JP2009535692A - 不正分析用スマートクッキー - Google Patents

Abstract

不正業務トランザクションアプリケーション（ＦＢＴＡ）は、不正トランザクションを監視するために、本発明の実施形態において提供される。顧客がインターネット業務トランザクションを実行するために、アカウントアクセス情報を供給する場合、ＦＢＴＡは、フィッシング侵入およびＩＤ窃盗を検出するために、オンライン不正緩和エンジンを用いる。実施形態はまた、不正トランザクションを決定するために有用である、進行速度およびトランザクション頻度の計算のために提供される。さらなる実施形態は、クライアントデバイス上に格納されたクッキーと、サーバ上に格納された挙動プロファイルとを用いて、トランザクションを認証するために提供される。

Description

（関連出願への相互参照）
本出願は、２００４年９月１７日に出願された米国出願第１０／９４３，４５４号の一部継続出願である、２００５年８月２３日に出願された米国出願第１１／２０９，８８５号の一部継続出願である、２００６年４月２６日に出願された米国出願第１１／４１１，６６０号の優先権を主張する。上記出願の全体は、参照によって本願明細書にそれぞれ援用される。

（本発明の分野）
本発明は、不正なオンライントランザクションを検出するための技術に関する。本発明は、トランザクションが不正であるか否かを決定するために、エンドユーザに関するＩＰアドレスおよび数多くの因子を受容することが可能な不正エンジン（ｆｒａｕｄ ｅｎｇｉｎｅ）を動作するための方法、システムおよびコンピュータプログラム製品を提供する。

本発明はまた、２つのアクセス位置の間の進行速度（ｔｒａｖｅｌ ｖｅｌｏｃｉｔｙ）を計算することと、２つのアクセス位置の間のユーザの進行速度に基づきトランザクションが不正であるか否かを決定することと、トランザクション頻度に基づきトランザクションが不正であるか否かを決定することとのための方法、システムおよびコンピュータプログラム製品に関する。本発明はさらに、クライアントデバイス上のクッキー内に格納された１つ以上の因子を、ユーザと関連づけられる挙動プロファイル内に格納された１つ以上の因子と比較することによって、トランザクションを認証するための方法、システムおよびコンピュータプログラム製品に関する。

（関連技術の説明）
インターネット上において身元を隠す容易さは、金融サービス組織が、「顧客を熟知しよう（ｋｎｏｗ ｙｏｕｒ ｃｕｓｔｏｍｅｒ）」というマントラ（ｍａｎｔｒａ）をオンラインの世界に対して掲げることを困難にしている。２００３年だけで、インターネット関連の不正は、連邦取引委員会によると、すべての不正報告の５５％を占め、前年から約４５％増加した。金融サービス組織が、彼らの顧客のより多くに対してオンラインにおいて良好に奉仕し続けるために、安全かつセキュアな環境を作り出すことが最優先される。従って、不正なオンライントランザクションを検出し、防止するための方法、システムおよびコンピュータプログラム製品に対するニーズおよび要求、ならびにオンライントランザクションを認証するための方法、システムおよびコンピュータプログラム製品に対するニーズが存在する。

（本発明の概要）
本発明の一実施形態は、不正なオンライントランザクションを決定するための方法、システムおよびコンピュータプログラム製品（便宜のために以下、「方法（ｍｅｔｈｏｄ）」または「複数の方法（ｍｅｔｈｏｄｓ）」）を提供する。一実施形態において、エンドユーザは、特定のトランザクションに関するパラメータおよび規則をシステム内へと入力する。特定のトランザクションに関するパラメータ、規則およびその他の情報に基づき、システムは、トランザクションが不正である可能性と関連づけられるスコアを計算する。スコアは次いで、エンドユーザによって設定され得る様々な閾値と比較される。スコアが閾値を超える場合、トランザクションは、不正であると決定される。トランザクションに関するデータはまた、エンドユーザに対して出力され得る。検討の上で、エンドユーザは、所与のトランザクションの不正ステータスを変更し得る。

本発明の別の実施形態は、第１のアクセス位置と第２のアクセス位置との間の進行速度を計算することと、トランザクションが不正であるか否かを決定するために進行速度を利用することと、そして計算されたトランザクション頻度に基づきトランザクションが不正であるか否かを決定することとのための方法、システムおよびコンピュータプログラムの製品を提供する。

本発明のさらなる実施形態は、クッキーを含むクライアントデバイスを動作するユーザによって実行されるトランザクションを認証するための方法、システムおよびコンピュータプログラム製品を提供し、クッキー内に格納された情報が、ユーザと関連づけられる挙動プロファイル内に格納された情報と比較される。

セル式携帯電話、携帯情報端末、無線通信デバイス、パーソナルコンピュータ、または本発明の実施形態を実行するために特別に設計された専用のハードウェアデバイスを含む様々なデバイスが、本発明のシステム、方法またはコンピュータプログラム製品を実行するために用いられ得ることは、当業者に明らかになるであろう。本発明の実施形態は、システムの法定の分類などの特定の法定の分類において記載され、請求され得るが、これは単に便宜のためであり、当業者は、本発明の各々の実施形態が、システム、装置、方法およびコンピュータプログラム製品を含む、任意の法定の分類において記載され、請求され得ることを理解する。

別段の明確な明示がない限り、本明細書中に記載されるいかなる方法または実施形態も、そのステップが、固有の順序で実行されることを必要とすると解釈されることは全く意図されない。従って、ステップが、固有の順序に制限されるべきであるとの方法、システムまたはコンピュータプログラム製品の主張が、特許請求の範囲または記載において特に明示されなければ、いかなる点でも一つの順序が推論されることは全く意図されない。このことは、ステップまたは動作フローの編成に関する論理の問題、文法構成または句読法から引出される単純な意味、または明細書中に記載される実施形態の数またはタイプを含む、解釈に対する明確でないあらゆる可能性を保有している。

本発明の前記ならびにその他の利点および特徴は、添付の図面を参照しながら以下に示される本発明の例示的な実施形態の詳細な説明からより明らかになる。

以下の詳細な説明において、本明細書の一部分を形成する添付の図面に対して参照が行われ、その図面において、本発明が実施され得る特定の実施形態が例示として示される。これらの実施形態は、当業者が本発明を実施することを可能にするために十分詳しく記載され、本発明の精神および範囲から逸脱することなく、その他の実施形態が利用され得、構造的、論理的およびプログラミングの変更がなされ得ることは、理解されるべきである。

（発明の詳細な説明）
本発明の方法、システムおよびコンピュータプログラム製品が開示され、説明されるに先立ち、本発明が固有の方法、固有の構成要素または特定の構成に（それらはもちろん変更され得るので）制限されないことは、理解されるべきである。本明細書中に用いられる用語は、単に特定の実施形態を説明する目的のためであり、制限されることを意図しないこともまた、理解されるべきである。

本明細書および添付の特許請求の範囲において用いられる場合、文脈が別段に明瞭に述べない限り、単数形「ａ」、「ａｎ」および「ｔｈｅ」は、複数の指示対象を含む。従って、例えば、「一つのエンコーダ」に対する参照は、複数のエンコーダを混合することを含み、「一つのエンコーダ」に対する参照は、２つ以上のそのような複数のエンコーダを混合することなどを含む。

用語「リスク因子」は、トランザクションと関連づけられるいくらかのレベルのリスクを有するトランザクションにおいて用いられる任意の因子を含む。

用語「静的リスク因子」は、ランタイムにおいて変わらない任意の因子を含む。

用語「動的リスク因子」は、ランタイムにおいて計算されるリスクの値を有する任意の因子を含む。

用語「リスク値」は、因子と関連づけられる任意の数値を含む。

用語「リスク重み」は、因子のリスク値が、リスクスコアの結果にどの程度影響するかを決定する任意の数値を含む。

用語「規則」は、リスク値に対してブール論理を適用する任意の条件ステートメントを含む。

用語「リスクスコア」は、リスク値およびリスク重みの計算、または直接リスクスコアを設定する規則に基づく、リスク値の任意の集合体を含む。

用語「オンライン不正緩和エンジン（ｏｎｌｉｎｅ ｆｒａｕｄ ｍｉｔｉｇａｔｉｏｎ ｅｎｇｉｎｅ）」（ＯＦＭＥ）は、多くの因子とともにＩＰアドレスを受容する本発明の任意の構成要素を含み、その構成要素は、それらの因子によって、所与のトランザクションが不正であるか否かを決定するために用いられ得るリスクスコアを、そのトランザクションに対して作成する。

