Graf Analizi ile Fraud Tespiti: İlişki Ağlarını Görünür Kılmak

Geleneksel Fraud Tespitinin Kör Noktası: İşlem Bazlı Düşünme

Dolandırıcılıkla mücadelede yıllardır kullanılan geleneksel yöntemler, büyük ölçüde işlem bazlı analiz mantığına dayanır. Her işlem tek başına değerlendirilir: kart numarası kara listede mi? Tutar belirli bir eşiği aşıyor mu? IP adresi riskli bir bölgeden mi geliyor? Bu sorulara verilen yanıtlar, işlemin onaylanıp onaylanmayacağını belirler.

Ancak bu yaklaşımın kritik bir kör noktası vardır: işlemler arasındaki ilişkileri göremez. Modern dolandırıcılar bunu çok iyi bilir. Her bir işlemi ayrı ayrı “temiz” görünecek şekilde tasarlarlar. Farklı isimler, farklı kartlar, farklı e-posta adresleri kullanırlar. Tek tek bakıldığında her şey normal görünür — ama bütüne bakıldığında organize bir dolandırıcılık halkası ortaya çıkar.

İşte tam bu noktada graf analizi devreye girer. Fraud kavramını tüm boyutlarıyla anlamak, graf analizinin neden bu kadar kritik olduğunu kavramak için önemli bir başlangıç noktasıdır. İşlemleri tek tek değil, birbirleriyle olan ilişkileri üzerinden analiz ederek geleneksel sistemlerin kaçırdığı kalıpları görünür kılar.

Graf Analizi Nedir?

Graf analizi, varlıklar (entity) arasındaki ilişkileri matematiksel bir graf yapısı üzerinde modelleme ve analiz etme yöntemidir. Temel kavramları anlamak, fraud tespitindeki gücünü kavramak için önemlidir.

Temel Kavramlar: Node, Edge ve Graph Database

Node (Düğüm): Graftaki her bir varlığı temsil eder. Bir müşteri, bir kredi kartı, bir IP adresi, bir cihaz veya bir sipariş — bunların her biri bir node’dur. Her node’un türünü ve özelliklerini belirten nitelikleri (attribute) vardır.
Edge (Kenar/Bağlantı): İki node arasındaki ilişkiyi temsil eder. “Müşteri A, Kart B’yi kullandı” veya “Sipariş C, Adres D’ye gönderildi” gibi bağlantılar edge olarak modellenir. Edge’ler yönlü (directed) veya yönsüz (undirected) olabilir ve zaman damgası gibi ek bilgiler taşıyabilir.
Graph Database (Graf Veritabanı): Node’ları ve edge’leri verimli şekilde depolayan, sorgulayan ve analiz eden özel veritabanı teknolojileridir. Geleneksel ilişkisel veritabanlarından farklı olarak, ilişki sorgularını çok daha hızlı gerçekleştirir. Neo4j, Amazon Neptune, TigerGraph ve JanusGraph bu alandaki öne çıkan teknolojilerdir.

Graflar, matematikteki graf teorisi üzerine kuruludur ve yüzlerce yıllık akademik birikime sahiptir. Ancak son yıllarda artan hesaplama gücü ve büyük veri kapasitesiyle birlikte, fraud tespiti gibi gerçek dünya problemlerinde pratik olarak uygulanabilir hale gelmiştir.

Fraud Tespitinde Graf Analizi Nasıl Çalışır?

Graf analizi ile fraud tespiti, tüm işlem ekosistemini bir ağ (network) olarak modellemeye dayanır. Her varlık bir düğüm, her etkileşim bir bağlantı olarak grafa eklenir ve sistem sürekli olarak şüpheli kalıpları arar.

