技術 不正取引検出システム

0001

本発明は、偽造、盗難キャッシュカードを用いた現金自動取引装置からの不正な金銭の取引や、インターネットバンキングによる不正な金銭の取引を高精度に検出する上で好適な不正取引検出システムに関するものである。

0002

従来より、偽造、盗難キャッシュカードを用いた現金自動取引装置からの不正な金銭の取引や、インターネットバンキングによる不正な金銭の取引（以下、不正取引という。）による被害が多発している。このため、２００６年２月に預金者保護法が制定され、偽造、盗難キャッシュカード、インターネットバンキングによる不正取引については、金融機関が補償することが義務付けられている。また同法９条では、不正な金銭の取引の防止措置として、認証技術の開発、情報漏洩防止、異常な取引状況の早期の把握のための情報システムの整備が金融機関に義務付けている。

0003

しかしながら、このような法的整備以外に、不正取引そのものを早期に発見することが何よりも重要であり、これが預貯金者の被害額や、金融機関の補償額の最小化につながるものと考えられる。

0004

このため、近年において夜間バッチ処理により金額や取引時間帯等に関し、所定の条件に該当する取引を抽出し、翌日以降において検査員の目視により異常性が認められる取引について本人確認等の追加確認を実施することにより、不正取引を検出することが行なわれている。しかしながら、このような不正取引の検出方法は、あくまで検査員による目視に依存するため、その検出精度、検出効率の面で改善の余地があった。

0005

従って、例えば特許文献１に示すように、高額取引用の暗証番号を不正取得しにくくし、不正取引による被害を抑制する技術が開示されている。しかしながら、この特許文献１の開示技術を回避するようにして暗証番号が取得された場合に、不正取引を検出することができないという問題点があった。

0006

特開２００６−３３１２６５号公報

0007

そこで、本発明は、上述した問題点に鑑みて案出されたものであり、その目的とするところは、偽造、盗難キャッシュカードを用いた現金自動取引装置からの不正な金銭の取引や、インターネットバンキングによる不正な金銭の取引を高精度に検出する上で好適な不正取引検出システムを提供することにある。

0008

請求項１に係る不正取引検出システムは、取引された取引金額、取引時間、取引場所の何れか１以上のデータを口座毎又は利用者毎に所定期間に亘り取得するデータ取得手段と、上記データ取得手段により取得された取引金額、取引時間、取引場所の何れか１以上のデータについて閾値以上のモードを検出し、検出したモードの統計的分布に基づいて、その期待値並びに標準偏差を算出する算出手段と、不正取引の判定対象についてについて取得した取引金額、取引時間、取引場所の何れか１以上のデータについて、上記算出手段により算出されたモードの統計的分布との乖離度を求め、当該乖離度が所定値以上のものを不正取引と判定する不正取引判定手段とを備えることを特徴とする。

0009

請求項２に係る不正取引検出システムは、請求項１に係る発明において、上記算出手段は、検出したモードの区間を複数のデータ区間に分割したヒストグラムを取得し、その取得したヒストグラムの面積の総和と、検出したモードの期待値を中心とした正規分布の式における上記モード区間の積分値とが等しくなる条件の下で、上記正規分布の式から標準偏差を求め、上記不正取引判定手段は、不正取引の判定対象についてと、上記算出手段により算出されたモードの期待値及び標準偏差からなる統計的分布との乖離度を求めることを特徴とする。

0010

請求項３に係る不正取引検出システムは、請求項２に係る発明において、上記算出手段は、下記式の左辺に示す正規分布ｎの式における当該モード区間の積分値と、下記式の右辺に示す上記ヒストグラムの各データ区間における面積Ｓｍkの総和とが互いに等しくなる条件の下で、当該式から正規分布ｎの標準偏差σnを求めることを特徴とする請求項２記載の不正取引検出システム。



(μn：上記ヒストグラムから求められた期待値、σn：正規分布ｎの標準偏差)

0011

請求項４に係る不正取引検出システムは、請求項２又は３に係る発明において、上記不正取引判定手段は、検出したモードの統計的分布の期待値と上記不正取引の判定対象との距離を、上記標準偏差で除した乖離度に基づいて上記判定を行なうことを特徴とする。

