WeirdNodes: A Caccia di Anomalie nelle Reti Finanziarie Temporali

Ciao a tutti! Oggi voglio parlarvi di un’avventura affascinante nel mondo, spesso oscuro e complesso, della finanza e della lotta al crimine finanziario. Immaginate un flusso enorme, quasi inimmaginabile, di denaro che si sposta ogni giorno attraverso i confini: parliamo di milioni e milioni di bonifici internazionali. Un vero oceano di dati! Ora, come si fa a individuare, in questo mare magnum, quelle poche gocce “strane”, quelle transazioni o quei comportamenti che potrebbero nascondere attività illecite come il riciclaggio di denaro? Non è affatto semplice, ve lo assicuro. Uno dei problemi principali è che i dati reali sono spesso top secret, e per noi ricercatori è difficile mettere alla prova le nostre idee su scenari concreti.

La Sfida: Oltre le Regole e le Scatole Nere

Nel settore Anti-Financial Crime (AFC), tradizionalmente ci si affida molto a sistemi basati su regole fisse. “Se succede X, allora segnala Y”. Funziona, fino a un certo punto. Ma i criminali sono furbi, evolvono, e spesso trovano modi per aggirare queste regole. D’altra parte, abbiamo l’intelligenza artificiale e il machine learning, potentissimi, capaci di scovare pattern complessissimi. Il problema? Spesso sono delle “scatole nere”: ti danno un risultato, magari ottimo, ma non ti spiegano il *perché*. E nel mondo finanziario, dove le decisioni possono avere conseguenze legali enormi e dove gli analisti sono responsabili di ciò che segnalano (o non segnalano!), la spiegabilità è fondamentale. Non puoi dire a un’autorità “l’ha detto l’algoritmo” senza poter motivare la segnalazione.

Ecco dove entriamo in gioco noi con un’idea un po’ diversa, che abbiamo chiamato WeirdNodes. Invece di concentrarci solo sulle singole transazioni o su regole rigide, abbiamo pensato: “E se guardassimo al quadro generale? Alle relazioni tra i diversi attori finanziari e a come queste relazioni cambiano nel tempo?”. Abbiamo deciso di sfruttare la potenza dell’analisi delle reti complesse.

WeirdNodes: L’Idea Centrale (è proprio il caso di dirlo!)

Pensate a una rete finanziaria come a un social network: ci sono nodi (persone, conti bancari, in questo caso Paesi o codici BIC delle banche) e connessioni (le transazioni, i flussi di denaro). In sistemi enormi e generalmente stabili, come quello delle transazioni internazionali, la maggior parte degli attori mantiene un ruolo più o meno costante nel tempo. C’è chi invia sempre tanto denaro, chi ne riceve tanto, chi fa da intermediario…

La nostra idea chiave è stata quella di non guardare solo ai valori assoluti (quanto denaro transita), che possono fluttuare molto, ma alle classifiche (i ranking) basate su misure di centralità della rete. La centralità ci dice quanto un nodo è “importante” nella rete secondo diversi criteri (quante connessioni ha, quanto è centrale nei flussi, quanto è influente, etc.). Abbiamo scoperto che, anche se i valori di centralità cambiano, le posizioni relative dei nodi nelle classifiche tendono a rimanere piuttosto stabili nel tempo.

WeirdNodes fa proprio questo: monitora l’evoluzione temporale di queste classifiche. Se un nodo, che per mesi è stato, diciamo, al 50° posto per quantità di denaro ricevuto, improvvisamente schizza tra i primi 10, o crolla in fondo alla classifica… beh, quello è un “nodo strano”, un WeirdNode! Questo cambiamento improvviso di ruolo è un segnale d’allarme, un’anomalia che merita un’indagine più approfondita da parte degli esperti. Non stiamo cercando pattern di frode specifici e predefiniti, ma cambiamenti di comportamento inattesi all’interno dell’ecosistema.

Come Funziona WeirdNodes, in Pratica?

Il processo che abbiamo messo a punto è abbastanza intuitivo, anche se dietro ci sono calcoli complessi:

