張?zhí)旆?王彪 袁琪 王有寧 李哲

1. 湖北工程學院 2. 湖北省孝感市公安局孝南分局 3. 湖北職業(yè)技術(shù)學院

引言

近年來，以電信網(wǎng)絡(luò)詐騙為代表的詐騙類犯罪持續(xù)高發(fā)多發(fā)，犯罪分子作案手段不斷翻新，黑灰產(chǎn)業(yè)鏈條盤根錯節(jié)，已成為當前發(fā)案最高、損失最大、群眾反響最強烈的突出違法犯罪活動。2021年前11個月，共破獲電信網(wǎng)絡(luò)詐騙案件37萬余起，有力打擊了詐騙類犯罪活動的發(fā)展勢頭[1]。從個案角度來看，眾多詐騙案件涉案背景呈現(xiàn)各異性，具有很強的復雜性[2]。加之犯罪人員有意通過偽裝、欺騙甚至對抗手段干擾辦案，為實際執(zhí)法帶來了挑戰(zhàn)。從眾多形態(tài)各異的案事件中發(fā)掘其內(nèi)在模式，有利于提高偵破效率，保護人民財產(chǎn)安全。

犯罪心理學[3]和 犯罪行為分析[4]均指出，除少數(shù)個案外，大多數(shù)犯罪案件的形成均受到不同程度內(nèi)外動機與因素的影響，涉案人員自身及其社會關(guān)系對最終犯罪行為和結(jié)果的產(chǎn)生具有重要影響，這就為建立合適的犯罪動機發(fā)現(xiàn)模型提供了線索[5]。犯罪也是現(xiàn)實世界復雜系統(tǒng)中的一員，通過相互作用或依賴關(guān)系將不同元素或組件形成統(tǒng)一的整體，呈現(xiàn)出非線性、自組織的整體系統(tǒng)行為[6]。在這些復雜系統(tǒng)當中，元素之間的連接模式既不是純粹的規(guī)則化連接，也不是完全的隨機連接，其拓撲結(jié)構(gòu)反映出明顯的冪律度分布性與聚類特性[7]，廣泛存在著社團結(jié)構(gòu)與分層結(jié)構(gòu)，這就為建立犯罪關(guān)系網(wǎng)絡(luò)并由此挖掘詐騙犯罪模式提供了基礎(chǔ)[8]。

本文基于詐騙犯罪數(shù)據(jù)，通過抽取涉案人員、地點、時間、犯罪類型等實體構(gòu)建犯罪復雜網(wǎng)絡(luò)（Crime Complex Network，CCN），用于揭示紛繁案件之間的隱含關(guān)系。在此基礎(chǔ)上，對犯罪事件中的中心主體對象、犯罪團伙進行發(fā)現(xiàn)，由此對詐騙犯罪模式展開挖掘。

一、建立犯罪復雜網(wǎng)絡(luò)模型

警務(wù)綜合平臺提供的報警記錄文本是構(gòu)建犯罪復雜網(wǎng)絡(luò)的數(shù)據(jù)來源，然而需要先對這種非結(jié)構(gòu)化的數(shù)據(jù)進行一系列處理后才能為模型的建立提供關(guān)鍵數(shù)據(jù)支撐。數(shù)據(jù)預處理和犯罪復雜網(wǎng)絡(luò)建立如圖1所示，主要分為以下幾個步驟。

首先，收集并整理犯罪事件文本數(shù)據(jù)，配合犯罪語料庫構(gòu)建犯罪數(shù)據(jù)集；然后，通過文本實體挖掘方法從數(shù)據(jù)集中抽取關(guān)鍵實體；再根據(jù)公共屬性和經(jīng)驗規(guī)則構(gòu)建實體關(guān)聯(lián)，由此建立犯罪復雜網(wǎng)絡(luò)。在該網(wǎng)絡(luò)的基礎(chǔ)上展開詐騙類犯罪模式的挖掘，并將挖掘結(jié)果應(yīng)用于實際案件分辨與偵破中。

