Фрод-схемы за 3 года

Ретроспективный разбор живой БД fuel_prod1 (oktane, PostgreSQL), снято read-only 24.07.2026: окно 2023-07 — 2026-07, 3,88 млн транзакций, ≈49 млрд ₽ оборота. Ниже — не гипотезы, а 4 паттерна, которые реально нашлись в данных за это время: один серийный (каталась месяцами до июльского кейса), один хронический («карта-конвейер»), один — финансовая уязвимость синка с ВИНК, и один — растущий кандидат прямо сейчас.

Методологическая сноска. «Источник: боевая БД fuel_prod1 (PostgreSQL), выгрузка 25.07.2026. Суммы — чистый оборот: покупки за вычетом возвратов топлива (FinanceTransaction.OperationType). Окно кейса 07/2026: 02–20.07.2026, 13 карт. Все дневные числа и профили карт — фактические строки транзакций, не модель. Регионы — по RegionId АЗС. Ретроспективная симуляция скоринга помечена отдельно.»

Объём анализа

3,88 млн

проанализировано транзакций

≈49 млрд ₽

оборот за 3 года

2023-07 → 2026-07

окно анализа, 3 года

найденных фрод-паттерна

Сводка схем

Схема	Сигнатура	Период	Масштаб	Статус
Клонирование / «прокат» реквизитов	Карта заправляется с интервалом 0 мин в разных регионах, 3–9 регионов/день	фев–июль 2026 (серия) + кейс 07/2026	≈26,2 млн ₽ net + 4 115 482 ₽ net	подтверждена
«Карта-конвейер»	Обычная карта месяцами делает 30–97 заправок в день	фев 2025 – июнь 2026	≈149,7 млн ₽ net	подтверждена
Двойные списания ВИНК	Один TransactionNumber проведён дважды-трижды по одной карте в день	2023-07 – 2026-07 (3 года)	не подтверждено (4 гр. / 3 460 ₽)	потенциальная уязвимость
Стабильные суммы	Малое число уникальных сумм, чек не «рваный»	09–22.07.2026 (активна)	127 тыс ₽	кандидат

Разбор по схемам

СХЕМА 1 Клонирование / «прокат» реквизитов карт — серийная подтверждена

Сигнатура. Одна карта совершает заправки с интервалом 0 минут в разных точках; за день — 3–9 регионов; темп 20–90 заправок/день. Эпилог каждого эпизода — административная блокировка карты платформой.

Карта	Период	Заправок	Оборот	Темп
…4129	03–08.06.2026	347	4,33 млн ₽ net за 6 дней	до 85/день
…1531	янв–июнь 2026	204	8,38 млн ₽ net	до 33/день, 3 региона/день
…8472	фев–май 2026	126	5,7 млн ₽ net	5 регионов/день
…3682	01–18.06.2026	152	3,57 млн ₽ net	4 региона/день
…4185	03–07.06.2026	77	2,98 млн ₽ net за 5 дней	до 35/день
…6345	11.06–13.07.2026	143	1,22 млн ₽ net	47/день, 9 регионов/день

Примеры. Суммарно серия ≈26,2 млн ₽ net оборота (за вычетом возвратов) — все шесть карт в итоге заблокированы платформой административно, каждый эпизод гасили постфактум, системного детектора на момент этих эпизодов не было. Плюс детально разобранный кейс 07/2026: 13 карт, 4 115 482 ₽ net оборота, оценка невозмещённого ущерба ≈3,5 млн ₽ (подтверждена как net-оборот ядра 7 карт — 3 570 777 ₽). Вывод: июльский кейс — не первый, та же сигнатура каталась минимум с февраля 2026 с эскалацией темпа.

Какой детектор ловит. D-04 Impossible travel — главный сигнал: интервал 0 минут между заправками одной карты в разных регионах физически невозможен для одной машины. Плюс D-03 Velocity — темп 20–90 заправок/день против нормы 1–3.

СХЕМА 2 «Карта-конвейер» — физическая карта с промышленным темпом подтверждена

Сигнатура. Обычная (не виртуальная) топливная карта месяцами делает 30–97 заправок в день. Это не машина — это точка раздачи топлива неограниченному кругу лиц (прокат карты / обнал топлива мимо правил перепродажи).

Карта(ы)	Период	Оборот	Темп
…6673	май 2026	15,8 млн ₽ net за один месяц	898 покупок, ~29/день в среднем
…6673	фев 2025 – июнь 2026, burst-дни (≥10 заправок/день)	45,3 млн ₽ net	суммарно за полтора года burst-активности
Группа из 6 карт одного клиента-агрегатора (…6673, …6676, …6677, …5885, …5886, …5887; все по сети ГПН)	1,5 года, burst-дни	≈149,7 млн ₽ net	все заблокированы платформой административно

Примеры. Карта-рекордсмен …6673 — 15,8 млн ₽ net за один месяц (май 2026), в среднем 29 заправок в день (898 покупок). Ключевой факт: события длились месяцами до блокировки — это не вспышка, а постоянно действующая точка раздачи топлива.

