JP4617243B2

JP4617243B2 - 情報発信元検証方法および装置

Info

Publication number: JP4617243B2
Application number: JP2005323729A
Authority: JP
Inventors: 賢介柴田; 陽助荒金; 徹林
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2005-11-08
Filing date: 2005-11-08
Publication date: 2011-01-19
Anticipated expiration: 2025-11-08
Also published as: JP2007133488A

Description

本発明は、フィッシング詐欺の防止を目的とし、インターネット等のネットワークを介して公開されている情報において、該情報の発信元を偽装しようとする攻撃を検知する方法に関する。

昨今、フィッシング詐欺による被害が多発している。フィッシング詐欺とは、信頼のおける金融機関等の企業を装った電子メールを不特定多数の利用者に対して送信し、該メールに含まれるハイパーリンクを利用者にクリックさせることによって利用者を不正なＷｅｂサイトへ誘導し、該サイトにおいて個人情報やクレジットカード番号などを入力させ、詐取するものである。

特許文献１はＷｅｂブラウザにおいて悪意のあるプログラムが実行されてしまうことを防ぐために、該プログラムに関するセキュリティ情報を動的に取得し、該情報を画面上に表示することにより、利用者が目視によって確認できるようにするものである。フィッシング詐欺においてもＷｅｂサイトの情報を偽装するための手口の１つとして、ＪａｖａｓｃｒｉｐｔなどのプログラムをＷｅｂページに組み込むことはあるが、フィッシング詐欺では、Ｗｅｂブラウザだけでなく、電子メールに対しても上記のような悪意のあるプログラムが組み込まれるケースが想定される。また、このようなプログラムを用いることなく、単にコンテンツの内容を金融機関などと酷似させ、利用者の目を欺くケースもある。

Ｗｅｂサイトの情報を偽装し、視覚的に利用者の目を欺くというフィッシング詐欺の手口の特徴を考慮すると、フィッシング詐欺の発端となる電子メールにおいて、その本文中に含まれるリンク先の企業名に関する情報を取得した上で、該企業名とリンク先のＷｅｂサイトを運営している企業名が一致することを検証する必要がある。例えば、電子メールの文面では○×銀行に誘導しようとしているのに対し、実際のリンク先を辿ると、○×銀行に酷似したフィッシングサイトに誘導されているといったことがないかを検証するということである。特許文献２、特許文献３は、電子的な文書の要約に関するものである。特許文献２は、ＵＲＬ（ＵｎｉｆｏｒｍＲｅｓｏｕｒｃｅＬｏｃａｔｏｒ）を含む文書ファイルからＵＲＬを検出し、該ＵＲＬにおける要約文を生成するものである。また、特許文献３は、電子文書に対して形態素解析を行い、キーワード検索、形態素間の関連性などから文書の要点を検出する。しかし、特許文献２、特許文献３とも偽装情報を対象としておらず、また、本発明は企業名の検出をターゲットとするものであるため、対象が異なる。
特開２００４−１３９３７２号公報特開２００３−１６０８２号公報特開２０００−１１００３号公報

以下に、フィッシング詐欺において電子メールやＷｅｂサイトの発信元を偽装するための、代表的な手口を示す。

１）ＨＴＭＬ（ＨｙｐｅｒＴｅｘｔＭａｒｋｕｐＬａｎｇｕａｇｅ）メールによるリンク先ＵＲＬの偽装
不正サイトへの誘導元となる電子メールは、フィッシング詐欺の発端となるケースが多い。電子メールはＨＴＭＬを利用して本文を記述することによって、該メールのリンク先として表示される文字列（利用者が電子メールを読む際に目にするリンク先ＵＲＬの文字列）と、該リンクをクリックした際に実際に遷移するＵＲＬを異なるものにすることが可能である。例えば、電子メールの本文中にＨＴＭＬを用いて、
<a href="http://phishing.com/index.html>http://www.bankname.com/index.html</a>
といった記述を行うことにより、利用者にはwww.bankname.comへ接続しているように見せかけ、実際にはphishing.comへと接続させることが可能である。

２）Ｗｅｂブラウザのアドレスバー偽装
Ｗｅｂブラウザには、Ｗｅｂ情報を公開している発信元のＵＲＬを利用者に示すためのアドレスバーが存在する。フィッシングサイトの中には、ブラウザのアドレスバーの上に、外見がアドレスバーに酷似したポップアップウィンドウを表示し、該ポップアップに偽装対象となる金融機関等のＵＲＬを表示することにより、あたかも金融機関に接続しているかのように利用者を錯覚させる手法が存在する。アドレスバーの偽装には、Ｊａｖａｓｃｒｉｐｔを用いる方法が一般的である。