Entity’ler (Node Türleri)

Bir e-ticaret veya finansal işlem grafında aşağıdaki varlıklar node olarak modellenir:

Müşteri: İsim, kayıt tarihi, hesap bilgileri
Sipariş: Sipariş numarası, tutar, tarih, durum
Ödeme Kartı: Kart hash’i, BIN numarası, son kullanma tarihi, kart türü
Cihaz: Cihaz parmak izi (device fingerprint), tarayıcı bilgisi, işletim sistemi
IP Adresi: IP, coğrafi konum, ISP bilgisi, VPN/proxy durumu
Teslimat Adresi: Adres metni, posta kodu, şehir, koordinatlar
E-posta Adresi: E-posta, domain bilgisi, oluşturulma tarihi
Telefon Numarası: Numara, hat türü (ön ödemeli/faturalı), operatör
Merchant (İş Yeri): Mağaza adı, kategori kodu (MCC), risk seviyesi

İlişkiler (Edge Türleri)

Bu varlıklar arasındaki ilişkiler edge olarak tanımlanır:

“kullandı” — Müşteri → Kart (ödeme için kullandı)
“sipariş verdi” — Müşteri → Sipariş
“bağlandı” — Müşteri → IP Adresi (bu IP’den bağlandı)
“gönderildi” — Sipariş → Teslimat Adresi
“kullandı” — Müşteri → Cihaz
“kaydoldu” — Müşteri → E-posta Adresi
“doğrulandı” — Müşteri → Telefon Numarası
“alışveriş yaptı” — Müşteri → Merchant

Gerçek Zamanlı Graf Güncelleme

Sistemin gücü, her yeni işlemin anında grafa eklenmesinden gelir. Bir müşteri sipariş verdiğinde, kullandığı kart, bağlandığı IP, kullandığı cihaz ve teslimat adresi eş zamanlı olarak grafa node ve edge olarak eklenir. Bu sayede graf sürekli büyür ve zenginleşir, ilişki ağı her işlemle daha net hale gelir.

Gerçek Dünya Senaryosu: 7 Temiz İşlem, 1 Fraud Halkası

Graf analizinin gücünü somut bir örnekle inceleyelim. Bu senaryo, geleneksel sistemlerin neden yetersiz kaldığını ve graf analizinin farkı nasıl yarattığını açıkça göstermektedir.

Senaryo: Farklı Görünen 7 Sipariş

Bir e-ticaret platformunda 48 saat içinde 7 farklı sipariş gelir:

Sipariş 1: Ahmet Y. — Kart *4521 — iPhone sipariş etti — İstanbul Kadıköy’e teslimat
Sipariş 2: Mehmet K. — Kart *8834 — MacBook sipariş etti — İstanbul Üsküdar’a teslimat
Sipariş 3: Ayşe D. — Kart *2267 — iPad sipariş etti — İstanbul Kadıköy’e teslimat
Sipariş 4: Fatma S. — Kart *6612 — AirPods sipariş etti — Ankara Çankaya’ya teslimat
Sipariş 5: Ali R. — Kart *3345 — PlayStation sipariş etti — İstanbul Ataşehir’e teslimat
Sipariş 6: Zeynep T. — Kart *7789 — Samsung TV sipariş etti — İstanbul Kadıköy’e teslimat
Sipariş 7: Can B. — Kart *1156 — Laptop sipariş etti — İstanbul Üsküdar’a teslimat

Klasik Sistemin Değerlendirmesi

Geleneksel kural tabanlı sistem her siparişi ayrı ayrı değerlendirir:

Her sipariş farklı bir müşteri adına → Normal
Her sipariş farklı bir kart ile ödendi → Normal
Tutarlar makul seviyede → Normal
Kartların hiçbiri kara listede değil → Normal
Sonuç: 7 siparişin tamamı onaylanır

Graf Analizinin Ortaya Çıkardıkları

Aynı 7 siparişi graf üzerinde analiz ettiğimizde bambaşka bir tablo ortaya çıkar:

IP bağlantısı: Sipariş 1, 2, 3 ve 5 → Aynı IP adresi (185.x.x.42). 4 farklı “müşteri” aynı IP’den bağlanmış.
Cihaz parmak izi: Sipariş 1, 6 ve 7 → Aynı cihaz parmak izi (aynı tarayıcı yapılandırması, ekran çözünürlüğü, yüklü fontlar). 3 farklı “müşteri” aynı cihazı kullanmış.
Teslimat adresi: Sipariş 1, 3 ve 6 → Aynı Kadıköy adresi. Farklı müşteriler ama aynı kapıya teslimat.
E-posta domain’i: 5 müşterinin e-posta adresi aynı geçici e-posta servisinden oluşturulmuş.
Zaman kalıbı: 7 siparişin tamamı gece 02:00-04:00 arası verilmiş.

