Online Calibration of Account-Specific Risk Sensitivity from Local Behavioural Distances in Streaming Banking Transactions

기술 요약: 계정별 리스크 민감도의 온라인 보정(Online Calibration of Account-Specific Risk Sensitivity)

문제 정의
디지털 뱅킹에서 사기 위험 평가는 흔히 k-최근접 이웃(k-NN)과 같은 인스턴스 기반 방법론에 의존하며, 여기서는 새로운 거래를 과거의 관측치들과 비교하여 평가한다. 본 연구에서 식별된 결정적인 한계는 단일한 고정 민감도 파라미터가 모든 계정에 대해 "국소적 행동 거리(local behavioural distances)"를 리스크 점수로 변환하는 데 효과적이라는 가정이다. 계정들은 각기 다른 행동적 규칙성을 보인다. 매우 균질한 계정(낮은 자연적 편차)은 미세한 사기를 탐지하기 위해 높은 민감도가 필요할 수 있는 반면, 매우 가변적인 계정(높은 자연적 편차)은 오탐(false positives)을 피하기 위해 낮은 민감도가 필요할 수 있다. 단일한 민감도 임계값을 적용하는 것은 이러한 계정별 특이성을 반영하지 못하며, 결과적으로 가변적인 계정에는 과도한 오탐을, 경직된 계정에는 탐지 누락을 초축할 수 있다. 본 연구는 스트리밍 환경 내에서 개별 계정의 구체적인 행동 이력에 따라 민감도 파라미터($\gamma_a$)를 동적으로 조정해야 할 필요성을 다룬다.

방법론
본 연구는 국소적 행동 거리로부터 계정별 리스크 민감도 파라미터($\gamma_a$)를 추정하는 온라인 보정 절차를 제안하고 평가한다. 방법론은 IEEE-CIS 사기 탐지 벤치마크를 사용하여 스트리밍 프레임워크 내에서 작동한다.

1. 계정 자격 검증: 충분한 과거 맥락(최소 20건의 거래 및 30일간의 이력)을 보유한 계정만이 보정 대상이 된다. 8,499개의 계정으로 구성된 병합된 데이터셋 중 608개(7.15%)가 이 기준을 충족했다.
2. 국소 행동 참조 풀(Local Behavioural Reference Pool, BRP): 각 유입 거래에 대해, 시스템은 해당 계정의 이력에서 "관계-국소적(relationship-local)" 후보 집합을 검색한다. 이 검색은 관련성을 보장하기 위해 계층적 구조(위치, 장치, 수취인의 삼중 일치; 그 다음 쌍; 그 다음 단일 항목 순)를 따른다.
3. 행동 편차 및 거리: 거래는 최신성(recency), 시간적(temporal), 금액(amount), 구조적(structural)의 네 가지 편차 차원으로 표현된다. 유입된 거래와 검색된 후보들 사이의 가중 유클리드 거리가 계산된다.
4. 리스크 평가: 거래 리스크($R_q$)는 후보 풀의 $k$-최근접 이웃을 사용하여 계산된다. 리스크 함수는 $R_q(\gamma_a) = \frac{1}{k} \sum \frac{d_{qi}}{\gamma_a + d_{qi}}$로 정의되며, 여기서 $d_{qi}$는 행동 거리이고 $\gamma_a$는 민감도 파라미터이다.
5. 온라인 보정: 핵심 혁신은 $\gamma_a$의 점진적 업데이트이다.
   • 관찰: 거래가 정상적인 것으로 확인되면, 전체 후보 풀에 대한 거리의 평균($D_q$)이 계산된다.
   • 업데이트: 이 평균 거리는 웰포드 알고리즘(Welford's algorithm)을 사용하여 계정의 실행 엠피리컬 평균($\mu_{a,t}$)을 업데이트하는 데 사용된다. 이를 통해 전체 이력을 저장하지 않고도 상수 메모리만으로 업데이트가 가능하다.
   • 민감도 도출: 새로운 민감도는 $\gamma_{a,t+1} = \max(\mu_{a,t+1}, \gamma_{floor})$로 설정된다.
6. 실험 조건: 본 연구는 "적응형(Adaptive)" 조건(여기서 $\gamma_a$는 계정마다 다름)을 "고정 참조(Fixed Reference)" 조건(모든 계정에 대해 $\gamma = 1$)과 비교한다. 두 조건 모두 하부의 국소 행동 거리는 동일하게 사용하여 민감도 파라미터의 효과만을 분리하여 조사한다.