３）ポップアップウィンドウを用いたフィッシングサイト
金融機関などの正当なＷｅｂサイトがブラウザに表示されている時に、２）において述べられたポップアップウィンドウを表示し、該ポップアップに個人情報を入力させるフォームを含めることにより、個人情報を不正なサイトに送信する手法が存在する。本手法は、ＨＴＭＬメールの文中にＪａｖａｓｃｒｉｐｔを埋め込んでおくことによって実現可能である。

本発明の目的は、以上のような情報発信元の偽装手口に対して、利用者をフィッシング詐欺の脅威から守る情報発信元検証方法および装置を提供することにある。

１）利用者が電子メールを受信した時点もしくは、利用者が電子メール本文中のハイパーリンクをクリックし、Ｗｅｂサイトに遷移する時点を契機とし、企業名候補検出・表示部が、クリックされたハイパーリンクのリンク先ＵＲＬを取得し、該ＵＲＬに対し、電子メールのヘッダもしくは本文（ＨＴＭＬメールの場合にはソース）を解析し、接続先企業名の候補を検出し、表示する。利用者がこれらの候補の中から接続先企業名を選択すると、接続先ＵＲＬ検証部が、選択された企業名に応じて、接続先企業名とリンク先ＵＲＬとの対と、証明情報格納部において管理されている正当なＷｅｂサイトの企業名とＵＲＬとの対とを照合することにより、該ＵＲＬが正当な接続先ＵＲＬであることを検証する。

２）Ｗｅｂ情報表示部は、Ｗｅｂサーバから獲得した情報に前述した悪意のあるプログラムが埋め込まれており、フィッシングサイトである可能性が高い場合に、利用者に対して警告を表示する。悪意のあるプログラムであるか否かの情報は、フィッシングサイトにおいて使用されることが多いプログラム中のキーワードをデータベース化した偽装情報管理部において管理されている。

３）メール情報表示部は、電子メールに前述した悪意のあるプログラムが埋め込まれており、フィッシングメールである可能性が高い場合に、利用者に対して警告を表示する。

４）企業名候補検出・表示部は、リンク先のＵＲＬが接続しようとしている企業名の候補を検出するための複数のルール（接続先企業名検出ルール）が管理されており、電子メール本文中のハイパーリンクがクリックされると、該リンクに対してすべての接続先企業名検出ルールを適用し、電子メールのヘッダもしくは本文中に含まれる企業名ごとに、各ルールの適合度を算出する。各ルールに定められた重要度（重み）の値と、算出した適合度の乗算値を求め、企業名ごとに各ルールの乗算値の合計値を計算することによって、接続先となる可能性が高い企業名を検出する。

５）企業名候補検出・表示部は、４）において接続先企業名検出ルールを適用する前に、電子メールのヘッダもしくは本文中の含まれる企業名を検索する必要がある。検索の際には、企業名群をリスト化している企業情報管理部において管理されている企業名がヘッダもしくは本文中に存在するか否かを調べ、さらに企業名を検出するための複数の企業名検索ルールを元に企業名を検索する。企業名検索ルールは、例えば「片仮名もしくはアルファベットが３文字以上連続した場合には企業名である可能性が高い」といったものである。

６）接続先企業名検出ルールには、以下のようなものが含まれる。
Ａ）５）によって検索された企業名のうち、電子メールのＳｕｂｊｅｃｔフィールドに含まれる企業名を接続先となる可能性が高い企業名として検出する。
Ｂ）ルールＡによって検出された企業名のうち、企業名が括弧記号によって囲まれている場合には当該企業名を接続先となる可能性がより高い企業名として検出する。
（例）Ｓｕｂｊｅｃｔ：[○×銀行からの重要なお知らせ]
Ｃ）５）によって検索された企業名のうち、電子メールのＦｒｏｍフィールドに含まれる企業名を接続先となる可能性が高い企業名として検出する。
Ｄ）５）によって検索された企業名のうち、電子メールの本文の冒頭の部分と末尾の部分に含まれる企業名を接続先となる可能性が高い企業名として検出する。
Ｅ）ルールＤによって検出された企業名のうち、キーワード管理部において管理されているキーワード群と近い位置にある場合には、当該企業名を接続先となる可能性がより高い企業名として検出する。

