JP4669348B2 - 迷惑メール判別装置及び迷惑メール判別方法 - Google Patents

Description

本発明は、電子メールが迷惑メールか否かを判別する迷惑メール判別装置、及び当該装置における迷惑メール判別方法に関する。

フィッシング詐欺等の迷惑メールに対する既存の代表的な対策として、ブラックリストを用いたものがある（例えば、下記特許文献１参照）。ブラックリストは、例えば受け取りを拒否するメールアドレス、ＩＰ（Internet Protocol）アドレス、ドメインを並べたものである。ブラックリストを用いた迷惑メールの対策は、電子メールのヘッダから上記の情報を取得し、リストの情報と比較することにより迷惑メールであるか否かを判別する。フィッシングメール対策には、この他にフィッシングサイトのＵＲＬ（Uniform Resource Locator）もブラックリスト化したものもある。

また、代表的な対策として、ホワイトリストを用いたものがある。ホワイトリストは、例えば受け取りを許可するメールアドレス、ＩＰアドレス、ドメインを並べたもので、そのリストに載っていない送信者からのメールを届かなくさせるものである。

上記以外で、最近注目を集めている方法としてセンダーＩＤ（Sender ID）という枠組みがある。この枠組みでは、あるドメインのメールを送信することができる正規のサーバのＩＰアドレスをリストとして管理する。そのドメインと無関係なメールサーバを利用して送信元を偽ったメールを送信しようとすると、受信側でそのことを検出して自動的に受け取りを拒否することができる。これにより迷惑メールの送信者が、大手プロバイダ等のポピュラーなドメイン名を含むメールアドレスを利用することを防ぐことができる。
特開２００３−１５０５１３号公報

しかしながら、上記の対策には次のような問題がある。ホストや端末をウイルスで乗っ取りゾンビＰＣ（Personal Computer）化させて迷惑メールを送信する場合、ブラックリストやホワイトリストによる方法、あるいはセンダーＩＤでは、そのメールが迷惑メールか否か判別することができず、受信者は迷惑メールをブロックすることができない。即ち、これらの対策はメール送信元（アドレス）の特定によるものであり、メール送信元の正当性を保証するものではあるが、メール自体（内容）の正当性を保証するものではないことに起因する。なお、ゾンビＰＣとは、不正なツールにより第三者からの乗っ取り等されたＰＣのことで、遠隔地から自在に操作されうるＰＣのことである。

本発明は、以上の問題点を解決するためになされたものであり、ゾンビＰＣからの送信である場合でも、送信されたメールが迷惑メールであるか否かを判別することができる迷惑メール判別装置及び迷惑メール判別方法を提供することを目的とする。

本発明に係る迷惑メール判別装置は、電子メールを受信するメール受信手段と、メール受信手段により受信された電子メールから、迷惑メールか否かの判別に用いる判別用情報を抽出する情報抽出手段と、判別用情報に係る信頼性を評価するための、当該判別用情報に対応した情報が格納された信頼性評価用データベースに接続するデータベース接続手段と、データベース接続手段により接続された信頼性評価用データベースに格納された情報を参照して、情報抽出手段により抽出された判別用情報に係る信頼性を評価する信頼性評価手段と、信頼性評価手段により評価された判別用情報に係る信頼性に基づいて、メール受信手段により受信された電子メールが迷惑メールか否かを判別する判別手段と、を備えることを特徴とする。

本発明に係る迷惑メール判別装置では、電子メールから判別用情報を抽出して、当該抽出用情報に係る信頼性を評価し、評価した信頼性に基づいて電子メールが迷惑メールか否かを判別する。即ち、本発明に係る迷惑メール判別装置では、単にメールアドレスやＩＰアドレス等の情報により判別を行うのではなく、判別用情報に係る信頼性を評価することにより迷惑メールか否かの判別を行う。従って、迷惑メールの送信が、メールアドレスやＩＰアドレスから送信先が正当なものとされるゾンビＰＣからのものである場合でも、送信されたメールが迷惑メールであるか否かを判別することができる。

また、情報抽出手段は、電子メールの本文から判別用情報を抽出するのが好ましい。この構成によれば、迷惑メールの判別において、より適切な判別用情報を抽出することができる。

また、情報抽出手段により抽出される判別用情報には、電子メールの差出人を特定する差出人情報が含まれており、データベース接続手段により接続される信頼性評価用データベースには、電子メールの受信者と差出人との契約関係の情報が格納されている。この構成によれば、より確実に判別用情報を抽出することができ、容易に本発明を実施することができる。

また、情報抽出手段により抽出される判別用情報には、通信網上のサイトへアクセスするためのリンク情報が含まれており、データベース接続手段により接続される信頼性評価用データベースには、サイトへのアクセス回数の情報が格納されている。この構成によれば、より確実に判別用情報を抽出することができ、容易に本発明を実施することができる。

また、信頼性評価手段は、同一の判別用情報を含む電子メール群に対して、当該電子メール群に含まれる判別用情報に基づいて信頼性を評価し、判別手段は、電子メール群に対する信頼性評価手段により評価された判別用情報に係る信頼性に基づいて、当該電子メール群が迷惑メールか否かを判別する。この構成によれば、複数の電子メールに基づいて、迷惑メールであるか否かを判別するので、より信頼性の高い判別を行うことができる。また、信頼性評価用データベースに精度の高い情報が含まれていない場合でも、適切な判別を行うことができる。

また、情報抽出手段により抽出される判別用情報には、電子メールの差出人を特定する差出人情報が含まれており、データベース接続手段により接続される信頼性評価用データベースには、電子メールの受信者と差出人との契約関係の情報が格納されており、信頼性評価手段は、電子メール群における電子メールの受信者と差出人との間の契約関係の数に基づいて信頼性を評価する。この構成によれば、より確実に信頼性を評価することができ、従ってより適切な判別を行うことができる。

また、情報抽出手段により抽出される判別用情報には、通信網上のサイトへアクセスするためのリンク情報が含まれており、データベース接続手段により接続される信頼性評価用データベースには、電子メールの受信者毎のサイトへのアクセス回数の情報が格納されており、信頼性評価手段は、電子メール群における電子メールの受信者のサイトへのアクセス回数の分布に基づいて信頼性を評価する。この構成によれば、より確実に信頼性を評価することができ、従ってより適切な判別を行うことができる。

また、情報抽出手段は、信頼性評価手段に抽出した判別用情報を順次送信し、信頼性評価手段は、情報抽出手段から判別用情報が送信される毎に、電子メール群のうちの、それまでに判別用情報が送信された電子メールから、予め設定された基準に基づいて、電子メール群に対する判別用情報に係る信頼性を評価することが好ましい。この構成によれば、判別用情報に係る信頼性の評価の際に、判別用情報に係る処理数を減少させることができ、迷惑メール判別装置での処理を軽減させることができる。

ところで、本発明は、上記のように迷惑メール判別装置の発明として記述できる他に、以下のように迷惑メール判別方法の発明としても記述することができる。これはカテゴリが異なるだけで、実質的に同一の発明であり、同様の作用及び効果を奏する。

