JP2017016674A - 不正アクセスの検知および処理システム、装置、方法、並びにコンピュータ読み取り可能な記録媒体 - Google Patents

Abstract

【課題】本発明は、不正に盗んだアクセスＩＤを用いてサーバに不正アクセスを試みる場合、当該不正アクセスを検知して処理するための不正アクセス検知装置に関する。
【解決手段】本発明の一実施形態にかかる不正アクセス検知装置は、スパイＩＤを生成するスパイＩＤ生成部と、特定の端末にインストールされた悪意のあるコードの実行によって生成されたスパイＩＤが流出した後、スパイＩＤを用いたアクセスをモニタリングするアクセスログ検査部と、アクセスログ検査部のモニタリング結果に応じて、スパイＩＤを用いてアクセスした装置の情報を確認して記録する不正ＩＰ処理部とを含む。
【選択図】図４

Description

本発明は、不正アクセスを検知して処理するためのシステムに関し、より詳細には、不正に盗まれたアクセスＩＤを用いてサーバに不正アクセスを試みる場合、当該不正アクセスを検知して処理するための不正アクセスの検知および処理システム、装置、方法、並びにコンピュータ読み取り可能な記録媒体に関する。

通常、インターネットは、世界のどこでも、誰でも、アクセスしたい相手のコンピュータにＴＣＰ／ＩＰという共通のプロトコルを適用して自由に接続して使用できるように構成されている開放型ネットワークであり、基本的な文字情報の伝達はもちろん、圧縮技術の発展に伴いマルチメディア情報の伝達に用いられ、電子メール、ファイル伝送、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）などの様々なサービスを利用することができる。

一方、インターネットを介した通信環境を阻害する要素として、悪意のあるプログラムを用いてインターネットに接続された特定の対象コンピュータを攻撃することで所望の情報を盗もうとする攻撃が行われている。

悪意のあるプログラム（ｍａｌｉｃｉｏｕｓ ｐｒｏｇｒａｍ）は、悪意のある目的のために作成された実行可能なコードの通称であって、マルウェア（ｍａｌｗａｒｅ、ｍａｌｉｃｉｏｕｓ ｓｏｆｔｗａｒｅ）、悪意のあるコード（ｍａｌｉｃｉｏｕｓ ｃｏｄｅ）とも言われ、自己複製能と感染対象の有無に応じて、ウィルス（Ｖｉｒｕｓ）、ワームウィルス（ｗｏｒｍ ｖｉｒｕｓ）、トロイの木馬（Ｔｒｏｊａｎ ｈｏｒｓｅ）などに分類することができる。

また、悪意のあるプログラムと類似するスパイウェア（ｓｐｙｗａｒｅ）は、他人のコンピュータに侵入して重要な個人情報を抽出するソフトウェアであって、近年、ユーザの名前はもちろん、ＩＰアドレスとお気に入りのＵＲＬ、個人のＩＤとパスワードまで調べることができるように進化し、悪意的に用いられる可能性が高いという点で問題となっている。このように悪意のあるプログラムにより、ネットワークトラフィックの発生、システム性能の低下、ファイルの削除、電子メールの自動送信、個人情報の流出、リモートコントロールなど、様々な被害が生じる虞がある。また、ほとんどの悪意のあるプログラムには、当該悪意のあるプログラムの意図および行為が分からないようにするための様々な分析妨害技術が施されている。

一方、従来の悪意のあるプログラムの検知方法としては、既に見つかっている悪意のあるプログラムに対する専門家の分析により、シグネチャーを生成してこれに基づいて、同様の悪意のあるプログラムが用いられる場合にこれを検知する方法がほとんどであり、既に悪意のあるプログラムに感染して個人情報が盗まれた後、不正に盗まれた個人情報が不正に用いられる場合には効果的に対処できないという問題がある。

例えば、悪意のあるプログラムに感染したコンピュータを用いてユーザが特定のウェブサイトにアクセスしてログインする場合、感染した悪意のあるプログラムによってログイン情報（すなわち、ＩＤおよびパスワード）が盗まれて特定のサーバ（例えば、不正収集サーバ）に伝送される。悪意のあるプログラムの製作者は、このように多数の感染したコンピュータから多数の個人情報（例えば、ログイン情報）を盗んで収集し、収集した個人情報を悪意のあるユーザに販売または配布する。

そのため、個人情報が悪意のあるプログラムによって盗まれた後は、悪意のあるプログラムを検知して対処しても、既に不正に盗まれた個人情報でログインするユーザのアクセスを遮断する方法がないという問題がある。

一方、このような悪意のあるプログラムまたは悪意のあるサイトを検出するための技術として、韓国登録特許第１０‐１０４４２７４号公報の「悪意のあるサイトの検出装置、方法およびコンピュータプログラムが記録された記録媒体（ＡｈｎＬａｂ Ｉｎｃ．）」（特許文献１）には、特定のサイトからダウンロードしたプログラムのプロセス実行時点において，当該プロセス内に認証書が含まれているか、スタック構造が正常であるか否かを確認して、現在のサイトが危険なサイトであるか、あるいは現在コンピュータで実行したプロセスが非正常であるかを判断するための方法が開示されている。

しかし、悪意のあるプログラムによる症状や流布方法が次第に複雑化しかつ巧妙化しており、このような既存のアンチウィルスプログラムだけでは、様々な悪意のあるプログラムを介した悪意のあるアクセスに効果的に対処できないという限界がある。

そのため、悪意のあるプログラムが配布されて感染した後に、盗まれた個人情報を用いてログインする不正ユーザのアクセスを最初から遮断する方法の必要性が高まっている。

韓国登録特許第１０‐１０４４２７４号

本発明の目的は、スパイＩＤ（Ｓｐｙ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）を生成して、悪意のあるプログラムを介して意図的に流出させた後、流出させた前記スパイＩＤを用いてログインを試みる不正ユーザを検知して処理する不正アクセスの検知および処理システム、装置、方法、並びにコンピュータ読み取り可能な記録媒体を提供することにある。

また、本発明の他の目的は、スパイＩＤ（Ｓｐｙ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）を生成して、悪意のあるプログラムを介して意図的に流出させた後、流出させた前記スパイＩＤでログインを試みる不正ユーザのＩＰを検出し、当該ＩＰでアクセスするＩＤを検知して処理する不正アクセスの検知および処理システム、装置、方法、並びにコンピュータ読み取り可能な記録媒体を提供することにある。

