JP5165670B2 - 不正利用判定サーバ及び方法 - Google Patents

Description

本発明は、所定のサービスにおける不正利用判定サーバ及び方法に関する。

従来、インターネット上では、ユーザ認証により不特定多数のユーザが利用可能な様々なサービスが提供されている。このようなサービスへログインする際には、サービスを提供する、例えば、サービス提供サーバが各ユーザに固有のＩＤとパスワードとによる本人認証を行うことが多い。本人認証により、サービス提供サーバは、例えば、各ユーザ用にカスタマイズされたサービスを提供する。サービスとは、あるコンピュータ（サービス提供サーバ）から通信ネットワークを介して他のコンピュータ（ユーザ端末）に提供される機能をいう。このような中で、インターネットを介してユーザ（顧客）に対してサービスを提供するために設定された複数のウェブサーバを巡回してログを収集してログデータベースを作成するジャーナル管理サーバが開示されている（例えば、特許文献１）。

特許文献１に記載のジャーナル管理サーバは、ログデータベースに蓄積されたログデータから、ユーザの行動履歴を抽出して分析用データベースを作成する。ジャーナル管理サーバは、分析用データベースを用いてどのような操作をしたかをトレースし、不正な操作に対する摘発をする。

特開２００２−４１４５６号公報

特許文献１に記載のジャーナル管理サーバは、操作の都度取得される大量の、しかも様々なデータを顧客の行動履歴として抽出する。そして、この大量かつ様々なデータを分析するには、高度な技術が必要になる。

他方、インターネットを介したサービスは、不特定多数のユーザが利用する。不特定多数のユーザが利用するインターネットを介したサービスに、特許文献１に記載のジャーナル管理サーバを利用するのは容易ではない。しかも、不正利用に対する監視は、サービス提供側にとって重要な課題である。

本発明は、不正利用に対する監視を容易に実現可能な不正利用判定サーバ及び方法を提供することを目的とする。

本発明者らは、ユーザ端末の操作によって取得できる特定の履歴に着目して、その履歴の傾向によって不正利用を判定する方法を見出し、本発明を完成するに至った。本発明は、具体的には次のようなものを提供する。

（１） ユーザＩＤを含む所定のサービスのログアウト要求を受信したことに応じて、前記ユーザＩＤに対応付けてログアウト履歴を記憶するログアウト履歴記憶手段と、
前記所定のサービスに対するアクセス要求を受信したことに応じて、アクセス履歴を前記ユーザＩＤに対応付けて記憶するアクセス履歴記憶手段と、
前記ユーザＩＤを含む所定のサービスへのログイン要求を受信したことに応じて、前記ユーザＩＤに対応付けてログイン履歴を記憶する手段と、
前記ユーザＩＤを含む前記所定のサービスへのログイン要求を受信したことに応じて、前記ログイン履歴及び前記ログアウト履歴を参照して、受信したログイン要求に関係する直近の履歴がログイン履歴かログアウト履歴かによって直近のログアウト履歴が存在するか否かを判定し、直近のログアウト履歴が存在しない場合には、前記アクセス履歴記憶手段が記憶した前記アクセス履歴のうち前記ログイン要求に係るユーザＩＤに対応付けて直前に記憶された前記アクセス履歴を直近のログアウト履歴とみなして補完するログアウト履歴補完手段と、
前記ログアウト履歴記憶手段が記憶した前記ログアウト履歴及び前記ログアウト履歴補完手段により前記ログアウト履歴とみなされた前記アクセス履歴に基づき、前記所定のサービスの不正利用をしているか否かを判定する不正利用判定手段と、
前記不正利用判定手段による判定結果を出力する判定結果出力手段と、
を備える、
不正利用判定サーバ。

