JP5128848B2

JP5128848B2 - フィッシング検知方法及びシステム

Info

Publication number: JP5128848B2
Application number: JP2007136136A
Authority: JP
Inventors: プロックスデニーズ; ケミノットエリック; ゲリンニコラス
Original assignee: Xerox Corp
Current assignee: Xerox Corp
Priority date: 2006-05-30
Filing date: 2007-05-23
Publication date: 2013-01-23
Anticipated expiration: 2027-05-23
Also published as: US20070283000A1; EP1863240A2; EP1863240B1; JP2007323640A; DE602007008174D1; US7668921B2; EP1863240A3

Description

本発明は、概略、フィッシングを狙った電子メッセージ例えば電子メールを検知する方法及びシステムに関する。本発明は、より具体的には、正規化技術及び比較技術を駆使してフィッシングメッセージ又はそれと疑わしい電子メッセージを検知し、その電子メッセージの受信者に通知するシステム及び方法に関する。

インターネットを使用した詐欺の一種であるフィッシングは、通常、その送信元が合法且つ正当な組織乃至機関、例えば銀行その他の金融機関であるかのように装って電子メール（email message）を大量送信することによって行われる。フィッシング詐欺には、例えば、そうした電子メールによって受信者を偽物のウェブサイト乃至フォームに誘導し、その受信者を騙して個人情報乃至金融情報を窃取する、という手口がある。また、そうした情報を直に要求したりはしないが、そのメール中のあるＵＲＬ（Uniform Resource Locator:インターネット上の資源乃至文書に割り当てられておりウェブブラウザ上でこれを指定するとその資源乃至文書にアクセスできるアドレス）を入力乃至指定するとキーロガープログラムが受信者のマシンにダウンロードされるようにしておき、そのキーロガーによって受信者のマシンから情報を送信させ、この情報を獲得したフィッシング犯がその情報を用いて個人認証をパスし受信者等になりすます、という手口もある。

フィッシングにて多用されるアドレス詐称の手口としては、詐称したいアドレス中のある文字をその文字に対する類態文字（homographic character）、即ちその文字に外観がよく似た別の文字に置き換える、という手口がある。例えば、メール本文中には真正なメールアドレス「ZZZ@amazone.com」を記載しておき、その記載をそのアドレスとは別のよく似た外観のアドレス、例えば真正アドレス「ZZZ@amazone.com」中の文字「o」（オー）を文字「0」（ゼロ）に置き換えた偽アドレス「ZZZ@amaz0ne.com」に関連付けておく、という手口である。このように可能な限りアドレス外観を似せる手口の他、ＵＲＬの場合には、そのＵＲＬをグラフィカルなウェブページに隠しておくという手口も使用できる。即ち、画面上に表示されるＵＲＬをそのＵＲＬとは異なるＵＲＬに関連付けておく手口である。例えば、真正なＵＲＬ「http://www.amazone.com/profiles.asp」が記されている画像に、「プロフィール更新用リンクを辿って貴方のＡｍａｚｏｎｅプロフィールを更新して下さい」との指示を併記乃至付記しておき、更に、実際にその画像からのリンクを辿ると偽のＵＲＬ「http://www.amaz0ne.com/profiles.asp」、即ち真正なＵＲＬ「http://www.amazone.com/profiles.asp」中の文字「o」を文字「0」に置き換えた別のＵＲＬに係るサイトに行き着くようにする、といった具合である。

アドレス詐称の別の手口としては、アドレス中のＡＳＣＩＩ（American Standard Code for Informational Interchange）文字を、非ローマ字ベース言語で使用されるＵｎｉｃｏｄｅによる類態文字に置き換える、という手口がある。その例としては先般生じたＰａｙｐａｌ（登録商標；以下省略）ウェブサイトの事件がある。この事件においては、インターネットブラウザのアドレスバー上に偽ＵＲＬ「http://www.p&1072:ypal.com」をあたかもＰａｙｐａｌウェブサイトの正当且つ公式なＵＲＬであるかのように表示させていた。インターネットブラウザにはＵｎｉｃｏｄｅ読取能力があるので、この偽ＵＲＬをインターネットブラウザによりそのアドレスバー乃至アドレスフィールド上に表示させると「http://www.pаypal.com」になる。その外観は公式ＵＲＬ「http://www.paypal.com」とよく似ているが、表示される偽ＵＲＬ中の「pаy」の「а」はローマ字の「a」即ち英語の「ａ」ではなく、キリル文字即ち他言語の「а」である。

また、フィッシングには企業攻撃という側面もある。即ち、フィッシングが行われると狙われた企業の資源が浪費され流出する。それは、送信元企業を詐称したフィッシングメッセージの大量送信が何回も繰り返して行われるため、億万ものフィッシングメッセージがフィルタリングシステムを通過して電子メール配信をスローダウンさせ、貴重なサーバ処理時間を消費し、そして重要な金融データを漏出させる可能性があるからである。こうした問題に対する従来の対処策としては、送信者認証又は受信者認証を利用する手法が幾つか知られている。その中には、真正な送信元コンピュータアドレスのディレクトリを利用する策、ディジタル署名認証を行う策、個人画像を利用して送信者のアイデンティティを認証する策、個人識別カードを使用する策等がある。しかしながら、こうした対処策では、フィッシングメールを自動検知することも、また電子メール受信者に対するフィッシング攻撃を認識することもできない。

