JP2019145168A - 情報処理装置、情報処理方法、プログラム - Google Patents

Abstract

【課題】 標的型攻撃メールによる被害を防ぐこと【解決手段】 過去に受信した電子メールから定型部を抽出し、当該電子メールの送信元と、定型部の特徴とを対応付けて記憶する。新たに受信した電子メールを解析し、記憶した情報に基づき当該新たに受信した電子メールの送信元を推定する。推定した送信元と、実際の送信元とが一致するか否かにより、詐称メールであるか否かを判定し、判定結果を通知する。【選択図】 図１

Description

本発明は、情報処理装置、情報処理方法、プログラムに関する。

近年、特定の組織や人物から金銭や重要情報の窃取を目的とした標的型攻撃が増加している。標的型攻撃では、目的を達成するために、標的となる組織や人物に特化した情報に基づき、多様な手法を組み合わせて攻撃が行われる。

標的型攻撃では、初期侵入手段として、標的型攻撃メールと呼ばれる電子メールを用いるのが典型的な方法である。標的型攻撃メールでは、標的となる受信者の興味を引く内容や、受信者と関連があると誤認させる内容を本文に記載し、電子メールに添付したファイルや記載されたリンク先に仕込まれた不正プログラムを実行させることを狙う。標的が不正ブログラムを実行してしまうとバッグドアが設置され更なる攻撃の侵入口となってしまう。

標的型攻撃の対策としては多層防御の考え方が基本となるが、初期段階である標的型攻撃メールを防ぐことできれば最も効果的で望ましい。

標的型攻撃メールには、標的の興味・関心や誤認を利用するだけでなく、標的と関連の深い人物や組織を偽装するものがある。標的となった受信者は、知人からのメールと思って警戒を怠ってしまい、攻撃が成功する確率が高くなる。

特許文献１には、標的が過去に受信したことのある電子メールの送信者アドレスを偽装した電子メールを検知する技術について開示されている。

特開２０１３−２３６３０８号公報

特許文献１には、過去に受信したメールから抽出したメールヘッダの特徴を記憶し、新規メールを受信した際に同じ送信者アドレスを持つ過去メールのヘッダの特徴と新規メールのヘッダの特徴の類似度を求め、類似度が規定値以下である場合に警告を発する旨が記載されている。すなわち、同じ送信元なのにいつもと異なるメール文面である場合に警告を発するものである。

しかしながら、特許文献１は、送信者アドレスが偽装された場合に対しては効果的であるが、全く異なるアドレスから本文の詐称による攻撃メールには効果が得られないという課題がある。

一般に、メールの受信時には、未読メールの一覧から件名と送信者を確認し、次に本文を見る。一覧では送信者として表示名が使われることが多く、本文の内容に違和感がない場合、送信者のアドレスの確認を怠ってしまう場合がある。また、誤認を狙って、偽装対象と関連する単語を一部に含むなど、紛らわしいアドレスを用いている場合もある。

上述したようなケースでは、当然、送信者が不明な（新規）アドレスであることが多く、その旨の警告を出すことは可能であるが、明示的に攻撃である旨を警告するほうがより望ましい。

そこで、本発明は、過去に受信したメールと同様の文面を持つが異なるアドレスから送信されたメール（詐称メール）について警告し送信者の確認を促すことで、標的型攻撃メールによる被害を防ぐことを目的とする。

本発明の情報処理装置は、過去に受信した電子メールを用いて学習した知識に基づき、新たに受信した電子メールが詐称メールであるかを判定する判定手段と、前記判定手段による判定結果に基づき、警告を通知する通知手段と、を備えることを特徴とする。

本発明の情報処理方法は、情報処理装置における情報処理方法であって、過去に受信した電子メールを用いて学習した知識に基づき、新たに受信した電子メールが詐称メールであるかを判定する判定工程と、前記判定工程による判定結果に基づき、警告を通知する通知工程と、を備えることを特徴とする。

本発明のプログラムは、情報処理装置を、過去に受信した電子メールを用いて学習した知識に基づき、新たに受信した電子メールが詐称メールであるかを判定する判定手段と、前記判定手段による判定結果に基づき、警告を通知する通知手段として機能させるためのプログラム。

