JP2014191494A - 警告情報制御プログラム、警告情報制御装置 - Google Patents

Abstract

【課題】 より効果的に、不審メールに対する注意喚起を行う警告情報制御プログラム、警告情報制御装置を提供する。
【解決手段】 メール受信時に、不審メールに対する警告情報を出力する警告情報制御処理をコンピュータに実行させるコンピュータ読み取り可能な警告情報制御プログラムであって、警告情報制御処理は、受信メールについて、受信メールの確認処理に要する時間を計測し、計測した時間を受信メールの送信元と関連付けて記憶する受信メール情報記憶工程と、記憶した複数の受信メールに基づく分布に基づいた第１の基準値より、記憶した時間が短い送信元を検出する検出工程と、検出した送信元からのメールの受信時に、警告情報を出力する警告情報出力工程と、を有する。
【選択図】図６

Description

本発明は、警告情報制御プログラム、警告情報制御装置に関する。

近年、情報の価値の高まりに伴い、機密情報窃取及びシステム破壊を目的として、組織のＩＴネットワークシステムを狙うサイバー攻撃が増加の一途をたどっている。サイバー攻撃においては、標的とする組織への侵入経路としてメールが使用されており、これらのメールは不特定多数を対象とする従来のスパムメールとは区別して、標的型メールと呼ばれる。

標的型メールは、標的となる組織の従業員の関係者等を装って、マルウェアが仕込まれた添付ファイルの開封やマルウェアへのＵＲＬへのアクセス等を行わせることにより、ネットワークシステムをマルウェアに感染させる。標的型メールは一見しただけでは正常なメールと区別が難しいため、標的型メールを防ぐために、メールチェッカー等によって安全性が疑わしいメールが抽出される。ユーザである従業員は、抽出されたメールに対して念入りに確認を行い、正常なメールであるか否かを判断する。

メールチェッカーを使用して不審なメールを抽出する技術として、信頼度の低い差出人から送信されたメールを受信したとき、ユーザに注意を促す技術が公開される（例えば、特許文献１、２）

特開２００５-３４６７１６号公報 特開２０１２-５９１１１号公報

しかしながら、組織の従業員の業務内容によっては、該従業員が受信するメールには、初めて受信する差出人からのメールも多く含まれる。前述したメールチェッカーは、初めて受信する差出人からのメールは安全性が疑わしいと判断してアラートを発生させる。これにより、初めて受信する差出人からのメールが多量の場合、注意が促されたメールのほとんどが正常なメールとなり得る。このような状態が継続すると、従業員は、メールチェッカーによって注意が促されたメールであっても正常なメールであると予測するようになり、メール内容の確認がおろそかになってしまう。

また、攻撃型メールは、組織の従業員を騙って送信されることがある。このため、２回目以降に受信する差出人からのメールや、信頼の篤い差出人からのメールについても、メール内容の確認が必要となる。特に、信頼が篤く、警戒心が低下し易い差出人からのメール場合、事例に基づいたアドバイスが提供されていても、効果を発揮しないことがある。

そこで、1つの側面では、本発明では、より効果的に、不審メールに対する注意喚起を行う警告情報制御プログラム、警告情報制御装置を提供することにある。

第１の側面は、メール受信時に、不審メールに対する警告情報を出力する警告情報制御処理をコンピュータに実行させるコンピュータ読み取り可能な警告情報制御プログラムであって、前記警告情報制御処理は、受信メールについて、前記受信メールの確認処理に要する時間を計測し、計測した前記時間を前記受信メールの送信元と関連付けて記憶する受信メール情報記憶工程と、前記記憶した複数の受信メールに基づく分布に基づいた第１の基準値より、記憶した前記時間が短い前記送信元を検出する検出工程と、検出した前記送信元からのメールの受信時に、前記警告情報を出力する警告情報出力工程と、を有する。

第１の側面によれば、より効果的に、不審メールに対する注意喚起が行われる。

本実施の形態例における警告情報制御装置のブロック図の一例を示す図である。 本実施の形態例における警告情報の出力例について例示する図である。 本実施の形態例における警告情報制御装置の処理の概要を説明するフローチャート図である。 警告情報制御装置のメール受信時の処理を説明するフローチャート図である。 受信メールデータ収集処理について詳細に説明するフローチャート図である。 受信メール情報データテーブルの一例について説明する図である。 用心深さ判定処理について説明するフローチャート図である。 標準化データに基づく統計データテーブルの一例を示す図である。 添付開封判断時間に基づく標準正規分布の一例を示す図である。 Ｚ検定、またはｔ検定に基づく統計データテーブルの一例を示す図である。 Ｚ検定、または、ｔ検定における分布図の一例を示す図である。 Ｆ検定に基づく統計データテーブルの一例を示す図である。 Ｆ検定における分布図の一例を示す図である。 第２の実施の形態例における警告情報制御装置のブロック図を示す例図である。 一般的な受信確認画面ＤＧ２の一例を示す図である。 第２の実施の形態例における警告情報の出力例について例示する図である。 警告情報制御装置のメール受信時の処理を説明するフローチャート図である。 受信メールデータ収集処理について詳細に説明するフローチャート図である。 第２の実施の形態例における受信メール情報データテーブルの一例について説明する図である。 用心深さ判定処理について説明するフローチャート図である。 本実施の形態例における警告情報制御装置の構成の一例を示す図である。

以下、図面にしたがって本発明の実施の形態について説明する。ただし、本発明の技術的範囲はこれらの実施の形態に限定されず、特許請求の範囲に記載された事項とその均等物まで及ぶものである。

［第１の実施の形態例］
［警告情報制御装置の構成図］
図２１は、本実施の形態例における警告情報制御装置１０の構成の一例を示す図である。同図の警告情報制御装置１０は、例えば、一般的なコンピュータである。警告情報制御装置１０は、例えば、プロセッサ２１、表示部２２、入力部２３、通信部２４、メモリ２５を有する。各部は、バス２６を介して相互に接続される。

図２１において、表示部２２は、例えば、コンピュータの液晶モニタ等を示し、入力部２３は、キーボードやマウス等を示す。通信部２４は、メールサーバ２００との通信処理を制御する。また、同図の例において、ＲＡＭ（Random Access Memory）等のメモリ２５には、本実施の形態例における警告情報制御プログラムＰＲ、及び、メーラープログラムＭＬが記憶される。プロセッサ２１は、警告情報制御プログラムＰＲと協働して、本実施の形態例における警告情報制御処理を実現する。また、プロセッサ２１は、メーラープログラムＭＬと協働して、メーラーの処理を実現する。なお、本実施の形態例における警告情報制御処理は、例えば、メールサーバ２００とメーラープログラムＭＬとの間を仲介して動作する。

［警告情報制御装置のブロック図］
図１は、本実施の形態例における警告情報制御装置１０のブロック図の一例を示す図である。警告情報制御装置１０とメールサーバ２００、警告情報制御装置１０とメールソフト１００とは、相互に通信可能である。なお、本実施の形態例において、警告情報制御装置１０は、メールソフト１００と同一の筐体に配置されるが、警告情報制御装置１０は、メールサーバ２００と同一の筐体に配置されてもよい。

警告情報制御装置１０は、例えば、受信メールヘッダ情報管理手段１１、メール開封確認手段１３、添付ファイル開封確認手段１４、時間計測手段１６、用心深さ判定手段１５、警告手段１２、受信メール情報記憶装置１７を有する。受信メールヘッダ情報管理手段１１は、受信メールのヘッダ情報を記憶する。例えば、受信メールヘッダ情報管理手段１１は、メールヘッダにおけるＭｅｓｓａｇｅ-ＩＤ情報、Ｆｒｏｍ情報を、受信メール情報記憶装置１７が有する受信メール情報データテーブルに格納する。Ｍｅｓｓａｇｅ−ＩＤ情報は、メールを特定するためのユニークな識別ＩＤである。また、Ｆｒｏｍ情報は、受信メールの送信元のアドレス、即ち、差出人を示す。

また、メール開封確認手段１３は、受信メールをメールソフト１００に回送する前に、メールヘッダに、Ｄｉｓｐｏｓｉｔｉｏｎ-Ｎｏｔｉｆｉｃａｔｉｏｎ-Ｔｏ情報を付加する。Ｄｉｓｐｏｓｉｔｉｏｎ-Ｎｏｔｉｆｉｃａｔｉｏｎ-Ｔｏ情報は、開封確認の返送先の開封確認用アドレスを示す。また、メール開封確認手段１３は、受信メールが開封されたときに送信される開封確認メールの送信日時を記録する。

また、添付ファイル開封確認手段１４は、添付開封判断時間を計測するために、受信メールをメールソフト１００に回送する前に、添付ファイルの切り離し処理を行う。具体的に、添付ファイル開封確認手段１４は、受信メールから添付ファイルを切り離し、警告情報制御装置１０におけるｗｅｂサーバに保存すると共に、添付ファイルにアクセスするためのｗｅｂサーバにおけるＵＲＬをメール本文に付与する。そして、添付ファイル開封確認手段１４は、分離した添付ファイルのＵＲＬを、Ｍｅｓｓａｇｅ-ＩＤ情報及びＦｒｏｍ情報に紐付けて、受信メール情報データテーブルに記憶する。そして、ユーザがメール本文におけるＵＲＬにアクセスすると、添付ファイル開封確認手段１４は、アクセス時刻を、添付ファイル開封時刻として、受信メール情報データテーブルに記録する。