米国特許出願公開第２００５／０１４４４５１号明細書米国特許出願公開第２００６／００１５７２２号明細書米国特許出願公開第２００６／００３１３１９号明細書米国特許出願公開第２００６／００５３２０２号明細書米国特許出願公開第２００６／００５９１１１号明細書米国特許出願公開第２００６／００７５０２８号明細書米国特許出願公開第２００６／００８０７３５号明細書

本発明は、上述した課題を解決し上掲の従来技術における問題点を克服することをその目的とする。

本発明の一実施形態は、フィッシングを狙った電子メールを受信時に検知する方法である。本方法においては、受信した電子メールからソースコード、表示テキスト、並びにそのソースコードに含まれる全メール記載アドレスのリストを取得し、各メール記載アドレスに視覚的な文字正規化処理を施して変形アドレス候補を網羅的に求め正規化アドレスリストを生成し、生成した正規化アドレスリストからメール記載アドレスを除外して変形アドレスのリストを生成し、それに基づき比較試験を実施することにより受信した電子メールが出所を偽っているか否かを判別し、出所を偽っていると判明した電子メールについてはその電子メールの受信者に対しその旨通知する。

本発明の他の実施形態は、電子メールサーバ及び複数台のパーソナルコンピュータを含むネットワーク接続環境にてフィッシングを狙った電子メールを受信時に検知するシステムである。本システムにおいては、電子メールを受信したらその電子メールからソースコード、表示テキスト、並びにそのソースコードに含まれる全メール記載アドレスのリストを取得し、各メール記載アドレスに視覚的な文字正規化処理を施して変形アドレス候補を網羅的に求めメール記載アドレスに関連した正規化アドレスリストを生成し、生成した正規化アドレスリストからメール記載アドレスを除外して変形アドレスのリストを生成し、それに基づき比較試験を実施することにより受信した電子メールの不正性を判別し、出所贋造ありと判明した電子メールについてはその電子メールの受信者に対しその旨通知する。

本発明の更に他の実施形態は、コンピュータ可読媒体又はそれに格納されるコンピュータ可読なプログラムコードである。そのプログラムコードをコンピュータにより実行すると、フィッシングを狙った電子メールを受信時に検知するための一連のステップが実行される。それらのステップにおいては、受信した電子メールからソースコード、表示テキスト、並びにそのソースコードに含まれる全メール記載アドレスのリストを取得し、各メール記載アドレスに視覚的な文字正規化処理を施して変形アドレス候補を網羅的に求め正規化アドレスリストを生成し、生成した正規化アドレスリストからメール記載アドレスを除外して変形アドレスのリストを生成し、それに基づき比較試験を実施することにより受信した電子メールが出所を偽っているか否かを判別し、出所を偽っていると判明した電子メールについてはその電子メールの受信者に対しその旨通知する。

以下、本発明の好適な実施形態に関し、それらを示す別紙図面を参照しつつ詳細に説明する。これから行う実施形態説明を参照することによって、本件技術分野における習熟者（いわゆる当業者）であれば、本発明を詳しく理解し実施することができよう。また、ご理解頂けるように、本発明の技術的範囲から逸脱することなく論理上、機構的及び電気的な変形を施すことや、本発明を別の形態で実施することも可能である。従って、これらか説明する実施形態を以て本発明を限定解釈してはならない。

本発明に係るフィッシング検知及び通知方法及びシステムは、新規なフィッシング目的メッセージ識別手法を提供するものである。本方法及びシステムにおいては、まず、全ての受信電子メールをスキャンし、各電子メールのソースコード中に現れるアドレスを全て洗い出す。次いで、単純なブラックリスト比較やベイジアンモデルを用いたフィッシング目的メッセージ検知ではなく、企業の正当公式アドレスに非常に似通ったアドレスを識別する類似度比較を実行する。真正なアドレスに似ているだけで完全に一致していないアドレスは、その電子メールの受信者を詐欺に遭わせる危険性が高いものであるので、そのような危険が判明したらその電子メールの受信者に対しその旨通知する。

電子メール網をサポートする能力があり且つ本発明に係るフィッシング検知方法及びシステムを組み込むことができるディジタル環境は数多くある。本方法及びシステムの実施にどのようなディジタル環境が適しているかについては、以下の説明では簡潔且つ概略的な説明を示すにとどめる。また、以下の説明では、全体として、単独のコンピュータで実行可能な一群の命令例えばプログラムモジュールを想定した文脈で、本方法及びシステムを説明することとする（但しこの環境は必須ではない）。なお、プログラムモジュールとは、一般に特定のタスクを実行でき又は特定の抽象データタイプを実現できる種々のルーチン、プログラム、オブジェクト、コンポーネント、データ構造等々のことである。更に、いわゆる当業者であれば理解できるように、本方法及びシステムは、本願に明示していない様々な構成のコンピュータシステムにて実施することができる。本方法及びシステムを実施できる構成には、例えば各種携帯型装置、マルチプロセッサシステム、マイクロプロセッサベースの又はプログラマブルな民生用電子機器、ネットワークに接続されたパーソナルコンピュータ（ＰＣ）、ミニコンピュータ、メインフレームコンピュータ等がある。

本発明に係る方法及びシステムは、また、通信網を介し相互接続された複数台のリモート処理装置により一群のタスクを実行する分散型ディジタル環境においても、実施することができる。また、そうした分散型ディジタル環境においては、ローカルな記憶／記録装置上にあるプログラムモジュールでもまたリモートな記憶／記録装置上にあるプログラムモジュールでも、本発明に係る方法及びシステムを実施できる。