本発明によれば、標的型攻撃メールによる被害を低減させることが可能となる。

本発明の実施形態における、詐称メール検査装置のシステム構成の一例を示す図である。 本発明の実施形態における、詐称メール検査装置、メールサーバのハードウェア構成の一例を示すブロック図である。 本発明の実施形態における、詐称メール検査装置の機能構成の一例を示す図である。 本発明の実施形態における、メールを検査する処理の一例を示すフローチャートである。 本発明の実施形態における、メール保存領域の構成の一例を示す図である。 本発明の実施形態における、メールテーブルの一例を示す図である。 本発明の実施形態における、メールの一覧を表示する画面の一例を示す図である。 本発明の実施形態における、メールに対するユーザの判定を取得する処理の一例を示すフローチャートである。 本発明の実施形態における、メールを閲覧する画面の一例を示す図である。 本発明の実施形態における、判定にようする知識の構築処理の一例を示すフローチャートである。 本発明の実施形態における、判定知識保存領域の構成の一例を示す図である。 本発明の実施形態における、単語統計テーブルの一例を示す図である。 本発明の実施形態における、送信者別単語統計テーブルの一例を示す図である。 本発明の実施形態における、定型部単語抽出結果の一例を示す図である。 本発明の実施形態における、文書ベクトルの一例を示す図である。 本発明の実施形態における、分類器の概要を示す図である。 本発明の実施形態における、定型部抽出処理の一例を示すフローチャートである。 本発明の実施形態における、定型部抽出結果の一例を示す図である。 本発明の実施形態における、定型部抽出処理で生成される行の重み一覧の一例を示す図である。 本発明の実施形態における、詐称判定処理の一例を示すフローチャートである。 本発明の実施形態における、詐称メールの一例を示す図である。 本発明の実施形態における、送信者候補の一例を示す図である。

以下、図面を参照して、本発明の実施形態を詳細に説明する。

図１は、本発明の実施形態における詐称メール検査装置のシステム構成の一例を示す図である。

詐称メール検査装置１００と、メールサーバ１２０とは、ローカルエリアネットワーク１３０を介して接続される構成となっている。またメールサーバ１２０は、外部ネットワーク１４０に接続可能な構成となっている。

詐称メール検査装置１００は、一般的な電子メールクライアントの機能を持ち、電子メールの閲覧機能とメールサーバからの受信機能を有する。更に、電子メールを新たに受信した際に、過去に受信済みの電子メールから得た知識に基づき、新たに受信した電子メールに対する詐称の有無の判定（電子メールの本文は、過去に受信した電子メールと同様の文面を含みながら（類似する文面でありながら）、当該過去に受信した電子メールの送信元とは異なる送信元から送信された電子メールであるか否かの判定）を行ない、電子メールが詐称の可能性があると判断された場合、電子メールの詐称箇所を強調表示し目視確認を促す。

また、詐称メール検査装置１００は、新たに受信したメールが詐称でないという判断がなされた際に、詐称を判定する知識を更新する。

メールサーバ１２０は一般的なメールの受信サーバ（ＰＯＰ３またはＩＭＡＰサーバ）であり、外部またはローカルの送信先から受け取ったメールを電子メールクライアントの要求に応じて転送する。

図２は、本発明の実施形態における詐称メール検査装置１００のハードウェア構成の一例を示すブロック図である。

図２に示すように、情報処理装置は、システムバス２０４を介してＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０１、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２０２、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２０３、入力コントローラ２０５、ビデオコントローラ２０６、メモリコントローラ２０７、よび通信Ｉ／Ｆコントローラ２０８が接続される。

ＣＰＵ２０１は、システムバス２０４に接続される各デバイスやコントローラを統括的に制御する。

ＲＯＭ２０２あるいは外部メモリ２１１は、ＣＰＵ２０１が実行する制御プログラムであるＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）やＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）や、本情報処理方法を実現するためのコンピュータ読み取り実行可能なプログラムおよび必要な各種データ（データテーブルを含む）を保持している。

ＲＡＭ２０３は、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。ＣＰＵ２０１は、処理の実行に際して必要なプログラム等をＲＯＭ２０２あるいは外部メモリ２１１からＲＡＭ２０３にロードし、ロードしたプログラムを実行することで各種動作を実現する。

入力コントローラ２０５は、キーボード２０９や不図示のマウス等のポインティングデバイス等の入力装置からの入力を制御する。入力装置がタッチパネルの場合、ユーザがタッチパネルに表示されたアイコンやカーソルやボタンに合わせて押下（指等でタッチ）することにより、各種の指示を行うことができることとする。

また、タッチパネルは、マルチタッチスクリーンなどの、複数の指でタッチされた位置を検出することが可能なタッチパネルであってもよい。

ビデオコントローラ２０６は、ディスプレイ２１０などの外部出力装置への表示を制御する。ディスプレイは本体と一体になったノート型パソコンのディスプレイも含まれるものとする。なお、外部出力装置はディスプレイに限ったものははく、例えばプロジェクタであってもよい。また、前述のタッチ操作を受け付け可能な装置については、入力装置も提供する。

