MongoDB Atlas를 활용한 금융 범죄 대응

트랜잭션 모니터링 및 위험도 평가 엔진

목적: 벡터 검색을 사용한 시맨틱 사기 패턴 탐지

• 명시적인 규칙과 일치하지 않더라도 알려진 사기 패턴처럼 행동하는 트랜잭션을 식별하기위해 MongoDB Atlas Vector Search를 사용합니다.

• 각 트랜잭션의 질적 및 행동적 측면에서 임베딩을 생성합니다. 예를 들면 다음과 같습니다.

  • 판매자 카테고리 및 설명

  • 채널 및 장치 핑거프린트

  • IP 범위 및 ASN 정보

  • 시간적 패턴(예: 하루 중 시간대별 순서 또는 세션 행동)

  • 서술 필드나 자유 텍스트 노트(해당 시 포함)

• 이 1536차원 임베딩을 운영 데이터가 포함된 트랜잭션 문서에 저장하세요.

• 원금액, 잔액 변동, 단순 거래 빈도 카운터와 같은 신호 강도가 높은 수치형 특성은 임베딩에 포함하지 말고, 규칙 기반 모델이나 스코어카드 모델로 평가하세요. 이러한 분리를 통해 다음과 같은 작업을 수행할 수 있습니다.

  • Vector Search를 활용해 단순 임계값이나 규칙을 넘어서는 의미적으로 유사한 행위를 찾아냅니다.

  • 결정론적 규칙과 위험 모델을 사용하여 숫자 제한과 규제 제약을 시행합니다.

• 새 트랜잭션을 검사할 때 임베딩을 생성하고$vectorSearch로 MongoDB Atlas를 쿼리합니다.

  • 시스템은 의미적으로 유사한 거래를 반환하며, 정적 규칙을 회피하더라도 과거 사기 패턴과 행동 면에서 유사한 거래까지 포함합니다.

  • 벡터 유사도 점수와 수치 기반 위험 점수를 결합해 통합된 위험 의사결정 파이프라인을 구축합니다.

위험 모델 관리

목적: Change Streams를 통한 실시간 위험 인텔리전스

MongoDB 변경 스트림을 사용하여 위험 모델, 컴플라이언스 규칙 또는 관심 목록이 변경될 때 즉시 알림을 받을 수 있습니다. 폴링을 하거나 임시 캐시 무효화에 의존하는 대신, 업데이트를 사기 탐지 및 사례 관리 서비스에 직접 스트리밍할 수 있습니다.

분석가가 새로운 위험 모델을 활성화하면 모든 트랜잭션 검사 엔진이 밀리초 이내에 변경 사항을 수신해 업데이트된 규칙을 수신 트래픽에 적용합니다. 이를 통해 사기 트랜잭션이 감지되기 전에 처리될 수 있도록 허용하는 배치 지연이 제거됩니다.

위험 모델이나 구성 컬렉션에서 Change Streams를 열면 MongoDB는 모든 삽입, 업데이트 또는 교체 작업을 애플리케이션으로 푸시합니다. 재개 토큰을 사용하면 서비스 재시작 또는 네트워크 장애 후 정확한 중단 시점부터 처리를 다시 시작하여 업데이트를 놓치지 않을 수 있습니다.

클릭하여 확대

그림 2. Change Streams, 벡터 검색 및 위험 모델을 포함한 실시간 사기 탐지 파이프라인

엔터티 온보딩 및 사례 관리

이 모듈의 주요 목적은 두 가지입니다.

목적: 하이브리드 검색을 통한 AI 기반 엔터티 해결

MongoDB의 $rankFusion 연산자를 사용하여 엔터티 온보딩 또는 조사 중 여러 검색 전략을 결합합니다. 퍼지 텍스트 일치를 위해 Atlas Search를 실행하고, 시맨틱 유사성을 위해 Atlas Vector Search를 병렬로 실행합니다. $rankFusion은 결과 세트를 병합하고 텍스트 유사성과 임베딩의 관련성을 결합하여 항목의 순위를 지정합니다.

상위 후보의 경우 $graphLookup을 사용하여 관계 및 트랜잭션 네트워크를 탐색합니다. MongoDB는 엔터티 연결, 트랜잭션 패턴, 공유 식별자 및 위험 지표를 포함한 네트워크 컨텍스트를 단일 집계 파이프라인으로 반환합니다. 이렇게 하면 여러 시스템을 쿼리하거나 비용이 많이 드는 조인을 수행할 필요가 없습니다.

엔터티 데이터, 검색 결과, 네트워크 분석을 LLM(예: AWS Bedrock Claude-3 Sonnet)에 제공하여 AI 지원 위험 분류를 수행합니다. 모델은 컴플라이언스 플래그, 관계 패턴, 행동 지표, 감시 목록 일치 여부를 평가해 신뢰도 점수와 권장 조치를 포함한 위험 평가를 생성합니다.

LLM에서 생성된 조사 요약을 사용하여 MongoDB에서 자동으로 사례 문서를 생성합니다. 이렇게 하면 보고서를 직접 작성할 필요가 없고, 컴플라이언스 문서의 일관성도 향상됩니다.

목적: 그래프 탐색을 이용한 네트워크 탐색

수사관은 종종 자금 세탁 네트워크와 엔터티 간의 숨겨진 연결을 추적해야 할 때가 있습니다. MongoDB의 $graphLookup 집계 단계를 사용하면 별도의 그래프 저장 없이 운영 데이터베이스에서 직접 네트워크 분석을 수행할 수 있습니다.