図１に、電子メールアドレス群を格納しそれをユーザインタフェース上に呼び出すことができるシステムの一例構成を模式的に示す。この図に示すコンピュータネットワークは複数台のコンピュータ１１０を有しており、各コンピュータ１１０には電子メールソフトウェアが搭載されている。電子メールソフトウェアを搭載してあるため、各コンピュータ１１０が相互にまたネットワーク間ゲートウェイを有する通信網１３０を介して電子メールを送受信することができる。本発明の実施形態に係るフィッシング検知方法及びシステムは、こうしたコンピュータネットワークにて実施される。また、図中の電子メールサーバ１２０は、通信網１３０を介し一群のユーザから電子メールを受信しまた一群のユーザに電子メールをルーティングする典型的な電子メールサーバであり、標準的な電子メールプロトコル及びネットワーク接続（例えばＳＭＴＰｏｖｅｒＴＣＰ／ＩＰ（Simple Mail Transfer Protocol over Transmission Control Protocol/Internet Protocol））を用いてサービスを提供する。また、ＬＤＡＰ（Lightweight Directory Access Protocol）サーバ１４０は、企業規模電子メールアドレス帳や付加機能を利用できるようにするサーバである。本発明の実施形態に係るフィッシング検知方法及びシステムは、コンピュータ１１０、電子メールサーバ１２０又はその双方にて実施する。

大抵のコンピュータ１１０はプロセッサ、ＲＡＭ（random access memory）、ＲＯＭ（read only memory）、何個かの記憶／格納装置及び電子メール機能を備えており、そのプロセッサは入力装置、出力装置及び通信回路と接続されている。ここで記憶／格納装置と称しているのは、例えばハードディスクドライブ、ＣＤ（compact disk）−ＲＯＭドライブ、ＤＶＤ（digital versatile disk;登録商標）ドライブ、フロッピー（登録商標）ディスクドライブ等のことである。また、出力装置の一例は表示装置、例えばコンピュータ１１０のユーザが見ることができるよう情報を表示するモニタである。入力装置の一例はキーボードやマウス等のポインティングデバイスであり、そのコンピュータ１１０のＯＳ（operating system）が提供するＧＵＩ（graphical user interface）に従い画面上でポインタを制御すること等に使用される。

図１に示すコンピュータ１１０は相互に接続されており、相互にまた通信網１３０を介し通信することができる。例えば、コンピュータ１１０にモデム及び対応する通信ドライバを搭載しておき、いわゆるダイアルアップ接続によってインターネットに接続する形態を採ることができる。また、これらのコンピュータ１１０をＬＡＮ（local area network）によって相互接続することもできる。更に、ＬＡＮをいわゆる直接接続によってインターネットに接続しておき、Ｅｔｈｅｒｎｅｔ（登録商標）カード又はそれに類するハードウェアが搭載されているコンピュータ１１０をそのＬＡＮに接続する形態も採ることができる。そして、ケーブルモデムや衛星経由インターネット接続によって、コンピュータ１１０をインターネットに接続することも可能である。

このように、コンピュータ１１０を通信網１３０に接続しまたコンピュータ１１０同士を接続するネットワーク形態は多々あり、本発明に係る方法及びシステムの実施環境は特定のネットワーク形態に限定されるものではない。通信網１３０への接続に使用できる代表的なインタフェースにも、汎用システム例えばＰＯＴＳ（Plain-Old Telephone Systems）及びＩＳＤＮ（Integrated Services Digital Network）や、専用システム例えばＬＡＮ及びＷＡＮ（wide area network）があり、またそうしたネットワーク接続環境を単一のオフィス内、企業規模コンピュータ網内、イントラネット内及びインターネット内で併存させ併用することができる。いわゆる当業者であれば理解できるように、本発明に係る方法及びシステムの概念は、本発明の技術的範囲及び特許請求の範囲から逸脱することなく原理的にはどのようなネットワーク形態にも適用することができる。

電子メールサーバ１２０は、通信網１３０からネットワーク間ゲートウェイを介して送られてくる電子メールを受信し、その電子メールをその電子メールで指定されている受信者へとルーティングする。

次に、本発明の一実施形態に係るシステムにより実行されるフィッシング目的メッセージ検知方法を構成する一連の手順について、一群のフローチャートを参照して説明する。それらのフローチャートに示されている手順は、コンピュータに対する一群の命令からなるコンピュータプログラムによって、実施することができる。いわゆる当業者であれば、フローチャートを参照しつつ行う以下の説明に基づき、本方法をコンピュータシステム上で実行するための一群の命令からなるソフトウェアプログラムを、開発することができる。そのプログラムの記述には、例えばフォートランのようなプロセス記述言語やＣ＋＋のようなオブジェクト指向言語等の言語を使用することができる。いわゆる当業者であれば理解できるように、本発明の技術的範囲から逸脱することなく、それらのステップを変形し又は組み合わせることが可能である。