また、時間計測手段１６は、メールソフト１００において、ユーザが受信メールを開封してから当該受信メールの添付ファイルを開封するまでの時間を、添付開封判断時間として算出する。また、用心深さ判定手段１５は、差出人ごとに仕分けされた受信メールについて、添付開封判断時間の統計量を計算する。そして、用心深さ判定手段１５は、判定対象の差出人の統計量と、他の差出人の統計量とを比較し、判定対象の差出人の用心深さが低下しているか否かを判定する。

警告手段１２は、メールソフト１００において、用心深さが低下している差出人からメールを受信したときに、警告情報を出力する。また、受信メール情報記憶装置１７は、メールサーバ２００からの受信メールの情報を格納する受信メール情報データテーブル、及び、差出人ごとの受信メールの統計量を格納する統計データテーブルを記憶する。受信メール情報記憶装置１７は、例えば、ＲＯＭ／ＲＡＭ等のメモリである。

本実施の形態例における警告情報制御装置１０は、例えば、警告情報制御装置１０の各手段が実装された警告情報制御プログラムによって実現される。警告情報制御プログラムは、ＲＯＭ等のメモリに記憶され、プロセッサと協働することによって、警告情報制御処理が実現される。

［警告情報の出力］
図２は、本実施の形態例における警告情報の出力例について例示する図である。例えば、警告情報制御装置１０の警告手段１２は、メールソフト１００において、用心深さが低下している差出人からのメールを受信するときに、同図のようなダイアログＤＧ１をポップアップ表示する。ダイアログＤＧ１には、例えば、差出人からの受信メールに対して、用心深さ、即ち、慎重さが低下している旨の警告情報が表示される。ダイアログＤＧ１は、例えば、ユーザがＯＫボタンを押下すると終了する。なお、警告情報は、音声等によって出力されてもよい。

ユーザは、図２のような警告情報を認識することにより、受信しようとしているメールの差出人について、用心深さが低下していることを検知可能になる。これにより、ユーザは、たとえ、信頼できる差出人からの受信メールであったとしても、添付ファイルにアクセスしても安全か否かを十分に時間をかけて確認するようになる。これにより、信頼できる差出人を騙る標的型メールを受信した場合、十分な確認が行われることなく添付ファイルが開封されてしまい、問題が生じることが回避される。

続いて、本実施の形態例における警告情報制御装置１０の処理について、フローチャート図に基づいて説明する。

［フローチャート図］
図３は、本実施の形態例における警告情報制御装置１０の処理の概要を説明するフローチャート図である。本実施の形態例における警告情報制御装置１０は、警告情報提示処理工程（Ｓ１００）の一部として、受信メールデータ収集処理工程（Ｓ１２）を行う。そして、警告情報制御装置１０は、用心深さが低下した送信元の判定処理として、収集した受信メール情報に基づいて用心深さが低下している送信元を検出する（Ｓ２００）。用心深さが低下した送信元の判定処理（Ｓ２００）は、例えば、定期的に行われる。用心深さが低下そた送信元の判定処理は、例えば、営業日の毎朝１０時に行われる。

［メール受信時のフローチャート］
図４は、メールサーバ２００からのメールを受信したときの、警告情報制御装置１０の処理について説明するフローチャート図である。この処理は、メールサーバ２００からメール受信時、当該メールがメールソフト１００に回送される前に行われる。また、同図のフローチャート図に示される処理は、図３のフローチャート図における工程Ｓ１００に含まれる。

警告情報制御装置１０は、メールサーバ２００からメールを受信すると、受信メールが添付ファイルを有するメールか否かを判定する（Ｓ１１）。受信メールが添付ファイルを有する場合（Ｓ１１のＹＥＳ）、警告情報制御装置１０は、続いて、受信メールデータ収集処理を行う（Ｓ１２）。警告情報制御装置１０は、具体的に、受信メールの情報を収集し、受信メール情報データテーブルに記憶する。処理の詳細については後述する。これにより、添付ファイルを有する受信メールそれぞれについて、受信メールの情報が受信メール情報データテーブルに記憶される。

続いて、警告情報制御装置１０は、受信メール情報データテーブルに基づいて生成された統計データテーブルを参照する（Ｓ１３）。統計データテーブルは、図３のフローチャート図における用心深さ判定処理（図３のＳ２００）によって生成される。統計データテーブルの生成処理の詳細については、後述する。そして、警告情報制御装置１０は、受信メールの差出人が、統計量のデータテーブルにおいて用心深さが低下していると判定された差出人に当たるか否かを判定する（Ｓ１４）。用心深さの低下している差出人に当たる場合（Ｓ１４のＹＥＳ）、警告情報制御装置１０は、図２で例示するような、当該差出人からの受信メールに対する用心深さが低下している旨の警告情報を表示する（Ｓ１５）。

［受信メールデータ収集処理のフローチャート］
図５は、受信メールデータ収集処理について詳細に説明するフローチャート図である。同図のフローチャートの処理は、図４のフローチャート図における工程Ｓ１２に該当する。警告情報制御装置１０の受信メールヘッダ情報管理手段１１は、受信メールのメールヘッダ情報を記録する（Ｓ２１）。具体的に、受信メールヘッダ情報管理手段１１は、メールのメールヘッダのうち、Ｍｅｓｓａｇｅ−ＩＤ情報及びＦｒｏｍ情報を、受信メール情報データテーブルに記憶する。ただし、受信メールヘッダ情報管理手段１１は、Ｆｒｏｍ情報のみを記憶してもよく、各受信メールの情報が識別可能に記憶されれば、必ずしもＭｅｓｓａｇｅ−ＩＤ情報が記憶される必要はない。

続いて、警告情報制御装置１０のメール開封確認手段１３は、メールヘッダに、開封確認メールの受信用のヘッダ情報を付与する（Ｓ２２）。具体的に、メール開封確認手段１３は、受信メールのヘッダ情報に、警告情報制御装置１０における開封確認用アドレスを指すＤｉｓｐｏｓｉｔｉｏｎ-Ｎｏｔｉｆｉｃａｔｉｏｎ-Ｔｏ情報を付与する。これにより、メールソフト１００上でユーザがメールを開封したとき、警告情報制御装置１０における開封確認用アドレスに、開封確認メールが送信される。

次に、警告情報制御装置１０の添付ファイル開封確認手段１４は、メールから添付ファイルを分離し、分離した添付ファイルを、警告情報制御装置１０における添付ファイル保存用のｗｅｂサーバに記憶する（Ｓ２３）。このとき、添付ファイル開封確認手段１４は、ｗｅｂサーバから添付ファイルのダウンロードを指示するＵＲＬをメール本文に付与すると共に（Ｓ２４）、ＵＲＬを受信メール情報データテーブルに記憶する（Ｓ２５）。これにより、ユーザは、ＵＲＬにアクセスすることによって、受信メールの添付ファイルをダウンロード可能になる。ウィルスによっては、ウィルスを有する添付ファイルのダウンロードによって感染が生じる。このため、この例において、例えば、添付ファイルのオープン時刻ではなく、添付ファイルへのアクセス時刻、即ち、ダウンロード時刻が、添付ファイル開封時刻とみなされる。

続いて、警告情報制御装置１０は、メールサーバ２００から受信したメールを、ユーザのメールソフト１００に回送する（Ｓ２６）。そして、ユーザが、メールソフト１００上でメールの受信を行い、メールを開封すると（Ｓ２７のＹＥＳ）、メールヘッダに付与されたＤｉｓｐｏｓｉｔｉｏｎ-Ｎｏｔｉｆｉｃａｔｉｏｎ-Ｔｏ情報に基づいて、警告情報制御装置１０のメール開封確認手段１３に開封確認メールが発送される。開封確認メールを受信すると、メール開封確認手段１３は、開封確認メールの発送時刻を、メール開封時刻として受信メール情報データテーブルに記憶する（Ｓ２８）。

また、メールの本文に付与された添付ファイルのダウンロードを指示するＵＲＬが、ユーザによってアクセスされると（Ｓ２９のＹＥＳ）、警告情報制御装置１０の添付ファイル開封確認手段１４は、アクセスが発生した時刻を、添付ファイル開封時刻として受信メール情報データテーブルに記憶する（Ｓ３０）。また、このとき、警告情報制御装置１０の時間計測手段１６は、メール開封時刻と添付ファイル開封時刻とに基づいて添付開封判断時間を算出し、受信メール情報データテーブルに記憶する。具体的に、時間計測手段１６は、添付ファイル開封時刻からメール開封時刻を減算して、添付開封判断時間を算出する。

続いて、警告情報制御装置１０は、添付開封判断時間の外れ値判定を行う（Ｓ３１）。添付開封判断時間が、予め設定された外れ値を超える場合、警告情報制御装置１０は、対応する受信メールの情報を統計量の算出対象外とする。具体的に、警告情報制御装置１０は、例えば、受信メール情報データテーブルにおいて、添付開封判断時間が外れ値を超える受信メールの外れ値判定フラグを、外れ値を超えていることを示す値×に設定する。この例において、外れ値は、例えば３００秒に設定される。続いて、外れ値について説明する。

