Tekniken som störtade Eliot Spitzer

Om det finns en läxa från den tidigare guvernören i New York, Eliot Spitzers skandaldrivna fall (bortsett från den mest uppenbara), är det denna: banker uppmärksammar även de minsta av dina transaktioner.

Poetisk rättvisa: Förre New York-guvernören Eliot Spitzers ingående kunskap om verktygen som används för att förhindra organiserad brottslighet hindrade honom inte från att köra fel på sin egen banks mjukvara för att bekämpa penningtvätt.

För detta kan vi tacka modern mjukvara och press från USA:s regering efter 9/11 för att hitta bevis på penningtvätt och finansiering av terrorism. Experter säger att alla stora banker, och även de flesta små, kör så kallad anti-penningtvättsmjukvara, som kammar igenom så många som 50 miljoner transaktioner om dagen och letar efter något utöver det vanliga.

I Spitzers fall, enligt tidningsrapporter, var det tre banköverföringar på bara 5 000 $ styck som fick varningsklockorna att ringa. Det hjälpte att han var en framstående politisk person. Men även vanliga medborgares mest vardagliga aktiviteter får samma inledande granskning.

Alla de stora bankerna har dessa mjukvarusystem, säger Pete Balint, en av grundarna av företaget Rådgivande grupp för Dominion , som hjälper banker att utveckla strategier för att bekämpa penningtvätt och bedrägerier. Beroende på deras volym kan de få tusentals varningar per månad.

De flesta av systemen följer ganska enkla regler och letar efter anomalier som utlöser ökad granskning. Mjukvaruföretag Metavante säger att dess mjukvara, till exempel, innehåller mer än 70 regler för bästa praxis, som täcker ett brett utbud av transaktionstyper, allt från kontantinsättningar till försäkringsköp. De enklaste reglerna kan flagga stora kontanttransaktioner, eller flera transaktioner på en och samma dag.

I Spitzers fall, de tre separata 5 000 $ överföringsbetalningarna rapporterade av Wall Street Journal skulle sannolikt ha utlöst en av de mest uppenbara av dessa regler, utan att använda mer avancerade funktioner.

Banker letar ständigt efter aktiviteter som verkar vara ett försök att bryta upp stora, tydligt misstänkta transaktioner i mindre transaktioner som kan flyga under radarn, en praxis som kallas strukturering. Spitzers transaktioner passar nästan säkert in i den profilen, säger Dave DeMartino, vicepresident i Metavante. Tidningsrapporter har identifierat New Yorks North Fork Bank, som ägs av Capitol One, som Spitzers personliga bank. En taleskvinna för banken avböjde att identifiera vilken, om någon, anti-penningtvättsmjukvara som institutionen använder.

Men banker, och brottsbekämpande myndigheter, letar också efter saker som de inte kan förutse och därför inte kan skriva regler för.

Om du bara skriver scenarier kommer du inte att hitta saker som du inte visste om, säger Michael Recce, chefsforskare för Fortent , en annan framstående leverantör av system mot penningtvätt. Cirka 60 procent av de saker som våra kunder hittar är saker de visste om. Resten är saker de inte visste om.

Det enklaste sättet att identifiera det oväntade är i motsats till rutinen. En person som bara sätter in två lönecheckar i månaden i två år kan bli flaggad om han till exempel plötsligt sätter in sex stora checkar på två veckor.

Men programvarupaket grupperar också kunder och konton i relaterade profiler eller peer-grupper för att skapa mer generella beteendemässiga baslinjer. Vissa program kan gruppera alla personliga checkkonton med ett genomsnittligt saldo på mindre än 15 000 USD, eller handelskonton med en omsättning på mindre än 100 000 USD per månad. Vissa kanske går djupare och grupperar alla företagskonton som är specifikt knutna till kemtvättar eller konsultföretag.

De mest sofistikerade mjukvarupaketen kan sortera personer eller konton i flera kategorier samtidigt: en enskild kund kan jämföras med andra lärare; till personer som huvudsakligen bankar på ett enda regionalt kontor; och till personer som har stabila, pensionsbaserade månadsinkomster till exempel.