なおビデオコントローラ２０６は、表示制御を行うためのビデオメモリ（ＶＲＡＭ）を制御することが可能で、ビデオメモリ領域としてＲＡＭ２０３の一部を利用することもできるし、別途専用のビデオメモリを設けることも可能である。

メモリコントローラ２０７は、外部メモリ２１１へのアクセスを制御する。外部メモリとしては、ブートプログラム、各種アプリケーション、フォントデータ、ユーザファイル、編集ファイル、および各種データ等を記憶する外部記憶装置（ハードディスク）、フレキシブルディスク（ＦＤ）、或いはＰＣＭＣＩＡカードスロットにアダプタを介して接続されるコンパクトフラッシュ（登録商標）メモリ等を利用可能である。

通信Ｉ／Ｆコントローラ２０９は、ネットワークを介して外部機器と接続・通信するものであり、ネットワークでの通信制御処理を実行する。例えば、ＴＣＰ／ＩＰを用いた通信やＩＳＤＮなどの電話回線、および携帯電話の３Ｇ回線を用いた通信が可能である。

尚、ＣＰＵ２０１は、例えばＲＡＭ２０３内の表示情報用領域へアウトラインフォントの展開（ラスタライズ）処理を実行することにより、ディスプレイ２１０上での表示を可能としている。また、ＣＰＵ２０１は、ディスプレイ２１０上の不図示のマウスカーソル等でのユーザ指示を可能とする。

次に図３を参照して、本発明の実施形態における各種装置の機能構成の一例について説明する。

受信処理部３０１は、メールサーバ１２０から電子メールを受信する機能を備える。

検査処理部３０２は、受信処理部３０１で受信した電子メールについて、詐称メール（過去に受信した電子メールと文面が類似する（同様の文面を含む）メールであるが、送信元が当該類似するメールの送信元とは異なるメール）であるか否かの判定を行う機能等を備える。

メール保存領域３０３は、電子メールを記憶する領域であり、詐称情報や判定情報を関連付けて電子メールを記憶する機能を備える。

判定知識保存領域３０４は、電子メールが詐称メールであるかの判定に用いる各種情報や学習した知識を記憶する機能を備える。

閲覧処理部３０５は、メール閲覧画面等を表示し、詐称メールである旨の警告等を表示する機能を備える。

判定知識構築処理部３０６は、電子メールが詐称メールであるかを判定するための知識を構築する処理を実行する機能を備える。

（メール検査処理）
次に図４のフローチャートを用いて、本発明の実施形態における検査処理部３０２が実行する電子メールの検査処理について説明する。

図４のフローチャートは、詐称メール検査装置１００のＣＰＵ２０１が所定の制御プログラムを読み出して実行する処理であり、受信処理部３０１において電子メールを受信した際、電子メールが詐称されている可能性の有無を検査する処理を示すフローチャートである。

ステップＳ４０１では、検査処理部３０２は、メール受信処理部３０１で受信された電子メールを受け取る。

ステップＳ４０２では、検査処理部３０２は、ステップＳ４０１で受け取った電子メールに対し、詐称の有無（詐称の可能性）を判定し、詐称情報を取得する。詐称判定処理の詳細については図２０を用いて後述する。

ステップＳ４０３では、検査処理部３０２は、ステップＳ４０２で詐称の可能性ありと判定した場合、ステップＳ４０４に処理を移す。詐称の可能性なしと判断した場合は、ステップＳ４０５に処理を移す。

ステップＳ４０４では、検査処理部３０２は、ステップＳ４０２で取得した詐称情報を処理対象である電子メールと関連付ける。

ステップＳ４０５では、検査処理部３０２は、電子メールをメール保存領域３０３のメールテーブル５０１に保存する。

図５はメール保存領域３０３の構成であり、メールテーブル５０１を有する。具体的なデータ内容については、図６を用いて説明する。

図６に示すメールテーブル５０１は、検査処理部３０２が受け取った電子メールを保存するテーブルであり、電子メールの各項目（ 具体的には、電子メールの本文、受信者（送信先）、送信者、送信日時など）から構成される。

（メール判定処理）
次に図８のフローチャートを用いて、ユーザによるメール判定処理について説明する。

詐称メール検査装置は、ユーザが起動（またはログイン）すると一般のメールクライアントと同様に図７に示すようなメール一覧画面７０１を表示する。メール一覧画面７０１の内容は、メールテーブル５０１の内容に基づく。詐称情報があり、かつ判定情報がないメールに対しては警告アイコン７０２が表示される。