用語「トランザクション」は、オンライン銀行預金口座アクセス、クレジットカード決済、オンライン請求書弁済（ｂｉｌｌ ｐａｙ）、電信送金、株式取引、個人情報を利用する商取引などの任意のタイプのオンライン活動を含む。

用語「トランザクション識別子」は、特定のリスクスコアモデルを識別する、任意の一意的なシステム生成された数値を含む。

用語「リスクスコアモデル」は、不正なトランザクションを識別するために用いられる、論理的な規則、適用可能な静的因子および動的因子、因子に対するリスク重み、不正スコアアルゴリズム、リスクスコア閾値および理由コードの任意の組を含む。

用語「ユーザ」または「クライアント」は、１人以上の人物、１つ以上の実体またはコンピュータを含む。

用語「（複数の）方法」、「（複数の）システム」および「（複数の）コンピュータプログラム製品」は、本発明の様々な実施形態内において交換可能に用いられ得る。

本発明の複数の方法は、本発明の様々な実施形態を実行するようにプログラムされたプロセッサを用いて実行され得る。図８は、様々な実施形態を実行するための例示的な動作環境を示すブロック図である。この例示的な動作環境は、単なる動作環境の実施例であり、使用の範囲または動作環境アーキテクチャの機能性に関して、いかなる制限を示唆することを意図されない。動作環境は、例示的な動作環境において示される構成要素の任意の１つまたは構成要素の組合せと関連する、いかなる従属物または要件をも有しないと解釈されるべきである。

本方法は、多くのその他の汎用または専用のコンピュータシステム環境または構成によって動作可能であり得る。本方法とともに用いることが適切であり得る周知のコンピューティングシステム、環境および／または構成の例は、パーソナルコンピュータ、サーバコンピュータ、ラップトップデバイスおよびマルチプロセッサシステムを含むが、これらに制限されない。追加の例は、セットトップボックス、プログラマブルな家電製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、上記のシステムまたはデバイスのいずれかを含む分散コンピューティング環境など、を含む。

本方法は、コンピュータによって実行される、プログラムモジュールなどのコンピュータ命令の一般的なコンテキストにおいて記述され得る。一般的に、プログラムモジュールは、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含み、特定のタスクを実行するか、または特定の抽象的なデータタイプを実装する。本方法はまた、通信ネットワークを介してリンクされるリモート処理デバイスによってタスクが実行される、分散コンピューティング環境において実行され得る。分散コンピューティング環境において、プログラムモジュールは、メモリ格納デバイスを含むローカルコンピュータおよびリモートコンピュータの格納媒体内に置かれ得る。

本明細書中に開示される方法は、コンピュータ８０１の形式における汎用コンピュータデバイスを介して実装され得る。コンピュータ８０１の構成要素は、１つ以上のプロセッサまたは処理ユニット８０３、システムメモリ８１２、そしてプロセッサ８０３を含む様々なシステム構成要素をシステムメモリ８１２に連結する、システムバス８１３を含み得るが、これらに制限されない。

図８におけるプロセッサ８０３は、Ｉｎｔｅｌ Ｃｏｒｐｏｒａｔｉｏｎによって製造されるＰＥＮＴＩＵＭ（登録商標）ＩＶ、またはＡｄｖａｎｃｅｄ Ｍｉｃｒｏ Ｄｅｖｉｃｅｓ Ｃｏｒｐｏｒａｔｉｏｎによって製造されるＡＴＨＬＯＮ ６４プロセッサを含む、ｘ−８６互換プロセッサであり得る。Ａｐｐｌｅ、ＩＢＭ、またはＮＥＣによって製造される、その他の命令セットを利用するプロセッサを含む、それらのプロセッサもまた用いられ得る。

システムバス８１３は、バス構造のいくつかの可能なタイプの１つ以上を代表し、様々なバスアーキテクチャのいずれかを用いる、メモリバスまたはメモリコントローラ、周辺バス、加速式（ａｃｃｅｌｅｒａｔｅｄ）グラフィックポート、およびプロセッサバスまたはローカルバスを含む。例として、そのようなアーキテクチャは、Ｉｎｄｕｓｔｒｙ Ｓｔａｎｄａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ（ＩＳＡ）バス、Ｍｉｃｒｏ Ｃｈａｎｎｅｌ Ａｒｃｈｉｔｅｃｔｕｒｅ（ＭＣＡ）バス、Ｅｎｈａｎｃｅｄ ＩＳＡ（ＥＩＳＡ）バス、Ｖｉｄｅｏ Ｅｌｅｃｔｒｏｎｉｃｓ Ｓｔａｎｄａｒｄｓ Ａｓｓｏｃｉａｔｉｏｎ（ＶＥＳＡ）ローカルバス、およびＭｅｚｚａｎｉｎｅバスとしても公知のＰｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔｓ（ＰＣＩ）バス、を含み得る。上記バスおよびこの記載において明記されたすべてのバスはまた、有線ネットワークまたは無線ネットワーク接続を介して実装され得る。バス８１３およびこの記載において明記されたすべてのバスはまた、有線ネットワークまたは無線ネットワーク接続およびサブシステムの各々を介して実装され得る。サブシステムは、プロセッサ８０３、大容量格納デバイス８０４、オペレーティングシステム８０５、アプリケーションソフトウェア８０６、データ８０７、ネットワークアダプタ８０８、システムメモリ８１２、入力／出力インターフェイス８１０、ディスプレイアダプタ８０９、ディスプレイデバイス８１１、およびヒューマンマシンインターフェイス８０２を含み、物理的に離れた場所にあり、この形式のバスを介して接続され、完全に分散型システムを実装する効果がある、１つ以上のリモートコンピューティングデバイス８１４ａ、８１４ｂ、８１４ｃ内に収容され得る。

図８におけるオペレーティングシステム８０５は、ＭＩＣＲＯＳＯＦＴ ＷＩＮＤＯＷＳ（登録商標）ＸＰ、ＷＩＮＤＯＷＳ（登録商標）２０００、ＷＩＮＤＯＷＳ（登録商標）ＮＴ、またはＷＩＮＤＯＷＳ（登録商標）９８、およびＲＥＤＨＡＴ ＬＩＮＵＸ、ＦＲＥＥ ＢＳＤ、またはＳＵＮ ＭＩＣＲＯＳＹＳＴＥＭＳ ＳＯＬＡＲＩＳなどのオペレーティングシステムを含む。さらに、アプリケーションソフトウェア８０６は、ＭＩＣＲＯＳＯＦＴ ＩＮＴＥＲＮＥＴ ＥＸＰＬＯＲＥＲまたはＭＯＺＩＬＬＡ ＦＩＲＥＦＯＸなどのウェブブラウザソフトウェアを含み得、これらは、ディスプレイデバイス８１１上において、ＨＴＭＬ、ＳＧＭＬ、ＸＭＬ、または任意の他の適切に構築された文書言語をユーザが見ることを可能にする。

コンピュータ８０１は、一般的に様々なコンピュータ読取り可能な媒体を含む。そのような媒体は、コンピュータ８０１によってアクセス可能であり、揮発性の媒体および不揮発性の媒体の両方、リムーバブルの媒体および非リムーバブルの媒体の両方を含む、任意の利用可能な媒体であり得る。システムメモリ８１２は、ランダムアクセスメモリ（ＲＡＭ）などの揮発性メモリ、および／または読出し専用メモリ（ＲＯＭ）などの不揮発性メモリという形式の、コンピュータ読取り可能な媒体を含む。システムメモリ８１２は、処理ユニット８０３によって即座にアクセス可能で、かつ／または現在動作させられている、データ８０７などのデータ、および／またはオペレーティングシステム８０５およびアプリケーションソフトウェア８０６などのプログラムモジュール、を一般的に含む。

コンピュータ８０１は、他のリムーバブル／非リムーバブルの、揮発性／不揮発性のコンピュータ格納媒体をも含み得る。例として、図８は、コンピュータコード、コンピュータ読取り可能な命令、データ構造、プログラムモジュール、およびその他のデータの不揮発性の格納をコンピュータ８０１に提供し得る、大容量格納デバイス８０４を例示する。例えば、大容量格納デバイス８０４は、ハードディスク、リムーバブル磁気ディスク、リムーバブル光ディスク、磁気カセットまたはその他の磁気格納デバイス、フラッシュメモリカード、ＣＤ−ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）またはその他の光学ストレージ、ランダムアクセスメモリ（ＲＡＭ）、読出し専用メモリ（ＲＯＭ）、電気的消去可能プログラム可能読出し専用メモリ（ＥＥＰＲＯＭ）などであり得る。