本発明に係る迷惑メール判別方法は、迷惑メール判別装置における迷惑メール判別方法であって、電子メールを受信するメール受信ステップと、メール受信ステップにおいて受信された電子メールから、迷惑メールか否かの判別に用いる判別用情報を抽出する情報抽出ステップと、判別用情報に係る信頼性を評価するための、当該判別用情報に対応した情報が格納された信頼性評価用データベースに接続するデータベース接続ステップと、データベース接続ステップにおいて接続された信頼性評価用データベースに格納された情報を参照して、情報抽出ステップにおいて抽出された判別用情報に係る信頼性を評価する信頼性評価ステップと、信頼性評価ステップにおいて評価された判別用情報に係る信頼性に基づいて、メール受信ステップにおいて受信された電子メールが迷惑メールか否かを判別する判別ステップと、を有し、情報抽出ステップにおいて抽出される判別用情報には、電子メールの差出人を特定する差出人情報が含まれており、データベース接続ステップにおいて接続される信頼性評価用データベースには、電子メールの受信者と差出人との契約関係の情報が格納されており、信頼性評価ステップにおいて、電子メール群における電子メールの受信者と差出人との間の契約関係の数に基づいて、同一の差出人情報を含む電子メール群に対して、当該電子メール群に含まれる差出人情報に係る信頼性を評価し、判別ステップにおいて、電子メール群に対する信頼性評価ステップにおいて評価された差出人情報に係る信頼性に基づいて、当該電子メール群が迷惑メールか否かを判別する、ことを特徴とする。
また、本発明に係る迷惑メール判別方法は、迷惑メール判別装置における迷惑メール判別方法であって、電子メールを受信するメール受信ステップと、メール受信ステップにおいて受信された電子メールから、迷惑メールか否かの判別に用いる判別用情報を抽出する情報抽出ステップと、判別用情報に係る信頼性を評価するための、当該判別用情報に対応した情報が格納された信頼性評価用データベースに接続するデータベース接続ステップと、データベース接続ステップにおいて接続された信頼性評価用データベースに格納された情報を参照して、情報抽出ステップにおいて抽出された判別用情報に係る信頼性を評価する信頼性評価ステップと、信頼性評価ステップにおいて評価された判別用情報に係る信頼性に基づいて、メール受信ステップにおいて受信された電子メールが迷惑メールか否かを判別する判別ステップと、を有し、情報抽出ステップにおいて抽出される判別用情報には、通信網上のサイトへアクセスするためのリンク情報が含まれており、データベース接続ステップにおいて接続される信頼性評価用データベースには、電子メールの受信者毎のサイトへのアクセス回数の情報が格納されており、信頼性評価ステップにおいて、電子メール群における電子メールの受信者のサイトへのアクセス回数の分布に基づいて、同一のリンク情報を含む電子メール群に対して、当該電子メール群に含まれるリンク情報に係る信頼性を評価し、判別ステップにおいて、電子メール群に対する信頼性評価ステップにおいて評価されたリンク情報に係る信頼性に基づいて、当該電子メール群が迷惑メールか否かを判別する、ことを特徴とする。

上記のように本発明では、単にメールアドレスやＩＰアドレス等の情報により判別を行うのではなく、判別用情報に係る信頼性を評価することにより迷惑メールか否かの判別を行う。従って、本発明によれば、迷惑メールの送信が、メールアドレスやＩＰアドレスから送信先が正当なものとされるゾンビＰＣからのものである場合でも、送信されたメールが迷惑メールであるか否かを判別することができる。

以下、図面とともに本発明に係る迷惑メール判別装置及び迷惑メール判別方法の好適な実施形態について詳細に説明する。なお、図面の説明においては同一要素には同一符号を付し、重複する説明を省略する。

図１に、本実施形態の迷惑メール判別装置１０を示す。迷惑メール判別装置１０はインターネット等の通信網に接続されており、図１に示すように送信者通信端末２０から電子メールを受信し、その電子メールにおいて指定されている宛先となっている受信者通信端末３０に送信する。即ち、迷惑メール判別装置１０は、メールサーバとしての機能を果たす。図１においては、送信者通信端末２０及び受信者通信端末３０は、それぞれ一つずつしか描かれていないが、通常、送信者通信端末２０及び受信者通信端末３０は、複数存在している。なお、迷惑メール判別装置１０が受信する電子メールは、通常、特定の受信者通信端末３０（例えば、自ネットワーク内のユーザの端末）が宛先になっているもののみである。

また、迷惑メール判別装置１０は、受信した電子メールが迷惑メールか否かを判別する。判別対象の迷惑メールとしては、具体的には例えば、フィッシングメールが該当する。フィッシングメールとは、実在の銀行やクレジット会社等を装い電子メールを送信してユーザに送信した電子メール内のリンク先にアクセスさせ、クレジットカード番号やパスワードをユーザに入力させてそれを不正に入手する「フィッシング詐欺」を行う電子メールのことである。

迷惑メール判別装置１０は、具体的には、ＣＰＵ（Central ProcessingUnit）及びメモリ等を備えて構成されるサーバ装置により実現される。図１に示すように、迷惑メール判別装置１０は機能的には、メール受信部１１と、情報抽出部１２と、契約情報データベース１３と、差出人情報信頼性評価部１４と、アクセス回数データベース１５と、ＵＲＬ情報信頼性評価部１６と、判別部１７とを備えて構成される。

メール受信部１１は、送信者通信端末２０から送信された電子メールを受信するメール受信手段である。また、メール受信部１１は、電子メールの宛先を解釈して、その宛先に対応した受信者通信端末３０に送信する等のメールサーバとしての機能も果たす。メール受信部１１により受信された電子メールの内容は、フィッシングメールか否かの判別のため、情報抽出部１２に送信される。

情報抽出部１２は、メール受信部１１により受信された電子メールから、迷惑メールか否かの判別に用いる判別用情報を抽出する情報抽出手段である。本実施形態では、判別用情報は、電子メールの差出人を特定する差出人情報、及び通信網上のサイトへアクセスするためのリンク情報である。差出人情報としては、具体的には例えば、電子メールの送信主体である企業の名前等が該当する。通信網上のサイトへアクセスするためのリンク情報は、具体的には例えば本実施形態で用いられるＵＲＬ情報である。

情報抽出部１２による情報抽出は、電子メールのヘッダでなく、電子メールの本文から行われる。具体的には、電子メールの本文が図２に示すような場合、差出人情報である“Ａ社”及びＵＲＬ情報である“ＵＲＬ１”を抽出する（図２において抽出されるべき部分には下線を付している）。この抽出は、例えばパターンマッチングによるキーワード抽出技術を用いてもよいし、自然言語解析技術を用いてもよい。また、必ずしも電子メールの本文から抽出する必要はなく、電子メールのヘッダのｆｒｏｍアドレスやロゴ等などから抽出することとしてもよい。抽出された差出人情報は、当該差出人に係る信頼性を評価するために差出人情報信頼性評価部１４に送信される。抽出されたＵＲＬ情報は、当該ＵＲＬに係る信頼性を評価するためにＵＲＬ情報信頼性評価部１６に送信される。また、上記の信頼性の評価には、受信者を特定する情報も用いられるため、例えば送信先のメールアドレス等の受信者を特定する情報も抽出されて差出人情報信頼性評価部１４及びＵＲＬ情報信頼性評価部１６に送信される。

契約情報データベース１３は、電子メールの受信者と差出人との契約関係の情報が格納されたデータベースである。電子メールの受信者と差出人との契約関係の情報は、差出人情報信頼性評価部１４により差出人情報に係る信頼性が評価されるために用いられる情報である。即ち、契約情報データベース１３は、判別用情報に係る信頼性を評価するための、当該判別用情報に対応した情報が格納された信頼性評価用データベースである。契約関係の情報とは、具体的には例えば、クレジットカード会社とその契約者との対応を示した情報等である。契約情報データベース１３は、具体的には図３に示すようなテーブルに情報を格納することにより情報を保持する。図３に示すように、テーブルには受信者情報（例えば、メールアドレス）と契約社名とが対応付けられて格納されている。図３のテーブルの１行目は、“受信者１”が“Ａ社”と契約していることを示している。なお、契約情報データベース１３は、予め受信者が契約情報を登録しておく等により実現される。

差出人情報信頼性評価部１４は、契約情報データベース１３に格納された情報を参照して、差出人情報に係る信頼性を評価する信頼性評価手段である。また、差出人情報信頼性評価部１４は、契約情報データベース１３を参照するために、契約情報データベース１３に接続するデータベース接続手段でもある。信頼性の評価は、予め定められた一定の基準、又はルールに則って行われる。具体的な評価方法の例については、迷惑メール判別装置１０の処理に説明において述べる。評価に関する情報は判別部１７に送信される。