ユーザが一覧に表示されている任意のメールに対して閲覧の指示を行うと、閲覧処理部３０５は、図８に示すフローチャートの処理を実行する。

ステップＳ８０１では、閲覧処理部３０５はユーザが指定した電子メールに対し、メールテーブル５０１から取得した情報に基づき、図９に示すようなメール閲覧画面９０１を表示する。電子メールに詐称情報がある場合、警告表示領域９０２に詐称情報の詳細を表示する。

ユーザが閉じるボタン９０５を押下すると、メール閲覧画面９０１を閉じて処理をステップＳ８０２に処理を移す。

ステップＳ８０２では、閲覧処理部３０５は、メール閲覧画面９０１の判定指示領域９０４の状態を判定情報として取得する。「詐称メールです。」がアクティブな場合（ユーザにより詐称メールである旨が選択された場合）は判定情報として「詐称」を取得し、「詐称メールではありません。」がアクティブな場合（ユーザにより詐称メールではない旨が選択された場合）は判定情報として「非詐称」を取得する。

判定情報が「詐称」となったメールは一覧に表示しないように構成してもよいし、自動で削除するように構成してもよい。

ステップＳ８０３では、閲覧処理部３０５は、ステップＳ８０２で取得した判定情報を、メールテーブル５０１の該当する電子メールに関連付けて保存する。

（判定知識構築処理）
次に図１０のフローチャートを用いて、判定知識構築処理について説明する。本発明の実施例において、判定知識構築処理は、メール判定処理とは非同期に実行される。判定知識構築処理は、定期的に実行されるように構成してもよいし、前回処理から保存されたメールの状態に基づき実行を判断するように構成してもよい。

また、本発明の実施形態においては、説明が容易になるように、全ての判定知識を構築しなおすように構成しているが、部分的に判定知識を更新するように構成してもよい。

ステップＳ１００１では、判定知識構築処理部３０６は、メールテーブル５０１から判定情報が「非詐称」に設定されている電子メールを取得する。取得する電子メールについては「直近半年に送ったメール」というように知識構築の対象となる過去メールの限定を行なうように構成してもよい。

ステップＳ１００２では、判定知識構築処理部３０６は、ステップＳ１００１で取得した電子メールに対して、ステップＳ１００５までの繰り返し処理を開始する。

ステップＳ１００３では、判定知識構築処理部３０６は、処理対象となった電子メールの本文に対し、形態素解析などを用いて、電子メールを構成する単語を取得する。単語の取得に際しては、助詞・助動詞などの付属語の除外を行なってもよいし、同義語辞書を用いるなどの正規化を行なってもよい。

ステップＳ１００４では、判定知識構築処理部３０６は、ステップＳ１００３で分割した単語に対して、単語統計テーブル１１０１を更新する。同時に、送信者と関連付けて送信者別単語統計テーブル１１０２を更新する。

ステップＳ１００５では、判定知識構築処理部３０６は、処理対象となる電子メールがまだあれば、ステップＳ１００２からの繰り返し処理を実施する。処理対象となる電子メールがなければ、ステップＳ１００６に処理を移す。

ステップＳ１００６では、判定知識構築処理部３０６は、ステップＳ１００４で取得した単語の集計結果から、単語の出現確率を算出して単語統計テーブル１１０１および送信者別単語統計テーブル１１０２を更新する。

ステップＳ１００７では、判定知識構築処理部３０６は、ステップＳ１００１で取得した電子メールに対して、ステップＳ１０１０までの繰り返し処理を開始する。

ステップＳ１００８では、判定知識構築処理部３０６は、処理対処である電子メールに対し、定型部を抽出する。定型部の抽出処理については図１７を用いて後述する。

ステップＳ１００９では、判定知識構築処理部３０６は、ステップＳ１００８で抽出した電子メールの定型部を構成する単語を、対象となる電子メールと関連付けて、一時領域に保存する。単語の抽出は、ステップＳ１００３の結果を再利用するように構成してもよい。

ステップＳ１０１０では、判定知識構築処理部３０６は、処理対象となる電子メールがまだあれば、ステップＳ１００７からの繰り返し処理を実施する。処理対象となる電子メールがなければ、ステップＳ１０１１に処理を移す。

ステップＳ１０１１では、判定知識構築処理部３０６は、一時領域に蓄えられた、電子メールと定型部の単語の組みをベクトル化し、ベクトル化に必要な情報を判定知識保存領域３０４におけるベクトル化情報テーブル１１０３に保存する。ベクトル化はｔｆ・ｉｄｆなどの一般的な方法による。単語の組みを持たない、または規定の数より少ない単語しか持たない電子メールは対象外とするように構成してもよい。

