銀行賬戶交易網絡中特定組織發現研究

呂芳，盧西婧，王巍，黃俊恒，王佰玲

銀行賬戶交易網絡中特定組織發現研究

呂芳，盧西婧，王巍，黃俊恒，王佰玲

（哈爾濱工業大學（威海）計算機科學與技術學院，山東 威海 264209）

近年來，非法傳銷、非法集資和洗錢等涉眾型非法金融活動屢禁不止，從資金交易網絡中進行異常檢測的研究，逐漸引起研究者的重視。非法組織中銀行賬戶間的資金流轉方式隱含了其成員的關系架構。以關鍵角色賬戶為核心種子節點，結合交易關系進行特定異常組織的發現研究。首先，基于銀行賬戶的交易特點，建立了一個有向加權資金交易網絡模型。進而，結合賬戶的局部拓撲結構，定義了組織中的兩種核心節點，即黑洞節點和星光節點。利用兩種節點的關聯關系，提出一種“黑洞&星光”組織發現算法。在含有傳銷組織的真實銀行交易數據上進行實驗，結果表明上述算法對發現傳銷組織的有效性。

資金交易網絡；黑洞節點；星光節點；生成子圖

1 引言

隨著經濟的發展，非法傳銷、非法集資和洗錢等涉眾型非法金融活動屢禁不止。在涉眾型非法金融活動中，成員的角色分工呈類金子塔形或紡錘形等結構，相應賬戶的資金交易由其扮演的角色驅動產生，具有涉及賬戶多、賬戶角色差異大、犯罪意圖隱蔽等特點。目前，銀行部門使用的反洗錢等金融安全系統能夠根據交易規則發現存在異常交易的單個賬戶，但對上述多賬戶協作實施非法金融活動的行為束手無策。同時，金融環境的復雜性、異常交易行為的隱蔽性及盈利模式的多樣性，為犯罪行為的發現、取證和防范帶來了巨大難題。

針對涉眾型非法金融活動，本文將參與活動的賬戶稱為異常賬戶，由異常活動引發的交易稱為異常交易；具有異常交易關系的異常賬戶群體，稱為異常組織。研究發現，異常組織為達到金融犯罪的目的，多具有特定的組織交易關系，賬戶間資金流動方式與組織的盈利方式一致。分析賬戶的交易行為和賬戶間的交易關系，有助于發現異常賬戶和異常組織，對輔助公安機關偵破犯罪案件具有重要作用。

目前，在金融領域異常檢測方面的研究，主要集中在欺詐賬戶檢測和異常交易檢測方面，針對異常組織發現的研究尚處于初級階段。異常組織的研究在社交網絡領域受到較多關注。

在欺詐賬戶檢測方面，現有的研究多數采用對單個賬戶（或多個有關聯賬戶的集合）的資金交易情況進行統計分析，進而發現離群賬戶的方法。秦學志等[1]利用賬戶在交易網絡中出入度、流出和流入資金狀態分布的不同，提出了有效發現異常賬戶的大數據樣本分析方法。Barabasi等[2]利用交易網絡中賬戶的異常行為，如交易頻率、交易金額及交易方向等，對賬戶分類進而得到具有相似行為的異常賬戶集合。

在異常交易檢測方面，Hong等[3]借鑒交通網絡的有向圖構建方法，構建了有向資金交易網絡，提出一種借助圖分析技術的異常交易發現方法。該方法突出各節點之間的資金流動關系，簡化了銀行賬戶交易特點和交互關系的分析問題。薛蕾[4]利用賬戶間資金流通的數量、路徑及頻率等特征，結合鏈接分析技術提出一種異常資金流偵測技術。

在異常組織的發現方面，Li等[5]根據節點出入度關系定義了一種黑洞交互模式，并提出了3種黑洞模式發現算法，該研究有助于發現資金交易網絡中存在金融欺詐行為的異常組織。李艷麗等[6]構建了賬戶的ego-network，對普通和傳銷賬戶的ego-network的結構特點進行分析對比，發現傳銷異常組織呈現類樹形結構。該項研究為利用異常個體的交互關系進行異常組織的發現提供了基礎。此外，金融交易網絡中異常組織的發現可借鑒社交網絡中水軍異常組織的發現方法。葉施仁等[7]以典型賬戶為種子，提出一種通過賬戶間的互粉關系逐層發現水軍組織的方法，算法的準確率顯著高于以普通賬戶為中心的發現方法。劉程等[8]提出一種利用節點的內容親密度挖掘隱式組織的方法。張慧杰[9]利用組織成員內部的交互緊密性高的特點進行評論網絡異常組織發現研究。肖昕[10]利用組織內節點內容相似性高的特點進行水軍異常組織發現研究。