アクセス回数データベース１５は、通信網上のサイトへのアクセス回数の情報が格納されたデータベースである。アクセス回数の情報は、ＵＲＬ情報に対応付けられて格納されている。また、アクセス回数の情報は、受信者毎にわけられて格納されている。アクセス回数の情報は、ＵＲＬ情報信頼性評価部１６によりＵＲＬ情報に係る信頼性が評価されるために用いられる情報である。即ち、アクセス回数データベース１５は、判別用情報に係る信頼性を評価するための、当該判別用情報に対応した情報が格納された信頼性評価用データベースである。アクセス回数データベース１５は、具体的には図４に示すようなテーブルに情報を格納することにより情報を保持する。図４に示すように、テーブルにはＵＲＬ情報とアクセス回数とが対応付けられて格納されている。このテーブルは受信者毎に用意されている。図４のテーブルの１行目は、“ＵＲＬ１”が“５回”過去にアクセスされていることを示している。なお、アクセス回数データベース１５は、予めプロキシサーバ等から受信者毎のアクセス回数の情報を取得しておく、あるいは受信者のアクセスの度にその情報を記録しておくこと等により実現される。

ＵＲＬ情報信頼性評価部１６は、アクセス回数データベース１５に格納された情報を参照して、ＵＲＬ情報に係る信頼性を評価する信頼性評価手段である。また、ＵＲＬ情報信頼性評価部１６は、アクセス回数データベース１５を参照するために、アクセス回数データベース１５に接続するデータベース接続手段でもある。信頼性の評価は、予め定められた一定の基準、又はルールに則って行われる。具体的な評価方法の例については、迷惑メール判別装置１０の処理に説明において述べる。評価に関する情報は判別部１７に送信される。

判別部１７は、差出人情報信頼性評価部１４及びＵＲＬ情報信頼性評価部１６により評価された判別用情報に係る信頼性に基づいて、メール受信部１１により受信された電子メールが迷惑メールか否かを判別する判別手段である。判別は、予め定められた一定の基準、又はルールに則って行われる。具体的な判別方法の例については、迷惑メール判別装置１０の処理（迷惑メール判別方法）に説明において述べる。

なお本実施形態において、差出人情報信頼性評価部１４及びＵＲＬ情報信頼性評価部１６では、同一の判別用情報（差出人情報及びＵＲＬ情報）を含む電子メール群に対して、信頼性を評価する。また、判別部１７では、当該電子メール群に対する上記の評価された信頼性に基づいて、電子メール群が迷惑メールか否かを判断する。従って、情報抽出部１２から差出人情報信頼性評価部１４及びＵＲＬ情報信頼性評価部１６に判別用情報が送信される際には、情報抽出部１２が受信した複数の電子メールが電子メール群であることを判断し、当該電子メール群であることを識別できるＩＤを付与する等して後の処理においても電子メール群であることが分かるようにしておく。但し、必ずしも、上記のように電子メール群に対して迷惑メールであるか否かを判別する必要はなく、個々の電子メール単位で判別することとしてもよい。

また、契約情報データベース１３及びアクセス回数データベース１５は、迷惑メール判別装置１０に含まれる構成としているが、迷惑メール判別装置１０とは別構成であってもよい。更に、これらのデータベースは、迷惑メール判別装置１０を管理している管理主体とは別の管理主体により管理されていてもよい。

引き続いて、図５及び図６のフローチャートを用いて、迷惑メール判別装置１０における処理を説明する。本処理は、送信者通信端末２０により送信された受信者通信端末３０宛の電子メールを受信して、その電子メールが迷惑メールか否かを判別する処理である。

まず、迷惑メール判別装置１０では、メール受信部１１が電子メールを受信する（Ｓ０１、メール受信ステップ）。複数の電子メールが受信者通信端末３０に送信された場合、それら全てを受信する。電子メールの内容は、情報抽出部１２に送信される。

続いて、情報抽出部１２が判別用情報を受信された各電子メールから抽出する（Ｓ０２、情報抽出ステップ）。抽出される判別用情報は、上述したように具体的には、差出人情報及びＵＲＬ情報が相当する。抽出された差出人情報は差出人情報信頼性評価部１４に、ＵＲＬ情報はＵＲＬ情報信頼性評価部１６にそれぞれ送信される。また、情報抽出部１２は、電子メールの受信者を特定する受信者情報も抽出して、差出人情報信頼性評価部１４及びＵＲＬ情報信頼性評価部１６に送信する。なお、上述したように、所定の電子メールに関しては、電子メール群として扱われる。以下の説明では、電子メール群に関する処理について述べる。

続いて、差出人情報信頼性評価部１４が、抽出された差出人情報に係る信頼性を評価する（Ｓ０３〜Ｓ０６、データベース接続ステップ、信頼性評価ステップ）。この評価は上記の電子メール群の単位で、受信者と差出人との間の契約関係の数に基づいて行われる。評価は、具体的には以下のように行われる。

差出人情報信頼性評価部１４は、契約情報データベース１３にアクセスして契約情報を参照して、各電子メールに関して、電子メールから抽出された差出人情報が契約情報に含まれるものと一致するかどうか判断する（Ｓ０３、データベース接続ステップ、信頼性評価ステップ）。この判断は具体的には、契約情報データベース１３のレコードに、電子メールから抽出された差出人情報及び受信者情報の対応関係を示すものが含まれているか否かで判断する。例えば、契約情報データベース１３のレコードが図３に示すようなものであった場合、差出人情報が“Ａ社”であり、受信者情報が“受信者１”であるとき一致すると判断する。この判断は、電子メール群の全てのメールに対して行い、その一致数をカウントする（一致した場合、判断毎に一致数を加算する）（Ｓ０４、信頼性評価ステップ）。なお、一致した場合をカウントするのではなく、一致しなかった場合をカウントすることとしてもよい。

続いて、差出人情報信頼性評価部１４は、上記の一致数（あるいは電子メール群に含まれる全電子メールの数に対する一致数の割合）が予め定められた閾値以上であるか否かを判断する（Ｓ０５、信頼性評価ステップ）。この閾値は、例えば、以下のように定められる。

電子メール群に含まれる電子メールの数をｎ、上記の一致数をｘ、受信者と差出人との間に契約関係がある確率をｐとすると、一致数がｘである確率Ｐ（ｘ）は次式で表される。なお、確率ｐは、例えば差出人の業界におけるシェア等から算出することができる。

この式は、ある事象が生起する確率がｐであるときｎ回のうちｘ回生起する確率を表している。無作為に送信したとすると、電子メール各々に対しては、上記の一致が起こる確率は上記の確率ｐになるからである。例えば、ｎ＝１００、ｐ＝０．４であるとすると、式（１）におけるｘと確率Ｐ（ｘ）との関係は、図７に示すグラフになる。これは、例えば、ｘが５０以上である確率は約０．０３、即ち、電子メールの数、１００のうち、一致数が５０以上となる確率は約３％であることを意味している。またこれは、契約があるなしに関わらず無作為に１００通のうち５０通以上の電子メールが送信される確率が約３％であることを示している。従って、電子メールの数ｎが１００のとき、一致数ｘが５０以上であれば無作為に送られていない、つまり信頼のおける差出人から送信されているという評価を行うことができる。従って、安全率を３％に設定すれば、一致数の閾値を５０に設定することができる。

また、契約情報データベース１３に登録されているユーザの数をＮとすると、一致数ｘの確率Ｐ（ｘ）は、次式のように表すことができる。

この式は、母集団Ｎの中から順に選択していき、ｎ個を選んだときにｘ個が一致している場合の確率を表している。例えば、Ｎ＝２５０、ｎ＝１００、ｐ＝０．４とすると、式（２）におけるｘと確率Ｐ（ｘ）との関係は、図８に示すグラフになる。これは、ｘが５０以上である確率は約０．０３、即ち、２５０人から無作為に１００人を選ぶと、一致数が５０以上となる確率は約３％であることを意味している。従って、ユーザの数をＮが２５０で電子メールの数ｎが１００のとき、一致数ｘが５０以上であれば無作為に送られていない、つまり信頼のおける差出人から送信されているという評価を行うことができる。従って、安全率を３％に設定すれば、一致数の閾値を５０に設定することができる。

