運(yùn)營(yíng)商識(shí)別電信詐騙號(hào)碼的方法與建議

林睿

電信詐騙已經(jīng)成為危害社會(huì)的毒瘤，運(yùn)營(yíng)商必須承擔(dān)起社會(huì)責(zé)任，協(xié)助公安機(jī)關(guān)對(duì)其進(jìn)行打擊。如何通過海量數(shù)據(jù)分析來精準(zhǔn)的識(shí)別涉嫌電信詐騙的號(hào)碼，成為運(yùn)營(yíng)商需要研究的課題之一。

近年來電信詐騙猖獗，除了給受騙群眾造成了經(jīng)濟(jì)損失之外，部分案件還在社會(huì)上造成惡劣影響，已經(jīng)成為危害社會(huì)的毒瘤。不少企業(yè)已經(jīng)在各自的領(lǐng)域內(nèi)采取手段扼制電信詐騙，例如信息安全公司和手機(jī)生產(chǎn)商通過來電標(biāo)識(shí)提醒用戶，銀行也加強(qiáng)了對(duì)轉(zhuǎn)賬行為的限制和風(fēng)險(xiǎn)提示。

三大運(yùn)營(yíng)商作為基礎(chǔ)電信業(yè)務(wù)的提供商，在防范電信詐騙上已采取了限制購(gòu)卡、垃圾短信攔截等諸多被動(dòng)措施，但詐騙分子仍可通過異地購(gòu)卡，變換詐騙內(nèi)容等方式來規(guī)避。打擊電信詐騙還需要主動(dòng)出擊，為此本文設(shè)計(jì)并實(shí)現(xiàn)了一種基于運(yùn)營(yíng)商O/B域大數(shù)據(jù)，通過號(hào)碼歸類分析、信令數(shù)據(jù)清洗、號(hào)碼識(shí)別處置三步來協(xié)助公安機(jī)關(guān)打擊電信詐騙的辦法。

一、將在網(wǎng)號(hào)碼分為四類進(jìn)行特征分析

目前運(yùn)營(yíng)商均為各省獨(dú)立組網(wǎng)，對(duì)于不同的用戶，本地網(wǎng)絡(luò)能夠獲取的數(shù)據(jù)和處置方式也不一樣。因此需要根據(jù)歸屬地和當(dāng)前位置將號(hào)碼分為國(guó)際漫入、省際漫入、本省漫出和本省本地等四類，采取不同的判斷流程和處置措施，如表1所示。

進(jìn)行號(hào)碼分類后，我們通過訪談已抓獲的電信詐騙犯罪分子、回溯已立案的詐騙號(hào)碼記錄和行為邏輯預(yù)測(cè)等三種方式，總結(jié)分析出了詐騙號(hào)碼的特征。四類號(hào)碼共同的特征如下：一是號(hào)碼復(fù)用率低，終端復(fù)用率高；二是作案時(shí)間較為規(guī)律，多為工作日的白天；三是作案地區(qū)相對(duì)集中；四是主叫占比高，被叫離散度高。對(duì)于國(guó)際漫入和省際漫入類號(hào)碼，其特征還有首次漫入開機(jī)地點(diǎn)為非省際邊界地區(qū)且非港口地區(qū)。對(duì)于本省號(hào)碼，其特征還有開戶時(shí)間小于4個(gè)月，且未辦理流量套餐、集團(tuán)業(yè)務(wù)，以及信用級(jí)別不高等等。對(duì)于本省漫出號(hào)碼，其特征還有首次漫出開機(jī)地點(diǎn)為詐騙案件高發(fā)地區(qū)。

二、對(duì)信令數(shù)據(jù)進(jìn)行清洗提取有效字段

數(shù)據(jù)是分析的基礎(chǔ)，目前各運(yùn)營(yíng)商基本都實(shí)現(xiàn)了2/3/4G全接口的信令采集，可以對(duì)所有在網(wǎng)用戶的海量信令數(shù)據(jù)進(jìn)行清洗，提取出關(guān)鍵字段進(jìn)行分析。各個(gè)特征數(shù)據(jù)的來源如下：漫入位置可以通過eNodeB-MME間S1接口GTP-C信令的Cell ID字段獲取。漫出位置可以通過MME-DRA-HSS間S6a接口Diameter信令的Origin-Host字段獲取。終端信息可以通過MSC-MGW/eNB-MME間Mc/S1接口BSSAP/GTP-C信令的callingimei/IMEI字段獲取。業(yè)務(wù)使用情況可以通過XDR話單獲取，業(yè)務(wù)辦理情況可以從BOSS側(cè)的經(jīng)營(yíng)分析數(shù)據(jù)獲取。

另外我們還建立了詐騙終端庫(kù)和敏感地區(qū)庫(kù)。詐騙終端庫(kù)中存儲(chǔ)著所有已立案的和經(jīng)公安機(jī)關(guān)判定的涉詐號(hào)碼所使用過的終端IMEI號(hào)，數(shù)據(jù)量還會(huì)隨著時(shí)間的推移不斷的增長(zhǎng)。敏感地區(qū)庫(kù)分為省外和省內(nèi)兩部分，省外部分存儲(chǔ)的是公安部掛牌的詐騙高發(fā)地的MSC ID和MME host，省內(nèi)部分存儲(chǔ)的是涉詐號(hào)碼常駐的CI和ECI。