綜上所述，目前金融領域的異常檢測方法多依據賬戶交易的統計特征進行判斷，忽略了交易關系信息。因此，不適用于解決存在多賬戶協作的異常組織發現問題。

傳銷組織的成員結構呈類金字塔形，塔頂為管理層成員，負責組織的運營和管理；塔底成員由上層成員以發展會員的形式吸納進來，通過向組織繳納會員費成為上層成員的下線；上層成員作為發展人獲得與下線會員費、自身層級相關的獎勵金；成員在組織中的層級與其下線成員人數相關。類似地，從組織中資金流通的角度看，資金交易關系結構呈現類樹形結構。傳銷組織的塔頂兩層為管理層，最頂層為大頭目成員，他從所有成員的會員費中獲利，所有成員的會員費最終匯入大頭目的賬戶；組織中另有兩種負責資金管理的賬戶，即斂財賬戶和返利賬戶，分別負責會員費的匯集和獎勵金的散發。

為解決這種類樹形特定異常組織的發現問題，本文借鑒社交網絡中水軍組織的檢測方法，以典型節點為種子，結合節點屬性和節點交易關系進行傳銷組織發現，提出了一種“黑洞&星光”異常組織挖掘算法。

本文的主要貢獻如下。

1) 構建了賬戶資金交易網絡，為后續提供分析基礎。

2) 詳細分析了斂財賬戶和返利賬戶兩種關鍵角色賬戶的屬性、網絡交互特點，并將其分別定義為黑洞和星光兩種核心節點。

3) 量化核心節點的交易特征，分別提出黑洞節點和星光節點的發現算法，進而利用節點的網絡交互關系，提出一種基于生成子圖融合的特定異常組織發現算法。

4) 在真實資金交易數據上進行實驗，證明了算法在發現傳銷組織方面的有效性。

2 資金交易網絡

賬戶的交易行為對應現實世界中用戶的經濟行為，用戶在現實社會網絡中的經濟關系可映射到賬戶的資金交易網絡中。銀行賬戶和賬戶間的資金流動關系共同組成資金交易網絡，這一復雜的網絡結構可抽象為有向加權圖結構。其中，節點為銀行賬戶，有向邊為節點之間的有向交易關系，有向邊的權重由交易集合的時間、金額、次數等信息組成。銀行賬戶的資金交易網絡定義如下。

定義1 一個銀行賬戶交易網絡可表示為= (,,)，其中={1,2, … ,v}為賬戶集合，= {e} ?×, 1≤,≤為邊集合，v與v之間存在有向邊，當且僅當v對v至少進行了一次交易，該有向邊記作e=<v,v>。= {w},∈(R),w= ((1),(2), … ,())，其中()、分別表示節點v與v間第次交易的金額和總交易次數。

在有向加權交易網絡中，任一賬戶的交易網絡可視為一個局部拓撲網絡，該網絡由及其進出交易對手集合組成，網絡結構與賬戶屬性和賬戶間交易關系有關。

本文將交易對手節點定義為鄰居節點，賬戶屬性包括賬戶的交易資金和有向交易對手數量，將其分別定義為節點的出入大小和出入度。

定義2 給定資金交易網絡=(,,)，對∈,v的交易候選賬戶集合可記為C={1,2,,(i?1),(i+1),, v}，v的入鄰居節點集合定義為in{v | v∈C, w∈}，v的出鄰居節點定義為out{v | v∈C, w∈}，則Nin∪out稱作節點v的鄰居集合。

