JP2023120620A - 通信処理装置および通信処理プログラム - Google Patents

Abstract

【課題】簡素な処理で任意の接続先サイトがフィッシングサイトであるか否かを容易に検証する。【解決手段】通信処理装置１０の制御部１４が、ユーザ端末２０から任意の接続先サイトへ送信された通信メッセージに含まれる個人情報と、記憶部１３の検証情報１３Ａとを比較し、個人情報が正当個人情報であることが確認された場合、接続先サイトから返送された正当個人情報に対する認証結果に基づいて、接続先サイトがフィッシングサイトか否かを検証する。【選択図】 図１

Description

本発明は、接続先サイトが、個人情報を不正に搾取するフィッシングサイトであるか否かを検証するための通信処理技術に関する。

近年、パスワード変更や購入完了の通知などの電子メール（以下、メールという）を利用者に送信して、利用者を正規の金融機関やショッピングサイトなどに偽装したフィッシングサイトに誘導し、クレジットカード情報、ＩＤ、パスワード、住所、電話番号など個人情報を入力させて詐取する、いわゆるフィッシング詐欺の被害が、多数報告されている。したがって、メールに記載されているＵＲＬがフィッシングサイトのＵＲＬか否かを検証し、フィッシングサイトへのアクセスを未然に防止することが重要となる。

従来、利用者のアクセス対象となる対象ＵＲＬがフィッシングサイトのＵＲＬか否かを検証する技術として、対象ＵＲＬを既知のフィッシングサイトのＵＲＬが登録されているＵＲＬリストと比較し、対象ＵＲＬがＵＲＬリストに含まれる場合には、対象ＵＲＬがフィッシングサイトのＵＲＬであると判定する技術が提案されている（例えば、特許文献１など参照）。

特開２０２１－０３３４２１号公報

しかしながら、このような従来技術では、既知のフィッシングサイトのＵＲＬが登録されているＵＲＬリストに基づいて、対象ＵＲＬを検証しているため、対象ＵＲＬがフィッシングサイトとしてＵＲＬリストに登録されていれば、当該対象ＵＲＬへのアクセスを未然に防止することができる。しかしながら、フィッシングサイトのＵＲＬは、追跡を逃れるため頻繁に変更される。したがって、対象ＵＲＬがフィッシングサイトとしてＵＲＬリストに登録されていなければ、当該対象ＵＲＬへのアクセスを未然に防止することはできないという問題点があった。

このため、従来技術では、ブラウザでフィッシングサイトのＷｅｂページを構成するために使用したリソースの種類およびサイズを含むＷｅｂアクセスログを取得してブラックリストに登録しておき、対象ＵＲＬのサイトのＷｅｂアクセスログがブラックリストのＷｅｂアクセスログに含まれるか否かに基づいて、対象ＵＲＬがフィッシングサイトのＵＲＬか否かを検証している。しかしながら、このような技術によれば、検証処理に要する処理負担が大きいだけでなく、Ｗｅｂページの構成が異なる新たなフィッシングサイトや、構成が変更されたフィッシングサイトを判定することが難しいという問題点があった。

本発明はこのような課題を解決するためのものであり、簡素な処理で任意の接続先サイトがフィッシングサイトであるか否かを容易に検証できる通信処理技術を提供することを目的としている。

このような目的を達成するために、本発明にかかる通信処理装置は、ユーザ端末から正規サイトへのアクセスに用いる正当個人情報を含む検証情報を記憶するように構成された記憶部と、前記ユーザ端末から任意の接続先サイトへ送信された通信メッセージに含まれる個人情報と前記検証情報とを比較し、前記個人情報が前記正当個人情報であることが確認された場合、前記接続先サイトから返送された前記正当個人情報に対する認証結果に基づいて、前記接続先サイトがフィッシングサイトか否かを検証するように構成された制御部とを備えている。

本発明にかかる上記通信処理装置の一構成例は、前記制御部が、前記認証結果が認証失敗を示す場合、前記接続先サイトがフィッシングサイトであると判定するように構成されている。

本発明にかかる上記通信処理装置の一構成例は、前記制御部が、前記ユーザ端末から任意の接続先サイトに送信された通信メッセージから個人情報を抽出して前記記憶部に仮データとして一時保存し、その後、当該接続先サイトから当該個人情報に対する認証成功を示す認証結果が返送されてきた場合、当該仮データを正当認証情報として前記検証情報に登録するよう構成されている。

