通过机器学习技术检测银行交易中的网络欺诈行为：其对金融稳定的影响 Lamprini Konsta, Dimitrios Dimitriou, Anastasios Papathanasiou, Vasiliki Liagkou

《FinTech》：Detecting Cyber Fraud in Banking Transactions via Machine Learning Techniques: Implications for Financial Stability Lamprini Konsta, Dimitrios Dimitriou, Anastasios Papathanasiou and Vasiliki Liagkou

　　摘要：本研究通过实证方法探讨了Elastic机器学习（一种工业级的无监督异常检测工具）在识别银行交易中的欺诈行为方面的表现。利用人工智能生成的数据集（这些数据集旨在模拟真实的银行环境），分析研究了三种与欺诈相关的场景：（i）单个账户与多个IP地址之间的异常关联；（ii）在短时间内爆发的跨境交易；（iii）相对于历史行为而言异常高的交易金额。研究结果表明，Elastic平台能够一致地在所有测试场景中检测出异常模式，并在欺诈发生期间实时标记可疑行为。这是首次对工业级无监督异常检测平台在银行业多种欺诈相关场景中的运行表现进行实证评估，为实时欺诈监控和预警系统提供了实用见解，同时有助于提升机构抵御能力及金融系统的稳定性。

1. 引言
近年来，银行业数字化转型取得了显著进展，改变了金融交易的进行方式。虽然这提高了客户服务效率，但同时也增加了金融机构面临日益复杂欺诈风险的可能性。银行提供的电子交易系统能够在短时间内处理大量交易，从而形成数据丰富的环境，但这些数据也可能潜藏着难以发现的恶意活动。因此，传统的欺诈检测系统面临着新挑战，因为这些系统主要基于静态规则和预定义的阈值，这并不总能有效检测出欺诈行为。简单的规则可以检测到常见的异常（如超出固定阈值的交易），但对于不断变化的欺诈手段来说往往不够有效，可能会导致大量误报[1]。为了解决这些问题，研究界开始转向基于机器学习的异常检测技术。尽管有监督的分类方法需要标注的欺诈实例，但异常检测技术可以建模账户、用户或系统的正常行为，并将统计上显著的偏差视作潜在威胁。这有助于在欺诈交易较为罕见或动态变化的情况下发现欺诈行为，或者在未来攻击策略可能与以往事件不同时识别出欺诈行为[2,3]。文献中提出了多种异常检测方法，如统计特征分析、聚类、贝叶斯推理和神经网络的应用，其中许多方法在检测金融欺诈方面取得了成功[4,5]。最近的研究提出了混合模型和集成模型，以结合多种算法来提高准确性并减少误报[6]。Wu和Wang[7]指出，具有局部可解释性的异常检测方法可以提高透明度，从而增强对金融机构的信任。此外，Hashemi等人[8]强调机器学习技术对于大规模银行欺诈检测至关重要，提倡使用能够随着交易数据库增长而扩展的算法。研究表明，通过实施机器学习，银行可以简化运营流程，同时主动降低欺诈活动的风险。基于神经网络的模型的进步显著提升了银行业欺诈检测的能力，这些模型能够自动化分析大规模交易数据。最新研究显示，神经网络驱动的框架在以欺诈手段多变和交易数据噪声较大的环境中表现出更高的效率[9,10]。与传统的基于规则的系统不同，深度学习模型（如循环神经网络、多层感知器和混合架构）能够识别复杂的非线性交易模式[11,12]。这类系统可以持续学习账户的行为特征，并适应概念漂移，从而使金融机构能够主动降低欺诈风险，维持高效自动化交易监控流程。

尽管取得了这些进展，现有文献大多关注有监督或以模型为中心的框架，很少有研究探讨在实际银行环境中部署的工业级无监督异常检测平台的运行行为——本文试图填补这一空白。此外，除了与交易欺诈检测方法直接相关的文献外，还有研究关注分析分布尾部极端事件和行为的重要性。例如，Ul-Durar等人[13]指出，基于平均值的方法并不总能充分捕捉到重要但不寻常的经济现象。虽然这种方法是计量经济学的，但我们的研究也从操作角度出发，评估了一个使用机器学习来实时检测银行业极端和异常交易行为的工业级无监督系统。