図２に、本発明の一実施形態に係りネットワーク接続環境にて実施されるフィッシング目的メッセージ検知方法を示す。本方法においては、電子メールを受信したら（２１０）そのソースコードを取得し（２１５）、その電子メールのユーザ向け表示テキスト即ちその電子メールのコンテンツのうちテキストの部分を取得し（２２０）、更にその電子メールのソースコードから全メール記載アドレスのリストを取得する（２２５）。メール記載アドレスは、例えば電子メール中の「Return-Path:...」等の部分や、「<A href=...>」等のＨＴＭＬタグ中のＵＲＬ参照部分や、或いは単純にその電子メールのプレーンテキスト部分中の「<...>」内の部分から、取得することができる。本方法においては、このリストに含まれる各メール記載アドレスに対し（２３０）、図３を参照してより詳細に後述する視覚的な文字正規化（visual character normalization）処理を施すことによって、メール記載アドレス毎にそのメール記載アドレスから派生しうる全てのアドレス構成即ち全ての変形アドレス候補を求め、それらに基づき正規化アドレスリストを生成する（２３５）。本方法においては、更に、正規化アドレスリストからメール記載アドレスを除外することによって変形アドレスのリストを生成する（２４０）。

本方法においては、リスト中の各変形アドレスに基づき（２４５）、図４〜図７を参照してより詳細に後述する比較試験（comparison test）を実行することにより、その変形アドレスが受信電子メールの不正性を示しているか否かを判別し（２５０）、もし不正性が判明すればユーザにメッセージを送って、その電子メールに詐欺の疑いがあるので応答すべきでないと警告する（２７０）。逆に、その変形アドレスに基づく比較試験で不正性が発見されなければ、リスト中の次の変形アドレスを比較試験に供する（２５５）。全ての変形アドレスについて比較試験により不正性が発見されなかったら、ソースコードから取得した次のメール記載アドレスについて（２６０）ステップ２３０以降の正規化及び比較試験を実行する。この手順を通じ不正なメール記載アドレスが発見されなかった電子メールについては、その電子メールが真正であり受け入れうることをユーザに通知する（２６５）。

図３に、本実施形態に係るフィッシング目的メッセージ識別方法にて実行される正規化手順をフローチャートにより示す。本手順においては、まず、受信した電子メール中の各メール記載アドレスから（３１０）アドレスコアを抽出する（３１５）。通常の電子メールアドレスは「受信者名」@「ドメイン名」形式を採っており、例えばドメイン「xyz.com」に属するＸ氏の電子メールアドレスは「MrX@xyz.com」になる。また、本願では電子メールアドレスやＵＲＬの末尾に位置する拡張子のことをサフィックス、ＵＲＬ等の冒頭に位置する「www」等の部分をプレフィクスと呼んでいる。本願でいうところのアドレスコアとは、電子メールアドレスであればドメイン名のうちサフィックスより左側にある部分のことであり、ＵＲＬであればプレフィクスとサフィックスとの間にある部分のことである。従って、受信した電子メールに電子メールアドレス「MrX@xyz.com」が記載されている場合、そのメール記載アドレスから抽出されるアドレスコアは「xyz」になり、また受信した電子メールにＵＲＬ「http://www.xyz.com」が記載されている場合、そのメール記載アドレスから抽出されるアドレスコアも「xyz」になる。本手順においては、次いで、視覚的な文字正規化処理を施すことによって、各アドレスコアから派生しうるあらゆる構成のアドレスコア即ち類似アドレスコアのリストを生成する（３２０）。このリストの生成は、例えば単純な視覚的文字正規化処理、即ちＡＳＣＩＩ文字かＵｎｉｃｏｄｅ文字かを問わずあらゆる文字をその文字に対する類態語（visual homonym）に置換することよって行うことができる。類態語とは、その文字と外見的によく似ている別の文字即ち類態文字を含む語のことである。こうした単純な視覚的文字正規化処理を実施するには、予め変換則乃至書換則を定めておいて、それをその文字に適用すればよい。ＡＳＣＩＩ文字に対する変換則は、例えば次の式
［数１］
「1」（ＡＳＣＩＩコード４９）対「l」（ＡＳＣＩＩコード１０８）の相互変換
「|」（ＡＳＣＩＩコード１２４）対「l」（ＡＳＣＩＩコード１０８）の相互変換
「0」（ＡＳＣＩＩコード４８）対「o」（ＡＳＣＩＩコード１１１）の相互変換
……
で表される変換則となる。

また、Ｕｎｉｃｏｄｅ文字に対しては、そのうちＡＳＣＩＩ文字に似たものを対応するＡＳＣＩＩ文字に変換して類態語を導出する変換則乃至書換則を適用すればよい。Ｕｎｉｃｏｄｅ文字に対する変換則は、例えば次の式
［数２］
Ｕｎｉｃｏｄｅキリル文字「а」（Ｕ０４３０）及びラテン文字「a」（Ｕ００６１）をＡＳＣＩＩ文字「a」に変換
Ｕｎｉｃｏｄｅキリル文字「е」（Ｕ０４３５）及びラテン文字「e」（Ｕ００６５）をＡＳＣＩＩ文字「e」に変換
Ｕｎｉｃｏｄｅギリシャ文字「α」（Ｕ０３Ｂ１）及びラテン文字「a」（Ｕ００６１）をＡＳＣＩＩ文字「a」に変換
……
で表される変換則となる。

