习惯无法隐藏：通过分析金融欺诈者行为防止账户接管和合成身份盗窃

1. 生成式人工智能让两种传统欺诈方式“重获新生”：合成身份欺诈和账户欺诈，对金融机构合规管理与客户资金安全构成严峻挑战。
2. 这些欺诈类型很难实时识别。行为分析包括查看与历史银行账户活动和交易相关的关键指标，有助于在欺诈活动发生时发出信号，强化反欺诈防控效能。

随着人工智能不断进步，欺诈者正在使用越来越复杂的手段骗取个人和企业的巨额资金。生成深度伪造的身份证件、声纹甚至自拍照方面的技术发展让各类企业猝不及防，其中包括大型金融机构。

技术的飞速发展使两种传统欺诈手段“受益匪浅”，并因此对企业和消费者构成了更大的威胁：合成身份和账户接管。

合成身份（ID）是将真实和伪造的个人信息混合而创建的，欺诈者利用合成身份开设银行账户。欺诈者通过偶尔进行小额支付来使账户看起来合法，从而逃避金融机构的风险筛查与监管。这些合成账户随后被用于接收和隐藏多种类型诈骗的资金，包括授权推送支付（APP）和商业电子邮件破解（BEC）。

账户接管（ATO）是指银行账户的登录信息被泄露并且欺诈者获得账户的所有权。由于各种原因，这种情况很难被发现：

• 企业希望避免给用户带来摩擦
• 凭证和密码可能通过多种方式被泄露（暴力攻击、凭证填充、网络钓鱼等）
• 生成式人工智能在破解面部和声音识别等生物识别技术方面变得越来越有效
  

欺诈者除了可以获取客户的资金余额外，还可以用被劫持的账户购买产品或非法寻求退款、拒付或进行其他支付。

账户接管和其他使用合成身份的欺诈类型如 APP 和 BEC，可以在个人和企业发现资金丢失之前就造成严重经济损失。

如果客户遭受账户接管或其他类似攻击的伤害，企业则需要承担补救成本（如退款）并在声誉上受到打击，失去现有和潜在客户的收入。此外，当金融机构发现并关闭欺诈账户时，欺诈者已经将非法所得转移到合成身份创建的账户或其他隐藏资产中，从而使受害者、金融机构和执法部门无法追回这些资金。

合成 ID 被设计的看起来像一个合法的的个人或实体。账户接管欺诈源于合法账户被用于非法目的。单独进行银行账户验证可能会有帮助，但无法发现与收款人同名的合成 ID 或账户接管。

然而，欺诈者无法隐藏的一件事是他们的行为。接管账户或“激活”合成ID的欺诈者会迅速行动，在金融机构发现其活动之前尽可能多地赚取现金。

例如，使用合成 ID 创建银行账户的欺诈者可能会开始申请信贷、“先购后付”账户或贷款，意图是永远不还钱。他们可能会创建几十个电子商务账户，用那些非法账户购买商品，保留或转售他们未支付的商品。他们可能会将账户作为 BEC 骗局的一部分，引导企业为其未完成的工作支付款项。他们甚至可能申领保险或失业救济。

因此，采用联盟式的欺诈检测方法大有裨益。在收集和验证新的付款或收款人详细信息后，就有可能迅速识别出参与企业的风险行为，从而最大限度地减少损失，将欺诈行为扼杀在摇篮里。

可以通过分析以下内容来检测：

• 经常性：短期、中期和长期对银行账户的查询；
• 受欢迎度：已查看过该银行账户的参与企业的数量；
• 速度：短期、中期和长期内的查询总数。

在上述案例中，欺诈者开始多次信贷、“先购后付”或贷款申请，或创建电子商务账户时，可以通过查看其银行账户在参与企业中的经常性、受欢迎度和速度行为，就能检测到其欺诈企图。

现实情况是，只要有足够的时间和精力，不法分子几乎可以突破所有类型的个人安全产品或服务。这种威胁在生成式人工智能时代被进一步放大，对合规风控体系提出了更高要求。

然而，不法分子往往选择最容易得手的目标。如果增加足够多的欺诈和安全防御层，最终欺诈者会发现突破防线耗时、费力且代价高昂，他们会转而寻找其他机会。

越来越多的人建议采用一种全面的、“始终在线”的方法来预防欺诈，这种方法贯穿整个客户生命周期。这种方法以持续不断的风险监控为基础，并以三大支柱为依托：

1. 通过基于数据的验证来补充文件验证和生物识别技术，从而确认客户身份；
2. 通过银行账户验证和账户所有权验证来验证账户；
3. 通过关联收集的账户行为分析和其他ID信号，检测异常行为，从而实现互动信任。

行为分析，结合强大的身份验证和支付验证，有助于加强组织有效对抗欺诈所需的武器库，为金融机构和企业构建安全、合规的业务环境。