Makine Öğrenimi ile Dolandırıcılık Tespiti: Anomali Analizi Uygulamaları

Son güncelleme: Mart 2026 • Okuma süresi: ~12–15 dk

Açılış: Bir Gün, 17:40’ta…

Ekip dağılmak üzereydi. O an, ekranda küçük ama inatçı bir sinyal belirdi. “Anomali skoru” bir cüzdan için hızla yükseldi. Ardışık üç iade denemesi, iki yeni cihaz, ve aynı IP blok içinde beş farklı kart. Zaman akıyordu. Analist, eşiği düşürdü, işlem akışını “beklet” moduna aldı. Altı dakika içinde zarar zinciri durdu. Kimse kahramanlık yapmadı; doğru veri, doğru anda, sade bir skor yetti.

Bu sahne kurgu değil. Bu, anomali odaklı yaklaşımın değeri. Etiket yoksa bile sinyal var. Kural kırılıyorsa, sinyal akar. Hız, net eşik ve iyi geri bildirim ile kayıp düşer. Teori sonra gelir.

Hızlı Çerçeve: Neyi, Neden, Nasıl?

Anomali analizi, “normal” akışı öğrenir ve sapmaları işaretler. Denetimli sınıflandırma ise etiketli dolandırıcılık örnekleri ister. Gerçekte ikisine de ihtiyaç var. Yeni taktikler her gün çıkar. Etiket gecikir. Bu boşluğu anomali kapatır. Bu yüzden 2026’da kritik olan şey: gerçek zamanlı izleme, kayma (drift) takibi, ve anlaşılır kararlar.

Risk ekibi için çerçeve nettir: tehdit modeli → veri → özellikler → model → eşik → aksiyon → geri bildirim. Sürece risk-temelli yönetişim eşlik eder. Bu adımları, NIST AI Risk Management Framework ile uyumlu kurarsanız, hem güven hem performans artar.

Kavramların Dağarcığı

• Denetimsiz vs. Yarı Denetimli: Etiket azsa denetimsiz başlar, ufak güvenli etiketlerle yarı denetimli ilerler. Özet için bkz. ACM’de yayımlanan anomali tespiti araştırması.
• İzleme ve Drift: Veri dağılımı kayarsa, skorlar bozulur. Girdi, özellik, etiket akışını izleyin.
• Skor ve Eşik: Skor tek başına yetmez. İş maliyeti ile kalibre edilmiş eşik gerekir.
• Alarm Yorgunluğu: Çok alarm körlük yaratır. Günlük kota, öncelik ve toplu kapatma şarttır.
• Öğrenme Döngüsü: Etiket toplama, analist geri bildirimi ve düzenli yeniden eğitim bir döngüdür.
• Gerçek Zaman: Gecikme (latency) düşük olmalı. 150–300 ms çoğu ödeme için sınırdır.
• Açıklanabilirlik: Kararı savunmak için özellik katkıları ve örnek bazlı açıklama gerekir.

Uygulama Seçimi: “En İyi” Yok, “Uygun” Var

Algoritmalar araçtır. Bağlama göre değişir. Altyapı, veri hacmi, etiket imkânı, yasal yükümlülük, hepsi seçimde rol oynar. Örnek: çevrim içi ödemede saniyeler kritiktir. Basit, hızlı bir yöntem pahalı bir “mükemmel” modelden daha değerlidir. Teknik ayrıntı isteyenler için: scikit-learn IsolationForest dokümantasyonu.

Vaka Kırılımı: Kartlı Ödemelerde Zincir Anomaliler

Kart akışında dolandırıcı tekil işlemle değil, zincir ile gelir. Hız (velocity) özellikleri bu yüzden güçlüdür: dakika başı deneme sayısı, başarısız/başarılı oranı, cihaz parmak izi çeşitliliği, coğrafi atlama. Ağ tabanlı özellikler ise hesap, cihaz, IP, kart arasındaki bağları gösterir. Bu ağda “merkez” olan düğümler şüphe doğurur.