本手順においては、リスト中の各類似アドレスコアに対し（３２５）各種手法を適用して更に別の構成のアドレスコアを導出する。例えば、各文字を重複させる文字重複型再正規化処理を（３３５）１文字ずつ（３３０）アドレスコアに施し、文字重複版アドレスコアリストを生成することができる（３３５）。即ち、例えば元の類似アドレスコア中の「1」を「11」に、「a」を「aa」に、という具合に置き換えて新たなアドレスコアを生成し、その新たなアドレスコアを文字重複版アドレスコアリストに加えていく。この文字重複型再正規化処理は、１文字分が終わったら次の文字を選択して再度実行する（３６０）、というようにその類似アドレスコア内の全ての文字を対象に繰り返し実行し、またリスト中のある類似アドレスコアについて実行し終えたら次の類似アドレスコアを選択して再度実行する（３３０）、というようにリスト中の全ての類似アドレスコアを対象に繰り返し実行する。同様に、類似アドレスコアに含まれる複数個の文字の連鎖を単発の文字に置き換えることによって新たなアドレスコアを生成し、その新たなアドレスコアを文字数削減版アドレスコアリストに加えていく文字数削減型正規化処理を実行することもできる（３４０）。即ち、例えば元の類似アドレスコア中の「11」を「1」に、「aa」を「a」に、という具合に置き換えて新たなアドレスコアを生成し、その新たなアドレスコアを文字数削減版アドレスコアリストに加えていく。この文字数削減型再正規化処理は、類似アドレスコア又はそれに基づき生成した新たなアドレスコア内に別の文字連鎖の存在が認められる限り繰り返し実行し（３６０）、また類似アドレスコアリスト内の全ての類似アドレスコアを対象に文字連鎖がなくなるまで繰り返し実行する（３３０）。

本手順では、複数形その他の語頭・語幹・語尾変化を表す文字乃至文字群が類似アドレスコアの末尾等についていない場合にその文字乃至文字群を同類似アドレスコアの末尾等に追加し、ついている場合に削除する単複変換型正規化処理を実行して新たなアドレスコアを生成し、その新たなアドレスコアにより単複変換版アドレスコアリストを生成する処理を（３４５）、リスト中の各類似アドレスコアについて、実行することができる（３２５）。例えば、類似アドレスコア「xyz」にこの処理を施すことによって新たなアドレスコア「xyzs」が生成される。本手順では、更に、区切り文字を除去し、それによって生成した新たなアドレスコアにより区切り文字削除版アドレスコアリストを生成する区切り文字正規化処理を（３５５）、類似アドレスコアリスト中の各類似アドレスコアの全ての区切り文字（ピリオド、カンマ、疑問符、感嘆符、アンド、コロン、セミコロン等）について実行することができる（３５０）。例えば、類似アドレスコア「xy.z」にこの処理を施すことによって新たなアドレスコア「xyz」が生成される。本手順では、新たなアドレスコアによるリストを生成した後、生成したリスト、例えば文字重複版アドレスコアリスト、文字数削減版アドレスコアリスト、単複変換版アドレスコアリスト及び区切り文字削除版アドレスコアリストを類似アドレスコアのリストと結合させ、重複するものを除外することによって合成版アドレスコアリストを生成し（３６５）、生成した合成版アドレスコアリスト中の各アドレスコアを従前のプレフィクス及びサフィックスと再結合させることにより再結合アドレスのリストを生成する（３７０）。例えばアドレスコア「xyzs」に従前のプレフィクス「MrX」及び従前のサフィックス「com」を再結合させると再結合アドレス「MrX@xyzs.com」になる。本手順では、更に、こうした再結合アドレス中のサフィックスを他種サフィックスに置き換えたサフィックス置換版アドレスの網羅的なリストを生成する（３７５）。例えば、サフィックス「com」をサフィックス「net」に、サフィックス「com」をサフィックス「org」に、といった具合に可能な限り全てのサフィックスに置き換えて、多くのサフィックス置換版アドレスを生成する。そして、生成したサフィックス置換版アドレスのリストを再結合アドレスのリストと統合して正規化アドレスリストを生成する（３８０）。

図４に、本実施形態に係るフィッシング検知方法にて実行される比較試験手順の概略を示す。本手順においては、電子メールのソースコード中のメール記載アドレスに基づき生成された変形アドレス及び正規化アドレス並びに電子メール内表示テキストを入力し（４１０）、図５を参照してより詳細に後述するテキスト比較試験を実行することによりメール記載アドレスの不正性を識別する（４２０）。メール記載アドレスの不正性が判明した電子メールについては、ユーザに警告メッセージを返送してその電子メール及びメール記載アドレスに詐欺の疑いがあることを通知する（４５０）。テキスト比較試験ではメール記載アドレスに不正性が認められなかった電子メールについては、図６を参照してより詳細に後述するホワイトリスト比較試験を実行することによりメール記載アドレスの不正性を識別し（４３０）、該当する場合は上記と同じくユーザに対して詐欺の疑いを通知する（４５０）。テキスト比較試験及びホワイトリスト比較試験にてメール記載アドレスの不正性が認められなかった電子メールについては、図７を参照してより詳細に後述する検索エンジン試験を実行することによりメール記載アドレスの不正性を識別し（４４０）、該当する場合は上記と同じくユーザに対しその電子メール及びメール記載アドレスについての詐欺の疑いを通知する（４５０）。これらの試験にて一貫してメール記載アドレスが真正であると認められた電子メールについては、真正であり受け入れられると通知する（４６０）。なお、説明の都合上、図示の種類の比較試験を図示の順序でシーケンシャルに実行するように図示したが、ご理解頂けるように、どのような種類の比較試験を併用するか、どのように併用するか、どのような順序乃至論理で実行するか等は、様々に設定することができる。