0012

請求項５に係る不正取引検出システムは、請求項１〜３のうち何れかに係る発明において、上記データ取得手段は、現金自動取引装置から引き出された取引金額、取引時間、取引場所の何れか２以上のデータを口座毎に所定期間に亘り取得し、上記不正取引判定手段は、上記データ取得手段により取得された取引金額、取引時間、取引場所の何れか２以上のデータについて求められた各乖離度についてそれぞれ所定の重み付けをしたものの総和を総合スコアとし、当該総合スコアが閾値以上のものを不正取引と判定することを特徴とする。

0013

上述した構成からなる本発明によれば、偽造、盗難キャッシュカードを用いた不正な金銭の取引を高精度に検出することが可能となる。

0014

本発明を適用した不正取引検出システムの構成を示す図である。
取引金額のプロファイル、取引時間のプロファイル、取引場所のプロファイルの各例を示す図である。
各プロファイル期間における取引回数の例について説明するための図である。
プロファイル観点のヒストグラムの例を示す図である。
ヒストグラムのプロファイルを正規分布に近似させる処理について説明するための図である。
モードＰ１、Ｐ２の各正規分布における標準偏差を求める例について説明するための図である。
逆関数Ｆ-1（ｘ）を縦軸とし、ｘを横軸とした場合の関係を示す図である。
乖離度を求めるコンセプトについて説明するための図である。
取引金額のプロファイルにおいて判定対象の乖離度を求める例について説明するための図である。
取引時間のプロファイルにおいて、判定対象の乖離度を求める例について説明するための図である。
取引場所のプロファイルにおいて、判定対象の乖離度を求める例について説明するための図である。
本発明を適用した不正取引検出システムの動作を示すフローチャートである。

0015

以下、本発明を適用した不正取引検出システムについて図面を参照しながら詳細に説明をする。

0016

図１は、本発明を適用した不正取引検出システム１の構成を示している。不正取引検出システム１は、公衆通信網５に対してそれぞれ接続された、サーバー６と、現金自動取引装置７ａ〜７ｃと、インターネットバンキングによる各種手続きを行うためのパーソナルコンピュータ（ＰＣ）８と、サーバー６に接続された不正取引検出装置２とを備えている。

0017

公衆通信網５は、サーバー６、現金自動取引装置７、ＰＣ８とを電話回線を介して接続されるインターネット網である。これらの公衆通信網５は、通常のインターネット回線に加えて、その守秘性を担保するために専用回線が用いられる場合がある。

0018

現金自動取引装置７は、金融機関や駅、ショッピングモール、コンビニエンスストア等に設置され、顧客が自らのキャッシュカードにより現金を引き出し、現金を預金し、或いは振込等を行なうための、いわゆるＡＴＭ（Automated Teller Machine）である。この現金自動取引装置７は、金銭の取引状況を示す取引データを発行し、或いは公衆通信網５を介してサーバー６へ取引データを送信する。ここでいう取引データとは、例えば取引金額、取引時間のみならず、その取引場所に関するデータから構成される。取引場所は、その現金自動取引装置７が設置位置に応じたものとなっている。なお、この現金自動取引装置７は、ＡＴＭ以外に、郵貯を始め、他のいかなる現金を自動的に取引可能な装置を含む概念である。

0019

ＰＣ８は、ユーザがインターネットを介した金融機関の取引サービス（インターネットバンキング）を受ける上でのインターフェースとしての役割を担う電子機器である。通常は、ユーザがＰＣ８を操作することにより、金融機関のサイトからログインすることで、インターネットバンキングの各種サービス及びこれを利用した各種取引を行っていくこととなる。ＰＣ８は、携帯電話、スマートフォン、タブレット型端末、ウェアラブル端末等、インターネットに接続可能であり、ＰＣ８と同様に取引を行うことが可能な電子機器に代替されるものであってもよい。サーバー６は、現金自動取引装置７やＰＣ８から公衆通信網５を介して取得された取引データを口座毎に、又は利用者毎に記録する。このサーバー６に記録される取引データは、不正取引検出装置２による命令に基づいて読み出される。