（一）數(shù)據(jù)預處理

整個數(shù)據(jù)預處理階段主要由文本實體抽取、關(guān)系抽取和實體數(shù)值量化三部分組成[9]。關(guān)鍵實體抽取流程如圖2所示。

通過將犯罪記錄文本、系統(tǒng)自動錄入的、包含編號和系統(tǒng)時間的結(jié)構(gòu)化信息進行實體抽取，得到：案件編號（CID） ，唯一標注案件的關(guān)鍵字；案件分類（CType），主要分為13個類別，并單獨篩選出詐騙類案件；涉案人員（P），是本文研究的主體。其中，單個案件中可能存在一個或多個涉案人員，并且在案件文本的描述中，同一人員實體可能會重復出現(xiàn)多次；案件地點（L），通過POS方法轉(zhuǎn)換為GIS地理坐標L(Lng,Lat)。由于部分案件并未和實際地點產(chǎn)生直接關(guān)聯(lián)，但可能包含電話號碼和（或）IP地址，因此這類有助于定位的信息也被統(tǒng)一劃分到“地點”分類中。

（二）構(gòu)建犯罪復雜網(wǎng)絡(luò)

如圖3所示，復雜網(wǎng)絡(luò)中有兩個關(guān)鍵要素，一個是構(gòu)成網(wǎng)絡(luò)的節(jié)點（Node或Vertex），一個是表示各節(jié)點之間關(guān)系的邊（Edge）。這些節(jié)點構(gòu)成節(jié)點集合，這些關(guān)系構(gòu)成邊集合，則犯罪復雜網(wǎng)絡(luò)可以用圖G(V,E)來描述[10]。從犯罪分析的角度來看，案件1（v1）和案件2（v2）通過犯罪嫌疑人“張三”構(gòu)成了一個關(guān)聯(lián)（e1），換句話來說“因為張三同時涉及了案件1和案件2，因此兩個案件是‘串案’”。而案件1指向案件2的箭頭線可以表示案件發(fā)生的先后順序，在本文中案件2要早于案件1發(fā)生。此外，箭頭線的長度可以用來表明案件之間關(guān)系的強度或案發(fā)地之間的距離。由于案件與案件之間并非唯一通過人員關(guān)聯(lián)，因此需要依賴圖2所示的多個實體對案件之間潛在的關(guān)系進行表達，以此構(gòu)建完整的犯罪復雜網(wǎng)絡(luò)。

二、詐騙犯罪模式挖掘

（一）犯罪復雜網(wǎng)絡(luò)實例

根據(jù)圖2所示的關(guān)鍵實體抽取方法對15萬余起涉及有效人物實體的案例進行了數(shù)據(jù)預處理，然后利用上述模型構(gòu)建復雜犯罪網(wǎng)絡(luò)，其中網(wǎng)絡(luò)的布局模式采用Geo Layout 布局以展現(xiàn)案件的空間關(guān)聯(lián)，然后利用數(shù)據(jù)可視化軟件進行網(wǎng)絡(luò)展示。基于犯罪事件節(jié)點構(gòu)建的犯罪復雜網(wǎng)絡(luò)如圖4所示。

如圖4所示，該犯罪復雜網(wǎng)絡(luò)包含85441條邊，其中自關(guān)聯(lián)43356、直接關(guān)聯(lián)42085。基于modularity_class檢測獲得了6077個分類（子網(wǎng)），其中最大的子網(wǎng)包含980個節(jié)點，前11個網(wǎng)絡(luò)包含5460個節(jié)點，充分說明詐騙類案件的團伙性質(zhì)和影響的廣泛性。通過進行量化分析可知，網(wǎng)絡(luò)中大量節(jié)點的度為0，占比54.31%，從一般角度來看，這類案件可以認為是“孤立”的，并不與其它案件存在直接或間接關(guān)聯(lián)。還有26.72%的案件的度為1，即兩件案件存在一次關(guān)聯(lián)，在當前分析中作為關(guān)聯(lián)案例不做重點關(guān)注。度超過1的案件只占總案件數(shù)量的18.97%，它們表現(xiàn)出了較強的關(guān)聯(lián)性，這也是需要重點關(guān)注的案件。

