JP2006065655A - スパムメール判定システムおよびその方法 - Google Patents

Abstract

【課題】スパムメールを高精度かつ簡単に判定できるスパムメール判定システムの提供。
【解決手段】
スパムメール検出装置は、ダミーアドレス宛に送信されてきた電子メールから特徴情報データを抽出する。特徴情報データに基づいて電子メールからスパムメールを検出すると、スパムメールの特徴情報データを電子メール管理装置１３に送信する。特徴情報データを受けて電子メール管理装置１３は、外部から受信した電子メールがスパムメールであるか否かを判定する。スパムメールであると判断された電子メールはユーザのメールボックスに配信されず破棄される。
【選択図】図１

Description

この発明は、送信されてきた電子メールがスパムメールであるか否かを判定するスパムメール判定システムに関する。

インターネットにおける電子メールの普及にともない、いわゆるスパムメール（迷惑メール）による被害が社会問題となっている。このようなスパムメールに対処するため、システム上において様々な対策が講じられている。

例えば、過去に送信されてきたスパムメールに基づいて発信元アドレスや所定文言を記録したスパムフィルタを作成しておき、このようなスパムフィルタを用いて受信した電子メールがスパムメールか否かを判断する方法が知られている。

しかしながら、上記のような方法によると、一旦受信した電子メールがスパムメールであるか否かをユーザが判断し、そのスパムメールの発信者アドレスや含まれる所定文言等を個人ＰＣのフィルタリングプログラムまたはプロバイダのメールサーバのスパムフィルタ等に登録することが前提となる。

このため、前記発信者アドレスや所定文言がスパムフィルタに存在しないような全くの新規なスパムメールには対応できないという問題があった。

このような問題を解決するため、ある電子メールの宛先となっているローカルのユーザアドレスの数が、予め設定された一定閾値以上の場合には、当該電子メールはスパムメールであると判定する迷惑メール判定手段が知られている（例えば、特許文献１。）。

特開２００３−４６５７８号公報

しかしながら、上記の方法においては、宛先やＣＣ（カーボンコピー）欄に複数のアドレスが記載されているだけでスパムメールと判定されてしまう。このため、同じ内容の電子メールを一斉に送信する同報メールの場合であっても、スパムメールであると判定されてしまい、ユーザに対して適切にメールが配信されないといった問題が生じるおそれがあった。

この発明は、上記のような問題を解決するためになされたものであり、送信されてきた電子メールがスパムメールであるか否かを精度よく判定することのできるスパムメール判定システムの提供を目的とする。

(1)(2)(3)(4)(5)(16)この発明にかかるスパムメール判定システムは、
受信した電子メールからスパムメールを検出するスパムメール検出装置と、前記スパムメール検出装置と通信可能に設けられた電子メール管理装置とを有するスパムメール判定システムであって、
スパムメール検出装置は、
（ａ）スパムメール発信者に取得させたダミーアドレス宛に送信されてきた電子メールを受信する電子メール受信手段と、
（ｂ）前記ダミーアドレス宛に送信されてきた電子メールをスパムメールと推定して、当該電子メールから特徴情報データを抽出する特徴情報抽出手段と、
（ｄ）抽出された前記特徴情報データを電子メール管理装置に送信する特徴情報通知手段とを備え、
電子メール管理装置は、
（ｅ）スパムメール検出装置から特徴情報データを受信する特徴情報受信手段と、
（ｆ）受信した前記特徴情報データに基づいて、外部から受信した電子メールがスパムメールであるか否かを判定するスパムメール判定手段とを備えたこと
を特徴としている。

したがって、実際のユーザが存在しないダミーアドレスに送信されてきた電子メールを用いてスパムメールの判定を行うことができるので、高精度にスパムメールを検出することができる。また、検出したスパムメールの特徴情報データをプロバイダなどのメールサーバに送信することにより、スパムメールの被害を最小限に食い止めることができる。

(6)(7)(8)(9)(10)(17)この発明にかかるスパムメール判定システムは、
受信した電子メールからスパムメールを検出するスパムメール検出装置と、前記スパムメール検出装置と通信可能に設けられた電子メール管理装置とを有するスパムメール判定システムであって、
スパムメール検出装置は、
（ａ）スパムメール発信者に取得させた少なくとも１以上のダミーアドレス宛に送信されてきた電子メールを受信する電子メール受信手段と、
（ｂ）各ダミーアドレス宛に送信されてきた電子メールに基づいて、各電子メール毎に特徴情報データを抽出する特徴情報抽出手段と、
（ｃ）抽出された前記特徴情報データに基づいて前記電子メールの中からスパムメールを検出するスパムメール検出手段と、
（ｄ）前記電子メールの中からスパムメールが検出された場合において、前記特徴情報データを電子メール管理装置に送信する特徴情報通知手段とを備え、
電子メール管理装置は、
（ｅ）スパムメール検出装置から特徴情報データを受信する特徴情報受信手段と、
（ｆ）受信した前記特徴情報データに基づいて、外部から受信した電子メールがスパムメールであるか否かを判定するスパムメール判定手段を備えたこと
を特徴としている。

したがって、実際のユーザが存在しないダミーアドレスに送信されてきた電子メールの特徴情報データを用いてスパムメールの判定を行うことができるので、高精度にスパムメールを検出することができる。また、検出したスパムメールの特徴情報データをプロバイダなどのメールサーバに送信することにより、スパムメールの被害を最小限に食い止めることができる。

(11)この発明にかかるスパムメール判定システムにおいて、
スパムメール検出装置は、スパムメール発信者に取得させるためのダミーアドレスを生成するアドレス生成手段をさらに備えたことを特徴としている。

したがって、スパムメール検出装置において受信する電子メールの受信アドレスを任意に変更することができる。これにより、スパムメールの検出の可能性を高くすることができる。

(12)この発明にかかるスパムメール判定システムにおいて、
スパムメール検出装置は、
スパムメールを検出するための特徴情報データを記憶した第１の検出対象リストおよび、特徴情報データを一時的に記憶する第２の検出対象リストを備えており、
受信した電子メールから抽出した特徴情報データが、
前記第１の検出対象リストに存在する場合には、当該電子メールをスパムメールと判定し、
前記第１の検出対象リストに存在しない場合には、さらに前記第２の検出対象リストを参照し、
前記第２の検出対象リストに存在する場合には、当該電子メールをスパムメールと判定し、
前記第２の検出対象リストに存在しない場合には、前記特徴データを前記第２の検出対象リストに記憶することを特徴としている。

したがって、第１の検出対象リストに記憶された特徴情報データにより、明らかなスパムメールを判断することができ、スパムメールと判断できなかった場合であっても、第２の検出対象リストに記憶しておくことにより、複数の電子メールに含まれる特徴情報データに基づいて、スパムメールか否かの判断を行うことができる。

