبه محاولة رؤية منظر طبيعي كامل بعين واحدة فقط. وجد الباحثون أنه لا توجد طريقة واحدة من طرق التعلم غير الخاضع للإشراف كافية بمفردها؛ والنهج الأفضل سيكون الجمع بين رصد الأنماط المحاسبية الغريبة وتنميط سلوك الحساب. ومع ذلك، فقد وجهوا تحذيرًا شديد اللهجة: نظرًا لأن أقوى نتائجهم جاءت من محاكاة تم فيها تعريف الاحتيال بقاعدة محددة وصارمة، فلا يمكن افتراض أن هذه النتائج ستعمل بنفس الطريقة تمامًا في العالم الحقيقي الفوضوي وغير المتوقع. تعمل هذه الدراسة كخريطة للتضاريس، توضح أن الطريق للإمساك بالاحتيال أكثر تعقيدًا من مجرد مطاردة الأرقام الأكثر غرابة، ولكن الوجهة النهائية تتطلب اختبار هذه الأفكار على بيانات من العالم الحقيقي قبل أن يمكن الوثوق بأي نظام بالتعامل مع أموال فعلية.