JP6502461B1 - 不正メール判定装置、不正メール判定方法、およびプログラム - Google Patents

Abstract

【課題】判定対象の電子メールが不正メールであるか否かを自動的に判定することができる不正メール判定装置、不正メール判定方法、およびプログラムを提供すること。
【解決手段】電子メールの添付ファイルの内容をハッシュ化してハッシュ値を求めるハッシュ化部と、ハッシュ値ごとの出現回数を記憶した記憶部に記憶されたハッシュ値のうち、前記ハッシュ化部により求められたハッシュ値と一致するハッシュ値の出現回数に基づいて、前記電子メールに対して所定の処理を行うか否かを判定する判定部と、を備える不正メール判定装置。
【選択図】図１

Description

本発明は、不正メール判定装置、不正メール判定方法、およびプログラムに関する。

従来、ユーザ端末から受信した画像データをハッシュ化する手段と、その画像データのハッシュ値と登録された不正画像データのハッシュ値を記憶するハッシュ値記憶手段と、画像データのハッシュ値と同一のハッシュ値を、不正画像データのハッシュ値データベースから検出するハッシュ値検出手段と、ハッシュ値検出手段により、同一のハッシュ値が検出されなかった場合、画像データの画素を一または複数の経路に沿って抽出するマップ手段と、抽出した画素を示す第１マップ値と、あらかじめ認定された不正画像データの画素を前記の経路に沿って抽出した第２マップ値を記憶する手段と、第２マップ値のうち、第１マップ値と、所定の割合で同一と判断されるマップ値を検出する検出手段と、を備えた不正画像検出装置が知られている（特許文献１参照）。

特許第４７４０７０６号公報

上記従来の技術は、オークションサイトなどに出品される際の画像をチェックすることを目的としたものであり、不適切な添付ファイルが付与された不正メールであるか否かを自動的に判定可能なものではない。

本発明は、このような事情を考慮してなされたものであり、判定対象の電子メールが不正メールであるか否かを自動的に判定することができる不正メール判定装置、不正メール判定方法、およびプログラムを提供することを目的の一つとする。

本発明の一態様は、電子メールの添付ファイルの内容をハッシュ化してハッシュ値を求めるハッシュ化部と、ハッシュ値ごとの出現回数を記憶した記憶部に記憶されたハッシュ値のうち、前記ハッシュ化部により求められたハッシュ値と一致するハッシュ値の出現回数に基づいて、前記電子メールに対して所定の処理を行うか否かを判定する判定部と、を備える不正メール判定装置である。

本発明の一態様によれば、判定対象の電子メールが不正メールであるか否かを自動的に判定することができる。

不正メール判定装置１００を含むメールサーバ５０の使用環境を示す図である。 第１実施形態の不正メール判定装置１００の構成図である。 ハッシュ値ごと出現回数データ１２２の内容の一例を示す図である。 第１実施形態の不正メール判定装置１００により実行される処理の流れの一例を示す図である。 第２実施形態の不正メール判定装置１００Ａの構成図である。 第２実施形態の不正メール判定装置１００Ａにより実行される処理の流れの一例を示すフローチャートである。 第３実施形態の不正メール判定装置１００Ｂの構成図である。 第３実施形態の不正メール判定装置１００Ｂにより実行される処理の流れの一例を示すフローチャートである。 第４実施形態の不正メール判定装置１００Ｃの構成図である。

以下、図面を参照し、本発明の不正メール判定装置、不正メール判定方法、およびプログラムの実施形態について説明する。

＜第１実施形態＞
図１は、不正メール判定装置１００を含むメールサーバ５０の使用環境を示す図である。メールサーバ５０は、ネットワークＮＷを介して端末装置１０から電子メールを受け取り、電子メールの宛先が示す他の端末装置１０に送信する。ネットワークＮＷは、例えば、インターネット、ＷＡＮ、ＬＡＮ、プロバイダ端末、専用回線などを含む。端末装置１０は、個人用または業務用のコンピュータ、携帯電話、タブレット端末などである。不正メール判定装置１００は、メールサーバ５０の一機能である仮想マシンであってもよいし、メールサーバ５０に併設されるコンピュータ装置であってもよい。