0020

不正取引検出装置２は、いわゆるパーソナルコンピュータや、スマートフォン、タブレット型端末、携帯電話機等を始めとしたハードウェアとして具現化される。この不正取引検出装置２は、有線又は無線により公衆通信網５に対してアクセス可能とされている。この不正取引検出装置２は、かかる公衆通信網５を介してサーバー６に記録されている取引データを取得する。不正取引検出装置２は、取得したデータを解析することにより、各現金自動取引装置７ａ〜７ｃやＰＣ８によるインターネットバンキングについて不正な取引の有無を検出する。

0021

次に、この不正取引検出装置２による不正取引の検出方法について説明をする。

0022

図２に示すように、取引データは、大きく分類して取引金額のプロファイル、取引時間のプロファイル、取引場所のプロファイルから構成される。以下の説明において、この取引データは、取引金額のプロファイル、取引時間のプロファイル、取引場所のプロファイルの３つから構成されている場合を例にとり説明をするが、これに限定されるものではなく、何れか１以上のプロファイルのみが記述された取引データに基づいて不正取引を検出するものであってもよい。

0023

ここで取引金額のプロファイルは、例えば横軸を取引金額とし、縦軸を頻度としたヒストグラム、又はそのデータで構成される。取引時間のプロファイルは、例えば横軸を取引時間、縦軸を頻度としたヒストグラム、又はそのデータで構成される。取引場所のプロファイルは、例えば縦軸を経度、横軸をとした位置情報で構成される散布図又はそのデータで構成される。つまり、現金が引き出された現金自動取引装置７の位置や、インターネットバンキングにおけるＩＰアドレスが、緯度と経路からなる２次元座標上で示されることとなる。

0024

不正取引検出装置２は、口座毎に不正取引の有無を検出する際には、サーバー６から取引データを取得した上で、取引金額のプロファイル、取引時間のプロファイル、取引場所のプロファイルの作成を行う。利用者毎に不正取引の有無を検出する際も同様である。このとき、不正取引検出装置２は、取引データにおいて統計的に有意なデータ数が得られていない場合には、プロファイルを作成しないように制御するようにしてもよい。かかるプロファイル作成条件の例としては、所定期間（以下、プロファイル期間という。）における取引回数に基づくものであってもよい。ちなみにプロファイル期間は、システム管理者が自在に設定できるものとされていてもよい。

0025

不正取引検出装置２は、図３に示すように、プロファイル期間における取引回数がプロファイル最小数Ｎmin未満である場合において、統計的に有意となるデータ数を確保できないため、プロファイルを作成しないようにする。なお、この図３中、“Ｘ”はプロファイルに反映させない取引データであり、“Ｐ”は、プロファイルに反映させる取引データである。このプロファイル最小数Ｎminは、システム管理者が自在に設定できる閾値であり、プロファイル期間が１ヶ月である場合に、２５とするようにしてもよい。

0026

またプロファイル期間における取引回数が、図３に示すようにプロファイル最小数Ｎmin以上、プロファイル最大数Ｎmax以下である場合には、統計的に有意なデータ数が充足されたものとして、当該プロファイル期間内の全ての取引データに基づいてプロファイルを作成する。このプロファイル最大数Ｎmaxは、システム管理者が自在に設定できる閾値とされていてもよい。

0027

また、プロファイル期間における取引回数が、図３に示すようにプロファイル最大数Ｎmax超である場合には、直近から数えてプロファイル最大数Ｎmaxまでの取引データに基づいてプロファイルを作成する。かかるケースでは、統計的に有意なデータ数が充足しているため、できるだけ直近の取引が反映されたデータについて重点的に分析を行う。

0028

不正取引検出装置２は、実際に作成したプロファイルを分析する上で、モードという概念を用いる。モードとは、図４に示すようにプロファイル観点のヒストグラム（度数分布表）を口座毎に作成し、各データ区間の相対度数が所定の閾値以上の区間をいう。利用者毎に判定を行う場合には、利用者単位でヒストグラムを作成する。図４のプロファイルは、取引金額のプロファイルの一例であり、横軸は階級下限値を意味するが、閾値以上の区間は、２００００円〜２９９９９円、１３００００〜１５９９９９円、２６００００円〜２７９９９９万円の区間であるため、これら各区間をモードとみなす。なお、閾値についても、システム管理者側において自在に設定可能とされていてもよい。