［外れ値］
外れ値とは、統計量の算出の対象とする添付開封判断時間の範囲を示す閾値である。前述したとおり、添付開封判断時間は、メールを開封し添付ファイルにアクセスするまでの時間を示す。本実施の形態例では、メールの開封と添付ファイルへのアクセスが一連の流れで行われる場合における添付開封判断時間を統計の対象とする。そこで、メールの開封と添付ファイルへのアクセスが一連の流れで行われない場合における添付開封判断時間が、外れ値に基づいて除外される。

具体的に、受信メールによっては、受信者にとってメールが緊急性を有しないメールである場合、メールの内容についてのみ確認が行われ、添付ファイルの開封処理は後から別のタイミングで行われることがある。このような場合における添付開封判断時間は、添付ファイルの開封判断に要した時間を示さない。即ち、メールの開封と添付ファイルへのアクセスが別の場面で行われる受信メールの添付開封判断時間は、用心深さを判定するためのデータとしての意味をなさない。

そこで、添付開封判断時間が大幅に長いメールの添付開封判断時間は、添付ファイルの開封判断に要した時間を示さないとみなされ、統計の対象外とされる。即ち、閾値である外れ値を超える添付開封判断時間は、用心深さの判定のための統計の対象外とされる。これにより、ユーザがメールの開封後、メール内容の確認作業以外の作業を行うような場合における添付開封判断時間は、用心深さの判定のための統計データの対象外とされる。

このように、本実施の形態例において、添付開封判断時間が外れ値以内である受信メールの情報に基づいて、用心深さの判定処理が行われる。これにより、受信メールの確認処理に要する時間としての意味を為す添付開封判断時間の統計に基づいて用心深さの判定が行われることにより、判定の精度が高まり、用心深さが低下している差出人が的確に検出される。

続いて、受信メール情報データテーブルについて説明する。

［受信メール情報データテーブル］
図６は、受信メール情報データテーブルＴＢ１−１の一例について説明する図である。同図の受信メール情報データテーブルＴＢ１−１は、例えば、Ｍｅｓｓａｇｅ−ＩＤ情報、差出人メールアドレスを示すＦｒｏｍ情報、添付ファイルの有無、添付ファイル格納ＵＲＬ、メール開封時刻、添付ファイル開封時刻、添付開封判断時間、添付開封フラグ、外れ値判定フラグを有する。外れ値判定フラグは、添付開封判断時間が外れ値を超えるか否かを示すフラグである。外れ値判定フラグが○の場合、添付開封判断時間が外れ値を超えないことを示す。

図６の受信メール情報データテーブルＴＢ１−１において、Ｍｅｓｓａｇｅ−ＩＤ情報は簡易的に表されているが、実際には、Ｍｅｓｓａｇｅ−ＩＤ情報は、送信日付、時刻、送信元メールサーバのドメイン等の情報に基づいて生成される。同図の例において、例えば、Ｍｅｓｓａｇｅ−ＩＤ情報「１」の受信メールについて、メール開封時刻は２０１２/０１/２３ １４：５６：０１であって、添付ファイル開封時刻は、２０１２/０１/２３ １４：５８：２３である。このため、Ｍｅｓｓａｇｅ−ＩＤ情報「１」の受信メールの添付開封判断時間は、１４２（＝１４：５８：２３−１４：５６：０１）秒である。この場合、添付開封判断時間は外れ値３００秒以内であることから、外れ値判定フラグは○に設定される。また、添付ファイルが開封されていることにより、添付開封フラグは○に設定される。

図６の例における受信メール情報データテーブルＴＢ１−１は、添付ファイルを有する受信メールの情報を保持する。ただし、受信メール情報データテーブルＴＢ１−１は、添付ファイルを有しない受信メールの情報についても保持してよい。全ての受信メールの情報を有する場合、受信メール情報データテーブルＴＢ１−１は、例えば、添付ファイルの有無を示すフラグを有し、添付ファイルの有無を識別可能にする。

続いて、図３のフローチャート図における用心深さ判定処理について説明する。警告情報制御装置１０の用心深さ判定手段１５は、図６に示したような受信メール情報データテーブルＴＢ１−１に基づいて、統計データテーブルを生成する。

［用心深さ判定処理のフローチャート図］
図７は、用心深さ判定処理について説明するフローチャート図である。用心深さ判定手段１５は、所定の日時に達すると、受信メール情報データテーブルを参照して、所定の日数分の情報を取得する（Ｓ４１）。所定の日数分の情報とは、例えば、直近の１カ月に受信したメールの情報である。例えば、直近の１カ月に受信したメールの情報に基づくことにより、最近の期間において、用心深さが低下している差出人が検出可能になる。または、用心深さ判定処理は、例えば、直近の１００通の受信メールの情報に基づいてもよい。

続いて、用心深さ判定手段１５は、取得した添付開封判断時間を、差出人ごとに分類する（Ｓ４２）。そして、用心深さ判定手段１５は、差出人ごとに分類した添付開封判断時間の情報に基づいて、統計量を算出し、統計データテーブルに記憶する（Ｓ４３）。そして、統計に基づいて、ある差出人の添付開封判断時間が、他の差出人からの受信メール、または、全ての差出人からの受信メールに対して、顕著に短いと判定される場合に、用心深さが低下している差出人として判定される。または、統計に基づいて、ある差出人の添付開封判断時間のばらつき度合いが、他の差出人からの受信メール、または、全ての差出人からの受信メールに対して、顕著に小さいと判定される場合に、用心深さが低下している差出人として判定される。

続いて、添付開封判断時間の統計量の算出処理について具体的に説明する。本実施の形態例では、添付開封判断時間の標準化データに基づく統計、Ｚ検定及びｔ検定に基づく統計、Ｆ検定に基づく統計について、順次説明する。まず、標準化データに基づく統計について説明する。

［標準化データによる統計］
図８は、標準化データに基づく統計データテーブルＴＢ２−１の一例を示す図である。同図の統計データテーブルＴＢ２−１は、メールの差出人ごと、及び、全ての差出人について、添付開封判断時間の平均値（秒）、及び、標本標準偏差の値を有する。また、同図の統計データテーブルＴＢ２−１は、全ての差出人からの受信メールに基づく標本標準偏差値０．６、標準化データ値ｚ、判定値を有する。判定値は、差出人が用心深さが低下している差出人であるか否かを示す。判定値が異常を示す場合、差出人の用心深さが低下していることを示す。

なお、統計量の元となるデータは、添付ファイルが開封済みであって、添付開封判断時間が外れ値を超えない受信メールの情報である。即ち、受信メール情報データテーブルＴＢ１−１において、添付開封判断時間を有し、外れ値判定フラグが○を示す情報に基づいて、統計量が算出される。

続いて、統計量の算出処理の流れについて説明する。用心深さ判定手段１５は、まず、全ての差出人からの受信メールにおける添付開封判断時間の平均値ｍ（秒）、及び、判定対象の差出人からの受信メールにおける添付開封判断時間の平均値ｘ（秒）を算出する。また、用心深さ判定手段１５は、全ての差出人からの受信メールの添付開封判断時間に基づく標準偏差値ｓを算出する。この例において、標準偏差値ｓは、値０．６である。

次に、用心深さ判定手段１５は、全ての差出人、それぞれの差出人について添付開封判断時間の平均値ｍ、ｘ（秒）、及び、標準偏差値０．６に基づいて、標準化データ値ｚを算出する。具体的に、標準化データ値ｚは、数式「ｚ＝（ｘ−ｍ）／ｓ」に基づいて算出される。数式によって、全ての差出人からの受信メールにおける添付開封判断時間に基づく標準正規分布における、判定対象の差出人からの受信メールにおける添付開封判断時間の平均値の分布位置が算出される。

［標準正規分布図］
図９は、全ての差出人が受信メールにおける添付開封判断時間に基づく標準正規分布の一例を示す図である。同図において、中央の値Ｘ０は０を、値Ｘ１は−標本標準偏差値（この例では−０．６）を、値Ｘ２は＋標本標準偏差値（この例では＋０．６）を示す。このため、矢印ＥＸ１で示される範囲内の分布は、全ての差出人からの受信メールにおける約６８％に当たる。また、値Ｘ０は全ての差出人からの受信メールにおける添付開封判断時間の平均値ｍ（この例では３秒）に対応する。

図９の表Ｐ１に示されるとおり、数式「ｚ＝（ｘ−ｍ）／ｓ」に基づいて算出される判定対象の差出人の標準化データ値ｚが値０の場合、判定対象の差出人からの受信メールの添付開封時間の平均値が、全ての差出人からの受信メールにおける添付開封判断時間と同一であることを示す。また、標準化データ値ｚが値−１以上、且つ、値１以下である場合、判定対象の差出人からの受信メールの添付開封時間の平均値が、±標本標準偏差値ｓ範囲内に含まれることを示す。

一方、標準化データ値ｚが、値−１を下回る場合、全ての差出人からの受信メールにおける添付開封判断時間に基づく分布において、判定対象の差出人からの受信メールの添付開封時間の平均値が、顕著に短い場合を示す。図９の分布図において、標準化データ値ｚが値−１を下回る場合、矢印ＥＸ２で示される分布範囲に対応することを示す。即ち、判定対象の差出人からの受信メールの添付開封時間の平均値が、全ての差出人からの受信メールにおける添付開封判断時間に基づく分布における下位１６％の分布範囲に対応することを意味する。これにより、判定対象の差出人からの受信メールについて、ユーザの用心深さが低下しているものとみなされる。そこで、図８の統計データテーブルにおいて、異常と設定される。