3 基于生成子圖融合的特定組織發現

通過對非法傳銷組織等組織的研究發現，其資金交易關系具有類樹形結構，即縱向具有以根節點為核心的層級結構，橫向上同層節點的關系呈網狀結構。因此，首先通過擴展根節點得到組織的局部結構，即得到組織關系圖的生成子圖。然后，融合生成子圖實現對特定異常組織的發現。

3.1 黑洞節點和黑洞組織

每個組織都有一個或多個斂財賬戶，該賬戶負責收集所有組員的會員費并將其轉出到固定賬戶中，其在行為上類似于天體學中的“黑洞”。本文將其定義為黑洞節點，如定義5所示。

定義5 給定銀行賬戶交易網絡為, 節點∈被為黑洞節點，當且僅當

其中，inoutins和為閾值。

組織中以黑洞節點為中心形成了穩定的資金周轉關系，本文將黑洞節點與其交易對手組成的這種局部網絡結構稱為黑洞組織。該組織的交易行為具有以下特點。①組織具有明顯的層級結構，底層為會員節點，中間層為黑洞節點，頂層為大頭目節點。②各層級節點數量分布穩定。底層節點數量較多，頂層節點數量為1。③資金為單向流通。以黑洞節點為中心，資金由底層流入頂層。④組織中交易關系穩定。即以黑洞節點為中心，底層節點為其入交易對手集合，頂層節點為其出交易對手集合。

依據上述分析，以黑洞節點為中心，本文提出了一種擴展中心節點的黑洞組織發現算法。首先，根據定義5設計交易網絡中的黑洞節點發現算法，如算法1所示。

算法1 黑洞節點發現算法.

輸出 黑洞節點集合記錄黑洞節點

2) for∈do

3) if滿足定義5 do

4)=∪{}

5) end if

6) end for

將黑洞節點作為組織的核心種子節點，指定擴展層級閾值，以黑洞節點為中心逐層進行黑洞組織挖掘，具體如算法2所示。

算法2 黑洞組織發現算法

輸入(,,)，黑洞節點集合擴展層級

輸出 黑洞組織集合

2) forv∈do

3)T=v,=∪T//黑洞節點v為種子節點

4) end for

5) forT∈do

6) for=1;≤;++ do

7) forB∈Tdo //第層中任一節點

8) ifv∈&v∈do

9)T-=T-∪{v}

10) end if

11) end for

12) end for

13) end for

3.2 星光節點和星光組織

與斂財賬戶相對，每個傳銷組織中都有一個或多個返利型賬戶，該賬戶負責根據會員所交會費的金額，按照一定比例返還給組員。這些費用來自固定賬戶，經由返利賬戶散發給底層會員。本文將這種交易網絡中的返利型賬戶，稱為星光節點，定義如下。

定義6 給定銀行賬戶交易網絡為，節點∈被稱為星光節點，當且僅當

其中，inoutouts和為閾值。

與黑洞組織相對應，以星光節點為中心的類樹形穩定交易組織，稱為星光組織。該組織與黑洞組織除資金流向相反外，其余交易行為類似，在此不予贅述。

3.3 基于生成子圖的“黑洞&星光”組織發現算法

根據定義5和定義6可知，黑洞組織和星光組織圖結構都可視為非法傳銷組織圖結構的生成子圖。因此，通過聯合兩種生成子圖可以擴展得到該傳銷組織的網絡圖。本節在第3.1節和第3.2節的基礎上，提出一種生成子圖的“黑洞&星光”組織發現算法。

定義7 給定黑洞組織和星光組織，其中，和分別表示黑洞節點和星光節點，則與被稱為直接連接當且僅當e∈∨e∈，與被稱為弱連接當且僅當的下級賬戶與的下級賬戶具有一定的重合率，即

其中，為重合率閾值。

結合定義7，“黑洞&星光”組織發現算法的設計細節詳見算法3

算法3 “黑洞&星光”組織發現算法

輸入(,,)；黑洞和星光組織集合set,set;閾值

輸出 異常組織集合為樹形結構

2) for∈set,∈setdo //直接連接

4) ife∈ore∈do

5)T=T∪{(,)}

6) end if

7) end for

8) for∈set,∈setdo //間接連接

9) if (,) 滿足定義6 do

10)T=T∪{(,)}

11) end if

12) end for

4 實驗

4.1 實驗環境

Inter(R) Core(TM) i7-7700HQ CPU@ 2.80 GHz，內存(RAM) 16 GB。軟件環境為：Python語言，Windows 7操作系統。

