نادراً ما يظهر الاحتيال كنمط واحد واضح.

الحساب مألوف. الشخص الذي يستخدمه ليس كذلك.

يظهر اختراق بيانات الدخول عادةً في صورة مجموعة انحرافات صغيرة قبل أن يظهر كخسارة: جهاز غير معروف، جلسة تتصرّف على نحو مختلف، مستفيد لم يُستخدم من قبل.

كل حساب يبدو عادياً. البنية ليست كذلك.

تتحدّد حركة الأموال عبر الحسابات المجنَّدة بشكلها لا بمبالغها. صُمِّمت تحليلات الشبكة لكشف الحسابات والمستفيدين والأجهزة التي تتكرّر معاً عبر معاملات تبدو غير مترابطة.

السرعة نفسها إشارة.

تُقيَّم التسلسلات السريعة للمعاملات عبر حساب واحد أو جهاز أو مستفيد مقابل الوتيرة التي حافظ عليها الحساب تاريخياً، لا مقابل سقف ثابت.

مبالغ مرتَّبة حول عتبة.

المعاملات المتكرّرة التي تبقى باستمرار دون حدّ الإبلاغ أو الموافقة تُقيَّم بوصفها نمطاً عبر الزمن والحسابات المرتبطة، لا بوصفها مدفوعات منفردة يمرّ كلٌّ منها بمفرده.

مستفيد بلا تاريخ لا يحمل خط أساس.

يُقيَّم المستفيدون الجدد أو نادرو الاستخدام ضمن سياقهم: كيف أُضيف المستفيد، وما الذي يرتبط به أيضاً، وكيف يقارَن المبلغ بالسلوك الصادر المعتاد للحساب.

يُقاس بالحساب نفسه، لا بالجميع.

لكل حساب ملفّه الخاص: التوقيت والقنوات والمبالغ والأطراف المقابلة. يُقاس الانحراف مقابل هذا الملف، ما يُبقي العملاء العاديين ذوي العادات غير المألوفة خارج قائمة المراجعة.

روابط لا يحتويها أي سجل بمفرده.

تُظهَر الروابط الناشئة عن أجهزة أو عناوين أو مستفيدين أو مسارات معاملات مشتركة بصورة صريحة، فيرى المحقِّق الكيانات المحيطة بالحالة بدل إعادة بنائها يدوياً.