図１では、単にメールサーバ５０と表記しているが、メールサーバは送信メールサーバと受信メールサーバに分かれて構成されてもよい。その場合、不正メール判定装置１００は、（１−１）送信メールサーバから受信した電子メールのうち不正メールと判定した電子メールをリジェクトし、端末装置１０に送信しない（受信バッファに格納しない）ものであってもよいし、（１−２）送信メールサーバから受信した電子メールのうち不正メールと判定した電子メールに注意喚起情報（スパムメールの可能性が高いことを示すマーク、文言、その他）を付加して端末装置１０に送信するものであってもよい。また、不正メール判定装置１００は、（２−１）受信メールサーバに送信しようとする電子メールのうち不正メールと判定した電子メールを内部的にリジェクトし、受信メールサーバに送信しない（送信せず破棄する）ものであってもよいし、（２−２）受信メールサーバに送信しようとする電子メールのうち不正メールと判定した電子メールに注意喚起情報を付加して受信メールサーバに送信するものであってもよい。（１−１）、（１−２）、（２−１）、または（２−２）の処理が、「所定の処理」の一例である。なお、（１−２）または（２−２）が行われる場合、注意喚起情報が付加された電子メールを受信するかどうかを、端末装置１０の利用者が設定できるようにしてもよい。この場合、例えば、メールサーバ５０が、端末装置１０から設定情報を取得して内部的な設定を行う。以下の説明では、上記のうち（１−１）が実行されることを前提として説明する。

図２は、第１実施形態の不正メール判定装置１００の構成図である。不正メール判定装置１００は、例えば、ハッシュ化部１１０と、記憶部１２０と、リスト作成部１３０と、判定部１４０とを備える。ハッシュ化部１１０、リスト作成部１３０、および判定部１４０は、例えば、ＣＰＵ（Central Processing Unit）などのハードウェアプロセッサがプログラム（ソフトウェア）を実行することにより実現される。また、これらの構成要素のうち一部または全部は、ＬＳＩ（Large Scale Integration）やＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field-Programmable Gate Array）、ＧＰＵ（Graphics Processing Unit）などのハードウェア（回路部；circuitryを含む）によって実現されてもよいし、ソフトウェアとハードウェアの協働によって実現されてもよい。

記憶部１２０には、ハッシュ値ごと出現回数データ１２２、不正ハッシュ値リスト１２４などのデータが格納される。記憶部１２０は、例えば、ＨＤＤ（Hard Disk Drive）やフラッシュメモリ、ＲＡＭ（Random Access Memory）その他の記憶装置により実現される。記憶部１２０は、不正メール判定装置１００からネットワークを介してアクセス可能な外部装置（例えば、ＮＡＳ（Network Attached Storage））であってもよく、その場合、記憶部１２０は、不正メール判定装置１００の構成要素から除外されてよい。

ハッシュ化部１１０は、送信メールサーバから送られてきた電子メール（受信メール）について、まず、添付ファイルの拡張子が所定の拡張子であるか否かを判定する。所定の拡張子とは、例えば、exe、com、bat、cmd、wsf、wshなどの、実行ファイルであることを示す拡張子である。

ハッシュ化部１１０は、添付ファイルの拡張子が所定の拡張子である電子メールについて、なりすましメールであるか否かを判定する。ハッシュ化部１１０は、例えば、ＳＰＦ（Sender Policy Framework）やＤＫＩＭ（Domainkeys Identified Mail）として知られる送信ドメイン認証を行うことで、電子メールがなりすましメールであるか、なりすましメールでないか、或いは、なりすましメールであるか否かが不明な電子メール（以下、Ｕｎｋｎｏｗｎと称する）であるかを判定する。

