小白都能看懂的风控体系搭建，先码后看（闲置决斗）

随着用户网上交易的需求越来越多，对于风险的识别与控制也越来越重要，如何搭建一套风控体系呢？

最近，沈梦辰一不小心上了微博热榜。虽说明星上热搜榜本来是一件稀疏平常的事情，可这次的热搜，竟然是因为一场骗局！

事情经过是这样的：沈梦辰在闲鱼卖东西，不小心遭遇骗子，虽然闲鱼给出了各种提醒，但沈梦辰还是在平台外进行操作，最终，被骗了6000元。

这里我们不讨论事情本身，因为刚好树猫是做交易平台的，我们就聊聊交易平台的一些风控怎么做，下面说的仅基于我们当前对于当前闲鱼产品的理解，而本人也并非专业风控，只提供一些风控的思路，可能存在较大偏差，欢迎大家来拍砖。

01

随着人们越来越多的闲置物品交易的需求，二手交易平台在国内也是越来越火，而无处不在的一些骗子自然也嗅到了其中的商机，开始频繁出没在这些交易平台，不断去行骗。

从目前网上的数据来看，目前闲鱼最主要的被骗有以下3类：

买家被骗，货不对板；
卖家被骗，恶意退款；
买卖家被骗，在平台外。

那么，假如我们是闲鱼的风控人员，应该如何应对这3种情况呢？在此之前，我们先了解下，基础的风控知识：

风控一般分为两个步骤：风险识别，风控策略。

风控效果=风控识别效果*风控策略的力度

风控识别的效果决定了整体的风控效果，而风控策略则更注重平衡风险和收益。力度大了影响到正常的行为，力度小了则风险无法控制。那么我们就从风险识别和风险策略这两个维度说说风控那些事。

02

风险识别：注重的是识别各种风险，并且给风险打上一定的权重，告知风险类型，风险等级等。通常我们会基于用户和行为两个大的维度去进行识别。

从用户维度识别：我们对每一个用户的信息进行两种打分，假设我定义为防守分值和攻击分值。通过两个评分值来判断用户容易被骗的程度和容易骗人的程度，之后进行策略调整。

防守分值，就是哪些用户容易被骗。

主要数据：

用户个人信息：年龄，性别，学历，籍贯，收货地址，收货联系方式等（如年龄偏小的女性更易被骗）

用户设备信息：设备型号，网络类型，IP所在地等（如某些老款机型，并且处于相对偏僻的地区用户因信息了解过少可能会存在风险较高的情况）

用户注册信息：注册时间，注册渠道，注册方式等（某些注册渠道的用户可能更容易被骗，如学校渠道）

用户交易信息：历史交易类目，历史交易信息，用户评分，成功交易次数等（一次都没有交易的用户更容易被骗）

用户在其他渠道的交易信息：如淘系其他产品，支付宝使用记录等（网购相对较少的用户可能被骗）

社会化信息：芝麻信用分值，芝麻信用使用记录等（芝麻信用分较低或者是使用记录少的可能更易被骗）

我们收集尽可能多的用户相关数据，使用风险模型，针对这类用户进行打分，然后对于不同的分值的用户在不同的场景下使用不同的策略。如分值超低的用户在进入将要唤起交易的时候，强制观看防骗内容甚至要求答题等。