0029

次に不正取引検出装置２は、検出したモードの統計的分布を正規分布に近似させるべく、その期待値並びに標準偏差を算出する。所定の閾値以上の区間のみをモードとみなしてその後の統計解析を行わせる理由としては、取得した全てのプロファイルの統計的分布をそのまま正規分布に近似させようとした場合には、例えば図４の点線に示すように全体的に連続したものとなってしまう。特に複数の離間したピークが現れるプロファイルでは、このような全体的に連続した正規分布に近似させると、本来の傾向との間で大きな乖離を生じてしまう。従って、閾値以上のみモードとみなして正規分布に近似させることで、極力本来の傾向を統計的に解析することが可能となる。

0030

不正取引検出装置２は、例えば図５（ａ）に示すようなプロファイルから、閾値以上のモードＰ１とモードＰ２を検出したものとする。このようなモードＰ１とモードＰ２とをそれぞれ、図５（ｂ）に示すような正規分布にそれぞれ近似させる処理を行う。

0031

各モードに対応する正規分布の積分の比率は、モードの相対度数（モードシェア）の比率に等しいと仮定する。このときモードＰ１における正規分布の積分値Ｉ１は、Ｉ１＝（Ｉ１＋Ｉ２）Ｓｍ１／（Ｓｍ１＋Ｓｍ２）で表すことができ、モードＰ２における正規分布の積分値Ｉ２は、Ｉ２＝（Ｉ１＋Ｉ２）Ｓｍ２／（Ｓｍ１＋Ｓｍ２）で表すことができる。ここでＳｍ１は、モードＰ１におけるヒストグラムの縦軸の値であり、Ｓｍ２は、モードＰ２におけるヒストグラムの縦軸の値である。

0032

これを一般化すると、正規分布ｎの積分Ｉｎは、以下の（１）式で表される。



・・・・・・・・・・（１）

0033

このＩkは、（データ区間ｋの積分値であり、Ｓｍkは、データ区間ｋの面積である。この一般化された式の意味するところは、正規分布のサイズは、ヒストグラムにおける各データ区間の高さに依存するということにある。また、各正規分布において、対応するモード区間での積分は、それに対応するモードシェアに等しいものと仮定したとき、下記（２）式を定義することが可能となる。



・・・・・・・・・・（２）

0034

また、この（２）式に（１）式を代入して整理すると、下記式（２）´が得られる。



・・・・・・・・・・（２）´
(μn：ヒストグラムから求められた期待値、σn：正規分布ｎの標準偏差)

0035

なお、式（２）´におけるヒストグラムから求められた期待値μnは、ヒストグラムから求めた算術平均（相加平均）や中央値等の何れであってもよく、システム管理者側において、これら以外の統計的指数も含めて自由に設定することが可能となる。

0036

この式（２）´は、左辺に示す正規分布ｎの式における当該モード区間の積分値と、右辺に示す上記ヒストグラムの各データ区間における面積Ｓｍkの総和とが互いに等しくなる条件としている。図５でいうところのモードＰ1の面積と、当該Ｐ1と同一のモード区間（２００００〜２９９９９円）の積分区間の積分値Ｉ1とが互いに等しくなり、モードＰ2の面積と、当該Ｐ2と同一のモード区間（８００００〜８９９９９円）の積分区間の積分値Ｉ2とが互いに等しくなる。そして、かかる条件の下で、当該式（２）´から正規分布ｎの標準偏差σnを求める。その結果、図６に示すように、モードＰ１の正規分布における正規分布のｎ＝１とした場合における正規分布１の標準偏差σ1と、モードＰ２の正規分布における正規分布のｎ＝２とした場合における正規分布２の標準偏差σ2とがそれぞれ求められる。