また、ある特定の会社が過去に自社で持つ顧客リストに沿って１００通の電子メールを送信した事象の統計をとったとき、ｘと確率Ｐ（ｘ）との関係が図９に示すグラフになったとする。この図から、例えばｘが８５以下であるような確率が約０．０３、即ち１００通の送信に対し一致数（契約の変更等がなかったケース）ｘが８５以下であった確率が３％以下であるということがわかる。従って、一致数ｘが８５以上である場合には無作為に送られていない、つまり信頼のおける差出人から送信されているという評価を行うことができる。従って図９のグラフに基づいて閾値を設定する場合、安全率を３％に設定すれば、一致数の閾値を８５に設定することができる。

上記の判断で、一致数が閾値以上であった場合、差出人情報信頼性評価部１４は、電子メール群において差出人情報に係る信頼性は高い（＝ＯＫ）、という評価を行う（Ｓ０６、信頼性評価ステップ）。一方、一致数が閾値以上でなかった場合、差出人情報信頼性評価部１４は、電子メール群において差出人情報に係る信頼性は低い（＝ＮＧ）、という評価を行う（Ｓ０６、信頼性評価ステップ）。この差出人情報に係る信頼性に関する情報は、判別部１７に送信される。

続いて、ＵＲＬ情報信頼性評価部１６が、抽出されたＵＲＬ情報に係る信頼性を評価する（Ｓ０７〜Ｓ０９、データベース接続ステップ、信頼性評価ステップ）。この評価は上記の電子メール群の単位で、電子メール群における電子メールの受信者のサイトへのアクセス回数の分布に基づいて行われる。評価は、具体的には以下のように行われる。

ＵＲＬ情報信頼性評価部１６は、アクセス回数データベース１５にアクセスして、抽出したＵＲＬによりアクセスされるサイトへのアクセス回数の情報を参照して、電子メールの受信者の当該サイトへのアクセス回数の分布を生成する（Ｓ０７、データベース接続ステップ、信頼性評価ステップ）。アクセス回数の分布は、図３に示したアクセス回数データベース１５のテーブルに格納された各電子メールの受信者の当該サイトへのアクセス回数の情報から生成される、アクセス回数毎の人数の分布である。生成されたアクセス回数の分布をグラフに表すと、例えば図１０のようになる。

続いて、ＵＲＬ情報信頼性評価部１６は、上記作成されたアクセス回数の分布を、予め設定されているフィッシング詐欺に用いられるサイトにおけるアクセス回数の分布のパターンに類似しているか否か判断する（Ｓ０８、信頼性評価ステップ）。類似か否かの判断については、具体的には例えば、パターン認識の方法等を用いることができる。

フィッシング詐欺に用いられるサイトにおけるアクセス回数の分布のパターンは、例えば、図１１に示すように全員が一度もアクセスしたことがないようなものである。仮にアクセスしたことがある（以前にもフィッシングメールを受信して且つその電子メールに含まれるＵＲＬからサイトにアクセスした場合等）としても、そのようなケースは非常に少数である。このことは、アメリカにおいての調査結果からわかっており、約１９％であると言われている。この結果は、今までに一度でもアクセスしたことがある割合であり、実際にあるＵＲＬからアクセスしている人の割合はより少数になると考えられる。従って、分布のパターンを比較する方法以外にも、抽出されたＵＲＬにアクセスしたことのある受信者の割合が１９％を下回るか否かという判断を行うこととしてもよい。下回った場合、次のステップで、当該電子メール群においてＵＲＬ情報に係る信頼性は低いと評価される。

上記の判断で、フィッシング詐欺に用いられるサイトにおけるアクセス回数の分布のパターンに類似していなかった場合、ＵＲＬ情報信頼性評価部１６は、電子メール群においてＵＲＬ情報に係る信頼性は高い（＝ＯＫ）、という評価を行う（Ｓ０９、信頼性評価ステップ）。一方、類似していた場合、ＵＲＬ情報信頼性評価部１６は、電子メール群においてＵＲＬ情報に係る信頼性は低い（＝ＮＧ）、という評価を行う（Ｓ０９、信頼性評価ステップ）。このＵＲＬ情報に係る信頼性に関する情報は、判別部１７に送信される。

なお、差出人に係る信頼性の評価（Ｓ０３〜Ｓ０６）及びＵＲＬ情報に係る信頼性の評価（Ｓ０７〜Ｓ０９）は、互いに関連するものではないので、どちらが先に行われてもよい。また、同時平行して行われてもよい。

続いて、判別部１７が、各判別用情報に係る信頼性に基づいて、電子メール群がフィッシングメールか否かを判別する（Ｓ１０〜Ｓ１２、判別ステップ）。判別は、具体的には図６のフローチャートに示すように、フィッシングメールである可能性を判定することにより行われる。以下、説明する。

まず、判別部１７は、電子メール群において差出人情報に係る信頼性は高い（＝ＯＫ）かどうか判断する（Ｓ１０、判別ステップ）。続いて、判別部１７は、電子メール群においてＵＲＬ情報に係る信頼性は高い（＝ＯＫ）かどうか判断する（Ｓ１１、判別ステップ）。ここで両方の信頼性が共に高かった場合、判別部１７は、その電子メール群がフィッシングメールである可能性を「小」とする（Ｓ１２、判別ステップ）。どちらか一方の信頼性が高かった場合、判別部１７は、その電子メール群がフィッシングメールである可能性を「中」とする（Ｓ１２、判別ステップ）。両方の信頼性が高くなかった場合、判別部１７は、その電子メール群がフィッシングメールである可能性を「大」とする（Ｓ１２、判別ステップ）。

なお、本実施形態では、差出人情報及びＵＲＬ情報に係る信頼性の両方を判別に用いることとしているが、何れか一方のみを判別に用いることとしてもよい。但し、一方のみを判別に用いることとすると、判別の確実性が低下するので、何れか一方が特徴的な情報であり一方でも判別可能なときに適用するのが好ましい。一方のみを判別に用いる場合は、信頼性の評価も判別に用いるもののみをすればよい。

判別部１７は、このようにして得られた電子メール群のフィッシングメールである可能性をメール受信部１１に通知する。メール受信部１１は、当該電子メール群に含まれる各電子メールを受信者通信端末３０に送信する際に、上記のフィッシングメールである可能性を併せて通知して受信者に対して警告を行う（Ｓ１３）。なお、可能性の通知を必ずしもする必要はなく、フィッシングメールである可能性の高い電子メール群を、迷惑メール判別装置１０において破棄する等の処置を行ってもよい。また、第三者機関へ対応を問い合わせる等をしてもよい。更に、それらの処理を組み合わせて行うこととしてもよい。

上述したように、本実施形態によれば、迷惑メール判別装置１０は、電子メールから抽出した判別用情報に係る信頼性を評価し、評価した信頼性に基づいて電子メールがフィッシングメールであるか否かを判別する。即ち、本実施形態では、単にメールアドレスやＩＰアドレス等の情報により判別を行うのではなく、判別用情報に係る信頼性を評価することにより迷惑メールか否かの判別を行う。従って、迷惑メールの送信が、メールアドレスやＩＰアドレスから送信先が正当なものとされるゾンビＰＣからのものである場合でも、送信されたメールが迷惑メールであるか否かを判別することができる。このように適切な判別が可能であるので、その旨を受信者に通知することが可能になる等、効率よくフィッシングメールに対策を行うことが可能になる。

また、本実施形態のように、電子メールの本文から判別用情報を抽出することとすれば、フィッシングメールの判別においてより適切な判別用情報を抽出することができる。電子メールの本文であれば、ヘッダの情報による偽装等を考慮しなくてよいからである。

また、本実施形態のように判別用情報を、差出人情報及びＵＲＬ情報とすれば、より確実に判別用情報を抽出することができる。フィッシングメールには、差出人情報及びＵＲＬ情報が含まれているためであり、また通常、電子メールには差出人情報が含まれており、またＵＲＬ情報も含まれていることが多いからである。従ってこの構成とすれば、容易に本発明を実施することができる。

