對于商業銀行而言，線上支付交易反欺詐是一項止損業務，止損止的是客戶的損失，對于銀行自身則屬于顯性成本業務，在重視程度上遠不及營銷、吸儲、放貸、投行等利潤業務，與信貸風險控制相比，外部欺詐風險在風險管理鏈條中也處于非核心地位。2021年5月25日，最高人民法院發布了《最高人民法院關于審理銀行卡民事糾紛案件若干問題的規定》，對銀行卡盜刷問題進行了規定，自此，商業銀行除了按照銀保監會、人民銀行、地方金融管理局等監管部門的要求，履行反欺詐的義務以外，還要積極應對客戶對于用卡安全的實際訴求，否則，當客戶的資金被盜刷后，商業銀行也將面臨索賠民事糾紛，反欺詐已成為商業銀行必須要修煉的內功。而實際上商業銀行面臨的外部欺詐風險遠不止卡盜刷，近年來，一個現象較為普遍，不管是高鐵站還是小區門口或者是商場，都能看到醒目的橫幅、電子屏，甚至反詐中心會用短信的形式，對于防范電信網絡詐騙進行大規模提示，一方面說明電信網絡詐騙形勢嚴峻；另一方面也應看到政府在積極開展行動，幫助民眾提高警惕，防止詐騙。

為什么電信網絡詐騙在如此高壓的情況下仍然高發，作為商業銀行做了哪些事情來避免用戶遭到電信網絡詐騙呢？政府教育民眾，銀行教育客戶。對于防騙，客戶的安全意識無疑是最重要的保護盾，然而，既然是意識，想要提高，是無法做到立竿見影的，意識的提高是一個緩慢的過程。教育是最容易實現的，客戶新開銀行卡時被告知如何安全用卡，客服電話也會經常以短信和電話的形式提醒客戶安全用卡，切勿泄露個人賬戶信息給陌生人。除了教育提醒之外，還能做什么。反欺詐系統實時攔截，從交易的維度識別出欺詐風險高的交易，進行實時攔截，保護客戶資金安全，但這考驗的是商業銀行的風險識別能力和系統控制能力，這是一個挑戰，接下來我們討論如何從交易的角度識別并控制電信網絡詐騙，從而將風險化解在資金交易的環節，避免與客戶后續的民事糾紛。

識別風險的基礎是了解風險。我們先來看欺詐風險的定義，巴塞爾銀行監管委員會對操作風險的定義是：由于內部程序、人員和系統的不完備或失效，或由于外部事件造成損失的風險，主要包括內部欺詐、外部欺詐等，其中內部欺詐是指有機構內部人員參與的詐騙、盜用資產、違犯法律以及公司規章制度的行為；外部欺詐是指第三方欺詐、盜用資產、違犯法律的行為，通常包括貸款申請欺詐、信用卡申請欺詐、交易欺詐、信用卡盜刷、個人借記卡盜刷、企業賬戶交易欺詐以及不法分子通過電話、網絡、短信等方式編造虛假信息，設置騙局對受害人實施遠程非接觸式詐騙，誘使受害人轉賬的電信網絡欺詐等。網絡金融渠道的支付交易欺詐，屬于外部欺詐，包括兩類主要方式：一種為非持卡人本人操作類欺詐，也即銀行卡盜刷，主要作案方式為詐騙分子通利用釣魚網站、地下暗網等黑產方式，綜合運用社會工程學方法獲取持卡人的個人信息、賬戶信息及登錄支付等交易要素，登錄他人賬戶并進行資金相關操作的行為，主要包括盜刷消費和盜刷轉賬；另一種為持卡人本人操作類欺詐，也即電信詐騙，本文指詐騙分子通過電話、微信等方式與持卡人取得聯系，通過恐嚇、引誘等形式從主觀上騙取持卡人的“信任”，誤導或誘使持卡人向詐騙分子轉賬的行為。兩種類型的主要區別是交易的操作者是否為持卡人本人。反欺詐業務主要是針對上述兩類欺詐進行檢測，并對高風險交易進行實時阻斷，保障用戶用卡及資金安全。