• 의심스러운 개체부터 시작해 비즈니스 동료, 공유 주소, 트랜잭션 상대방 또는 기업 구조를 통해 관계를 재귀적으로 추적합니다. 각 추적은 내장된 행동 분석, 위험 점수 및 컴플라이언스 플래그가 포함된 완전한 엔터티 문서를 반환합니다.

• 추적 과정에서 신뢰도 점수, 관계 유형 또는 위험 임계값을 기준으로 관계를 필터링합니다.

• 멀티홉에 걸친 네트워크를 밀리초 단위로 검색한 다음, 그래프 결과를 필터링, 정렬, 그룹화와 같은 표준 집계 작업과 결합합니다.

// Multi-hop relationship traversal with MongoDB $graphLookup
db.entities.aggregate([
   {
      $match: { entityId: 'ENT_12345' },
   },
   {
      $graphLookup: {
         from: 'entity_relationships',
         startWith: '$entityId',
         connectFromField: 'target_entity_id',
         connectToField: 'source_entity_id',
         as: 'relationship_network',
         maxDepth: 2,
         restrictSearchWithMatch: {
            confidence_score: { $gte: 0.7 },
            relationship_type: {
               $in: [
                  'BUSINESS_ASSOCIATE',
                  'SHARED_ADDRESS',
                  'TRANSACTION_COUNTERPARTY',
               ],
            },
         },
      },
   },
   {
      $lookup: {
         from: 'entities',
         localField: 'relationship_network.target_entity_id',
         foreignField: 'entityId',
         as: 'connected_entities',
      },
   },
   {
      $project: {
         entityId: 1,
         name: 1,
         riskAssessment: 1,
         networkDepth: { $size: '$relationship_network' },
         connectedEntities: {
            $map: {
               input: '$connected_entities',
               as: 'entity',
               in: {
                  id: '$$entity.entityId',
                  name: '$$entity.name.full',
                  riskLevel: '$$entity.riskAssessment.level',
               },
            },
         },
      },
   },
]);

클릭하여 확대

그림 3. MongoDB Search 및 $GraphLookup을 통한 엔터티 확인 및 LLM을 통한 사례 관리

컬렉션 간의 관계

설계는 내장된 참조와 전용 relationships 컬렉션을 혼합하여 관계를 모델링합니다.

• 엔터티 문서는 connected_entities 배열에 관련 엔터티에 대한 참조를 포함할 수 있습니다.

• 트랜잭션 문서는 엔터티에 연결된 customer_id 필드를 저장합니다.

• entity_relationships 컬렉션은 신뢰도 점수, 관계 유형 및 감사 기록을 포함한 명시적 관계를 저장합니다.

이 패턴을 사용하면 새로운 관계 유형이 등장할 때마다 스키마를 유연하게 유지하는 동시에 $graphLookup을 사용하여 그래프를 효율적으로 탐색할 수 있습니다.

성능을 위한 인덱싱 전략

Atlas 검색 인덱스를 사용하여 엔터티 해결 및 조사 워크플로를 지원합니다.

• 실시간 이름 제안을 위해 name.full에서 엣지 n–그램(2~15자)을 사용하여 자동 완성을 구성합니다.

• entityType, nationality, residency, riskAssessment.overall.level에 string 패싯을 구성하여 검색 결과를 필터합니다.

엔터티 및 행동 패턴 매칭을 위해 1536차원 벡터에 코사인 유사도를 설정하여, 임베딩 필드에 Atlas Vector Search 인덱스를 구성해 시맨틱 유사도 매칭을 활성화합니다. 식별자 데이터와 행동 패턴에 대해 별도의 임베딩을 생성하여 특정 사용 사례를 대상으로 할 수 있습니다.

운영 워크로드에 표준 인덱스 사용:

• 조회 및 범위 쿼리를 위해 entityId, customer_id, timestamp에 단일 필드 인덱스를 사용합니다.

• 위치 좌표에 2dsphere 인덱스를 사용하여 반경 기반 사기 규칙을 적용합니다.

• 위험 수준 및 개체 유형에 대한 복합 인덱스를 일반적인 조사 필터에 사용합니다.

문서 예시

{
   "_id": ObjectId("674a83b654c7f1b869cb1c2"),
   "customer_id": "CUST_67890",
   "transaction_id": "TXN_54321",
   "timestamp": ISODate("2024-11-15T14:22:36Z"),
   "amount": 2500.75,
   "currency": "USD",
   "merchant": {
      "name": "Global Electronics",
      "category": "electronics",
      "id": "MERCH_123"
   },
   "location": {
      "city": "San Francisco",
      "state": "California",
      "country": "US",
      "coordinates": {
         "type": "Point",
         "coordinates": [
            -122.4194,
            37.7749
         ]
      }
   },
   "device_info": {
      "device_id": "device_abc123",
      "type": "desktop",
      "os": "macOS",
      "browser": "Chrome",
      "ip": "203.0.113.45"
   },
   "transaction_type": "purchase",
   "payment_method": "credit_card",
   "status": "completed",
   "risk_assessment": {
      "score": 78.5,
      "level": "high",
      "flags": [
         "unusual_amount",
         "unexpected_location",
         "velocity_alert"
      ],
      "transaction_type": "suspicious",
      "diagnostics": {
         "customer_base_risk": 35.0,
         "transaction_factors": {
            "amount": 85.0,
            "location": 90.0,
            "device": 0,
            "velocity": 75.0,
            "pattern": 60.0
         }
      }
   },
   "vector_embedding": [
      0.234,
      -0.567,
      0.890, ...
   ]
}