Distinguishing Statistical Outliers, Behavioral Anomalies, and Fraud in Mobile Financial Transactions: An Unsupervised and Inferential Analysis Using PaySim

Na vasta e invisível rede do dinheiro móvel, onde bilhões de dólares circulam através de telefones todos os dias, existe uma tensão constante entre o fluxo do comércio legítimo e o roubo furtivo de fundos. Para proteger este sistema, os analistas baseiam-se no conceito de um "outlier" — uma transação que parece estranha em comparação com os milhões de transações normais ao seu redor. Durante anos, a suposição predominante na indústria tem sido a de que, se uma transação parecer estranha o suficiente, é provamente uma fraude. Esta lógica sugere que encontrar os esquisitos é o mesmo que encontrar os criminosos. No entanto, esta crença repousa sobre um fundamento frágil: a ideia de que a estranheza estatística, o comportamento incomum e o roubo real são todos a mesma coisa. Na realidade, estes são três conceitos diferentes. Uma transação pode ser estranha sem ser roubada, e uma transação roubada pode parecer perfeitamente normal. Compreender a diferença entre estas três camadas não é apenas um exercício académico; é a chave para deter o crime financeiro sem congelar as contas de pessoas inocentes.

Um estudo recente propôs-se a testar se estes três conceitos são verdadeiramente distintos ou se são apenas nomes diferentes para o mesmo problema. Os investigadores utilizaram um conjunto de dados sintéticos massivo, chamado PaySim, que simula mais de seis milhões de transações de dinheiro móvel de um operador africano. Embora os dados sejam gerados por computador, estão calibrados para espelhar padrões do mundo real, incluindo mais de oito mil casos confirmados de fraude. A equipa não tentou simplesmente construir um melhor sistema de alarme; em vez disso, fizeram uma pergunta mais fundamental: as ferramentas que usamos para detetar transações "estranhas" apanham realmente as transações "criminosas"? Eles trataram os dados como um laboratório, separando as transações em três categorias: aquelas que são estatisticamente incomuns, aquelas que se comportam de forma estranha e aquelas que são efetivamente rotuladas como fraude.

A investigação começou por analisar as transações em si. Os investigadores criaram um conjunto de características para ver o que tornava uma transação fraudulenta diferente de uma normal. Descobriram que o sinal mais revelador não era o tamanho do dinheiro em movimento, mas sim o que acontecia ao saldo da conta do remetente depois disso. Na simulação, os fraudadores esvaziavam completamente a conta do remetente, deixando-a em zero. Isto criou um "residual" matemático específico, ou uma diferença restante, que era quase inexistente nas transações normais. Quando testaram isto, o padrão de esvaziamento de saldo foi um sinal muito mais forte de fraude do que o valor bruto da transferência. Um teste estatístico padrão confirmou que esta diferença era massiva, muito superior a qualquer outro fator. No entanto, os investigadores foram cuidadosos ao notar que este resultado é específico para a forma como a simulação foi construída, onde a fraude é definida por esta regra exata de zerar a conta. No mundo real, onde os fraudadores podem deixar alguns cêntimos para trás ou usar truques mais complexos, este sinal específico pode não ser tão perfeito.

Em seguida, a equipa testou três métodos não supervisionados diferentes — algoritmos concebidos para encontrar anomalias sem serem informados sobre o que é fraude. Queriam ver se estes detetores "cegos" sinalizariam as mesmas transações que eram efetivamente rotuladas como fraude. Os resultados foram surpreendentes. Os três métodos mal concordavam entre si. Um método apanhou alguns casos de fraude, mas perdeu a maioria; outro apanhou muitos, mas sinalizou milhares de transações inocentes como suspeitas. Quando os investigadores mediram a sobreposição entre as listas de transações "estranhas" e a lista de "fraude", a ligação era quase invisível. Menos de um por cento dos casos de fraude foram detetados pelos três métodos simultaneamente. De facto, a sobreposição entre qualquer método individual e a fraude real era tão pequena que sugeria que estas ferramentas estavam a procurar coisas inteiramente diferentes. Uma transação poderia ser sinalizada como um outlier por um algoritmo e completamente ignorada por outro, mesmo sendo um roubo confirmado.

Para aprofundar a análise, os investigadores olharam para as próprias contas, em vez de apenas para transações individuais. Agruparam utilizadores com base no seu comportamento geral, como a frequência com que levantavam dinheiro versus a frequência com que enviavam dinheiro para outros. Utilizando uma técnica de agrupamento (clustering), classificaram estas contas em grupos. Um grupo específico destacou-se: um pequeno cluster de contas que agiam como "mulas de dinheiro". Estas contas detinham tipicamente saldos elevados, recebiam dinheiro e, em seguida, levantavam-no imediatamente, um padrão consistente com contas utilizadas para branquear fundos roubados. Este grupo tinha uma taxa de fraude quase trinta vezes superior à média. Esta descoberta sugere que, embora uma única transação possa parecer normal, o histórico da conta que a contém pode revelar um padrão perigoso. No entanto, os investigadores notaram que a simulação tinha uma limitação: a maioria das contas nos dados aparecia apenas uma vez, tornando difícil o estudo do comportamento a longo prazo. As poucas contas que possuíam múltiplas transações forneceram um vislumbre de como o perfil comportamental poderia funcionar na realidade.

O estudo conclui que a prática comum de confiar num único detetor de anomalias para deter a fraude é fundamentalmente falha. As ferramentas usadas para encontrar estranhezas estatísticas e as ferramentas usadas para encontrar anomalias comportamentais não são as mesmas ferramentas necessárias para encontrar a fraude. Elas captam fatias diferentes dos dados, e confiar apenas numa é como tentar ver uma paisagem inteira com apenas um olho. Os investigadores descobriram que nenhum método não supervisionado isolado era suficiente por si só; a melhor abordagem seria combinar a deteção de padrões contabilísticos estranhos com o perfil de comportamento das contas. Contudo, emitiram um forte aviso: como as suas descobertas mais poderosas advieram de uma simulação onde a fraude era definida por uma regra específica e rígida, estes resultados não podem ser assumidos como funcionando exatamente da mesma forma no mundo real, que é desordenado e imprevisível. O estudo serve como um mapa do terreno, mostrando que o caminho para deter a fraude é mais complexo do que simplesmente caçar os números mais estranhos, mas que o destino final exige testar estas ideias em dados do mundo real antes que qualquer sistema possa ser confiado com dinheiro real.