Varje kategori analyseras för att fastställa mönster av vanligt beteende. Varje enskild transaktion av kunder i dessa grupper, och även mönster av transaktioner som sträcker sig så långt tillbaka i tiden som ett år, granskas sedan för bevis på avvikelse från denna norm med hjälp av mått som antalet, storleken eller frekvensen av transaktioner, bland annat.

Följ pengarna: U.S. Treasury Departments Financial Crimes Enforcement Network håller reda på alla rapporter om misstänkt verksamhet som lämnats in av banker. Här är den geografiska fördelningen av rapporter som lämnats in av banker i New York mellan 1996 och 2006.

Huruvida en avvikelse flaggas beror delvis på en kunds riskexponeringspoäng, ett betyg som tilldelas av banken enligt kundens yrke, geografiska läge och andra personliga uppgifter. En pensionerad lärare som har bott i en förort till Minneapolis hela sitt liv kan ha en lägre riskpoäng än en 42-årig import-exportaffärsman från Sicilien, till exempel. Så kallade politiskt utsatta personer – kunder som politiker, högsta chefer och domare – kommer automatiskt att få en högre grad av granskning.

Varje bank har en grupp verkliga personer som personligen granskar transaktioner som har flaggats. De allra flesta varningar representerar acceptabelt beteende, och inget mer görs. Om läraren i Minneapolis har sålt sitt hus, till exempel, kommer inkomsten att visa sig som en tydlig avvikelse från hennes kamratgrupps norm. Den mänskliga utredaren kommer att förstå varför och kommer inte att fortsätta med saken.

Banker vill inte vara i positionen att rapportera om en kund utan goda skäl, säger Ido Ophir, vice vd för produktledning för Aktivera , en annan stor leverantör av programvara mot penningtvätt. De kan inte bara skicka in transaktioner som inte har några misstänkta fördelar.

Men om de mänskliga granskarna inte kan bortförklara aktiviteten kommer de att ta fram en tjänsteman anmälan om misstänkt aktivitet (SAR), inklusive en skriftlig berättelse som beskriver transaktionen, och skicka den till Internal Revenue Service och finansdepartementets Financial Crimes Enforcement Network (FinCen), den federala gruppen som ansvarar för att administrera 1970-talet Banksekretesslagen .

De flesta SAR:er granskas i slutändan av regionala team av utredare, hämtade från IRS, FBI, DEA och den amerikanska advokatbyrån. Men rapporterna går också in i en databas för banksekretesslagen, som görs tillgänglig för auktoriserade federala brottsbekämpande myndigheter. Agenter kan söka efter specifika namn, kontonummer och detaljer, till exempel telefonnummer, för att se om föremålen för deras egna undersökningar har höjt några ekonomiska flaggor.

FinCens talesman Steve Hudek säger att programvara för automatiserad mönsteranalys också körs på databasen Bank Security Act, vilket hjälper till att upptäcka aktivitetsmönster eller länkar mellan individer som människor kan missa. Han avböjde dock att säga vilken programvara eller leverantörer FinCen använder.

I takt med att programvaran har blivit mer sofistikerad – och regeringen har utövat mer press för att markera misstänkt aktivitet – har antalet inlämnade SAR ökat kraftigt. År 2000 lämnade banker (till skillnad från värdepappersföretag eller kasinon) in 121 505 SAR. 2006 lämnade de in 567 080, och i slutet av juni förra året, den sista månaden för vilken siffror finns tillgängliga, var 2007 på väg att sätta ett nytt rekord.

Teknologer säger att framtida mjukvara kommer att bli ännu bättre på att upptäcka anomalier, analysera kunders sociala nätverk, ta del av de stora databaserna med information som finns hos företag som t.ex. LexisNexis och ChoicePoint och använda den externa informationen för att göra bedömningar om kundtransaktioner.

Detta kan vara en integritetsförespråkares mardröm, men det hjälper till att hålla banker säkra från bedrägerier och regulatoriska böter.

Vi kommer till problemet med hur man smälter större och större mängder information, säger Fortents Recce. Det finns i grunden en enorm mängd information, och människor försöker gömma sig i den.

Dölj