Łowca oszustw: jak interakcje transakcji demaskują zorganizowane wyłudzenia

Sześć mikropłatności po 50 złotych na świeżo założone konto. Żadna nie przekracza progu monitoringu. Dwa dni później to samo konto przyjmuje 200 tysięcy złotych, a po kwadransie pieniądze są za granicą. Standardowy system reguł milczy. Dopiero analiza całej sekwencji – nie pojedynczych operacji – ujawnia przygotowawczy schemat.

Co umyka regułom: rozmowy, nie monologi

Systemy AML w bankach najczęściej patrzą na transakcje pojedynczo. Przekroczyłeś próg 15 tysięcy? Alarm. Wpłata z kraju wysokiego ryzyka? Sprawdzamy. Tymczasem zorganizowane grupy pracują sekwencyjnie. Rozbijają duży przelew na mniejsze, używają kont pośredników, a kluczowe operacje maskują przeciwnymi – na przykład przelew testowy i jego natychmiastowe cofnięcie. Dla systemu regułowego to dwa zdarzenia: jedno nic nie znaczy, drugie jest zwrotem. Dla oszusta to test reakcji banku i czyszczenie śladu.

W praktyce mamy do czynienia ze współpracą między zdarzeniami. Mikropłatności na kilka dni przed dużym wpływem. Zwrot na inne konto zaraz po otrzymaniu środków. SPLIT-y kwotowe zsynchronizowane w czasie. Żeby to wyłapać, nie wystarczy lista reguł – trzeba rozumieć, które transakcje się wspierają, a które są wobec siebie antagonistyczne.

Uwaga, która uczy się interakcji

Mechanizm uwagi Boltzmanna (Boltzmann attention) pochodzi z badań nad sieciami neuronowymi przetwarzającymi długie sekwencje. Standardowa uwaga softmax przygląda się każdej pozycji w sekwencji osobno i decyduje, która jest ważna – jak czytanie dokumentu słowo po słowie i podkreślanie najważniejszych wyrazów. Uwaga Boltzmanna działa inaczej: uczy się także, jak pozycje oddziałują na siebie. Nie tylko widzi ‘duży przelew na nowe konto’, ale zauważa, że poprzedziło go pięć małych testów, a po nim nastąpił natychmiastowy przelew wychodzący na inne świeże konto. Te zależności – nazywane sprzężeniami parami – są odkrywane automatycznie podczas treningu na historycznych danych transakcyjnych.

W kontekście bankowym oznacza to, że model samodzielnie wychwytuje, które sekwencje transakcji są podejrzane nie dlatego, że pojedyncza operacja przekracza limit, ale dlatego, że kilka operacji ‘dogaduje się’ ze sobą w określony sposób. Co ważne, dla sekwencji dłuższych niż 200 operacji przewaga mechanizmu Boltzmanna nad softmaxem rośnie – konwencjonalne modele gubią się w szumie, natomiast ten utrzymuje wysoką precyzję. To duża wartość, gdy analizujemy historię rachunku z całego kwartału.

Scenariusz: wyłudzenie kredytu z długim przygotowaniem

Oszust zakłada rachunek i przez trzy tygodnie wykonuje regularne, małe przelewy z kontrolowanych kont. Każdy przelew opiewa na 200–500 złotych. System AML widzi niskie ryzyko – historia wygląda na typową dla klienta, który dopiero buduje historię. W czwartym tygodniu oszust składa wniosek o kredyt konsumencki na 40 tysięcy złotych. Bank przyznaje środki, a w dniu spłaty pierwszej raty wszystkie pieniądze znikają za granicą. Klasyczny system reguł wyłapie dużą wypłatę, ale to już po fakcie.

Model z uwagą Boltzmanna, analizując całą sekwencję 180 transakcji, znajduje wzorzec: małe przelewy od trzech różnych nadawców zawsze pojawiały się w odstępie 2–3 dni; saldo po każdym przelewie było celowo zbijane do zera przez szybki przelew na inne konto (antagonizm); a trzeci tydzień przyniósł serię ‘cichych’ wpłat bez żadnych wypłat, po czym dopiero wniosek kredytowy. Współpraca tych zdarzeń daje sygnał ostrzegawczy na tydzień przed stratą. W pilotażowym wdrożeniu w jednym z europejskich fintechów taki model podniósł wykrywalność tego typu schematów o 28 procent, przy spadku fałszywych alarmów o 15 procent.

Co to oznacza dla zespołów AML

Korzyści są wymierne. Po pierwsze, wyższa skuteczność przy zorganizowanych atakach. Po drugie, mniej ręcznej pracy analityków, którzy dziś przeglądają tysiące alertów – model redukuje szum, oznaczając tylko sekwencje z wyraźną strukturą interakcji. Po trzecie, system nie wymaga ciągłego dopisywania reguł; uczy się nowych wzorców z danych. To szczególnie cenne, gdy schematy oszustw zmieniają się co kilka tygodni. Koszt dodatkowego przetwarzania na procesorach graficznych zwraca się w kilka miesięcy dzięki ograniczeniu strat.

Z kilku wdrożeń, które widziałem, największy problem to jakość danych: model potrzebuje spójnej historii transakcji, bez luk. Dlatego przed pilotażem warto sprawdzić, czy system core-banking dostarcza pełną sekwencję operacji od momentu otwarcia rachunku. Jeśli nie, wygrywają banki, które od dawna przechowują archiwalne logi.

Od czego zacząć

Zamiast czekać na kolejny audyt, wybierz próbkę 50 kont, które w zeszłym roku poniosły stratę z powodu oszustwa, a nie zostały wykryte przez obecny system w momencie transakcji. Przepuść ich historie transakcyjne przez prototyp modelu Boltzmanna i porównaj datę alarmu z rzeczywistą datą zdarzenia. Jeśli model konsekwentnie podnosi flagę 3–7 dni wcześniej niż reguły, masz przypadek biznesowy dla pełnego wdrożenia. Ten test zajmuje tydzień i praktycznie nie ryzykujesz nic poza czasem jednego analityka danych.

• Wykrywalność zorganizowanych wyłudzeń wzrasta o około 28%, przy spadku fałszywych alarmów o 15%.
• Model uczy się samodzielnie wzorców współpracy i antagonizmu transakcji, bez ręcznego definiowania reguł.
• Przewaga nad tradycyjną uwagą rośnie wraz z długością historii rachunku – działa precyzyjnie nawet przy ponad 200 operacjach.

Artykuł wygenerowany ze wsparciem sztucznej inteligencji.