例えば、オペレーティングシステム８０５およびアプリケーションソフトウェア８０６を含む、任意の数のプログラムモジュールが、大容量格納デバイス８０４上に格納され得る。オペレーティングシステム８０５およびアプリケーションソフトウェア８０６（または、それらのいくつかの組合せ）の各々は、プログラミングおよびアプリケーションソフトウェア８０６のエレメントを含み得る。データ８０７もまた、大容量格納デバイス８０４上に格納され得る。データ８０４は、当該分野において公知である、１つ以上のデータベースのいずれかに格納され得る。そのようなデータベースの例は、ＤＢ２（登録商標）、Ｍｉｃｒｏｓｏｆｔ（登録商標） Ａｃｃｅｓｓ、Ｍｉｃｒｏｓｏｆｔ（登録商標） ＳＱＬ Ｓｅｒｖｅｒ、Ｏｒａｃｌｅ（登録商標）、ｍｙＳＱＬ、ＰｏｓｔｇｒｅＳＱＬなどを含む。データベースは、集中化されるか、または複数のシステムにわたって分散され得る。

ユーザは、入力デバイス（図示されない）を介して、コンピュータ８０１内にコマンドおよび情報を入力し得る。そのような入力デバイスの例は、キーボード、ポインティングデバイス（例えば、「マウス」）、マイクロホン、ジョイスティック、シリアルポート、スキャナなどを含むが、これらに限定されない。これらおよびその他の入力デバイスは、システムバス８１３に連結されるヒューマンマシンインターフェイス８０２を介して、処理ユニット８０３と接続され得るけれども、パラレルポート、シリアルポート、ゲームポート、またはユニバーサルシリアルバス（ＵＳＢ）などの、その他のインターフェイスおよびバス構造によって接続され得る。

ディスプレイデバイス８１１もまた、ディスプレイアダプタ８０９などのインターフェイスを介して、システムバス８１３と接続され得る。例えば、ディスプレイデバイスは、陰極線管（ＣＲＴ）モニタまたは液晶ディスプレイ（ＬＣＤ）であり得る。ディスプレイデバイス８１１に加えて、その他の出力周辺デバイスは、入力／出力インターフェイス８１０を介してコンピュータ８０１と接続され得る、スピーカ（図示されない）およびプリンタ（図示されない）などの構成要素を含み得る。

コンピュータ８０１は、１つ以上のリモートコンピューティングデバイス８１４ａ、８１４ｂ、８１４ｃへの論理接続を用いて、ネットワーク化された環境において動作し得る。例として、リモートコンピューティングデバイスは、パーソナルコンピュータ、ポータブルコンピュータ、サーバ、ルータ、ネットワークコンピュータ、ピアデバイスまたは他の共通ネットワークノードなどであり得る。コンピュータ８０１とリモートコンピューティングデバイス８１４ａ、８１４ｂ、８１４ｃとの間の論理接続は、ローカルエリアネットワーク（ＬＡＮ）および一般のワイドエリアネットワーク（ＷＡＮ）を介して構成され得る。そのようなネットワーク接続は、ネットワークアダプタ８０８を介し得る。ネットワークアダプタ８０８は、有線の環境および無線の環境の両方において実装され得る。そのようなネットワーク環境は、オフィス、企業全体のコンピュータネットワーク、イントラネットおよびインターネット８１５において一般的である。

例示の目的のために、アプリケーションプログラムおよびオペレーティングシステム８０５などの他の実行可能なプログラムコンポーネントが、コンピューティングデバイス８０１の異なる格納構成要素において幾重にも存在することは認識されるけれども、そのようなアプリケーションプログラムおよび他の実行可能プログラムコンポーネントは、個別のブロックとして本明細書中に例示され、コンピュータの（複数の）データプロセッサによって実行される。アプリケーションソフトウェア８０６の実装は、ある種のコンピュータ読取り可能な媒体に格納されるか、またはそれを介して伝送され得る。開示された方法の実装もまた、ある種のコンピュータ読取り可能な媒体に格納されるか、またはそれを介して伝送され得る。コンピュータ読取り可能な媒体は、コンピュータによってアクセスされ得る任意の利用可能な媒体であり得る。例として、限定はされないが、コンピュータ読取り可能な媒体は、「コンピュータ格納媒体」および「通信媒体」を含み得る。「コンピュータ格納媒体」は、コンピュータ読取り可能な命令、データ構造、プログラムモジュール、またはその他のデータなどの情報のストレージのための、任意の方法または技術を実装される揮発性および不揮発性の媒体、リムーバブルおよび非リムーバブルの媒体を含む。コンピュータ格納媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリまたはその他のメモリ技術、ＣＤ−ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）またはその他の光学ストレージ、磁気カセット、磁気テープ、磁気ディスクストレージまたはその他の磁気格納デバイス、または所望される情報を格納するために用いられ得、そしてコンピュータによってアクセスされ得る任意のその他の媒体を含むが、これらに制限されない。

図９は、本発明の一実施形態のインターネット８１５の論理的な概観を例示する。例えば、図８に描かれたリモートコンピューティングデバイス８１４ａ、８１４ｂ、８１４ｃなどの、１つ以上のクライアントコンピュータ８０１は、９０１−１、９０１−２および９０１−３において描かれるように、インターネット８１５と接続し得る。さらに、８０１において描かれたタイプの１つ以上のコンピュータ９０２−１、９０２−２および９０２−３は、サーバとして作用し得、ＨＴＴＰ要求を介するウェブページ、データベースアクセス、リモート端末サービス、デジタルファイルのダウンロードまたはアップロード、あるいは任意のその他の所望されるサービスを提供する。さらに、１つ以上のクライアントコンピュータ（例えば、９０１−１）が、インターネットアクセス可能なサーバコンピュータ９０２−１として作用し得、逆もまた同様である。

（オンライン不正緩和エンジン）
図１は、本発明の一実施形態に従う、オンライン不正トランザクションの決定を実行するためのステップを例示するフローチャートである。ステップ１０５において、入力パラメータが、エンドユーザ（例えば、銀行機関）によってＯＦＭＥ内に入力される。ＯＦＭＥは、選択されたリスクスコアモデルに対してランタイム環境を提供する。ＯＦＭＥは、入力パラメータを受信するための、規則ベースエンジンを提供する。例えば、入力パラメータは、トランザクション識別子、ＩＰアドレス、日付／タイムスタンプ、一意の識別子および数多くの処理のための静的な因子である。ＯＦＭＥはその後、インターネットユーザのＩＰアドレスに関して関連情報（例えば、インターネットユーザの位置）をＮｅｔＡｃｕｉｔｙサーバから検索する。ＮｅｔＡｃｕｉｔｙサーバの動作は、本願の譲受人に対して同一人に譲渡された、米国特許出願第０９／８３２，９５９号において論じられ、上記出願の全体は、参照によって本願明細書に援用される。

一意のトランザクション識別子は、所与のインターネットベースのトランザクションと関連づけられ、どのリスクスコアモデルが所与のトランザクションに対して利用されるべきかを決定するために、ＯＦＭＥによって用いられる。不正リスクアドバイザ（Ｆｒａｕｄ Ｒｉｓｋ Ａｄｖｉｓｏｒ）は、トラッキングの目的のためにトランザクション識別子を用いる。結果は次いで、データベース内に格納される。

追加の入力パラメータは、エンドユーザから供給されたデータによって、ＯＦＭＥ内に入力され得る。例えば、エンドユーザは、ホットファイル（ｈｏｔ ｆｉｌｅ）、疑わしいＩＰリストなどを利用し得、それらは、決定プロセスにおいてＯＦＭＥによって用いられる。一旦ＯＦＭＥが指定された入力パラメータを受信すると、不正リスクアドバイザは、ステップ１１２に進む。ステップ１１２において、エンドユーザは、一組の標準的なリスクスコアモデルまたは特定の決定に用いられるエンドユーザ定義のリスクスコアモデルから選択する。

ＯＦＭＥが適切なリスクスコアモデルをロードした後、本発明は、ステップ１１４に進み、ここでＯＦＭＥが、所与の組の因子を評価し、各々の所与の因子に対するリスク値を決定する。一旦リスク値がＯＦＭＥと関連づけられる各々の因子に対して決定されると、本発明は、ステップ１１６に進み、ここでＯＦＭＥが、所与の組の規則を評価し、リスクスコアを決定する。

リスクスコアが、ルールマッチ（ｒｕｌｅ ｍａｔｃｈ）によって決定されている場合に、本実施形態は、ステップ１１８に進み、ここでＯＦＭＥが、集合体リスクスコアを決定するために、リスクスコアアルゴリズムを実行する。ＯＦＭＥは、集合体リスクスコアを決定するために、評価規則（ｒｕｌｅｓ ｅｖａｌｕａｔｉｏｎ）からの標準リスク値、およびオプションの静的リスクスコアを用いる。例えば、規則ベースリスクスコアは、０から１，０００までの値を割り当てられ得る。０のリスクスコアは、高度に不正であると認められるトランザクションに割り当てられ、そして１，０００のリスクスコアは、小さい不正のリスクを有すると認められるスコアに割り当てられる。

