王薇鈉 盧忠渭 張堅(jiān) 吳俊 王振東

摘要：近年來隨著互聯(lián)網(wǎng)科技的不斷發(fā)展，電信詐騙現(xiàn)象逐年增多，直接成為威脅人民財(cái)產(chǎn)安全的核心所在，對(duì)此建立并完善防詐騙體系成為了預(yù)防工作的關(guān)鍵。本文基于數(shù)據(jù)挖掘的隨機(jī)森林算法以及聚類算法技術(shù)展開了相應(yīng)的綜合分析，并在底層架構(gòu)中的算法中置入了防范電話詐騙模型，并設(shè)計(jì)了相關(guān)的結(jié)構(gòu)和系統(tǒng)，對(duì)通話特性進(jìn)行表征分析，提升了模型的預(yù)測(cè)效率和準(zhǔn)確度，為防范電話詐騙提供更加清晰和準(zhǔn)確的架構(gòu)體系。

關(guān)鍵詞：隨機(jī)森林;電話詐騙;方法體系;系統(tǒng)設(shè)計(jì)

目前，電信詐騙的形式較為嚴(yán)峻。大數(shù)據(jù)背景下，個(gè)人的網(wǎng)絡(luò)信息嚴(yán)重威脅著人們的財(cái)產(chǎn)安全，對(duì)此工信部以及公安部和運(yùn)營(yíng)商相繼發(fā)布重要整治措施，整改和預(yù)防電信詐騙事件的發(fā)生。從應(yīng)用層面上來看，主要是從用戶端上來綜合的篩選用戶的終端通訊，進(jìn)而實(shí)現(xiàn)過濾的作用，但是這樣的模式仍舊是過程處理，此時(shí)的詐騙活動(dòng)已經(jīng)發(fā)生，因此難以實(shí)現(xiàn)全面防治的效果。對(duì)此，本文針對(duì)著事前開展的過程進(jìn)行綜合分析，提出基于通話特征的前、中、后三級(jí)研判標(biāo)準(zhǔn)，并采用混合模型（隨機(jī)森林模型、聚類模型）的挖掘技術(shù)體系對(duì)詐騙行為進(jìn)行綜合研判，旨在促進(jìn)更好的防范電信詐騙工作。

一、防范電話詐騙體系架構(gòu)

現(xiàn)有的防詐體制主要是在話務(wù)特征上進(jìn)行用戶畫像的描述，因此在對(duì)于整個(gè)通訊過程來說具有一定的滯后性，無法實(shí)現(xiàn)第一時(shí)間的電話防范和攔截。目前大多數(shù)的數(shù)據(jù)分析過程和攔截過程主要是基于物理庫存進(jìn)行展開的，通過建立電話數(shù)據(jù)的黑名單制度來對(duì)號(hào)碼進(jìn)行綜合管控。數(shù)據(jù)庫存系統(tǒng)能夠?qū)v史號(hào)碼和歷史數(shù)據(jù)進(jìn)行綜合儲(chǔ)存，對(duì)于可疑賬戶和可疑的數(shù)據(jù)信息號(hào)碼進(jìn)行綜合儲(chǔ)存并實(shí)現(xiàn)前期的預(yù)警[1]。黑名單的預(yù)警機(jī)制僅僅只是根據(jù)號(hào)碼的來源來做篩選，根據(jù)可疑的電話進(jìn)行綜合整理，真是建立在已有的用戶舉報(bào)數(shù)據(jù)以及公安系統(tǒng)內(nèi)的數(shù)據(jù)庫為基礎(chǔ)的。網(wǎng)址內(nèi)一旦出現(xiàn)黑名單號(hào)碼數(shù)據(jù)則會(huì)立即進(jìn)行攔截處理，并在不斷的攔截和信息處理過程中豐富號(hào)碼的基礎(chǔ)用戶數(shù)據(jù)，促進(jìn)系統(tǒng)整體效率的提升[2]。數(shù)據(jù)庫信息系統(tǒng)當(dāng)中對(duì)于信息的綜合處理過程維度較高，為了便于后續(xù)過程的模型處理，首先需要依據(jù)號(hào)碼特征進(jìn)行數(shù)據(jù)信息的基礎(chǔ)分類，涵蓋運(yùn)營(yíng)商號(hào)碼、公檢法號(hào)碼以及金融號(hào)碼等參數(shù)。對(duì)于模型誤判的詐騙號(hào)碼也會(huì)實(shí)現(xiàn)不斷的更迭優(yōu)化，名單庫的建立不僅僅是建模的數(shù)據(jù)基礎(chǔ)，同時(shí)也是模型優(yōu)化的關(guān)鍵核心。

