€1 за раз: система по предотвращению финансовых преступлений без соблюдения требований, созданная, чтобы видеть

Что покупают эти платежи

Каждый перевод — один евро. Иногда два. Они уходят с одного и того же счета в быстрой последовательности в течение одного и того же месяца. Они поступают десяткам разных получателей — счетам, не имеющим видимой связи, а в некоторых случаях — через границы.

Эти платежи задокументированы — в регуляторных отчетах FATF, FinTRAC и AUSTRAC — как используемые для покупки доступа к материалам детской сексуальной эксплуатации: видео, фотографий и сеансов, транслируемых в прямом эфире, которые отправитель направляет в реальном времени.

Это не гипотетический случай. Согласно отчету FATF за 2024 год об онлайн-сексуальной эксплуатации детей, это задокументированная платежная типология для конкретной и растущей категории финансовых преступлений — той, что в основном проходит через мобильные денежные сети и платформы денежных переводов, а не через банки. В 2025 году FinTRAC обновил свои операционные рекомендации, чтобы отразить измеримое увеличение этого паттерна. AUSTRAC выделил это в отдельную категорию для отчетности о подозрительных материалах.

Инфраструктура существует. Платежи происходят. В основном отсутствует возможность автоматически обнаруживать их в масштабе внутри транзакционных данных, которыми уже располагают операторы.

Проблема, которую никто не решает

Рассмотрим один счет, наблюдавшийся в течение нескольких дней. Он отправил 396 транзакций. Медианное значение: €1.00. Общий исходящий объем: €485. Собственный входящий баланс peer-to-peer: ноль — вся ликвидность поступила из нескольких операций cash-in.

Этот счет не «сборщик». Это «распределитель». Он получает средства извне сети, а затем сразу же разбрасывает их наружу микросуммами на большое число различных получателей.

Этот паттерн — центральный узел, который загружает средства через cash-in и затем «раскрывается» в десятки переводов низкой стоимости — это то, что мы называем Скоординированным паттерном микропереводов (CMTP). У него есть конкретная топология сети, конкретный временной отпечаток и конкретное сочетание измеримых характеристик, которые отличают его от легитимной высокообъемной активности.

Традиционные системы AML его не обнаруживают. Не потому, что данных нет — они есть. Потому что эти системы не были спроектированы, чтобы видеть структуру. Они были созданы, чтобы видеть транзакции.

Преступление — не в транзакции. Оно — в структуре.

Почему текущие системы ничего не видят

Правиловая комплаенс-инфраструктура работает с простой логикой: задайте пороги, отслеживайте нарушения, помечайте отклонения от известных паттернов. Она была построена для другой модели угроз — крупные суммы, немного счетов, четкая направленность.

Здесь она не работает по четырем конкретным причинам.

Суммы по замыслу ниже порога. Один евро — не подозрительная транзакция. Не подозрительны и два евро. Правонарушение не находится в какой-либо отдельной оплате. Оно находится в совокупном поведении сотен платежей с одного счета к множеству получателей в сжатом временном окне. Правила оценивают строки. Этот паттерн живет в форме данных.

Анализ отдельных транзакций упускает топологию. Офицер комплаенса, просматривающий журнал, видит список. Те же данные, отображенные как граф, раскрывают «звезду»: один центральный узел с десятками исходящих ребер, финансируемый операцией cash-in, отправляющий однородные микросуммы быстро одна за другой. Такая форма сразу выглядит аномальной. В табличном виде это невидимо.

Статические снимки упускают поведенческие переходы. Счета, участвующие в этом паттерне, со временем не ведут себя последовательно. Они демонстрируют статистические точки изменения — моменты, когда свойства временного ряда транзакций резко смещаются. До cash-in: почти неактивны. После: высокочастотная исходящая активность в течение минут. Этот переход — поведенческий «сигнатурный» отпечаток. Он не появляется ни в одном статическом отчете комплаенса.

Идентификационно-центрированные модели упускают паттерны, ориентированные на поток. Вопрос «кажется ли этому человеку подозрительным?» менее силен, чем вопрос «выглядит ли эта структура подозрительно?». Второй — сложнее обойти, более последователен между юрисдикциями, и обнаруживается без необходимости информации об идентичности.