（例１）「○×銀行からのお知らせ」→キーワードは格助詞「から」と名詞「お知らせ」
（例２）「発行：○×銀行」→キーワードは「発行」
７）５）によって検索される企業名は、電子メールのヘッダおよび本文を形態素解析部によって形態素に分割した上で、企業情報管理部において管理されているリストとの比較もしくは企業名検索ルールの適用によって検出される。

８）６）‐ルールＥ）において用いられるキーワードは、電子メールのヘッダおよび本文を形態素解析部によって形態素に分割した上で、キーワード管理部において管理されているキーワードと品詞名のリストと形態素との比較によって検出される。

本発明によれば、利用者が電子メールの本文に含まれるハイパーリンクをクリックし、Ｗｅｂブラウザにてリンク先のＷｅｂサイトを閲覧する際に、該メールがハイパーリングをクリックすることによって接続させようとしている企業と、リンク先のＷｅｂサイトを運営している企業が一致しているか否かを検証することにより、企業名が一致していない場合には、正当なＷｅｂサイトでない可能性があるとして、利用者に対して警告を行ない、利用者がフィッシングサイトに誘導されてしまうことを防ぐ。また、フィッシングサイト、フィッシングメールにおいて埋め込まれていることが多いプログラムを検出することにより、フィッシング詐欺の危険性があることを利用者に対して警告することにより、利用者がフィッシング詐欺に遭う危険性をさらに下げることが可能となる。

以下、本発明の実施の形態について図面を参照して説明する。

図１は情報発信元検証装置の構成を示すブロック図である。本装置はメール情報表示部１とＷｅｂ情報表示部２と偽装情報管理部３からなる。

メール情報表示部1は、例えばＭＵＡ（ＭａｉｌＵｓｅｒＡｇｅｎｔ）と呼ばれる、電子メールの送受信を行なうソフトウェアに、接続先企業名を検出する機能を追加して、発信元の検証を行なうようにしたものである。メール情報表示部1は、電子メールの本文中に実在するハイパーリンクがクリックされたことを検知するハイパーリンククリック検知部４と、接続先の企業名を検出する処理を行なう接続先企業名検出部５からなる。接続先企業名検出部５は、該リンクを含む電子メールの形式がＨＴＭＬ形式の場合に、電子メールからテキスト部分を検出する処理を行なうテキスト部分検出部１０と、電子メールの本文を形態素に分ける処理を行なう形態素解析部１１と、形態素解析を行なった結果に対して企業名を検索するためのルールを管理する企業名検索ルール管理部１２と、形態素解析を行なった結果に対して企業名の検索を行なうための企業名リストを管理する企業情報管理部１３と、形態素解析を行なった結果に対してキーワードの検索を行なうためのキーワードリストを管理するキーワード管理部１４と、形態素解析を行なった結果に対して企業名を検索、表示する企業名候補検出・表示部１５と、接続先企業名の検出処理によって得られた企業名とリンク先ＵＲＬから当該ＵＲＬが正当なＷｅｂサイトのＵＲＬであるか否かを検証する処理を行なう接続先ＵＲＬ検証部１６と、接続先ＵＲＬ検証部１６の処理において、正当なＷｅｂサイトであるか否かを検証する際に参照する正当なＷｅｂサイトのＵＲＬサイトのＵＲＬをリスト化した証明情報格納部１７からなる。

Ｗｅｂ情報表示部２は、Ｗｅｂブラウザと呼ばれる、Ｗｅｂサイトの情報を受信し、表示するソフトウェアを利用することが可能であり、本ソフトウェアに偽装情報の検知機能を追加するといった形態によって、Ｗｅｂサイトの偽装を検知することが可能である。

偽装情報管理部３は、メール情報表示部１もしくはＷｅｂ情報表示部２において、偽装情報を検知する際に必要となる、Ｗｅｂサイトの偽装を行なう場合に頻繁に利用されるプログラムのコードをキーワードとし、リスト化したものである。