ステップ１１８において計算されたリスクスコアと、エンドユーザによって定義された閾値の範囲とに依存して、ＯＦＭＥは、トランザクションが、ステップ１２０またはステップ１２２のいずれに進むかを決定する。スコアが所定の閾値レベルを超える場合、ＯＦＭＥはステップ１２０に進む。なぜならば、トランザクションが不正であると決定されるからである。従って、トランザクションは、フラグを付けられ、各因子の値および各因子の値に対する理由コードとともに、さらなる検討のためにエンドユーザに転送される。スコアが所定の閾値の範囲内にある場合、ＯＦＭＥは、ステップ１２２に進む。なぜならば、トランザクションが正当であると決定されるからである。代替において、スコアが所定の閾値の範囲内にある場合、ＯＦＭＥは、クッキーおよび挙動プロファイルを用いてトランザクションを認証するように描かれた、本発明の１つ以上の実施形態（図１０、図１１および図１２において例示される実施形態など）を用いて、さらにトランザクションを認証し得る。

ステップ１３０において、エンドユーザは、未決定のトランザクションのためにＯＦＭＥから出力を受信する。トランザクションが、ＯＦＭＥによって不正であると決定される場合、エンドユーザは、トランザクションに対する因子の値および理由コードを含む結果をＯＦＭＥから受信する。さらに、ＯＦＭＥは、トランザクションが正当であると考えられる場合においても、本発明のリアルタイムの統計を更新し、トランザクションに関するすべての関連データ（例えば、ＩＰアドレス）をデータベース内に格納する。格納されたデータは、報告の目的と、リスクスコアモデルのリスク重みを更新するための分析の目的、あるいは一定の因子または規則を削除するための分析の目的との両方に対して用いられる。エンドユーザは、ＯＦＭＥの結果を無効にする能力を有し、正当であると決定されたトランザクションが疑わしいときにフラグを付け得、または疑わしいトランザクションを正当であるとみなし得る。

図２の例示は、本発明が用いられ得る例示的な処理システム２００である。システム２００は、ユーザインターフェイス２２０を含み、ここでエンドユーザは、パラメータ、規則およびユーザ定義の機能をＯＦＭＥ２０２に入力し得る。ユーザインターフェイス２２０は、複数のユーザインターフェイスを含み得る。ユーザインターフェイス２２０はまた、一定のトランザクションに関してＯＦＭＥ２０２から出力データを受信する。ユーザインターフェイス２２０は、グラフィカルベースまたはウェブベースであり得るか、または任意の他の適切な入力メカニズムを用い得る。

一旦ＯＦＭＥ２０２がユーザインターフェイス２２０からデータを受信すると、ＯＦＭＥ２０２は、このデータと関連づけられる情報を、例えば、ＮｅｔＡｃｕｉｔｙサーバ２０６、正当性検証（ｖａｌｉｄａｔｉｏｎ）サーバ２０４および挙動トラッキングデータベース２０８から取得する。正当性検証サーバ２０４は、エンドユーザによって供給されたＥメールアドレスおよびエリアコード（ａｒｅａ ｃｏｄｅ）を所与のトランザクションに対して検証する。

挙動トラッキングデータベース２０８は、現在のインターネットベースのトランザクションが、インターネットユーザの正常な挙動と合致するか否かを決定するために、所与のインターネットユーザと関連づけられる一意の識別子を用いる。一意の識別子は、例えば、ユーザの名前、デビットカード番号、クレジットカード番号、銀行預金口座番号または社会保障番号などの、ユーザを一意に識別するために有用な任意の識別子であり得る。一意の識別子は、様々な実施形態においてユーザから供給され得、検索可能な挙動トラッキングデータベース２０８内に格納され得る。インターネットユーザが、インターネットベースのトランザクションを実行する場合に、挙動トラッキングデータベース２０８が検索され、利用可能な場合、一意の識別子と一緒に格納もされ得る地理的データが、ＩＳＰおよびドメインとともに引き出される。この情報は次いで、現在の未決定のインターネットベースのトランザクションに対する、現在のＩＰアドレスと関連づけられる地理的データ、ＩＳＰおよびドメイン情報と比較される。比較の結果、アクセス挙動因子は、現在の未決定のインターネットベースのトランザクションが、不正であるか否かを決定するために用いられる。アクセス挙動違反が決定される場合、自動化されたチャレンジ／レスポンスは、アカウントにアクセスするインターネットユーザをリアルタイムに検証するために用いられ得る。インターネットユーザに対する挙動トラッキングデータベース２０８において、現在のＩＰアドレスに対して利用可能な履歴が全く存在しない場合、現在のＩＰアドレスと関連づけられる、現在の地理的データ、ＩＳＰおよびドメイン情報が、挙動トラッキングデータベース２０８に追加される。従って、インターネットユーザがアカウントを作成する場合に、アクセス挙動は、不正検出のための因子として用いられない。挙動トラッキングデータベース２０８はまた、本発明の実施形態において記載される、１つ以上の挙動プロファイルを格納するために用いられ得る。

インターネットユーザに割り当てられる一意の識別子は、複数のアクセス挙動を格納し得る。さらに、インターネットユーザが、例えば、長期旅行、住所変更などにより彼らのアクセス挙動を変更し得るので、エンドユーザは、ＯＦＭＥ２０２によって返されるアクセス挙動違反を無効にし得る。

ＯＦＭＥ２０２は、所与のトランザクションと関連づけられるリスクスコアを決定するために、ユーザインターフェイス２２０、ＮｅｔＡｃｕｉｔｙサーバ２０６、正当性検証サーバ２０４および挙動トラッキングデータベース２０８によって供給される情報を用いる。一旦ＯＦＭＥ２０２がリスクスコアを計算すると、リスクスコアは、トランザクションに関する任意の関連情報とともに、挙動トラッキングデータベース２０８、リアルタイム統計データベース２１２、ユーザインターフェイス２２０およびＯＦＭＥデータストレージデータベース２１０に送られる。

一実施形態において、ＯＦＭＥデータストレージデータベース２１０は、ＯＦＭＥ２０２から受信されたデータを、長期間ストレージするために、ＯＦＭＥ出力ウェアハウスストレージ２１８に転送し得る。さらに、ＯＦＭＥデータストレージデータベース２１０は、ＯＦＭＥ２０２から受信されたデータを、処理し、かつユーザインターフェイス２２０に出力するために、報告サブシステム２１４および法的（ｆｏｒｅｎｓｉｃｓ）サブシステム２１６の両方に転送し得る。法的サブシステム２１６は、リスクスコアモデルを実行することによって生成された情報を調べる能力をエンドユーザに提供する。従って、エンドユーザは、なぜトランザクションが疑わしいと考えられるか、またはなぜトランザクションが疑わしいと考えられなかったかを決定し得る。報告サブシステム２１４は、エンドユーザに対して様々な報告、例えば、疑わしいとしてフラグを付けられたトランザクションの数、を提供する。

（進行速度の計算）
本発明の一実施形態において、方法は、第１のＩＰアドレスを用いる第１のアクセス位置と、第２のＩＰアドレスを用いる第２のアクセス位置との間の進行速度を計算するために提供される。進行速度を計算することは、いくつかの実用性を有し、それらは、不正トランザクションを決定すること、ネットワーク解析、ユーザプロファイリング、ユーザアカウントの検証およびトラッキング、ネットワークアクセスプロバイダ分析、ならびに広告を含んでいる。進行速度はまた、不正トランザクションを決定するために、ＯＦＭＥ２０２によって利用される因子であり得る。

図３は、進行速度を計算するために有用である、本発明の一実施形態を例示する。第一に、第１のアクセス位置が、第１のインターネットプロトコル（「ＩＰ」）アドレスに基づき決定される３０１。第二に、第１のアクセス時間が決定される３０２。第三に、第２のアクセス位置が、第２のＩＰアドレスに基づき決定される３０３。第四に、第２のアクセス時間が決定される３０４。最後に、第１のアクセス位置と第２のアクセス位置との間の進行速度が、第１のアクセス位置３０１および第１のアクセス時間３０２、ならびに第２のアクセス位置３０３および第２のアクセス時間３０４の関数として計算される３０５。