• Costruiamo i Grafici: Rappresentiamo i dati delle transazioni come una serie di “fotografie” della rete finanziaria in diversi intervalli di tempo (ad esempio, mese per mese). Possiamo aggregare i dati a diversi livelli: per Paese, per codice BIC (che identifica una specifica filiale bancaria), o persino per IBAN (anche se vedremo che a questo livello le cose si complicano).
• Calcoliamo le Centralità: Per ogni “fotografia” (layer temporale) e per ogni nodo (Paese o BIC), calcoliamo diverse misure di centralità (quanti soldi entrano/escono, PageRank, Hub/Authority score…).
• Creiamo le Classifiche: Ordiniamo i nodi in base a ciascuna misura di centralità calcolata. Otteniamo così diverse classifiche per ogni periodo di tempo.
• Verifichiamo la Stabilità: Questo è un passaggio cruciale! Prima di cercare anomalie, controlliamo se le classifiche sono generalmente stabili tra un periodo e l’altro. Usiamo misure statistiche (come i coefficienti di correlazione di Spearman e Kendall) per assicurarci che la maggior parte dei nodi non stia cambiando posizione in modo casuale. Se c’è stabilità generale, allora i pochi nodi che *cambiano* posizione drasticamente sono davvero interessanti.
• Confrontiamo nel Tempo: Prendiamo le classifiche di due periodi consecutivi (es. Febbraio e Marzo) e calcoliamo, per ogni nodo, di quante posizioni è salito o sceso in classifica (questo è il “residuo”, che chiamiamo δ).
• Identifichiamo e Ordiniamo gli Outlier: I nodi con un residuo δ grande (in positivo o in negativo) sono i nostri “WeirdNodes”, gli outlier temporali. Li ordiniamo in base a quanto è grande questo cambiamento.
• Forniamo la Top-K: Alla fine, presentiamo all’analista una lista ristretta (la “top-k”) dei nodi più “strani”, quelli che hanno cambiato ruolo in modo più significativo, pronti per essere investigati. L’analista può decidere quanti casi esaminare (il valore di k).

Mettere alla Prova l’Idea: Simulazioni Controllate

Prima di lanciarci sui dati reali, volevamo essere sicuri che il nostro approccio funzionasse. Come fare? Abbiamo creato un ambiente controllato generando reti finanziarie sintetiche e introducendo noi stessi delle anomalie “etichettate”, per vedere se WeirdNodes le scovava. Abbiamo simulato diversi tipi di comportamenti anomali, dandogli nomi un po’ fantasiosi:

• Buchi Neri (Black Holes): Nodi che improvvisamente iniziano a ricevere molti più soldi e a inviarne molti meno.
• Vulcani (Volcanoes): Il contrario: nodi che smettono di ricevere e iniziano a inviare molto di più.
• Funghi (Mushrooms): Transazioni il cui importo cresce enormemente tra un periodo e l’altro.
• Fantasmi (Ghosts): Transazioni il cui importo crolla drasticamente.
• Scambiatori Indiretti (Indirect Exchangers): Nodi che smettono di scambiare denaro direttamente ma lo fanno attraverso nuovi intermediari.

I risultati sono stati molto incoraggianti! WeirdNodes si è dimostrato efficace nell’identificare questi diversi tipi di perturbazioni, confermando che monitorare i cambiamenti nei ranking di centralità è una strategia valida. Abbiamo anche visto che diverse misure di centralità sono più brave a scovare tipi diversi di anomalie, suggerendo che combinare le informazioni provenienti da più classifiche può essere una buona idea.

L’Applicazione sul Campo: Un Mare di Dati Reali

Grazie alla collaborazione con Intesa Sanpaolo e l’AFC Digital Hub, abbiamo avuto accesso a un dataset enorme e reale: 80 milioni di bonifici internazionali (SEPA e SWIFT) su un periodo di 15 mesi (da Settembre 2021 a Novembre 2022). Ovviamente, i dati erano completamente anonimizzati per rispettare privacy e sicurezza.

Abbiamo applicato WeirdNodes a due livelli di aggregazione: Paesi e codici BIC.

Analisi a Livello Paese: Segnali Macro

Aggregando le transazioni per Paese, abbiamo costruito le nostre reti temporali mensili. C’erano 218 Paesi in totale. Abbiamo calcolato le centralità (concentrandoci su quelle sensibili al “peso” delle transazioni, come la strength e PageRank) e verificato la stabilità dei ranking nel tempo. Come sospettavamo, le classifiche erano incredibilmente stabili! Questo ci ha dato il via libera per cercare le anomalie.

Confrontando Febbraio e Marzo 2022, abbiamo identificato i Paesi che avevano cambiato posizione in modo più significativo. Per valutare i risultati, abbiamo usato una classificazione interna di ISP sul rischio finanziario dei Paesi (basso, medio, alto). È stato interessante notare che molti dei Paesi segnalati come “strani” da WeirdNodes erano effettivamente classificati a rischio medio o alto. Ma non solo! Sono emersi anche Paesi a basso rischio che mostravano comportamenti inattesi. Questo è prezioso per gli analisti AFC, perché li aiuta a identificare potenziali minacce anche al di fuori delle solite “watchlist”.