図２は、図１の情報の発信元検証装置において行なわれる発信元検証処理のうち、電子メールにおける情報発信元検証処理の手順を記述したものである。以下、図２を参照して検証処理の処理手順を説明する。まず、ハイパーリンククリック検知部４は、受信した電子メールの本文中にあるハイパーリンクを利用者がクリックしたことを検知する（ステップ１０１）。テキスト部分検出部１０は、ハイパーリンククリック検知部４がハイパーリンクのクリックを検知したことを受けて、該リンクを含む電子メールの形式がテキスト形式なのかＨＴＭＬ形式なのか調べ（ステップ１０２）、テキスト形式の場合には（ステップ１０２のＮｏ）、何も処理を行なわず、ＨＴＭＬ形式の場合には（ステップ１０２のＹｅｓ）、ＨＴＭＬ形式の電子メールからテキスト部分を検出する処理を行なう（ステップ１１３）。次に、形態素解析部１１は、電子メールのヘッダのうち、Ｓｕｂｊｅｃｔフィールド、Ｆｒｏｍフィールドと、電子メールの本文（ＨＴＭＬ形式の場合にはステップ１１３でテキスト化されたもの）に対して形態素解析を行ない、それぞれを形態素に分割する（ステップ１０３）。次に、企業名候補検出・表示部１５は、分割された形態素に対して、企業名検索ルール管理部１２で管理されている企業名検索ルールを適用し、電子メール中に含まれる企業名を検索する（ステップ１０４）。該ルールには、例えば「カタカナやアルファベットが三文字以上連続していれば企業名とする」といったものが含まれる。次に、形態素解析の結果と企業情報管理部１３で管理されている企業名リストとの比較を行ない、電子メール中に含まれる企業名を検索する（ステップ１０５）。次に、形態素解析の結果とキーワード管理部１５で管理されているキーワードと品詞の対とを比較し、接続先企業名の検出に必要となるキーワード群を検出する（ステップ１０７）。これにより、検出先企業名の検出に必要な情報はすべて揃うため、企業名候補検出・表示部１５はステップ１０７において企業名の検出を行なう。本ステップは、図５において詳しく説明する。ステップ１０７によって接続先企業名の候補が得られると、企業名候補検出・表示部１５は、該候補を利用者に対して一覧表示し、接続先企業の選択を促す（ステップ１０８）。次に、接続先ＵＲＬ検証部１６は、利用者が選択した接続先企業の名称と、ステップ１０１において検出したハイパーリンクのリンク先ＵＲＬを元に、ＵＲＬの検証を行う（ステップ１０９）。具体的には、利用者が選択した企業名とリンク先ＵＲＬの対が証明情報格納部１７に存在するか否かを調べ、存在する場合には（ステップ１０９のＹｅｓ）。Ｗｅｂ情報表示部２において、リンク先ＵＲＬの表示を行ない（ステップ１１４）、処理を終了する。ステップ１０９において企業名とＵＲＬの対が証明情報格納部１７に存在しない場合には（ステップ１０９のＮｏ）、接続先ＵＲＬ検証部１６は、利用者に対して次の選択を促す画面を表示する（ステップ１１０）。
1.証明情報格納部１７には存在していないＵＲＬであるが、そのままリンク先ＵＲＬを表示する
2.当該企業名を検索エンジンにおいて検索し、その検索結果を表示する
3.リンク先への遷移を中止する
利用者がステップ１１１において上記の１.を選択した場合には、リンク先ＵＲＬの表示を行ない（ステップ１１４）、処理を終了する。上記の２.を選択した場合には、Ｗｅｂ情報表示部２において該企業名を検索エンジンにおいて検索した結果を表示する（ステップ１１２）。上記の３.を選択した場合には、特に処理は行なわずに終了する。

図３は、図1の情報の発信元検証装置において行なわれる発信元検証処理のうち、Ｗｅｂ情報表示部２における偽装情報検出処理の手順を記述したものである。以下、図３を参照して偽装情報検出処理の処理手順を説明する。Ｗｅｂ情報表示部２は、ＷｅｂサーバからＷｅｂ情報を受信すると、受信したＨＴＭＬのソースを取得する（ステップ２０１）。得られたＨＴＭＬのソースと、偽装情報管理部３において管理されている悪意のあるプログラムに用いられるキーワード群との比較を行ない（ステップ２０２）、ＨＴＭＬソース中にキーワード群のうちの少なくとも1つが存在した場合には（ステップ２０３のＹｅｓ）、Ｗｅｂ情報表示部２において利用者に対する警告を表示し（ステップ２０５）、ステップ２０４に進む。ＨＴＭＬソース中にキーワードが存在しない場合には（ステップ２０３のＮｏ）、特に処理を行なわずにＷｅｂ情報表示部２においてＷｅｂ情報を表示し（ステップ２０４）、処理を終了する。