第１実施形態において、ハッシュ化部１１０は、なりすましメール、或いはＵｎｋｎｏｗｎと判定した電子メールについて、添付ファイルの内容をハッシュ化し、ハッシュ値を求める。ハッシュ化部１１０は、例えば実行ファイルである添付ファイルを実行することなく、その内容（例えばプログラムコード）をハッシュ化する。そして、なりすましメールの添付ファイルから求めたハッシュ値と同じハッシュ値が、記憶部１２０のハッシュ値ごと出現回数データ１２２に登録されているか否かを判定し、登録されていればカウント値を１インクリメントし、登録されていなければハッシュ値ごと出現回数データ１２２に新たなレコードを作成する。図３は、ハッシュ値ごと出現回数データ１２２の内容の一例を示す図である。図示するように、ハッシュ値ごと出現回数データ１２２は、例えば、ハッシュ値に対して、出現回数と、リスト登録済フラグとが対応付けられたデータである。なお、ハッシュ化部１１０は、ハッシュ値ごと出現回数データ１２２に新たなレコードを作成した場合、出現回数を１に、リスト登録済フラグを０に設定する。

リスト作成部１３０は、ハッシュ値ごと出現回数データ１２２におけるリスト登録済フラグが０であるハッシュ値のうち、出現回数が基準回数以上であるハッシュ値を抽出し、不正ハッシュ値リスト１２４に登録する。この際に、リスト作成部１３０は、ハッシュ値ごと出現回数データ１２２において、不正ハッシュ値リスト１２４に登録したハッシュ値に対応するリスト登録済フラグを１に設定する。

判定部１４０は、ハッシュ化部１１０により電子メール（なりすましメール、またはＵｎｋｎｏｗｎ）の添付ファイルから求められたハッシュ値を、不正ハッシュ値リスト１２４に登録されたハッシュ値のそれぞれと比較する。そして、ハッシュ化部１１０により電子メールの添付ファイルから求められたハッシュ値が、不正ハッシュ値リスト１２４に登録されたハッシュ値のいずれかと一致する場合、当該電子メールは不正メールであると判定し、リジェクトすると決定する。なお、前述したように、判定部１４０は、ハッシュ化部１１０により電子メールの添付ファイルから求められたハッシュ値が、不正ハッシュ値リスト１２４に登録されたハッシュ値のいずれかと一致する場合、注意喚起情報を電子メールに付加してもよい。

不正ハッシュ値リスト１２４に登録されたハッシュ値は、何度も繰り返し電子メールに付与された添付ファイルから求められたものである。同じ添付ファイルが複数の電子メールに添付されて繰り返し送信されるという現象は、当該複数の電子メールが、悪意のある電子メールすなわち不正メールである蓋然性が高い現象である。従って、不正ハッシュ値リスト１２４に登録されたハッシュ値と一致するハッシュ値が添付ファイルから求められた電子メールは、不正メールであると判定することが妥当であるといえる。

図４は、第１実施形態の不正メール判定装置１００により実行される処理の流れの一例を示す図である。まず、ハッシュ化部１１０が、送信メールサーバから電子メールを受信するまで待機する（Ｓ１００）。

電子メールを受信すると、ハッシュ化部１１０は、受信した電子メールの添付ファイルの拡張子が所定の拡張子であるか否かを判定する（Ｓ１０２）。添付ファイルの拡張子が所定の拡張子でない場合、判定部１４０は、電子メールをリジェクトしないと決定する（Ｓ１０４）。

添付ファイルの拡張子が所定の拡張子であると判定した場合、ハッシュ化部１１０は、受信した電子メールがなりすましメールであるか否かを判定する（Ｓ１０６）。電子メールがなりすましメールで無い場合、判定部１４０は、電子メールをリジェクトしないと決定する（Ｓ１０４）。

受信した電子メールがなりすましメールであると判定した場合、ハッシュ化部１１０は、添付ファイルのハッシュ値を求め（Ｓ１０８）、ハッシュ値ごと出現回数データ１２２を更新する（Ｓ１１０）。リスト作成部１３０は、ハッシュ値ごと出現回数データ１２２が更新されたのに応じて、不正ハッシュ値リスト１２４を更新する（Ｓ１１２）。そして、判定部１４０は、Ｓ１０８で求められたハッシュ値が不正ハッシュ値リスト１２４に登録されているか否かを判定する（Ｓ１１４）。判定部１４０は、Ｓ１０８で求められたハッシュ値が不正ハッシュ値リスト１２４に登録されていない場合、電子メールをリジェクトしないと決定し（Ｓ１０４）、Ｓ１０８で求められたハッシュ値が不正ハッシュ値リスト１２４に登録されていない場合、電子メールをリジェクトすると決定する（Ｓ１１６）。