また、本発明の他の目的は、スパイＩＤ（Ｓｐｙ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）を生成して、悪意のあるプログラムを介して意図的に流出させ、当該ＩＤが販売された後にアクセスしたユーザ端末のＩＰが、当該ＩＤを不正に盗んだ装置のＩＰと異なっていても、不正アクセスを効果的に検知できる不正アクセスの検知および処理システム、装置、方法、並びにコンピュータ読み取り可能な記録媒体を提供することにある。

上記の本発明の目的を達成し、後述する本発明の特有の効果を奏するための、本発明の特徴的な構成は以下のとおりである。

本発明の一側面によれば、不正アクセスを処理するための不正アクセス検知装置は、スパイＩＤを生成するスパイＩＤ生成部と、特定の端末にインストールされた悪意のあるコードの実行によって生成されたスパイＩＤが流出した後、スパイＩＤを介したアクセスをモ
ニタリングするアクセスログ検査部と、アクセスログ検査部のモニタリング結果に応じて、スパイＩＤを用いてアクセスした装置の情報を確認して記録する不正ＩＰ処理部と、を含む。

好ましくは、不正ＩＰ処理部は、スパイＩＤを用いてアクセスした装置のＩＰアドレスを情報として確認して記録する。

好ましくは、不正ＩＰ処理部は、スパイＩＤを用いてアクセスした装置のＩＰアドレスと隣接するＩＰアドレスでアクセスした装置のＩＰアドレスとをさらに確認して記録する。

好ましくは、隣接するＩＰアドレスは、スパイＩＤを用いてアクセスした装置のＩＰアドレスとクラスＣが一致するＩＰアドレスである。

好ましくは、不正アクセス検知装置は、アクセスを試みた装置のＩＰアドレスを確認するＩＰ確認部と、ＩＰ確認部の確認に基づき、記録されたＩＰアドレスからアクセスを試みたＩＤのうちアクセスに成功したＩＤを盗難ＩＤとして処理する盗難ＩＤ登録部と、をさらに含む。

好ましくは、不正アクセス検知装置は、盗難ＩＤでアクセスを試みる場合、アクセスを遮断する盗難ＩＤアクセス遮断部をさらに含む。

好ましくは、不正アクセス検知装置は、盗難ＩＤを用いてアクセスを試みる場合、予め指定された装置に、盗難ＩＤであることを知らせる通知メッセージを伝送する。

好ましくは、盗難ＩＤには、スパイＩＤが含まれる。

本発明の他の側面によれば、不正アクセス処理システムは、アクセスを試みる装置から入力されたＩＤおよびパスワードを確認し、確認したＩＤおよびパスワードを認証することで、アクセスに成功するか否かを処理するウェブサーバと、スパイＩＤを生成して、特定の端末にインストールされた悪意のあるコードの実行によって生成されたスパイＩＤが不正収集サーバに流出した後、スパイＩＤを用いたウェブサーバへのアクセスをモニタリングし、モニタリング結果に応じて、スパイＩＤを用いてアクセスした装置の情報を確認して記録する不正アクセス検知装置と、を含む。

本発明のさらに他の側面によれば、不正アクセス検知装置で行われる不正アクセス処理方法であって、スパイＩＤを生成し、特定の端末にインストールされた悪意のあるコードの実行によって生成されたスパイＩＤが流出した後、スパイＩＤを用いたアクセスをモニタリングし、モニタリング結果に応じて、スパイＩＤを用いてアクセスした装置の情報を確認して記録すること、を含む。

一方、不正アクセスの検知および処理手続きを行うための情報は、サーバコンピュータによって読み取り可能な記録媒体に記録されてもよい。このような記録媒体は、コンピュータシステムによって読み取り可能なようににプログラム及びデータが記録される全ての種類の記録媒体を含む。その例としては、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｋ）（登録商標）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｉｄｅｏ Ｄｉｓｋ）（登録商標）‐ＲＯＭ、磁気テープ、フロッピー（登録商標）ディスク、光データ保存装置などが挙げられ、また、搬送波（ｃａｒｒｉｒ ｗａｖｅ）（例えば、インターネットを介した伝送）の形態で実現されるものも含まれる。また、このような記録媒体は、ネットワークに接続されたコンピュータシステムに分散され、分散方式でコンピュータ読み取り可能なコードが
記録されて実行されてもよい。

上述したように、本発明によれば、各ユーザのコンピュータに感染した悪意のあるプログラムを個々に治療しなくても、感染したコンピュータから盗まれた個人情報を介してログインする不正ユーザのアクセスを最初から遮断できるという利点がある。

また、本発明によれば、不正に盗まれた個人情報が販売または配布されて不正に用いられる前に、悪意のあるプログラムの配布者の情報を検出することで、不正に盗まれた個人情報を用いてログインする不正ユーザのアクセスを最初から遮断できるという利点がある。

また、本発明によれば、悪意のあるプログラムの配布者の情報を検出し、悪意のあるプログラムの配布者が不正に収集した個人情報を確認することで、不正に盗まれた個人情報を用いてログインする不正ユーザのアクセスを最初から遮断できるという利点がある。

また、本発明によれば、悪意のあるプログラムを介して意図的に流出させたスパイＩＤを介して、当該ＩＤが販売された後にアクセスしたユーザ端末のＩＰが、当該ＩＤを不正に盗んだ装置のＩＰと異なっていても、不正アクセスを効果的に検知できるという利点がある。

本発明に係る不正アクセスの検知および処理システムの構造およびその概念を示す図である。 本発明に係る不正アクセスの検知および処理システムの構造およびその概念を示す図である。 本発明に係る不正アクセスの検知および処理システムの構造およびその概念を示す図である。 本発明の一実施形態における不正アクセス検知装置の詳細な構成を示すブロック図である。 本発明の一実施形態における悪意のあるコードを介したスパイＩＤの流出手続きを示すフローチャートである。 本発明の一実施形態における不正収集サーバのＩＰを検知する手続きを示すフローチャートである。 本発明の一実施形態における不正収集サーバが盗んだＩＤを検知する手続きを示すフローチャートである。 本発明の一実施形態におけるウェブサーバのログイン記録を示す図である。