図４は、図1の情報の発信元検証装置において行なわれる発信元検証処理のうち、電子メールにおける偽装情報検出処理の手順を記述したものである。以下、図４を参照して偽装情報検出処理の処理手順を説明する。メール情報表示部１は、メールサーバから電子メールを受信すると（ステップ３０１）、該メールがＨＴＭＬ形式であるか否かを調べる（ステップ３０２）。電子メールがＨＴＭＬ形式でない場合（ステップ３０２のＮｏ）、そのまま処理を終了する。電子メールがＨＴＭＬ形式の場合（ステップ３０２のYes）、該メールのＨＴＭＬソースを取得する（ステップ３０３）。次に、得られたＨＴＭＬソースと、偽装情報管理部３において管理されている悪意のあるプログラムに用いられるキーワード群との比較を行ない（ステップ３０４）、ＨＴＭＬソース中にキーワード群のうち少なくとも1つが存在した場合には該メールにフィッシングメールの可能性が高いことを示すマークを付与し、ＨＴＭＬソース中にキーワードが存在しない場合には特に処理を行なわずに電子メールを一覧表示して（ステップ３０５）、処理を終了する。

図５は、図２の情報発信元検証処理における接続先企業名検出処理（ステップ１０７）の手順を詳しく記述したものである。以下、図５を参照して接続先企業名検出処理の処理手順を説明する。まず、ステップ１０４、１０５によって得られたすべての企業名について、接続先企業名検出処理が終了したか否かを判断する（ステップ４０１）。未処理の企業名が存在しない場合には（ステップ４０１のＮｏ）、処理を終了する。未処理の企業名が存在する場合（ステップ４０１のＹｅｓ）、処理対象となる企業名を１つ検出し、該企業名に対して接続先企業名検出ルールを適用する（ステップ４０２）。ここでは例として、検出ルールが３種類あることを想定し、それぞれルールＡ、Ｂ、Cとする。各ルールには重みが存在する。例としてルールＡの重みを５０、ルールＢの重みを４０、ルールＣの重みを３０とする。企業名に対してルールを適用すると、該ルールに対する適合度（企業名が当該ルールにどの程度合致しているかを示す値）が少数値として得られる。値が大きいほど適合度が高い。ここでは例として各ルールに対する適合度を「Ａ：０．８、Ｂ：１．０、Ｃ：１．２」とする。次に、ルールの適合度を示す値と、各ルールの乗算値を計算する（ステップ４０３）。ここでは、各乗算値は、「Ａ：５０×０．８＝４０，Ｂ：４０×１．０＝４０、Ｃ：３０×１．２＝３６」となる。ステップ４０４において、得られた乗算値の合計値を計算する。例では、４０＋４０＋３６＝１１６となり、１１６が合計値である。得られた合計値と、事前に定められた接続先企業名候補となるための閾値とを比較し（ステップ４０５）、合計値が閾値よりも小さい場合には（ステップ４０５のＮｏ）、ステップ４０１に戻る。合計値が閾値よりも大きい場合には（ステップ４０５のＹｅｓ）、該企業名を接続先企業名の候補として検出し（ステップ４０６）、ステップ４０１へと進む。上記の処理は、未処理の企業名がなくなるまで続けられる。

なお、以上説明した情報発信元検証装置の機能は、その機能を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行するものであってもよい。コンピュータ読み取り可能な記録媒体とは、フレキシブルディスク、光磁気ディスク、ＣＤ−ＲＯＭ等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等の記憶装置を指す。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプログラムを送信する場合のように、短時間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータ内の揮発性メモリのように、一定時間プログラムを保持しているものを含む。

本発明の一実施形態による情報発信元検証装置のブロック図である。電子メールのヘッダ、本文から接続先企業名を検出する処理全体のフローチャートである。Ｗｅｂブラウザにおいて偽装情報を検出する処理のフローチャートである。電子メールにおいて偽装情報を検出する処理のフローチャートである。接続先企業名検出処理のフローチャートである。

符号の説明

１メール情報表示部
２Ｗｅｂ情報表示部
３偽装情報管理部
４ハイパーリンククリック検知部
５接続先企業名検出部
１０テキスト部分検出部
１１形態素解析部
１２企業名検索ルール管理部
１３企業情報管理部
１４キーワード管理部
１５企業名候補検出・表示部
１６接続先ＵＲＬ検証部
１７証明情報格納部
１０１〜１１４、２０１〜２０４、３０１〜３０５、４０１〜４０６ステップ