図５に、テキスト比較試験手順をフローチャートにより示す。本手順においては、リスト中の変形アドレス及び受信者向け表示テキストを入力し（５１０）、その変形アドレスのアドレスコアを抽出する一方（５２０）、その受信者向け表示テキストをトークン化即ち断片化して一群のトークンを生成する（５３０）。更に、それらトークンそれぞれについて（５４０）、そのトークンが抽出済のアドレスコアとマッチするか否かを判別する（５５０）。マッチしている場合、そのトークン中に含まれるアドレスは不正なアドレスであるので、ユーザに対しその電子メールに詐欺の疑いがある旨を通知する（５８０）。マッチしていない場合、そのトークン中に含まれるアドレスが真正である可能性が残っているので一群のトークンのうち別のトークンを試験に供する（５６０）。

ここに、変形アドレスリストに含まれるアドレスは、電子メールのソースコードから抽出されたメール記載アドレスを正規化することによって生成したアドレスである。例えばソースコードに「Account.Security@XY0Z.com」「http://www.XY0Z.com」といったアドレスが含まれている場合、それらに正規化を適用することによって得られる変形アドレスの中には、そのメール記載アドレス中の「0」（ＡＳＣＩＩコード４８の文字即ちゼロ）が「O」（ＡＳＣＩＩコード７９の文字即ちオー）に置き換わったアドレス「Account.Security@XYOZ.com」「http://www.XYOZ.com」が含まれることになる。他方で、受信者向け表示テキスト中に「For security reasons, please change your login parameters for your XYOZ account:http://www.XYOZ.com」（セキュリティに問題がありますので、ＸＹＯＺサイト（http://www.XYOZ.com）の貴アカウントにログインするためのログインパラメタを変更して下さい）なるテキストが含まれている場合、それをトークン化すると一群のトークン「For」、「security」、「reasons」、「please」、「change」、「your」、「login」、「parameters」、「for」、「your」、「XYOZ」、「account」及び「http://www.XYOZ.com」のリストが得られる。次いで、このトークンのリストを、リスト中の変形アドレスから抽出済のアドレスコアと比較すると、受信者向け表示テキストから得られたトークンのうち「XYOZ」と、リスト中の変形アドレスのうち「Account.Security@XYOZ.com」又は「http://www.XYOZ.com」から抽出されたアドレスコア「XYOZ」とが、マッチすることになる。これは、ユーザに対して表示されるアドレス「http://www.XYOZ.com」と異なるアドレス「http://www.XY0Z.com」を用いてソースコードが記述されているということであるので、その電子メールは、真正な「http://www.XYOZ.com」を詐称して偽アドレス「http://www.XY0Z.com」にユーザを誘導する詐欺メールである可能性がある。そこで、ユーザに対しその旨警告する（５８０）。逆に、不正な可能性ありと識別されたメール記載アドレスを含まない電子メールはホワイトリスト比較試験に供される（５７０）。

図６に、ホワイトリスト比較試験手順をフローチャートにより示す。まず、フィッシングを狙って送信される電子メールのソースコードには、偽ウェブサイトに誘導するアドレスが含まれている可能性がある。従って、電子メールのソースコードに含まれているアドレス即ちメール記載アドレスに対して所定の変形即ち正規化を施すことによって、ある企業の公式ウェブサイトのアドレスが得られるのであれば、その電子メールがフィッシング狙いのメールである可能性がある。そこで、本手順においては、受信した電子メール中のアドレスに基づき生成されリスト化された変形アドレスと、フィッシングメールが詐称するであろう企業名乃至ウェブサイトアドレス（例えば銀行、電子商店等の名称乃至ウェブサイトアドレス）についてのホワイトリストとを入力し（６１０）、ホワイトリスト内項目（アドレス乃至企業名）毎に（６２０）比較を行いその変形アドレスがホワイトリストに含まれているか否かを判別する（６３０）。含まれていればその変形アドレスに対応するメール記載アドレスは正当でないと見なせるので、ユーザに対しメッセージを返送しその電子メールに詐欺メールの疑いがあると警告する（６６０）。逆に、そのホワイトリスト内項目がどの変形アドレスともマッチしていない場合、その変形アドレスに対応するメール記載アドレスには正当なアドレスである可能性があるので、次のホワイトリスト内項目を試験に供する（６４０）。不正なアドレスと識別されたアドレスを含まない電子メールは、その後、検索エンジン試験の対象とされる（６５０）。

図７に、検索エンジン試験（キーワード検索比較試験）手順をフローチャートにより示す。本手順においては、リスト化されている変形アドレス及び正規化アドレスリスト内アドレスを用いる（７１０）。即ち、まず正規化アドレスリスト内アドレスをキーワードとして用いてインターネット検索エンジンによるキーワード検索を実行し（７２０）、そのキーワード検索によりその正規化アドレスリスト内アドレスに該当する項目が発見された場合は、ユーザに対しメッセージを送り、その電子メールがフィッシング狙いである可能性があると警告し（７８０）、発見されなかった場合は、変形アドレスのアドレスコア及び正規化アドレスリスト内アドレスのアドレスコアを取得する（７３０）。その場合は更に、その変形アドレスのアドレスコアをキーワードとして用い検索エンジン例えばＧｏｏｇｌｅ（登録商標）によるインターネット検索を実行して発見項目数を求め（７４０）、また正規化アドレスリスト内アドレスのアドレスコアをキーワードとして用いて同様のインターネット検索を実行し発見項目数を求める（７５０）。そして、発見項目数同士を比較することによって、正規化アドレスリスト内アドレスのアドレスコアについての発見項目総数が変形アドレスのアドレスコアについての発見項目総数を上回ったか否かを判別する（７６０）。上回っている場合、そのアドレスに不正性があると判断してユーザにメッセージを回付し、その電子メールに詐欺の疑いがある旨警告する（７８０）。上回っていない場合、そのアドレスに不正性がないと判断してユーザにメッセージを回付し、その電子メールは真正であるので受け入れうると通知する（７７０）。