ステップＳ１０１２では、判定知識構築処理部３０６は、ステップＳ１０１１で取得したベクトルに対し、関連付けられている電子メールの送信者（Ｆｒｏｍ：）を関連付けて学習を行ない、学習知識を判定知識保存領域３０４における学習知識テーブル１１０４に保存する。

学習には多クラスの分類を行なうことができる、一般的な分類器を用いるものとする

（判定知識構築処理具体例）
次に判定知識構築処理の具体例として、図６に示すメールテーブル５０１に対して図１０に示す処理が実施された場合について説明する。

ステップＳ１００１では、判定知識構築処理部３０６は、電子メール６０１から始まる一連の電子メールを取得する。

ステップＳ１００２では、判定知識構築処理部３０６は、電子メール６０１に対して、ステップＳ１００５までの繰り返し処理を開始する。

ステップＳ１００３では、判定知識構築処理部３０６は、電子メール６０１の本文から単語として「ニューセレクト」「近藤」「様」「お世話」「トサロジスティクス」「坂本」「納品書」「件」などを取得する（本具体例においては、助詞・助動詞などの付属語は対象外とする）。

ステップＳ１００４では、判定知識構築処理部３０６は、ステップＳ１００３で分割した単語に対して単語統計テーブル１１０１を更新する。具体的には、単語がなければ単語を単語統計テーブル１１０１に追加し、出現頻度（出現文書数）を１とする。単語があれば出現頻度（出現文書数）を１加算する。また同様に送信者「ｓａｋａｍｏｔｏ＠ｔｏｓａ．ｃｏ．ｊｐ」と関連付けて送信者別単語統計テーブル１１０２も更新する。

ステップＳ１００５では、判定知識構築処理部３０６は、処理対象となる電子メール６０２があるので、ステップＳ１００２からの繰り返し処理を実施する。

以下、全ての電子メールに対して同様の処理を繰り返す。

ステップＳ１００６では、判定知識構築処理部３０６は、ステップＳ１００１〜ステップＳ１００５で更新した単語統計テーブル１１０１に対し、単語の出現確率を算出して単語統計テーブル１１０１を更新し、結果として図１２に示す単語統計テーブルを得る。また送信者別単語統計テーブル１１０２に対しても同様に単語の出現確率を求めて更新する。

ステップＳ１００７では、判定知識構築処理部３０６は、電子メール６０１から始まる一連の電子メールに対して、ステップＳ１０１０までの繰り返し処理を開始する。

ステップＳ１００８では、判定知識構築処理部３０６は、電子メール６０１に対する定型部抽出処理の結果、メール冒頭の挨拶や署名等の定型的に記述されている部分として「ニューセレクト 近藤様 お世話になっております。トサロジスティクス坂本です。」と「−− トサロジスティクス株式会社 Ｔｅｌ： １２３−４５６７ Ｆａｘ： １２３−４５６８ 坂本 辰雄」を抽出する。定型部抽出の具体例については後述する。

ステップＳ１００９では、判定知識構築処理部３０６は、ステップＳ１００８で抽出した電子メールの定型部を構成する単語として「ニューセレクト」、「近藤」、「様」、「お世話」、「トサロジスティクス」、「坂本」、「以上」、「よろしく」、「お願い」、「株式」、「会社」、「ｔｅｌ」、「１２３−４５６７」、「ｆａｘ」、「１２３−４５６８」、「辰雄」を、電子メール６０１と関連付けて、一時領域に保存する。

ステップＳ１０１０では、判定知識構築処理部３０６は、電子メール６０２があるので、ステップＳ１００７からの繰り返し処理を実施する。

以下、同様の処理を繰り返し、図１４の結果を一時領域に得る。

ステップＳ１０１１では、判定知識構築処理部３０６は、一時領域に蓄えられた、電子メールと定型の単語の組みをベクトル化して図１５に示すベクトルを得る。ベクトル化に必要な情報を判定知識保存領域３０４におけるベクトル化情報テーブル１１０３に保存する。

ステップＳ１０１２では、判定知識構築処理部３０６は、ステップＳ１０１１で取得したベクトルに対し、関連付けられている電子メールの送信者を関連付けて学習を行ない、学習した知識を判定知識保存領域３０４における学習知識テーブル１１０４に保存する。

結果として、誤送信防止装置１００は、ステップＳ１０１１で取得したベクトル化情報とステップＳ１０１２で取得した学習知識を用いることで、電子メールの挨拶部に対する送信先候補を確度付きで推測することが可能となる。図１６に分類器による送信先候補推測の概要について示す。

（定型部抽出処理）
次に図１７のフローチャートを用いて、ステップＳ１００８において、判定知識構築処理部３０６が電子メールから定型部を抽出する定型部抽出処理について説明する。