後述する本発明の詳細な説明において、本発明を実施することのできる特定の実施形態を例示した添付の図面を参照する。これらの実施形態は、当業者が本発明を十分に実施することができるように詳細に説明される。本発明の多様な実施形態は、互いに異なるが、相互に排他的である必要はないことを理解すべきである。例えば、ここに記載されている特定の形状、構造及び特徴は、本発明の一実施形態に関連して本発明の思想及び範囲を外れない限り他の実施形態において実現されてもよい。また、それぞれの開示された実施形態における個別の構成要素の位置または配置は、本発明の思想及び範囲を外れない限り変更されてもよいことを理解すべきである。従って、後述する詳細な説明は限定的な意味で理解されるものではなく、本発明の範囲は、適切に説明されるならば、その特許請求の範囲に記載されたものと均等な全ての範囲とともに、添付した特許請求の範囲の記載によってのみ限定される。図面において、類似の参照符号は、様々な側面にわたって同一または類似の機能を有することを示す。

本発明は、スパイＩＤ（Ｓｐｙ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）を生成して、悪意のあるプログラムを介して意図的に流出させた後、流出したスパイＩＤを用いてログインを試みる不正ユーザを検知することで、盗まれた個人情報を確認することができる不正アクセスの検知および処理システムを開示する。

すなわち、本発明は、個人情報を不正に収集するユーザ（例えば、悪意のあるコードの製作者または配布者）の情報を検出するために、任意のＩＤをスパイＩＤとして生成した後、これを悪意のあるコードに感染した端末を介して意図的に流出させる。次に、スパイＩＤを用いたアクセスの試みを検知して、当該アクセスを試みたユーザのＩＰを悪意ある不正ユーザの端末ＩＰと判断する。これにより、前記ＩＰと同じ（または隣接する）ＩＰでログインする他のアカウント情報（すなわち、ＩＤおよびパスワード）も流出させ、不正に用いられるアカウントと判断する。

一方、後述する説明における「スパイＩＤ（Ｓｐｙ ＩＤ）」とは、個人情報を不正に盗もうとするユーザまたは悪意のあるコードの配布者などの情報を検知して処理するための、すなわち、意図的に流出させることを目的として生成されるＩＤ情報であって、特定の種類のＩＤを指すものではなく、本発明の理解を容易にするために用いられる用語である。したがって、前記「スパイＩＤ」は、一般のユーザが当該ウェブサイトに会員登録して生成したＩＤではなく、不正アクセス検知装置が任意に生成したＩＤであり、スパイパスワードとともに生成されて管理されてもよい。また、「スパイＩＤ」は、所定周期または設定期間ごとに新たなＩＤ形態で繰り返して生成されることで、新たな悪意のあるコードおよび新たな不正収集サーバの検出に活用され続けてもよい。

また、後述する説明における「不正収集サーバ」とは、悪意のあるプログラムによって盗まれた個人情報を収集する装置であって、サーバの形態であってもよく、通常のコンピュータ端末からなってもよい。したがって、配布された悪意のあるプログラムが特定のユーザコンピュータなどに感染して実行される場合、当該コンピュータからユーザのアカウント情報が盗まれて不正収集サーバに伝送処理される。

また、後述する説明における「ユーザ端末」とは、通常のデスクトップパソコンだけでなく、スマートフォンを含む概念であって、移動通信端末、デスクトップパソコン、ノートパソコン、ワークステーション、パームトップ（ｐａｌｍｔｏｐ）パソコン、個人携帯情報端末（ｐｅｒｓｏｎａｌ ｄｉｇｉｔａｌ ａｓｓｉｓｔａｎｔ；ＰＤＡ）、ウェブパッドなどのような、メモリ手段を備え、マイクロプロセッサを搭載して演算能力を備えたデジタル機器であればいずれも本発明に係るユーザ端末として採択されてもよい。

以下、本発明の属する技術分野において通常の知識を有する者が本発明を容易に実施できるようにするために、本発明の好ましい実施形態について添付の図面を参照して詳細に説明する。

まず、図１から図４を参照して本発明の一実施形態における概念およびシステムの構造について説明し、次に、図４を参照して本発明の一実施形態における不正アクセス検知装置の詳細な構造について詳細に説明する。

［不正アクセスの検知および処理システムの概念］
図１から図３は本発明に係る不正アクセスの検知および処理システムの構造およびその概念を示す図である。

図１から図３を参照すると、本発明の一実施形態におけるシステムは、不正アクセス検知装置１１０などを含むものでもよい。

ウェブサーバ１００は、後述する不正収集サーバ１３０が個人情報を盗んで収集しようとする対象となるサーバであって、不正アクセス検知装置１１０および／またはユーザ端末１４０から予め登録した個人情報（例えば、ログインＩＤおよびパスワード）を入力してログインした後、所定サービスを提供できるサーバをいずれも含む広義の概念である。したがって、本発明では説明の便宜上、ウェブサーバと記載しているが、その機能は必ずしもウェブサーバに限定されず、ゲームサーバ、メールサーバなど、ログインを介してユーザに様々なサービスを提供できるサーバであればいずれも本発明のウェブサーバ１００に含まれる。

不正収集サーバ１３０は、悪意のあるプログラムを製作または配布し、悪意のあるプログラムに感染したユーザ端末１４０から個人情報（すなわち、ウェブサーバ１００に対するアクセス情報（例えば、ログインＩＤおよびパスワード））を盗んで収集する。不正収集サーバ１３０では、各ユーザ端末１４０から不正に収集したアクセス情報で正常にアクセスできるか否かを確認した後、これを不正に販売または配布する。

一方、本発明では、不正アクセス検知装置１１０が、ウェブサーバ１００にアクセスしてログインできるアクセス情報（すなわち、ログインＩＤおよびパスワード）を任意に生成し、生成されたアクセス情報を悪意のあるプログラムを介して意図的に流出させる。この際、後述する本発明では、上述したように意図的に流出させるログインＩＤを「スパイＩＤ」と称する。したがって、不正アクセス検知装置１１０では、スパイＩＤおよびこれに対応するパスワードを生成して、悪意のあるプログラムを介して意図的に流出させる。