Graf üzerinde bu 7 sipariş artık ayrı ayrı düğümler değil, yoğun şekilde birbirine bağlı bir küme (cluster) oluşturur. Her biri tek başına temiz görünse de, birlikte ele alındığında organize bir fraud halkasına işaret eder.

Sonuç: 7 “bağımsız” ve “temiz” işlem → 1 organize fraud halkası. Muhtemelen tek bir kişi veya küçük bir grup, çalıntı kart bilgileriyle sistematik alışveriş yapmaktadır.

İlişki Derinliği (Hop) Analizi

Graf analizinde “hop” kavramı, iki node arasındaki bağlantı mesafesini ifade eder. Bir hop, doğrudan bağlantı demektir; iki hop, bir aracı node üzerinden bağlantı demektir. Derinlik arttıkça daha geniş ilişki ağları ortaya çıkar.

1-Hop Analizi (Doğrudan Bağlantılar)

Bir müşterinin doğrudan bağlantılı olduğu tüm varlıkları gösterir: kullandığı kartlar, bağlandığı IP’ler, cihazları, adresleri. Bu seviye, en temel ve en hızlı analizdir. “Bu müşteri hangi kaynakları kullanıyor?” sorusuna yanıt verir.

2-Hop Analizi (Dolaylı Bağlantılar)

Bir müşterinin doğrudan bağlantılı olduğu varlıkların, başka hangi müşterilerle bağlantılı olduğunu ortaya koyar. Örneğin: Müşteri A → IP Adresi X → Müşteri B. Bu seviyede fraud halkaları belirgin hale gelmeye başlar. İki müşterinin aynı IP, aynı cihaz veya aynı adresi paylaşması bu derinlikte tespit edilir.

3-Hop ve Ötesi (Derin Bağlantılar)

Daha karmaşık ve organize fraud ağları için 3, 4 hatta 5-hop derinliğe inmek gerekebilir. Örneğin: Müşteri A → Cihaz X → Müşteri B → Kart Y → Müşteri C → Adres Z → Müşteri D. Bu derinlikte, birbirini hiç tanımıyor gibi görünen müşteriler arasındaki gizli bağlantılar ortaya çıkar.

Dikkat: Hop derinliği arttıkça analiz edilmesi gereken node ve edge sayısı üstel olarak büyür. Bu nedenle derinlik ile performans arasında dikkatli bir denge kurulmalıdır. Pratikte 2-3 hop çoğu fraud senaryosu için yeterlidir; 5-hop ve üzeri yalnızca özel soruşturmalarda kullanılır.

Fraud Halkaları (Fraud Rings) Nasıl Tespit Edilir?

Fraud halkası, birbirine çeşitli varlıklar üzerinden bağlı olan ve koordineli şekilde dolandırıcılık yapan bir grup hesabı ifade eder. Bu halkaların tespiti, graf analizinin en değerli çıktılarından biridir.

Connected Component Analizi

Graftaki bağlı bileşenler (connected components), birbirine doğrudan veya dolaylı olarak bağlı olan node kümelerini tespit eder. Normal koşullarda, her müşteri nispeten izole bir component oluşturur — kendi kartı, kendi cihazı, kendi adresi vardır ve başkalarıyla çok az ortak noktası bulunur.