（二）子犯罪網(wǎng)絡(luò)分析

以犯罪事件為節(jié)點的犯罪復雜網(wǎng)絡(luò)勾勒出樣本區(qū)域內(nèi)案件之間的基本關(guān)系，也展現(xiàn)了涉案人員的社會關(guān)系概況。但圖4所示的網(wǎng)絡(luò)確實“復雜”，難以直接通過整個網(wǎng)絡(luò)挖掘犯罪模式。因此，在進行犯罪模式挖掘前，需要對現(xiàn)有網(wǎng)絡(luò)進行分解處理[11]。簡單來說，優(yōu)先關(guān)注具有較多節(jié)點的子網(wǎng)（Sub-CCN）[12]。圖5所示是節(jié)點數(shù)量排名前列的子網(wǎng)結(jié)構(gòu)，這里通過ForceAtlas 2[13]方法對網(wǎng)絡(luò)進行展開，以更好地展現(xiàn)該犯罪子網(wǎng)的結(jié)構(gòu)和顯性特征[14]。

可以看到，雖然各子網(wǎng)呈現(xiàn)不同的結(jié)構(gòu)，但具有較為典型的共同特征：邊緣呈現(xiàn)簡單線性結(jié)構(gòu)；中心區(qū)域呈現(xiàn)復雜環(huán)狀、簇狀結(jié)構(gòu)。這種關(guān)系結(jié)構(gòu)的獲得有助于挖掘并發(fā)現(xiàn)涉案人員之間的關(guān)系。

（三）涉案人員關(guān)系發(fā)現(xiàn)模型

通過犯罪關(guān)系網(wǎng)的分析可以了解到涉案人員之間的關(guān)系組成與基本模式。如圖6所示，以案事件和涉案人員的關(guān)聯(lián)方式和強度可將其分為三種典型類型的關(guān)聯(lián)：直接關(guān)聯(lián)（direct）、自關(guān)聯(lián)（self）和間接關(guān)聯(lián)（indirect）。

直接關(guān)聯(lián)：例如案件1、案件2和案件3中均出現(xiàn)了“張三”，那么這三個案件之間存在兩個直接關(guān)聯(lián)。

自關(guān)聯(lián)：案件1中，存在兩個張三（其中一個是化名），這兩個張三之間構(gòu)成一個自關(guān)聯(lián)。

間接關(guān)聯(lián)：由于案件n和案件3存在直接關(guān)聯(lián)，那么案件3中的其它涉案人員小明、小強，與案件n中的涉案人員李四、二毛之間的關(guān)系均為間接關(guān)聯(lián)。

人員關(guān)系是一種典型的、直觀的關(guān)系。通過這一思路，可以分別通過IP地址、手機號、郵箱、車險等實體信息建立更復雜的關(guān)系網(wǎng)絡(luò)，以充分表達各案件之間的潛在關(guān)系。

（四）六類典型詐騙模式分析

通過構(gòu)建關(guān)聯(lián)模式，能夠從復雜的關(guān)系網(wǎng)絡(luò)中發(fā)現(xiàn)詐騙類案件的模式特征。

1. 身份欺詐

構(gòu)建虛假身份是欺詐中最常見的問題，犯罪分子通過提供虛假的身份來嘗試逃脫打擊與制裁。通過CNN有助于了解個人身份信息如地址、電話、出生日期和IP地址信息等是否構(gòu)成了環(huán)狀關(guān)聯(lián)，這往往是欺詐的典型特征。如圖7（1）所示，圖中的三個人共享了一些相同的信息，除非他們是親屬或關(guān)系緊密的朋友，而這種關(guān)系很容易通過戶籍等數(shù)據(jù)確認。