スパイＩＤの流出方法は、多様に実現されてもよい。例えば、不正アクセス検知装置１１０に悪意のあるプログラムを感染させ、生成されたスパイＩＤおよびパスワードでウェブサーバ１００にアクセスを試みると、感染した悪意のあるプログラムの実行によってスパイＩＤおよびパスワードが不正収集サーバ１３０に自動伝送される。また、他の方法として、図１に示したように、不正アクセス検知装置１１０が生成したスパイＩＤおよびパスワードを用いて悪意のあるプログラムに感染した他のユーザ端末１４０からアクセスを試みると、図２に示したように、ユーザ端末１４０にインストールされた悪意のあるプログラムの実行によってスパイＩＤおよびパスワードが不正収集サーバ１３０に伝送される。

一方、不正収集サーバ１３０では、悪意のあるプログラムに感染した各ユーザ端末１４０からウェブサーバ１００に対するアクセス情報（例えば、ログインＩＤ情報およびパスワード情報）を収集する。この際、本発明の一実施形態において、不正収集サーバ１３０は、意図的に流出されたスパイＩＤおよびパスワードもともに収集する。しかし、スパイＩＤおよびパスワードは、一般のＩＤおよびパスワードと同じ形式を有するため、不正収集サーバ１３０では、スパイＩＤと一般ログインＩＤとを区別することができない。

例えば、図１を参照すると、不正アクセス検知装置１１０では、「ｔｕｖｗｘｙ」という任意のスパイＩＤを生成し、これに対応するパスワードとして「３４５６７８」というパスワードをともに生成する。この際、スパイＩＤおよびパスワードは、ウェブサーバ１００に正常にアクセスできるようにしてもよく、アクセスに成功することなく（すなわち、ログインせず）当該スパイＩＤを用いたアクセスの試みのみを検知するように実現されてもよい。一例として、図１において、矢印１０で示すように、生成された任意のスパイＩＤおよびパスワードは、悪意のあるプログラムに感染した他のユーザ端末１４０において用いられてもよい。

したがって、例示的に図２において矢印２０および矢印３０で示すように、ユーザ端末１４０からウェブサーバ１００にログインを試みる場合（矢印２０）、生成されたスパイＩＤは、悪意のあるプログラムに感染した端末を介して不正収集サーバ１３０に伝送される、すなわち、不正に盗まれる（矢印３０）。

次に、例示的に図３を参照すると、矢印４０で示すように、各不正収集サーバ１３０は、悪意のあるプログラムを用いて不正に盗まれたＩＤおよびパスワードが正常にウェブサーバ１００にアクセスできるか否かを検証する。この際、他の盗難ＩＤとともに、図２のようにスパイＩＤおよびパスワードも収集されているため、不正収集サーバ１３０は、ＩＤ検証過程においてスパイＩＤおよびパスワードでもウェブサーバ１００にアクセスを試みることになる。

この際、本発明の一実施形態において、不正アクセス検知装置１１０は、スパイＩＤを用いたアクセスの試みまたはアクセス成功を検知し、当該不正収集サーバ１３０を悪意のあるユーザの装置と判断する。したがって、本発明の一実施形態において、スパイＩＤを用いてアクセスを試みるかまたはアクセスに成功した不正収集サーバ１３０のアクセスＩＰアドレスを検出し、これを不正ＩＰ情報としてデータベースに記録する。これにより、記録された不正ＩＰアドレスからアクセスを試みるかまたはアクセスに成功したすべてのＩＤに対しては不正に盗まれたＩＤとみなして、アクセスを遮断するかＩＤが流出したことを知らせる通知メッセージを予め指定した装置に伝送するなど、その他の様々な措置を取ることになる。また、本発明の一実施形態において、不正収集サーバ１３０のＩＰアドレスと近接するＩＰアドレスも不正収集サーバ１３０とみなしてもよい。例えば、ＩＰｖ４アドレスシステムにおいて、クラスＣのネットワーク部分が一致する場合（すなわち、第１〜第４オクテット（８ビット）からなるＩＰｖ４アドレスにおいて、クラスＣのネットワーク部分である第１〜第３オクテットが一致する場合）、またはクラスＣにおいて、ネットワーク部分が一致し、ホスト部分の値が類似している場合（すなわち、クラスＣにおいて、第４オクテットであるホスト部分の値が特定の大きさ以内の場合）、互いに近接する位置にある装置のＩＰアドレスと判断し、これを不正収集サーバ１３０とみなしてもよい。

また、図３で説明したように、不正収集サーバ１３０は、各盗難ＩＤを用いてアクセスを試みて正常に使用できるか否かを検査し、アクセスに成功したことを確認すると、確認されたＩＤおよびパスワードを他の悪意のあるユーザに販売または配布することが一般的である。一方、盗難ＩＤを不正収集サーバ１３０から購買または取得した悪意のあるユーザは、自分のユーザ端末１４０から購買または取得したＩＤを用いてウェブサーバ１００にアクセスを試みる。この際、盗難ＩＤの情報は、既に不正アクセス検知装置１１０に確保されているため、盗難ＩＤを用いたウェブサーバ１００へのアクセスを遮断するか別の制裁を加えることができる。

一方、本発明では、説明の便宜上、不正収集サーバ１３０が不正にＩＤおよびパスワードを盗み、盗んだＩＤの有効性を判断した後、これを販売または配布すると説明しているが、ＩＤの盗み取り、有効性の判断、販売または配布などをそれぞれ異なる端末（例えば、それぞれ異なるＩＰアドレスを有する端末）で行うように実現されてもよい。

また、不正アクセス検知装置１１０は、図１から図３においてウェブサーバ１００とは別に示されているが、ウェブサーバ１００の事業者と同じ事業者が不正アクセス検知装置１１０を構築し、これを連動させてもよく、ウェブサーバ１００内に不正アクセス検知装置１１０の構成が含まれて実現されてもよい。また、不正アクセス検知装置１１０の意図的なスパイＩＤ流出機能およびスパイＩＤを用いたアクセスの試みの検知機能は、物理的に互いに異なる機械で実現されてもよい。

また、不正アクセス検知装置１１０は、後述するように基本的に不正アクセスに対する検知を行い、さらに検知された不正アクセスに対する処理（例えば、アクセス遮断またはメッセージ通知など）機能（すなわち、不正アクセス処理機能）を行ってもよい。