Ancak fraud halkaları, anormal derecede büyük ve yoğun bağlı component’lar olarak öne çıkar. Birden fazla müşteri hesabının aynı cihazı, IP’yi veya adresi paylaşması, bu component’ın şüpheli olduğuna işaret eder. Algoritma şu şekilde çalışır:

Graftaki tüm bağlı bileşenler hesaplanır
Her bileşenin boyutu (node sayısı) ve yoğunluğu (edge sayısı / olası edge sayısı) ölçülür
Belirli eşikleri aşan bileşenler otomatik olarak inceleme kuyruğuna alınır
Bileşen içindeki paylaşılan varlıklar (ortak IP, cihaz, adres) raporlanır

Merkezi Düğüm (Hub) Tespiti

Bir fraud ağında bazı düğümler diğerlerinden çok daha fazla bağlantıya sahiptir. Bu merkezi düğümler (hub), genellikle dolandırıcıların ortak kullandığı kaynakları temsil eder ve ağın kritik noktalarıdır.

Hub tespiti için çeşitli merkezilik (centrality) ölçütleri kullanılır:

Derece merkeziliği (Degree Centrality): Bir node’a bağlı edge sayısı. Çok sayıda farklı müşteriye bağlı bir IP adresi yüksek derece merkeziliğine sahiptir.
Arasındalık merkeziliği (Betweenness Centrality): Bir node’un, diğer node çiftleri arasındaki en kısa yollar üzerinde ne sıklıkla bulunduğu. Fraud ağının “köprü” noktalarını tespit eder.
Yakınlık merkeziliği (Closeness Centrality): Bir node’un diğer tüm node’lara olan ortalama uzaklığı. Ağın merkezindeki düğümleri bulur.

Örneğin, bir cihaz parmak izinin 15 farklı müşteri hesabıyla ilişkilendirilmiş olması, o cihazın bir fraud operasyonunun merkezi olduğunu güçlü şekilde gösterir. Bu cihazı kullanan tüm hesaplar otomatik olarak yüksek risk grubuna alınabilir.

Graph Database Teknolojileri

Graf analizinin pratikte uygulanabilmesi için özel veritabanı teknolojilerine ihtiyaç vardır. İlişkisel veritabanları (SQL), ilişki sorgularında çok sayıda JOIN işlemi gerektirir ve bu, büyük veri setlerinde son derece yavaş kalır. Graph database’ler ise ilişkileri doğal yapıları olarak depolar ve sorgular.

Öne Çıkan Teknolojiler

Neo4j: En yaygın kullanılan graf veritabanı. Cypher sorgu dili ile güçlü ve okunabilir sorgular yazılabilir. Topluluk desteği geniştir ve fraud tespiti için hazır algoritmalar sunar.
Amazon Neptune: AWS bulut ekosistemiyle entegre çalışan yönetilen graf veritabanı servisi. Gremlin ve SPARQL sorgu dillerini destekler.
TigerGraph: Yüksek performanslı, dağıtık graf veritabanı. Gerçek zamanlı derin bağlantı analizi (deep link analytics) konusunda güçlüdür ve özellikle büyük ölçekli fraud tespiti senaryolarında tercih edilir.
JanusGraph: Açık kaynaklı, ölçeklenebilir graf veritabanı. Apache TinkerPop framework’ü üzerine kuruludur ve çeşitli depolama arka uçlarıyla (Cassandra, HBase) çalışabilir.

Teknoloji seçiminde veri hacmi, sorgu karmaşıklığı, gecikme süresi gereksinimleri ve mevcut altyapı belirleyici faktörlerdir. Fraud tespiti için gerçek zamanlı sorgu performansı kritik öneme sahiptir; çünkü bir işlemin onay/ret kararı milisaniyeler içinde verilmelidir.

Force-Directed Görselleştirme

Graf analizinin en güçlü yanlarından biri, karmaşık ilişki ağlarını görsel olarak anlaşılır hale getirmesidir. Force-directed (kuvvet yönlendirmeli) algoritmalar, grafı fizik simülasyonu prensiplerine göre yerleştirir:

Bağlı düğümler birbirini çeker (yay kuvveti gibi)
Bağlı olmayan düğümler birbirini iter (elektrik yükü gibi)
Sonuçta doğal kümeler ve kalıplar görsel olarak belirginleşir

Bu görselleştirme sayesinde fraud analistleri, binlerce düğüm arasındaki şüpheli kümelenmeleri hızla fark edebilir. Bir fraud halkası, görselleştirmede yoğun şekilde iç içe geçmiş bir düğüm kümesi olarak öne çıkar ve normal müşteri davranışından net şekilde ayrışır.