具体的に、例えば、差出人Ｃからの受信メールの平均値は２．２８（秒）である。このため、数式「（２．２８−３）／０．６」に基づいて、標準化データ値−１．２が算出される。標準化データ値１．２は、−１を下回ることから、異常と判定される。これにより、新たに、差出人Ｃからのメールを受信した場合、用心深さが低下している旨の警告情報がユーザに出力される。

なお、この例では、分布における−標本標準偏差値に対応する値を基準値としたが、この例に限定されるものではない。基準値は、分布の平均より小さい値であれば、例えば、分布における−２×標本標準偏差値に対応する値であってもよい。基準値を変更することにより、異常検知の検知度合いを調整することが可能となる。

このように、全ての差出人からの受信メールに基づく分布に基づいた基準値（この例では、値−１）より、受信メールの添付開封判断時間の平均値が短い差出人が、用心深さが低下している差出人として検出される。これにより、受信メールの開封から添付ファイルの開封までの確認時間が顕著に低下している受信メールの差出人が、受信メールの添付開封判断時間の分布に基づいて、高精度に検出される。

また、この例では、全ての差出人からの受信メールに基づく分布に基づいた基準値より、添付開封判断時間の平均値が短い差出人が、用心深さが低下している差出人として検出される。ただし、例えば、全ての期間における判定対象の差出人からの受信メールに基づく分布に基づいた基準値より、直近の基準期間内における当該差出人からの受信メールにおける添付開封判断時間の平均値が短い差出人について、用心深さが低下している差出人として検出されてもよい。これにより、直近の１カ月内に受信したメールに対する用心深さが、１カ月以前に受信した同一の差出人からの受信メールに対して、顕著に低下している差出人が検出可能になる。

続いて、Ｚ検定、またはｔ検定に基づく統計について説明する。

［Ｚ検定、またはｔ検定による統計］
図１０は、Ｚ検定、またはｔ検定に基づく統計データテーブルＴＢ２−２の一例を示す図である。同図の統計データテーブルＴＢ２−２は、受信メールの差出人ごとに、受信メールの数ｎ、添付開封判断時間の平均値ｘ（秒）を有する。また、統計データテーブルＴＢ２−２は、判定対象の差出人を除く差出人からの受信メールの添付開封時間の平均値ｍ（秒）、及び、標本標準偏差値ｓを有する。そして、統計データテーブルＴＢ２−２は、判定対象の差出人からの受信メールの添付開封時間に基づくＺ値またはｔ値、判定対象の差出人を除く差出人からの受信メールに基づく分布における有意水準５％の下側のＺ値またはｔ値、及び、判定値を有する。なお、統計量の元となるデータは、図８、図９で示した標準化データに基づく統計と同様にして、添付ファイルが開封済みであって、添付開封判断時間が外れ値を超えない受信メールの情報である。

この例において、判定対象の差出人からの受信メールの数が３０以上の場合はＺ検定が、３０未満の場合はｔ検定が用いられる。Ｚ検定は、正規分布を用いる統計学的検定法であって、標本の平均と母集団の平均とが統計学的にみて有意に異なるかどうかを検定する方法である。また、ｔ検定は、２つの標本の平均値に有意差があるかどうかを調べる検定法の一種であって、ｔ分布と呼ばれる確率分布が利用される。この例において、警告情報制御装置１０は、Ｚ検定またはｔ検定を用いて、判定対象の差出人からの受信メールにおける添付開封判断時間の平均値と、それ以外の差出人からの受信メールにおける添付開封判断時間の平均値との間に相違があるかを検定する。

続いて、統計量の算出処理の流れについて説明する。用心深さ判定手段１５は、まず、判定対象の差出人からの受信メールの数ｎと、添付開封判断時間の平均値ｘ（秒）を算出する。また、用心深さ判定手段１５は、判定対象の差出人を除く全ての差出人からの受信メールにおける添付開封判断時間の平均値ｍ（秒）と、標本標準偏差値ｓを算出する。そして、用心深さ判定手段１５は、算出した値に基づいて、判定対象の差出人に係るＺ値またはｔ値を算出する。具体的に、Ｚ値またはｔ値は、数式「Ｚ、ｔ＝（ｘ−ｍ）／（ｓ／√ｎ）」に基づいて算出される。そして、用心深さ判定手段１５は、Ｚ検定の場合は標準正規分布、ｔ検定の場合はｔ分布に基づく、例えば、１％または５％の有意水準の下側に対応する確率変数を算出し、判定対象の差出人に係るＺ値またはｔ値が下回る場合に用心深さが低下しているものと判定する。

［Ｚ検定、または、ｔ検定における分布図］
図１１は、Ｚ検定、または、ｔ検定における分布図の一例を示す図である。同図の分布図は、Ｚ検定の場合は標準正規分布に対応し、ｔ検定の場合は、判定対象の差出人からの受信メールの数がｎの場合、自由度ｎ−１のｔ分布に対応する。同図において、値Ｙ１は分布図における有意水準５％の下側の値、値Ｙ２は分布図における有意水準５％の上側の値を示す。本実施の形態例では、例えば、有意水準の５％の下側の値が、用心深さの判定のための基準値に対応する。つまり、同図において、矢印ＥＸ３で示される範囲内の分布は、判定対象の差出人を除く全ての差出人からの受信メールに基づく分布における下位の２．５％に当たる。

この例において、数式「Ｚ、ｔ＝（ｘ−ｍ）／（ｓ／√ｎ）」に基づいて算出される、判定対象の差出人のＺ値またはｔ値が値Ｙ１を下回る場合、用心深さが低下していると判定される。図１１の分布図において、Ｚ値またはｔ値が値Ｙ１を下回る場合、判定対象の差出人からの受信メールの添付開封時間の平均値が、判定対象の差出人を除く差出人からの受信メールに基づく分布における下位２．５％に対応する値より短いことを示す。これは、判定対象の差出人からの受信メールの添付開封判断時間の平均値が、判定対象の差出人を除く差出人からの受信メールにおける添付開封判断時間の平均値と、添付開封判断時間の短い方向に異なっていることを意味する。つまり、添付開封判断時間について、判定対象の差出人からの受信メールは、判定対象の差出人を除く差出人からの受信メールに対して顕著に短いことを示すため、図１０の統計データテーブルにおいて異常として設定される。

具体的に、判定対象の差出人を差出人Ｃとする場合を例示する。差出人Ｃからの受信メールの数ｎは５０であるため、Ｚ検定が適用される。この例において、差出人Ｃからの受信メールにおける添付開封判断時間の平均値ｘは３．０（秒）である。また、差出人Ｃを除く全ての差出人からの受信メールにおける添付開封判断時間の平均値ｍは３．２（秒）、及び、標本標準偏差値ｓは０．７１である。このため、数式「（３．０−３．２）／（０．７１／√５０）に基づいて、Ｚ値−２．０が算出される。Ｚ値−２．０は、標準正規分布における有意水準５％の下側の基準値−１．９６を下回ることから、異常と判定される。これにより、新たに、差出人Ｃからのメールを受信した場合、用心深さが低下している旨の警告情報がユーザに出力される。

また、判定対象の差出人を差出人Ａとする場合を例示する。差出人Ａからの受信メールの数ｎは２０であるため、ｔ検定が適用される。この例において、差出人Ａからの受信メールにおける添付開封判断時間の平均値ｘは４．０（秒）である。また、差出人Ａを除く全ての差出人からの受信メールにおける添付開封判断時間の平均値ｍは３．０（秒）、及び、標本標準偏差値ｓは２．２３である。このため、数式「（４．０−３．０）／（２．２３／√２０）」に基づいて、ｔ値２．０が算出される。ｔ値２．０は、自由度１９（＝ｎ−１）のｔ分布における有意水準５％の下側の基準値−２．０９を上回ることから、正常と判定される。これにより、新たに、差出人Ａからのメールを受信した場合、警告情報は出力されない。

このように、判定対象の差出人を除く差出人からの受信メールに基づく分布に基づいた基準値（この例では、値Ｙ１）より、受信メールの添付開封判断時間の平均値が短い差出人が、用心深さが低下している差出人として検出される。Ｚ検定、または、ｔ検定に基づくことにより、受信メールの開封から添付ファイルの開封までの確認時間が顕著に低下している受信メールの差出人が、受信メールの添付開封判断時間の分布に基づいて、さらに、高精度に検出される。

なお、この例では、分布における有意水準５％の下側に対応する値を基準値としたが、この例に限定されるものではない。基準値は、分布における有意水準１％の下側に対応する値であってもよい。有意水準の値を変更することにより、異常検知の検知度合いを調整することが可能となる。例えば、有意水準を大きくすることにより、異常がより頻繁に検知されるように調整される。

また、前述したとおり、この例においても、判定対象の差出人からの、基準期間以前の期間における受信メールに基づく分布に基づいた基準値より、直近の基準期間内における当該差出人からの受信メールにおける添付開封判断時間の平均値が短い差出人について、用心深さが低下している差出人として検出されてもよい。これにより、直近の１カ月内に受信したメールに対する用心深さが、１カ月以前に受信した同一の差出人からの受信メールに対して、顕著に低下している差出人がより高精度に検出可能になる。