Какой детектор ловит. D-03 Velocity ловит такой профиль в первый же день — 30–97 заправок/день против персональной нормы 1–3/день не требует истории для срабатывания.

СХЕМА 3 Двойные списания по номеру транзакции ВИНК — проверено, ущерб не подтверждён потенциальная уязвимость

Сигнатура. Один и тот же TransactionNumber поставщика топлива (ВИНК) проведён в системе дважды-трижды по одной карте в один день. За 3 года практически весь объём — по сети ГПН. Разбор с учётом возвратов показывает: почти все такие пары — легитимное сторно (покупка + возврат), а материального ущерба по двойным списаниям не подтверждено (см. таблицу).

Тип дубля	Групп	Сумма	Комментарий
Легитимное сторно (покупка + возврат под одним TransactionNumber)	5 076	— (не ущерб)	механика возврата топлива, не ошибка синка
Реальный полный дубль (без возврата)	4	3 460 ₽	подтверждённый лишний повтор, точечная сверка
Прочее (та же карта, разные суммы — допроводки/коррекции)	232	≈2,1 млн ₽	характер не определён, на выборочную сверку

Примеры. Из 5312 групп дублей номера ВИНК 5076 групп (96%) — легитимные пары покупка+возврат под одним TransactionNumber: это механика сторно при возврате топлива, а не ошибка синка. Реальных полных дублей без возврата — всего 4 группы на 3 460 ₽. Ещё 232 группы «прочее» (разные суммы, допроводки/коррекции) на ≈2,1 млн ₽ — характер не определён, требуют выборочной ручной сверки. Итог: материального ущерба по двойным списаниям не подтверждено. Потенциальная уязвимость идемпотентности синка с ВИНК остаётся гипотезой на будущее, а не найденной потерей.

Какой детектор ловит. D-05 Дубли номеров транзакций ВИНК нужен как онлайн-предохранитель — группировка по (VinkType, TransactionNumber) ловит повтор в момент синка, до того как он попадёт в базу, а не как индикатор уже найденных потерь.

СХЕМА 4 Стабильные суммы — живой кандидат прямо сейчас кандидат

Сигнатура. Карта делает серию заправок с малым числом уникальных сумм и без обычной «рваности» чека — классическая сигнатура фиктивных чеков.

Примеры. Карта …8796: 33 заправки за две недели (09–22.07.2026), из них всего 3 уникальные суммы, средний чек ~3,9 тыс ₽. Карта активна на момент анализа (24.07.2026). Масштаб пока малый — 127 тыс ₽, но растёт — кандидат на разбор, не подтверждённый случай.

Какой детектор ловит. D-06 Подозрительно стабильные / круглые суммы — малое число уникальных сумм на активной карте с достаточной историей транзакций.

Что чисто

Проверено отдельно — по трём направлениям сигналов не найдено:

чисто Транзакции по картам с истёкшим сроком действия — 0 значимых случаев.
чисто Массовые offline-проводки — доля ничтожна.
чисто Карты, «гуляющие» между >2 компаниями — не обнаружено.

Методический вывод: виртуальные карты

Виртуальные карты перепродажи (Cards.IsVirtual) легитимно «светятся» в десятках регионов и сотнях заправок за один период — их используют разные конечные клиенты, это нормальная бизнес-модель, а не фрод. Детекторы гео/velocity (D-04, D-03) обязаны либо фильтровать виртуальные карты, либо вести для них отдельные, более высокие пороги — иначе ложные срабатывания утопят разбор в шуме. Уже отражено в алгоритмах обоих детекторов в каталоге.

Данные сняты с прод-БД fuel_prod1 (oktane, PostgreSQL, read-only) 24.07.2026, анонимизировано: карты только маской «…NNNN», компании без названий и внутренних id. Суммы на этой странице — оборот по картам с фрод-сигнатурой, не подтверждённый ущерб (кроме кейса 07/2026, где отдельно указана оценка невозмещённого ущерба ≈3,5 млн ₽ на странице кейса). Все перечисленные эпизоды завершились административной блокировкой карт платформой. Вводный объём (3,88 млн транзакций, ≈49 млрд ₽) — валовый оборот всей системы за 3 года, отдельная метрика, с net-суммами схем ниже не смешивается.

Методика (обновлено 25.07.2026): все суммы схем 1 и 2 — чистый оборот (покупки за вычетом возвратов топлива, OperationType=Возврат). Долг и дебиторка — остаток по контрактам, отдельная метрика. Оценки по двойным списаниям (схема 3) сняты после проверки: почти все дубли номеров ВИНК — легитимные пары покупка+возврат, материального ущерба не найдено.