本発明のこのような構成によれば、ログイン要求を受信したことに応じて、直近のログアウト履歴の存在有無を判定し、直近のログアウト履歴が存在しない場合には、アクセス履歴を用いて直近のログアウト履歴を補完する。よって、ログアウト履歴が存在しない場合であっても、ユーザ端末での操作（アクセス）によって蓄積されるアクセス履歴を用いて、ログアウト履歴を補完することができる。そして、ログアウト履歴を補完することで、ログアウト履歴に基づいて所定のサービスの不正利用をしているか否かを判定して判定結果を出力するので、シンプルな履歴情報であるログアウト履歴に基づいて、ログイン時に不正利用をしているか否かを判定できる。例えば、通常ではログアウト処理を行っているユーザがＷｅｂブラウザを終了することによる強制終了をした場合等、ログアウト履歴が補完されたものであるか否かにより不正利用を判定できる。なお、当該アクセス履歴は、ログインの際のアクセス要求によるものも含まれるので、ログインのみを行い、その後何もしていない場合には、そのログインの際のアクセス履歴を直近のログアウト履歴とみなすことができる。

（２） 前記不正利用判定手段は、前記ログイン要求に含まれる前記ユーザＩＤと同一のユーザＩＤに対応付けて記憶された前記直近のログアウト履歴と、前記ログイン要求により記憶されるログイン履歴との関係に基づいて、前記所定のサービスの不正利用をしているか否かを判定する、
（１）に記載の不正利用判定サーバ。

本発明のこのような構成によれば、ログイン要求に含まれるユーザＩＤと同一のユーザＩＤに対応付けられた直近のログアウト履歴と、ログイン履歴との関係に基づいて、不正利用をしているか否かを判定できる。例えば、ログアウトとログインとの各々の時間や、ログアウトからログインまでの時間間隔等の傾向を分析し、通常と異なる傾向を示した場合に、不正利用と判定できる。

（３） 前記ログアウト要求は、前記ログアウト要求を送信した端末を特定する端末ＩＤを含み、
前記ログアウト履歴記憶手段は、前記端末ＩＤを含んで前記ログアウト履歴を記憶し、
前記ログイン要求は、前記ログイン要求を送信した端末を特定する端末ＩＤを含み、
前記不正利用判定手段は、前記ログイン要求に含まれる前記端末ＩＤと同一の端末ＩＤを含んで記憶された所定の時間内での前記ログアウト履歴と、前記ログイン要求により記憶されるログイン履歴との頻度に基づいて、前記所定のサービスの不正利用をしているか否かを判定する、
（１）又は（２）に記載の不正利用判定サーバ。

本発明のこのような構成によれば、ログアウト履歴とログイン履歴とに端末ＩＤを含むので、同一の端末ＩＤの所定の時間内でのログアウト履歴とログイン履歴との頻度に基づいて、不正利用をしているか否かを判定できる。例えば、同一の端末ＩＤを用いたログアウトとログインとの頻度が高いと、コンピュータを用いた自動ログインを行っていると推認して、不正利用と判定できる。

（４） 前記ログアウト要求は、前記ログアウト要求を送信した端末の位置を特定する位置情報を含み、
前記ログアウト履歴記憶手段は、前記位置情報を含んで前記ログアウト履歴を記憶し、
前記ログイン要求は、前記ログイン要求を送信した端末の位置を特定する位置情報を含み、
前記不正利用判定手段は、前記ログイン要求に含まれる前記位置情報と同一の位置情報を含んで記憶された所定の時間内での前記ログアウト履歴と、前記ログイン要求により記録されるログイン履歴との頻度に基づいて、前記所定のサービスの不正利用をしているか否かを判定する、
（１）又は（２）に記載の不正利用判定サーバ。

本発明のこのような構成によれば、ログアウト履歴とログイン履歴とに位置情報を含むので、同一の位置情報の所定の時間内でのログアウト履歴とログイン履歴との頻度に基づいて、不正利用をしているか否かを判定できる。例えば、同一のＩＰアドレスからのログアウトとログインとの頻度が高いと、コンピュータを用いた自動ログインを行っている可能性が高く、不正利用と判定できる。