［Ｆ検定による統計］
続いて、Ｆ検定に基づく統計について説明する。Ｆ検定では、添付開封判断時間の分散度合いに基づいて用心深さの判定を行う。ある差出人からの受信メールについて、添付開封判断時間の分散度合いが小さい場合、いずれの受信メールについても、添付開封判断時間が一定であることを示す。これは、受信メールの内容が吟味されずに、添付ファイルが機械的に開封されていることを示す。一方、添付開封判断時間の分散度合いが大きい場合、添付開封判断時間が受信メールそれぞれについて異なることを示し、受信メールの内容が吟味された上で添付ファイルが開封されていることを示す。そこで、判定対象の差出人からの受信メールにおける添付開封判断時間の分散度合いが顕著に小さい場合、当該差出人からの受信メールについて、用心深さが低下しているものと判定される。

図１２は、Ｆ検定に基づく統計データテーブルＴＢ２−３の一例を示す図である。同図の統計データテーブルＴＢ２−３は、メールの差出人ごとに、受信メールの数ｎ、添付開封判断時間の不偏分散ｖ１を有する。また、統計データテーブルＴＢ２−３は、判定対象の差出人を除く差出人からの受信メールの数ｎ２、添付開封時間の不偏分散ｖ２を有する。そして、統計データテーブルＴＢ２−３は、不偏分散ｖ１、ｖ２に基づくＦ値、及び、判定対象の差出人からの受信メールの数ｎ１と、判定対象の差出人を除く差出人からの受信メールの数ｎ２とに基づく分布における有意水準５％の下側のＦ値を有する。なお、統計量の元となるデータは、図８、図９で示した標準化データに基づく統計と同様にして、添付ファイルが開封済みであって、添付開封判断時間が外れ値を超えない受信メールの情報である。

この例では、用心深さ判定手段１５は、Ｆ検定を用いて、判定対象の差出人からの受信メールにおける添付開封判断時間の分散ｖ１が、判定対象の差出人以外の差出人からの受信メールにおける添付開封判断時間の分散ｖ２と、異なるか否かを検定する。判定対象の差出人からの受信メールにおける添付開封判断時間の分散ｖ１が、分散度合いの小さい方に異なる場合、判定対象の差出人からの受信メールについて用心深さが低下していると判定される。

続いて、統計量の算出処理の流れについて説明する。用心深さ判定手段１５は、まず、判定対象の差出人からの受信メールの数ｎ１と、添付開封判断時間の不偏分散ｖ１を算出する。また、用心深さ判定手段１５は、判定対象の差出人を除く全ての差出人からの受信メールの数ｎ２と、添付開封判断時間の不偏分散ｖ２を算出する。そして、用心深さ判定手段１５は、判定対象の差出人に係るＦ値を、数式「Ｆ＝ｖ１／ｖ２」に基づいて算出する。そして、用心深さ判定手段１５は、自由度ｎ１−１、ｎ２−１のＦ分布に基づく、例えば、１％または５％の有意水準の下側に対応する確率変数を算出し、判定対象の差出人に係るＦ値が下回る場合に用心深さが低下しているものと判定する。

［Ｆ検定における分布図］
図１３は、Ｆ分布の一例を示す図である。Ｆ分布は、自由度ｎ１−１、ｎ２−１に基づく分布である。同図において、値Ｚ１は分布図における有意水準５％の下側の値を示す。本実施の形態例では、例えば、有意水準の５％の下側の値が、用心深さの判定のための基準値に対応する。つまり、同図において、矢印ＥＸ４で示される範囲内の分布は、判定対象の差出人からの受信メール、及び、判定対象の差出人を除く全ての差出人からの受信メールの数に基づく分布における下位の２．５％に当たる。

この例において、数式「Ｆ＝ｖ１／ｖ２」に基づいて算出される、判定対象の差出人のＦ値が、値Ｚ１を下回る場合、用心深さが低下していると判定される。図１３の分布図において、Ｆ値が値Ｚ１を下回る場合、判定対象の差出人からの受信メールの添付開封時間の分散度合いが、判定対象の差出人を除く差出人からの受信メールに基づく分布における下位２．５％に対応する値より小さいことを示す。これは、判定対象の差出人からの受信メールの添付開封判断時間の分散度合いが、判定対象の差出人を除く差出人からの受信メールにおける添付開封判断時間の分散度合いと、分散度合いの小さい方向に異なっていることを意味する。つまり、添付開封判断時間の分散度合いについて、判定対象の差出人からの受信メールは、判定対象の差出人を除く差出人からの受信メールに対して顕著に小さいことを示すため、図１２の統計データテーブルにおいて異常として設定される。

具体的に、判定対象の差出人を差出人Ｃとする場合を例示する。この例において、差出人Ｃからの受信メールの数ｎ１は５０であって、不偏分散ｖ１は４５．０である。また、差出人Ｃを除く全ての差出人からの受信メールの数ｎ２は１５０であって、不偏分散ｖ２は７５．０である。このため、数式「４５．０／７５．０」に基づいて、Ｆ値０．６が算出される。Ｆ値０．６は、自由度４９（＝ｎ１−１）、自由度１４９（＝ｎ２−１）のＦ分布における有意水準５％の下側の基準値０．６１７を下回ることから、異常と判定される。これにより、新たに、差出人Ｃからのメールを受信した場合、用心深さが低下している旨の警告情報がユーザに出力される。

このように、判定対象の差出人からの受信メール、及び、判定対象の差出人を除く差出人からの受信メールの数に基づく分布に基づいた基準値（この例では、値Ｚ１）より、受信メールの添付開封判断時間の分散度合いが小さい差出人が、用心深さが低下している差出人として検出される。Ｆ検定に基づくことにより、受信メールの開封から添付ファイルの開封までの確認時間のばらつきが顕著に小さい受信メールの差出人が、受信メールの添付開封判断時間の分布に基づいて、高精度に検出される。

なお、この例では、分布における有意水準５％の下側に対応する値を基準値としたが、この例に限定されるものではない。基準値は、分布における有意水準１％の下側に対応する値であってもよい。有意水準の値を変更することにより、異常検知の検知度合いを調整することが可能となる。例えば、有意水準を大きくすることにより、異常がより頻繁に検知されるように調整される。

また、前述したとおり、この例においても、判定対象の差出人からの、基準期間以前の期間における受信メールに基づく分布に基づいた基準値より、直近の基準期間内における当該差出人からの受信メールにおける添付開封判断時間の分散度合いが小さい差出人について、用心深さが低下している差出人として検出されてもよい。これにより、直近の１カ月内に受信したメールに対する用心深さが、１カ月以前に受信した同一の差出人からの受信メールに対して、顕著に低下している差出人がより高精度に検出可能になる。

なお、用心深さの判定のための統計手法は、本実施の形態例において説明した手法に限定されるものではない。用心深さの判定は、添付開封判断時間に基づく別の統計手法に基づいてもよい。または、用心深さの判定は、複数の統計手法の組み合わせに基づいてもよい。例えば、Ｚ検定及びｔ検定に基づく統計と、Ｆ検定に基づく統計とが組み合わされることによって、用心深さが低下している差出人が検出される。これにより、警告情報制御装置１０は、添付開封判断時間が短く、且つ、添付開封判断時間の分散度合いが小さい差出人を用心深さが低下している差出人が検出可能になる。これにより、添付開封判断時間に基づいて、より効果的に、用心深さの低下している差出人が検出可能になる。

［第２の実施の形態例］
第１の実施の形態例では、添付開封判断時間に基づいて、用心深さが低下している差出人を検出する形態を例示した。第２の実施の形態例では、不審メールに対して表示される受信確認画面の表示時間に基づいて、用心深さが低下している差出人を検出する。

［警告情報制御装置のブロック図］
図１４は、第２の実施の形態例における警告情報制御装置５０のブロック図の一例を示す図である。第２の実施の形態例における警告情報制御装置５０は、例えば、メールサーバ２００と、ユーザが使用するメールソフト（メーラー）１００との間に配置される。警告情報制御装置５０とメールサーバ２００、警告情報制御装置５０とメールソフト１００とは、相互に通信可能である。なお、本実施の形態例における警告情報制御装置５０は、メールソフト１００と同一の筐体に配置されるが、警告情報制御装置５０は、メールサーバ２００と同一の筐体に配置されてもよい。

警告情報制御装置５０は、例えば、受信メールヘッダ情報管理手段５１、受信確認画面表示手段５８、警告手段５２、時間計測手段５６、用心深さ判定手段５５、受信メール情報記憶装置５７を有する。受信メールヘッダ情報管理手段５１は、受信メールのヘッダ情報を記憶する。受信メールヘッダ情報管理手段５１は、第１の実施の形態例と同様に、メールヘッダにおけるＭｅｓｓａｇｅ-ＩＤ情報、Ｆｒｏｍ情報を、受信メール情報データテーブルに格納する。また、受信確認画面表示手段５８は、次に例示するポリシーに基づいて、標的型メールの可能性があるメールについて受信確認画面をポップアップ表示し、ユーザに注意を促す。ポリシーは、例えば、初めて受け取るアドレスまたは組織外のアドレスからの受信メール、添付ファイルやＵＲＬが付与された受信メール、送信経路が通常と異なる受信メール等である。

また、時間計測手段５６は、受信確認画面がポップアップ表示され、ユーザが受信確認画面を閉じるまでの時間を、受信確認画面表示時間として算出する。用心深さ判定手段５５は、差出人ごとに仕分けされた受信メールについて、受信確認画面表示時間の統計量を計算する。そして、用心深さ判定手段５５は、判定対象の差出人の統計量と、他の差出人の統計量とを比較し、判定対象の差出人の用心深さが低下しているか否かを判定する。

