카드 도용·재고 매도(Resale)·반품 남용(Return Abuse) 같은 OMS-단계 사기는 결제 게이트웨이의 3DS 인증만으로는 잡히지 않는다. 결제는 통과하지만 배송지가 바뀌거나, 동일 디바이스에서 단시간에 다수 주문이 일어나거나, 반품을 반복적으로 악용해 환불을 받아내는 패턴이 그것이다.

RT-O10은 6개 feature를 입력으로 하는 Gradient Boosted Tree분류기를 1차 게이트로 두고, 화이트/블랙리스트·속도(velocity) 룰셋과 디바이스 fingerprint를 결합한다. 사기 확률 fraud_prob ≥ 0.85면 자동 차단, 0.60 ~ 0.85는 검토 큐로 에스컬레이트, < 0.60은 정상 통과시킨다. 판정 결과와 인간 운영자의 최종 판단은 재학습 corpus에 누적되어 모델이 매주 갱신된다.

# Gradient Boosting 기반 사기 분류기
fraud_features = [
    "order_amount",            # 주문 금액
    "ship_to_billing_diff",    # 배송지/결제지 불일치 여부
    "new_address_flag",        # 처음 사용 주소
    "device_fingerprint",      # 기기 ID 이력
    "velocity_1h",             # 1시간 내 주문 횟수
    "return_abuse_score",      # 반품 남용 점수
]
fraud_prob = fraud_model.predict_proba(features)[:, 1]
if fraud_prob > 0.85: auto_block()
elif fraud_prob > 0.60: escalate_to_review()

예) 신규 주소(new_address_flag=1) + 결제지 불일치(ship_to_billing_diff=1) + 1시간 내 5건(velocity_1h=5) → GBT 출력 0.93으로 자동 차단. 반대로 VIP 고객이 출장 중 신규 디바이스로 주문한 경우, dev 그룹은 위험 신호이지만 abuse/vel/addr이 모두 낮아 검토 큐로 분기 후 운영자 판정으로 통과시킨다.

SHAP 값은 GBT가 각 feature를 사기 점수에 얼마나 기여했는지 평균낸 값이다.ship_to_billing_diff가 0.34로 가장 강하게 사기 방향으로 기여하고, device_fingerprint는 음수(-0.11)로 정상 판정 방향으로 작용한다. 이는 재방문 디바이스가 강한 정상 신호임을 의미한다.