Üretim mimarisi kurarken, bulut referanslarını incelemek işinizi hızlandırır. Örneğin Google Cloud ile dolandırıcılık tespiti referans mimarisi veri alımı, akış işleme ve çevrim içi çıkarımı net adımlarla sunar. Metrik tarafında, nadir olaylarda ROC-AUC yanıltabilir. PR-AUC daha duyarlıdır; pozitif sınıfın seyrek olduğu kart sahtekarlığında bu fark önemlidir.

Metrikler ve Yanılgılar

Operasyonun maliyeti metrikten başlar. Yanlış pozitif (FPR) müşteri kaybı ve itibar riski yaratır. Sadece doğruluk değil, beklenen maliyet (cost) odaklı değerlendirme gerekir. PR-AUC, F1, ve işlem başı zarar tahmini (expected loss) birlikte izlenmelidir. Güncel veriler için bkz. UK Finance Fraud the Facts raporu.

Eşik ayarı tek seferlik değildir. Hafta içi/sonu, kampanya dönemi, gece/gündüz farklıdır. Eşiği dinamik tutun: işletme yükü, analist kapasitesi ve geri dönüş oranına göre. Uyarı başına tacir (alert-per-merchant) ve uyarıdan eyleme dönüşüm (alert-to-action) gibi yalın ama etkili metrikler ekibi diri tutar.

Mimarinin İskeleleri: Veri Hattı ve Gözlemlenebilirlik

Akış şöyle çalışır: olay alımı (Kafka/Kinesis) → özellik deposu (online/offline) → çevrim içi çıkarım servisi → karar motoru → geri bildirim. Bu hattı kurarken MLOps ilkelerini uygulayın: versiyonlama, test, sürekli dağıtım. Başlangıç için MLOps kılavuzu yol gösterir. Alternatif olarak yönetilen servisler de var: AWS Fraud Detector nedir? sorusunun yanıtı pratik örneklerle gelir. Microsoft tarafında ise Azure Anomaly Detector akış senaryolarında işe yarar.

Gözlemlenebilirlik zorunludur. İzleyin: gecikme, hata oranı, “kararsız” çıkarım yüzdesi (abstain), drift alarmları, açıklama günlüğü. Gölge (shadow) ve kanarya (canary) dağıtımla riski bölün. Model geri çekme (rollback) planı masada dursun.

Yasal ve Etik Kenarlar (TR Odaklı)

Türkiye’de kişisel veri için KVKK yükümlülükleri açık: veri minimizasyonu, amaçla sınırlılık, aydınlatma, saklama süresi. Finansal suçla mücadelede MASAK rehber ve mevzuat kayıt tutma ve şüpheli işlem bildirimlerinde yol gösterir. Kart verisi işleyenler için PCI Security Standards Council gereksinimleri bağlayıcıdır.

Etik taraf basittir: yanlış alarmlar müşteriyi incitir. Orantılılık ve şeffaflık esastır. Tehdit görünümü için Avrupa siber kurumu ENISA tehdit manzarası güncel trendleri sunar. İtiraz süreçleri ve müşteri desteği net olmalı. Kararı anlatmak, ilişkiyi korur.

Sektör Vitrini: iGaming ve Mikro-Davranış İpuçları

iGaming alanında “bonus kötüye kullanımı” ve “çoklu hesap” sık görülür. Sinyaller nettir: aynı cihazdan yeni hesap dalgası, ilk gün yüksek bonus tüketimi, anlık para çekme ve coğrafi atlama. Cihaz kümeleme (device clustering) ve geovelocity burada büyük fark yaratır. Anomali skoru tek başına yetmez; davranış zincirini daima izleyin.

Kullanıcı güvenliği ise teknik kadar seçimle ilgilidir. Lisanslı ve şeffaf platformlar risk yüzeyini daraltır. Bu noktada güvenilir inceleme ve lisans kontrolü sunan kaynaklar, kullanıcının akıllı karar vermesine yardım eder. Örneğin bonus-casino-en-ligne.org gibi rehberler, marka araştırırken gözden kaçabilecek sinyalleri toplu ve açık biçimde sunabilir.

Model Yönetişimi ve Açıklanabilirlik

Analist ya da uyum ekibi, “Neden alarm?” sorusuna net yanıt ister. Özellik katkıları için SHAP açıklanabilirlik iyi bir başlangıçtır. Politika dokümanı, eşikler, ikinci görüş modelleri ve manuel onay akışı yazılı olmalı. Avrupa bağlamında yapay zekâ politik gelişmeleri için European Commission AI yaklaşımı yol haritası sağlar.

