Fraud detection ломается не на ML, а на плохих сигналах до него

Fraud detection ломается не на ML, а на плохих сигналах до него

Если антифрод смотрит только на IP и юзер-агент, его обойдут почти без шума. Рабочая схема начинается раньше: связывайте поведение, устройство и сессию в одну картину. Один и тот же паттерн кликов, одинаковая последовательность экранов, слишком ровные интервалы — это важнее, чем сам по себе «подозрительный» адрес.

Собирайте не один флаг, а набор слабых сигналов:
— несостыковки между отпечатком браузера и сетевыми признаками;
— повторяемые цепочки действий у разных аккаунтов;
— аномально короткий путь до целевого события;
— слишком чистые повторные визиты без фонового шума.

Важный момент: правило должно не только ловить, но и объяснять. Если система не может показать, какой именно набор признаков поднял риск, команда быстро перестаёт ей доверять. Для арбитража это особенно чувствительно: блокируются не «фродовые», а целые источники с похожим поведением.

Хороший антифрод — это не один жирный красный флаг, а несколько тонких совпадений. Чем раньше вы начнёте связывать их в цепочку, тем меньше будет ложных срабатываний и тем дороже станет обход.