0037

また（２）´式の左辺の積分について、更にモード区間の開始点（from(n)）と、終点（to(n)）を記載した式（３）を下記に示す。



・・・・・・・・・・（３）

0038

ここで標準正規累積分布関数Ｆ（ｚ）は以下の式（３）´により表される。



・・・・・・・・・・（３）´

0039

モード区間について（３）´式におけるz座標の対応を以下とする。

0040

モード区間始点xfrom(n)→zfrom(n)、モード区間中点μn→0、モード区間終点xto(n)→zto(n)
対象性より、(3)式左辺は以下と表すことができる。
(3)式左辺 = F(zto(n)) - F(zfrom(n)) = 2(F(zto(n)) - F(0)) = 2F(zto(n)) - 1
以上より、



・・・・・・・・・・（４）

0041

ここで（４）式右辺の変数は全て既知であり、標準正規累積分布関数の逆関数Ｆ-1（ｘ）は、以下より求まるため、局所標準偏差σnを求めることが可能となる。

0042

図７は、逆関数Ｆ-1（ｘ）を縦軸とし、ｘを横軸とした場合の関係を示している。ｘは、１/２（ΣＳｍk＋１）である。

0043

なお、局所標準偏差σnの算出方法は、上述した方法に限定されるものではない。式（２）´又は式（３）において右辺はヒストグラムの面積であるから簡単に求めることができ、また左辺において未知数は、σnのみであることから、当該σnについての方程式を解くことにより、これを求めることができる。かかる場合における方程式の解法については、従来のいかなる数学的手法を用いるようにしてもよい。また、これ以外には、解の候補となりえるσnを順次入力し、右辺と左辺が等しくなるか或いはほぼ等しくなるまで試行錯誤を繰り返すようにしてもよい。

0044

また、検出したモードの区間を複数のデータ区間に分割したヒストグラムを取得し、その取得したヒストグラムの面積の総和と、検出したモードの期待値を中心とした正規分布の式における上記モード区間の積分値とが等しくなる条件の下で、上記正規分布の式から標準偏差を求めるものであれば、上述の方法に限定されるものではなく、いかなる方法に基づいて局所標準偏差σnを算出するようにしてもよい。

0045

このようにして各モードの正規分布毎に局所標準偏差σnが算出され、また期待値μnが求められる。不正取引検出装置２は、取引金額のプロファイル、取引時間のプロファイル、取引場所のプロファイルのそれぞれについて、同様にして正規分布を求める。

0046

次に 不正取引検出装置２は、この算出した正規分布との乖離度を求める。この乖離度を求める対象は、不正取引の判定対象とされた各プロファイルについて何れか１以上のデータとする。この不正取引の判定対象は各プロファイルについて、全てのデータをその対象としてもよいし、一部の任意のデータを対象としてもよい。

0047

図８は、乖離度を求める例を示している。上述のようにして、それぞれのモードＤ１、モードＤ２について正規分布を求めた後、判定対象のデータＥが、当該データＥに最近接のモードに対してどの程度乖離しているかの度合を、乖離度としている。ちなみに、判定対象のデータＥに対して、最も近接しているモードは、モードＤ２であるため、当該データＥは、モードＤ２との間で上述した乖離度が求められることとなる。

0048

この乖離度は、下記のように判定対象のデータＥとのモードＤ２の期待値μD2との距離（以下、モード距離という。）を、当該モードＤ２の局所標準偏差σD2で除すことにより求められる。
乖離度＝モード距離／当該モードの局所標準偏差

0049

モード距離について、判定対象のデータと最近接のモードの期待値μnを基準とする理由は、その期待値μnこそ当該モードの傾向を如実に表しているものとみなせるためである。また局所標準偏差で除す理由としては、口座又は利用者の取引傾向としてのばらつきの影響を軽減させるためである。

0050

取引金額のプロファイルにおいて判定対象の乖離度を求める際には、図９に示すように、金額のモード距離MdaD2は単純な金額の差分であり、下式により求められる。モード距離（モードＤ２）：MdaD2 =｜tE −μD2｜
（tE：判定対象の金額、μD2：モード期待値、σD2：局所標準偏差）

0051

また、取引時間のプロファイルにおいて、判定対象の乖離度を求める際には、図１０に示すように、
モード距離（モードn）：MdtD2 =｜tx −μD2｜ （｜tx −μD2｜≦12の場合）
モード距離（モードn）：MdtD2 = 24 −｜tx −μn｜ ｜tx −μD2｜＞12の場合）
（tx：取引時間、μD2：モード中央値、σD2：局所標準偏差）