例えば、第２の検出対象リストに２以上記憶されている特徴情報データは、ダミーアドレスに送信された２以上の電子メールに含まれていたことにより、これらの電子メールはスパムメールの可能性が高いと判断することができる。

(13)この発明にかかるスパムメール判定システムにおいて、
スパムメール検出装置は、
スパムメールを検出するための特徴情報データを記憶した第１の検出対象リストおよび、特徴情報データを一時的に記憶する第２の検出対象リストを備えており、
受信した電子メールから抽出した特徴情報データが、
前記第１の検出対象リストに存在する場合には、当該電子メールをスパムメールと判定し、
前記第１の検出対象リストに存在しない場合には、前記特徴情報データを前記第２の検出対象リストに記録し、
前記第２の検出対象リストに記憶された前記特徴情報データの個数が所定の閾値以上となる場合には、当該電子メールをスパムメールと判定することを特徴としている。

したがって、電子メールから抽出した特徴情報データが、第１の検出対象リストに記憶されていない場合であっても、第２の検出対象リストに所定数以上記憶されている場合には、当該電子メールはスパムメールであると判断することができる。

(14)この発明にかかるスパムメール判定システムにおいて、
特徴情報データの個数が所定の閾値以上となる場合、当該電子メールをスパムメールと判定するとともに、前記特徴情報データを前記第１の検出対象リストに追加することを特徴としている。

したがって、スパムメールを判定するための第１の検出対象リストを、第２の検出対象リストに記憶される特徴情報データの個数に応じて更新することができる。これにより、スパムメールに含まれる可能性の高い特徴情報データを第１の検出対象リストに集約することができ、スパムメールの判定の効率がよい。

(15)この発明にかかるスパムメール判定システムにおいて、
電子メール管理装置は、
スパムメール検出装置から受信した特徴情報データを記憶する検出対象リストを備えており、
外部から受信した電子メールがスパムメールであると判定した場合に用いた特徴情報データの判定実績を、前記スパムメール検出装置に通知する判定実績通知手段を備え、
スパムメール検出装置は、
前記電子メール管理装置からの判定実績を受けて、第１の検出対象リストの特徴情報データを更新する特徴情報更新手段を備えたこと
を特徴としている。

したがって、電子メール管理装置において受信されたスパムメールの判定に利用した特徴情報データをスパムメール検出装置にフィードバックして、第１の検出対象リストを更新することができる。これにより、第１の検出対象リストの信頼性を高めることができる。

例えば、所定期間において判定実績のない特徴情報データを削除して、検出対象リストの特徴情報データを常に最新のものとすることができる。

この発明において、「ダミーアドレス」とは、スパムメールの収集を目的として作成された電子メールアドレスであって、実質的に使用するユーザが存在しない電子メールアドレスをいう。

以下、本発明における実施形態について、図面を参照して説明する。

１．第１の実施形態
１−１．機能ブロック図
図１に、本発明にかかるスパムメール判定システムの機能ブロック図を示す。この図において、スパムメール検出装置１１および電子メール管理装置１３は、インターネット等のネットワーク１に接続されており、当該ネットワーク１を介してそれぞれが通信可能である。なお、図１において、電子メール管理装置１３は１つしか存在していないが、複数存在する構成であってもよい。

また、スパムメール（迷惑メール）を発信するスパムメール発信者端末１５は、ネットワーク１に接続可能であり、スパムメール検出装置１１または電子メール管理装置１３が管理するユーザの電子メールアドレスを含む不特定の電子メールアドレスに対してスパムメールを発信するものである。

１−１−１．スパムメール検出装置
図１において、本発明にかかるスパムメール検出装置１１は、ダミーアドレス生成手段ｇ、Ｗｅｂページ更新手段ｈ、電子メール受信手段ａ、特徴情報抽出手段ｂ、スパムメール検出手段ｃおよび特徴情報通知手段ｄを備えている。

ダミーアドレス生成手段ｇは、ダミーアドレスを生成するとともに、当該ダミーアドレス宛に送信されてきた電子メールが受信できるようにスパムメール検出装置１１の設定を行う。

Ｗｅｂページ更新手段ｈは、スパムメール発信者に収集させるためのダミーアドレスを記載した所定のＷｅｂページを更新する。なお、前記Ｗｅｂページは、スパムメール検出装置１１に記録してもよいし、インターネット上に公開されている他のサーバ装置に記録してもよい。

電子メール受信手段ａは、前記ダミーアドレスに対して送信されてきた電子メールを受信する。

特徴情報抽出手段ｂは、受信した電子メールから所定のルールに従って特徴情報データを抽出する。

スパムメール検出手段ｃは、抽出した特徴情報データ等に基づいて、受信した電子メールの中からスパムメールの検出を行う。

特徴情報通知手段ｄは、検出したスパムメールの特徴情報データを電子メール管理装置１３に送信する。

例えば、スパムメール検出装置１１は、スパムメールを検出するサービスを行うサービス業者が有する装置である。

１−１−２．電子メール管理装置
図１において、本発明にかかる電子メール管理装置１３は、電子メール受信手段ｉ、特徴情報受信手段ｅ、スパムメール判定手段ｆおよび電子メール配信手段ｊを備えている。

電子メール受信手段ｉは、電子メール管理装置１３に設定されたアドレスに対して送信されてきた電子メールを受信する。

特徴情報受信手段ｅは、スパムメール検出装置１１から送信されてきた特徴情報データを受信する。

スパムメール判定手段ｆは、スパムメール検出装置１１から受信した特徴情報データに基づいて、受信した電子メールがスパムメールであるか否かの判定を行う。

電子メール配信手段ｊは、外部から送信されてきた電子メールを、電子メール管理装置１３において管理している各ユーザの電子メールボックスに配信する。

例えば、電子メール管理装置１３は、複数ユーザの電子メールを管理する業者の装置である。プロバイダや企業等に設置された電子メールサーバが、これに該当する。

１−２．ハードウェア構成
図１に示したスパムメール判定システムを構成するスパムメール検出装置１１および電子メール管理装置１３をそれぞれＣＰＵを用いて実現したハードウェア構成の一例を図２および図３に示す。

１−２−１．スパムメール検出装置
図２に示すように、スパムメール検出装置１１は、ディスプレイ２０１、ＣＰＵ２０３、メモリ２０５、キーボード／マウス２０７、ハードディスク２０９、ＣＤ−ＲＯＭドライブ２１１および通信回路２１５を備えている。

ハードディスク２０９は、メールクライアントプログラム２０９１、スパムメール検出プログラム２０９２、Ｗｅｂサーバプログラム２０９３、ダミーアドレス生成プログラム２０９４、第１の検出対象リスト２０９５および第２の検出対象リスト２０９６を記憶している。

メールクライアントプログラム２０９１、スパムメール検出プログラム２０９２、Ｗｅｂサーバプログラム２０９３およびダミーアドレス生成プログラム２０９４は、それぞれＣＤ−ＲＯＭドライブ２１１を介してＣＤ−ＲＯＭ２１２等に記録されたデータを読み出してインストールされたものである。なお、上記インストールは、通信回路２１５を用いてネットワーク１等からダウンロードしたデータを使用して行うようにしてもよい。