警告手段５２は、メールソフト１００において、ユーザが、用心深さが低下している差出人からメールを受信したときに、警告情報を出力する。なお、警告手段５２は、受信確認画面表示手段５８を呼び出すことによって、警告情報を表示してもよい。また、受信メール情報記憶装置５７は、メールサーバ２００からの受信メールの情報をそれぞれ格納するデータテーブル、及び、差出人ごとの受信メールの統計量を格納するデータテーブルを記憶する。受信メール情報記憶装置５７は、例えば、ＲＯＭ／ＲＡＭ等のメモリである。

［受信確認画面］
図１５は、一般的な受信確認画面ＤＧ２の一例を示す図である。ユーザが不審メールを受信すると、同図のような受信確認画面ＤＧ２がポップアップ表示される。受信確認画面ＤＧ２には、例えば、対象の受信メールが標的型メールである可能性を有する旨のメッセージが表示される。そして、ユーザは、受信確認画面ＤＧ２を確認し、受信確認画面ＤＧ２に表示されるボタンを押下する。しかしながら、受信確認画面ＤＧ２は、注視されることなく機械的に終了されてしまうことがある。このため、受信確認画面ＤＧ２が表示されても、ユーザの注意が喚起されず、受信確認画面ＤＧ２を表示する効果が発揮されない。

そこで、第２の実施の形態例では、受信確認画面ＤＧ２の表示時間に基づいて、用心深さを判定する。具体的に、警告情報制御装置５０は、受信メールの差出人のうち、受信確認画面ＤＧ２表示時間が顕著に短い、または、受信確認画面表示時間の分散度合いが顕著に小さい差出人を、用心深さが低下している差出人として検出する。そして、用心深さが低下している差出人からのメールを受信した際に、警告情報を出力する。

［警告情報の出力］
図１６は、第２の実施の形態例における警告情報の出力例について例示する図である。警告情報制御装置５０の警告手段５２は、用心深さが低下している差出人からのメールを受信すると、例えば、同図のような警告情報ＭＳを受信確認画面ＤＧ３に表示する。警告情報ＭＳには、例えば、差出人からの受信メールに対して、用心深さ、即ち、慎重さが低下している旨のメッセージが表示される。なお、警告情報ＭＳは、受信確認画面ＤＧ３とは別のダイアログ等によって出力されてもよいし、音声等によって出力されてもよい。

これにより、ユーザは、受信しようとしているメールの差出人からのメールについて、用心深さが低下していることを検知可能になる。これにより、ユーザは、たとえ、差出人が信頼できる差出人からの受信メールであったとしても、十分に時間をかけて確認するようになる。これにより、信頼できる差出人を騙る標的型メールを受信した場合、十分な確認が行われなかったことに起因して問題が生じることが回避される。

続いて、本実施の形態例における警告情報制御装置５０の処理について、フローチャート図に基づいて説明する。第２の実施の形態例における警告情報制御装置５０の処理の概要については、第１の実施の形態例と同様である。第２の実施の形態例における警告情報制御装置５０においても、警告情報提示処理工程（図３のＳ１００）の一部として、受信メールデータ収集処理工程（図３のＳ１２）が行われる。そして、警告情報制御装置５０は、用心深さが低下した送信元の判定処理として、収集した受信メール情報に基づいて用心深さが低下している送信元を検出する（図３のＳ２００）。

［メール受信時のフローチャート］
図１７は、メールサーバ２００からのメールを受信したときの、警告情報制御装置５０の処理について説明するフローチャート図である。この処理は、メールサーバ２００からメール受信時、当該メールがメールソフト１００に回送される前に行われる。また、同図のフローチャート図に示される処理は、図３のフローチャート図における工程Ｓ１００に含まれる。

警告情報制御装置５０は、メールサーバ２００からメールを受信すると、当該受信メールが受信確認画面の表示対象を示す所定のポリシーに合致するか否かを判定する（Ｓ５１）。所定のポリシーに合致する場合（Ｓ５１のＹＥＳ）、警告情報制御装置５０は、受信メールデータ収集処理を行う（Ｓ５２）。警告情報制御装置５０は、具体的に、受信メールの情報を収集し、受信メール情報データテーブルに記憶する。処理の詳細については後述する。これにより、添付ファイルを有する受信メールそれぞれについて、受信メールの情報が受信メール情報データテーブルに記憶される。

続いて、警告情報制御装置５０は、受信メール情報データテーブルに基づいて生成される統計データテーブルを参照する（Ｓ５３）。統計データテーブルは、用心深さ判定処理によって生成される。統計データテーブルの生成処理については、第１の実施の形態例と同様である。ただし、第２の実施の形態例では、用心深さを判定するための時間として、添付開封判断時間の替わりに、受信確認画面表示時間が用いられる。

そして、警告情報制御装置５０は、受信メールの差出人が、統計量のデータテーブルにおいて用心深さの低下していると判定された差出人に当たるか否かを判定する（Ｓ５４）。受信メールが用心深さが低下している差出人に当たる場合（Ｓ５４のＹＥＳ）、警告情報制御装置５０は、図１６で例示したような、当該差出人からの受信メールに対する用心深さが低下している旨の警告情報を、受信確認画面に追加する（Ｓ５５）。そして、警告情報制御装置５０は、受信確認画面を表示する（Ｓ５６）。

［受信メールデータ収集処理のフローチャート］
図１８は、受信メールデータ収集処理について詳細に説明するフローチャート図である。同図のフローチャートの処理は、図１７のフローチャート図における工程Ｓ５２に該当する。警告情報制御装置５０の受信メールヘッダ情報管理手段５１は、受信メールのメールヘッダ情報を記録する（Ｓ６１）。具体的に、受信メールヘッダ情報管理手段５１は、メールのメールヘッダのうち、Ｍｅｓｓａｇｅ−ＩＤ情報、及びＦｒｏｍ情報を、受信メール情報データテーブルに記憶する。ただし、受信メールヘッダ情報管理手段５１は、Ｆｒｏｍ情報のみを記憶してもよい。

続いて、警告情報制御装置５０は、メールサーバ２００から受信したメールを、ユーザのメールソフト１００に回送する（Ｓ６２）。そして、受信確認画面の表示対象の受信メールである場合、警告情報制御装置５０の受信確認画面表示手段５８が受信確認画面を表示すると、警告情報制御装置５０の時間計測手段５６は、受信確認画面が表示された時間を受信確認画面表示時間として計測する（Ｓ６３）。受信確認画面表示時間は、受信メール情報データテーブルに記憶される。次に、警告情報制御装置５０は、受信確認画面表示時間の外れ値判定を行う（Ｓ６４）。受信確認画面表示時間が外れ値を超える場合、警告情報制御装置５０は、対応する受信メールの情報を統計量の算出対象外とする。具体的に、警告情報制御装置１０は、例えば、受信メール情報データテーブルにおいて、受信確認画面表示時間が外れ値を超える受信メールの外れ値判定フラグを、外れ値を超えていることを示す値×に設定する。この例において、外れ値は、例えば６０秒に設定される。

［外れ値］
本実施の形態例では、メールソフト１００におけるメールの受信と、受信確認画面の確認処理とが、一連の流れで行われる場合における受信確認画面表示時間を統計の対象とする。そこで、受信確認画面表示時間が大幅に長い受信メールにおける受信確認画面表示時間は、受信確認画面の確認に要した時間を示さないとみなされ、統計の対象外とされる。即ち、閾値である外れ値を超える受信確認画面表示時間は、用心深さの判定のための統計の対象外とされる。これにより、受信メールの確認処理に要する時間としての意味を為す受信確認画面表示時間の統計に基づくことにより、本実施の形態例における用心深さの判定の精度が高まり、的確に、用心深さの低下した差出人が検出される。

続いて、第２の実施の形態例における受信メール情報データテーブルについて説明する。

［受信メール情報データテーブル］
図１９は、第２の実施の形態例における受信メール情報データテーブルＴＢ１−２の一例について説明する図である。同図の受信メール情報データテーブルＴＢ１−２は、例えば、Ｍｅｓｓａｇｅ−ＩＤ情報、差出人メールアドレスを示すＦｒｏｍ情報、受信確認画面表示フラグ、受信確認画面表示時間、外れ値判定フラグを有する。受信確認画面表示フラグは、受信確認画面の表示対象であるか否かを示すフラグである。また、外れ値判定フラグは、受信確認画面表示時間が外れ値を超えるか否かを示すフラグである。外れ値判定フラグが○の場合、受信確認画面表示時間が外れ値を超えないことを示す。

続いて、第２の実施の形態例における用心深さ判定処理について説明する。警告情報制御装置５０の用心深さ判定手段５５は、図１９のような、受信メール情報データテーブルＴＢ１−２に基づいて、統計データテーブルを生成する。

［用心深さ判定処理のフローチャート図］
図２０は、用心深さ判定処理について説明するフローチャート図である。用心深さ判定手段５５は、所定の日時に達すると、受信メール情報データテーブルを参照して、所定の日数分の情報を取得する（Ｓ７１）。所定の日数分の情報とは、例えば、直近の１カ月に受信したメールの情報である。例えば、直近の１カ月に受信したメールの情報に基づくことにより、最近の期間において、用心深さが低下する傾向を有する差出人が検出可能になる。