Abbiamo anche sviluppato una strategia “mista” per ordinare gli outlier finali, basata non solo sul cambiamento di ranking ma anche sulla variazione del volume di scambi con i Paesi ad alto rischio. Questo ci ha permesso di fornire una lista più mirata e gestibile agli analisti. Un esempio calzante, emerso anche dai media, è stato il crollo delle esportazioni tedesche verso la Russia (a causa delle sanzioni) e il contemporaneo, sospetto aumento esponenziale verso il Kirghizistan, un classico caso di “scambiatore indiretto” che il nostro approccio a livello macro avrebbe potuto evidenziare molto prima.

Analisi a Livello BIC: Scendere nel Dettaglio

Il passo successivo è stato scendere a un livello più granulare: i codici BIC. Ogni BIC identifica una specifica entità bancaria in un Paese. Qui la rete è diventata molto più grande: circa 8000 nodi! Abbiamo ripetuto l’intero processo: costruzione dei grafici mensili, calcolo delle centralità, verifica della stabilità (ancora molto alta!), confronto tra Febbraio e Marzo 2022.

Abbiamo estratto i top 60 BIC outlier (30 in salita, 30 in discesa) per ogni metrica di centralità. Il bello, a questo livello, è che gli esperti di dominio di ISP hanno potuto effettuare una validazione manuale. Hanno esaminato i 162 BIC unici emersi dalle varie classifiche e ne hanno identificati 21 come “rilevanti”, cioè meritevoli di indagine approfondita per sospette attività illecite.

Questo ci ha permesso di misurare le performance in modo quantitativo. Abbiamo visto che alcune metriche (come l’instrength e PageRank) erano particolarmente efficaci. Tuttavia, poiché l’analista non sa a priori quale metrica funzionerà meglio, abbiamo sviluppato una strategia di ordinamento finale più sofisticata, chiamata “Stratified Sorting“. Questa strategia cerca di combinare l’informazione sulla posizione originale nei ranking con quella sul rischio ((Delta _{HRA})), preservando l’ordine dato dalle centralità ma usando il rischio per dirimere i casi simili. Questa strategia si è dimostrata molto efficace nel portare i casi davvero rilevanti nelle primissime posizioni della lista finale (precisione del 78% nei primi 10 risultati!).

Pensate all’utilità pratica: magari un Paese a basso rischio mostra un comportamento strano a livello macro. Scendendo al livello BIC con WeirdNodes, l’analista può individuare *quale specifica entità* all’interno di quel Paese sta causando l’anomalia, filtrando via tutto il rumore e concentrando le indagini dove serve davvero.

Perché WeirdNodes è Utile?

Il nostro approccio, WeirdNodes, offre diversi vantaggi nel difficile campo dell’AFC:

• Spiegabilità: I risultati si basano su misure di rete consolidate e comprensibili. L’analista sa *perché* un nodo è stato segnalato (es. “ha scalato 50 posizioni nel ranking di PageRank”).
• Efficienza: Fornisce una lista ristretta e ordinata di casi sospetti, permettendo agli analisti di concentrare le loro risorse limitate sui nodi più promettenti.
• Visione d’Insieme: Offre una prospettiva “dall’alto” (top-down) sui flussi finanziari, complementare all’analisi tradizionale focalizzata sul singolo cliente o transazione, aiutando a scovare schemi complessi che altrimenti potrebbero sfuggire.
• Adattabilità: Può funzionare a diversi livelli di aggregazione (Paese, BIC), permettendo di “zoomare” sui problemi.
• Superamento dei Limiti delle Regole: Non si basa su pattern di frode conosciuti a priori, ma rileva cambiamenti di comportamento inattesi, potenzialmente scoprendo nuove tattiche illecite.

Limiti e Sviluppi Futuri

Siamo consapevoli che WeirdNodes ha dei limiti. La disponibilità dei dati finanziari è un ostacolo enorme per la ricerca. Inoltre, abbiamo visto che al livello di dettaglio massimo (IBAN), la stabilità dei ranking non era sufficiente per applicare il metodo con fiducia, probabilmente a causa della natura più volatile delle transazioni a livello di singolo conto. Al momento, confrontiamo solo due istantanee temporali; sarebbe interessantissimo analizzare l’evoluzione dei residui δ su serie temporali più lunghe per scovare anomalie più subdole e graduali.

Guardando al futuro, ci piacerebbe testare WeirdNodes in altri domini (biologia, social network…), sviluppare modelli migliori per generare dati finanziari sintetici realistici per la ricerca, e integrare WeirdNodes con tecniche di “flow analysis” per seguire il denaro una volta identificato un BIC sospetto.

In conclusione, crediamo che WeirdNodes sia uno strumento promettente, un passo avanti nell’uso dell’analisi delle reti complesse per supportare gli eroi silenziosi che combattono ogni giorno il crimine finanziario, fornendo loro una lente d’ingrandimento più potente e intelligente per navigare nell’oceano dei dati finanziari.

Fonte: Springer