本発明の実施形態の説明では、出現する単語の出現頻度や出現確率を用いて定型部を特定するが、他の方法によって抽出するように構成しても構わない。

ステップＳ１７０１では、判定知識構築処理部３０６は、処理対象の電子メールから本文を取得する。

ステップＳ１７０２では、判定知識構築処理部３０６は、ステップＳ１７０１で取得した本文の各行に対して、ステップＳ１７０６までの繰り返し処理を開始する。

ステップＳ１７０３では、判定知識構築処理部３０６は、処理対象の行を単語に分割する。

ステップＳ１７０４では、判定知識構築処理部３０６は、ステップＳ１７０３で取得した単語それぞれに対し単語統計テーブル１１０１からの出現確率を全文書出現確率として取得する。また送信者別単語統計テーブル１１０２から出現確率を送信者別出現確率として取得する。送信者別単語統計テーブル１１０２からは１つの単語に対して複数の出現確率が得られる。全文書出現確率と送信者別出現確率の最大のものをその単語の出現確率とする。

ステップＳ１７０５では、判定知識構築処理部３０６は、ステップＳ１７０４で取得した出現確率の調和平均を行の重みとして算出する。行に有効な単語が１つも出現しない場合は行の重みを０とする。

ステップＳ１７０６では、判定知識構築処理部３０６は、処理対象となる行がまだあれば、ステップＳ１７０２からの繰り返し処理を実施する。処理対象となる行がなければ、ステップＳ１７０７に処理を移す。

ステップＳ１７０７では、判定知識構築処理部３０６は、行の重みが規定値以上である行を定型部として抽出する。全ての行が規定値に満たない場合は定型部がないものと判断する。

上記のように構成することで、電子メールに記述されている定型部を抽出することが可能となる。

（定型部抽出処理具体例）
次に定型部抽出処理の具体例として、図１８に示す電子メール１８０１に対して図１７に示す処理が実施された場合について説明する。

ステップＳ１７０１では、判定知識構築処理部３０６は、処理対象の電子メール１８０１から本文１８０２を取得する。

ステップＳ１７０２では、判定知識構築処理部３０６は、ステップＳ１７０１で取得した本文１８０２に対して、ステップＳ１７０６までの繰り返し処理を開始する。

ステップＳ１７０３では、判定知識構築処理部３０６は、本文１８０２の最初の行「ニューセレクト 近藤様」を単語に分割し、「ニューセレクト」「近藤」「様」を得る。

ステップＳ１７０４では、判定知識構築処理部３０６は、ステップＳ１７０３で取得した単語「ニューセレクト」「近藤」「様」に対し、単語統計テーブル１１０１から「１．０００」「０．６３０」「０．６３０」を出現確率として取得する。同様に送信者別単語統計テーブル１１０２から「１．０００」「１．０００」「１．０００」を得る。最終的に単語「ニューセレクト」「近藤」「様」に対する出現確率として「１．０００」「１．０００」「１．０００」を得る。

ステップＳ１７０５では、判定知識構築処理部３０６は、「１．０００」「１．０００」「１．０００」の調和平均「１．００」を行の重みとして得る。

ステップＳ１７０６では、判定知識構築処理部３０６は、本文１８０２にまだ行があるので、ステップＳ１７０２からの繰り返し処理を実施する。以下、同様の処理を繰り返した結果として、図１９に示すような各行に対する重みを取得する。

ステップＳ１７０７では、判定知識構築処理部３０６は、行の重みが規定値（本実施形態では０．３とする）以上である行として定型部１８０３を抽出する。

（詐称判定処理）
次に図２０のフローチャートを用いて、検査処理部３０２が実行するメール検査処理におけるステップＳ４０２の詐称判定処理の詳細について説明する。

ステップＳ２００１では、検査処理部３０２は、対象となる電子メールから定型部を抽出する。定型部抽出処理は、図１７に示した判定知識構築処理部３０６における定型部抽出処理と同様である。

ステップＳ２００２では、検査処理部３０２は、ステップＳ２００１で定型部がなければ、ステップＳ２００３に処理を移す。定型部があれば、ステップＳ２００４に処理を移す。

ステップＳ２００３では、検査処理部３０２は、対象となる電子メールを「定型部なし」と判定する。

ステップＳ２００４では、検査処理部３０２は、ステップＳ２００１で抽出した定型部を単語に分割する。

ステップＳ２００５では、検査処理部３０２は、ステップＳ２００６で抽出した単語の集合を、ベクトル化情報テーブル１１０３を参照してベクトル化する。

ステップＳ２００６では、検査処理部３０２は、ステップＳ２００５で取得したベクトルに対して、学習知識テーブル１１０４を参照した分類器を用いて確度が規定値以上の送信者を候補として取得する。