通信ネットワーク１２０は、有線又は無線などのような通信形態を問わずに構成されてもよく、パーソナルエリアネットワーク（ＰＡＮ；Ｐｅｒｓｏｎａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ローカルエリアネットワーク（ＬＡＮ；Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、メトロポリタンエリアネットワーク（ＭＡＮ；Ｍｅｔｒｏｐｏｌｉｔａｎ Ａｒｅａ Ｎｅｔｗｏｒｋ）、広域ネットワーク（ＷＡＮ；Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）など、多様な通信網で構成されてもよい。また、通信ネットワーク１２０は、公知のワールドワイドウェブ（ＷＷＷ；Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）であってもよく、赤外線（Ｉｎｆｒａｒｅｄ Ｄａｔａ Ａｓｓｏｃｉａｔｉｏｎ；ＩｒＤＡ）またはブルートゥース（Ｂｌｕｅｔｏｏｔｈ）（登録商標）のように短距離通信に用いられる無線送信技術を利用してもよい。

次に、図４を参照して不正アクセス検知装置１１０の詳細構成について説明する。

（不正アクセス検知装置）
図４は本発明の一実施形態における不正アクセス検知装置の詳細な構成を示すブロック図である。図４を参照すると、本発明の一実施形態における不正アクセス検知装置１１０は、悪意のあるコード収集部４０１と、スパイＩＤ配布部４０２と、スパイＩＤ生成部４０３と、アクセスログ検査部４１１と、スパイＩＤ確認部４１２と、不正ＩＰ処理部４１３と、ＩＰ確認部４２１と、盗難ＩＤ登録部４２２と、盗難ＩＤアクセス遮断部４２３と、を含んでもよい。

悪意のあるコード収集部４０１は、スパイＩＤを意図的に流出させるために各種の悪意のあるコード（または悪意のあるプログラム）を収集する機能を行う。収集された悪意のあるコードは、悪意のあるコード情報データベース４０４に記録される。一方、スパイＩＤを不正アクセス検知装置１１０から直接流出させることなく、悪意のあるコードに感染した他の端末（ユーザ端末１４０）を介して流出させる場合、悪意のあるコード収集部４０１は省略されてもよい。また、前記のように悪意のあるコードを別に収集することなく、不正アクセス検知装置１１０を悪意のあるコードに意図的に感染させてもよい。

スパイＩＤ生成部４０３は、上述したように本発明によって意図的に流出させるためのアカウント情報としてスパイＩＤを生成する機能を行う。生成されたスパイＩＤは、スパイＩＤ情報データベース４０５に記録される。この際、スパイＩＤおよびそれに対応するパスワードをともに生成し、これをマッピングして記録することが好ましい。一方、生成されたスパイＩＤおよびパスワードは、ウェブサーバ１００でも共有され、スパイＩＤを用いたアクセスを試みる際にアクセス成功処理、すなわちログイン処理、またはアクセスの試みの検知をするように実現されてもよい。また、スパイＩＤ生成部４０３は、スパイＩＤを予め設定した周期ごとに繰り返し生成するように実現されてもよい。すなわち、新たに生成して配布される悪意のあるコードに適用するために、周期的または繰り返してスパイＩＤを生成することで、不正収集サーバ１３０を検知し続けることができる。

スパイＩＤ配布部４０２は、スパイＩＤ生成部４０３を介して生成されたスパイＩＤを、悪意のあるコード収集部４０１を介して収集された悪意のあるコードによって流出させるようにする機能を行う。すなわち、生成されたスパイＩＤでウェブサーバ１００にアクセスを試みる場合、収集した悪意のあるコードの実行によって生成されたスパイＩＤが不正収集サーバ１３０に伝送される。

一方、上述したように、スパイＩＤを不正アクセス検知装置１１０から直接流出することなく、悪意のあるコードに感染された他の端末（ユーザ端末１４０）を介して流出する場合、スパイＩＤ配布部４０２は省略されてもよい。この際、スパイＩＤ生成部４０３を介して生成されたスパイＩＤを用いて悪意のあるコードに感染した他の端末からアクセスを試みるだけでもスパイＩＤが流出して不正収集サーバ１３０に伝送されてもよい。

このように、生成されたスパイＩＤが流出して不正収集サーバ１３０に伝送されると、不正収集サーバ１３０では、不正に盗まれた各ＩＤが正常にアクセスできるＩＤであるか、すなわちログインできるＩＤであるかを検査する。この際、不正に盗まれたＩＤのなかにスパイＩＤも含まれていてもよく、不正に盗まれたスパイＩＤを用いてウェブサーバ１００にアクセスを試みる場合、本発明の一実施形態において、不正アクセス検知装置１１０がこれを検知することで不正収集サーバ１３０の情報を確認する。

すなわち、アクセスログ検査部４１１では、ウェブサーバ１００にアクセスしてアクセスを試みる各ログインＩＤをモニタリングする。この際、ログインＩＤをモニタリングする方法として、ウェブサーバ１００にアクセスして伝送されるパケットをリアルタイムで収集し、アクセスを試みるＩＤを検査してもよい。

他の方法として、アクセスログ検査部４１１では、ウェブサーバ１００のログインデータに周期的に（例えば、１日単位で）アクセスしてログインデータを検査してもよい。この際、ログインデータは、図９に示すように、ウェブサーバ１００にアクセスしてアクセスを試みる各ログインＩＤ、パスワード、アクセスに成功（ログイン成功）したか否か、およびアクセスを試みる端末のＩＰアドレスなどを含んでもよい。

スパイＩＤ確認部４１２は、アクセスログ検査部４１１のモニタリングによってアクセスを試みたＩＤまたはアクセスに成功したＩＤのなかに、生成されたスパイＩＤが存在するか否かを確認する。すなわち、アクセスログ検査部４１１を介して収集されたログインＩＤと、スパイＩＤ情報データベース４０５に記録されたスパイＩＤとを比較して一致するか否かを確認する。