二、基于通話行為以及數(shù)據(jù)挖掘算法的電話詐騙模型

（一）機(jī)器學(xué)習(xí)算法

機(jī)器學(xué)習(xí)的算法應(yīng)用過程中，主要是將已有的數(shù)據(jù)信息導(dǎo)入到機(jī)器當(dāng)中進(jìn)行模型訓(xùn)練和數(shù)據(jù)處理的過程，通過數(shù)據(jù)來建立綜合的信息傳導(dǎo)模型，數(shù)據(jù)量越高、信息參數(shù)越全面，同時(shí)數(shù)據(jù)模型的優(yōu)化效果就越高。依據(jù)這類型的分類形式，機(jī)器學(xué)習(xí)主要分為無監(jiān)督學(xué)習(xí)以及監(jiān)督學(xué)習(xí)兩種形式，監(jiān)督學(xué)習(xí)的過程中主要通過批量的算法進(jìn)行不斷的迭代計(jì)算，計(jì)算的過程當(dāng)中不斷豐富數(shù)值結(jié)果的質(zhì)量。最終的數(shù)據(jù)結(jié)果涵蓋最終的數(shù)據(jù)結(jié)果，根據(jù)數(shù)據(jù)中已含的數(shù)據(jù)標(biāo)簽來得到最終的綜合結(jié)果。本文的數(shù)據(jù)處理過程中，主要是將黑名單中數(shù)據(jù)樣本作為基礎(chǔ)訓(xùn)練集，并用數(shù)據(jù)挖掘算法進(jìn)行數(shù)據(jù)處理，建立相關(guān)的信息模型，最終實(shí)現(xiàn)實(shí)時(shí)的號(hào)碼攔截和干預(yù)。在信息的預(yù)防和預(yù)警過程中，詐騙號(hào)碼的分類過程并不是一個(gè)區(qū)分制的二分類問題，整體的數(shù)據(jù)表現(xiàn)是一個(gè)多分類的模式，不同類型的詐騙形式具有著不同的通話特性。隨著電話詐騙形式的不斷拓展，其基礎(chǔ)算法的優(yōu)化也需要不斷的進(jìn)行維護(hù)和運(yùn)維，對(duì)此無監(jiān)督的數(shù)據(jù)處理模式體現(xiàn)出了優(yōu)勢(shì)。無監(jiān)督的學(xué)習(xí)過程主要是通過將未知數(shù)據(jù)和訓(xùn)練樣本進(jìn)行綜合處理的過程，通過不同類型電話號(hào)碼的通話時(shí)長(zhǎng)、通話地域類型以及通話目標(biāo)群體的畫像描述，能夠區(qū)分出號(hào)碼的行為特征。但是隨著詐騙行為和形式不斷豐富多樣，需要及時(shí)的調(diào)整和修改數(shù)據(jù)模型參數(shù)，以保證高質(zhì)量的判斷效率。結(jié)合著無監(jiān)督以及有監(jiān)督算法的深度融合，還能夠描述不同的用戶畫像，進(jìn)而發(fā)現(xiàn)全新的詐騙類型，結(jié)合著人工參數(shù)調(diào)節(jié)的不斷干預(yù)，能夠?qū)崿F(xiàn)實(shí)時(shí)的參數(shù)調(diào)整，進(jìn)而綜合的提升模型研判的準(zhǔn)確度和精確度。