Две структуры — одно преступление

Данные показывают не один паттерн, а две взаимодополняющие структуры, которые часто появляются вместе в той же сети транзакций.

Узловой распределитель. Держатель счета выполняет cash-in, затем сразу же «раздувает» микропереводы в сторону множества получателей. Это покупатель — или посредник, действующий от имени покупателей.

Узловой сборщик. Счет, который получает микропереводы из многих источников и накапливает их без перераспределения. Это инфраструктура получателя — счет, находящийся у посредника, который собирает платежи от множества покупателей перед единственным событием cash-out.

Обе структуры аномальны. Обе обнаруживаются с помощью анализа графов. Обе появляются в задокументированной типологии для финансирования детской сексуальной эксплуатации и злоупотреблений. Эффективная система обнаружения должна идентифицировать обе — и распознавать, когда они существуют рядом в рамках одной и той же сети транзакций.

Временное измерение

Счет, описанный выше, наблюдался примерно в течение одного месяца. Его поведение не было постоянным.

Средства загружаются на счет держателем перед перераспределением. Что происходит после каждого cash-in, в течение часов, — это каскад исходящих микропереводов. Время, прошедшее между cash-in и первым исходящим переводом, измеряется минутами. Количество переводов далее является непоследовательным по сравнению с любым нормальным паттерном личных расходов.

Для выявления этого нужно анализировать не то, как выглядит счет в конкретный момент времени, а то, как и когда меняется его поведение. Обнаружение точек изменения, примененное к потокам транзакций мобильных денег, автоматически выявляет этот переход в масштабе — по миллионам счетов, возвращая конкретную подвыборку, которая сочетает описанную выше структурную топологию с поведенческим сдвигом, видимым во временном представлении.

Что требуется от операторов

Платежные сервисы подчиняются Рекомендации FATF 16, которая требует мониторинга транзакций пропорционально задокументированным типологиям риска. Низкозначимые переводы высокой частоты, демонстрирующие сигнатуру CMTP, подпадают под конкретные рекомендации, выпущенные FATF, FinTRAC и AUSTRAC в связи с финансированием детской сексуальной эксплуатации и злоупотреблений.

Чтобы выполнить это обязательство, необходима способность отвечать на пять вопросов о любом счете в сети:

2. Показывает ли этот счет поведение типа fan-out или sink, несовместимое с его профилем?

3. Является ли распределение сумм транзакций аномально равномерным — высокий коэффициент Джини?

4. Произошла ли статистически значимая точка изменения в скорости транзакций в заданном окне?

5. Соответствует ли время между поступлениями независимому поведению людей, или же это сценарно согласованная отправка?

6. Есть ли у сетевого окружения счета признаки скоординированной активности?

Это не те вопросы, на которые, как правило, спроектированы правиловые системы, развернутые в большинстве инфраструктур комплаенса MSB. Они требуют анализа структур на основе графов, обнаружения точек изменения во времени и многофакторного поведенческого профилирования — применяемых непрерывно, в масштабе, по полному графу транзакций.

Пробел в инфраструктуре

Описанные в этой статье паттерны не являются теоретическими. Они присутствуют — задокументированные, измеримые и структурно отличимые — внутри данных транзакций мобильных денег. Аналитические методы для их обнаружения существуют. Регуляторное обязательство действовать по ним однозначно.

Остается только пробел в инфраструктуре: дистанция между тем, что системы комплаенса были созданы искать, и тем, что при правильном анализе действительно показывает данные.

Вопрос не в том, существуют ли эти паттерны в вашей сети сегодня. Вопрос в том, смотрит ли кто-то.

Ссылки

• FATF — Detecting, Disrupting and Investigating Online Child Sexual Exploitation (2024)

• FinTRAC — Operational Alert: Indicators of Online Child Sexual Exploitation (2025)

• AUSTRAC — Financial Crime Guide: Child Sexual Exploitation Transactions (2024)

• University of Nottingham Rights Lab — Payment Methods and Investigation of Financial Transactions in OSEC Cases (2023)

• ACAMS — How Human Traffickers Exploit the Financial System for Child Sexual Abuse (2025)