電子メール受信手段ａはメールクライアントプログラム２０９１のメールユーザエージェント（ＭＵＡ：Mail User Agent）により実現され、特徴情報抽出手段ｂ、スパムメール検出手段ｃおよび特徴情報通知手段ｄはスパムメール検出プログラム２０９３によって実現される。

また、ダミーアドレス生成手段ｇおよびＷｅｂページ更新手段ｈは、ダミーアドレス生成プログラム２０９４によって実現される。

例えば、メールクライアントプログラムは、Outlook Express（商標）、Eudora（商標）、Becky（商標）、mutt（商標）、mush（商標）またはUnix（商標）標準のmailコマンド等がこれに該当する。また、Ｗｅｂサーバプログラムは、Apache（商標）やIIS（商標）等がこれに該当する。

１−２−２．電子メール管理装置
図３に示すように、電子メール管理装置１３は、ディスプレイ３０１、ＣＰＵ３０３、メモリ３０５、キーボード／マウス３０７、ハードディスク３０９、ＣＤ−ＲＯＭドライブ３１１および通信回路３１５を備えている。

ハードディスク３０９は、メールサーバプログラム３０９１、スパムメール判定プログラム３０９３および検出対象リスト３０９５を記憶している。

メールサーバプログラム３０９１およびスパムメール判定プログラム３０９３は、それぞれＣＤ−ＲＯＭドライブ３１１を介してＣＤ−ＲＯＭ３１２等に記録されたデータを読み出してインストールされたものである。なお、上記インストールは、通信回路３１５を用いてネットワーク１等からダウンロードしたデータを使用して行うようにしてもよい。

電子メール受信手段ｉおよび電子メール配信手段ｊは、メールサーバプログラム３０９１のメール転送エージェント（ＭＴＡ：Mail Transfer Agent）およびメール配信エージェント（ＭＤＡ：Mail Delivery Agent）によってそれぞれ実現され、特徴情報受信手段ｅおよびスパムメール判定手段ｆは、スパムメール判定プログラム３０９３によって実現される。

例えば、メールサーバプログラムは、Ｓｅｎｄｍａｉｌ（商標）やｑｍａｉｌ（商標）等がこれに該当する。

１−３．処理詳細
本実施形態おける各処理の詳細を以下に説明する。

１−３−１．ダミーアドレスの生成
図７に、スパムメールの収集を目的として作成されたダミーアドレスを、スパムメール検出装置１１において生成する場合のフローチャートを示す。なお、ダミーアドレスの生成はスパムメール検出装置１１以外のコンピュータ装置で行うようにしてもよい。

スパムメール検出装置１１のハードディスク２０９に記憶されているダミーアドレス生成プログラム２０９４が起動されると、ＣＰＵ２０３は、記憶している名字辞書ファイル７０から名字データのレコードをランダムに１件読み込む（ステップＳ７０１）。

図９に示すように、名字辞書ファイル７０には、ダミーアドレスとして利用可能な名字のローマ字表記等が記憶されている。

例えば、ＣＰＵ２０３は、名字辞書ファイル７０からランダムに、ローマ字表記が「tanaka」のデータレコード９０１を読み込む。

ＣＰＵ２０３は、ユーザ情報ファイル７５を検索して、ステップＳ７０１で読み込んだレコードのローマ字表記と同一のユーザ名が存在するか否かを検索する（ステップＳ７０３）。

図１０に示すように、ユーザ情報ファイル７５には、ユーザ名１０１、パスワード１０３、メールディレクトリ１０５、メールアドレス１０７等のデータが記憶されている。なお、Ｕｎｉｘ（商標）ＯＳの場合、パスワードファイルがユーザ情報ファイル７５に該当する。

例えば、ＣＰＵ２０３は、ユーザ名「tanaka」と一致するユーザ名１０１がユーザ情報ファイル７５に存在するか否かを検索する。

一致するユーザ名が存在すれば（ステップＳ７０５、ＹＥＳ）、ＣＰＵ２０３は、ステップＳ７０１に戻って処理を行い、一致するユーザ名が存在しなければ（ステップＳ７０５、ＮＯ）、ユーザ名に基づいてダミーアドレスの設定登録を行う（ステップＳ７０７）。

例えば、ＣＰＵ２０３は、ユーザ名１０１として「tanaka」を記録するとともに、乱数等を用いて作成した任意のパスワードをパスワード１０３に記録し、「tanaka」のメールディレクトリ「/usr/mail/tanaka」を作成してメールディレクトリ１０５に記録する。

また、メールアドレス１０７にダミーメールアドレス「tanaka@dtrust.com」を登録する。ここで、メールアドレスのドメイン「dtrust.com」は予め取得されているものとする。

ＣＰＵ２０３は、当該処理におけるダミーアドレスの登録件数をカウントする（ステップＳ７０８）。

ＣＰＵ２０３は、所定件数のダミーアドレスを登録したか否かを判定し、所定件数に満たない場合はステップＳ７０１に戻って同様の処理を繰り返す（ステップＳ７０９、ＮＯ）。

例えば、ＣＰＵ２０３は、カウントが予め設定された所定件数１００件に満たない場合には、上記処理を繰り返す。

なお、ダミーアドレスの登録件数が所定件数に達している場合には、当該処理を終了する（ステップＳ７０９、ＹＥＳ）。

１−３−２．Ｗｅｂページの更新
図８に、上記において作成されたダミーアドレスに基づいて生成したＷｅｂページの例を示す。

例えば、図１０において示したユーザ情報ファイル７５のメールアドレス１０７を全て抽出し、抽出したデータをＨＴＭＬファイルとして保存すれば、図８に示すようなダミーアドレス用のＷｅｂページを作成することができる。

前記Ｗｅｂページは、Ｗｅｂサーバプログラム２０９４によってインターネット上の公開される。

なお、Ｗｅｂページの保存先はスパムメール検出装置１１としてもよいし、インターネットに接続された他のコンピュータ装置であってもよい。

サービス業者は、上記において作成したＷｅｂページのＵＲＬ等の情報を所定のサーチエンジンに登録しておくことにより、スパムメールの配信先を取得する目的で任意のＷｅｂページのメールアドレスを集めて回るいわゆる「メールアドレス取得ロボット」に対して、上記ダミーアドレスを取得させることができる。

したがって、ダミーアドレスを記載したＷｅｂページを生成して公開することにより、スパム業者にダミーアドレスを取得させることができる。

１−３−３．スパムメールの検出
図４に、本実施形態にかかるスパムメール判定システムのスパムメール検出時における全体フローチャートの例を示す。

スパム業者は、上記のＷｅｂページに基づいてメールアドレスを取得すると、スパムメール発信者端末１５を用いて、取得したメールアドレスに対してスパムメールを発信する（ステップＳ４１１）。