進行速度を計算するために有用である、本発明のさらなる実施形態が、図４において論理的に例示される。図４の実施形態は、図３のステップ３０５から続いているが、ステップの特定の順序は、明確にもまたは暗黙にも必要とはされない。この実施形態において、第１のアクセス位置３０１と第２のアクセス位置３０３との間の距離が計算される４０１。第二に、時間差が、第１のアクセス時間３０２と第２のアクセス時間３０４との間において計算される４０２。第三に、進行速度は、計算された距離４０１を計算された時間差４０２で割ることにより、第１のアクセス位置３０１と第２のアクセス位置３０３との間において計算される４０３。

図４の実施形態に従い、単に例示の目的のために、第１のＩＰアドレスが、２４．１３１．３６．５４であり、第１のアクセス時間３０２が、午後１：００ＥＳＴであると仮定する。ＩＰアドレスに対応する位置（例えば、ＮｅｔＡｃｕｉｔｙサーバによって提供される位置）を決定するための方法は、第１のＩＰアドレスが、米国のジョージア州アトランタの第１の位置３０１に対応することを決定するために用いられる。次に、１４４．２１４．５．２４６の第２のＩＰアドレスが提供され、第２のアクセス時間３０４は、午後１：０５ＥＳＴである。ここでまた、１４４．２１４．５．２４６が、中国の香港の第２のアクセス位置３０３に対応することを決定するために、方法が用いられる。

次に、アトランタの第１のアクセス位置３０１と香港の第２のアクセス位置３０３との間の距離は、約８４０５マイルであると計算される４０１。午後１：００ＥＳＴの第１のアクセス時間３０２と午後１：０５ＥＳＴの第２のアクセス時間３０４との間の計算された時間差４０２は５分である。従って、８４０５マイルの計算された距離４０１が、５分の時間差４０２によって割られて、８４０５マイル／５分または１００，８６０マイル／時の進行速度４０３を計算する。この進行速度は、嫌疑を起こさせる高さである。

（ユーザの進行速度の計算）
本発明の一実施形態において、方法は、第１のＩＰアドレスを用いる第１のアクセス位置と、第２のＩＰアドレスを用いる第２のアクセス位置との間のユーザの進行速度を計算するために提供される。ユーザの進行速度を計算することは、いくつかの実用性を有し、それらは、不正トランザクションを決定すること、ネットワーク解析、ユーザプロファイリング、ユーザアカウントの検証およびトラッキング、ネットワークアクセスプロバイダ分析、ならびに広告を含んでいる。ユーザの進行速度はまた、不正トランザクションを決定するために、ＯＦＭＥ２０２によって利用される因子であり得る。

図５は、ユーザの進行速度を計算するために有用である、本発明の一実施形態を例示する。第一に、第１のアクセス位置５０１が、ユーザに対して決定される。第１のアクセス位置５０１は、様々な方法、例えば、第１のアクセス位置５０１を決定するためにユーザのＩＰアドレスを用いること、ユーザの挙動プロファイルから第１のアクセス位置５０１を検索すること、またはユーザが供給した第１のアクセス位置５０１を用いること、によって決定され得る。

第二に、第１のアクセス時間５０２が、ユーザに対して決定される。次いで第２のアクセス位置が、ユーザのＩＰアドレスに基づきユーザに対して決定される５０３。第四に、第２のアクセス時間が、ユーザに対して決定される５０４。それから、本実施形態の方法は、第１のアクセス位置５０１と第２のアクセス位置５０３との間におけるユーザの進行速度を計算する５０５。ユーザの進行速度は、図４において実施された方法を含め、様々な方法を用いて計算され得る。

図５に基づくさらなる実施形態において、第１のアクセス位置５０１および第１のアクセス時間５０２は、ユーザと関連づけられる挙動プロファイルから決定される。他の実施形態において、第１のアクセス位置５０１は、ユーザの最後の正当なアクセス位置に基づき決定され得る。別の実施形態において、第２のアクセス位置５０３および第２のアクセス時間５０４は、ユーザの現在のアクセス位置および現在のアクセス時間である。

（不正トランザクションの決定）
本発明の一実施形態において、方法は、ユーザの進行速度を不正因子として用いることによって、トランザクションが不正であるか否かを決定するために提供される。ユーザの進行速度に基づき、トランザクションが不正であるか否かを決定することは、いくつかの実用性を有する。それらの実用性は、オンラインにおける（ＩＤ窃盗（ｉｄｅｎｔｉｆｙ ｔｈｅｆｔ）、フィッシングＥメール、ハッキング、スパイウェア、トロイの木馬などに起因し得る）個人情報の窃盗および使用を差し止め、抑止することなどである。同様に、同じ方法は、トランザクションが合法であるか否かを決定するために用いられ得る。

ユーザの進行速度に基づき、トランザクションが不正であるか否かを決定するための方法の一実施形態が、図６において例示される。第一に、ユーザの進行速度が、第１のアクセス位置と第２のアクセス位置との間において計算される６０１。ユーザの進行速度を計算するための一実施形態が、図５のステップ５０１からステップ５０５において提供される。進行速度を計算するための他の方法はまた、図６の実施形態において利用され得る。不正トランザクションを決定するための本明細書中に含まれる様々な実施形態は、ＯＦＭＥ２０２を利用し得る。

トランザクションが不正であるか否かを決定するために、１つ以上の因子を含む挙動プロファイルは、図６の実施形態およびその他の実施形態において利用され得る。ここで因子は、アクセス位置、アクセス日付、アクセス時間、地理的な位置、ドメイン情報、ネットワークＩｄ、接続タイプ、１つ以上のＩＰアドレス、ユーザの名前、Ｅメールアドレス、デビットカード番号、クレジットカード番号、銀行預金口座番号、社会保障番号、ＨＴＴＰヘッダ情報、進行速度、電話番号、エリアコード、トランザクション頻度、オペレーティングシステム、プロセッサ識別番号、本来の言語（ｎａｔｕｒａｌ ｌａｎｇｕａｇｅ）、ホストタイプ、人口統計学的情報、または広告情報、のうちの少なくとも１つである。挙動プロファイルは有用である。なぜならば、挙動プロファイルは、１つ以上の因子に対応する１つ以上の変数が持続的に格納されることを可能にし、実施形態が、第１のアクセス位置と第２のアクセス位置との間の進行速度または不正の可能性を決定することだけでなく、複数のアクセス位置、アクセス時間、ＩＰアドレスなどにわたる不正な活動のパターンを決定することを可能にするからである。挙動プロファイルは、図２の実施形態における挙動トラッキングデータベース２０８などのデータベース内に格納され得る。

第二に、図６の方法は、ユーザのＩＰアドレスに基づく１つ以上の追加の因子が計算されるか否かを決定する。６０１において、ユーザの進行速度のみが計算される必要はあるけれども、ユーザのＩＰアドレスに基づく因子を含む追加の因子が、様々な実施形態において用いられ得る。６０３において計算される追加の因子のタイプおよび数は、不正なトランザクションの決定を最適化するために、異なる実施形態の間において変化し得る。

追加の因子がまだ残存すると決定される場合６０２、その追加の因子は計算される６０３。次に、図６の方法はそれから、計算されるべき追加の因子が全く残存しなくなるまで、残りの追加の因子を決定し６０２、計算する６０３。そして図６の方法を、ステップ６０４に進ませる。

図６の実施形態に基づく一実施形態において、６０３において計算される追加の因子は、ユーザのＩＰアドレスと関連づけられる国、地域または都市を含む。図６の実施形態を拡張する別の実施形態において、６０３において計算される因子は、ＩＰアドレスと関連づけられるユーザの意図される位置と比較して、ユーザの近隣（ｐｒｏｘｉｍｉｔｙ）であり得る。６０３において計算される因子はまた、ユーザの接続タイプ（例えば、ダイヤルアップ、サービス統合デジタル網（ＩＳＤＮ）、ケーブルモデム、デジタル加入者回線（ＤＳＬ）、Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ １（Ｔｌ）、またはオプティカルキャリア ３（ＯＣ３））を含む。因子６０３はまた、ホストタイプ（例えば、個人のネットワークエンドポイント、企業のネットワークエンドポイント、個人のプロキシまたは企業のプロキシ、個人のファイアウォールまたは企業のファイアウォールなど）を含み得る。

図６の実施形態を拡張する追加の実施形態は、ユーザによって供給された因子を利用し得る。それらの因子は、ＩＰアドレスと関連づけられる住所と比較するための、クライアントによって供給された住所、クライアントと関連づけられるデータベース内に格納されたエリアコードおよび電話番号と比較するための、クライアントによって供給されたエリアコードおよび電話番号、またはクライアントによって供給されたＥメールアドレスを含む。ユーザから供給された因子は、本発明の様々な実施形態に対して有用であり、実施形態は、それらの因子が直接ユーザによって供給されることにより、ユーザから供給された因子が正確であると仮定し得る。