Etkili görselleştirme aynı zamanda soruşturma süreçlerini hızlandırır. Bir analist, şüpheli bir hesabın 2-hop çevresini görselleştirerek ilişkili tüm varlıkları ve diğer hesapları saniyeler içinde görebilir — bu, tablolar ve raporlarla saatler sürecek bir analizin dakikalar içinde yapılmasını sağlar.

Graf Analizi vs Kural Tabanlı Sistemler

İki yaklaşım arasındaki temel farkları anlamak, fraud tespit stratejisi oluştururken kritik önem taşır:

Kural Tabanlı Sistemler

Her işlemi bağımsız olarak değerlendirir
Önceden tanımlanmış kurallara göre karar verir
Bilinen fraud kalıplarını yakalar
Yeni ve karmaşık kalıpları kaçırır
Kural sayısı arttıkça yönetim zorlaşır
Organize fraud’a karşı büyük ölçüde kördür

Graf Analizi

İşlemleri ilişkileri bağlamında değerlendirir
Varlıklar arasındaki bağlantı kalıplarını analiz eder
Daha önce görülmemiş fraud kalıplarını keşfedebilir
Organize fraud halkalarını doğal olarak tespit eder
Görselleştirme ile insan analistlere güçlü destek sağlar
İlişki zenginleştikçe tespit gücü artar

Önemli not: Bu iki yaklaşım birbirinin alternatifi değil, tamamlayıcısıdır. En etkili fraud tespit sistemleri, kural tabanlı hızlı filtreleme ile graf tabanlı derin analizi bir arada kullanır. Kural tabanlı sistem ilk savunma hattı olarak bariz fraud’u yakalarken, graf analizi arka planda ilişki ağlarını sürekli tarayarak organize dolandırıcılığı tespit eder.

Graf Analizinin Temel Avantajları

1. Organize Fraud’u Tespit Eder

Graf analizinin en belirgin avantajı, organize dolandırıcılık halkalarını tespit edebilmesidir. Tek başına zararsız görünen işlemler arasındaki gizli bağlantıları ortaya çıkararak, koordineli saldırıları deşifre eder. Geleneksel sistemlerin büyük ölçüde kör olduğu bu alan, graf analizinin en güçlü olduğu yerdir.

2. False Positive Oranını Düşürür

Kural tabanlı sistemler, sıklıkla meşru işlemleri yanlışlıkla fraud olarak işaretler. Örneğin, bir müşteri tatilde farklı bir şehirden alışveriş yapıyor olabilir. Graf analizi, bu müşterinin geçmiş ilişki ağını inceleyerek tutarlı bir davranış kalıbı görür ve gereksiz alarmı önler. Öte yandan, gerçek fraud durumlarında ilişki ağındaki anomaliler çok daha belirgin olduğu için hem hassasiyet (precision) hem de duyarlılık (recall) artar.

3. Yeni Fraud Kalıplarını Keşfeder

Kural tabanlı sistemler yalnızca bilinen kalıpları yakalayabilir. Bu sistemler risk skorlama ile birlikte çalıştığında daha etkili olsa da, ilişki bazlı tespitte hâlâ sınırlı kalır. Graf analizi ise önceden tanımlanmamış kalıpları keşfedebilir. Grafta oluşan anormal kümelenmeler, beklenmedik bağlantı kalıpları veya olağandışı merkezi düğümler, daha önce hiç görülmemiş fraud tekniklerinin erken sinyallerini verebilir. Bu keşif yeteneği, sürekli evrim geçiren dolandırıcılık tekniklerine karşı proaktif savunma sağlar.

Uygulama Zorlukları ve Çözümleri

Graf analizinin fraud tespitindeki faydaları açık olmakla birlikte, uygulamada çeşitli zorluklarla karşılaşılabilir. Bu zorlukları önceden bilmek ve planlı şekilde ele almak, başarılı bir implementasyon için gereklidir.

