قواعد تكرار العمليات (Velocity) لكشف الاحتيال

اكتب قاعدة تكرار العمليات بصيغة يمكن قراءتها في ملف التحقيق. «نشاط زائد» ليست قاعدة، أما «أكثر من خمس عمليات تفويض من بصمة الجهاز نفسها خلال عشر دقائق» فقاعدة.

هذه الجملة هي ما يشرحه الدعم للعميل، وما يطلب المدقق إعادة اختباره، وما ستعدّله الأسبوع القادم إذا كشف موسم تخفيضات أن العتبة غير مناسبة. وإذا لم تستطع تحديد المعرّف والإجراء والفترة والعتبة بوضوح، فليس لديك قاعدة تكرار، بل مجرد انطباع.

العناصر الأربعة لقاعدة تكرار العمليات

**المعرف.** معرف العميل أو بصمة الجهاز أو IP أو البريد أو BIN. استخدم الأكثر ثباتًا مما تجمعه فعلًا. وعنوان IP مناسب لرصد حشو بيانات الدخول في فترة قصيرة، لكنه لا يصلح مفتاحًا وحيدًا على شبكات الجوال المشتركة. وبصمة الجهاز أقوى لاختبار البطاقات والحسابات المتعددة. وcustomer.externalId هو ما تحتاجه عندما يعيد الشخص نفسه محاولة صرف.

**الإجراء.** حدد ما تعدّه: الدخول أو التفويض أو الصرف أو التسجيل. خمس محاولات دخول فاشلة تشير إلى حشو بيانات الدخول، وخمس عمليات تفويض منخفضة القيمة على بطاقات جديدة تشير إلى اختبار البطاقات، وخمس عمليات صرف لأطراف جديدة نمط مختلف. واسم الحدث في استدعاء الواجهة هو ما يُبقي هذه الأعداد دقيقة.

**الفترة.** حدد الفترة الزمنية بحسب النمط: دقيقتان لمحاولات الدخول المتكررة، وساعة لاختبار البطاقات، ويوم لحركة الحسابات الوسيطة البطيئة. الفترة جزء من السياسة، فاضبط العتبة وفق حجم النشاط المعتاد وراجع تأثيرها خلال الحملات.

**العتبة والنتيجة.** عدد أو مجموع ثم REVIEW أو BLOCK. ابدأ القواعد الجديدة في REVIEW. قِس التنبيهات الخاطئة خلال مواسم التخفيضات وعلى الشبكات المشتركة. واستخدم BLOCK فقط للأنماط عالية الثقة التي رأيتها وسمّيتها.

اختبار البطاقات هو المثال الأوضح: بطاقات كثيرة، عملاء قليلون، جهاز واحد، مبالغ منخفضة. القاعدة ليست «مدفوعات مشبوهة»، بل «أكثر من ن عملية تفويض من هذه البصمة خلال هذه الفترة، ببطاقات مختلفة، وبمبالغ أقل من هذا الحد». انظر ما هو فحص تكرار العمليات إن احتجت التعريف القصير بجانب قالب الحالة.

لماذا يتفوق هذا على درجة لا يمكن شرحها

يسأل المدققون والعملاء عن سبب إيقاف الدفعة. درجة 0.81 لا تجيب عن ذلك، أما قاعدة مسماة بعناصرها الأربعة فتجيب.

يعيد محرك قواعد نيزا ALLOW أو REVIEW أو BLOCK مع السبب ومعرّف الحدث. يرتّب تقييم المخاطر الحالات لتُراجع الأعلى خطورة أولًا، وتوضح القواعد سبب القرار، كما في القواعد القابلة للتفسير مقابل الصندوق الأسود.

أبقِ معرف الحدث على سجل الدفع أو الدخول. وإذا تبيّن أن العتبة غير مناسبة، فستحتاج إلى العثور على كل مرة انطبقت فيها تلك القاعدة، لا كل «درجة مرتفعة» يوم الثلاثاء. فالضبط نقاش حول العناصر الأربعة، لا طلب بأن «يصبح النموذج أقل تشددًا».

اختبر القاعدة قبل تفعيل الحظر

ابدأ بوضع المراقبة أو REVIEW. راجع نشاط الشبكات المشتركة وأجهزة العائلات والحملات. أبقِ الاستخدام العائلي في المراجعة أثناء ضبط العتبة، وأضف البصمات التي تأكد استخدامها في اختبار البطاقات إلى قائمة الحظر وانقل ذلك النمط إلى BLOCK.

لا تضف خمس قواعد تكرار في اليوم الأول. فعّل قاعدة واحدة وراقبها، ثم أضف التالية. فتراكم القواعد ذات الفترات المتداخلة ينتج قائمة مراجعة لا يثق بها أحد، ومعدل BLOCK لا تستطيع شرحه في المراجعة الأسبوعية.

تقيس قواعد تكرار العمليات في نيزا عدد الأحداث وقيمتها خلال فترات محددة. وثّق المعرّف والإجراء والفترة والعتبة، ليتمكن المحققون من تفسير كل قرار.