一方、受信した電子メールがＵｎｋｎｏｗｎであると判定した場合、ハッシュ化部１１０は、添付ファイルのハッシュ値を求める（Ｓ１１８）。そして、判定部１４０は、Ｓ１１８で求められたハッシュ値が不正ハッシュ値リスト１２４に登録されているか否かを判定する（Ｓ１１４）。判定部１４０は、Ｓ１１８で求められたハッシュ値が不正ハッシュ値リスト１２４に登録されていない場合、電子メールをリジェクトしないと決定し（Ｓ１０４）、Ｓ１１８で求められたハッシュ値が不正ハッシュ値リスト１２４に登録されていない場合、電子メールをリジェクトすると決定する（Ｓ１１６）。

なお、図４のフローチャートにおいて、ハッシュ化部１１０、リスト作成部１３０、および判定部１４０の処理が全て同期して実行されるように表現したが、これに限らず、例えば、ハッシュ化部１１０、および判定部１４０の処理はリアルタイムで実行され、リスト作成部１３０の処理はバッチ処理で実行されるようにしてもよい。

以上説明した第１実施形態の不正メール判定装置１００によれば、電子メールの添付ファイルの内容をハッシュ化してハッシュ値を求めるハッシュ化部１１０と、ハッシュ値ごと出現回数データ１２２を記憶した記憶部１２０に記憶されたハッシュ値のうち、ハッシュ化部１１０により求められたハッシュ値と一致するハッシュ値の出現回数に基づいて、電子メールを不正メールとしてリジェクトするか否かを判定する判定部１４０と、を備えることにより、判定対象の電子メールが不正メールであるか否かを自動的に判定することができる。

＜第２実施形態＞
以下、第２実施形態について説明する。図５は、第２実施形態の不正メール判定装置１００Ａの構成図である。第２実施形態に係る不正メール判定装置１００Ａは、第１実施形態とは異なり、拡張子が所定の拡張子であるなりすましメールに関しては、ハッシュ値に関する判定を行わずにリジェクトすると決定する（或いは、注意喚起情報を当該電子メールに付加する。）。

図６は、第２実施形態の不正メール判定装置１００Ａにより実行される処理の流れの一例を示すフローチャートである。図４と共通する部分については説明を省略し、相違点を中心に説明する。

図６において、受信した電子メールがなりすましメールであると判定した場合、ハッシュ化部１１０は、添付ファイルのハッシュ値を求め（Ｓ１０８）、ハッシュ値ごと出現回数データ１２２を更新する（Ｓ１１０）。リスト作成部１３０は、ハッシュ値ごと出現回数データ１２２が更新されたのに応じて、不正ハッシュ値リスト１２４を更新する（Ｓ１１２）。そして、判定部１４０は、電子メールをリジェクトすると決定する（Ｓ１１６）。

一方、受信した電子メールがＵｎｋｎｏｗｎであると判定した場合、ハッシュ化部１１０は、添付ファイルのハッシュ値を求める（Ｓ１１８）。そして、判定部１４０は、Ｓ１１８で求められたハッシュ値が不正ハッシュ値リスト１２４に登録されているか否かを判定する（Ｓ１２４）。判定部１４０は、Ｓ１１８で求められたハッシュ値が不正ハッシュ値リスト１２４に登録されていない場合、電子メールをリジェクトしないと決定し（Ｓ１０４）、Ｓ１１８で求められたハッシュ値が不正ハッシュ値リスト１２４に登録されていない場合、電子メールをリジェクトすると決定する（Ｓ１１６）。