Her değişiklik izlenmeli: model sürümü, eğitim verisi, özellik sözlüğü, deney raporları. İnceleme sırasında tek tıkla bu “karar dosyası”na ulaşmak, tartışmayı hızla çözer.

Üretimde Öğrenme Döngüsü: Etiket, Simülasyon, Sentetik Veri

Dolandırıcılık nadirdir; etiket yavaştır. Yarı denetimli akış bu yüzden etkilidir: güvenli negatif havuz, teyitli az sayıda pozitif, ve aktif öğrenme. Simülasyonla “uç” senaryoları besleyin: hızlı deneme, küçük tutar, yeni cihaz. Sentetik veri üretirken dağılımı bozmayın; drift metrikleri ile farkı ölçün.

Geri bildirim döngüsü kapalı olursa sistem solar. İnceleme sonucu, itiraz akıbeti ve chargeback verisi modele geri akmalı. A/B ile eşik ve kural test etmek, kaybı kontrollü biçimde azaltır.

Kapanış: Doğru Sorularla Başlayın

• Hangi kayıp türünü azaltıyoruz? (Kısa vadeli zarar mı, uzun vadeli itibar mı?)
• Gecikme sınırımız ne? (Saniye altı mı, dakikalar olur mu?)
• Hangi özellikler hukuken ve etik olarak makul?
• Drift olduğunda kim, ne zaman, nasıl müdahale eder?
• Alarmı kime ve nasıl açıklıyoruz? (Müşteri, tacir, iç ekip)

SSS

Anomali analizi ile denetimli modeller birlikte nasıl çalışır?

Anomali skorları “erken uyarı” sağlar; denetimli model ise teyitli vakalarda isabeti artırır. Skorlar birleştirilir, karar motoru ağırlık verir.

Gerçek zamanlı tespitte en kritik metrik hangisi?

Nadir olaylarda PR-AUC ve işlem başı beklenen maliyet öne çıkar. FPR ise müşteri deneyimi için sınıra bağlanmalı.

KVKK kapsamında hangi özellikler risklidir?

Gereksiz kişisel veri, açık rıza olmadan konum, üçüncü tarafla paylaşım. Veri minimizasyonu ve saklama süresi kuraldır. Ayrıntı için KVKK rehberlerine bakın.

SHAP ile alarmı nasıl açıklarsınız?

Örnek bazında özellik katkısını gösteririz: hangi özellik skoru ne kadar itti. Bu, analistin hızlı karar vermesini sağlar. Bkz. SHAP.

Drift olduğunda ne yapmalı?

Alarm kur, kök neden analizi yap, veriyi güncelle, modeli yeniden eğit, gölge dağıtım ile doğrula, sonra canlıya al.

Kısa Kod Parçası: IsolationForest ile Basit Akış

Not: Eşik, işletme maliyeti ve analist kapasitesine göre kalibre edilmelidir. Drift izleme ve düzenli yeniden eğitim şarttır.

Kaynakça ve Ek Bağlantılar

• NIST AI Risk Management Framework
• Anomaly Detection Survey (ACM)
• scikit-learn IsolationForest
• Google Cloud Fraud Detection
• UK Finance Fraud the Facts
• Google Developers MLOps
• AWS Fraud Detector
• SHAP Docs
• KVKK
• MASAK
• PCI Security Standards Council
• ENISA Threat Landscape
• European Commission: AI
• Azure Anomaly Detector

Yasal not: Bu içerik eğitim amaçlıdır; hukuki danışmanlık değildir. KVKK, MASAK ve ilgili mevzuat için resmi kaynaklara başvurun.

Yazar Hakkında

Yazar: Emre K., Veri Bilimi ve Anti-Fraud Danışmanı. 10+ yıl fintech, iGaming ve e-ticaret sahtekarlık tespiti projeleri. Gerçek zamanlı akış, özellik mağazası ve açıklanabilirlik çözümleri kurdu. LinkedIn: profil. Editoryal ilke ve yöntem: metodoloji sayfası.