確認の結果、アクセスを試みたＩＤまたはアクセスに成功したＩＤとスパイＩＤとが一致する場合、不正ＩＰ処理部４１３では、スパイＩＤでアクセスを試みた端末またはアクセスに成功した端末を不正収集サーバ１３０とみなし、当該端末のＩＰを不正ＩＰ情報データベース４１４に記録する。また、アクセスログ検査部４１１がリアルタイムでパケットをモニタリングする場合、ウェブサーバ１００にアクセスを試みるパケットを検査して、当該ログインＩＤのうちスパイＩＤと一致するＩＤが存在する場合、前記パケットの出所アドレス（ｓｏｕｒｃｅ ａｄｄｒｅｓｓ）のＩＰアドレスを不正ＩＰ情報データベース４１４に記録してもよい。

一方、上述したように、不正収集サーバ１３０とみなした端末のＩＰアドレスだけでなく、本発明の一実施形態において、前記ＩＰアドレスと隣接する（例えば、ＩＰアドレスのＣクラスにおいてネットワークの部分が一致する）ＩＰアドレスも不正収集サーバ１３０のＩＰアドレスとみなしてもよい。

このように、本発明の一実施形態において、前記のように不正収集サーバ１３０のＩＰアドレスを確認した後、確認されたＩＰアドレスを用いて不正収集サーバ１３０が不正に盗んだすべてのＩＤを確認することができる。すなわち、上述したように、不正収集サーバ１３０では、不正に盗んだすべてのＩＤに対して使用可能なＩＤであるかを確認するために、各ＩＤを用いてウェブサーバ１００にアクセスを試みる。したがって、不正収集サーバ１３０のＩＰアドレスを用いてアクセスを試みるすべてのＩＤをログインデータに基づいて検査し、図９に示すように、このうちアクセスに成功したＩＤ、すなわち、ログインに成功したＩＤを盗難ＩＤとみなして処理することができる。

すなわち、ＩＰ確認部４２１は、ウェブサーバ１００にアクセスして、アクセスを試みまたはアクセスに成功した各端末のＩＰを確認し、確認されたＩＰが不正ＩＰ情報データベース４１４に不正ＩＰとして登録されたＩＰ（すなわち、不正収集サーバ１３０のＩＰ）であるかを検査する。この際、アクセスに成功した端末のＩＰを確認する方法は、上述したように所定の期間（例えば、１日単位）でウェブサーバ１００のログ記録を検査することで確認されてもよい。

前記検査の結果、確認されたＩＰが不正ＩＰ情報データベース４１４に記録された不正ＩＰである場合、アクセスを試みたＩＤまたはアクセスに成功したＩＤを盗難ＩＤとみなす。したがって、盗難ＩＤ登録部４２２は、盗難ＩＤとみなされたＩＤを盗難ＩＤ情報データベース４２４に記録する。

盗難ＩＤアクセス遮断部４２３では、ウェブサーバ１００にアクセスを試みるＩＤを検査し、アクセスしようとするＩＤが盗難ＩＤ情報データベース４２４に記録された盗難ＩＤである場合、アクセス遮断、すなわちログイン遮断処理を行う。さらに他の方法として、当該ＩＤが盗まれたＩＤまたは盗用されたＩＤであることを知らせる案内メッセージを予め指定された装置に提供するように実現されてもよい。ここで、予め指定された装置とは、不正アクセス検知装置を管理する管理者の端末を含み、不正アクセス検知装置で予め指定された端末はいずれも含まれてよく、不正アクセス検知装置そのものを指定してもよく、さらにはアクセスを試みようとする端末を指定してもよい。

一方、不正アクセス検知装置１１０のそれぞれの構成要素は、機能的および論理的に分離されてもよいことを示すために別々に図面に表示しているが、必ずしも物理的に別の構成要素または別のコードに実現される必要はない。

また、本明細書において各機能部（またはモジュール）とは、本発明の技術的思想を実現するためのハードウェアおよび前記ハードウェアを駆動するためのソフトウェアの機能的、構造的結合を意味してもよい。例えば、各機能部は、所定のコードと所定のコードが行われるためのハードウェアリソースの論理的な単位を意味してもよく、必ずしも物理的に連結されたコードや、一種のハードウェアを意味するものではないことは、本発明の技術分野における通常の知識を有する専門家にとっては容易に想定できることである。

また、本明細書においてデータベースとは、それぞれのデータベースに対応する情報が記録されたソフトウェアおよびハードウェアの機能的、構造的結合を意味してもよい。データベースは、データベースに対応する情報を記録することのできるすべてのデータ保存媒体およびデータ構造を含む。

以下、図５から図７を参照して、本発明の一実施形態における不正アクセス処理手続きについて説明する。

［不正アクセス処理手続き］
図５は本発明の一実施形態にかかる悪意のあるコードを介したスパイＩＤの流出手続きを示すフローチャートである。図５を参照すると、まず、本発明の一実施形態において悪意のあるコードを収集（Ｓ５０１）し、スパイＩＤを生成（Ｓ５０２）する。次に、スパイＩＤを用いてウェブサーバにアクセス（ログイン）を試みる（Ｓ５０３）と、収集された悪意のあるコードが実行（Ｓ５０４）され、実行された悪意のあるコードを介してスパイＩＤが流出（Ｓ５０５）される。

一方、本発明の他の実施形態において、前記のような悪意のあるコードの収集手続きを行うことなく、生成されたスパイＩＤを用いて悪意のあるコードに感染した端末でウェブサーバへのアクセスに成功（ログイン）することでスパイＩＤを流出させてもよい。

図６は本発明の一実施形態における不正収集サーバのＩＰを検知する手続きを示すフローチャートである。図５のように意図的に流出させるために生成したスパイＩＤが流出して不正収集サーバに収集されると、不正収集サーバが流出したスパイＩＤを用いてアクセス（ログイン）を試みる際、不正収集サーバの情報（例えば、ＩＰ情報）を確認することができる。

すなわち、図６を参照すると、ウェブサーバにアクセスした者に対する所定期間のログインデータを収集（Ｓ６０１）し、収集したパケットを分析（Ｓ６０２）する。すなわち、ログインデータを用いてアクセス（ログイン）を試みたアクセスＩＤのなかに、図５で生成されたスパイＩＤと同じＩＰが存在するか（Ｓ６０３）を検査する。