近年来，业界开发了几种大规模应用这些概念的方法，例如集成到Elastic Stack中的无监督异常检测框架Elastic ML。Elastic ML基于历史数据构建概率模型，考虑时间序列中的季节性和趋势变化，并根据这些预期模式对输入数据进行评估以生成异常分数（详见Elastic文档第8版：https://www.elastic.co/docs/explore-analyze/machine-learning/anomaly-detection/ml-getting-started，访问日期：2025年6月22日）。通过按实体（如账户标识符）细分分析，可以生成个性化轮廓，从而减少误报，提高欺诈检测的准确性。强大的可视化工具（如泳道图和异常探索器）可以为运营团队提供支持，使他们能够更好地理解统计结果。

尽管Elastic ML在生产环境中得到了广泛应用，但其行为、局限性和在金融欺诈场景中的适用性在学术界仍需进一步探索。本研究首次评估了Elastic ML在银行交易欺诈检测中的应用效果。我们的研究通过提供一种方法论层面的系统评估，推进了现有文献的研究，评估了在模拟真实银行场景的异构欺诈环境下的工业级无监督异常检测平台。具体而言，通过系统地分析异常分数行为并与不同统计偏差维度进行隔离，本研究有助于更深入地理解概率异常检测机制在现实银行系统中的运作方式。在现实银行环境中，及时准确地检测欺诈至关重要。因此，我们的工作侧重于结构化的方法论（即Elastic ML），而不是可能存在可扩展性问题的新算法。新的学术算法在处理大量实时交易时通常计算量大，而像Elastic ML这样的结构化方法论框架已经针对这种高速环境进行了优化。此外，基于神经网络的模型进步显著提升了银行业欺诈检测的效果，这些模型能够自动分析大规模交易数据。最新研究表明，神经网络驱动的框架在欺诈手段不断演变和交易数据噪声较大的环境中具有更高的检测效率[9,10]。

尽管有这些进展，大多数现有文献仍集中在有监督或以模型为中心的框架上，对实际银行环境中部署的工业级无监督异常检测平台的运行行为研究较少——本文旨在填补这一空白。值得注意的是，除了与交易欺诈检测方法直接相关的文献外，还有一些研究关注分析分布尾部极端事件和行为的重要性。例如，Ul-Durar等人[13]强调，基于平均值的方法并不总能充分捕捉到重要的但不寻常的经济现象。尽管我们的研究从操作角度进行了分析，但同样关注了这一概念性问题。最近，业界开发了几种大规模应用这些概念的方法，如集成到Elastic Stack中的Elastic ML。Elastic ML基于历史数据构建概率模型，考虑时间序列中的季节性和趋势变化，并根据这些预期模式对输入数据进行评估以生成异常分数。通过对分析按实体（如账户标识符）进行细分，可以开发出更个性化的轮廓，从而提高欺诈检测的准确性。

2. 数据与方法论
为了检测金融交易中的任何异常，需要一种既具适应性又可扩展的方法论框架。传统的系统通常基于阈值（如最大允许价格或地理位置限制），可以检测出简单的欺诈交易案例，但常常会产生过多的误报，因此在检测和捕捉不断发展的欺诈手段方面效果不佳。为克服这些障碍，我们研究了无监督异常检测平台的使用和机器学习技术在真实银行环境中的应用，以检测多种形式的欺诈。在本研究中，我们旨在评估无监督异常检测系统（即Elastic ML）在不同统计偏差类别下的运行表现。为此，我们构建了三种欺诈场景，每种场景都隔离了一个特定的统计偏差维度。这些场景的选取并非任意，而是反映了在银行业和网络犯罪调查中广泛观察到的真实欺诈相关模式。每种场景从不同的统计角度（基于行为/网络、空间和金额）来分析欺诈行为。这种方法论设计使我们能够分别考察每种异常类型，并分析无监督系统在统一框架下对不同异常类别的反应。这种受控的隔离增强了实验过程的分析透明度、可解释性和可重复性。同时，这三个场景可以被视为更广泛检测框架的模块化组件，在真实银行环境中可以并行操作并覆盖多个行为维度。

