Perfilamiento de usuarios para detectar en tiempo real el fraude en la banca online T23: Banca electrónica y pago seguro

Transcripción

1 Perfilamiento de usuarios para detectar en tiempo real el fraude en la banca online T23: Banca electrónica y pago seguro Fabrizio Malfanti CTO Dotforce/ Intelligrate fabrizio.malfanti@intelligrate.it The e-banking antifraud solution

2 Agenda 1. El problema / Reto 2. Técnicas de prevención del fraude en la banca electrónica 3. Experiencia de un banco italiano 4. Bibliografía 2

3 La falta de confianza en la banca electrónica Problemática actual del fraude en la banca electrónica Vemos con frecuencia titulares como este: Según él no significa que el fraude en la banca electrónica sea un problema grave pero añade a continuación que no utilizará más la banca online: 3

4 El fraude online va en aumento Acceso ilícito a cuentas corrientes Online a través de: El robo de credenciales del usuario Phishing Troyanos (Web-in-the-Middle, Man-in-the-Browser) Transferencias de dinero Desplazar el dinero a través de una cadena de cuentas que actúan como tapadera hasta la cuenta final en bancos extranjeros (a menudo a través de la contratación en línea de las cuentas corrientes). Conseguir múltiples núm. de teléfono para utilizarlos y recaudar dinero a través de llamadas a líneas de alta facturación (tipo Premium). Recarga de tarjetas de prepago y su uso inmediato para la compra de bienes de fácil adquisición (joyas, aparatos electrónicos, etc.). 4

5 Análisis del riesgo Evaluando la presencia de campos POST adicionales utilizados por troyanos es posible hacer una estimación del porcentaje de usuarios infectados entre los clientes del banco. En concreto, de septiembre a noviembre de 2008, analizando los archivos de registro de algunos de nuestros bancos clientes italianos, estimamos que: Aproximadamente el 0,5% de los usuarios están infectados con Trojan.silentbanker. El 0,5% de las transacciones pueden ser potencialmente fraudulentas. Un 0,5% restante parece estar afectado por otros troyanos que modifican el acceso a las páginas pero no logramos identificarlos. Ampliando la evaluación a la escena nacional italiana pudimos calcular que: El número de cuentas bancarias en línea en Italia es de entre 5 y 10 millones, lo que da lugar a posibles infectados. El fraude se realiza normalmente mediante tres o más transferencias de cantidades que oscilan entre y El volumen de negocios de este tipo de fraude asciende a euros. 5

6 El reto principal Encontrar una solución que: Garantice la máxima seguridad con el mínimo impacto en la experiencia del usuario. 6

7 Perfilamiento de usuarios para la detección de anomalías Repaso de la solución: Datos a utilizar para construir el patrón Detalles que se pueden perfilar Distintos tipos de perfiles según diversos tipos de datos Cómo implantar sistemas de detección de fraude partiendo del perfil del usuario Próximos pasos 7

8 Descripción general de la solución Sacamos información de los Logs de actividades históricas de las cuentas de usuario y de las cuentas bancarias para emitir un patrón de los hábitos en términos matemáticos Los campos de datos en las transacciones representan distintos hábitos de la vida cotidiana de los propietarios de las cuenta. El perfilamiento de los usuarios no es tan sólo un problema de la ciencia de la computación, es una cuestión situada entre el arte y la ciencia X X a 2 2 σ = + Y b 2 2 n 0 ξ + ξ = λ n = c ( x x) i n 2 2 8

9 Datos que podemos utilizar para el perfilamiento en un entorno bancario típico: Navegación Web, desde los Logs de los servidores Web Actividades de la banca Online no transaccionales, desde los Logs de los servidores de aplicaciones (p. ej.: balance de la cuenta bancaria) Actividades de transaccionales de la banca electrónica, desde los Logs de los servidores de aplicaciones (p. ej.: transferencias de dinero) Actividades del cajero automático Actividades reales de la banca Actividades de la banca telefónica y otras actividades bancarias Ha de usarse una manera distinta para cada diferente tipo de dato 9

10 Datos de los logs de transacciones :35: "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SLCC1;.NET CLR ;.NET CLR ;.NET CLR ;.NET CLR ) OPER CC MONEY TRANSFER EUR IT84Q :35:33 : Fecha y hora de operación : Dirección de IP Mozilla/ : Agente de usuario (Navegador, S.O.) OPER3: Cuenta (persona realizando las operaciones) 09726CC : Cuenta bancaria (la ubicación de los fondos) TRANSFERENCIA DE FONDOS: Tipo de operación : La suma de la operación EUR: Divisa IT84Q : Destino (puede ser un IBAN, una tarjeta de crédito, un número de teléfono, 10