前記検査の結果、アクセス（ログイン）を試みたアクセスＩＤのうちスパイＩＤと同じＩＤが存在する場合、スパイＩＤを用いてアクセスを試みた端末を不正収集サーバとみなし、前記端末のＩＰアドレスを不正ＩＰ情報データベースに記録（Ｓ６０４）する。この際、上述したように本発明の一実施形態において、前記ログインデータにおいて不正収集サーバとみなした端末のＩＰアドレスと隣接するＩＰアドレスが存在する場合、隣接するＩＰアドレスでアクセスを試みた端末も同様に不正収集サーバとみなして、当該ＩＰアドレスを不正ＩＰ情報データベースに記録（Ｓ６０４）してもよい。

図７は本発明の一実施形態における不正収集サーバに盗まれたＩＤを検知する手続きを示すフローチャートである。図７を参照すると、図６のように、所定期間にウェブサーバにアクセスしたログインデータを収集して分析（Ｓ７０１）し、不正ＩＰ情報データベースに記録された不正ＩＰアドレスにアクセスしたログイン記録を確認（Ｓ７０２）する。この際、不正ＩＰアドレスにアクセスしたログイン記録のうち正常にアクセス（ログイン）に成功したＩＤを盗難ＩＤとみなして、これを盗難ＩＤ情報データベースに記録（Ｓ７０３）する。

次に、盗難ＩＤに対してはログインできないようにアクセスを遮断（Ｓ７０４）したり、盗難ＩＤであることを予め指定された端末に知らせたりしてもよい。

本発明の一実施形態における方法は、様々なコンピュータ手段を介して行われ得るプログラム命令形態で実現されてもよく、コンピュータ読み取り可能な媒体に記録されてもよい。コンピュータ読み取り可能な媒体は、プログラム命令、データファイル、データ構造などを単独でまたは組み合わせて含むものでもよい。前記媒体に記録されるプログラム命令は、本発明のために特別に設計されて構成されたものであってもよく、コンピュータソフトウェアにおける当業者にとって公知の使用可能なものであってもよい。コンピュータ読み取り可能な記録媒体の例としては、ハードディスク、フロッピー（登録商標）ディスクおよび磁気テープのような磁気媒体（ｍａｇｎｅｔｉｃ ｍｅｄｉａ）、ＣＤ‐ＲＯＭ、ＤＶＤのような光記録媒体（ｏｐｔｉｃａｌ ｍｅｄｉａ）、フロプティカルディスク（ｆｌｏｐｔｉｃａｌ ｄｉｓｋ）のような磁気‐光媒体（ｍａｇｎｅｔｏ‐ｏｐｔｉｃａｌ ｍｅｄｉａ）、およびＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、フラッシュメモリなどのようなプログラム命令を記録して行うように特別に構成されたハードウェア装置が含まれる。プログラム命令の例としては、コンパイラによって作製されるような機械語コードだけでなく、インタプリタなどを用いてコンピュータによって実行され得る高級言語コードを含む。前記ハード
ウェア装置は、本発明の動作を行うために一つ以上のソフトウェアモジュールとして作動するように構成されてもよく、その逆も同様である。

［実施例］
図８は本発明の一実施形態におけるウェブサーバのログイン記録を示す図である。図８を参照すると、上述したようにウェブサーバからログイン記録８００を分析することで、不正収集サーバの情報および盗難ＩＤを検知することができる。

例えば、図１のように、スパイＩＤが「ｔｕｖｗｘｙ」である場合、前記スパイＩＤを用いてログインを試みた端末のＩＰアドレスを検査する。したがって、図８において、第１アクセスのＩＤが「ｔｕｖｗｘｙ」であるため、第１アクセスのＩＰアドレスである「１０．１１．２２．３３」を不正収集端末のＩＰアドレスとみなし、当該ＩＰアドレスでアクセス（ログイン）を試みたすべてのＩＤを盗難ＩＤとみなしてもよい。すなわち、図８において、第４アクセスは、アクセス端末のＩＰアドレスが第１アクセスのＩＰアドレスと一致するため、第４アクセスのアクセスＩＤである「ｏｐｑｒｓｔ」を盗難ＩＤとみなしてもよい。しかし、第４アクセスは、アクセス（ログイン）に失敗したため、本発明の一実施形態において盗難ＩＤとみなさないこともある。

また、本発明の一実施形態において、図８の第３アクセスのＩＰアドレスは「１０．１１．２２．３４」であって、不正収集端末のＩＰアドレスとみなした「１０．１１．２２．３３」と類似するＩＰアドレスを有するため、第３アクセスのＩＰアドレスも不正収集端末のＩＰアドレスとみなしてもよい。また、第３アクセスは、アクセス（ログイン）に成功したため、第３アクセスのＩＤである「ａｂｃｄｅｆ」を盗難ＩＤとみなしてもよい。

以上、本発明を具体的な構成要素などのような特定の事項と限定された実施形態及び図面を参照して説明したが、これらは本発明のより全体的な理解を容易にするために提供されたものにすぎず、本発明は前記実施形態によって限定されず、本発明の属する分野において通常の知識を有する者であれば、このような記載から多様な修正及び変形が可能である。

従って、本発明の思想は前記実施形態に限定されてはならず、添付する特許請求の範囲の記載だけでなく、特許請求の範囲の記載と均等または等価的に変形された全てのものは、本発明の思想の範疇に属するとするべきであろう。

１００ ウェブサーバ
１１０ 不正アクセス検知装置
１２０ 通信ネットワーク
１３０ 不正収集サーバ
１４０ ユーザ端末
４０１ 悪意のあるコード収集部
４０２ スパイＩＤ配布部
４０３ スパイＩＤ生成部
４０４ 悪意のあるコード情報データベース
４０５ スパイＩＤ情報データベース
４１１ アクセスログ検査部
４１２ スパイＩＤ確認部
４１３ 不正ＩＰ処理部
４１４ 不正ＩＰ情報データベース
４２１ ＩＰ確認部
４２２ 盗難ＩＤ登録部
４２３ 盗難ＩＤアクセス遮断部
４２４ 盗難ＩＤ情報データベース

Claims (12)