0052

時間は、周期変数であることから、上述した場合分けを行う。モード距離Ｍｄｔnは、上述と同様に取引時間の最近接のモードｎとの時間差の絶対値に基づいて求める。

0053

また、取引場所のプロファイルにおいて、それぞれのモードとの間で判定対象の乖離度を求める際には、図１１に示すように、判定対象の引き出し場所を緯度、経度等の位置座標上で特定する。そして、各モードの期待値に相当する座標（モード中央座標という。）と、判定対象の取引場所とのモード距離を求めるものとする。

0054

このようにして、不正取引検出装置２は、取引金額、取引時間、取引場所の各プロファイルについて乖離度を求めた後、図１２に示すフローに基づいて異常値の判定を行う。先ずステップＳ１１では、取引金額、取引時間、取引場所の各観点毎に、判定対象の取引の異常性を調査するフェーズである。このステップＳ１１において金額異常値評価Ｓ１１１では、上述のようにして求めた取引金額の乖離度から金額スコアを出す。この金額スコアの算出方法は、判定対象の取引金額の乖離度をそのまま金額スコアとしてもよいし、何らかの係数や重み付けを付加するようにしてもよい。時間異常値評価Ｓ１１１では、上述のようにして求めた取引時間の乖離度から時間スコアを出す。この時間スコアの算出方法は、判定対象の取引時間の乖離度をそのまま金額スコアとしてもよいし、これに何らかの係数や重み付けを付加するようにしてもよい。場所異常値評価Ｓ１１１では、上述のようにして求めた取引場所の乖離度から場所スコアを出す。この場所スコアの算出方法は、判定対象の取引場所の乖離度をそのまま場所スコアとしてもよいし、これに何らかの係数や重み付けを付加するようにしてもよい。

0055

このようにして観点別異常値判定ステップＳ１１を終了した後、総合異常値判定ステップＳ１２に移行する。この総合異常値判定ステップステップＳ１２では、先ずステップＳ１２１において、金額スコア、時間スコア、場所スコアの線形統合を行う。この線形統合では、金額係数ｗa、時間係数ｗt、場所係数ｗiを利用し、下記式に基づいて総合スコアを求める。
総合スコア＝ｗa×金額スコア＋ｗt×時間スコア＋ｗi×場所スコア

0056

ステップＳ１２２では、このようにして求められた総合スコアに基づいて最終的な異常値を判定する。この異常値判定は、総合スコアと、予め設定した閾値とを比較し、総合スコアが閾値を超える場合には、判定対象の取引が異常であるものと判定し、ステップＳ１２３へ移行する。これに対して、総合スコアが閾値以下の場合には、判定対象の取引に異常性は無いものと判定し、特にアラートをすることは行わない。

0057

ステップＳ１２３に移行した場合に、不正取引検出装置２は、不正な取引があった旨の通知（アラート）を外部に対して行う。そのアラートの手段はいかなるものであってもよく、金融機関に対して、メール等でその旨を配信するようにしてもよい。

0058

このようにして、本発明によれば、偽造、盗難キャッシュカード等による現金自動取引装置からの不正な現金の引き出しを高精度に検出することができる。

0059

なお、本発明は、上述した実施の形態に限定されるものではない。取引金額、取引時間、取引場所の３つのプロファイルについて、それぞれ乖離度を求めてスコア化し、これをステップＳ１２１において線形結合した総合スコアに基づいて判定する場合のみならず、これら取引金額、取引時間、取引場所の何れか１以上に基づいて判定するようにしてもよい。かかる場合には、実際に乖離度を求めた取引金額、取引時間、取引場所の何れか１以上についてのみ、総合スコアの式に代入して、判定を行うこととなる。仮に乖離度を求めたものが、取引金額、取引時間、取引場所の何れか１つのプロファイルである場合には、当該プロファイルのみに基づいて判定を行うものであってもよい。

0060

１ 不正取引検出システム
２ 不正取引検出装置
５公衆通信網
６サーバー
７ 現金自動取引装置