（二）決策樹算法

監(jiān)督模型實(shí)現(xiàn)了全過程的信息監(jiān)控[3]，在數(shù)據(jù)挖掘和信息建模的過程中，對(duì)于同一號(hào)碼的信息綜合研判能夠?qū)υp騙類型進(jìn)行綜合區(qū)分，在準(zhǔn)確的描述號(hào)碼基礎(chǔ)特征的基礎(chǔ)上能夠?qū)νㄔ捫畔?shù)作為已有的數(shù)據(jù)分類樣本集，而后進(jìn)行綜合分類，實(shí)現(xiàn)號(hào)碼參數(shù)的綜合預(yù)測(cè)，最終判斷出號(hào)碼是否為詐騙號(hào)碼，及時(shí)地進(jìn)行攔截。過程中對(duì)于需要考慮的詐騙類型較為豐富，因此其數(shù)值模型也需要進(jìn)行不斷地實(shí)時(shí)調(diào)整，在數(shù)據(jù)挖掘算法的建模過程中，詐騙號(hào)碼的分類本身是一個(gè)基礎(chǔ)性的分類問題，其結(jié)果只有“是”和“否”兩種結(jié)果，因此可以將其作為一個(gè)分類分析來進(jìn)行綜合求解，結(jié)合著通話信息作為分類號(hào)碼的基礎(chǔ)數(shù)據(jù)集來建立分類模型，實(shí)現(xiàn)預(yù)測(cè)式分類。考慮到分類建模的速度較快，因此決策樹算法適用于大量號(hào)碼的應(yīng)用過程里，能夠顯著提升數(shù)據(jù)處理效率。對(duì)于數(shù)據(jù)信息變量較多的參數(shù)，可能會(huì)對(duì)判斷過程產(chǎn)生誤差的影響，因此本文的設(shè)計(jì)環(huán)節(jié)中還重點(diǎn)選取了隨機(jī)森林的方法對(duì)數(shù)據(jù)信息進(jìn)行二次處理，尤其是對(duì)候選變量的信息參數(shù)進(jìn)行重要性綜合評(píng)估和評(píng)價(jià)，參照著重要程度進(jìn)行綜合評(píng)分，對(duì)于選取到的重要性評(píng)分較高的變量來作為信息和模型處理的核心變量，實(shí)現(xiàn)數(shù)據(jù)的清洗和數(shù)據(jù)預(yù)處理，對(duì)于達(dá)到一定準(zhǔn)確率的信息參數(shù)來進(jìn)行綜合判別。

（三）聚類算法

在本文進(jìn)行大量樣本的數(shù)據(jù)訓(xùn)練過程中，發(fā)現(xiàn)詐騙電話具有著相似的粘片特征，在進(jìn)行隨機(jī)森林?jǐn)?shù)據(jù)處理后還可以通過聚類分析的方法來綜合的提取詐騙特征，實(shí)現(xiàn)詐騙號(hào)碼的綜合性描述，其中K-means算法是聚類分析算法的典型代表，綜合選取了號(hào)碼的基礎(chǔ)特征和通話行為屬性作為信息參數(shù)處理的基礎(chǔ)，來進(jìn)行模型的建立過程。由于現(xiàn)有的詐騙號(hào)碼類型較多，通過聚類分析的過程能夠從數(shù)據(jù)的處理過程中綜合提取聚類中心，并且計(jì)算各個(gè)詐騙號(hào)碼的集合聚類中心的屬性差異性，最終在不斷的迭代計(jì)算過程中逐漸收斂，得出不同詐騙類型的基礎(chǔ)信息參數(shù)和通話行為特征，建立了相關(guān)的數(shù)據(jù)模型集。通過黑名單的電話數(shù)據(jù)分析還能夠深度聚類出不同數(shù)據(jù)庫之間的詐騙類型。