また、本実施形態のように、電子メール群に対して判別を行うこととすれば、複数の電子メールに基づいて、迷惑メールであるか否かを判別するので、より信頼性の高い判別を行うことができる。また、信頼性評価用データベースに精度の高い情報が含まれていない場合でも、適切な判別を行うことができる。

また、本実施形態のように、受信者と差出人との間の契約関係の数に基づいて、差出人情報に係る信頼性を評価することとすれば、より確実に信頼性を評価することができ、従ってより適切な判別を行うことができる。また、本実施形態のように、受信者のＵＲＬによりアクセスされるサイトへのアクセス回数の分布に基づいて、差出人情報に係る信頼性を評価することとすれば、より確実に信頼性を評価することができ、従ってより適切な判別を行うことができる。

契約情報データベース１３に格納された契約情報に一部変更があり更新している途中である場合、一部の情報は誤っている可能性があるが、誤りが統計上の信頼区間に収まる範囲であれば誤認識を起こさない。例えば、１００通の電子メール群に対して、１０人の受信者に関する契約情報が変更中であっても、その他全ての９０通が一致していれば、１０人分の契約情報に無関係に閾値を超えるので、正しい判別が可能である。

ＵＲＬのアクセス回数についても同様に、一部変更があって更新している途中である場合、一部の情報は誤っている可能性があるが、誤りが統計上の信頼区間に収まる範囲であれば誤認識を起こさない。例えば、１００人中９０人がアクセス回数０回であれば、１０人分のアクセス回数の情報が変更中であっても、１０人分のアクセス回数情報に無関係に閾値を超えるので、正しい判別が可能である。また、あるユーザに関しての情報が登録されていない場合でも、受信者全員分のアクセス回数の分布から判断するので、一人分のアクセス回数が０、あるいはデータがない場合でも、アクセス回数の分布の類似を判断することが可能である。何人分のデータがない場合が許容できるかは、例えば予め設定される類似度の閾値等により決まる。このように、信頼性評価用データベースが更新中という状況に対しても即時に対応してフィッシングメールを判別することができる。

ところで、フィッシング詐欺の損益分岐点は電子メールに対するレスポン率により決まる。レスポンス率を低下させて現在のレスポンス率よりも９８．５％減少させることができれば、フィッシング詐欺による利益はなくなるものと試算した。Ｒ_ａを正しくフィッシングメールだと判別する判別率、Ｅ_ｄを受信者が受ける被害額、Ｎを送信者が送信するメールの総数、Ｒ_ｒを受信者のレスポンス率、Ｃ_ｓをフィッシング詐欺者が電子メールを送信するときの送信コスト、Ｃ_ｐをフィッシング詐欺者が詐欺をはたらくための送信コスト以外にかかるコストの総計とすると、一般的に好ましい判別率Ｒ_ａは、以下の式で表される。

迷惑メール判別装置１０の管理者は、式（３）に基づいて判別率Ｒ_ａを求め、その判別率Ｒ_ａを実現するように、差出人情報に関する一致数の閾値や、ＵＲＬに対するアクセス回数の分布の類似の判断に用いられる閾値を決定することができる。

なお、本実施形態では、迷惑メールをフィッシングメールとしたが、メールの内容から迷惑メールと判断できるものであれば、フィッシングメール以外の迷惑メールを対象としてもよい。

［変形例］
上述した実施形態では、差出人情報信頼性評価部１４及びＵＲＬ情報信頼性評価部１６の各信頼性評価手段は、電子メール群に含まれる全ての電子メールの判別用情報を用いて信頼性を評価していた。しかしながら、このように電子メール群に含まれる電子メール全数を用いて評価することとすれば、電子メール群に含まれる電子メールの数が膨大になる場合、各信頼性評価手段による信頼性評価用データベース（契約情報データベース１３及びアクセス回数データベース１５）に格納された情報の参照、及び当該情報と判別用情報との比較の処理が膨大になる。

そのような膨大な処理を回避するために、迷惑メール判別装置は、以下に説明するような構成としてもよい。この構成では、各信頼性評価手段は、電子メール群に対する判別用情報に係る信頼性を、情報抽出手段から判別用情報が送信される毎に、それまで判別用情報が送信された電子メールから評価する。即ち、信頼性を電子メール群のうちの一部の電子メールの判別用情報を用いて評価する。以下に、この構成の迷惑メール判別装置を説明する。

図１２に本変形例のメール判別装置４０を示す。迷惑メール判別装置４０は、構成要素としては、上述した実施形態の迷惑メール判別装置１０に加えて、カウンタ４２を更に備えている。また、メール判別装置４０は、上述した実施形態の迷惑メール判別装置１０とは、情報抽出部４１、差出人情報信頼性評価部４３及びＵＲＬ情報信頼性評価部４４の機能に違いを有している。それ以外の部分は、メール判別装置４０は、上述した実施形態の迷惑メール判別装置１０と同一である。以下、上述した実施形態の迷惑メール判別装置１０との違い部分について説明する。

情報抽出部４１は、電子メールから判別用情報を抽出して、判別用情報を差出人情報信頼性評価部４３とＵＲＬ情報信頼性評価部４４とに電子メール群毎に順次、送信する。また、情報抽出部４１は、判別用情報を抽出する毎に、判別用情報をカウンタ４２に送信する。情報抽出部４１から判別用情報が送信される順番は、例えば、判別用情報を抽出した順とすることができる。あるいは、順番を決定する何らかのルールを定めておきそれに従って、順番を決めることとしてもよい。

カウンタ４２は、情報抽出部１２から送信された判別用情報の数（情報抽出部１２において判別用情報が抽出された電子メールの数）を、電子メール群毎にカウントする。カウントは、具体的には、電子メール数毎のカウント数を記憶しておき、判別用情報を受信したときにカウント数を増加させる、等の処理により行われる。カウントされた電子メール群毎の判別用情報の数の情報は、差出人情報信頼性評価部４３及びＵＲＬ情報信頼性評価部４４に送信される。なお、差出人情報信頼性評価部４３及びＵＲＬ情報信頼性評価部４４に、それぞれカウンタ４２と同様の機能を持たせることとすれば、必ずしもカウンタ４２は必要ない。

差出人情報信頼性評価部４３及びＵＲＬ情報信頼性評価部４４の信頼性評価手段は、情報抽出部４１により判別用情報が抽出されて送信される毎に、電子メール群のうちの、それまでに判別用情報が送信された電子メールから、電子メール群に対する判別用情報に係る信頼性を評価する。この評価は、予め設定された基準に基づいて行われる。評価の具体的な方法については、後述する。

引き続いて、本変形例の迷惑メール判別装置４０における、判別用情報に係る信頼性の評価の処理を説明する。本変形例では、差出人情報に係る信頼性の評価の例を説明する。この処理は、上述した実施形態におけるＳ０２〜Ｓ０６（図５参照）に相当する。なお、以下に説明する処理以外（例えば、電子メールの受信（Ｓ０１）及びフィッシングメールか否かの判断（Ｓ１０〜Ｓ１２））は、迷惑メール判別装置４０においても上述した実施形態と同様の処理が行われる。

以下、図１３のフローチャートを参照して説明を行う。まず、メール受信部１１が受信した電子メールを、情報抽出部１２がメール受信部１１から受け取り、この電子メールから判別用情報である差出人情報を抽出する（Ｓ２１）。

続いて、情報抽出部１２は、信頼性評価の対象となる電子メール群のうちの１つの差出人情報をカウンタ４２と差出人情報信頼性評価部４３とに送信する（Ｓ２２）。カウンタ４２では、差出人情報を受信して、信頼性評価の対象となる電子メール群の電子メール数をカウントする（Ｓ２３）。具体的には、カウント数を１増加させる。なお、カウント数の初期値は０とする。カウントされた電子メール数の情報は、差出人情報信頼性評価部４３に送信される。