非持卡人操作的交易具有明顯的特征，主要包括交易使用的設備、網絡環境、交易操作行為習慣等，此類風險主要集中在，與持卡人歷史交易相比，常用設備發生變化、交易所在位置發生較大變化或與持卡人所在地差異較大、交易金額與日限額或賬戶余額較為接近、支付方式多為短信支付等非物理介質、操作行為習慣有明顯變化、收款方風險等特征。持卡人本人操作類欺詐交易為持卡人本人發起的交易，在使用的設備、網絡環境等方面無明顯特征，主要特征集中在收款方（卡或賬戶）的風險以及交易行為習慣的變化方面，在防控時難度較大，重點可放在收款方的風險評估方面，收款方分為工行賬戶和他行賬戶，對于他行賬戶，可利用黑名單進行風險評估，但范圍極??；對于工行賬戶可根據該賬戶的開戶、登錄情況、與其他賬戶的關系等進行風險評估。

控制風險的前提是識別風險。反欺詐系統是識別和控制風險的利器。反欺詐系統主要進行實時欺詐交易檢測和阻斷?？蛻粼贏PP或者網銀提交交易請求，該請求將經過一系列數據字段補充，形成完整的交易報文，反欺詐系統實時取出交易報文并進行風險評估，將風險評估情況和對應控制措施返回給網銀系統，網銀系統進行實際控制，比如進行阻斷或者放行或者二次認證。如何識別風險？假設當前反欺詐系統只有一個功能：判斷交易金額是否超過一萬元，如果否，則直接向服務器反饋“放行”代碼，服務器拿到反饋結果后，將根據該筆交易的收付款方、交易金額等信息進行更新數據庫等一系列操作；如果超過一萬元，則向服務器反饋“攔截”代碼，服務器接到指令后，將該筆交易拒絕，并給該客戶反饋提示信息?，F在考慮一個情況，近期，有不少北京地區的客戶反映，有人冒用自己卡進行轉賬匯款，造成資金損失，需要風控部門予以控制。此時，“判斷交易金額是否超過一萬元”的功能顯然不能滿足業務需要，我們要對風控系統的功能進行擴充，需要添加一個功能，實現對北京地區的所有轉賬交易進行人臉識別（刷臉認證），以確認操作賬戶的人是否是持卡人本人。此時，風控系統要做到三件事：一是在一個交易請求送入風控系統時，能夠判斷出來這筆交易是否來自北京地區的卡；二是判斷出該筆交易是否為轉賬交易；三是若同時滿足條件一、二，則通知服務器，對該筆交易進行“人臉識別”；如果在規定的時間內人臉識別通過，則轉賬成功；否則轉賬失敗。類似這種簡單的判別，我們稱之為規則，規則靈活且有效，大量的規則構成規則系統，對不同風險進行精準的過濾和處置。

現在，考慮一個問題，對于北京地區有人冒用他人的卡進行轉賬匯款的風險，如果時間過去了很久，客戶才上報，或者客戶上報的內容過了一段時間，才傳到風險控制部門，將會有什么后果？風險在長時間內沒有得到有效控制，導致大量客戶資金損失，影響企業聲譽，甚至遭到監管處罰，這就要求風險控制要具有及時性。再考慮一個問題，如果每條規則對映一類具體的風險，隨著電子銀行的快速發展，風險呈現多樣化，規則要窮舉風險個例顯然不可能實現；同時規則的研發也耗費大量的分析時間，因此，規則具有風險處置單一性、上線滯后性等問題；此外，由于規則往往用的變量較少，詐騙分子能夠在較短的時間內找到規則的漏洞，因此，規則也存在易突破的致命性弱點。此時，對于風險處置更多樣、更不易被突破、處置風險更及時的“超級規則”的需求更加迫切，這樣的規則我們稱之為“模型”。下一章，我們討論如何構建一個“超級規則”—反欺詐模型。

責任編輯：王煊