このような目的を達成するために、本発明にかかる通信処理プログラムは、コンピュータに、ユーザ端末から正規サイトへのアクセスに用いる正当個人情報を含む検証情報を記憶するステップと、 前記ユーザ端末から任意の接続先サイトへ送信された通信メッセージに含まれる個人情報と前記検証情報とを比較し、前記個人情報が前記正当個人情報であることが確認された場合、前記接続先サイトから返送された前記個人情報に対する認証結果に基づいて、前記接続先サイトがフィッシングサイトか否かを検証するステップとを実行させる。

本発明によれば、簡素な処理で接続先サイトがフィッシングサイトであるか否かを容易に検証することが可能となる。

図１は、通信処理装置の構成を示すブロック図である。 図２は、検証情報の構成例を示す説明図である。 図３は、中継接続処理を示すシーケンス図である。

次に、本発明の一実施の形態について図面を参照して説明する。
［通信処理装置］
まず、図１を参照して、本実施の形態にかかる通信処理装置１０について説明する。図１は、通信処理装置の構成を示すブロック図である。

この通信処理装置１０は、配下のローカルエリアネットワークＬＡＮ（以下、ＬＡＮという）に接続されたＰＣやスマートフォンなどのユーザ端末２０を、通信網ＮＷ上の任意のサイトに中継接続するとともに、接続先となる通信網ＮＷ上の任意のサイトが、個人情報を搾取しようとするフィッシングサイトであるか否かを事前に検証するように構成されている。

一般に、正当な正規サイトは、予め登録されている正当個人情報を参照することにより、ユーザ端末２０から通知された個人情報が正当なものかどうかの認証を行っている。一方、フィッシングサイトは、正規サイトのように正当個人情報を保持しているわけではないので、ユーザ端末２０から通知された個人情報が正当なものかどうかの認証を行うことができない。このため、フィッシングサイトは、ユーザ端末２０から通知された個人情報を受け取った後、その個人情報が正当か不正かにかかわらす常に認証失敗を返送して、ユーザが持つ別の個人情報の入力を促すことにより、より多くの個人情報を搾取するものもある。

したがって、正規サイトで認証が得られる正当個人情報を接続先サイトに通知し、当該接続先サイトから返送された認証結果が認証失敗を示す場合、当該接続先サイトがフィッシングサイトである可能性が極めて高いことになる。本発明は、このような正当個人情報を通知した場合における、フィッシングサイトの特徴的なふるまいに着目し、接続先サイトから返送された認証結果に基づいて、当該接続先サイトがフィッシングサイトであるか否かを検証するように構成したものである。

［通信処理装置の構成］
次に、図１を参照して、本実施の形態にかかる通信処理装置１０の構成について説明する。
通信処理装置１０は、配下のＬＡＮに接続されたユーザ端末２０を、インターネットなどの通信網ＮＷに中継接続する経路上に接続される。通信処理装置１０は、ＵＴＭ（Unified Threat Management）装置やゲートウェイなどのネットワーク制御装置と別個に構成してもよく、これらネットワーク制御装置内に実装してもよい。

図１に示すように、通信処理装置１０は、主な回路構成として、網側Ｉ／Ｆ１１、ＬＡＮ側Ｉ／Ｆ１２、記憶部１３、および制御部１４を備えている。

［網側Ｉ／Ｆ］
網側Ｉ／Ｆ１１は、通信回線Ｌを介してインターネットなどの通信網ＮＷとデータ通信を行うように構成されている。通信網ＮＷには、正規サイト３０のほかフィッシングサイト４０が接続されている。
［ＬＡＮ側Ｉ／Ｆ］
ＬＡＮ側Ｉ／Ｆ１２は、ＬＡＮを介してユーザ端末２０とデータ通信を行うように構成されている。

［記憶部］
記憶部１３は、全体として半導体メモリなどの記憶部からなり、制御部１４で実行する通信処理に用いる各種の処理情報とプログラム１３Ｐを記憶するように構成されている。