以上説明した第２実施形態の不正メール判定装置１００Ａによれば、第１実施形態と同様の効果を奏することができ、第１実施形態よりも厳格に電子メールをリジェクトすることができる。なりすましメールに関してはハッシュ値に関する判定を行わずにリジェクトすると決定するからである。

＜第３実施形態＞
以下、第３実施形態について説明する。図７は、第３実施形態の不正メール判定装置１００Ｂの構成図である。第３実施形態に係る不正メール判定装置１００Ｂは、第１実施形態とは異なり、拡張子が所定の拡張子であるなりすましメールとＵｎｋｎｏｗｎの双方に基づいてハッシュ値ごと出現回数データ１２２を更新し、拡張子が所定の拡張子であるなりすましメールに関しては、ハッシュ値に関する判定を行わずにリジェクトすると決定する（或いは、注意喚起情報を当該電子メールに付加する。）。

図８は、第３実施形態の不正メール判定装置１００Ｂにより実行される処理の流れの一例を示すフローチャートである。図４と共通する部分については説明を省略し、相違点を中心に説明する。

図８において、受信した電子メールがなりすましメールであると判定した場合、ハッシュ化部１１０は、添付ファイルのハッシュ値を求め（Ｓ１０８）、ハッシュ値ごと出現回数データ１２２を更新する（Ｓ１１０）。リスト作成部１３０は、ハッシュ値ごと出現回数データ１２２が更新されたのに応じて、不正ハッシュ値リスト１２４を更新する（Ｓ１１２）。そして、判定部１４０は、電子メールをリジェクトすると決定する（Ｓ１１６）。

一方、受信した電子メールがＵｎｋｎｏｗｎであると判定した場合、ハッシュ化部１１０は、添付ファイルのハッシュ値を求め（Ｓ１１８）、ハッシュ値ごと出現回数データ１２２を更新する（Ｓ１２０）。リスト作成部１３０は、ハッシュ値ごと出現回数データ１２２が更新されたのに応じて、不正ハッシュ値リスト１２４を更新する（Ｓ１２２）。そして、判定部１４０は、Ｓ１１８で求められたハッシュ値が不正ハッシュ値リスト１２４に登録されているか否かを判定する（Ｓ１２４）。判定部１４０は、Ｓ１１８で求められたハッシュ値が不正ハッシュ値リスト１２４に登録されていない場合、電子メールをリジェクトしないと決定し（Ｓ１０４）、Ｓ１１８で求められたハッシュ値が不正ハッシュ値リスト１２４に登録されていない場合、電子メールをリジェクトすると決定する（Ｓ１１６）。

以上説明した第３実施形態の不正メール判定装置１００Ｂによれば、第１実施形態と同様の効果を奏することができ、第２実施形態よりも更に厳格に電子メールをリジェクトすることができる。拡張子が所定の拡張子であるなりすましメールとＵｎｋｎｏｗｎの双方に基づいてハッシュ値ごと出現回数データ１２２を更新し（その結果、ハッシュ値ごと出現回数データ１２２の値が早く増加し）、ハッシュ値に関する判定を行わずにリジェクトすると決定するからである。

＜第４実施形態＞
以下、第４実施形態について説明する。図９は、第４実施形態の不正メール判定装置１００Ｃの構成図である。第４実施形態に係る不正メール判定装置１００Ｃは、第１実施形態とは異なり、拡張子が所定の拡張子であるなりすましメールとＵｎｋｎｏｗｎの双方に基づいてハッシュ値ごと出現回数データを更新する。

第４実施形態において実行される処理の流れは、図４のフローチャートにおけるＳ１０６の処理において、電子メールがなりすましメールであると判定された場合と、Ｕｎｋｎｏｗｎであると判定された場合の双方において、Ｓ１０８に進むようにしたものである。これについての図示は省略する。

以上説明した第４実施形態の不正メール判定装置１００Ｂによれば、第１実施形態と同様の効果を奏することができ、第１実施形態よりも厳格に電子メールをリジェクトすることができる。拡張子が所定の拡張子であるなりすましメールとＵｎｋｎｏｗｎの双方に基づいてハッシュ値ごと出現回数データ１２２を更新するからである。