続いて、差出人情報信頼性評価部４３が、情報抽出部１２から差出人情報を受信し、カウンタ４２から信頼性評価の対象である電子メール群の電子メール数の情報を受信する。差出人情報信頼性評価部４３は、上述したＳ０３の処理と同様に、契約情報データベース１３にアクセスして契約情報を参照して、受信した電子メールに関して、電子メールから抽出された差出人情報が契約情報に含まれるものと一致するかどうか判断する（Ｓ２４）。続いて、差出人情報信頼性評価部４３は、その一致数をカウントする（一致した場合、それまでの一致数に１加算する）（Ｓ２５）。ここで、ｍをこの時点での一致数、ｎをカウンタ４２から送信された電子メールの数（即ち、差出人情報信頼性評価部４３により一致が判断された数）とする。ｎ通の電子メールにおける契約関係の一致率はｍ／ｎで与えられる。

続いて、差出人情報信頼性評価部４３は、以下に説明するような統計的推定を用いた手法で、電子メール群の差出人情報に係る信頼性を評価する。まず、上記の値を基に、信頼性評価の対象となる電子メール群における一致率（これをｐとする）を以下の式により推定する（Ｓ２６）。

ここで、αは有意水準又は危険率と呼ばれ、予め値を設定して差出人情報信頼性評価部４３に記憶させておく。一般的には、α＝５％（０．０５）又は１％（０．０１）である。ｚ（α）は標準正規分布の両側１００α％点である。α＝０．０５のとき、ｚ（０．０５／２）＝１．９６である。なお、αの値は予め設定しておき、ｚ（α／２）の値は、予め差出人情報信頼性評価部４３に記憶させておく。

例えば、ｍ＝９，ｎ＝１００であるとすると、式（４）により母集団（Ｎ通分）の一致率ｐは、
０．０４≦ｐ≦０．１４
と推定される。

続いて、差出人情報信頼性評価部４３は、予め定められた式によって求められる閾値を使って、電子メール群に対する差出人情報の信頼性を評価する。ここで、ｐ_Ｔを信頼性評価の対象である電子メール群の信頼性を評価するためのｐの閾値であるとする。閾値ｐ_Ｔは、受信者と差出人との契約関係がある確率ｐ´から求めることができる。確率ｐ´は、上述した実施形態で述べたように、差出人毎に決まり、差出人の業界のシェア等から予め算出することができる。例えば、ｐ´＝０．１だったときに、閾値ｐ_Ｔは、（以下の累積確率の式（５）において、累積確率ΣＰが９５％となるｘの値）／１００に設定することができる。

上記の例で、ｐ´＝０．１とすると、累積確率が９５％以上となるのは、ｘ＝１５のときである。よって、閾値ｐ_Ｔは０．１５と設定される。差出人情報信頼性評価部４３は、この閾値を用いて以下のように評価する。

まず、差出人情報信頼性評価部４３は、ｐの幅が閾値ｐ_Ｔを跨っているか否かを判断する（Ｓ２７）。図１４に示すように、上記の推定値０．０４≦ｐ≦０．１４の範囲は、閾値ｐ_Ｔ＝０．１５を含んでいない。即ち、ｐの幅が閾値ｐ_Ｔを跨っていないと判断される。

跨っていないと判断された場合、差出人情報信頼性評価部４３は、ｐの幅が閾値ｐ_Ｔを上回っているか否かを判断する（Ｓ２８）。上述したように上記の推定値ｐの範囲は、閾値ｐ_Ｔを上回っていない（下回っている）。その場合、差出人情報信頼性評価部４３は、電子メール群において差出人情報に係る信頼性は低い（＝ＮＧ）、という評価を行う（Ｓ２９）。一方、推定値ｐの範囲は、閾値ｐ_Ｔを上回っていると判断された場合、差出人情報信頼性評価部４３は、電子メール群において差出人情報に係る信頼性は高い（＝ＯＫ）、という評価を行う（Ｓ２９）。差出人情報に係る信頼性が評価された場合、信頼性の評価の処理を終了し差出人情報信頼性評価部４３は、評価された信頼性を判定部１７に送信する。判定部１７では、この信頼性に基づいて、電子メール群がフィッシングメールか否かを判別する（上述した実施形態におけるＳ１０〜Ｓ１２の処理に対応する（図６参照））。

また、ｎ＝１００でｍ＝１３であるときには、上記の式（４）により電子メール群の一致率の推定値ｐは０．０６≦ｐ≦０．２０となる。図１５に示すように、この場合推定値の範囲ｐが閾値ｐ_Ｔを含んでいるので、ｐの幅が閾値ｐ_Ｔを跨っているか否かの判断（Ｓ２７）で、跨っていると判断される。この状態は、母集団（Ｎ通分）で一致率を導出したときに、その一致率が閾値を超える可能性もあれば、超えない可能性もあることを示している。従って、この時点では差出人情報に係る信頼性を評価することができない。そのため、情報抽出部４１による判別用情報の送信（Ｓ２２）の処理に戻り、次の電子メールの差出人情報をそれまで評価した差出人情報に加えて、上記の処理（Ｓ２３〜Ｓ２７）行い、再度差出人情報信頼性評価部４３による判断を行う。

以上が本変形における差出人情報に係る信頼性の評価の処理である。引き続いて、別の変形例を説明する。この変形例においても、迷惑メール判別装置４０は上記の変形例と同様に図１２に示す構成をとる。上記との相違点は、差出人情報信頼性評価部４３における差出人情報に係る信頼性の評価の処理の部分である。その相違点を中心に、図１６のフローチャートを用いて説明する。

まず、上記の変形例と同様に、情報抽出部１２による差出人情報の抽出（Ｓ２１）及び差出人情報の送信（Ｓ２２）、カウンタ４２による電子メール数のカウント（Ｓ２３）、差出人情報信頼性評価部４３による契約情報と差出人情報との比較（Ｓ２４）及び一致数のカウント（Ｓ２５）が行われる。

続いて、差出人情報信頼性評価部４３は、以下に説明するような統計的検定を用いた手法で、電子メール群の差出人情報に係る信頼性を評価する。まず、上述したのと同様に、信頼性評価の対象である電子メール群の信頼性を評価するための、電子メール群における一致率ｐの閾値ｐ_Ｔを求める。そのとき、次のような仮説が立てられる。
仮説Ｈ_０：ｐ＝ｐ_Ｔ＝０．１５（上述の条件と同じ場合）
また、対立仮説を次のように設定する。
対立仮説Ｈ_１：ｐ≧ｐ_Ｔ＝０．１５（上述の条件と同じ場合）
ここで、仮説Ｈ_０が棄却され、対立仮説Ｈ_１が支持されれば、一致率ｐが閾値ｐ_Ｔを超えていると判断することができる（上側検定）。このとき統計量Ｔ（ｍ）≧ｚ（α）ならば、有意水準（危険率と同じ）αで仮説Ｈ_０を棄却することができる。統計量Ｔ（ｍ）は、以下のように表される。

差出人情報信頼性評価部４３は、上記の検定を行うために、ｎ，ｍ，ｐ_Ｔから統計量Ｔ（ｍ）を算出する（Ｓ３１）。続いて、差出人情報信頼性評価部４３は、Ｔ（ｍ）≧ｚ（α）が成り立つか否かを判断する（Ｓ３２）。なお、αの値は予め設定しておき、ｚ（α）の値は、予め差出人情報信頼性評価部４３に記憶させておく。

具体的には例えば、ｎ＝１００，ｍ＝５０，ｐ_Ｔ＝０．１５，α＝０．０５であるとすると、Ｔ（ｍ）≒９．８≧ｚ（０．０５）＝１．６４となり、仮説Ｈ_０を棄却することができる。この例のように、上記の条件が成り立っていた場合、一致率ｐが閾値ｐ_Ｔを超えていると判断することができ、差出人情報信頼性評価部４３は、電子メール群において差出人情報に係る信頼性は高い（＝ＯＫ）、という評価を行う（Ｓ３３）。