フィッシング目的電子メール検知を実施可能なシステムを示すブロック図である。本発明の一実施形態に係るフィッシング検知方法を示すフローチャートである。図２に示した方法における正規化手順を示すフローチャートである。図２に示した方法における比較試験概略手順を示すフローチャートである。図４に示した比較試験におけるテキスト比較試験手順を示すフローチャートである。図４に示した比較試験におけるホワイトリスト比較試験手順を示すフローチャートである。図４に示した比較試験における検索エンジン試験（キーワード検索比較試験）手順を示すフローチャートである。

符号の説明

１１０コンピュータ、１２０電子メールサーバ、２１０電子メール受信、２１５ソースコード取得、２２０受信者向けテキスト取得、２２５メール記載アドレスリスト生成、２３５正規化アドレスリスト生成、２４０変形アドレスリスト生成、２５０比較試験、２６５，４６０真正判定及び通知、２７０，４５０対ユーザ詐欺警告、３１５アドレスコア抽出、３２０類似アドレスコアリスト生成、３３５文字重複版アドレスコアリスト生成、３４０文字数削減版アドレスコアリスト生成、３４５単複変換版アドレスコアリスト生成、３５５区切り文字削除版アドレスコアリスト生成、３６５合成版アドレスコアリスト生成、３７０再結合アドレスリスト生成、３７５サフィックス置換版アドレスリスト生成、３８０サフィックス置換版アドレスリスト再結合アドレスリスト統合、４２０テキスト比較試験、４３０ホワイトリスト比較試験、４４０検索エンジン試験。