以上、本発明を実施するための形態について実施形態を用いて説明したが、本発明はこうした実施形態に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。

１００ 不正メール判定装置
１１０ ハッシュ化部
１２０ 記憶部
１２２ ハッシュ値ごと出現回数データ
１２４ 不正ハッシュ値リスト
１３０ リスト作成部
１４０ 判定部

Claims (13)

1. 電子メールの添付ファイルの内容をハッシュ化してハッシュ値を求めるハッシュ化部と、
   ハッシュ値ごとの出現回数を記憶した記憶部に記憶されたハッシュ値のうち、前記ハッシュ化部により求められたハッシュ値と一致するハッシュ値の出現回数に基づいて、前記電子メールに対して所定の処理を行うか否かを判定する判定部と、
   を備える不正メール判定装置。
2. 前記所定の処理は、前記電子メールを不正メールとしてリジェクトする処理である、
   請求項１記載の不正メール判定装置。
3. 前記所定の処理は、前記電子メールに注意喚起情報を付加する処理である、
   請求項１記載の不正メール判定装置。
4. 前記記憶部に記憶されている出現回数が基準回数以上であるハッシュ値のリストを作成するリスト作成部を更に備え、
   前記判定部は、前記ハッシュ化部により求められたハッシュ値が前記リストに登録されている場合に、前記リストに登録されているハッシュ値が添付ファイルから求められた電子メールに対して前記所定の処理を行うと判定する、
   請求項１から３のうちいずれか１項記載の不正メール判定装置。
5. 前記ハッシュ化部は、第１条件を満たす電子メールについて、当該電子メールの添付ファイルの内容をハッシュ化して求めたハッシュ値の出現回数を前記記憶部に記憶させる、
   請求項１から４のうちいずれか１項記載の不正メール判定装置。
6. 前記第１条件は、前記電子メールがなりすましメールであることを含む、
   請求項５記載の不正メール判定装置。
7. 前記第１条件は、前記電子メールがなりすましメール、または、なりすましメールであるか否かが不明な電子メールであることを含む、
   請求項５記載の不正メール判定装置。
8. 前記判定部は、第２条件を満たす前記電子メールについて、前記記憶部に記憶されたハッシュ値のうち、前記ハッシュ化部により求められたハッシュ値と一致するハッシュ値の出現回数に基づいて、前記電子メールに対して前記所定の処理を行うか否かを判定する、
   請求項１から７のうちいずれか１項記載の不正メール判定装置。
9. 前記第２条件は、前記電子メールがなりすましメール、または、なりすましメールであるか否かが不明な電子メールであることを含む、
   請求項８記載の不正メール判定装置。
10. 前記第２条件は、前記電子メールが、なりすましメールであるか否かが不明な電子メールであることを含み、
    前記判定部は、前記電子メールがなりすましメールである場合、前記ハッシュ化部により求められるハッシュ値に拘わらず、前記電子メールに対して前記所定の処理を行うと判定する、
    請求項８記載の不正メール判定装置。
11. 前記ハッシュ化部および前記判定部は、前記電子メールの添付ファイルの拡張子が所定の拡張子でない場合、前記電子メールを前記所定の処理の対象としない、
    請求項１から１０のうちいずれか１項記載の不正メール判定装置。
12. コンピュータが、
    電子メールの添付ファイルの内容をハッシュ化してハッシュ値を求め、
    ハッシュ値ごとの出現回数を記憶した記憶部に記憶されたハッシュ値のうち、前記求められたハッシュ値と一致するハッシュ値の出現回数に基づいて、前記電子メールに対して所定の処理を行うか否かを判定する、
    不正メール判定方法。
13. コンピュータに、
    電子メールの添付ファイルの内容をハッシュ化してハッシュ値を求めさせ、
    ハッシュ値ごとの出現回数を記憶した記憶部に記憶されたハッシュ値のうち、前記求めさせたハッシュ値と一致するハッシュ値の出現回数に基づいて、前記電子メールに対して所定の処理を行うか否かを判定させる、
    プログラム。

Images