上記の条件が成り立たず、Ｔ（ｍ）＜ｚ（α）となる場合、仮説Ｈ_０を棄却することができない。即ち、一致率ｐが閾値ｐ_Ｔを超えているか否かは不明である。この状態は、母集団（Ｎ通分）で一致率を導出したときに、その一致率が閾値を超える可能性もあれば、超えない可能性もあることを示している。従って、この時点では差出人情報に係る信頼性を評価することができない。そのため、情報抽出部４１による判別用情報の送信（Ｓ２２）の処理に戻り、次の電子メールの差出人情報をそれまで評価した差出人情報に加えて、上記の処理（Ｓ２３〜Ｓ２５，Ｓ３１〜）行い、再度差出人情報信頼性評価部４３による判断を行う。なお上記は、差出人情報に係る信頼性が高い（＝ＯＫ）ことを、統計的検定を用いて評価しているが、同様の手法で差出人情報に係る信頼性が低い（＝ＮＧ）という評価を行ってもよい。

差出人情報に係る信頼性が評価された場合、信頼性の評価の処理を終了し差出人情報信頼性評価部４３は、評価された信頼性を判定部１７に送信する。判定部１７では、この信頼性に基づいて、電子メール群がフィッシングメールか否かを判別する（上述した実施形態におけるＳ１０〜Ｓ１２の処理に対応する（図６参照）。）。

以上が本変形における差出人情報に係る信頼性の評価の処理である。引き続いて、更に別の変形例を説明する。この変形例においても、迷惑メール判別装置４０は上記の変形例と同様に図１２に示す構成をとる。上記との相違点は、差出人情報信頼性評価部４３における差出人情報に係る信頼性の評価の処理の部分である。その相違点を中心に、図１７のフローチャートを用いて説明する。

まず、上記の変形例と同様に、情報抽出部１２による差出人情報の抽出（Ｓ２１）及び差出人情報の送信（Ｓ２２）、カウンタ４２による電子メール数のカウント（Ｓ２３）、差出人情報信頼性評価部４３による契約情報と差出人情報との比較（Ｓ２４）及び一致数のカウント（Ｓ２５）が行われる。

続いて、差出人情報信頼性評価部４３は、以下に説明するような条件付確率による背理法を用いた手法で、電子メール群の差出人情報に係る信頼性を評価する。この手法では、予め、抽出された差出人情報が契約情報に含まれるものと一致しない割合を仮定しておく。例えば、一致しない割合が１０％を超えるとしておく。ここで、ｎ通の電子メールの上記一致を判断したときに、この仮定の下で一致しない電子メールがそのｎ通に含まれる確率を考える。

この確率ｐは、母集団（Ｎ通分）の電子メール群（仮定から、一致しないメール数Ｍは少なくともＭ＝０．１Ｎ通となる）から、ｎ通を任意に判断したときに、全て一致する事象の余事象となるので、少なくとも次式のようになる。

ここで、例えば、Ｎ＝４５００万とすると、ｎ≧２９で、ｐ≧９５％となる。

この例が意味していることは、２９通以上チェックすれば、少なくとも１通一致しない電子メールが含まれる確率は９５％（所定の閾値）以上である。逆に言えば、２９通チェックして全て一致している場合は、初めの仮定「一致しない割合が１０％を超える」が不適切だったといえる。従って、「信頼性評価の対象である電子メール群のうち１０％を超える割合で一致しないメールが存在しない＝当該電子メール群の一致しない割合が１０％を下回る」とすることができる。

このロジックを用いれば、例えば４５００通のメールのうち２９通チェックして全て一致すれば、差出人情報に係る信頼性は高い（＝ＯＫ）と評価することができる。このロジックを実現するために、差出人情報信頼性評価部４３では、以下のような処理が行われる。

まず、差出人情報信頼性評価部４３は、カウンタ４２によりカウントされた電子メール数（一致を判断した数）ｎと一致数ｍとが同一であるか否か判断する（Ｓ４１）。この手法は、一致を判断した数ｎと一致数ｍとが同一であることを前提としているので、同一でないと判断された場合は、差出人に係る信頼性は不明（Ｓ４２）として、差出人情報信頼性評価部４３での信頼性の評価は終了する。この手法を用いる場合は、その後の処理で差出人に係る信頼性は不明だった場合の扱いを定めておくのがよい。

同一であると判断された場合は、差出人情報信頼性評価部４３は、式（７）に従って、ｎ通に一致しない電子メールが含まれる確率を演算する（Ｓ４３）。なお、上記の仮定における割合は予め設定しておき、差出人情報信頼性評価部４３に記憶させておく。その際、割合の設定は、適切に信頼性の評価をできるものとしておく。また、母集団の電子メール数の数Ｎも、予め情報抽出部４１等から取得しておく。

続いて、差出人情報信頼性評価部４３は、その確率が９５％（所定の閾値）以上であるか否かを判断する。９５％以上であった場合、上記の理由により差出人情報信頼性評価部４３は、電子メール群において差出人情報に係る信頼性は高い（＝ＯＫ）、という評価を行う（Ｓ４５）。差出人情報に係る信頼性が評価された場合、信頼性の評価の処理を終了し差出人情報信頼性評価部４３は、評価された信頼性を判定部１７に送信する。判定部１７では、この信頼性に基づいて、電子メール群がフィッシングメールか否かを判別する（上述した実施形態におけるＳ１０〜Ｓ１２の処理に対応する（図６参照）。）。

９５％以上でなかった場合は、この時点では差出人情報に係る信頼性を評価することができない。そのため、情報抽出部４１による判別用情報の送信（Ｓ２２）の処理に戻り、次の電子メールの差出人情報をそれまで評価した差出人情報に加えて、上記の処理（Ｓ２３〜Ｓ２５，Ｓ４１〜）行い、再度差出人情報信頼性評価部４３による判断を行う。以上が本変形における差出人情報に係る信頼性の評価の処理である。

上述したような、構成及び処理によれば、判別用情報に係る信頼性の評価の際に、判別用情報に係る処理数を減少させることができる。より具体的には、各信頼性評価手段による信頼性評価用データベース（契約情報データベース１３及びアクセス回数データベース１５）に格納された情報の参照、及び当該情報と判別用情報との比較の処理の回数を減少させることができる。引いては、迷惑メール判別装置４０での処理を大幅に軽減させることができる。

例えば、上述した実施例では、母集団の電子メール数の数Ｎによらず、１００通の電子メールの判別用情報の比較（及びそれに付随する信頼性評価データベースへのアクセス）により、信頼性の評価を行うことができる。一般に、フィッシングメール等の迷惑メールは、一度の送信で数百万から数千万通送られているといわれており、この総数をＮ＝１０００万としたとき、１００通の比較で信頼性の評価ができ、引いては迷惑メールの判別ができれば、残りの９９０万通の比較を省略することができる。このため、全ての電子メールの判別用情報の参照及び比較を行っていた場合と比較して、信頼性の評価における処理の効率は１０００万／１００＝１０万倍となる。

なお、上記の変形例は全て差出人情報に係る信頼性を評価していたが、同様にＵＲＬ情報信頼性評価部４４によるＵＲＬに係る信頼性の評価を行ってもよい。その場合、上述した（変形例でない場合の）実施形態で説明したようにアクセス回数の分布で評価するのではなく、ユーザがその抽出したＵＲＬにアクセスしていたか否かを、抽出された差出人情報が契約情報に含まれるものと一致するか否かに対応させて、上記変形例を適用する。ユーザがその抽出したＵＲＬにアクセスしていたか否かは、ＵＲＬ情報信頼性評価部４４がアクセス回数データベース１５にアクセスすることにより判断される。