1. 不正アクセスを処理するための不正アクセス検知装置であって、
   スパイＩＤを生成し、スパイＩＤ情報データベースに記録するスパイＩＤ生成部と、
   特定の端末にインストールされた悪意のあるコードの実行によって前記生成されたスパイＩＤが流出した後、前記スパイＩＤを用いたアクセスをモニタリングするアクセスログ検査部と、
   前記モニタリングによってアクセスを試みたＩＤまたはアクセスに成功したＩＤと前記スパイＩＤ情報データベースに記録されたスパイＩＤ情報とを比較して確認し、前記モニタリングによってアクセスを試みたＩＤまたはアクセスに成功したＩＤの中に前記スパイＩＤが存在するか否かを確認するスパイＩＤ確認部と、
   前記確認の結果に基づいて、前記スパイＩＤでアクセスした端末を不正収集サーバとして特定し、前記アクセスログ検査部のモニタリング結果に応じて、前記スパイＩＤを用いてアクセスした装置のＩＰアドレスを確認して記録する不正ＩＰ処理部と、
   前記ＩＰアドレスから接続を試みたＩＤを、盗難されたＩＤとして処理する盗難ＩＤ登録部と、を含み、
   前記盗難ＩＤ登録部は、前記不正ＩＰ処理部で確認された不正ＩＰアドレスを通じてアクセスを試みたＩＤのうち、アクセスに成功したＩＤを、前記盗難されたＩＤとして処理することを特徴とし、
   前記スパイＩＤ生成部は、設定期間ごとに新たなＩＤ形態でスパイＩＤを生成することを特徴とする不正アクセス検知装置。
2. 前記不正ＩＰ処理部は、前記スパイＩＤを用いてアクセスした装置のＩＰアドレスと隣接するＩＰアドレスでアクセスした装置のＩＰアドレスを確認してさらに記録することを特徴とする請求項１に記載の不正アクセス検知装置。
3. 前記盗難ＩＤを用いてアクセスを試みる場合、前記アクセスを遮断する盗難ＩＤアクセス遮断部をさらに含むことを特徴とする請求項２に記載の不正アクセス検知装置。
4. 前記盗難ＩＤを用いてアクセスを試みる場合、予め指定された装置に、盗難ＩＤであることを知らせる通知メッセージを伝送することを特徴とする請求項２又は３に記載の不正アクセス検知装置。
5. 前記盗難ＩＤには、前記スパイＩＤが含まれることを特徴とする請求項２から請求項４のいずれか一項に記載の不正アクセス検知装置。
6. アクセスを試みる装置から入力されたＩＤおよびパスワードを確認し、確認されたＩＤおよびパスワードを認証することで、アクセスに成功するか否かを処理するウェブサーバと、
   スパイＩＤを生成して、スパイＩＤ情報データベースに記録し、特定の端末にインストールされた悪意のあるコードの実行によって前記生成されたスパイＩＤが不正収集サーバに流出した後、前記スパイＩＤを用いた前記ウェブサーバへのアクセスをモニタリングし、前記モニタリングによってアクセスを試みたＩＤまたはアクセスに成功したＩＤと前記スパイＩＤ情報データベースに記録されたスパイＩＤ情報とを比較して確認し、前記モニタリングによってアクセスを試みたＩＤまたはアクセスに成功したＩＤの中に前記スパイＩＤが存在するか否かを確認し、前記モニタリング結果に応じて、前記スパイＩＤを用いてアクセスした装置の情報をＩＰアドレスを確認して記録し、前記ＩＰアドレスから接続を試みたＩＤを、盗難されたＩＤとして処理し、前記確認されたＩＰアドレスからアクセスを試みたＩＤのうちアクセスに成功したＩＤを盗難ＩＤとして処理する不正アクセス検知装置と、を含むことを特徴とする不正アクセス処理システム。
7. 不正アクセス検知装置で行われる不正アクセス処理方法であって、前記不正アクセス検知装置は、スパイＩＤ生成部と、アクセスログ検査部と、スパイＩＤ確認部と、不正ＩＰ処理部と、盗難ＩＤ登録部と、を含み、
   前記スパイＩＤ生成部が、スパイＩＤを生成し、スパイＩＤ情報データベースに記録し
   前記アクセスログ検査部が、特定の端末にインストールされた悪意のあるコードの実行によって前記生成されたスパイＩＤが流出した後、前記スパイＩＤを用いたアクセスをモニタリングし、
   前記スパイＩＤ確認部が、前記モニタリングによってアクセスを試みたＩＤまたはアクセスに成功したＩＤと前記スパイＩＤ情報データベースに記録されたスパイＩＤ情報とを比較して確認し、前記モニタリングによってアクセスを試みたＩＤまたはアクセスに成功したＩＤの中に前記スパイＩＤが存在するか否かを確認し、
   前記不正ＩＰ処理部が、前記モニタリング結果に応じて、前記スパイＩＤを用いてアクセスした装置のＩＰアドレスを確認して記憶し、
   前記盗難ＩＤ登録部が、前記ＩＰアドレスから接続を試みたＩＤを、盗難されたＩＤとして処理し、前記不正ＩＰ処理部で確認された不正ＩＰアドレスからアクセスを試みたＩＤのうちアクセスに成功したＩＤを盗難ＩＤとして処理すること、を含むことを特徴とする不正アクセス処理方法。
8. 前記スパイＩＤを用いてアクセスした装置の情報を確認して記録することは、前記スパイＩＤを用いてアクセスした装置のＩＰアドレスと隣接するＩＰアドレスでアクセスした装置のＩＰアドレスを確認して記録することを含むことを特徴とする請求項７に記載の不正アクセス処理方法。
9. 前記不正アクセス検知装置は、盗難ＩＤアクセス遮断部をさらに含み、
   前記盗難ＩＤでアクセスを試みる場合、前記盗難ＩＤアクセス遮断部が、アクセスを遮断することをさらに含むことを特徴とする請求項８に記載の不正アクセス処理方法。
10. 前記盗難ＩＤでアクセスを試みる場合、前記不正アクセス検知装置が、予め指定された装置に、盗難ＩＤであることを知らせる通知メッセージを伝送することをさらに含むことを特徴とする請求項８または請求項９に記載の不正アクセス処理方法。
11. 前記盗難ＩＤには、前記スパイＩＤが含まれることを特徴とする請求項８から請求項１０のいずれか一項に記載の不正アクセス処理方法。
12. 請求項７から請求項１１のいずれか一項に記載の方法を実行するためのプログラムが記録されていることを特徴とするコンピュータ読み取り可能な記録媒体。