スパムメール検出装置１１のＣＰＵ２０３は、所定ユーザ宛の電子メールを受信すると（ステップＳ４０１）、スパムメール検出プログラム２０９２を起動する。

例えば、電子メールの受信チェックを行うプログラムをメモリに常駐させておき、受信が確認されるとスパムメール検出プログラム２０９２を起動するように構成すればよい。また、メールクライアントとしてのSendmail（商標）を使用している場合には、「.forwardファイル」にスパムメール検出プログラム２０９２の起動プログラム名を記述しておき、メールの受信をトリガーにしてスパムメール検出プログラム２０９２を起動させるように構成してもよい。

スパムメール検出プログラム２０９２が起動されると、ＣＰＵ２０３は、受信したユーザの電子メールから特徴情報データを抽出する（ステップＳ４０３）。

例えば、ＣＰＵ２０３は、特徴情報データとしてＵＲＬを抽出する。ＵＲＬの抽出には、「http://」、「www.」または「.com」等の所定文字列が含まれているテキストを切り出すことによって判断すればよい。

例えば、電子メールの本文中から「www.spammail.com」が切り出された場合には、ＵＲＬ「www.spammail.com」が特徴情報データである。なお、本実施形態においては、ＵＲＬスキーム名（http://等）は省略して説明する。

受信した電子メール中に特徴情報データが存在すると判断すると（ステップＳ４０４、ＹＥＳ）、ＣＰＵ２０３は、スパムメールの検出処理を行う（ステップＳ４０５）。

なお、受信した電子メール中に特徴情報データが存在しないと判断すると（ステップＳ４０４、ＮＯ）、ＣＰＵ２０３は、当該処理を終了する。

図５に、スパムメールの検出処理におけるフローチャートを示す。

スパムメールの検出処理において、ＣＰＵ２０３は、特徴情報データであるＵＲＬをメモリ２０５に読み込む（ステップＳ５００）。例えば、「www.spammail.com」が読み込まれる。

ＣＰＵ２０３は、第１の検出対象リスト２０９５に上記特徴情報データが存在するか否かを検索する（ステップＳ５０１）。例えば、ＵＲＬ「www.spammail.com」が第１の検出対象リスト２０９５に存在するか否かを検索する。

図１１に、第１の検出対象リスト２０９５の例を示す。このリストにおいては、受信した電子メールがスパムメールであるか否かを判断するための特徴情報データとしてのＵＲＬが記録されている。なお、第１の検出対象リスト２０９５には、恒常的にスパムメールと判断することのできる特徴情報データが記録される。

ＣＰＵ２０３は、第１の検出対象リスト２０９５の中に、受信した電子メールから抽出した特徴情報データが存在する場合には（ステップＳ５０３、ＹＥＳ）、当該電子メールをスパムメールであると判断する（ステップＳ５１１）。

例えば、ＵＲＬ「aaa.spam.com」が特徴情報データである場合には、当該ＵＲＬは図１１に示した第１の検出対象リスト２０９５に存在していることにより、当該電子メールはスパムメールであると判断することができる。

第１の検出対象リスト２０９５の中に、受信した電子メールから抽出した特徴情報データが存在しない場合には（ステップＳ５０３、ＮＯ）、さらに、第２の検出対象リスト２０９６を検索する（ステップＳ５０５）。

第２の検出対象リスト２０９６は、図１１において示した第１の検出対象リスト２０９５と同様に特徴情報データとしてのＵＲＬが記録される。なお、第２の検出対象リスト２０９６には、一時的にスパムメールと判断することのできる特徴情報データが記録される。

（ｉ）第２の検出対象リストにないとき
例えば、上記ＵＲＬ「www.spammail.com」は、第１の検出対象リスト２０９５には存在していないので、ステップＳ５０５において第２の検出対象リスト２０９６に存在するか否かが検索される。第２の検出対象リスト２０９６には未だ特徴情報データが記録されていないので、ステップＳ５０７においては、一致する特徴情報データがないと判断される（ステップＳ５０７、ＮＯ）。

ＣＰＵ２０３は、特徴情報データとしてのＵＲＬを第２の検出対象リスト２０９６に記録し、当該処理を終了する（ステップＳ５０９）。例えば、上記ＵＲＬ「www.spammail.com」が、第２の検出対象リスト２０９６に記録される。

上記の場合、ＣＰＵ２０３は、受信した電子メールをスパムメールではないと判断する。

図４のステップＳ４０７において、スパムメールを検出しなかった場合には、ＣＰＵ２０３は当該処理を終了する（ステップＳ４０７、ＮＯ）。

（ii）第２の検出対象リストにあるとき
上記ＵＲＬ「www.spammail.com」が、一旦第２の検出対象リスト２０９６に記録された後、さらに同様のＵＲＬを含む電子メールが、上記において設定登録されたダミーアドレスに送信されてきた場合を考える。

今、第２の検出対象リスト２０９６には特徴情報データとしてＵＲＬ「www.spammail.com」が記録されている。したがって、上記ステップＳ５０７においては、一致する特徴情報データがあると判断される（ステップＳ５０７、ＹＥＳ）。

ＣＰＵ２０３は、特徴情報データとしてのＵＲＬを第２の検出対象リスト２０９６から第１の検出対象リスト２０９５に追加する（ステップＳ５０８）。すなわち、ＵＲＬ「www.spammail.com」を、第１の検出対象リスト２０９５に追加するとともに、第２の検出対象リスト２０９６から削除する。

上記の場合、ＣＰＵ２０３は、受信した電子メールをスパムメールと判断する（ステップＳ５１１）。

図４のステップＳ４０７において、スパムメールを検出した場合には、ＣＰＵ２０３は特徴情報データを電子メール管理装置１３に通知する（ステップＳ４０９）。

例えば、特徴情報データとしての上記ＵＲＬ「www.spammail.com」が、スパムメール検出装置１１から電子メール管理装置１３に送信される。

送信を受けて、電子メール管理装置１３のＣＰＵ３０３は、特徴情報データとしてのＵＲＬを受信する（ステップＳ４２１）。すなわち、ＵＲＬ「www.spammail.com」を受信する。

さらに、ＣＰＵ３０３は、特徴情報データとしてのＵＲＬを検出対象リスト３０９５に記録する（ステップＳ４２３）。

電子メール管理装置１３の検出対象リスト３０９５は、図１１において示した第１の検出対象リスト２０９５と同様に特徴情報データとしてのＵＲＬが記録される。

１−３−４．スパムメールの判定
図６に、電子メール管理装置１３におけるスパムメール判定時のフローチャートの例を示す。

電子メール管理装置１３のＣＰＵ３０３は、メールサーバプログラム３０９１において、管理しているユーザ宛の電子メールを受信すると（ステップＳ６０１）、スパムメール判定プログラム３０９３を起動させる。