プログラム１３Ｐは、制御部１４のＣＰＵと協働することにより、制御部１４のメール処理を実行するための各種処理部を実現し、コンピュータを通信処理装置として機能させるための通信処理プログラムである。プログラム１３Ｐは、通信回線ＬやＬＡＮを介して通信処理装置１０に接続された外部装置や記録媒体（ともに図示せず）から、予め記憶部１３に保存される。

［検証情報］
記憶部１３で記憶する主な処理情報の１つとして、検証情報１３Ａがある。検証情報１３Ａは、ユーザ端末２０の正規サイトを示すＵＲＬ情報と、当該正規サイトに対してユーザ端末２０から通知される正当個人情報とを含むデータである。
図２は、検証情報の構成例を示す説明図である。図２の例では、サイトを識別するＩＤごとに、当該正規サイトのＵＲＬ情報と、当該正規サイトに対して通知される正当個人情報とが組として登録されている。

記憶部１３で記憶する主な処理情報の１つとして、ブラックリスト１３Ｂがある。ブラックリスト１３Ｂは、フィッシングサイトなど、ユーザ端末２０のアクセスが禁止されているサイトのＵＲＬ情報を示すリストデータである。

［制御部］
制御部１４は、ＣＰＵとその周辺回路を有し、ＣＰＵと記憶部１３のプログラム１３Ｐとを協働させることにより、メール処理を実行する各種処理部を実現するように構成されている。

制御部１４は、指定された接続先サイトに対して正当個人情報である個人情報を通知し、当該接続先サイトから返送された当該個人情報に関する認証結果に基づいて、当該接続先サイトがフィッシングサイトか否かを検証するように構成されている。

具体的には、制御部１４は、ユーザ端末２０から通信網ＮＷ上の任意の接続先サイトに送信されたアクセス要求などの通信メッセージ（通信データ）から、個人情報とＵＲＬ情報を抽出して、記憶部１３に仮データとして一時保存し、その後、当該接続先サイトから個人情報に対する認証成功を示す認証結果が返送されてきた場合、当該仮データを正当認証情報として記憶部１３の検証情報１３Ａに登録するよう構成されている。

制御部１４は、ユーザ端末２０から通信網ＮＷ上の任意の接続先サイトに送信された通信メッセージから、個人情報とＵＲＬ情報を抽出し、記憶部１３の検証情報１３Ａを参照して当該個人情報が正当個人情報であることを確認するよう構成されている。また、制御部１４は、当該個人情報が正当個人情報であることが確認され、かつ、当該接続先サイトから返送されてきた当該個人情報に対する認証結果が認証失敗を示す場合、当該接続先サイトがフィッシングサイトであると判定するように構成されている。

さらに、制御部１４は、接続先サイトがフィッシングサイトであると判定した場合、当該接続先サイトの接続先ＵＲＬを記憶部１３のブラックリスト１３Ｂに登録し、ユーザ端末２０から送信された通信網ＮＷへのアクセス要求で指定された接続先ＵＲＬが、ブラックリスト１３Ｂに含まれている場合、当該アクセス要求に応じた当該ユーザ端末２０を通信網ＮＷに対して中継処理を中止するように構成してもよい。

また、制御部１４は、接続先サイトがフィッシングサイトであると判定した場合、アクセス要求で指定された接続先サイトがフィッシングサイトである可能性が高いことを示す警告メッセージを、要求元のユーザ端末２０に対して通知するようにしてもよい。

［本実施の形態の動作］
次に、図３を参照して、本実施の形態にかかる通信処理装置１０の動作について説明する。図３は、中継接続処理を示すシーケンス図である。ここでは、ユーザ端末２０からのアクセス要求に含まれている正当個人情報とＵＲＬ情報とを検証情報１３Ａに登録する登録処理と、検証情報１３Ａに基づいて接続先サイトがフィッシングサイトか否かを検証する検証処理とについて説明する。

［登録処理］
図３に示すように、ユーザ端末２０からのアクセス要求が送信された場合（ステップ１００）、制御部１４は、アクセス要求から個人情報と接続先を示すＵＲＬ情報を抽出し、仮データとして記憶部１３に一時保存する（ステップ１０１）。次に、制御部１４は、アクセス要求を網側Ｉ／Ｆ１１から通信回線Ｌを介して通信網ＮＷに接続された接続先サイトへ転送する（ステップ１０２）。