三、基于號(hào)碼基礎(chǔ)特征的防范電話詐騙模型

通過算法處理后的數(shù)據(jù)具有著一定的規(guī)律性，最終對(duì)信息處理的過程能夠有一定的鋪墊性，在數(shù)據(jù)處理的過程中需要綜合考慮詐騙號(hào)碼存在詐騙的行為特征后才能被系統(tǒng)識(shí)別為是詐騙電話，最終對(duì)電話通訊過程進(jìn)行攔截，基于號(hào)碼的基礎(chǔ)性特征的防詐騙電話能夠有效地彌補(bǔ)傳統(tǒng)挖掘模型的缺陷，實(shí)現(xiàn)了前置性攔截的過程。從實(shí)際詐騙行為的發(fā)生過程來看，大部分的詐騙活動(dòng)都是以團(tuán)伙作案的形式進(jìn)行的，甚至是其身份和地點(diǎn)以及漫游地都存在著一定的集中性。針對(duì)上述特征活動(dòng)的綜合分析后，能夠初步建立防范電話的詐騙類型，具體的判別調(diào)節(jié)和判別形式主要是依據(jù)套餐的月租和激活時(shí)間進(jìn)行綜合的數(shù)據(jù)研判。同時(shí)在算法構(gòu)建的過程中也可以針對(duì)可能存在的疑似詐騙電話進(jìn)行攔截，在算法側(cè)設(shè)置相關(guān)的定義條件，有效地提升了攔截效率[4]。相關(guān)的標(biāo)簽設(shè)置情況如圖1所示。

根據(jù)前線專員多年的反詐業(yè)務(wù)經(jīng)驗(yàn)反饋得知，在電信網(wǎng)絡(luò)詐騙犯罪中詐騙犯罪的手段眾多，嫌疑人單打獨(dú)斗的情況極少，絕大多數(shù)是以職業(yè)化特征明顯的團(tuán)伙形式進(jìn)行作案。從犯罪形式來看，不同團(tuán)伙采用的手段各異。例如：冒充正規(guī)機(jī)構(gòu)發(fā)送詐騙短信，偽基站發(fā)布詐騙信息，境外虛假改號(hào)，利用黑客軟件、惡意群呼等形式眾多，不同團(tuán)伙的作案反映在話單歷史記錄上表現(xiàn)出的行為特征也差別很大。由此，可將詐騙電話識(shí)別問題抽象為一個(gè)多分類問題，方法上也無法用單一的模型進(jìn)行預(yù)測(cè)結(jié)果輸出因此需要耦合隨機(jī)森林和聚類分析二者的綜合優(yōu)勢(shì)來記性判斷。系統(tǒng)的挖掘過程需要依據(jù)著多種不同的話務(wù)行為異常特性來進(jìn)行綜合判斷，設(shè)計(jì)不同的場(chǎng)景策略來進(jìn)行多場(chǎng)景的綜合輸出，進(jìn)而提升平臺(tái)的詐騙電話綜合識(shí)別能力，也有助于模型上線后進(jìn)行點(diǎn)對(duì)點(diǎn)的改進(jìn)、持續(xù)迭代，促進(jìn)其保持較強(qiáng)的識(shí)別能力和數(shù)據(jù)處理能力。

采用運(yùn)營(yíng)商的數(shù)據(jù)采集、數(shù)據(jù)清洗以及數(shù)據(jù)的標(biāo)準(zhǔn)化處理能夠綜合的提取相關(guān)的業(yè)務(wù)特征，并且對(duì)已有的過濾數(shù)據(jù)采用統(tǒng)計(jì)學(xué)和分類識(shí)別的模式綜合分析詐騙號(hào)碼的實(shí)施行為，形成適用于不同場(chǎng)景的電信詐騙號(hào)碼檢測(cè)模型。本方法的檢測(cè)場(chǎng)景主要涉及的領(lǐng)域有：沉默卡復(fù)活、漫游話單涉詐、新開卡涉詐等。技術(shù)方案的落地分為場(chǎng)景定義、風(fēng)險(xiǎn)識(shí)別、綜合評(píng)分3個(gè)環(huán)節(jié)，最終完成模型在系統(tǒng)層面的固化。模型訓(xùn)練的過程如圖2所示。