電子メールの受信後にスパムメール判定プログラム３０９３を起動するには、上述したように、電子メールの受信チェックを行うプログラムをメモリに常駐させておき、受信が確認されるとスパムメール検出プログラム２０９２を起動するように構成すればよい。また、Sendmail（商標）を使用し「.forwardファイル」にスパムメール判定プログラム３０９３の起動プログラム名を記述して起動させるように構成してもよい。

スパムメール判定プログラム３０９３において、ＣＰＵ３０３は、受信した電子メールから特徴情報データとしてのＵＲＬを抽出する（ステップＳ６０３）。

例えば、上述したように、ＵＲＬの抽出には、「http://」、「www.」または「.com」等の所定文字列が含まれているテキストを切り出すことによって判断すればよい。

受信した電子メール中に特徴情報データが存在すると判断すると（ステップＳ６０、ＹＥＳ）、ＣＰＵ３０３は、スパムメールの判定処理を行う（ステップＳ６０７）。

なお、受信した電子メール中に特徴情報データが存在しないと判断すると（ステップＳ６０５、ＮＯ）、ＣＰＵ３０３は、当該処理を終了する。

図６ａに、スパムメールの判定処理におけるフローチャートを示す。

スパムメールの判定処理において、ＣＰＵ３０３は、特徴情報データであるＵＲＬをメモリ３０５に読み込む（ステップＳ５００）。例えば、「www.spammail.com」が読み込まれる。

ＣＰＵ３０３は、ＵＲＬ「www.spammail.com」に基づいて検出対象リスト３０９５を検索する。

検出対象リスト３０９５にＵＲＬ「www.spammail.com」が存在していれば、ＣＰＵ３０３は、一致する特徴情報データがあると判断する（ステップＳ６１５）。

例えば、図４のステップＳ４２３の処理によって検出対象リスト３０９５に特徴情報データとしてのＵＲＬ「www.spammail.com」が記録されている場合には、特徴情報データが存在すると判断することができる。

一致する特徴情報データが検出対象リスト３０９５にあれば（ステップＳ６１５ＹＥＳ）、受信した電子メールはスパムメールであると判断される（ステップＳ６１７）。

一方、一致する特徴情報データが検出対象リスト３０９５になければ（ステップＳ６１５、ＮＯ）、受信した電子メールは、スパムメールではないと判定される（ステップＳ６１９）。

スパムメールの判定処理を終えると、ＣＰＵ３０３は、受信した電子メールがスパムメールと判定されていればステップＳ６１１に進みスパムメール対処処理を行い（ステップＳ６０９、ＹＥＳ）、スパムメールと判定されていなければ当該処理を終了する（ステップＳ６０９、ＮＯ）。

図６ｂに、スパムメールの対処処理におけるフローチャートを示す。

スパムメールの対処処理において、ＣＰＵ３０３は、受信した電子メールに基づいてユーザ名を取得する（ステップＳ６２１）。

例えば、電子メールの送信先アドレスが「yamamoto@provider.com」である場合には、「yamamoto」をユーザ名として取得する。ここで、「provider.com」は電子メール管理装置１３が管理している電子メールアドレスのドメイン名である。

ＣＰＵ３０３は、上記において取得したユーザ名に基づいて、電子メールユーザに関する情報を一元管理するユーザ情報ファイルを検索し、当該ユーザにかかるスパム対処フラグを抽出する。

図６ｂに示すように、ユーザ名「yamamoto」のスパム受取フラグは「ＹＥＳ」となっていることにより、ＣＰＵ３０３は、「yamamoto」に対してスパムメールの配信を行う（ステップＳ６２７）。具体的にはユーザ名「yamamoto」のメールボックスに受信したスパムメールを保存する。

一方、図６ｂのユーザ情報ファイルの例に示すユーザ名「yamada」のようにスパム受取フラグが「ＮＯ」である場合には、ＣＰＵ３０３は受信した電子メールを全て破棄する（ステップＳ６２９）。

１−４まとめ
以上説明したように、この発明によれば、スパムメール検出装置１１によってスパムメールを容易かつ高精度に検出することができる。また、その検出したスパムメールの特徴情報データを電子メール管理装置１３に通知することにより、電子メール管理装置１３において受信した電子メールに対して即時にスパムメールの判定を行うことができる。

これにより、ユーザが受信する前段階において、電子メールサーバ内の処理によって、スパムメールの判定を高精度に行うことができる。

２．第２の実施形態
第１の実施形態においては、スパムメールの検出装置処理（図５）において、第２の検出対象リスト２０９６に特徴情報データであるＵＲＬが存在する場合には、無条件でスパムメールと見なして処理を行うように構成したが、本実施形態においては、第２の検出対象リスト２０９６に記録された特徴情報データが所定件数存在する場合に、受信した電子メールはスパムメールであると判断する例について説明する。

なお、本実施形態における機能ブロック図（図１）、各装置のハードウェア構成（図２および図３）は、第１の実施形態と同様である。

２−１．処理詳細
本実施形態おける処理詳細を以下に示す。なお、ダミーアドレスの生成、Ｗｅｂページの更新は、第１の実施形態と同様である。

図５において示したスパムメールの検出処理のみが第１の実施形態と異なるため、この点に絞って以下説明する。なお、図６において示した電子メール管理装置１３におけるスパムメール判定時の処理は、第１の実施形態と同様である。

図１２に、本実施形態のスパムメールの検出処理におけるフローチャートを示す。なお、ステップＳ５００〜Ｓ５０３は、第１の実施形態と同様である。

ステップＳ５０３において、第１の検出対象リスト２０９５の中にステップＳ５００において読み込んだ特徴情報データが存在しない場合、ＣＰＵ３０３は当該特徴情報データであるＵＲＬを第２の検出対象リスト２０９６に記録する（ステップＳ１２０１）。

記録を終えると、ＣＰＵ３０３は第２の検出対象リスト２０９６を検索して、記録した特徴情報データと同一の特徴情報データを抽出する（ステップＳ１２０３）。

抽出した特徴情報データの件数が所定の閾値以上であれば、当該特徴情報データを第２の検出対象リスト２０９６から第１の検出対象リスト２０９５に追加するとともに（ステップＳ５０８）、受信した電子メールをスパムメールと判断する（ステップＳＳ５１１）。

例えば、第２の検出対象リスト２０９６に、特徴情報データであるＵＲＬ「www.spammail.com」が、１００件以上存在すれば、ＵＲＬ「www.spammail.com」を第１の検出対象リスト２０９５に追加するとともに、スパムメールと判断する。なお、追加後は、第２の検出対象リスト２０９６からＵＲＬ「www.spammail.com」を削除しておく。

２−２まとめ
以上説明したように、この発明によれば、同一の特徴情報データを有するスパムメールが所定件数送信されてきている場合にのみ、スパムメールであるとの判断を行うことができるので、より高精度にスパムメールの検出を行うことができる。