Elastic ML使用基于概率的统计方法进行异常检测。它首先“学习”数据的正常分布，然后评估每个新观察结果的发生的概率。如果数据随时间变化，为了区分预期的和异常的情况，系统会考虑总体趋势和季节性因素。为了同时检测突发峰值和持续性偏差，系统在单个时间间隔和较长时间内进行分析。最终，每个观察结果都会获得一个0到100的异常分数：分数越高，表示该事件越可能是可疑或不规则的行为，因此在欺诈检测中越重要。

整个过程的关键当然是使用适当的数据。为了在真实条件下评估无监督、基于行为的异常检测框架的运行性能，我们使用了由AI生成的数据集，这些数据集模拟了潜在的欺诈场景。这是一种有意识的方法论选择，因为实际银行数据的访问受到严格的隐私、监管和安全限制（本研究未收集或处理任何原始个人数据，因为这些活动会违反隐私和数据保护要求。例如，一些账户与稳定的交易模式相匹配，而另一些账户则显示出异常的IP活动、跨境交易或交易金额的极端波动）。这些数据被导入Elastic中，用于创建相应的异常检测任务。为了构建检测异常的任务，需要对其参数进行适当设置，即定义模型如何解释数据。我们定义了要应用的函数、要监控的交易时间段以及要监控的实体。使用了适当的检测函数（如high_distinct_count和high_mean），以便分析实体的行为。此外，为了确定模型对突发激增的敏感度，我们使用了合适的桶跨度来定义数据收集的时间窗口（例如五分钟或十五分钟）。同时，账户_id被用作分区字段，以便独立建模账户，并通过影响因子将异常直接归因于特定实体。

值得注意的是，本研究中Elastic ML的参数设置旨在与所分析的银行欺诈场景的动态相匹配，从而真实模拟常见的欺诈手段，而不是显式优化检测准确性。桶间隔和检测器函数的选择决定了评估偏差的时间和行为尺度，以此来判断这些偏差是否偏离了正常行为。例如，突然的IP流量激增可能在一个较短的时间窗口内显现出来，而更持久的异常则需要更长的聚合周期。我们还使用了Kibana的可视化套件，它提供了高级的视觉表示方法，以便解释统计结果并将其转化为潜在欺诈的模式。特别是，为了精确地检查偏差发生的时间和地点，我们使用了Swim Lane和Anomaly Explorer视图，这些视图展示了跨账户的异常时间线。此外，为了对单个账户的实际值与典型值进行具体比较，并附带相应的异常分数，我们使用了Single Metric Viewer。最后，为了进行跨账户比较并识别异常值，我们使用了聚合仪表板。

总体而言，Elastic ML基于统计分析和异常评分维持了一致的方法论基础，尽管它被适应于三种不同类型的欺诈行为。因此，这一方法论框架清楚地展示了如何克服刚性阈值系统中可能存在的障碍，转向更加动态、数据驱动的模型。

3. 实证结果与解释

在当前研究中，我们检验了三种不同的模拟银行交易欺诈检测场景，从而证明了Elastic ML能够检测银行领域的多种类型的网络欺诈。具体来说，我们在一个统一的框架内探索了三种不同的欺诈类型：
- 在用例1中，我们分析了每个账户在五分钟时间间隔内的不同IP地址数量。
- 在用例2中，我们分析了十五分钟时间间隔内的交易地理多样性。
- 在用例3中，我们分析了十五分钟时间间隔内异常高的交易金额。

3.1. 账户活动中的异常检测：识别多种IP访问模式

首先，为了调查机器学习工具在检测银行领域异常模式方面的有效性，我们创建了1500笔模拟交易，包括不同的用户账户、广泛的IP地址以及覆盖八小时的时间戳（从2023年1月1日00:00:00到2023年1月1日08:00:00）。目的是通过结合实际活动与故意设置的可疑场景来提供一个现实的测试环境。