（５） ＣＰＵと記憶部とを備えたコンピュータにおいてサービスの不正利用を判定する不正利用判定方法であって、
ユーザＩＤを含む所定のサービスのログアウト要求を受信したことに応じて、前記ユーザＩＤに対応付けてログアウト履歴を記憶するステップと、
前記所定のサービスに対するアクセス要求を受信したことに応じて、アクセス履歴を前記ユーザＩＤに対応付けて記憶するステップと、
前記ユーザＩＤを含む所定のサービスへのログイン要求を受信したことに応じて、前記ユーザＩＤに対応付けてログイン履歴を記憶するステップと、
前記ユーザＩＤを含む前記所定のサービスへのログイン要求を受信したことに応じて、 前記ログイン履歴及び前記ログアウト履歴を参照して、受信したログイン要求に関係する直近の履歴がログイン履歴かログアウト履歴かによって直近のログアウト履歴が存在するか否かを判定し、直近のログアウト履歴が存在しない場合には、記憶された前記アクセス履歴のうち前記ログイン要求に係るユーザＩＤに対応付けて直前に記憶された前記アクセス履歴を直近のログアウト履歴とみなして補完するステップと、
記憶された前記ログアウト履歴及び前記ログアウト履歴とみなされた前記アクセス履歴に基づき、前記所定のサービスの不正利用をしているか否かを判定するステップと、
判定結果を出力するステップとを、
前記記憶部に記憶されたプログラムに従って前記ＣＰＵに実行させることを特徴とする不正利用判定方法。

本発明によれば、シンプルな履歴情報であるログアウト履歴に基づいて所定のサービスの不正利用をしているか否かを、ログイン時に判定できる。

本実施形態に係るサービス提供システムの全体構成及び不正利用判定サーバの機能構成を示す図である。 本実施形態に係るログアウト要求の送信と画面操作との関係を説明する図である。 本実施形態に係るログイン／ログアウト履歴ＤＢの例を示す図である。 本実施形態に係る不正利用判定サーバのメイン処理のフローチャートである。 本実施形態に係る不正利用判定サーバのログイン処理のフローチャートである。 本実施形態に係る不正利用判定処理のパターン例を示す図である。

以下、本発明を実施するための形態について、図を参照しながら説明する。なお、これは、あくまでも一例であって、本発明の技術的範囲はこれに限られるものではない。

（実施形態）
［サービス提供システム１００の全体構成及び不正利用判定サーバ１の機能構成］
図１は、本実施形態に係るサービス提供システム１００の全体構成及び不正利用判定サーバ１の機能構成を示す図である。図２は、本実施形態に係るログアウト要求の送信と画面操作との関係を説明する図である。図３は、本実施形態に係るログイン／ログアウト履歴ＤＢ２１の例を示す図である。

サービス提供システム１００は、不正利用判定サーバ１と、サービス提供サーバ３と、ユーザ端末５と、通信ネットワーク９とにより構成される。

不正利用判定サーバ１は、ユーザ端末５が所定のサービスの提供を受けるにあたって、ユーザ端末５の利用が不正利用か否かを判定するサーバである。不正利用判定サーバ１は、サービス提供サーバ３のフロントエンドの役割を果たす。不正利用判定サーバ１は、ユーザ端末５からサービス提供のためのログイン要求を受け付けて、直近のログアウトの状況等から不正利用か否かを判定し、不正利用のリスクが低い場合には、不正利用ではないと判定してサービス提供サーバ３に対してサービスを提供させる。不正利用判定サーバ１は、制御部１０と、記憶部２０とを備える。

制御部１０は、ログアウト要求受信手段１１と、ログアウト履歴記憶手段１２と、ログイン要求受信手段１３と、ログアウト履歴補完手段１４と、不正利用判定手段１５と、判定結果出力手段１６と、アクセス要求受信手段１７と、アクセス履歴記憶手段１８とを備える。