接続先サイトから当該アクセス要求に対する返答が認証成功を示す場合（ステップ１０３）、制御部１４は、仮データを正当個人情報として判定して、記憶部１３の検証情報１３Ａに登録し（ステップ１０４）、一連の処理を終了する。

この際、正当個人情報であるとの正当判定回数がしきい値未満の場合には仮データのままとし、正当判定回数が閾値以上に達した場合にのみ、仮データを記憶部１３の検証情報１３Ａに登録するようにしてもよい。また、個人情報が同一でＵＲＬ情報が異なる場合には、仮データに新たなＵＲＬ情報を順次追記してもよく、ＵＲＬ情報が異なる場合にのみ正当判定回数を加算するようにしてもよい。

［検証処理］
正当個人情報が記憶部１３の検証情報１３Ａに登録されている状態で、ユーザ端末２０からのアクセス要求が送信された場合（ステップ１１０）、制御部１４は、アクセス要求から個人情報を抽出し、記憶部１３の検証情報１３Ａと比較する（ステップ１１１）。ここで、当該個人情報と一致する正当個人情報が検証情報１３Ａに登録されている場合にのみ、当該個人情報が正当個人情報であると確認する（ステップ１１２）。

次に、制御部１４は、アクセス要求を網側Ｉ／Ｆ１１から通信回線Ｌを介して通信網ＮＷに接続された接続先サイトへ転送する（ステップ１１３）。ここで、接続先サイトがフィッシングサイトであった場合、アクセス要求に含まれる正当個人情報が搾取されることになる（ステップ１１４）。

より多くの個人情報を搾取するため、フィッシングサイトから認証失敗が返送された場合（ステップ１１５）、制御部１４は、正当個人情報を送信したのに認証失敗が返送されたことから、接続先サイトがフィッシングサイトであると判定する（ステップ１１６）。これに応じて、制御部１４は、この接続先サイト（フィッシングサイト）のＵＲＬ情報を記憶部１３のブラックリスト１３Ｂに登録する（ステップ１１７）。

これ以降、ユーザ端末２０から新たに送信された通信網ＮＷへのアクセス要求で指定された接続先ＵＲＬが、ブラックリスト１３Ｂに含まれている場合、制御部１４により、当該アクセス要求に応じた当該ユーザ端末２０を通信網ＮＷに対する中継処理が中止されることになる。

また、制御部１４は、接続先サイトがフィッシングサイトであると判定した場合、アクセス要求で指定された接続先サイトがフィッシングサイトである可能性が高いことを示す警告メッセージを、ＬＡＮ側Ｉ／Ｆ１２からＬＡＮを介して要求元のユーザ端末２０に通知し（ステップ１１８）、一連の処理を終了する。例えば、フィッシングサイトに通知した個人情報がキャッシュレス決済用のカードに関するものであれば、この警告メッセージでカードの利用停止措置を促すようにしてもよい。

なお、制御部１４は、接続先サイトがフィッシングサイトであると判定した場合、ユーザ端末２０に対して、アクセス要求の接続先サイトがフィッシングサイトか否かのユーザ確認を要請する通知を行い、これに対して当該ユーザ端末２０から返信されたユーザ確認結果に基づいて、接続先サイトがフィッシングサイトであるか否かを確定するように構成してもよい。

さらに、制御部１４は、ユーザ端末２０から返信されたユーザ確認結果に基づいて、接続先サイトがフィッシングサイトであると確定した場合、当該接続先サイトの接続先ＵＲＬを記憶部１３のブラックリスト１３Ｂに登録するように構成してもよい。

また、ステップ１１１において、制御部１４は、アクセス要求から個人情報と接続先ＵＲＬとを抽出し、当該個人情報と一致する正当個人情報が検証情報１３Ａに登録されていても、当該接続先ＵＲＬが正当個人情報とともに検証情報１３Ａに登録されているＵＲＬ情報のいずれかと一致した場合には、当該接続先サイトに関する検証処理を中止するようにしてもよい。なお、接続先サイトがフィッシングサイトであるか否かの検証については、接続先サイトに通知した個人情報が正当個人情報であることを確認できればよい。このため、検証情報１３Ａには、少なくとも正当個人情報が登録されていればよい。