4.2 數據集

近幾年，筆者積極參與經偵部門打擊非法傳銷的工作，得到包含傳銷組織的銀行賬戶交易數據，經過數據去噪等處理，最終得到349 126條交易記錄，涉及傳銷賬戶855個，正常賬戶3 232個，其中斂財賬戶為112個，返利賬戶為61個。

4.3 算法分析

實驗1 黑洞節點與星光節點發現

算法對黑洞和星光節點的發現效率如表1所示，發現結果示例如表2所示。

表1 黑洞和星光節點的發現效率

表2 黑洞節點和星光節點示例

如表1所示，根據實際應用需求，當定義5的閾值取值為0.5時，黑洞節點發現算法共發現黑洞節點98個，其中斂財賬戶，即真正的黑洞節點74個。該算法達到了75.51%的精確率和66.07%的召回率。星光節點發現算法固定閾值0.5，此時共發現37個星光節點，其中返利賬戶，即真正的星光節點共計26個。該算法的精確率為70.27%，召回率為42.62%。由于資金交易網絡中，傳銷組織的規模與星光節點的交易頻繁程度、交易對手數量等具有很大關系，因此，星光節點發現算法的召回率相對較低。整體上來說，兩種種子節點發現算法均具有較穩定發現的效率。算法發現的典型黑洞、星光節點如表2所示。可見，作為傳銷組織的資金中轉節點，具有以下特點：① 節點的出大小近似等于節點的入大小；② 兩種節點的出入度具有顯著差異，黑洞節點的入度遠遠大于出度，星光節點的出度遠遠大于入度。

實驗2 黑洞組織發現

從黑洞節點出發，設置擴展層閾值=4，通過逐層擴展實現黑洞組織發現。真實數據中的典型黑洞組織如圖1所示。

如圖1所示，為以黑洞節點為核心，以入邊為擴展方向，層級為4的黑洞組織。從縱向上看，每層節點與次級層節點的連接呈樹形交易關系，從橫向上看，同層節點之間呈網狀交易關系。例如，第一層節點可視為與其相連的第二層節點的根節點；由于具有多個根節點，第二層節點整體形成網狀結構。因此，黑洞組織的結構具有縱向為樹形結構、橫向為網狀結構的特點。這與傳銷組織的實際運作特點相對應：①具有明確的上下線關系；②通過親屬關系等社會關系擴展會員，導致會員之間存在因正常社會關系產生的資金交互。

圖1 黑洞組織示例

Figure 1 The demo of a blockhole-organization

實驗3 算法閾值分析

定義5、定義6中的取值對基于生成子圖的“黑洞&星光”組織發現算法的效率有直接影響。本實驗以0.01為參數間距，對∈[0,1]不同取值時算法的性能進行測試，實驗結果如圖2所示。

如圖2所示，橫軸FPR表示負例錯分為正例的概率，縱軸TPR表示能將正例分對的概率。隨著增大，接收者操作特征（ROC，receiver operating characteristic）曲線呈上升趨勢，且當0.3時，曲線最靠近左上角，此時算法性能最優。

實驗4 異常組織發現算法比較

本實驗比較基于黑洞節點、基于星光節點、基于黑洞&星光節點及基于親密度的組織發現算法。基于黑洞節點的組織發現算法，即在算法1發現的黑洞節點集合基礎上，利用算法2進行組織發現。類似地，基于星光節點的組織發現算法，基于第3.3節中的算法，僅依賴星光節點進行異常組織發現。基于親密度算法的研究是研究小組的另一項研究工作。該算法定義節點之間與交易頻率、交易局部拓撲結構相關的親密度，在已知部分異常賬戶的基礎上，進行組織賬戶發現。上述4種算法，在數據集上進行測試結果如表3所示。