ログアウト要求受信手段１１は、ユーザ端末５から送信されたログアウト要求を受信する制御部である。ユーザ端末５において、例えば、画面上に表示された「ログアウト」のリンクを選択する等、ユーザが明示的にログアウトを要求した場合には、ログアウト要求がユーザ端末５から送信される。他方、ユーザ端末５において、例えば、Ｗｅｂブラウザを強制的に終了した場合には、ログアウト要求がユーザ端末５から送信されない。

図２（ａ）は、Ｗｅｂブラウザ３０に表示されたＷｅｂページ内の「ログアウト」のリンク３１にポインタ３２を移動させて、リンク３１を選択する例である。このように、「ログアウト」のリンク３１を選択することでログアウトが明示的に要求されるので、ユーザ端末５は、不正利用判定サーバ１に対してログアウト要求を送信する。ログアウト要求受信手段１１は、ユーザ端末５から送信されたログアウト要求を受信する。

他方、図２（ｂ）は、Ｗｅｂブラウザ３０の「閉じる」ボタン３５にポインタ３６を移動させてボタン３５が選択されることで、Ｗｅｂブラウザ自体を終了する例である。このように、Ｗｅｂブラウザ３０を強制的に終了した場合には、ユーザ端末５は、不正利用判定サーバ１に対してログアウト要求を送信しない。

図１に戻り、ログアウト要求は、ユーザＩＤ（ＩＤ：ｉｄｅｎｔｉｆｉｅｒ）や、端末ＩＤ、ユーザ端末５のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス（位置情報）等を含む。ユーザＩＤは、ユーザを一意に特定する記号である。端末ＩＤは、ユーザ端末５を一意に特定するＩＤであり、例えば、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスである。ＩＰアドレスは、ユーザ端末５が接続されている位置を示す情報である。

ログアウト履歴記憶手段１２は、ユーザ端末５から受信したログアウト要求に対応するログアウトのログ（ログアウト履歴）を、ログイン／ログアウト履歴ＤＢ２１（ＤＢ：データベース）に記憶させる制御部である。

図３に示すログイン／ログアウト履歴ＤＢ２１は、ユーザ端末５から受信したログイン要求及びログアウト要求に対応するログ（履歴）を蓄積するＤＢである。ログイン／ログアウト履歴ＤＢ２１は、履歴ＩＤ２１ａと、ユーザＩＤ２１ｂと、ログイン／ログアウトフラグ２１ｃと、日時２１ｄと、端末ＩＤ２１ｅと、ＩＰアドレス２１ｆとからなる。

履歴ＩＤ２１ａは、１つのログを特定するＩＤであり、例えば、不正利用判定サーバ１にログが到着する順番に、昇順の番号を付して格納する。ユーザＩＤ２１ｂは、ユーザ端末５のユーザを識別するユーザＩＤを格納する。ログイン／ログアウトフラグ２１ｃは、ログインのログであるか、ログアウトのログであるかを表すフラグを格納する。ここでは、「１」がログイン、「０」がログアウトを示す。日時２１ｄは、ログを蓄積した日時を格納する。日時２１ｄは、ログイン要求及びログアウト要求に含む要求をした日時であってもよい。端末ＩＤ２１ｅは、ユーザ端末５を特定する端末ＩＤを格納する。ＩＰアドレス２１ｆは、ユーザ端末５が接続されている位置を示す情報を格納する。ユーザＩＤ２１ｂと、ログイン／ログアウトフラグ２１ｃと、端末ＩＤ２１ｅと、ＩＰアドレス２１ｆとは、ユーザ端末５から受信したログイン要求及びログアウト要求に含まれる情報を用いて格納する。