［本実施の形態の効果］
このように、本実施の形態は、通信処理装置１０の制御部１４が、ユーザ端末２０から任意の接続先サイトへ送信された通信メッセージに含まれる個人情報と、記憶部１３の検証情報１３Ａとを比較し、個人情報が正当個人情報であることが確認された場合、接続先サイトから返送された個人情報に対する認証結果に基づいて、接続先サイトがフィッシングサイトか否かを検証するように構成されている。

これにより、ブラウザでフィッシングサイトのＷｅｂページを構成するために使用したリソースの種類およびサイズを含むＷｅｂアクセスログを取得して比較するというような、処理負担の大きい検証処理を必要とせず、正当個人情報を用いて接続先サイトにアクセスした際の認証結果に基づいてフィッシングサイトを判定するという、極めて簡素な処理で接続先サイトがフィッシングサイトであるか否かを容易に検証することが可能となる。

［実施の形態の拡張］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。

例えば、本発明にかかる記憶部１３および制御部１４の構成は、前述した図１に示した通信処理装置１０に実装した形態に限定されるものではなく、ユーザ端末２０に代表される、パソコンやスマートフォンなどの通信端末装置に実装してもよい。

ユーザ端末２０に実装する場合、ユーザ端末２０の記憶部の一部を、ユーザ端末２０から正規サイトへのアクセスに用いる正当個人情報を含む検証情報を記憶するように構成し、ユーザ端末２０の制御部の一部を、ユーザ操作に応じてユーザ端末２０から接続先サイトへ送信される通信メッセージに含まれる個人情報と記憶部の検証情報とを比較し、当該個人情報が正当個人情報であることが確認された場合、接続先サイトから返送された当該個人情報に対する認証結果に基づいて、接続先サイトがフィッシングサイトであるか否かを検証するように構成すればよい。

また、フィッシングサイトと判定された場合には、そのＵＲＬ情報を通信処理装置１０に通知して、記憶部１３のブラックリスト１３Ｂに登録すればよい。

１０…通信処理装置、１１…網側Ｉ／Ｆ、１２…ＬＡＮ側Ｉ／Ｆ、１３…記憶部、１３Ａ…検証情報、１３Ｂ…ブラックリスト、１３Ｐ…プログラム、１４…制御部、２０…ユーザ端末、３０…正規サイト、４０…フィッシングサイト、Ｌ…通信回線、ＬＡＮ…ローカルエリアネットワーク、ＮＷ…通信網。

Claims (4)

1. ユーザ端末から正規サイトへのアクセスに用いる正当個人情報を含む検証情報を記憶するように構成された記憶部と、
   前記ユーザ端末から任意の接続先サイトへ送信された通信メッセージに含まれる個人情報と前記検証情報とを比較し、前記個人情報が前記正当個人情報であることが確認された場合、前記接続先サイトから返送された前記正当個人情報に対する認証結果に基づいて、前記接続先サイトがフィッシングサイトか否かを検証するように構成された制御部と
   を備えることを特徴とする通信処理装置。
2. 請求項１に記載の通信処理装置において、
   前記制御部は、前記認証結果が認証失敗を示す場合、前記接続先サイトがフィッシングサイトであると判定するように構成されていることを特徴とする通信処理装置。
3. 請求項１に記載の通信処理装置において、
   前記制御部は、前記ユーザ端末から任意の接続先サイトに送信された通信メッセージから個人情報を抽出して前記記憶部に仮データとして一時保存し、その後、当該接続先サイトから当該個人情報に対する認証成功を示す認証結果が返送されてきた場合、当該仮データを正当認証情報として前記検証情報に登録するよう構成されていることを特徴とする通信処理装置。
4. コンピュータに、
   ユーザ端末から正規サイトへのアクセスに用いる正当個人情報を含む検証情報を記憶するステップと、 前記ユーザ端末から任意の接続先サイトへ送信された通信メッセージに含まれる個人情報と前記検証情報とを比較し、前記個人情報が前記正当個人情報であることが確認された場合、前記接続先サイトから返送された前記個人情報に対する認証結果に基づいて、前記接続先サイトがフィッシングサイトか否かを検証するステップと
   を実行させる通信処理プログラム。

Images