然后使用了Elastic Machine Learning框架，并初步插入了数据。之后，我们创建并配置了一个适当的作业，将检测器设置为high_distinct_count (ip_address)，并将分区字段设置为account_id，以便对每个账户进行独立建模。同时将influencer字段也设置为account_id，以便将异常直接归因于涉及的账户。此外，桶间隔设置为五分钟，以便系统能够在短时间内创建典型的行为基线。主要目标是识别异常情况，即单个账户的独特IP地址数量显著超过其历史常态的情况。作业运行后，Anomaly Explorer功能清楚地显示了2023年1月1日07:15到07:20之间acc_47账户的异常。使用Swim Lane表示法更好地可视化了结果，其中突出了仅针对acc_47的峰值。相反，对于其余账户，没有显示出峰值，因为它们似乎都在预期范围内（见图1）。

图1. 独特IP地址数量超过历史常态的账户

为了更好地解释结果，我们使用了Single Metric Viewer，发现在上述时间段内，该账户从20个不同的IP地址被访问，而历史数据中通常是从单个IP地址访问的。这种突然的二十倍增长可能表明与正常活动有明显偏离。因此，它被归类为高严重性发现，并被赋予了52分（见图2）。

图2. acc_47的单个指标查看器

同样，汇总所有账户的条形图突出了仅针对acc_47的不寻常峰值（见图3）。

图3. 多个IP中的欺诈检测（所有账户）

另外，如果我们只检查acc_47的行为，可以在图4中看到视觉化结果，其中清楚地显示了仅在异常桶中记录了多个IP地址（见图4）。

图4. 多个IP中的欺诈检测（单个账户）

从操作角度来看，账户在短时间内与多个IP地址的突然增加可能表明了几种可疑活动，例如尝试接管账户、自动化攻击（僵尸网络驱动的凭证填充）、使用旋转代理或VPN来掩盖痕迹，或者多个个人同时使用账户。

总体而言，单个账户在短时间内与多个IP地址的关联构成了对其正常行为的严重偏离，可能表明存在欺诈行为。此外，结果的光学表示以及统计数据（异常分数）为我们进一步调查提供了有力的指示。最后，所使用的方法论能够确保结果的可重复性和适用于现实世界中的欺诈检测场景。

3.2. 从多个国家检测可疑交易

在在线银行欺诈中，调查地理来源起着关键作用。在短时间内，对于单个账户而言，如果从许多不同国家进行交易，则被认为是非常不寻常的。这通常表明账户被接管、使用了VPN或代理，甚至是骡子账户活动。为了调查这种情景，我们创建了一个模拟的银行数据集，并应用了Elastic Machine Learning异常检测。

最初，创建了大约1000笔交易的适当数据集，包括账户ID、来源国家、时间戳和交易金额等字段，覆盖了21小时（从2023年1月1日00:00:00到2023年1月1日20:30:00）。大多数交易来自同一个国家，以反映正常行为。然而，一些账户被适当地配置以检查那些在短时间内从大量国家进行交易的账户。

为了分析这些数据，在Elastic ML中配置了一个适当的作业，将检测器设置为high_distinct_count (country)，桶间隔设置为十五分钟，分区字段设置为account_id，以便对每个账户进行单独建模。同时，也将influencer字段设置为account_id，以便将异常直接归因于涉及的账户。目标是识别这些15分钟间隔内与某个账户相关的国家数量的峰值。

作业运行后，Anomaly Explorer功能清楚地显示了20:00时acc_52账户的显著异常。在这个时间段（20:00到20:15）内，发现了来自九个不同国家的交易，远高于通常的一到两个国家的模式。这种偏差被归类为高严重性异常，在Elastic Anomaly Explorer界面中用红色表示。实际值与典型值的对比表报告显示了九个国家，而基线是只有一个国家，确认了与正常活动的明显偏离（见图5）。

图5. 多个国家中的欺诈检测

为了进一步分析这种情况，我们在Elastic框架上使用了适当的可视化工具，提供了对异常的进一步洞察。创建了一个跨账户的分层条形图，清楚地显示了这种异常行为仅与acc_52相关，而其他账户保持了正常行为（见图6）。

图6. 多个国家中的欺诈检测（条形图）

此外，在跟踪每个账户国家数量的时间序列线图中，确认了20:00间隔期间acc_52的急剧峰值，随后恢复了正常水平（见图7）。

图7. 多个国家中的欺诈检测（线图）

通过应用这些技术，我们可以检测到高度欺诈性的活动，因为一个真正可信的客户在几分钟内从许多不同国家进行银行交易是很少见的，如果不是不可能的话。一种可能的解释是使用了骡子账户来协同进行欺诈，通过使用代理或VPN基础设施掩盖位置，以及使用了来自不同地区的被盗凭证。