ステップＳ２００７では、検査処理部３０２は、ステップＳ２００６で推定した送信者候補がなければ、ステップＳ２００８に処理を移す。送信者候補があれば、ステップＳ２０１１に処理を移す。

ステップＳ２００８では、検査処理部３０２は、メールテーブル５０１を参照して、対象となる電子メールの送信者からの送信実績が過去にあるかを判定する。送信実績がなければ、ステップＳ２００９に処理を移す。送信実績があれば、ステップＳ２０１０に処理を移す。

ステップＳ２００９では、検査処理部３０２は、対象となる電子メールを「新規送信者」と判定する。

ステップＳ２０１０では、検査処理部３０２は、対象となる電子メールを「送信者要確認」と判定する。

ステップＳ２０１１では、検査処理部３０２は、送信者候補の中に、対象となる電子メールの送信者が含まれているかを判定する。送信者候補の中に送信者が含まれていなければ、ステップＳ２０１２に処理を移す。送信者が含まれていれば、ステップＳ２０１３に処理を移す。

ステップＳ２０１２では、検査処理部３０２は、対象となる電子メールを「詐称」と判定する。また、確度が最上位の送信者候補を正しい送信者として、警告時に提示するように構成する。

ステップＳ２０１３では、検査処理部３０２は、送信先と一致した送信先候補の確度がもっとも高いかを判定する。確度が最上位の値でなければ、ステップＳ２０１０に処理を移す。確度が最上位の値であれば、処理を終了する。

（詐称判定処理具体例）
次に詐称判定処理の具体例として、図２１に示す電子メール２１０１に対して図２０に示す処理が実施された場合について説明する。

ステップＳ２００１では、検査処理部３０２は、対象となる電子メール２１０１から定型部２１０２を抽出する。

ステップＳ２００２では、検査処理部３０２は、ステップＳ２００１で定型部２１０２を取得したので、ステップＳ２００４に処理を移す。

ステップＳ２００４では、検査処理部３０２は、ステップＳ２００１で抽出した定型部２１０２を単語に分割し、「ニューセレクト」、「近藤様」、「萩産業」、「高杉」、「お世話」、「依頼」、「見積書」、「送付」、「添付」、「ファイル」、「確認」、「株」、「東日本営業部」、「新太郎」、「ｔｅｌ」、「９８７−６５４３」、「ｅｍａｉｌ」、「ｔａｋａｓｕｇｉ＠ｈａｇｉ．ｃｏｍ」を得る。

ステップＳ２００５では、検査処理部３０２は、ステップＳ２００６で抽出した単語の集合を、ベクトル化情報テーブル１１０３を参照してベクトル化する。

ステップＳ２００６では、検査処理部３０２は、ステップＳ２００５で取得したベクトルに対して、学習知識テーブル１１０４を参照した分類器を用いて、図２２に示す送信者候補２２０１（ｔａｋａｓｕｇｉ＠ｈａｇｉ．ｃｏｍ）および送信者候補２２０２（ｋｏｇｏｒｏ＠ｈａｇｉ．ｃｏｍ）を取得する。

ステップＳ２００７では、検査処理部３０２は、ステップＳ２００６で推定した送信者候補があるので、ステップＳ２０１１に処理を移す。

ステップＳ２０１１では、検査処理部３０２は、送信者候補の中に、対象となる電子メールの送信者２１０３（ａ２ｂ３ｃ４＠ａｔｔａｃｋｅｒ．ｃｏｍ）が含まれていないので、ステップＳ２０１２に処理を移す。

ステップＳ２０１２では、検査処理部３０２は、対象となる電子メールを「詐称」と判定する。また、確度が最上位の送信者候補２２０１（ｔａｋａｓｕｇｉ＠ｈａｇｉ．ｃｏｍ）を正しい送信者として取得し処理を終了する。

結果として、定型部２１０２に対する送信者２１０３（ａ２ｂ３ｃ４＠ａｔｔａｃｋｅｒ．ｃｏｍ）が整合せず詐称の可能性があると判定し、正しい送信者の候補として送信者候補２２０１（ｔａｋａｓｕｇｉ＠ｈａｇｉ．ｃｏｍ）を提示することが可能となる。ユーザは送信者２１０３（ａ２ｂ３ｃ４＠ａｔｔａｃｋｅｒ．ｃｏｍ）が信者候補２２０１（ｔａｋａｓｕｇｉ＠ｈａｇｉ．ｃｏｍ）を詐称してメールを送ってきたと容易に判断することが可能となる。