さらなる因子が、図６の実施形態によって利用され得、因子は、現在のトランザクションと比較される、データベース内に格納されたトランザクションの習性（ｈａｂｉｔ）に基づく、ユーザと関連づけられるアクセス挙動である。因子はまた、トランザクションが、所定の時間量の間に試みられるか、または実行される頻度、あるいは単一のＩＰアドレスが、指定された期間内に複数の一意の識別子をアクセスするか、または用いる速度、を含み得る。

図６のさらなる実施形態において、クライアントは、６０３において計算される因子の決定に関係し得る。例えば、一実施形態において、クライアントは、閾値レベルを１つ以上の因子に対して割り当て得る。クライアントはまた、１つ以上のユーザ定義の因子を作成し得、クライアントはまた、１つ以上の因子に対して制約規則を定義し得る。ユーザが因子を決定し、閾値レベルを因子に対して割り当て、制約規則を因子に対して割り当てることを可能にすることは、図６の方法が、ユーザに合うように調整された方法において、トランザクションが不正であるか否かを最適に決定することを可能にする。

次に、図６の実施形態において、方法は、上記されたように、ユーザの進行速度および０以上の追加の因子に基づき、トランザクションが不正であるか否かを決定する。トランザクションが不正であるか、または合法であるという６０４における決定は、図６の方法の特定の実装に基づき、リアルタイムに、ほぼリアルタイムに、または非リアルタイムに起こり得る。ユーザの進行速度は、不正トランザクションを決定するために、ＯＦＭＥ２０２によって利用される因子であり得、挙動トラッキングデータベース２０８に在る挙動プロファイル内に格納され得る。

（トランザクション頻度）
本発明の一実施形態において、方法は、計算されるトランザクション頻度を用いて、トランザクションが不正であるか否かを決定するために提供される。高いトランザクション頻度は、例えば、ユーザの個人情報が盗まれ、ユーザの個人情報によって複数の不正なオンライン購買をするつもりの１人以上の個人に分配される場合に有用であり得る。高いトランザクション頻度は、特定のトランザクションが、所定の期間内に同じＩＰアドレスから繰り返し試みられる場合に、不正トランザクションを示し得る。

同様に、トランザクションは、同じトランザクションまたは同様なトランザクションが、複数回試みられるか、または実行され、単一のＩＰアドレスによって受信または単一のＩＰアドレスにおいて受信される場合に不正であり得る。例えば、個人のクレジットカード情報が盗まれ、特定のＩＰアドレスでｅコマースサーバを動かす特定のオンライン小売店において、不正な購買をするためにそのクレジットカード情報を用いるつもりの人物のグループの間に分配されると仮定する。本発明の一実施形態に従うと、複数のＩＰアドレスが、単一のＩＰアドレス（例えば、ｅコマースサーバのアドレス）において受信されるトランザクションを試みるか、または実行する頻度は、トランザクションが不正であることを示し得る。さらなる実施形態において、上で論じられた因子は、不正トランザクション（例えば、進行速度またはユーザプロファイルから検索されたアクセス挙動）を決定するために組込まれ得る。

トランザクション頻度に基づき、トランザクションが不正であるか否かを決定することは、いくつかの実用性を有する。それらの実用性は、オンラインにおける（ＩＤ窃盗、フィッシングＥメール、ハッキング、スパイウェア、トロイの木馬などに起因し得る）個人情報の窃盗および使用を差し止め、抑止することなどである。同様に、同じ方法は、トランザクションが合法であるか否かを決定するために用いられ得る。図７において例示される実施形態は、不正トランザクションを決定するために、トランザクション頻度を利用するための一方法を提供する。

第一に、図７の実施形態において、頻度は、トランザクションが、所定の期間内に第１のＩＰアドレスから試みられることによって計算される。例えば、第１のＩＰアドレスから発信されるオンライン購買トランザクションが、１時間以内に１００回試みられるか、または実行される場合、図７の実施形態は、７０１において計算されたトランザクション頻度に基づき、７０２においてトランザクションが不正であると決定し得る。

トランザクション頻度７０１は、トランザクションが試みられたか、または実行された回数を、それらのトランザクションが試みられたか、または実行された期間にわたって割ることによる方法を含め、様々な方法で計算され得る。トランザクション頻度はまた、図２の実施形態のＯＦＭＥ２０２によって利用され、同じく図２の挙動トラッキングデータベース２０８に在る挙動プロファイル内に格納される因子であり得る。

別の実施形態におけるトランザクション頻度は、不正を決定する正確度を増強するために、ＩＰアドレスのホストタイプまたはその他の因子と組み合わされ得る。例えば、図７の実施形態を拡張して、１つ以上のトランザクションが、１つのＩＰアドレスから１時間以内に１００回試みられたと仮定する。その他の情報をともなわずに、１つのＩＰアドレスから１時間あたり１００回試みられるトランザクション頻度は、不正トランザクションを示し得る。しかし、そのＩＰアドレスが、複数ユーザにインターネットアクセスを提供するネットワークプロキシまたはファイアウォールを表す場合、１時間あたり１００回試みられるトランザクション頻度は、実際には不正トランザクションの可能性を示し得ない。従って、トランザクション頻度をＩＰアドレスのホストタイプと比較することは、ＩＰアドレスが、複数ユーザ（その数名が１回以上の合法的トランザクションを遂行し得る）に対してアクセスを提供するプロキシ、ファイアウォール、またはその他のインターネットゲートウェイを表す場合に、誤ったポジティブ（ｆａｌｓｅ ｐｏｓｉｔｉｖｅ）を減少させることによって、不正の決定を最適化し得る。その他の因子（例えば、接続タイプ、進行速度、挙動プロファイルから検索される情報、地理的な位置、ユーザから供給される因子など）はまた、不正を決定する精度を向上させるために、トランザクション頻度と組み合わされ得る。

（スマートクッキーを用いる認証）
本発明の実施形態において、方法は、ユーザと関連づけられるクッキーおよび挙動プロファイルを用いて、トランザクションを認証するために提供される。そのクッキーは、「スマート（ｓｍａｒｔ）」クッキーとして説明され得る。なぜならば、クッキーはクライアントデバイス上に在り、ユーザと関連づけられる挙動プロファイルからの情報を格納するからである。従って、クッキーの内容は、挙動プロファイルに結合され、ロバストなバックエンドの認証分析を提供する。トランザクションを認証することは、いくつかの実用性を有し、それらは、不正トランザクションを決定すること、ネットワーク解析、ユーザプロファイリング、ユーザアカウントの検証およびトラッキング、ネットワークアクセスプロバイダ分析、ならびに広告を含んでいる。さらに、本発明のクッキーは、不正トランザクションを決定するために、ＯＦＭＥ２０２によって利用され得る。

スマートクッキーを用いるトランザクションを認証するために有用である、本発明の一実施形態が、図１０において提供される。図１０の実施形態において、第一にユーザと関連づけられる１つ以上の因子を含む挙動プロファイルとともに、ユーザと関連づけられる挙動プロファイルがサーバ上に格納される１００１。本発明の様々な実施形態のサーバは、図８の実施形態において記載されたデバイス（例えば、コンピューティングデバイス８０１）を含んでいる。様々な実施形態の挙動プロファイルは、サーバ、中間サーバ（ｉｎｔｅｒｍｅｄｉａｔｅ ｓｅｒｖｅｒ）、認証サーバまたはクライアントデバイスを含む、任意の場所において格納され得る。本発明の様々な実施形態の挙動プロファイルは、ユーザと関連づけられる１つ以上の因子を含み、ここで因子は、アクセス位置、アクセス日付、アクセス時間、地理的な位置、ドメイン情報、ネットワークＩｄ、接続タイプ、１つ以上のＩＰアドレス、ユーザの名前、Ｅメールアドレス、デビットカード番号、クレジットカード番号、銀行預金口座番号、社会保障番号、ＨＴＴＰヘッダ情報、進行速度、電話番号、エリアコード、トランザクション頻度、オペレーティングシステム、プロセッサ識別番号、本来の言語、ホストタイプ、人口統計学的情報、または広告情報のうちの少なくとも１つである。挙動プロファイルはまた、ユーザと関連づけられる暗号化キーを含んでいる。様々な実施形態において、暗号化キーは、ユーザによって選択されるか、またはユーザのために生成され得る。