（一）風(fēng)險(xiǎn)場(chǎng)景劃分

對(duì)詐騙號(hào)碼的話單行為進(jìn)行分析，對(duì)多場(chǎng)景進(jìn)行特征提取，輸出各場(chǎng)景的涉詐風(fēng)險(xiǎn)分值，方便模型可調(diào)可配。并且基于歷史情報(bào)庫進(jìn)行特征預(yù)測(cè)效果校驗(yàn)，確保進(jìn)入模型的特征能有效反映異常行為。技術(shù)上采用用戶畫像技術(shù)，通過用戶基礎(chǔ)屬性、行為特質(zhì)的多維度特征和基線值進(jìn)行對(duì)比，不同場(chǎng)景下特征和基線值偏差的程度不同，以此劃分場(chǎng)景。這是數(shù)據(jù)算法信息處理的通用步驟，但是由于各地方的電信詐騙手段有所區(qū)別、詐騙團(tuán)伙作案手段變化速度快，落地的具體方案還需分析結(jié)合著實(shí)際的通話記錄來進(jìn)行補(bǔ)充和細(xì)化。

（二）風(fēng)險(xiǎn)識(shí)別

考慮到部署模型對(duì)全網(wǎng)號(hào)卡進(jìn)行實(shí)時(shí)檢測(cè)需要消耗大量算力，為增強(qiáng)實(shí)施方案的可行性，其風(fēng)險(xiǎn)識(shí)別的過程主要是通過兩步走的形式來進(jìn)行綜合辨析。首先通過業(yè)務(wù)數(shù)據(jù)分析生成過濾條件，篩選低危疑似號(hào)碼;再通過有監(jiān)督模型構(gòu)成多個(gè)涉詐高危號(hào)碼檢測(cè)策略，輸出可信度更高的結(jié)果。核心的涉詐高危號(hào)碼主要是涵蓋主動(dòng)分析模型、基于短信特征的主動(dòng)分析模型、基于流量特征的主動(dòng)分析模型以及基于黑樣本的被動(dòng)分析模型等模型。通過通話、短信、流量行為的特征分析和模型落地，能夠?qū)崿F(xiàn)基于用戶異常行為判別的主動(dòng)分析過程。模型構(gòu)建流程主要涵蓋業(yè)務(wù)分析、模型訓(xùn)練、模型預(yù)測(cè)等多個(gè)過程。其中為了應(yīng)對(duì)詐騙團(tuán)伙的反欺詐手段變化，對(duì)反詐平臺(tái)內(nèi)的專家規(guī)則——閾值類的研判場(chǎng)景，構(gòu)建模型算法進(jìn)行閾值推薦和自動(dòng)化更新。規(guī)則或模型均根據(jù)滑動(dòng)窗口時(shí)期內(nèi)的歷史數(shù)據(jù)，定期自動(dòng)生成符合現(xiàn)狀的閾值或模型參數(shù)，并更新至離線分析策略或統(tǒng)計(jì)類模型中。

（三）綜合評(píng)分

評(píng)分體系需適應(yīng)于應(yīng)用方的實(shí)際業(yè)務(wù)場(chǎng)景和詐騙號(hào)卡重點(diǎn)打擊對(duì)象，例如：基于新開賬戶的政企用戶評(píng)分卡、個(gè)人用戶評(píng)分卡、新開卡評(píng)分卡等。最終根據(jù)風(fēng)險(xiǎn)分值，輸出對(duì)應(yīng)的黑白預(yù)測(cè)樣本數(shù)據(jù)到相關(guān)接口。用戶的風(fēng)險(xiǎn)評(píng)分閾值由模型實(shí)現(xiàn)智能推薦，也可根據(jù)關(guān)停號(hào)碼量的需求進(jìn)行調(diào)整。