図３のユーザＩＤ２１ｂが「ａｂｃ」のユーザに関して、履歴ＩＤ２１ａが「１」のレコードと、履歴ＩＤ２１ａが「６」のレコードとが存在する。ログイン／ログアウトフラグ２１ｃにより、いずれのレコードもログインのログであるので、２つのレコードの間に強制的にログアウトがされていることが分かる。

他方、ユーザＩＤ２１ｂが「ｄｅｆ」のユーザに関して、履歴ＩＤ２１ａが「３」と「５」とのレコードが存在する。ログイン／ログアウトフラグ２１ｃがそれぞれ「０」と「１」とであるため、明示的にログアウトをしていることが分かる。

図１に戻り、ログイン要求受信手段１３は、ユーザ端末５から送信されたログイン要求を受信する制御部である。ログイン要求は、ユーザＩＤ、端末ＩＤ、ユーザ端末５のＩＰアドレスの他、ユーザ認証のために必要なパスワード等を含む。

ログアウト履歴補完手段１４は、ログアウト要求を受信しなかったことでログイン／ログアウト履歴ＤＢ２１に格納されていないログアウトのログを補完する制御部である。ログアウトのログは、例えば、後述するアクセス履歴ＤＢ２２を用いて生成して補完する。

不正利用判定手段１５は、ログイン／ログアウト履歴ＤＢ２１に記憶されたログイン及びログアウトのログに基づいて、ログインするユーザＩＤが所定のサービスを不正利用しているか否かを判定する制御部である。

判定結果出力手段１６は、不正利用判定手段１５による判定結果をユーザ端末５に対して送信する制御部である。判定結果出力手段１６は、判定結果をランク付けしてその度合いに応じてサービス提供サーバ３が提供するサービスを抑止するように、サービス提供サーバ３を制御してもよい。

アクセス要求受信手段１７は、ユーザ端末５からサービス提供サーバ３へのアクセス要求を受信する制御部である。

アクセス履歴記憶手段１８は、アクセス要求に対応するアクセスログ（アクセス履歴）をアクセス履歴ＤＢ２２に記憶させる制御部である。

記憶部２０は、ログイン／ログアウト履歴ＤＢ２１と、アクセス履歴ＤＢ２２とを備える。

ログイン／ログアウト履歴ＤＢ２１は、サービス提供サーバ３のサービスの提供を受けるためにユーザ端末５から送信されたログイン要求及びログアウト要求に対応するログを記憶するＤＢである。

アクセス履歴ＤＢ２２は、サービス提供サーバ３のサービスの提供を受ける段階で、ユーザ端末５においてアクセスしたアクセス要求に対応するログを記憶するＤＢである。

本実施形態の不正利用判定サーバ１のハードウェアは、一般的なコンピュータによって構成してもよい。一般的なコンピュータは、例えば、制御部１０として、中央処理装置（ＣＰＵ）を備える他、記憶部２０として、メモリ（ＲＡＭ、ＲＯＭ）、ハードディスク（ＨＤＤ）及び光ディスク（ＣＤ、ＤＶＤ等）を、ネットワーク通信装置として、各種有線及び無線ＬＡＮ装置を、表示装置として、例えば、液晶ディスプレイ、プラズマディスプレイ等の各種ディスプレイを、入力装置として、例えば、キーボード及びポインティング・デバイス（マウス、トラッキングボール等）を適宜備え、これらはバスラインにより接続されている。このような一般的なコンピュータにおいて、ＣＰＵは、不正利用判定サーバ１を統括的に制御し、各種プログラムを適宜読み出して実行することにより、上述したハードウェアと協働し、本発明に係る各種機能を実現している。

サービス提供サーバ３は、所定のサービスを提供するサーバであり、サービス提供コンテンツを記憶する記憶部と、サービス提供サーバ３の全体を制御する制御部とを備える。サービス提供サーバ３のハードウェアは、一般的なコンピュータによって構成してよい。

ユーザ端末５は、例えば、パーソナルコンピュータ（ＰＣ）や、携帯電話機等の携帯端末である。ユーザ端末５は、通信機能を有し、所定サービスを受けることが可能な端末であれば、どのような装置でもよい。