これにより、スパムメール検出装置１１は、多数のユーザに対してより多く送信されているスパムメールに絞り込んで、スパムメールの特徴情報を通知することができるようになり、電子メール管理装置１３においては、より効果的にスパムメールの判定を行うことができる。

３．第３の実施形態
本実施形態においては、第１および第２の実施形態に示したスパムメール判定システムに加えて、電子メール管理装置１３においてスパムメールの判定を行った特徴情報データの判定実績をスパムメール検出装置１１にフィードバックする構成とする。

３−１．機能ブロック図
図１３に、本実施形態における機能ブロック図を示す。この図においては、第１の実施形態において示した図１の機能ブロック図に加えて、スパムメール検出装置１１に特徴情報更新手段ｌが追加されており、電子メール管理装置１３に判定実績通知手段ｋが追加されている。

電子メール管理装置１３の判定実績通知手段ｋは、スパムメール判定手段ｆが行った判定結果が反映された特徴情報データの判定実績をスパムメール検出装置１１に通知する。

スパムメール検出装置１１の特徴情報更新手段ｌは、電子メール管理装置１３から受けた特徴情報データの判定実績に基づいて、記録している特徴情報データを更新する。

各装置のハードウェア構成は、第１の実施形態において示した図２および図３と同様である。

なお、電子メール管理装置１３の判定実績通知手段ｋは、スパムメール判定プログラム３０９３によって実現され、スパムメール検出装置１１の判定実績通知手段ｋは、スパムメール検出プログラム２０９３によって実現される。

３−３．処理詳細
本実施形態おける処理詳細を以下に示す。なお、ダミーアドレスの生成、Ｗｅｂページの更新は、第１の実施形態と同様である。

図４において示したスパムメール検出時のフローチャートおよび図５において示したスパムメール検出処理は第１の実施形態と同様である。

３−３−１．スパムメールの判定
図６において示したスパムメール検出時のフローチャートにおけるスパムメールの判定処理のみが第１の実施形態と異なるため、この点に絞って以下説明する。

図１４に、本実施形態のスパムメールの判定処理におけるフローチャートを示す。なお、ステップＳ６１１〜Ｓ６１９は、第１の実施形態と同様である。

ＣＰＵ３０３は、受信した電子メールがスパムメールであると判定すると、検出対象リスト３０９５の判定実績を更新する（ステップＳ１４０１）。

例えば、特徴情報データとしてのＵＲＬ「aaa.spam.com」を用いて受信した電子メールがスパムメールであるとの判定を行った場合には、図１５に示す検出対象リスト３０９５の判定実績のカウントを増加させる。具体的には、特徴情報データ（ＵＲＬ）「aaa.spam.com」の判定実績を「１４」から「１５」に更新する。

３−３−２．判定実績の通知
電子メール管理装置１３のＣＰＵ３０３は、検出対象リスト３０９５の判定実績データを定期的にスパムメール検出装置１１に通知する。例えば、１日に１回、電子メール管理装置１３から判定実績データが送信され、スパムメール検出装置１３は第１の検出対象リスト２０９５を更新する。

図１６に、この場合におけるフローチャートを示す。

電子メール管理装置１３のＣＰＵ３０３は、検出対象リスト３０９５を参照して判定実績データを作成する（ステップＳ１６１１）。

例えば、図１５において示した検出対象リスト３０９５をＣＳＶ形式で抽出したものを判定実績データとする。

ＣＰＵ３０３は、作成した判定実績データをスパムメール検出装置１１に送信する。

送信を受けて、スパムメール検出装置１１は、判定実績データをメモリ２０５またはハードディスク２０９に記録する（ステップＳ１６０１）。

スパムメール検出装置１１のＣＰＵ２０３は、第１の検出対象リスト２０９５に記録している特徴情報データと、電子メール管理装置１３から受信した判定実績データにかかる特徴情報データとをマッチングして、一致する各特徴情報データ毎に判定実績を付加する（ステップＳ１６０３）。

例えば、図１７に示す第１の検出対象リスト２０９５の各特徴情報データ（ＵＲＬ）毎に判定実績を更新する。具体的には、第１の検出対象リスト２０９５のＵＲＬ「aaa.spam.com」の判定実績１７３が「２０」である場合、図１５に示した判定実績データのＵＲＬ「aaa.spam.com」の判定実績１５３「１５」を付加して、ＵＲＬ「aaa.spam.com」の判定実績１７３を「３５」に更新する。

受信した判定実績データを付加した後、ＣＰＵ２０３は、判定実績が所定の閾値以下である特徴情報データを第１の検出対象リスト２０９５から削除する処理を行う（ステップＳ１６０５）。

例えば、図１７に示す第１の検出対象リストにおいて、登録日１７５が３ヶ月以上であり、かつ、判定実績１７３が１０以下の特徴情報データを削除する。具体的には、現在が８月１日である場合にＵＲＬ「ccc.spam.co.jp」のデータレコード１７０３を削除する。

３−４まとめ
以上説明したように、この発明によれば、電子メール管理装置１３が特徴情報データを用いてスパムメールを判定したという判定実績を、スパムメール検出装置１１にフィードバックさせることができる。

これにより、スパムメール検出装置１１における第１の検出対象リスト２０９５のレコード増加を防ぐとともに、第１の検出対象リストに保存している特徴情報データを常にスパムメールのヒット率の高い状態に保つことができる。

４．その他の実施形態
上記実施形態においては、スパムメール検出装置１１において、スパムメール検出手段としてのスパムメール検出処理（図４、ステップＳ４０５）を設け、受信した電子メールがスパムであるか否かの判断を行うように構成したが、ダミーアドレスにおいて受信した電子メールは全てスパムメールであると判断する構成としてもよい。

これにより、ダミーアドレスに送信されてきたスパムメールにかかる特徴情報データを即時に電子メール管理装置１３に通知することができるようになり、電子メール管理装置１３におけるスパムメールの判定効率が向上する。

上記実施形態においては、ダミーアドレスを生成する際に、名字辞書ファイルを使用するように構成したが、他の辞書ファイルを使用してもよい。例えば、単語辞書ファイル、人名辞書ファイル等を使用してもよい。

上記実施形態においては、名字辞書ファイルのローマ字表記のみを使用してダミーアドレスを生成したが、任意の文字または数字とローマ字表記の名字を組み合わせてもよい。例えば、「yamamoto1234」の様に、乱数から取得した任意桁数の数字をローマ字表記に連結させてもよい。

上記実施形態においては、電子メールの特徴情報データとして、ＵＲＬを切り出すように構成したが、他の情報を用いるようにしてもよい。例えば、スパムメールの特徴を表していると考えられるような、送信元の電子メールアドレスや所定文言を用いるようにしてもよい。