攻击分值，就是哪些用户容易骗人。

我们同样可以根据上面的维度来计算用户的攻击分值，只是攻击分值的维度可能需要增加一些其他维度：如支付宝信息，手机号码信息，支付宝绑定额银行卡信息等。

已被标记为黑灰产的帐号则是需要重点去关注监控。

我们在做用户攻击行为和防守行为的时候并非只是做一个单纯的总分值，而是需要包含细化到某种类型的分值。

如：防守总分值是60，其中出售商品被骗可能性为80分，购买被骗分值为40分，被骗保证金分值为20分等。每一个分值需要在不同模型下去计算不同场景下的情况。

整个分值需要针对不同场景下去细化，因为你的策略也是基于各种场景去做的。

之前说两个值，从用户的一些基本信息就可以判断出用户的风险情况，并且给出相应的策略，但是这些往往是静态的，在风控上同样存在漏洞。

比如说：平时攻击值较低的用户，突然间去行骗，那么这个时候我们往往就无法去做到策略控制，因此我们还需要一个动态的风险等级，这个就是我们的行为判断。

03

还是拿闲鱼做例子，闲鱼上的用户行为主要有三种：信息发布，聊天，交易行为。

我们则是需要针对这三种行为来进行甄别：

信息发布：发布的商品有哪些特性可以判断该用户存在高风险（超高性价比商品），包含联系方式的商品，包含部分敏感词/违规信息的商品等。
聊天：包含引导其他渠道，辱骂行为，频繁拉黑行为等。
交易行为：主动关闭交易多次等。

我们根据用户的行为，来判断用户当前的行为风险（包含容易被骗，带有攻击行为等），然后针对用户的各种行为来进行打分，判断行为在某些场景下的风险值，以及这个行为的总风险值情况。

那么，当我们有了用户分值和行为分值之后，针对不同用户和行为来进行风控策略，是不是就结束了？

当然不是，行为和用户并不是孤立的，下一步综合的风险值就是用户分值和行为分值的综合评分，举几个例子：

一个攻击性特别强的用户和一个防守分值特别低的用户碰到了一起进行交易，那么这个时候单单从用户层面的分值来看，就是一个高危的情况。相对的，如果一个用户是网购老司机，而骗子是新手，那么这两个人碰到一起风险值就会低一些。那么我们在针对此交易/会话的策略就不一样，比如系统判断沈梦辰特别容易被骗，而那个骗子骗人技术高明，那么在会话刚进入的时候给予风险提示，甚至是阻断会话，则会很好的避免出现被骗的情况；
同样的，不同风险等级的用户在进行不同的行为的时候，其综合风险指数也是不一样的，如攻击性较高的用户做了让买家添加微信的行为，那么这个风险等级则属于非常高级别的行为，此时可能不仅仅是通过页面的提示来做风险控制，可能会直接采用电话的方式去进行。而如果只是攻击和防守分值一般的用户，进行了添加微信的行为，那么此时可能仅仅是做一个风险提示即可。
而细化到具体某一个场景的时候，则更简单了。比如说某个用户综合风险等级一般，但是在出售假货这里风险等级较高，而此时他发布了一个超高性价比的商品，那么此时则代表这个商品是假货的可能性非常高，那么我们就需要做处理，如排序降权延长收货时间等。

风险识别需要识别风险类型和风险等级，当然识别的越广越准确越好，那么识别后怎么去做呢？那么我们下面就聊聊风险识别后的风控策略。

04

风控策略：是针对不同类型不同等级的风险，使用不同的产品策略去进行控制，从而减少风险发生。

很不幸的告诉大家，目前我所了解到的，在风控识别方面各家公司做的都还不错，但是在策略方面就有点寒碜了。就像我有一千种方法让你原形毕露，但是我打不过你。

更多的产品再做策略的时候都是提示，强制提醒，封号等等。前者效果不明显，后者则是太严格，对业务伤害较大。针对这个角度，我来说说我对于策略的一些看法。

在交易中，出现的主要风控是被骗，那么针对这类问题，给大家一个简单的思路：

交易风控环节中，存在两个角色——骗子和受害者。这两人就像两个武者在进行擂台比武，而擂台裁判就是风控人员。风控要帮着受害者，但又不能过头，不然擂台就没人来玩了。那这里可以怎么做呢？

比武的时候，你希望受惠者胜利却总是拿攻击值强的人打他这总不好吧，就像丐帮和慕容山庄比武，让郭靖和慕容山庄的小弟打这样才好，你让一个丐帮弟子和慕容复打就不好了。同样的，做风控的时候，首先要做的就是尽可能让防守值低的用户不要和攻击性强的用户在一起，这样很可能被骗。而在闲鱼上，这里则可以使用商品排序等功能去做处理。
把骗子断手断脚，控制高攻击值用户各种权限，如限制商品发布，不允许自由聊天等等。甚至直接拉黑用户，对用户降权等等。高风险值用户不允许做高风险值的行为等。
给容易受骗用户指导，针对防守值低的用户进行各种提醒，甚至于强制观看，考试才能使用某些功能等。