주요 기여

• 온라인 보정 절차: 본 논문은 스트리밍 환경에서 국소 행동 거리를 직접 활용하여 계정별 민감도 파라미터를 유지하는 메커니즘을 도입하며, 이는 파라미터 분포 가정을 피할 수 있게 한다.
• 상수 메모리 메커니즘: 웰포드 알고리즘을 활용함으로써, 계정별 민감도를 상수 메모리 사용량으로 점진적으로 업데이트할 수 있음을 입증하였으며, 이는 실시간 뱅킹 스트림에 적합하다.
• 메커니즘적 격리: 본 연구는 더 넓은 사기 방지 모델의 민감도 구성 요소를 격리하여, 적응형 민감도가 하부의 거리 측정이나 분류 임계치를 변경하지 않고도 어떻게 연속적인 리스크 점수를 변화시키는지 보여준다.

결과

• 민감도의 이질성: 보정된 민감도 값은 행동 층위(behavioural strata)에 따라 크게 달랐다. 활동성이 높은 계정은 가장 낮은 평균 민감도($\gamma_a \approx 0.7113$)를 보였고, 활동성이 낮은 계정은 가장 높은 민감도($\gamma_a \approx 1.2534$)를 보였다. 무작위 베이스라인 그룹은 고정 참조값($\gamma_a \approx 1.0040$)에 근접해 있었다.
• 리스크 점수에 미치는 영향: 연구 결과 적응형 민감도가 리스크 점수를 직접적으로 조절함을 관찰했다.
  • $\gamma_a < 1$인 경우(활동성이 높은 계정의 전형적인 특징), 동일한 거리에 대해 적응형 리스크 점수가 고정 참조 리스크보다 높게 나타나 리스크 반응을 증폭시켰다.
  • $\gamma_a > 1$인 경우(활동성이 낮은 계정의 전형적인 특징), 적응형 리스크 점수가 고정 참조보다 낮게 나타나 리스크 반응을 감쇄시켰다.
  • 예를 들어, $\gamma_a = 0.6819$인 계정은 고정 $\gamma=1$ 조건에서의 0.7284와 비교하여 0.7973의 적응형 리스크를 생성했다.
• 순차적 진화: 실행 평균(running mean)은 시간이 지남에 따라 국소 거리 관측치의 변화를 성공적으로 추적하였으며, 이는 새로운 정상 거래가 발생함에 따라 민감도가 점진적으로 유지될 수 있음을 확인시켜 주었다.

의의 및 주장
본 논문은 주요 의의가 국소 거리 민감도가 모든 계정에 대해 균일할 필요가 없다는 것을 입증하는 데 있다고 주장한다. 계정 고유의 행동 규칙성에 따라 민감도를 보정함으로써, 시스템은 특정 행동 편차가 리스크로 해석되는 방식을 동적으로 조정할 수 있다.

저자들은 본 작업이 **메커니즘적이고 경험적(mechanistic and empirical)**이지 알고리즘적인 것이 아님을 명시한다. 즉, 새로운 거리 함수나 추정기를 제안하는 것이 아니라, 기존 구성 요소들을 결합했을 때 어떻게 동적인 리스크 조절이 발생하는지를 보여주는 것이다. 연구는 다음과 같이 명확히 한다:

• 본 연구는 (예를 들어 더 높은 재현율이나 더 낮은 오탐률과 같은) 사기 탐지 성능을 직접적으로 개선한다고 주장하지 않는다. 이러한 결과는 본 연구의 범위를 벗어나는 하류의 결정 임계치 및 정책 조치에 달려 있기 때문이다.
• 활동 수준이 민감도 변화의 원인이라고 주장하는 것이 아니라, 보정 절차가 이러한 층위 간에 서로 다른 민감도 값을 생성한다는 것을 보여주는 것이다.
• 고정 $\gamma=1$ 조건은 적응형 파라미터의 효과를 격리하기 위한 수학적 참조로서 엄격히 사용되었으며, 경쟁 모델로서의 베이스라인이 아니다.

궁극적으로 본 연구는 경직된 글로벌 임계치와 동적인 계정 맞춤형 리스크 스코어링 사이의 간극을 메우며, 최근접 이웃 방법론의 국소성을 유지하면서도 개별 계정의 프로필에 맞게 편차의 해석을 적응시킨다.