上記実施形態においては、ダミーアドレスとし１つのドメイン「dtrust.com」のみを用いて説明したが、複数のドメインにおけるダミーアドレスを用いてもよい。

また、電子メール管理装置１３のドメインとして「provider.com」を用いているが、ダミーアドレスのドメインとして、電子メール管理装置１３で管理されている電子メールアドレスと同じドメインを用いるようにしてもよい。これにより、電子メール管理装置１３に送信されてくるスパムメールをより高精度に検出することができる。例えば、特定のドメインの不特定ユーザに対して送信されるスパムメールの検出が可能となる。

上記実施形態においては、図１に示す各機能を実現する為に、ＣＰＵを用いソフトウェアによってこれを実現している。しかし、その一部もしくは全てを、ロジック回路等のハードウェアによって実現してもよい。なお、プログラムの一部の処理をさらに、オペレーティングシステム（ＯＳ）にさせるようにしてもよい。

この発明のスパムメール判定システムの機能ブロック図の例を示す図である。 この発明のスパムメール検出装置のハードウェア構成図の例を示す図である。 この発明の電子メール管理装置のハードウェア構成図の例を示す図である。 この発明のスパムメール検出時におけるフローチャートの例を示す図である。 この発明のスパムメールの検出処理におけるフローチャートの例を示す図である。 この発明のスパムメール判定時におけるフローチャートの例を示す図である。 この発明のスパムメールの判定処理におけるフローチャートの例を示す図である。 この発明のスパムメールの対処処理におけるフローチャートの例を示す図である。 この発明のダミーアドレス生成処理におけるフローチャートの例を示す図である。 この発明のダミーアドレス公開用のＷｅｂページの例を示す図である。 この発明の名字辞書ファイルの例を示す図である。 この発明のユーザ情報ファイルの例を示す図である。 この発明の検出対象リストの例を示す図である。 この発明のスパムメールの検出処理におけるフローチャートの例を示す図である。 この発明のスパムメール判定システムの機能ブロック図の例を示す図である。 この発明のスパムメールの検出処理におけるフローチャートの例を示す図である。 この発明の検出対象リストの例を示す図である。 この発明の判定実績の更新時におけるフローチャートの例を示す図である。 この発明の検出対象リストの例を示す図である。

符号の説明

１１ スパムメール検出装置
１３ 電子メール管理装置
１５ スパムメール発信者端末

Claims (17)