总之，Elastic ML清楚地识别了“多国家欺诈”场景。该方法基于模型计算的实际值与典型值之间的差异。系统能够识别出与典型行为的显著偏离，并赋予其高异常分数，以便进一步调查。这一发现可以用于警报（实时检测）或欺诈调查案例。从金融机构的角度来看，检测到这种模式可能导致立即冻结交易或由欺诈团队进行人工审查。

3.3. 检测账户中的异常高价值交易

在第三种场景中，我们分析了模拟银行交易以检测与异常高的交易金额相关的异常。由于账户的正常交易规模遵循一个一致的模式，可能的突然偏离很可能会被检测出来，作为欺诈或洗钱的迹象。主要目标是检查与其历史数据相比有异常行为的账户。

创建了一组大约1000笔一个月（2023年1月）的模拟银行交易，包括账户ID、时间戳和交易金额等字段。在大多数账户中记录了稳定的交易金额，而在个别账户中记录了高于正常模式的高交易金额。

为了进一步分析这些数据，在Elastic ML中配置了一个适当的作业，将检测器设置为high_distinct_count (country)，桶间隔设置为十五分钟，分区字段设置为account_id，以便对每个账户进行单独建模。此外，还将influencer字段设置为account_id，以便将异常直接归因于涉及的账户。目标是识别这些15分钟间隔内与某个账户相关的国家数量的峰值。

作业运行后，Anomaly Explorer功能清楚地显示了20:00时acc_52账户的显著异常。在这个时间段（20:00到20:15）内，发现了来自九个不同国家的交易，远高于通常的一到两个国家的模式。这种偏差被归类为高严重性异常，在Elastic Anomaly Explorer界面中用红色表示。实际值与典型值的对比表显示了九个国家，而基线是一个国家，确认了与正常活动的明显偏离（见图5）。

图5. 多个国家中的欺诈检测

为了进一步分析这一情况，我们在Elastic框架上使用了适当的可视化工具，提供了对异常的进一步洞察。创建了一个跨账户的堆叠条形图，清楚地显示了这种异常行为仅与acc_52相关，而其他账户保持了正常行为（见图6）。

图6. 多个国家中的欺诈检测（条形图）

此外，在时间序列线图中，该图跟踪了每个账户的国家数量的演变，确认了20:00间隔期间acc_52的急剧峰值，随后恢复了正常水平（见图7）。

图7. 多个国家中的欺诈检测（线图）

通过应用这些技术，我们可以检测到高度欺诈性的活动，因为一个真正的、可信的客户在几分钟内从许多不同国家进行银行交易是非常罕见甚至不可能的。一种可能的解释是使用了骡子账户来协同进行欺诈，通过使用代理或VPN基础设施来隐藏位置，以及使用了来自不同区域的被盗凭证。

总之，Elastic ML清楚地识别了“多国家欺诈”场景。该方法基于模型计算的实际值与典型值之间的差异。系统能够识别出与典型行为的显著偏离，并赋予其高异常分数，以便进一步调查。这一发现可以用于警报（实时检测）或欺诈调查案例。从金融机构的角度来看，检测到这种模式可能导致立即冻结交易或由欺诈团队进行人工审查。

3.3. 检测账户中的异常高价值交易

在第三种场景中，我们分析了模拟的银行交易以检测与异常高的交易金额相关的异常。由于账户的正常交易规模遵循一个一致的模式，可能的突然偏离很可能会被检测出来，作为欺诈或洗钱的迹象。主要目标是检查与其历史数据相比有异常行为的账户。

创建了一组大约1000笔一个月（2023年1月）的模拟银行交易，包括账户ID、时间戳和交易金额等字段。在大多数账户中记录了稳定的交易金额，而在个别账户中记录了高于正常模式的高交易金额。

为了进一步分析数据，在Elastic ML中配置了一个适当的异常检测作业，将检测器设置为high_mean (amount)，并将分割字段定义为account_id。此外，桶间隔设置为十五分钟，以便捕获短时间间隔内的偏差。主要目的是首先通过计算每个账户的典型交易平均值来生成其行为档案，然后检测可能的偏差。