なお、本実施形態では、不正利用判定サーバ１と、サービス提供サーバ３とを別々の装置として説明しているが、不正利用判定サーバ１がサービス提供サーバ３の機能をも有して、１台のコンピュータによって実現してもよい。また、本実施形態では、不正利用判定サーバ１がサービス提供サーバ３の要求を受け付けるものとして、ユーザ端末５からの全ての要求を受信しているが、サービス提供サーバ３がアクセス要求を直接受信して、アクセス履歴ＤＢ２２に記憶するアクセスログを、不正利用判定サーバ１がサービス提供サーバ３から受信してもよい。

通信ネットワーク９は、不正利用判定サーバ１と、サービス提供サーバ３と、ユーザ端末５との間で通信を行うための、例えば、インターネット等の通信回線である。通信ネットワーク９は、有線であってもよいし、その一部又は全部が無線であってもよい。

［不正利用判定サーバ１の処理］
次に、不正利用判定サーバ１での処理について説明する。図４は、本実施形態に係る不正利用判定サーバ１のメイン処理のフローチャートである。図５は、本実施形態に係る不正利用判定サーバ１のログイン処理のフローチャートである。図６は、本実施形態に係る不正利用判定処理のパターン例を示す図である。

図４のメイン処理は、不正利用判定サーバ１がユーザ端末５からデータを受信したことで開始する。

図４のＳ１：制御部１０（ログアウト要求受信手段１１）は、ユーザ端末５からログアウト要求を受信したか否かを判断する。ログアウト要求を受信した場合（Ｓ１：ＹＥＳ）には、制御部１０は、処理をＳ２に移す。他方、ログアウト要求を受信していない場合（Ｓ１：ＮＯ）には、制御部１０は、処理をＳ３に移す。

Ｓ２：制御部１０（ログアウト履歴記憶手段１２）は、ログアウト要求に対応するログを、ログイン／ログアウト履歴ＤＢ２１に記憶させる。その後、制御部１０は、本処理を終了する。

Ｓ３：制御部１０（アクセス要求受信手段１７）は、ユーザ端末５からアクセス要求を受信したか否かを判断する。アクセス要求を受信した場合（Ｓ３：ＹＥＳ）には、制御部１０は、処理をＳ４に移す。他方、アクセス要求を受信していない場合（Ｓ３：ＮＯ）には、制御部１０は、処理をＳ５に移す。

Ｓ４：制御部１０（アクセス履歴記憶手段１８）は、アクセス要求に対応するログを、アクセス履歴ＤＢ２２に記憶させる。その後、制御部１０は、本処理を終了する。

Ｓ５：制御部１０（ログイン要求受信手段１３）は、ユーザ端末５からログイン要求を受信したか否かを判断する。ログイン要求を受信した場合（Ｓ５：ＹＥＳ）には、制御部１０は、処理をＳ６に移し、ログイン処理を実行後、本処理を終了する。他方、ログイン要求を受信していない場合（Ｓ５：ＮＯ）には、制御部１０は、本処理を終了する。

ここで、図４のＳ６のログイン処理について、図５に基づき説明する。

図５のＳ１１：制御部１０は、ログイン要求に対応するログを、ログイン／ログアウト履歴ＤＢ２１に記憶させる。

Ｓ１２：制御部１０（ログアウト履歴補完手段１４）は、直近のログアウトのログがログイン／ログアウト履歴ＤＢ２１に存在するか否かを判断する。これは、ログイン／ログアウト履歴ＤＢ２１を検索して同一のユーザＩＤのログのうち、最新のログがログインのログか、ログアウトのログかによって判断できる。例えば、図３の例では、ユーザＩＤ２１ｂが「ａｂｃ」であり、履歴ＩＤ２１ａが「６」であるレコードに関して、直近のログアウトのログは存在しない。他方、ユーザＩＤ２１ｂが「ｄｅｆ」であり、履歴ＩＤ２１ａが「５」であるレコードに関して、直近のログアウトのログは、履歴ＩＤ２１ａが「３」のレコードであり、存在する。