Claims

電子メールサーバ及び複数台のパーソナルコンピュータを含むネットワーク接続環境にてフィッシングを狙った電子メールを受信時に検知する方法であって、
アドレスが記載されている電子メールを受信するステップと、
受信した電子メールのソースコードを取得するステップと、
その電子メールの受信者向け表示テキストを取得するステップと、
取得したソースコードから全てのメール記載アドレスを取得しリスト化するステップと、
各メール記載アドレスに視覚的な文字正規化処理を施すことにより網羅的に変形アドレス候補を求め正規化アドレスリストを生成するステップと、
生成した正規化アドレスリストからメール記載アドレスを除外して変形アドレスからなるリストを生成するステップと、
受信した電子メールの不正性を判別するため変形アドレスに基づく比較試験を実行するステップと、
その比較試験により不正性が判明したときに、受信した電子メールに詐欺メールの疑いがあることを知らせるメッセージを受信者に送るステップと、
ある変形アドレスに基づく比較試験により不正性が判明しなかったときに、他の変形アドレスについてもその比較試験を実施するステップと、
全変形アドレスについて比較試験を行っても不正性が判明しなかったときに、受信した電子メールが真正であり受け入れうることを受信者に知らせるステップと、
を有し、
上記比較試験は、少なくともテキスト比較試験を含み、上記テキスト比較試験では、
上記受信者向け表示テキストと、上記変形アドレスからなるリスト内の変形アドレスのうちの少なくとも１つと、を受け取り、
受け取った上記少なくとも１つの変形アドレスからアドレスコアを抽出し、
上記受信者向け表示テキストを一組のトークンへと断片化し、
上記各トークンが上記抽出されたアドレスコアに一致するかどうかを判定し、
上記トークンのうちのいずれか１つでも上記抽出されたアドレスコアに一致した場合には、上記受信した電子メールに不正性があると判定する、
ことを特徴とする方法。
電子メールサーバ及び複数台のパーソナルコンピュータを含むネットワーク接続環境にてフィッシングを狙った電子メールを受信時に検知する方法であって、
アドレスが記載されている電子メールを受信するステップと、
受信した電子メールのソースコードを取得するステップと、
その電子メールの受信者向け表示テキストを取得するステップと、
取得したソースコードから全てのメール記載アドレスを取得しリスト化するステップと、
各メール記載アドレスに視覚的な文字正規化処理を施すことにより網羅的に変形アドレス候補を求め正規化アドレスリストを生成するステップと、
生成した正規化アドレスリストからメール記載アドレスを除外して変形アドレスからなるリストを生成するステップと、
受信した電子メールの不正性を判別するため変形アドレスに基づく比較試験を実行するステップと、
その比較試験により不正性が判明したときに、受信した電子メールに詐欺メールの疑いがあることを知らせるメッセージを受信者に送るステップと、
ある変形アドレスに基づく比較試験により不正性が判明しなかったときに、他の変形アドレスについてもその比較試験を実施するステップと、
全変形アドレスについて比較試験を行っても不正性が判明しなかったときに、受信した電子メールが真正であり受け入れうることを受信者に知らせるステップと、
を有し、
上記正規化アドレスリスト生成ステップが、
メール記載アドレスからアドレスコアを抽出するステップと、
抽出したアドレスコア内の各文字をその文字によく似た外観を有する類態文字を含む類態語に置換して類似アドレスコアのリストを生成するステップと、
文字重複型正規化、文字数削減型正規化、単複変換型正規化及び区切り文字正規化のうちの少なくとも一種類の処理を含む文字再正規化処理を各類似アドレスコアに施すステップと、
文字再正規化処理種類毎に新規アドレスコアのリストを生成するステップと、
類似アドレスコアのリストと新規アドレスコアのリストを統合し重複するものを除外することにより合成アドレスコアリストを生成するステップと、
メール記載アドレス中のプレフィクス及びサフィックスを合成アドレスコアリスト内のアドレスコアと再結合させることにより再結合アドレスを生成しリスト化するステップと、
各再結合アドレスのサフィックスをサフィックス候補と置き換えてサフィックス置換版アドレスの網羅的なリストを生成するステップと、
サフィックス置換版アドレスのリストと再結合アドレスのリストを統合して正規化アドレスリストを生成するステップと、
を含む方法。
電子メールサーバ及び複数台のパーソナルコンピュータを含むネットワーク接続環境にてフィッシングを狙った電子メールを受信時に検知するシステムであって、
アドレスが記載されている電子メールを受信する手段と、
受信した電子メールのソースコードを取得する手段と、
その電子メールの受信者向け表示テキストを取得する手段と、
取得したソースコードから全てのメール記載アドレスを取得しリスト化する手段と、
各メール記載アドレスに視覚的な文字正規化処理を施すことにより網羅的に変形アドレス候補を求め正規化アドレスリストを生成する手段と、
生成した正規化アドレスリストからメール記載アドレスを除外して変形アドレスからなるリストを生成する手段と、
受信した電子メールの不正性を判別するため変形アドレスに基づく比較試験を実行する手段と、
その比較試験により不正性が判明したときに、受信した電子メールに詐欺メールの疑いがあることを知らせるメッセージを受信者に送る手段と、
ある変形アドレスに基づく比較試験により不正性が判明しなかったときに、他の変形アドレスについてもその比較試験を実施する手段と、
全変形アドレスについて比較試験を行っても不正性が判明しなかったときに、受信した電子メールが真正であり受け入れうることを受信者に知らせる手段と、
を有し、
上記比較試験を実行する手段が、少なくともテキスト比較試験を実行し、上記テキスト比較試験では、
上記受信者向け表示テキストと、上記変形アドレスからなるリスト内の変形アドレスのうちの少なくとも１つと、を受け取り、
受け取った上記少なくとも１つの変形アドレスからアドレスコアを抽出し、
上記受信者向け表示テキストを一組のトークンへと断片化し、
上記各トークンが上記抽出されたアドレスコアに一致するかどうかを判定し、
上記トークンのうちのいずれか１つでも上記抽出されたアドレスコアに一致した場合には、上記受信した電子メールに不正性があると判定する、
ことを特徴とするシステム。
電子メールサーバ及び複数台のパーソナルコンピュータを含むネットワーク接続環境にてフィッシングを狙った電子メールを受信時に検知するシステムであって、
アドレスが記載されている電子メールを受信する手段と、
受信した電子メールのソースコードを取得する手段と、
その電子メールの受信者向け表示テキストを取得する手段と、
取得したソースコードから全てのメール記載アドレスを取得しリスト化する手段と、
各メール記載アドレスに視覚的な文字正規化処理を施すことにより網羅的に変形アドレス候補を求め正規化アドレスリストを生成する手段と、
生成した正規化アドレスリストからメール記載アドレスを除外して変形アドレスからなるリストを生成する手段と、
受信した電子メールの不正性を判別するため変形アドレスに基づく比較試験を実行する手段と、
その比較試験により不正性が判明したときに、受信した電子メールに詐欺メールの疑いがあることを知らせるメッセージを受信者に送る手段と、
ある変形アドレスに基づく比較試験により不正性が判明しなかったときに、他の変形アドレスについてもその比較試験を実施する手段と、
全変形アドレスについて比較試験を行っても不正性が判明しなかったときに、受信した電子メールが真正であり受け入れうることを受信者に知らせる手段と、
を有し、
上記正規化アドレスリストを生成する手段が、
メール記載アドレスからアドレスコアを抽出するステップと、
抽出したアドレスコア内の各文字をその文字によく似た外観を有する類態文字を含む類態語に置換して類似アドレスコアのリストを生成するステップと、
文字重複型正規化、文字数削減型正規化、単複変換型正規化及び区切り文字正規化のうちの少なくとも一種類の処理を含む文字再正規化処理を各類似アドレスコアに施すステップと、
文字再正規化処理種類毎に新規アドレスコアのリストを生成するステップと、
類似アドレスコアのリストと新規アドレスコアのリストを統合し重複するものを除外することにより合成アドレスコアリストを生成するステップと、
メール記載アドレス中のプレフィクス及びサフィックスを合成アドレスコアリスト内のアドレスコアと再結合させることにより再結合アドレスを生成しリスト化するステップと、
各再結合アドレスのサフィックスをサフィックス候補と置き換えてサフィックス置換版アドレスの網羅的なリストを生成するステップと、
サフィックス置換版アドレスのリストと再結合アドレスのリストを統合して正規化アドレスリストを生成するステップと、
を実行する、
ことを特徴とするシステム。