Claims

情報発信元検証装置で行われる接続先ＵＲＬ検証方法であって、
ハイパーリンククリック検知部が、電子メールの本文中に実在するハイパーリンクがクリックされたことを検知するステップと、
テキスト部分検出部が、ハイパーリンクがクリックされた電子メールのヘッダおよび本文からテキスト部分を検出するステップと、
形態素解析部が、形態素解析により前記テキスト部分検出部で検出したテキスト部分を複数の形態素に分割するステップと、
企業名候補検出・表示部が、前記形態素解析部による形態素解析結果から所定数以上の文字列よりなる企業名を抽出し、該抽出企業名のそれぞれについて、予め企業名が登録された企業名リスト中に存在するか否かを判定し、該企業名リスト中に存在する場合に、該抽出企業名について、重要度を示す重み付けの値が異なる複数の接続先企業名検出ルールを適用して、ルール毎に、該抽出企業名が当該ルールにどの程度合致しているかを示す適合度を調べ、その適合度に当該ルールの前記重み付けの値を乗算した乗算値を求め、各ルールの乗算値の合計値が閾値以上である抽出企業名を接続先となる企業名の候補とし、該企業名の候補を前記合計値が高い順に表示するステップと、
接続先ＵＲＬ検証部が、前記表示された候補の中から利用者が選択した企業名とリンク先ＵＲＬの対を、証明情報格納部において管理されている正当なＷｅｂサイトの企業名とＵＲＬの対と照合することにより、前記リンク先ＵＲＬが正当な接続先ＵＲＬであることを検証する検証するステップと
を有する接続先ＵＲＬ検証方法。
前記企業名候補検出・表示部は、前記形態素解析部による形態素解析結果から抽出した所定数以上の文字列よりなる企業名のうち、電子メールのＳｕｂｊｅｃｔフィールドに含まれる企業名を接続先企業名となる可能性が高い企業名として検出し、さらに該企業名が括弧の記号で囲まれている場合には、該企業名が接続先企業名となる可能性がさらに高いとして検出する、請求項１に記載の接続先ＵＲＬ検証方法。
前企業名候補検出・表示部は、前記形態素解析部による形態素解析結果から抽出した所定数以上の文字列よりなる企業名のうち、電子メールのＦｒｏｍフィールドに含まれる企業名を接続先企業名となる可能性が高い企業名として検出する、請求項１に記載の接続先ＵＲＬ検証方法。
前記企業名候補検出・表示部は、前記形態素解析部による形態素解析結果から抽出した所定数以上の文字列よりなる企業名のうち、電子メールのヘッダ以外の部分の中で、冒頭の部分と末尾の部分に含まれる企業名を接続先企業名となる可能性が高い企業名として検出し、さらに該企業名がキーワード管理部に管理されている文字列と近い位置にある場合には、該企業名が接続先企業名となる可能性がさらに高いとして検出する、請求項１に記載の接続先ＵＲＬ検証方法。
電子メールの本文中に実在するハイパーリンクがクリックされたことを検知するハイパーリンククリック検知手段と、
前記ハイパーリンククリック検知手段でハイパーリンクがクリックされた電子メールのヘッダおよび本文からテキスト部分を検出するテキスト部分検出手段と、
形態素解析により前記テキスト部分検出部で検出したテキスト部分を複数の形態素に分割する形態素解析手段と、
前記形態素解析部による形態素解析結果から所定数以上の文字列よりなる企業名を抽出し、該抽出企業名のそれぞれについて、予め企業名が登録された企業名リスト中に存在するか否かを判定し、該企業名リスト中に存在する場合に、該抽出企業名について、重要度を示す重み付けの値が異なる複数の接続先企業名検出ルールを適用して、ルール毎に、該抽出企業名が当該ルールにどの程度合致しているかを示す適合度を調べ、その適合度に当該ルールの前記重み付けの値を乗算した乗算値を求め、各ルールの乗算値の合計値が閾値以上である抽出企業名を接続先となる企業名の候補とし、該企業名の候補を前記合計値が高い順に表示する企業名候補検出・表示手段と、
正当なＷｅｂサイトの企業名とＵＲＬの対を管理している証明情報格納手段と、
前記候補の中から利用者が選択した企業名とリンク先ＵＲＬの対を、前記証明情報格納手段において管理されている正当なＷｅｂサイトの企業名とＵＲＬの対と照合することにより、前記リンク先ＵＲＬが正当な接続先ＵＲＬであることを検証する接続先ＵＲＬ検証手段と
を有する接続先ＵＲＬ検証装置。