本発明の実施形態に係る迷惑メール判別装置の構成を示す図である。 電子メールの本文、及び本文に含まれる抽出される判別用情報の例を示した図である。 契約情報データベースのテーブルを示す図である。 アクセス回数データベースのテーブルを示す図である。 本発明の実施形態において迷惑メール判別装置で実行される処理を示すフローチャートである。 本発明の実施形態において迷惑メール判別装置で実行される処理を示すフローチャートである。 一致数ｘと確率Ｐ（ｘ）との関係を示すグラフである。 一致数ｘと確率Ｐ（ｘ）との関係を示すグラフである。 一致数ｘと確率Ｐ（ｘ）との関係を示すグラフである。 電子メールの受信者のサイトへのアクセス回数の分布を示すグラフである。 フィッシング詐欺に用いられるサイトにおけるアクセス回数の分布を示すグラフである。 本発明の実施形態の変形例に係る迷惑メール判別装置の構成を示す図である。 本発明の実施形態の変形例に係る迷惑メール判別装置で実行される処理を示すフローチャートである。 一致数と電子メール数との関係を示すグラフである。 一致数と電子メール数との関係を示すグラフである。 本発明の実施形態の別の変形例に係る迷惑メール判別装置で実行される処理を示すフローチャートである。 本発明の実施形態の更に別の変形例に係る迷惑メール判別装置で実行される処理を示すフローチャートである。

符号の説明

１０…迷惑メール判別装置、１１…メール受信部、１２…情報抽出部、１３…契約情報データベース、１４…差出人情報信頼性評価部、１５…アクセス回数データベース、１６…ＵＲＬ情報信頼性評価部、１７…判別部、２０…送信者通信端末、３０…受信者通信端末、４０…迷惑メール判別装置、４１…情報抽出部、４２…カウンタ、４３…差出人情報信頼性評価部、４４…ＵＲＬ情報信頼性評価部。

Claims (6)

1. 電子メールを受信するメール受信手段と、
   前記メール受信手段により受信された電子メールから、迷惑メールか否かの判別に用いる判別用情報を抽出する情報抽出手段と、
   前記判別用情報に係る信頼性を評価するための、当該判別用情報に対応した情報が格納された信頼性評価用データベースに接続するデータベース接続手段と、
   前記データベース接続手段により接続された信頼性評価用データベースに格納された情報を参照して、前記情報抽出手段により抽出された判別用情報に係る信頼性を評価する信頼性評価手段と、
   前記信頼性評価手段により評価された判別用情報に係る信頼性に基づいて、前記メール受信手段により受信された電子メールが迷惑メールか否かを判別する判別手段と、を備え、
   前記情報抽出手段により抽出される判別用情報には、前記電子メールの差出人を特定する差出人情報が含まれており、
   前記データベース接続手段により接続される信頼性評価用データベースには、前記電子メールの受信者と前記差出人との契約関係の情報が格納されており、
   前記信頼性評価手段は、同一の差出人情報を含む電子メール群における電子メールの受信者と前記差出人との間の契約関係の数に基づいて、当該電子メール群に対して、当該電子メール群に含まれる差出人情報に係る信頼性を評価し、
   前記判別手段は、前記電子メール群に対する前記信頼性評価手段により評価された差出人情報に係る信頼性に基づいて、当該電子メール群が迷惑メールか否かを判別する、迷惑メール判別装置。
2. 電子メールを受信するメール受信手段と、
   前記メール受信手段により受信された電子メールから、迷惑メールか否かの判別に用いる判別用情報を抽出する情報抽出手段と、
   前記判別用情報に係る信頼性を評価するための、当該判別用情報に対応した情報が格納された信頼性評価用データベースに接続するデータベース接続手段と、
   前記データベース接続手段により接続された信頼性評価用データベースに格納された情報を参照して、前記情報抽出手段により抽出された判別用情報に係る信頼性を評価する信頼性評価手段と、
   前記信頼性評価手段により評価された判別用情報に係る信頼性に基づいて、前記メール受信手段により受信された電子メールが迷惑メールか否かを判別する判別手段と、を備え、
   前記情報抽出手段により抽出される判別用情報には、通信網上のサイトへアクセスするためのリンク情報が含まれており、
   前記データベース接続手段により接続される信頼性評価用データベースには、前記電子メールの受信者毎の前記サイトへのアクセス回数の情報が格納されており、
   前記信頼性評価手段は、同一のリンク情報を含む電子メール群における電子メールの受信者の前記サイトへのアクセス回数の分布に基づいて、当該電子メール群に対して、当該電子メール群に含まれるリンク情報に係る信頼性を評価し、
   前記判別手段は、前記電子メール群に対する前記信頼性評価手段により評価されたリンク情報に係る信頼性に基づいて、当該電子メール群が迷惑メールか否かを判別する、迷惑メール判別装置。
3. 前記情報抽出手段は、前記電子メールの本文から判別用情報を抽出することを特徴とする請求項１又は２に記載の迷惑メール判別装置。
4. 前記情報抽出手段は、前記信頼性評価手段に抽出した判別用情報を順次送信し、
   前記信頼性評価手段は、前記情報抽出手段から判別用情報が送信される毎に、前記電子メール群のうちの、それまでに判別用情報が送信された電子メールから、予め設定された基準に基づいて、前記電子メール群に対する前記判別用情報に係る信頼性を評価することを特徴とする請求項１〜３の何れか一項に記載の迷惑メール判別装置。
5. 迷惑メール判別装置における迷惑メール判別方法であって、
   電子メールを受信するメール受信ステップと、
   前記メール受信ステップにおいて受信された電子メールから、迷惑メールか否かの判別に用いる判別用情報を抽出する情報抽出ステップと、
   前記判別用情報に係る信頼性を評価するための、当該判別用情報に対応した情報が格納された信頼性評価用データベースに接続するデータベース接続ステップと、
   前記データベース接続ステップにおいて接続された信頼性評価用データベースに格納された情報を参照して、前記情報抽出ステップにおいて抽出された判別用情報に係る信頼性を評価する信頼性評価ステップと、
   前記信頼性評価ステップにおいて評価された判別用情報に係る信頼性に基づいて、前記メール受信ステップにおいて受信された電子メールが迷惑メールか否かを判別する判別ステップと、を有し、
   前記情報抽出ステップにおいて抽出される判別用情報には、前記電子メールの差出人を特定する差出人情報が含まれており、
   前記データベース接続ステップにおいて接続される信頼性評価用データベースには、前記電子メールの受信者と前記差出人との契約関係の情報が格納されており、
   前記信頼性評価ステップにおいて、前記電子メール群における電子メールの受信者と前記差出人との間の契約関係の数に基づいて、同一の差出人情報を含む電子メール群に対して、当該電子メール群に含まれる差出人情報に係る信頼性を評価し、
   前記判別ステップにおいて、前記電子メール群に対する前記信頼性評価ステップにおいて評価された差出人情報に係る信頼性に基づいて、当該電子メール群が迷惑メールか否かを判別する、迷惑メール判別方法。
6. 迷惑メール判別装置における迷惑メール判別方法であって、
   電子メールを受信するメール受信ステップと、
   前記メール受信ステップにおいて受信された電子メールから、迷惑メールか否かの判別に用いる判別用情報を抽出する情報抽出ステップと、
   前記判別用情報に係る信頼性を評価するための、当該判別用情報に対応した情報が格納された信頼性評価用データベースに接続するデータベース接続ステップと、
   前記データベース接続ステップにおいて接続された信頼性評価用データベースに格納された情報を参照して、前記情報抽出ステップにおいて抽出された判別用情報に係る信頼性を評価する信頼性評価ステップと、
   前記信頼性評価ステップにおいて評価された判別用情報に係る信頼性に基づいて、前記メール受信ステップにおいて受信された電子メールが迷惑メールか否かを判別する判別ステップと、を有し、
   前記情報抽出ステップにおいて抽出される判別用情報には、通信網上のサイトへアクセスするためのリンク情報が含まれており、
   前記データベース接続ステップにおいて接続される信頼性評価用データベースには、前記電子メールの受信者毎の前記サイトへのアクセス回数の情報が格納されており、
   前記信頼性評価ステップにおいて、前記電子メール群における電子メールの受信者の前記サイトへのアクセス回数の分布に基づいて、同一のリンク情報を含む電子メール群に対して、当該電子メール群に含まれるリンク情報に係る信頼性を評価し、
   前記判別ステップにおいて、前記電子メール群に対する前記信頼性評価ステップにおいて評価されたリンク情報に係る信頼性に基づいて、当該電子メール群が迷惑メールか否かを判別する、迷惑メール判別方法。

Images