Veri Hacmi ve Performans

Büyük ölçekli sistemlerde milyarlarca node ve edge olabilir. Bu hacimde gerçek zamanlı sorgu yapmak ciddi altyapı gerektirir.

Çözüm: Graf veritabanının yatay ölçeklendirme (sharding) yeteneklerinden faydalanılır. Sorguların kapsamı sınırlandırılır — örneğin, her sorguda tüm graf yerine belirli bir zaman penceresi veya bölge ile filtreleme yapılır. Sık kullanılan sorgu sonuçları önbelleğe alınır.

Veri Kalitesi ve Entegrasyon

Farklı kaynaklardan gelen verilerin tutarlı şekilde grafa eklenmesi, veri kalitesinin sürekli kontrol edilmesi gerekir. Eksik veya hatalı bağlantılar, yanlış sonuçlara yol açabilir.

Çözüm: Veri pipeline’larında doğrulama katmanları oluşturulur. Entity resolution (varlık eşleme) teknikleri kullanılarak aynı varlığın farklı kaynaklardaki temsilleri birleştirilir. Düzenli veri kalitesi denetimleri yapılır.

Sürekli Büyüyen Graf

Graf her işlemle büyür. Zamanla eski ve artık ilgisiz veriler performansı düşürebilir.

Çözüm: Zaman bazlı arşivleme stratejileri uygulanır. Belirli bir süreden eski node’lar ve edge’ler “soğuk” depolamaya taşınır. Aktif graf, yalnızca güncel ve ilgili verileri içerir, bu da sorgu performansını optimize eder.

False Positive Yönetimi

Graf analizi güçlü olmakla birlikte, her güçlü bağlantı fraud anlamına gelmez. Aynı aileye ait bireyler veya aynı iş yerindeki çalışanlar doğal olarak bazı varlıkları paylaşabilir.

Çözüm: Bağlantı puanlama modelleri geliştirilir. Her edge türüne risk ağırlığı atanır; örneğin cihaz paylaşımı, adres paylaşımından daha yüksek risk taşıyabilir. Bilinen meşru paylaşımlar (aile hesapları, kurumsal IP’ler) için istisnalar tanımlanır. Makine öğrenmesi modelleri ile zaman içinde puanlama iyileştirilir.

Uzmanlık ve Ekip Gereksinimi

Graf analizi, geleneksel yazılım geliştirmeden farklı bir uzmanlık alanıdır. Graf algoritmaları, sorgu optimizasyonu ve görselleştirme konularında deneyimli ekip üyelerine ihtiyaç vardır.

Çözüm: Mevcut ekibin eğitimi için yatırım yapılır. Başlangıçta küçük ölçekli bir pilot proje ile deneyim kazanılır. Gerekirse graf teknolojileri konusunda uzman danışmanlardan destek alınır. Açık kaynak toplulukları ve eğitim kaynakları aktif şekilde kullanılır.

Sonuç: İlişkileri Görmek, Fraud’u Görmektir

Graf analizi, fraud tespitinde paradigma değişikliği yaratan bir yaklaşımdır. İşlemleri izole olaylar olarak değil, birbirine bağlı bir ağın parçaları olarak görmeyi sağlar. Modern dolandırıcıların en büyük silahı — tek tek temiz görünen ama organize şekilde yürütülen işlemler — graf analizinin en güçlü olduğu alandır.

Geleneksel kural tabanlı sistemlerin tamamlayıcısı olarak konumlandırıldığında, graf analizi fraud tespit oranlarını önemli ölçüde artırırken false positive oranlarını düşürür. Makine öğrenimi modelleri ile birleştirildiğinde bu etki daha da güçlenir. Ayrıca daha önce görülmemiş dolandırıcılık kalıplarının keşfedilmesine olanak tanır.

İlişkileri görebilen bir sistem, fraud’u görür. Göremeyen bir sistem ise her zaman bir adım geride kalır.