圖2 閾值θ對算法性能的影響分析

Figure 2 The analysis of the influence of thresholdon the algorithm performance

由表3可知，黑洞&星光節點異常組織發現算法的精確率，由于受星光節點的影響，相比于基于黑洞的發現算法較低，但其召回率取得了顯著提升。基于親密度算法依賴標簽信息，取得了最高的精確率，但由于親密度指標過于嚴苛，算法的召回率較低。總體來說，基于生成子圖的“黑洞&星光”組織發現算法，取得了最優的效率，其1值達到73.13%，明顯優于另外兩種獨立的組織發現算法。黑洞和星光節點聯合的組織發現算法，根據兩種種子節點組成的關聯關系，首先建立核心關聯結構，然后逐層擴張進而發現異常組織成員。實驗結果表明，黑洞和星光節點的節點能夠有效提高組織發現的效率。

表3 異常組織發現算法比較

實驗5 異常組織發現實例

分別以黑洞和星光兩種核心種子節點為中心，利用算法3結合黑洞組織和星光組織，在真實的資金交易網絡中挖掘傳銷組織。本實驗通過如圖3所示的實例，分析算法的有效性。其中，紅色和藍色分別代表黑洞和星光節點，橙色節點為星光組織第二層和黑洞組織第二層的交集，粉色和紫色節點分別同屬于星光組織和黑洞組織的第二、三層結構。

驗證發現，圖3組織中的所有節點都為傳銷節點，星光和黑洞節點分別為傳銷組織的斂財賬戶和返利賬戶。

圖3 傳銷組織發現示例

Figure 3 The demo of a discovered multi-levels commission

5 結束語

本文從關鍵角色賬戶出發，進行了銀行賬戶交易網絡中特定異常組織的發現研究。在建立通用資金交易網絡模型的基礎上，首先詳述了組織中斂財型與返利型賬戶的特點，然后定義了網絡中的黑洞和星光兩種核心種子節點；進而通過逐層擴展得到黑洞和星光組織，最終提出了一種基于生成子圖融合的組織發現算法。在真實包含傳銷組織的數據上進行測試，對黑洞和星光節點的精確率分別達到75.51%和70.27%，基于子圖融合的組織發現算法，對異常賬戶的1值達到73.13%，能有效地發現其中隱藏的傳銷組織。

本文的組織發現算法只找出了傳銷組織的核心交易網絡，組織結構不夠完備。此外，由于真實資金交易場景復雜，且交易關系與真實的異常組織架構不完全吻合，導致異常組織發現的準確率較低。下一步將針對提升發現的準確率進行專門的算法改進。

[1] 秦學志, 李靜一. 基于大數據樣本的銀行異常賬戶監測方法[J]. 系統管理學報, 2016, 25(4): 677-682.

QIN X Z, LI J Y. Abnormal account monitoring method for bank loans using big data samples[J]. Journal of System and Management, 2016, 25(4): 677-682.

[2] BARABASI A L, ALBERT R. Emergence of scaling in random networks[J]. Science, 1999, 286(5439): 509-512.

[3] HONG L, ZHENG Y, YUNG D C, et al. Detecting urban black holes based on human mobility data[C]//Sigspatial International Conference on Advances in Geographic Information Systems (SIGSPATIAL’15). 2015.

[4] 薛蕾. 鏈接分析在金融監管中的應用研究[D]. 武漢: 華中科技大學, 2006.

XUE L. Research on the application of link analysis in financial supervision[D]. Wuhan: HuaZhong University of Science and Technology. 2006.

[5] LI Z M, XIONG H, LIU Y C. Mining blackhole and volcano patterns in directed graphs: a general approach[J]. Data Mining and Knowledge Discovery, 2012, 25(3): 577-602.

[6] 李艷麗, 劉陽, 謝文波，等. 大數據發現非法傳銷網絡[J]. 大數據, 2017, 3(5): 106-112.

LI Y L, LIU Y, XIE W B, et al. Uncovering the illegal pyramid networks by big data[J]. Big Data Research, 2017, 3(5): 106-112.

[7] 葉施仁, 葉仁明, 朱明峰. 基于網絡關系的微博水軍集團發現方法[J]. 計算機工程與應用, 2017, 53(6): 96-100.

YE S R, YE R M, ZHU M F. Method to find spammer group for Weibo based on network relationship[J]. Computer Engineering and Applications, 2017, 53(6): 96-100.

