Distinguishing Statistical Outliers, Behavioral Anomalies, and Fraud in Mobile Financial Transactions: An Unsupervised and Inferential Analysis Using PaySim

モバイルマネーという広大で目に見えないネットワークにおいて、毎日数十億ドルもの資金が電話を通じて移動する中、正当な商取引の流れと、巧妙な資金窃盗との間には絶え間ない緊張関係が存在している。このシステムを保護するために、アナリストたちは「アウトライヤー（外れ値）」、つまり周囲にある何百万もの通常の取引と比較して奇妙に見える取引という概念に依拠している。長年、業界における支配的な仮定は、「もし取引が十分に奇妙に見えるならば、それは不正である可能性が高い」というものであった。この論理は、奇妙なものを見つけることは犯罪者を見つけることと同じであると示唆している。しかし、この信念は脆弱な基盤の上に成り立っている。すなわち、「統計的な異常さ」、「特異な振る舞い」、そして「実際の窃盗」はすべて同じものであるという考えだ。実際には、これらは3つの異なる概念である。取引は、盗難に遭っていなくても奇妙であることがあるし、盗まれた取引が完璧に正常に見えることもある。これら3つの層の違いを理解することは、単なる学術的な演習ではない。それは、無実の人々の口座を凍結させることなく金融犯罪を阻止するための鍵なのである。

最近のある研究は、これら3つの概念が本当に別個のものなのか、それとも単に同じ問題に対する異なる名称に過ぎないのかを検証することを目的とした。研究者たちは、アフリカのある通信事業者の600万件以上のモバイルマネー取引をシミュレートした「PaySim」と呼ばれる大規模な合成データセットを使用した。データはコンピュータ生成されたものであるが、8,000件以上の確定した不正事例を含む、現実世界のパターンを反映するように調整されている。チームは単に、より優れたアラームシステムを構築しようとしたのではない。代わりに、彼らはより根本的な問いを投げかけた。「『奇妙な』取引を特定するために使用しているツールは、実際に『犯罪的な』取引を捉えているのだろうか？」彼らはデータを実験室として扱い、取引を「統計的に珍しいもの」、「振る舞いが奇妙なもの」、そして「実際に不正とラベル付けされたもの」の3つのカテゴリーに分類した。

調査は、まず取引そのものを調べることから始まった。研究者たちは、不正な取引を通常の取引と区別させるものは何かを見極めるために、一連の特徴量を設計した。彼らは、最も決定的な兆候は移動する金額の大きさではなく、その後に送信者の口座残高に何が起こったかであることを見出した。シミュレーション内では、詐欺師は送信者の口座を完全に空にし、残高をゼロにしていた。これにより、特定の数学的な「残差（レジデュアル）」、つまり通常の取引ではほとんど存在しない「残りカス」の差が生じていた。これをテストしたところ、残高を空にするパターンは、送金される生のドル金額よりもはるかに強力なシグナルであることが判明した。標準的な統計テストにより、この差は他のどの要因よりも圧倒的に大きいことが確認された。しかし、研究者たちは、この結果はシミュレーションの構築方法に特有のものであることに注意を払った。このシミュレーションでは、不正がこの「ゼロにする」という正確なルールによって定義されているためである。現実の世界では、詐欺師が数セントを残したり、より複雑なトリックを用いたりするため、この特定のシグナルはこれほど完璧ではない可能性がある。

次に、チームは3つの異なる教師なし学習手法、つまり不正がどのようなものかを知らされないまま異常を見つけ出すアルゴリズムをテストした。彼らは、これらの「盲目的な」検知器が、実際に不正としてラベル付けされた取引と同じものをフラグ立てするかどうかを確認したかった。結果は驚くべきものだった。3つの手法は、互いにほとんど一致しなかった。ある手法は少数の不正事例を捉えたがほとんどを見逃し、別の手法は多くを捉えたものの、数千件の無実の取引を不審としてフラグ立てした。研究者が「奇妙な」取引のリストと「不正」のリストとの間の重複を測定したところ、その繋がりはほとんど見えなかった。3つの手法すべてが同時に捉えた不正事例は1パーセントにも満たなかった。実際、単一の手法と実際の不正との間の重複は非常に小さく、これらのツールは全く異なるものを見ていることを示唆していた。あるアルゴリズムによってアウトライヤーとしてフラグを立てられた取引が、たとえ確定した窃盗であっても、別のアルゴリズムからは完全に無視されることもあった。

さらに深く掘り下げるため、研究者たちは個々の取引ではなく、口座そのものに着目した。彼らは、現金の引き出し頻度と他者への送金頻度など、ユーザーの全体的な行動に基づいてユーザーをグループ化した。クラスタリング手法を用いて、彼らはこれらの口座をグループに分類した。ある特定のグループが際立っていた。それは「マネーミュール（運び屋）」として機能する口座の小さなクラスターであった。これらの口座は通常、多額の残高を保持し、資金を受け取り、その後すぐに現金化するという、盗まれた資金の洗浄に使用される口座と一致するパターンを持っていた。このグループの不正率は平均の約30倍に達していた。この発見は、単一の取引は正常に見えるかもしれないが、その口座の履歴が危険なパターンを明らかにできることを示唆している。しかし、研究者たちはシミュレーションの限界についても指摘した。データのほとんどの口座は一度しか登場しないため、長期的な行動を研究することが困難であった。複数の取引を持つ数少ない口座は、行動プロファイリングが現実でどのように機能し得るかについての洞察を与えてくれた。

本研究は、単一のアノマリー（異常）検知器に頼って不正を阻止するという一般的な慣行は、根本的に欠陥があるという結論を下している。統計的な異常を見つけるためのツールと、行動的な異常を見つけるためのツールは、不正を見つけるために必要なツールとは異なるものである。それらはデータの異なる断片を捉えており、そのうちの一つだけに頼ることは、片目だけで風景全体を見ようとするようなものである。研究者たちは、単独の教師なし学習手法では不十分であることを発見した。最善のアプローチは、奇妙な会計パターンと口座の行動プロファイリングの両方を組み合わせることである。しかし、彼らは強い警告を発した。なぜなら、彼らの最も強力な発見は、不正が特定の厳格なルールによって定義されたシミュレーションから得られたものであり、これらの結果が、混沌として予測不可能な現実世界で全く同じように機能すると想定することはできないからである。この研究は地形の地図としての役割を果たしており、不正を捕まえるための道は、単に奇妙な数字を追いかけることよりも複雑であることを示している。しかし、最終的な目的地に到達するには、実際の資金を預かる前に、これらのアイデアを現実世界のデータでテストする必要がある。