四、案例分析

首先對(duì)案例進(jìn)行綜合辨析，根據(jù)單維度進(jìn)行特征篩選，再加入跨維度的特征并且使用基于Boosting的集成算法，相比傳統(tǒng)的僅基于通話行為的特征或不考慮跨維度特征，本方案提出的識(shí)別模型的預(yù)測(cè)效果更好，且多維特征提取更加直觀反映了詐騙用戶群體是短信作案、電話作案還是網(wǎng)絡(luò)作案。剔除了過去一年里沒有任何短信、語音話單記錄的號(hào)碼，訓(xùn)練集和測(cè)試集共1441471條正樣本、19713個(gè)正常號(hào)碼，11273條負(fù)樣本、848個(gè)標(biāo)記涉詐號(hào)碼，隨機(jī)抽取30%的用戶作為測(cè)試集。根據(jù)各單維度特征和采用多維特征進(jìn)行隨機(jī)森林算法建模，最后進(jìn)行測(cè)試集涉詐號(hào)碼預(yù)測(cè)的準(zhǔn)確率回測(cè)和比較的結(jié)果。結(jié)果顯示，多維特征融合模型值準(zhǔn)確率、查全率上都要優(yōu)于其他單一維度模型。加入跨維度特征的融合模型預(yù)測(cè)效果在準(zhǔn)確率上明顯優(yōu)于不加入跨維度特征的融合模型，但查全率有所下降。是否加入跨維度特征，可基于現(xiàn)實(shí)預(yù)測(cè)目標(biāo)進(jìn)行調(diào)整。如果更注重模型識(shí)別的全面性，難以接受負(fù)樣本的漏過，建議使用不加跨維度特征的融合模型。如果更注重模型識(shí)別的準(zhǔn)確性，難以接受正樣本被誤判，建議使用加跨維度特征的融合模型。

五、結(jié)束語

本文結(jié)合著數(shù)據(jù)挖掘的隨機(jī)森林算法以及聚類分析算法對(duì)詐騙電話的號(hào)碼基礎(chǔ)信息特征以及通話行為進(jìn)行綜合建模，實(shí)現(xiàn)了詐騙電話的綜合判別和研析，實(shí)現(xiàn)了詐騙電話和詐騙號(hào)碼的實(shí)時(shí)攔截和分析，具有著時(shí)效性高并且更新速度快的基本優(yōu)勢(shì)，提升了數(shù)據(jù)信息系統(tǒng)的應(yīng)用效率。

作者單位：王薇鈉? ? 盧忠渭? ? 張堅(jiān)? ? 吳俊? ? 王振東? ? 中國(guó)電信股份有限公司杭州分公司

參? 考? 文? 獻(xiàn)

[1]劉惠彬.數(shù)據(jù)挖掘及大數(shù)據(jù)分析技術(shù)在反網(wǎng)絡(luò)欺詐中的應(yīng)用[J].中國(guó)新通信，2019，21（01）：82-84.

[2]陳郝鶇，山丹，趙安曉宇.電信網(wǎng)絡(luò)詐騙犯罪預(yù)警實(shí)證研究[J].新疆警察學(xué)院學(xué)報(bào)，2020，40（03）：31-40.

[3]白晶晶，張利宏.基于大數(shù)據(jù)挖掘技術(shù)的詐騙電話識(shí)別與管理[J].長(zhǎng)江信息通信，2021，34（05）：126-128.

[4]劉宗妹.區(qū)塊鏈助力電信網(wǎng)絡(luò)反欺詐協(xié)同治理[J].信息通信技術(shù)與政策，2021，47（03）：61-65.