11 Ejemplo de Logs Perfilamiento de usuario: utilizando el historial de las operaciones de los últimos seis meses para seguir los hábitos cambiantes del cliente Se utilizan distintos campos de diversas maneras: Perfiles de distribución: DOS NÚMEROS que indican cuántas veces y qué lejos de la media ha podido un usuario cambiar sus hábitos (Dirección de IP, perfil de movilidad, navegador, sistema operativo, IBAN) Perfiles de Media: DOS NÚMEROS, media, sigma, para algún otro hábito, (la media de gastos de un día, semana, mes y cuántas transferencias en un día, semana, mes etc..) Agrupación: Resultados de actividades de la minería de datos relacionados con diferentes campos utilizados en pares o tríos (cantidad, hora y tipo de operación) Listas de operaciones históricas: utilizando operaciones de los últimos dos/tres años para identificar las conocidas (Dirección de IP, Destino, Agente de Usuario) 11

12 Perfil de Móvilidad Perfil del Móvilidad: MUNDO PAIS 1 PAIS 2 PAIS 3 REGION 1 REGION 2 REGION 1 REGION 1 PUEBLO 1 PUEBLO 1 PUEBLO 1 PUEBLO 1 ISP ISP ISP ISP 1 14 ISP 1 2 ISP ISP 113 ISP ISP 2 22 PUEBLO 2 PUEBLO 2 ISP 1 1 ISP ISP ISP 2 1 PUEBLO 3 ISP 3 2 ISP ISP

13 Hora y cantidad El perfilamiento más innovador Se utilizan técnicas adquiridas de nuestra experiencia en la minería de datos Se utilizan las transacciones de los últimos 6 meses para crear un patrón de comportamiento del usuario La agrupación (Clustering) se calcula por jornadas laborables y no laborables para el periodo entero y se divide en tres partes el mes Se emplean tres diferentes tipos de algoritmos de agrupación: OPTICS para Local Outlier Detection (detección fuera del umbral típico) Expectation Maximization para una descripición estadística 2DGC para un detección gráfica 13

14 Hora y cantidad: Empezando con datos crudos 14

15 Cuenta y número de cuenta bancaria Típicamente una persona (que corresponde a una cuenta) puede gestionar varias cuentas bancarias y una cuenta bancaria puede ser gestionada por varias personas Primero se genera un perfil para la pareja Cuenta-Cuenta bancaria (que corresponde con lo que el usuario hace en una sola cuenta) Después se construyen perfiles para la cuenta solamente (qué hace el usuario en cada cuenta bancaria que gestiona) y perfiles para la cuenta bancaria solamente (qué hacen todos los usuarios en una sola cuenta bancaria) Primero se comprueba el perfil de la Cuenta-Cuenta bancaria. Si no es satisfactorio, se comprueban los otros dos 15

16 Comprobación de nuevas transacciones Al final de la creación de los perfiles y la generación de listas, el sistema de detección de fraude está habilitado para contrastar si una transacción es fraudulenta o no El sistema dispone de muchos perfiles distintos para comprobar cada transacción. El primer resultado es una serie de unos (la transacción está bien) y ceros (la transacción está mal) El próximo paso es construir una función para mapear todos los unos y ceros en un resultado simple de VERDE-AMARILLO-ROJO Se pueden implementar diferentes maneras de obtener los resultados 16

17 Obteniendo los resultados finales La manera más aséptica : Neural Net Cómo mapear una selección complicada de unos y ceros en un solo número (o mejor dicho en un valor único Boolean) es un reto típico en una red Neural. Se necesitan muchos casos de fraude para aprender, pero al final se desarrolla un sistema infalible La manera más rápida: encestar bolas rojas Para cada prueba que está bien ponemos una (o más) bola VERDE en la cesta. Para cada prueba que está cerca de estar bien ponemos una (o más) bola AMARILLA en la cesta y para cada prueba que no está bien ponemos una (o más) bola ROJA en la cesta Al final contamos todas las bolas de la cesta y damos con un resultado VERDE si su número es más elevado que la suma de las bolas AMARILLAS y ROJAS, o AMARILLO o ROJO dependiendo de qué grupo es más numeroso 17

18 Empleando los resultados finales Diferentes maneras para diferentes bancos El centro de atención al cliente llama directamente al usuario para verificar una transacción sospechosa El banco puede introducir un nivel nuevo o adicional de autenticación, por ejemplo mediante SMS, para transacciones sospechosas El banco puede optar por bloquear las transacciones ROJAS y llamar para las transacciones AMARILLAS 18

19 Próximos pasos Integración con otras fuentes de datos Creación de agrupaciones de usuarios (o cuentas bancarias) con hábitos similares para poder entender las tendencias generales de comportamiento de los usuarios en una agrupación. Próximos a la Navidad se gasta más dinero de lo habitual, pero si todos lo hacen, es fraude o es una tendencia? Extender el sistema para gestionar el fraude en la banca telefónica, transacciones de tarjetas de pago y para monitorizar usuarios internos 19

20 Bibliografía I. H. Witten and E. Frank. Data Mining -- Practical Machine Learning Tools and Techniques with Java Implementations (2 edition). Morgan Kaufmann Publishers, RAKE Presentations

21 Preguntas? Gracias por su atención 21