続いて、用心深さ判定手段５５は、取得した受信確認画面表示時間を、差出人ごとに分類する（Ｓ７２）。そして、用心深さ判定手段５５は、差出人ごとに分類した受信確認画面表示時間の情報に基づいて、統計量を算出し、統計データテーブルに記憶する（Ｓ７３）。受信確認画面表示時間の統計量の算出処理については、第１の実施の形態例と同様である。第２の実施の形態例においても、例えば、受信確認画面表示時間の標準化データに基づく統計、Ｚ検定及びｔ検定に基づく統計、Ｆ検定に基づく統計について、用心深さが判定される。

これにより、警告情報制御装置５０は、受信確認画面表示時間が、他の差出人からの受信メール、または、全ての差出人からの受信メールに対して、顕著に短いと判定される受信メールの差出人を、用心深さが低下している差出人として検出することができる。または、警告情報制御装置５０は、受信確認画面表示時間の分散度合いが、他の差出人からの受信メール、または、全ての差出人からの受信メールに対して、顕著に小さいと判定される受信メールの差出人を、用心深さが低下している差出人として検出することができる。

以上のように、本実施の形態例における警告情報制御プログラムにおける警告情報制御処理は、受信メールについて、受信メールの確認処理に要する時間を計測し、計測した時間を受信メールの送信元と関連付けて記憶する受信メール情報記憶工程を有する。また、警告情報制御処理は、記憶した複数の受信メールに基づく分布に基づいた第１の基準値より、記憶した時間が短い送信元を検出する検出工程と、検出した送信元からのメールの受信時に、警告情報を出力する警告情報出力工程と、を有する。

これにより、本実施の形態例における警告情報制御プログラムは、特定の差出人からの受信メールについて用心深さが低下している、即ち、受信メールの内容確認が疎かになっていることを検出し、ユーザに警告することができる。また、本実施の形態例における警告情報制御プログラムは、計測した時間の長さに基づいて、判定対象の差出人からの受信メールに対する用心深さを判定する。これにより、警告情報制御プログラムは、メールの開封や添付ファイルの開封を煽りメールの確認時間が短くになり易い差出人からのメールに対して、十分な確認を行うことをユーザに習慣付けることができる。また、警告情報制御プログラムは、計測した時間に基づくことにより、信頼できる差出人からの受信メールについても注意喚起を促すことができ、標的型メールに対する対処を可能にする。

また、本実施の形態例における警告情報制御処理において、検出工程は、さらに、複数の受信メールに基づく分布に基づいた第２の基準値より、記憶した時間の分散度合いが小さい送信元を検出する。

これにより、本実施の形態例における警告情報制御プログラムは、時間の短さに加え、時間の分散度合いに基づいて、用心深さを判定することができる。具体的に、警告情報制御プログラムは、メールの内容確認時間が短くなり易く、且つ、メールの内容確認が機械的になり易い差出人からの受信メールについて、警告情報を出力ことができる。これにより、警告情報制御プログラムは、受信メールに対して十分な確認を行うことを、ユーザに習慣付けることができる。

または、本実施の形態例における警告情報制御処理は、受信メールについて、受信メールの確認処理に要する時間を計測し、計測した時間を受信メールの送信元と関連付けて記憶する受信メール情報記憶工程を有する。また、警告情報制御処理は、記憶した複数の受信メールに基づく分布に基づいた第２の基準値より、記憶した時間の分散度合いが小さい送信元を検出する検出工程と、検出した送信元からのメールの受信時に、警告情報を出力する警告情報出力工程と、を有する。

これにより、本実施の形態例における警告情報制御プログラムは、時間の分散度合いに基づいて、用心深さを判定することにより、メールの確認が機械的になり易い差出人からのメールに対して、十分な確認を行うことをユーザに習慣付けることができる。また、警告情報制御プログラムは、時間に基づくことにより、信頼できる差出人からの受信メールについても注意喚起を促すことができる。

また、本実施の形態例において、受信メールの確認処理に要する時間は、受信メールの開封から添付ファイルへのアクセスまでの時間（本実施の形態例では、添付開封判断時間）、または、不審メールの候補を対象として出力される不審メール受信確認画面の表示から表示終了までの時間（本実施の形態例では、受信確認画面標示時間）のいずれかである。

これにより、警告情報制御プログラムは、受信メールの開封から添付ファイルへのアクセスまでの時間や、不審メール受信確認画面の表示から表示終了までの時間を、受信メールの確認処理に要する時間として注目することにより、ユーザの受信メールへの用心深さを測ることができる。そして、警告情報制御プログラムは、受信メールの確認処理に要する時間を示す時間に基づいて、特定の差出人からのメールに対する、ユーザの用心深さを判定することができる。

また、本実施の形態例において、検出工程は、検出対象の送信元の受信メールの記憶した時間の平均が、第１の基準値より短い場合に、検出対象の送信元を検出する。これにより、警告情報制御プログラムは、時間の低下傾向にある差出人を高精度に検出することができる。

また、本実施の形態例において、第１の基準値は、複数の受信メールに基づく分布の平均より小さい値である。また、本実施の形態例において、第２の基準値は、複数の受信メールに基づく分布の平均より小さい値である。これにより、警告情報制御プログラムは、時間が比較対象の分布の平均よりも短い、または、時間の分散度合いが比較対象の分布の平均よりも小さい、差出人を検出することができる。

また、本実施の形態例において、複数の受信メールに基づく分布は、複数の受信メールの数、または、記憶した時間のいずれかまたは両方に基づく分布である。これにより、警告情報制御プログラムは、受信メールの情報に基づいて、用心深さの判定における比較対象となる分布を生成することができる。

また、本実施の形態例において、複数の受信メールに基づく分布は、検出対象の送信元の受信メールを含む受信メールに基づく分布、または、検出対象の送信元を除く送信元の受信メールを含む受信メールに基づく分布のいずれかである。これにより、警告情報制御プログラムは、標準化データ、Ｚ検定、ｔ検定、Ｆ検定等に基づいて、判定対象の差出人からの受信メールにおける時間が、判定対象以外の差出人からの受信メールにおける時間と異なるか否かを判定することができる。

また、本実施の形態例において、検出対象の送信元の受信メールは、当該検出対象の送信元の直近の基準期間内の受信メールである。これにより、警告情報制御プログラムは、直近の基準期間内の受信メールに基づいて、用心深さが低下している差出人を検出することができる。例えば、警告情報制御プログラムは、直近の1カ月内に受信したメールに基づいて、用心深さが低下している差出人を検出することができる。これにより、警告情報制御プログラムは、最近の期間において、用心深さが低下している差出人が検出可能になる。このため、警告情報制御プログラムは、最近の期間において用心深さが低下した差出人の情報に基づいて、より適切に、警告情報を出力することができる。

また、本実施の形態例において、複数の受信メールに基づく分布は、検出対象の送信元の直近の基準期間内の受信メールを含む受信メールに基づく分布、または、当該検出対象の送信元の直近の基準期間内を除く基準期間以前の受信メールを含む受信メールに基づく分布のいずれかであって、検出対象の送信元の受信メールは、当該検出対象の送信元の直近の基準期間内の受信メールである。これにより、警告情報制御プログラムは、判定対象の差出人からの、直近の基準期間（例えば、１カ月）内の受信メールにおける時間が、同一の差出人からの基準期間以前の受信メールにおける時間と異なるか否かを判定することができる。

また、本実施の形態例において、複数の受信メールに基づく分布は、記憶した時間が基準閾値（外れ値）以内の受信メールに基づく分布である。これにより、警告情報制御プログラムは、メール開封と添付ファイルへのアクセスが一連の流れで行われる場合における時間に基づいて、用心深さの判定を行うことができる。または、警告情報制御プログラムは、メールソフト１００におけるメールの受信と、受信確認画面の確認処理とが、一連の流れで行われる場合における時間に基づいて、用心深さの判定を行うことができる。これにより、統計の対象から、用心深さを判定するための時間としての意味を為さない時間に対応する情報が除外され、統計の精度が高まることにより、用心深さの低下した差出人が的確に検出可能になる。