上記のように構成することで、メールの定型部が似ているメールを過去に送信してきた送信者と対象となるメールの送信者が異なる場合を判定することが可能となり、詐称の可能性が高い状態を検出することが可能となる。さらに詐称と判定した場合に正しいと推測される送信者を提示することができ、容易な確認が可能となる。

本発明の実施形態においては、メールクライアントとして実施する構成とした場合について説明したが、いわゆるＷｅｂメールを提供するシステムやメールフィルタリングの機能として構成してもよい。

本発明は、例えば、システム、装置、方法、プログラムもしくは記録媒体等としての実施態様をとることが可能である。具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。

また、本発明におけるプログラムは、図４、図８、図１０、図１７、図２０に示すフローチャートの処理方法をコンピュータが実行可能なプログラムであり、本発明の記憶媒体は図４、図８、図１０、図１７、図２０の処理方法をコンピュータが実行可能なプログラムが記憶されている。なお、本発明におけるプログラムは図４、図８、図１０、図１７、図２０の各装置の処理方法ごとのプログラムであってもよい。

以上のように、前述した実施形態の機能を実現するプログラムを記録した記録媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記録媒体に格納されたプログラムを読み出し、実行することによっても本発明の目的が達成されることは言うまでもない。

この場合、記録媒体から読み出されたプログラム自体が本発明の新規な機能を実現することになり、そのプログラムを記録した記録媒体は本発明を構成することになる。

プログラムを供給するための記録媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ−ＲＯＭ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＥＥＰＲＯＭ、シリコンディスク等を用いることが出来る。

また、コンピュータが読み出したプログラムを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムの指示に基づき、コンピュータ上で稼働しているＯＳ（オペレーティングシステム）等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

さらに、記録媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

また、本発明は、複数の機器から構成されるシステムに適用しても、ひとつの機器から成る装置に適用しても良い。また、本発明は、システムあるいは装置にプログラムを供給することによって達成される場合にも適応できることは言うまでもない。この場合、本発明を達成するためのプログラムを格納した記録媒体を該システムあるいは装置に読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。

さらに、本発明を達成するためのプログラムをネットワーク上のサーバ、データベース等から通信プログラムによりダウンロードして読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。なお、上述した各実施形態およびその変形例を組み合わせた構成も全て本発明に含まれるものである。

１００ 詐称メール検査装置（情報処理装置）
１２０ メールサーバ
１３０ ＬＡＮ
１４０ 外部ネットワーク

Claims (7)

1. 過去に受信した電子メールを用いて学習した知識に基づき、新たに受信した電子メールが詐称メールであるかを判定する判定手段と、
   前記判定手段による判定結果に基づき、警告を通知する通知手段と、
   を備えることを特徴とする情報処理装置。
2. 過去に受信した電子メールを用いて学習した知識に基づき、前記新たに受信した電子メールの送信元を推定する推定手段をさらに備え、
   前記判定手段は、前記推定手段により推定した送信元と、前記新たに受信した電子メールの送信元とが一致するか否かにより、詐称メールか否かを判定することを特徴とする請求項１に記載の情報処理装置。
3. 前記通知手段は、前記判定手段により、前記推定された送信元と、前記新たに受信した電子メールの送信元とが一致しないと判定された場合に、その旨を通知することを特徴とする請求項２に記載の情報処理装置。
4. 過去に受信した電子メールの本文から定型部を抽出する抽出手段と、
   前記抽出手段により抽出された定型部に基づく特徴と、当該電子メールの送信元とを対応付けて記憶する記憶手段をさらに備え、
   前記推定手段は、前記記憶手段に記憶された情報に基づき、前記新たに受信した電子メールの送信元を推定することを特徴とする請求項２または３に記載の情報処理装置。
5. 前記通知手段は、さらに、
   前記推定手段により推定した送信元と、前記新たに受信した電子メールの送信元とが一致しない場合、前記推定手段により推定された送信元を通知することを特徴とする請求項２乃至４のいずれか１項に記載の情報処理装置。
6. 情報処理装置における情報処理方法であって、
   過去に受信した電子メールを用いて学習した知識に基づき、新たに受信した電子メールが詐称メールであるかを判定する判定工程と、
   前記判定工程による判定結果に基づき、警告を通知する通知工程と、
   を備えることを特徴とする情報処理方法。
7. 情報処理装置を、
   過去に受信した電子メールを用いて学習した知識に基づき、新たに受信した電子メールが詐称メールであるかを判定する判定手段と、
   前記判定手段による判定結果に基づき、警告を通知する通知手段として機能させるためのプログラム。

Images