[논문 리뷰] Explainable Deep Behavioral Sequence Clustering for Transaction Fraud Detection

Wei Min, Weiming Liang외 4명|arXiv (Cornell University)|2021. 01. 12.

Imbalanced Data Classification Techniques참고 문헌 12인용 수 9

한 줄 요약

이 논문은 시간 주의력 기반 양방향 LSTM을 사용한 깊이 있는 행동 시퀀스 임베딩과 전문가가 생성한 특징을 조합하여 사기 거래를 탐지하는 새로운 비지도 학습 프레임워크인 FinDeepBehaviorCluster을 제안한다. GPU 가속화된 HDBSCAN 변종(pHDBSCAN)을 활용하여 대규모 데이터에서 클러스터링 속도를 500배 빠르게 구현함으로써 기존에 발견되지 않은 사기 패턴을 실시간으로 탐지할 수 있었으며, 이는 23.52%의 수익률과 규칙 기반 클러스터 설명에서 높은 정밀도를 달성하였다.

ABSTRACT

In e-commerce industry, user behavior sequence data has been widely used in many business units such as search and merchandising to improve their products. However, it is rarely used in financial services not only due to its 3V characteristics - i.e. Volume, Velocity and Variety - but also due to its unstructured nature. In this paper, we propose a Financial Service scenario Deep learning based Behavior data representation method for Clustering (FinDeepBehaviorCluster) to detect fraudulent transactions. To utilize the behavior sequence data, we treat click stream data as event sequence, use time attention based Bi-LSTM to learn the sequence embedding in an unsupervised fashion, and combine them with intuitive features generated by risk experts to form a hybrid feature representation. We also propose a GPU powered HDBSCAN (pHDBSCAN) algorithm, which is an engineering optimization for the original HDBSCAN algorithm based on FAISS project, so that clustering can be carried out on hundreds of millions of transactions within a few minutes. The computation efficiency of the algorithm has increased 500 times compared with the original implementation, which makes flash fraud pattern detection feasible. Our experimental results show that the proposed FinDeepBehaviorCluster framework is able to catch missed fraudulent transactions with considerable business values. In addition, rule extraction method is applied to extract patterns from risky clusters using intuitive features, so that narrative descriptions can be attached to the risky clusters for case investigation, and unknown risk patterns can be mined for real-time fraud detection. In summary, FinDeepBehaviorCluster as a complementary risk management strategy to the existing real-time fraud detection engine, can further increase our fraud detection and proactive risk defense capabilities.

연구 동기 및 목표

• 금융 거래 데이터에서 희귀하고 동적인, 이전에 발견되지 않은 사기 패턴을 탐지하는 데 도전하는 것.
• 기존의 위험 모델에 대한 보완 신호로 비구조화되고 고속의 사용자 클릭스트림 시퀀스를 활용하는 것.
• 딥 러닝 기반 시퀀스 표현과 도메인 전문가의 직관을 융합하여 해석 가능성 향상을 통해 사기 탐지 성능을 향상시키는 것.
• 알고리즘 최적화를 통해 수억 건의 거래를 스케일러블하고 실시간으로 클러스터링할 수 있도록 하는 것.
• 사례 조사 및 사전 위험 방어를 위해 인간이 읽을 수 있고 실행 가능한 규칙을 위험 클러스터에서 추출하는 것.

제안 방법

• 사용자 클릭스트림 데이터로부터 비지도 학습을 통해 시퀀스 임베딩을 학습하기 위해 시간 주의력 기반 양방향 LSTM을 사용한다.
• 도메인 전문가가 제공한 수작업 위험 특징과 학습된 시퀀스 임베딩을 조합하여 하이브리드 특징 표현을 구성한다.
• FAISS를 활용하여 GPU 가속화된 HDBSCAN 변종(pHDBSCAN)을 개발하여 대규모 거래 데이터의 분석 시간이 분 이내인 클러스터링을 구현한다.
• 클러스터의 밀도와 크기에 대한 히우리스틱 임계값을 적용하여 위험 클러스터를 식별한다.
• 규칙 추출 기법을 사용하여 클러스터 패턴의 조건부이고 인간이 읽을 수 있는 기술적 설명을 생성한다.
• 계층적 샘플링과 시간 가중치를 적용한 방식으로 실제 거래 데이터에서 인덕티브 및 트랜스덕티브 설정 모두에서 프레임워크를 평가한다.

실험 결과

연구 질문

• RQ1 딥 러닝 기반 시퀀스 모델링이 비지도 방식으로 사기 탐지에 있어 사용자 행동 패턴을 효과적으로 표현할 수 있는가?
• RQ2 학습된 임베딩과 전문가가 제공한 특징을 융합한 하이브리드 특징 표현이 사기 탐지 성능을 어떻게 향상시킬 수 있는가?
• RQ3 GPU 최적화된 HDBSCAN 구현이 수억 건의 거래를 분 이내에 스케일러블하게 클러스터링할 수 있는가?
• RQ4 제안된 프레임워크가 기존 실시간 예측 모델이 놓친 사기 거래를 어느 정도 탐지할 수 있는가?
• RQ5 규칙 기반 클러스터 설명이 위험 분석가 및 비즈니스 팀에게 높은 정밀도의 실행 가능한 통찰을 제공할 수 있는가?

주요 결과

• 제안된 FinDeepBehaviorCluster 프레임워크는 샘플링된 트래픽에서 23.52%의 수익률을 기록하여 기준 모델을 크게 능가하였다.
• 하이브리드 특징 표현(147D)은 F-스코어 6.27%를 기록하며 순수 딥 러닝 특징과 수작업 특징을 모두 초월했고, 손실을 $11,895.58 감소시켰다.
• pHDBSCAN 알고리즘은 원본 HDBSCAN 대비 500배 빠른 처리 속도를 달성하여 500만 건의 거래를 분 이내에 클러스터링할 수 있었다.
• 딥 시퀀스 특징만으로도 정밀도 70.46%와 재현율 1.71%를 기록하여 사기 신호에 대한 강력한 분류 능력을 입증하였다.
• 사례 연구에서 위험 클러스터는 고속, 저검색, 도용된 금융 수단을 사용한 다수의 고가 구매 등의 명확한 행동 패턴을 보였다.
• 클러스터에서 추출한 규칙은 정확도가 높은 서사 기반 기술(예: 10회 이상 체크아웃, 1회 이하 검색, 신용카드 사용, qq.com 이메일)을 제공하였으며, '반복 범죄자'와 같은 알려진 사기 기법과 일치하였다.