第二に現在の実施形態において、ユーザと関連づけられる１つ以上の因子は、１つ以上の暗号化された因子を作成するために、暗号化キーを用いて暗号化される１００２。任意の適切な暗号化アルゴリズムが、本発明の実施形態において用いられ得、秘密キー暗号化アルゴリズム（例えば、ＤＥＳ）および公開キー暗号化アルゴリズム（例えば、ＲＳＡ）を含む暗号化アルゴリズムが、１つ以上の因子を暗号化する。

第四に、現在の実施形態において、ユーザは、クライアントデバイスを用いてトランザクションを開始し１００４、１つ以上の因子が、トランザクションから引き出される１００５。本発明の実施形態のクライアントデバイスは、図８の実施形態において記載されたデバイス（例えば、コンピューティングデバイス８０１）を含んでいる。第六に、クッキー内に格納された１つ以上の因子は、暗号解読された因子を作成するために、暗号化キーを用いて暗号解読される１００６。最後に、現在の実施形態において、トランザクションは、挙動プロファイル内の１つ以上の因子を、１つ以上の暗号解読された因子と比較することによって認証される１００７。

図１０の実施形態を拡張する本発明の実施形態において、トランザクションは、１つ以上の暗号解読された因子を、トランザクションから引き出された１つ以上の因子と比較することによって認証される。またさらなる実施形態において、トランザクションは、挙動プロファイル内の１つ以上の因子、１つ以上の暗号解読された因子、およびトランザクションから引き出された１つ以上の因子を比較することによって認証される。さらに、実施形態の接続タイプの因子は、ダイヤルアップ、サービス統合デジタル網（ＩＳＤＮ）、ケーブルモデム、デジタル加入者回線（ＤＳＬ）、Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ １（Ｔｌ）、またはオプティカルキャリア ３（ＯＣ３）のうちの少なくとも１つを含み得る。実施形態のホストタイプの因子は、ネットワークエンドポイント、ネットワークプロキシまたはネットワークファイアウォールのうちの少なくとも１つを含んでいる。

トランザクションを認証するために有用である、本発明の別の実施形態が図１１において記載され、その実施形態は、クッキーを含むクライアントデバイスを動作するユーザによって実行される、トランザクションを認証するための方法を例示する。そのクッキーは、クライアントデバイスと関連づけられる第１の識別子を少なくとも含み、そこで挙動プロファイルは、ユーザと関連づけられ、サーバ上に格納される。第一に、図１１の実施形態において、第１の比較は、トランザクションから引き出された１つ以上の因子と、挙動プロファイル内に格納された１つ以上の因子との間で実行される１１０１。次に、第２の比較は、第１のデバイス識別子と、トランザクションから引き出された第２のデバイス識別子との間で実行される１１０２。本発明の実施形態におけるデバイス識別子は、ウェブブラウザを識別する「ユーザエージェント（Ｕｓｅｒ Ａｇｅｎｔ）」ストリングなどのＨＴＴＰヘッダ情報を含んでいる。様々な実施形態におけるデバイス識別子はまた、クライアントデバイスを識別するために有用である、任意のシステム情報から引き出され得、そのシステム情報は、クライアントデバイスのソフトウェアまたはハードウェアを説明する情報を含んでいる。

第三に、図１１の実施形態において、第３の比較が、ユーザと関連づけられ、かつ挙動プロファイル内に格納された最後のアクセス時間と、クッキー内に格納された最後のアクセス時間との間で実行される１１０３。最後に、トランザクションは、第１の比較、第２の比較および第３の比較に基づき認証される１１０４。

図１１の実施形態を拡張する本発明の実施形態において、挙動プロファイルは、ユーザと関連づけられる一意の識別子を含んでいる。本発明の実施形態における一意の識別子は、当業者によって理解されるように、ユーザを一意に識別するために有用な、ユーザの名前、ユーザパスワード、デビットカード番号、銀行預金口座番号、社会保障番号または任意の情報を含んでいる。

図１１の実施形態を拡張する追加の実施形態において、クッキーの内容は暗号化され、クッキーを暗号解読するキーは、ユーザと関連づけられる挙動プロファイル内に格納される。トランザクションが、第１の比較、第２の比較、第３の比較、およびトランザクションと関連づけられるＩＰアドレスと、クッキー内に格納された複数のＩＰアドレスとの間の比較に基づき、認証され得ることがさらに企図される。

トランザクションを認証するために有用である、本発明の別の実施形態が図１２において記載され、その実施形態は、クッキーを含むクライアントデバイスを動作するユーザによって実行される、トランザクションを認証するための方法を例示する。そのクッキーは、クライアントデバイスと関連づけられる第１の識別子を少なくとも含み、そこで挙動プロファイルは、ユーザと関連づけられ、サーバ上に格納される。図１２の実施形態において、第１の比較は、トランザクションから引き出された１つ以上の因子と、挙動プロファイル内に格納された１つ以上の因子との間で実行される１２０１。第二に、第２の比較は、第１のデバイス識別子と、トランザクションから引き出された第２のデバイス識別子との間で実行される１２０２。

図１２の実施形態において、第３の比較は次いで、トランザクションから引き出されたＩＰアドレスと、クッキー内に格納された複数のＩＰアドレスとの間で実行される１２０３。最後に、トランザクションは、第１の比較、第２の比較および第３の比較に基づき認証される１２０４。

図１２を拡張する一実施形態において、挙動プロファイルは、ユーザと関連づけられる一意の識別子を含み得る。さらに拡張する実施形態において、クッキーの内容は暗号化され、クッキーを暗号解読するキーは、挙動プロファイル内に格納され、クッキーの内容が暗号解読されることを可能にする。

本発明は、例示的な実施形態に関連して詳細に記載されたけれども、本発明が、上記で開示された実施形態に制限されないことは理解されるべきである。むしろ、本発明は、本発明の精神および範囲から逸脱しない、これまで記載されなかった様々な変更、代替、置換、または均等な編成を組込むように改変され得る。特定の実施形態は、例示であり、限定ではないと解釈されるべきである。例えば、本発明は、ウェブベースアプリケーションに用いられ得る。従って、本発明は、前述の説明または図面によって制限されないけれども、添付の特許請求の範囲によってのみ制限される。

図１は、オンライン不正緩和エンジンを用いて、オンライントランザクションが不正であるか否かを決定するための、本発明の一実施形態を例示するフローチャートである。 図２は、本発明の実施形態を実装するための、コンピュータシステムのブロック図である。 図３は、進行速度を計算するために有用である、本発明の一実施形態を例示する。 図４は、進行速度を計算するために有用である、本発明の別の実施形態を例示する。 図５は、ユーザの進行速度を計算するために有用である、本発明の一実施形態を例示する。 図６は、進行速度を用いて、不正トランザクションを決定するために有用である、本発明の一実施形態を例示する。 図７は、トランザクション頻度を用いて、不正トランザクションを決定するために有用である、本発明の一実施形態を例示する。 図８は、本発明の様々な実施形態を実行するために用いられ得る、コンピュータシステムの論理的な概観を示す。 図９は、本発明の一実施形態における、インターネットに接続するコンピュータの編成を論理的に例示する。 図１０は、トランザクションを認証するために有用である、本発明の一実施形態を例示する。 図１１は、トランザクションを認証するために有用である、本発明のさらなる実施形態を例示する。 図１２は、トランザクションを認証するために有用である、本発明のまた別の実施形態を例示する。

Claims (25)