1. 受信した電子メールからスパムメールを検出するスパムメール検出装置と、前記スパムメール検出装置と通信可能に設けられた電子メール管理装置とを有するスパムメール判定システムであって、
   スパムメール検出装置は、
   （ａ）スパムメール発信者に取得させたダミーアドレス宛に送信されてきた電子メールを受信する電子メール受信手段と、
   （ｂ）前記ダミーアドレス宛に送信されてきた電子メールをスパムメールと推定して、当該電子メールから特徴情報データを抽出する特徴情報抽出手段と、
   （ｄ）抽出された前記特徴情報データを電子メール管理装置に送信する特徴情報通知手段とを備え、
   電子メール管理装置は、
   （ｅ）スパムメール検出装置から特徴情報データを受信する特徴情報受信手段と、
   （ｆ）受信した前記特徴情報データに基づいて、外部から受信した電子メールがスパムメールであるか否かを判定するスパムメール判定手段とを備えたこと
   を特徴とするスパムメール判定システム。
2. 電子メール管理装置と通信可能に設けられたスパムメール検出装置であって、
   （ａ）スパムメール発信者に取得させたダミーアドレス宛に送信されてきた電子メールを受信する電子メール受信手段と、
   （ｂ）前記ダミーアドレス宛に送信されてきた電子メールをスパムメールと推定して、当該電子メールから特徴情報データを抽出する特徴情報抽出手段と、
   を備えたことを特徴とするスパムメール検出装置。
3. 電子メール管理装置と通信可能に設けられたスパムメール検出装置をコンピュータを用いて実現するためのプログラムであって、コンピュータに以下の手段を構成させることを特徴とするプログラム：
   （ａ）スパムメール発信者に取得させたダミーアドレス宛に送信されてきた電子メールを受信する電子メール受信手段と、
   （ｂ）ダミーアドレス宛に送信されてきた電子メールをスパムメールと推定して、当該電子メールから特徴情報データを抽出する特徴情報抽出手段。
4. 受信した電子メールからスパムメールを検出するスパムメール検出装置と通信可能に設けられた電子メール管理装置であって、
   （ｅ）スパムメール発信者に取得させたダミーアドレス宛に送信されてきた電子メールに基づいてスパムメール検出装置が抽出した特徴情報データを受信する特徴情報受信手段と、
   （ｆ）受信した前記特徴情報データに基づいて、外部から受信した電子メールがスパムメールであるか否かを判定するスパムメール判定手段と、
   を備えたことを特徴とする電子メール管理装置。
5. 受信した電子メールからスパムメールを検出するスパムメール検出装置と通信可能に設けられた電子メール管理装置をコンピュータを用いて実現するためのプログラムであって、コンピュータに以下の手段を構成させることを特徴とするプログラム：
   （ｅ）スパムメール発信者に取得させたダミーアドレス宛に送信されてきた電子メールに基づいてスパムメール検出装置が抽出した特徴情報データを受信する特徴情報受信手段と、
   （ｆ）受信した前記特徴情報データに基づいて、外部から受信した電子メールがスパムメールであるか否かを判定するスパムメール判定手段。
6. 受信した電子メールからスパムメールを検出するスパムメール検出装置と、前記スパムメール検出装置と通信可能に設けられた電子メール管理装置とを有するスパムメール判定システムであって、
   スパムメール検出装置は、
   （ａ）スパムメール発信者に取得させた少なくとも１以上のダミーアドレス宛に送信されてきた電子メールを受信する電子メール受信手段と、
   （ｂ）各ダミーアドレス宛に送信されてきた電子メールに基づいて、各電子メール毎に特徴情報データを抽出する特徴情報抽出手段と、
   （ｃ）抽出された前記特徴情報データに基づいて前記電子メールの中からスパムメールを検出するスパムメール検出手段と、
   （ｄ）前記電子メールの中からスパムメールが検出された場合において、前記特徴情報データを電子メール管理装置に送信する特徴情報通知手段とを備え、
   電子メール管理装置は、
   （ｅ）スパムメール検出装置から特徴情報データを受信する特徴情報受信手段と、
   （ｆ）受信した前記特徴情報データに基づいて、外部から受信した電子メールがスパムメールであるか否かを判定するスパムメール判定手段を備えたこと
   を特徴とするスパムメール判定システム。
7. 電子メール管理装置と通信可能に設けられたスパムメール検出装置であって、
   （ａ）スパムメール発信者に取得させた少なくとも１以上のダミーアドレス宛に送信されてきた電子メールを受信する電子メール受信手段と、
   （ｂ）各ダミーアドレス宛に送信されてきた電子メールに基づいて、各電子メール毎に特徴情報データを抽出する特徴情報抽出手段と、
   （ｃ）抽出された前記特徴情報データに基づいて前記電子メールの中からスパムメールを検出するスパムメール検出手段と、
   を備えたことを特徴とするスパムメール検出装置。
8. 電子メール管理装置と通信可能に設けられたスパムメール検出装置をコンピュータを用いて実現するためのプログラムであって、コンピュータに以下の手段を構成させることを特徴とするプログラム：
   （ａ）スパムメール発信者に取得させた少なくとも１以上のダミーアドレス宛に送信されてきた電子メールを受信する電子メール受信手段と、
   （ｂ）各ダミーアドレス宛に送信されてきた電子メールに基づいて、各電子メール毎に特徴情報データを抽出する特徴情報抽出手段と、
   （ｃ）抽出された前記特徴情報データに基づいて前記電子メールの中からスパムメールを検出するスパムメール検出手段。
9. 受信した電子メールからスパムメールを検出するスパムメール検出装置と通信可能に設けられた電子メール管理装置であって、
   （ｅ）スパムメール発信者に取得させた少なくとも１以上のダミーアドレス宛に送信されてきた電子メールに基づいてスパムメール検出装置が抽出した特徴情報データを受信する特徴情報受信手段と、
   （ｆ）受信した前記特徴情報データに基づいて、外部から受信した電子メールがスパムメールであるか否かを判定するスパムメール判定手段と、
   を備えたことを特徴とする電子メール管理装置。
10. 受信した電子メールからスパムメールを検出するスパムメール検出装置と通信可能に設けられた電子メール管理装置をコンピュータを用いて実現するためのプログラムであって、コンピュータに以下の手段を構成させることを特徴とするプログラム：
    （ｅ）スパムメール発信者に取得させた少なくとも１以上のダミーアドレス宛に送信されてきた電子メールに基づいてスパムメール検出装置が抽出した特徴情報データを受信する特徴情報受信手段と、
    （ｆ）受信した前記特徴情報データに基づいて、外部から受信した電子メールがスパムメールであるか否かを判定するスパムメール判定手段。
11. 請求項１〜３または６〜８のいずれかのスパムメール判定システム、スパムメール検出装置またはそのプログラムにおいて、
    前記スパムメール検出装置は、スパムメール発信者に取得させるためのダミーアドレスを生成するアドレス生成手段をさらに備えたことを特徴とするもの。
12. 請求項６〜８のいずれかのスパムメール判定システム、スパムメール検出装置またはそのプログラムにおいて、
    前記スパムメール検出装置は、
    スパムメールを検出するための特徴情報データを記憶した第１の検出対象リストおよび、特徴情報データを一時的に記憶する第２の検出対象リストを備えており、
    受信した電子メールから抽出した特徴情報データが、
    前記第１の検出対象リストに存在する場合には、当該電子メールをスパムメールと判定し、
    前記第１の検出対象リストに存在しない場合には、さらに前記第２の検出対象リストを参照し、
    前記第２の検出対象リストに存在する場合には、当該電子メールをスパムメールと判定し、
    前記第２の検出対象リストに存在しない場合には、前記特徴データを前記第２の検出対象リストに記憶することを特徴とするもの。
13. 請求項６〜８のいずれかのスパムメール判定システム、スパムメール検出装置またはそのプログラムにおいて、
    前記スパムメール検出装置は、
    スパムメールを検出するための特徴情報データを記憶した第１の検出対象リストおよび、特徴情報データを一時的に記憶する第２の検出対象リストを備えており、
    受信した電子メールから抽出した特徴情報データが、
    前記第１の検出対象リストに存在する場合には、当該電子メールをスパムメールと判定し、
    前記第１の検出対象リストに存在しない場合には、前記特徴情報データを前記第２の検出対象リストに記録し、
    前記第２の検出対象リストに記憶された前記特徴情報データの個数が所定の閾値以上となる場合には、当該電子メールをスパムメールと判定することを特徴とするもの。
14. 請求項１３のスパムメール判定システム、スパムメール検出装置またはそのプログラムにおいて、
    前記特徴情報データの個数が所定の閾値以上となる場合、当該電子メールをスパムメールと判定するとともに、前記特徴情報データを前記第１の検出対象リストに追加することを特徴とするもの。
15. 請求項１〜１４のいずれかのスパムメール判定システム、スパムメール検出装置、電子メール管理装置またはこれらのプログラムにおいて、
    前記電子メール管理装置は、
    前記スパムメール検出装置から受信した特徴情報データを記憶する検出対象リストを備えており、
    外部から受信した電子メールがスパムメールであると判定した場合に用いた特徴情報データの判定実績を、前記スパムメール検出装置に通知する判定実績通知手段を備え、
    前記スパムメール検出装置は、
    前記電子メール管理装置からの判定実績を受けて、前記第１の検出対象リストの特徴情報データを更新する特徴情報更新手段を備えたこと
    を特徴とするもの。
16. 受信した電子メールからスパムメールを検出するスパムメール検出装置と、前記スパムメール検出装置と通信可能に設けられた電子メール管理装置とを用いたスパムメール判定方法であって、
    スパムメール検出装置は、
    （ａ）スパムメール発信者に取得させたダミーアドレス宛に送信されてきた電子メールを受信する電子メール受信ステップと、
    （ｂ）前記ダミーアドレス宛に送信されてきた電子メールをスパムメールと推定して、当該電子メールから特徴情報データを抽出する特徴情報抽出ステップと、
    （ｄ）抽出された前記特徴情報データを電子メール管理装置に送信する特徴情報通知ステップとを備え、
    電子メール管理装置は、
    （ｅ）スパムメール検出装置から特徴情報データを受信する特徴情報受信ステップと、
    （ｆ）受信した前記特徴情報データに基づいて、外部から受信した電子メールがスパムメールであるか否かを判定するスパムメール判定ステップとを備えたこと
    を特徴とするスパムメール判定方法。
17. 受信した電子メールからスパムメールを検出するスパムメール検出装置と、前記スパムメール検出装置と通信可能に設けられた電子メール管理装置とを用いたスパムメール判定方法であって、
    スパムメール検出装置は、
    （ａ）スパムメール発信者に取得させた少なくとも１以上のダミーアドレス宛に送信されてきた電子メールを受信する電子メール受信ステップと、
    （ｂ）各ダミーアドレス宛に送信されてきた電子メールに基づいて、各電子メール毎に特徴情報データを抽出する特徴情報抽出ステップと、
    （ｃ）抽出された前記特徴情報データに基づいて前記電子メールの中からスパムメールを検出するスパムメール検出ステップと、
    （ｄ）前記電子メールの中からスパムメールが検出された場合において、前記特徴情報データを電子メール管理装置に送信する特徴情報通知ステップとを備え、
    電子メール管理装置は、
    （ｅ）スパムメール検出装置から特徴情報データを受信する特徴情報受信ステップと、
    （ｆ）受信した前記特徴情報データに基づいて、外部から受信した電子メールがスパムメールであるか否かを判定するスパムメール判定ステップを備えたこと
    を特徴とするスパムメール判定方法。
    

Images