[8] 劉程, 沙瀛, 姜波, 等. 新浪微博隱式組織發現[J]. 中文信息學報, 2017, 31(2): 139-145.

LIU C, SHA Y, JIANG B, et al. Detecting implicit organization on sina weibo[J]. Journal of Chinese Information Processing, 2017, 31(2): 139-145.

[9] 張慧杰. 基于多特征尺度空間模型的網絡水軍組織發現技術研究[D]. 杭州: 浙江工商大學, 2015.

ZHANG H J. Research technology on fund of spammer organizations based on multi-feature scale space model[D]. Hangzhou: Zhejiang Gongshang University, 2015.

[10] 肖昕. 基于論壇信息的網絡組織發現技術研究[D]. 沈陽: 沈陽航空航天大學, 2013.

XIAO X. Research technology on found of network organization based on forums information[D]. Shenyang: Shenyang Aerospace University, 2013.

Research on the method of discovering specific organization structure in bank account transaction network

LYU Fang, LU Xijing, WANG Wei, HUANG Junheng, WANG Bailing

School of Computer Science and Technology, Harbin Institute of Technology(Weihai), Weihai 264209, China

In recent years, stakeholder economic crime behaviors such as illegal pyramid schemes, illegal fund raising and money laundering despite repeated prohibitions, makes the research of anomaly detection in financial transaction network has gradually attracted the attention of researchers. The way how to fund flow between bank accounts in an illegal organization implies the relationship structure of their members. Firstly, a directed weighted transaction network model was built on the basis of the transaction characteristics. Then, combining with the local topology structure of the built transaction network of the accounts, two kinds of core nodes of the organization, including black hole nodes and star nodes, were defined. By analyzing the relationship between those two kinds nodes, an organization discovery algorithm of combining “black hole and star nodes” based on spanning subgraph was proposed. Experiments on real bank accounts transaction network containing illegal pyramid scheme organizations show the effectiveness of the algorithm in discovering the specific tree organization structure.

financial transaction network, black hole nodes, star nodes, spanning subgraph

s: The National Key R&D Program of China (No.2018YFB2004201), Frontier Science and Technology in Notation of China (No.2016QY05X1002-2),National Regional Innovation Center Science and Technology Special Project of China (No.2017QYCX14), Key Research and Development Program of Shandong Province (No.2017CXGC0706), The Fundamental Research Funds for the Central Universities (No.HIT.NSRIF.2020098), 2017 University Co-construction Project in Weihai City

TP391.4

A

10.11959/j.issn.2096?109x.2020001

呂芳（1990? ），女，山東陽谷人，哈爾濱工業大學（威海）博士生，主要研究方向為復雜網絡、信息內容安全、數據挖掘。

盧西婧（1998? ），女，山東泰安人，主要研究方向為金融安全。

王巍（1975? ），女，黑龍江齊齊哈爾人，博士，哈爾濱工業大學（威海）講師、碩士生導師，主要研究方向為金融安全、數據挖掘、自然語言處理。

黃俊恒（1966– ），男，河南新鄉人，哈爾濱工業大學（威海）副教授，主要研究方向為數據挖掘、人工智能。

王佰玲（1978– ），男，黑龍江哈爾濱人，哈爾濱工業大學（威海）教授、博士生導師，主要研究方向為信息對抗、信息安全、信息搜索、移動網絡、金融安全。

論文引用格式：呂芳, 盧西婧, 王巍, 等. 銀行賬戶交易網絡中特定組織發現研究[J]. 網絡與信息安全學報, 2020, 6(1): 62-69.

LYU F, LU X J, WANG W, et al. Research on the method of discovering specific organization structure in bank account transaction network[J]. Chinese Journal of Network and Information Security, 2020, 6(1): 62-69.

2019?02?19；

2019?06?14

王佰玲，wbl@hit.edu.cn

國家重點研發計劃基金資助項目（No.2018YFB2004201）；國家前沿科技創新專項基金資助項目（No. 2016QY05X1002-2）；國家區域創新中心科技專項基金資助項目（No.2017QYCX14）；山東省重點研發計劃基金資助項目（No.2017CXGC0706）；中央高校基本科研業務費專項基金資助項目（No.HIT.NSRIF.2020098）；2017威海市大學共建基金資助項目