三、涉詐號(hào)碼的識(shí)別判斷流程

所有類型號(hào)碼判斷識(shí)別流程的第一步都是在其開機(jī)接入網(wǎng)絡(luò)時(shí)，將手機(jī)上報(bào)的IMEI與詐騙終端庫(kù)進(jìn)行匹配，如匹配成功則直接判定為“高度疑似詐騙用戶”，進(jìn)入處置環(huán)節(jié)。如未匹配成功則進(jìn)行第二步號(hào)段過濾，進(jìn)行號(hào)碼分類后送往不同的判斷流程，如圖1所示。

對(duì)于本省本地號(hào)碼，第三步以日為粒度記錄并觀察每個(gè)號(hào)碼的業(yè)務(wù)行為，如果有號(hào)碼的通話短信次數(shù)、主叫占比、被叫離散度三項(xiàng)均超過閥值，且所在位置不變或在敏感地區(qū)庫(kù)中，則標(biāo)識(shí)為“疑似詐騙號(hào)碼”。第四步向BOSS系統(tǒng)申請(qǐng)調(diào)出該號(hào)碼的B域數(shù)據(jù)，如果滿足近期開戶、一證多號(hào)、非集團(tuán)用戶、非校園用戶、非寬帶用戶、靜默期（未開機(jī)）大于閥值、月流量低于閥值、信用等級(jí)低于閥值等8項(xiàng)條件，則被標(biāo)識(shí)為“高度疑似詐騙號(hào)碼”，送公安機(jī)關(guān)審核通過后停機(jī)。

對(duì)于本省漫出號(hào)碼，第三步是將其開機(jī)時(shí)所在位置與省外敏感地區(qū)庫(kù)進(jìn)行匹配，看是否位于公安部掛牌的電信詐騙高發(fā)地。如果匹配成功則進(jìn)入第四步：回溯該號(hào)碼最近一周的位置軌跡，判斷其是否有其他地區(qū)的漫游記錄。如果該用戶僅出現(xiàn)在敏感地區(qū)，則標(biāo)識(shí)為“疑似詐騙號(hào)碼”。第五步向BOSS系統(tǒng)申請(qǐng)調(diào)出該號(hào)碼的B域數(shù)據(jù)，判斷標(biāo)準(zhǔn)和處置方式同“本省本地號(hào)碼”的第四步。

國(guó)際漫入和省際漫入的判斷方法一致，第三步是將其開機(jī)時(shí)所在位置與省內(nèi)敏感地區(qū)庫(kù)進(jìn)行匹配，看是否為非港口（空港、碼頭、火車站、長(zhǎng)途客運(yùn)站）和邊界地區(qū)，如果匹配成功則標(biāo)識(shí)為“疑似詐騙號(hào)碼”。第四步以日為粒度記錄并觀察每個(gè)號(hào)碼的業(yè)務(wù)行為，如果有號(hào)碼的通話短信次數(shù)、主叫占比、被叫離散度三項(xiàng)超過閥值，且所在位置不變或在敏感地區(qū)庫(kù)中，則標(biāo)識(shí)為“高度疑似詐騙號(hào)碼”。高度疑似詐騙的國(guó)際漫入號(hào)碼送公安審核通過后拒絕其接入網(wǎng)絡(luò)，高度疑似詐騙的省際漫入號(hào)碼報(bào)送歸屬省進(jìn)一步判斷和處置。

四、結(jié)語(yǔ)

通過上述的特征維度和判斷流程，能夠有效的識(shí)別出涉嫌電信詐騙的號(hào)碼。然而不同地區(qū)的詐騙分子行為特征有所不同，同一地區(qū)的詐騙分子為了規(guī)避打擊也會(huì)不斷的變換行為模式。因此為了提高識(shí)別的準(zhǔn)確率，運(yùn)營(yíng)商還需根據(jù)實(shí)際情況不斷調(diào)整和優(yōu)化各個(gè)判斷方式和閥值。

機(jī)器學(xué)習(xí)是一項(xiàng)非常適合用于識(shí)別電信詐騙號(hào)碼的新技術(shù)，面對(duì)海量的數(shù)據(jù)分析和不斷變化的特征有著天然的優(yōu)勢(shì)，部分運(yùn)營(yíng)商已經(jīng)投入研究。但目前的問題是分散到各地的電信詐騙號(hào)碼樣本量偏少，識(shí)別的精準(zhǔn)度不足，還需要經(jīng)過長(zhǎng)時(shí)間的訓(xùn)練才能夠正式投產(chǎn)。

三大運(yùn)營(yíng)商作為國(guó)有企業(yè)肩負(fù)著社會(huì)責(zé)任，應(yīng)當(dāng)繼續(xù)投入人力物力進(jìn)行，研究新的技術(shù)手段，協(xié)助公安機(jī)關(guān)打擊電信詐騙，還人民群眾一個(gè)健康安全的通信環(huán)境。

作者單位：中國(guó)移動(dòng)通信集團(tuán)海南有限公司