2. 實體偽裝

不同實體之間可能以多種方式建立關(guān)聯(lián)，CCN有助于辨別潛在的重復實體。圖7（2）展示了三個子數(shù)據(jù)集，每個數(shù)據(jù)集中的一些實體具有相同信息，如地點、電話，它們有較大概率就是同一人。

3. 欺詐團伙分析模式

圖分析有助于動態(tài)探索大型數(shù)據(jù)集中的關(guān)系，可以通過地址、電話、郵件、交易記錄等多種信息來探索并可視化人員之間的關(guān)聯(lián)，這使得檢測同謀變得更快、更準確。如圖7（3）所示，可能屬于同一個犯罪團伙，并且是其中的關(guān)鍵人物。

4. 車險欺詐

并非所有的車禍都是“意外”發(fā)生的，其中也許隱藏著犯罪：圖7（4）所示兩起不同的車禍及其后續(xù)處理過程中涉及人員可能以某種方式涉及了這兩起車禍，不同人員同時連接到了同一個定損員和維修點，那么這是假事故的風險就很高了。

5. 網(wǎng)絡(luò)傳銷式欺詐

傳銷或者說龐氏騙局的欺詐手段更加隱蔽，從構(gòu)建欺詐到案件爆發(fā)或偵破中的周期一般比較長，使得最終的受害人員眾多、涉案金額往往特別巨大。新冠疫情使得線下傳銷模式大幅減少，但依托網(wǎng)絡(luò)實施詐騙則是近兩年電信類詐騙中的新發(fā)展態(tài)勢。在傳銷式詐騙中，客戶（或者是犯罪人員）將其他人稱為潛在客戶。如果某些人通過個人信息與網(wǎng)絡(luò)內(nèi)的其他人或其他推薦人網(wǎng)絡(luò)相關(guān)，那么就有可能發(fā)現(xiàn)整個傳銷網(wǎng)絡(luò)。如圖7（5）所示，雖然這里有七個實體人員，但他們分別關(guān)聯(lián)到兩張不同的銀行卡，那么這七個實體可能只是由少數(shù)犯罪人員操控的詐騙網(wǎng)絡(luò)。

6. 釣魚欺詐

一些網(wǎng)絡(luò)犯罪分子冒充銀行、公安發(fā)送電子郵件或短信以獲取受害人的金融憑據(jù)。一旦受害人相信了這些信息，就允許犯罪分子直接或間接訪問受害者的銀行賬戶，從而造成受害人的經(jīng)濟損失。當釣魚欺詐發(fā)生時，通常會有多個賬戶受到攻擊。圖7（6）所示的模型中，三個銀行賬戶的經(jīng)常性訪問IP發(fā)生了變更，并且還關(guān)聯(lián)了一個新的賬戶，那么有較高的概率是犯罪人員。

（五）模型應(yīng)用

通過建模工具，將上述模型數(shù)值化并轉(zhuǎn)換為應(yīng)用程序?qū)崿F(xiàn)，就可以不斷從已有歷史數(shù)據(jù)中發(fā)掘、發(fā)現(xiàn)問題，為一線民警偵破詐騙案件提供線索與偵辦思路。在2021年3月至11月中，借助這一模型累計偵辦多類詐騙案件300余起，有力支持了地方警務(wù)工作。

三、總結(jié)與展望

本文基于犯罪文本數(shù)據(jù)的分析建立了犯罪復雜網(wǎng)絡(luò)，在此基礎(chǔ)上對詐騙犯罪的模式展開挖掘研究，通過分析得到了六類典型詐騙模式。這六類模式的實踐應(yīng)用有力提升了研究區(qū)域內(nèi)詐騙類案件的偵破工作，保護了人民群眾財產(chǎn)。

現(xiàn)有研究在時間尺度上跨度較小，并未將時變因素引入模式挖掘，因此對詐騙犯罪的演變模式未做出有效判定。此外，受限于現(xiàn)有實體抽取方法和數(shù)據(jù)集的限制，目前認為是孤立事件的案件之間可能存在未發(fā)現(xiàn)的關(guān)聯(lián)，這也是未來研究中需要進一步關(guān)注的重點。