1. トランザクションを認証するための方法であって、該方法は、
   ａ．ユーザと関連づけられる挙動プロファイルをサーバ上に格納するステップであって、該挙動プロファイルは、該ユーザと関連づけられる１つ以上の因子を含み、該挙動プロファイルはまた、該ユーザと関連づけられる暗号化キーを含む、ステップと、
   ｂ．１つ以上の暗号化された因子を作成するために、暗号化キーを用いて該１つ以上の因子を暗号化するステップと、
   ｃ．クッキーをクライアントデバイス上に格納するステップであって、該クッキーは該１つ以上の暗号化された因子を含む、ステップと、
   ｄ．該クライアントデバイスを用いて該トランザクションを該ユーザによって開始するステップと、
   ｅ．１つ以上の因子を該トランザクションから引き出すステップと、
   ｆ．１つ以上の暗号解読された因子を作成するために、該暗号化キーを用いて、該クッキー内に格納された該１つ以上の因子を暗号解読するステップと、
   ｇ．該挙動プロファイル内の該１つ以上の因子を、該１つ以上の暗号解読された因子と比較することによって該トランザクションを認証するステップと
   を包含する、方法。
2. 前記認証するステップは、前記１つ以上の暗号解読された因子を、前記トランザクションから引き出された１つ以上の因子と比較することによって、該トランザクションを認証することを包含する、請求項１に記載の方法。
3. 前記認証するステップは、前記挙動プロファイル内の前記１つ以上の因子、前記１つ以上の暗号解読された因子、および前記トランザクションから引き出された前記１つ以上の因子を比較することによって、該トランザクションを認証することを包含する、請求項１に記載の方法。
4. 因子は、アクセス位置、アクセス日付、アクセス時間、地理的な位置、ドメイン情報、ネットワークＩｄ、接続タイプ、１つ以上のＩＰアドレス、ユーザの名前、Ｅメールアドレス、デビットカード番号、クレジットカード番号、銀行預金口座番号、社会保障番号、ＨＴＴＰヘッダ情報、進行速度、電話番号、エリアコード、トランザクション頻度、オペレーティングシステム、プロセッサ識別番号、本来の言語、ホストタイプ、人口統計学的情報、または広告情報のうちの少なくとも１つである、請求項１に記載の方法。
5. 接続タイプは、ダイヤルアップ、サービス統合デジタル網（ＩＳＤＮ）、ケーブルモデム、デジタル加入者回線（ＤＳＬ）、Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ １（Ｔｌ）、またはオプティカルキャリア ３（ＯＣ３）のうちの少なくとも１つである、請求項４に記載の方法。
6. ホストタイプは、ネットワークエンドポイント、ネットワークプロキシ、またはネットワークファイアウォールのうちの１つ以上である、請求項４に記載の方法。
7. クッキーを含むクライアントデバイスを動作するユーザによって実行されるトランザクションを認証するための方法であって、該クッキーは、該クライアントデバイスと関連づけられる第１の識別子を少なくとも含み、挙動プロファイルは、該ユーザと関連づけられ、サーバ上に格納され、該方法は、
   ａ．該トランザクションから引き出された１つ以上の因子と、該挙動プロファイル内に格納された１つ以上の因子との間において第１の比較を実行するステップと、
   ｂ．該第１のデバイス識別子と、該トランザクションから引き出された第２のデバイス識別子との間において第２の比較を実行するステップと、
   ｃ．該ユーザと関連づけられ、かつ該挙動プロファイル内に格納された最後のアクセス時間と、該クッキー内に格納された最後のアクセス時間との間において第３の比較を実行するステップと、
   ｄ．該第１の比較、該第２の比較、および該第３の比較に基づき、該トランザクションを認証するステップと
   を包含する、方法。
8. 因子は、アクセス位置、アクセス日付、アクセス時間、地理的な位置、ドメイン情報、ネットワークＩｄ、接続タイプ、１つ以上のＩＰアドレス、ユーザの名前、Ｅメールアドレス、デビットカード番号、クレジットカード番号、銀行預金口座番号、社会保障番号、ＨＴＴＰヘッダ情報、進行速度、電話番号、エリアコード、トランザクション頻度、オペレーティングシステム、プロセッサ識別番号、本来の言語、ホストタイプ、人口統計学的情報、または広告情報のうちの少なくとも１つである、請求項７に記載の方法。
9. 前記挙動プロファイルは、前記ユーザと関連づけられる一意の識別子を含む、請求項７に記載の方法。
10. 前記一意の識別子は、ユーザの名前、デビットカード番号、クレジットカード番号、銀行預金口座番号、または社会保障番号のうちの１つである、請求項９に記載の方法。
11. 前記第１のデバイス識別子および前記第２のデバイス識別子の各々は、ＨＴＴＰヘッダ情報を含む、請求項７に記載の方法。
12. 前記クッキーの内容は、暗号化される、請求項７に記載の方法。
13. 前記クッキーを暗号解読するためのキーは、前記挙動プロファイル内に格納される、請求項１２に記載の方法。
14. 前記キーを用いて前記クッキーの内容を暗号解読するステップをさらに包含する、請求項１３に記載の方法。
15. 前記認証するステップは、前記第１の比較、前記第２の比較、前記第３の比較、および前記トランザクションと関連づけられるＩＰアドレスと、前記クッキー内に格納された複数のＩＰアドレスとの間の比較に基づき、該トランザクションを認証するステップを包含する、請求項７に記載の方法。
16. クッキーを含むクライアントデバイスを動作するユーザによって実行されるトランザクションを認証するための方法であって、該クッキーは、該クライアントデバイスと関連づけられる第１の識別子を少なくとも含み、挙動プロファイルは、該ユーザと関連づけられ、サーバ上に格納され、該方法は、
    ａ．該トランザクションから引き出された１つ以上の因子と、該挙動プロファイル内に格納された１つ以上の因子との間において第１の比較を実行するステップと、
    ｂ．該第１のデバイス識別子と、該トランザクションから引き出された第２のデバイス識別子との間において第２の比較を実行するステップと、
    ｃ．該トランザクションから引き出されたＩＰアドレスと、該クッキー内に格納された複数のＩＰアドレスとの間において第３の比較を実行するステップと、
    ｄ．該第１の比較、該第２の比較、および該第３の比較に基づき、該トランザクションを認証するステップと
    を包含する、方法。
17. 因子は、アクセス位置、アクセス日付、アクセス時間、地理的な位置、ドメイン情報、ネットワークＩｄ、接続タイプ、１つ以上のＩＰアドレス、ユーザの名前、Ｅメールアドレス、デビットカード番号、クレジットカード番号、銀行預金口座番号、社会保障番号、ＨＴＴＰヘッダ情報、進行速度、電話番号、エリアコード、トランザクション頻度、オペレーティングシステム、プロセッサ識別番号、本来の言語、ホストタイプ、人口統計学的情報、または広告情報のうちの少なくとも１つである、請求項１６に記載の方法。
18. 前記挙動プロファイルは、前記ユーザと関連づけられる一意の識別子をさらに含む、請求項１６に記載の方法。
19. 前記一意の識別子は、ユーザの名前、デビットカード番号、クレジットカード番号、銀行預金口座番号、または社会保障番号のうちの１つである、請求項１８に記載の方法。
20. 前記第１のデバイス識別子および前記第２のデバイス識別子の各々は、ＨＴＴＰヘッダ情報を含む、請求項１６に記載の方法。
21. 前記クッキーの内容は、暗号化される、請求項１６に記載の方法。
22. 前記クッキーを暗号解読するためのキーは、前記挙動プロファイル内に格納される、請求項２１に記載の方法。
23. 前記キーを用いて前記クッキーの内容を暗号解読するステップをさらに包含する、請求項２２に記載の方法。
24. コンピュータ読取り可能な媒体内に符号化されたコンピュータプログラム製品であって、該プログラム製品は、クッキーを含むクライアントデバイスを動作するユーザによって実行されるトランザクションを認証するためのプログラム製品であって、該クッキーは、該クライアントデバイスと関連づけられる第１の識別子を少なくとも含み、挙動プロファイルは、該ユーザと関連づけられ、サーバ上に格納され、該プログラム製品は、
    ａ．該トランザクションから引き出された１つ以上の因子と、該挙動プロファイル内に格納された１つ以上の因子との間において第１の比較を実行するステップと、
    ｂ．該第１のデバイス識別子と、該トランザクションから引き出された第２のデバイス識別子との間において第２の比較を実行するステップと、
    ｃ．該トランザクションから引き出されたＩＰアドレスと、該クッキー内に格納された複数のＩＰアドレスとの間において第３の比較を実行するステップと、
    ｄ．該第１の比較、該第２の比較、および該第３の比較に基づき、該トランザクションを認証するステップと
    を実行するように符号化される、プログラム製品。
25. トランザクションを認証するためのシステムであって、該システムは、
    ａ．ユーザによって動作されるクライアントデバイスであって、該クライアントデバイスによってトランザクションを遂行し、１つ以上の因子が該トランザクションから引き出され、ＩＰアドレスが該トランザクションから引き出され、第２のトランザクション識別子は、該トランザクションから引き出される、クライアントデバイスと、
    ｂ．該クライアントデバイス上に格納されるクッキーであって、該クッキーは、該クライアントデバイスと関連づけられる第１の識別子を少なくとも含み、該クッキーは、複数のＩＰアドレスを含む、クッキーと、
    ｃ．サーバ上に格納される挙動プロファイルであって、該挙動プロファイルは、該ユーザと関連づけられる１つ以上の因子を含み、該トランザクションは、該トランザクションから引き出された該１つ以上の因子を、該挙動プロファイル内の該１つ以上の因子と比較することと、該第１のデバイス識別子を、該第２のデバイス識別子と比較することと、該トランザクションから引き出された該ＩＰアドレスを、該クッキー内に格納された該複数のＩＰアドレスと比較することとによって認証される、挙動プロファイルと
    を備える、システム。

Images