作业运行后，我们进行了整体和每个账户的数据可视化。在仪表板中，大多数账户显示的平均交易金额在预期的统计范围内是稳定的。然而，两个特定账户acc_07和acc_21显示出远高于其历史档案的急剧增加（见图8）。

图8. 每个账户的交易金额时间序列可视化

此外，使用Single Metric Viewer观察到，对于acc_21账户，检测到一笔大约11,405欧元的交易，而预期的平均金额约为92欧元。这种异常被认为是关键的，并被赋予了93的严重性分数。此外，对于acc_07账户，检测到一笔大约12,010欧元的交易，而预期的平均金额仅为约93欧元。这种偏差也被认为是关键的，因此被赋予了78的严重性分数（见图9）。

图9. 交易金额的欺诈检测（acc_21和acc_07的单个指标查看器）

这清楚地表明这两个账户的交易金额超过了其典型值的100多倍，因此被视为可疑的，而所有其他账户都保持在预期范围内。因此，该模型能够仅隔离出可疑账户。

总之，我们认为这种方法可以增强银行欺诈的检测能力，因为它提供了早期发现与账户正常活动截然不同的交易的可能性。此外，由于该模型不是基于通用阈值，而是考虑了账户的统计行为，因此可以减少误报。此外，它还可以支持反洗钱（AML）/欺诈调查团队，使他们能够专注于高异常分数的交易，从而确保效率和效果。最后，该技术有助于遵守监管要求（如欧盟的《反洗钱指令（AMLD）》和美国《银行保密法/反洗钱（BSA/AML）》框架），从而帮助银行业建立全面的早期预警系统，增强对客户和组织的保护，防止欺诈或洗钱行为。总之，弹性机器学习框架可以有效地在银行业早期阶段检测异常和欺诈行为。通过结合数据分析和适当的结果可视化手段，可以进一步提高客户和组织对欺诈、洗钱及其他恶意财务活动的防护能力。

4. 结论
本文通过实证研究探讨了弹性机器学习（ML）工具在银行业交易异常检测中的性能。据我们所知，这是首项系统性地评估工业级无监督异常检测平台在银行业三个不同欺诈相关场景下应用效果的研究。这项研究弥合了理论上的异常检测原理与其在可扩展银行系统中实际应用之间的差距。所构建的场景主要包括：单个账户突然与大量IP地址关联、短时间内来自多个国家的交易，以及相对于账户历史行为而言异常高的交易金额等异常模式。研究结果表明，弹性机器学习成功识别出了所有测试场景中的行为偏差，并且能够在统一的无监督学习框架下处理多种类型的异常。与传统基于固定阈值的方法相比，我们提出的框架具有更大的灵活性，能够适应不断变化的行为模式。此外，弹性机器学习的可视化功能提升了异常检测结果的可解释性，有助于将其集成到自动欺诈检测和反洗钱（AML）系统中。通过减少和预防银行业内的欺诈行为，该框架间接促进了金融系统的整体稳定性和信心（包括银行、消费者和投资者）。具体来说，该工具通过限制与欺诈相关的损失累积、降低声誉和法律风险以及防止资产负债表突然受到冲击，增强了金融机构的韧性。从系统层面来看，降低局部违规事件演变为系统性压力的风险，从而提高了对银行业的信心。

从操作角度来看，该框架可以扩展到真实的银行业系统中，所研究的场景可作为可扩展、统一的实时框架的模块组成部分，用于检测银行业交易中的欺诈行为。这些组件可以在账户层面并行运行，根据各金融机构的需求、风险政策和监管要求动态调整检测策略。将这一框架应用于实际银行业系统可能会遇到一些实际挑战，例如处理大量欺诈信号或误报问题。在无监督异常检测系统中，误报的出现是一个固有的难题，这与参数选择和正常行为的自然变化有关。由于本研究使用人工智能生成的数据来模拟真实的欺诈场景，因此使用真实的银行业数据进行系统的误报评估会更加合适，为未来的研究指明了方向。总体而言，将该框架与更先进的可解释性人工智能技术相结合，有助于实现更加透明、可靠且运行稳健的欺诈检测系统，适用于现实中的银行业环境。