以上の実施の形態をまとめると、次の付記のとおりである。
（付記１）
メール受信時に、不審メールに対する警告情報を出力する警告情報制御処理をコンピュータに実行させるコンピュータ読み取り可能な警告情報制御プログラムであって、
前記警告情報制御処理は、
受信メールについて、前記受信メールの確認処理に要する時間を計測し、計測した前記時間を前記受信メールの送信元と関連付けて記憶する受信メール情報記憶工程と、
前記記憶した複数の受信メールに基づく分布に基づいた第１の基準値より、記憶した前記時間が短い前記送信元を検出する検出工程と、
前記検出した送信元からのメールの受信時に、前記警告情報を出力する警告情報出力工程と、を含む処理をコンピュータに実行させることを特徴とする警告情報制御プログラム。
（付記２）
付記１または２において、
前記検出工程は、さらに、前記複数の受信メールに基づく分布に基づいた第２の基準値より、前記記憶した時間の分散度合いが小さい前記送信元を検出する警告情報制御プログラム。
（付記３）
メール受信時に、不審メールに対する警告情報を出力する警告情報制御処理をコンピュータに実行させるコンピュータ読み取り可能な警告情報制御プログラムであって、
前記警告情報制御処理は、
受信メールについて、前記受信メールの確認処理に要する時間を計測し、計測した前記時間を前記受信メールの送信元と関連付けて記憶する受信メール情報記憶工程と、
前記記憶した複数の受信メールに基づく分布に基づいた第２の基準値より、記憶した前記時間の分散度合いが小さい前記送信元を検出する検出工程と、
検出した前記送信元からのメールの受信時に、前記警告情報を出力する警告情報出力工程と、を含む処理をコンピュータに実行させることを特徴とする警告情報制御プログラム。
（付記４）
付記１乃至３のいずれかにおいて、
前記受信メールの確認処理に要する時間は、前記受信メールの開封から添付ファイルへのアクセスまでの時間、または、前記不審メールの候補を対象として出力される不審メール受信確認画面の表示から表示終了までの時間のいずれかである警告情報制御プログラム。
（付記５）
付記１または２において、
前記検出工程は、検出対象の前記送信元の受信メールの前記記憶した時間の平均が、前記第１の基準値より短い場合に、前記検出対象の送信元を検出する警告情報制御プログラム。
（付記６）
付記１または２において、
前記第１の基準値は、前記複数の受信メールに基づく分布の平均より小さい値である警告情報制御プログラム。
（付記７）
付記２または３において、
前記第２の基準値は、前記複数の受信メールに基づく分布の平均より小さい値である警告情報制御プログラム。
（付記８）
付記１乃至７のいずれかにおいて、
前記複数の受信メールに基づく分布は、前記複数の受信メールの数、または、前記複数の受信メールの前記記憶した時間のいずれかまたは両方に基づく分布である警告情報制御プログラム。
（付記９）
付記１乃至８のいずれかにおいて、
前記複数の受信メールに基づく分布は、検出対象の前記送信元の受信メールを含む受信メールに基づく分布、または、前記検出対象の前記送信元を除く送信元の受信メールを含む受信メールに基づく分布のいずれかである警告情報制御プログラム。
（付記１０）
付記項１乃至９のいずれかにおいて、
検出対象の前記送信元の受信メールは、当該検出対象の送信元の直近の基準期間内の受信メールである警告情報制御プログラム。
（付記１１）
付記１乃至８のいずれかにおいて、
前記複数の受信メールに基づく分布は、検出対象の送信元の直近の基準期間内の受信メールを含む受信メールに基づく分布、または、当該検出対象の送信元の直近の基準期間内を除く前記基準期間以前の受信メールを含む受信メールに基づく分布のいずれかであって、
検出対象の前記送信元の受信メールは、当該検出対象の送信元の前記直近の基準期間内の受信メールである警告情報制御プログラム。
（付記１２）
付記１乃至１１のいずれかにおいて、
前記複数の受信メールに基づく分布は、前記記憶した時間が基準閾値以内の受信メールに基づく分布である警告情報制御プログラム。
（付記１３）
メーラーがメールサーバからのメール受信時に、不審メールに対する警告情報を出力する警告情報制御装置であって、
前記メールサーバからの受信メールについて、前記受信メールの確認処理に要する時間を計測し、計測した前記時間を前記受信メールの送信元と関連付けて記憶する受信メール情報記憶手段と、
前記記憶した複数の受信メールに基づく分布に基づいた第１の基準値より、記憶した前記時間が短い前記送信元を検出する検出手段と、
検出した前記送信元からのメールの受信時に、前記警告情報を出力する警告情報出力手段と、を有する警告情報制御装置。
（付記１４）
メーラーがメールサーバからのメール受信時に、不審メールに対する警告情報を出力する警告情報制御装置であって、
前記メールサーバからの受信メールについて、前記受信メールの確認処理に要する時間を計測し、計測した前記時間を前記受信メールの送信元と関連付けて記憶する受信メール情報記憶手段と、
前記記憶した複数の受信メールに基づく分布に基づいた第２の基準値より、記憶した前記時間の分散度合いが小さい前記送信元を検出する検出手段と、
検出した前記送信元からのメールの受信時に、前記警告情報を出力する警告情報出力手段と、を有する警告情報制御装置。

１０：警告情報制御装置、１１：受信メールヘッダ情報管理手段、１２：警告手段、１３：メール開封確認手段、１４：添付ファイル開封確認手段、１５：用心深さ判定手段、１６：時間計測手段、１７：受信メール情報記憶装置、１００：メールソフト、２００：メールサーバ

Claims (14)

1. メール受信時に、不審メールに対する警告情報を出力する警告情報制御処理をコンピュータに実行させるコンピュータ読み取り可能な警告情報制御プログラムであって、
   前記警告情報制御処理は、
   受信メールについて、前記受信メールの確認処理に要する時間を計測し、計測した前記時間を前記受信メールの送信元と関連付けて記憶する受信メール情報記憶工程と、
   前記記憶した複数の受信メールに基づく分布に基づいた第１の基準値より、記憶した前記時間が短い前記送信元を検出する検出工程と、
   検出した前記送信元からのメールの受信時に、前記警告情報を出力する警告情報出力工程と、を含む処理をコンピュータに実行させることを特徴とする警告情報制御プログラム。
2. 請求項１において、
   前記検出工程は、さらに、前記複数の受信メールに基づく分布に基づいた第２の基準値より、前記記憶した時間の分散度合いが小さい前記送信元を検出する警告情報制御プログラム。
3. メール受信時に、不審メールに対する警告情報を出力する警告情報制御処理をコンピュータに実行させるコンピュータ読み取り可能な警告情報制御プログラムであって、
   前記警告情報制御処理は、
   受信メールについて、前記受信メールの確認処理に要する時間を計測し、計測した前記時間を前記受信メールの送信元と関連付けて記憶する受信メール情報記憶工程と、
   前記記憶した複数の受信メールに基づく分布に基づいた第２の基準値より、記憶した前記時間の分散度合いが小さい前記送信元を検出する検出工程と、
   検出した前記送信元からのメールの受信時に、前記警告情報を出力する警告情報出力工程と、を含む処理をコンピュータに実行させることを特徴とする警告情報制御プログラム。
4. 請求項１乃至３のいずれかにおいて、
   前記受信メールの確認処理に要する時間は、前記受信メールの開封から添付ファイルへのアクセスまでの時間、または、前記不審メールの候補を対象として出力される不審メール受信確認画面の表示から表示終了までの時間のいずれかである警告情報制御プログラム。
5. 請求項１または２において、
   前記検出工程は、検出対象の前記送信元の受信メールの前記記憶した時間の平均が、前記第１の基準値より短い場合に、前記検出対象の送信元を検出する警告情報制御プログラム。
6. 請求項１または２において、
   前記第１の基準値は、前記複数の受信メールに基づく分布の平均より小さい値である警告情報制御プログラム。
7. 請求項２または３において、
   前記第２の基準値は、前記複数の受信メールに基づく分布の平均より小さい値である警告情報制御プログラム。
8. 請求項１乃至７のいずれかにおいて、
   前記複数の受信メールに基づく分布は、前記複数の受信メールの数、または、前記複数の受信メールの前記記憶した時間のいずれかまたは両方に基づく分布である警告情報制御プログラム。
9. 請求項１乃至８のいずれかにおいて、
   前記複数の受信メールに基づく分布は、検出対象の前記送信元の受信メールを含む受信メールに基づく分布、または、前記検出対象の送信元を除く前記送信元の受信メールを含む受信メールに基づく分布のいずれかである警告情報制御プログラム。
10. 請求項１乃至９のいずれかにおいて、
    検出対象の前記送信元の受信メールは、当該検出対象の送信元の直近の基準期間内の受信メールである警告情報制御プログラム。
11. 請求項１乃至８のいずれかにおいて、
    前記複数の受信メールに基づく分布は、検出対象の送信元の直近の基準期間内の受信メールを含む受信メールに基づく分布、または、当該検出対象の送信元の直近の基準期間内を除く前記基準期間以前の受信メールを含む受信メールに基づく分布のいずれかであって、
    検出対象の前記送信元の受信メールは、当該検出対象の送信元の前記直近の基準期間内の受信メールである警告情報制御プログラム。
12. 請求項１乃至１１のいずれかにおいて、
    前記複数の受信メールに基づく分布は、前記記憶した時間が基準閾値以内の受信メールに基づく分布である警告情報制御プログラム。
13. メーラーがメールサーバからのメール受信時に、不審メールに対する警告情報を出力する警告情報制御装置であって、
    前記メールサーバからの受信メールについて、前記受信メールの確認処理に要する時間を計測し、計測した前記時間を前記受信メールの送信元と関連付けて記憶する受信メール情報記憶手段と、
    前記記憶した複数の受信メールに基づく分布に基づいた第１の基準値より、記憶した前記時間が短い前記送信元を検出する検出手段と、
    検出した前記送信元からのメールの受信時に、前記警告情報を出力する警告情報出力手段と、を有する警告情報制御装置。
14. メーラーがメールサーバからのメール受信時に、不審メールに対する警告情報を出力する警告情報制御装置であって、
    前記メールサーバからの受信メールについて、前記受信メールの確認処理に要する時間を計測し、計測した前記時間を前記受信メールの送信元と関連付けて記憶する受信メール情報記憶手段と、
    前記記憶した複数の受信メールに基づく分布に基づいた第２の基準値より、記憶した前記時間の分散度合いが小さい前記送信元を検出する検出手段と、
    検出した前記送信元からのメールの受信時に、前記警告情報を出力する警告情報出力手段と、を有する警告情報制御装置。

Images