直近のログアウトのログが存在する場合（Ｓ１２：ＹＥＳ）には、制御部１０は、処理をＳ１５に移す。他方、直近のログアウトのログが存在しない場合（Ｓ１２：ＮＯ）には、制御部１０は、処理をＳ１３に移す。

Ｓ１３：制御部１０（ログアウト履歴補完手段１４）は、アクセス履歴ＤＢ２２から該当のユーザＩＤに対応付けて直前に記憶されたアクセスログを取得する。

Ｓ１４：制御部１０（ログアウト履歴補完手段１４）は、取得したアクセスログからログアウトのログを生成して補完する。

Ｓ１５：制御部１０（不正利用判定手段１５）は、不正利用判定処理を行う。

ここで、不正利用判定処理のパターンの例について、図６に基づき説明する。不正利用判定パターンとして、例えば、通常は、「ログアウト」のリンクを選択してログアウト処理を行っていたのに、Ｗｅｂブラウザを強制終了してログアウトした場合（図２（ｂ）参照）に、不正利用があったと判定できる（パターン１）。この場合は、ログアウトのログが補完されたものであるか否かにより判断できる。

また、同一のユーザ端末５において、所定の時間内（例えば、２０分）にログイン要求とログアウト要求とを繰り返している場合には、通常の利用では考えにくい処理である同一の端末ＩＤからのログイン要求とログアウト要求との繰り返しのため、不正利用と判定できる（パターン２）。この場合は、端末ＩＤに着目することで判断できる。

さらに、同一のＩＰアドレスから、所定の時間内（例えば２０分）にログイン要求とログアウト要求とが繰り返されている場合には、同一の端末ＩＤの場合と同様に、不正利用と判定できる（パターン３）。この場合は、ＩＰアドレスに着目することで判断できる。

また、通常は、一定の時間の幅の中でログアウトをしているのに、その時間幅とはかけ離れた時間にログアウトをしている場合に、不正利用と判定できる（パターン４）。この場合は、該当のユーザＩＤに関してレコードを抽出して、ログイン及びログアウトの日時に着目することで判断できる。

図５に戻り、Ｓ１６：制御部１０（不正利用判定手段１５）は、判定結果が不正利用であるか否かを判定する。不正利用であると判定した場合（Ｓ１６：ＹＥＳ）には、制御部１０は、処理をＳ１７に移す。他方、不正利用であると判定しなかった場合（Ｓ１６：ＮＯ）には、制御部１０は、処理をＳ１８に移す。

Ｓ１７：制御部１０（判定結果出力手段１６）は、ユーザ端末５に対するサービスの提供を行わないように、サービスの提供を抑止する処理を行う。その後、制御部１０は、本処理を終了し、メイン処理に戻る。

Ｓ１８：制御部１０は、サービス提供サーバ３に対して、ユーザ端末５に対するサービスの提供を依頼する。その後、制御部１０は、本処理を終了し、メイン処理に戻る。

このように、不正利用判定サーバ１は、ログイン要求を受信したことに応じて、直近のログアウト履歴の存在有無を判定し、直近のログアウト履歴が存在しない場合には、アクセス履歴を用いて直近のログアウト履歴を補完できる。よって、不正利用判定サーバ１は、ログアウト履歴が存在しない場合であっても、ユーザ端末５での操作によって蓄積されるアクセス履歴を用いて、ログアウト履歴を補完することができる。

また、不正利用判定サーバ１は、ログアウト履歴を補完することで、ログアウト履歴に基づいて所定のサービスの不正利用をしているか否かを判定して判定結果を出力するので、シンプルな履歴情報であるログアウト履歴に基づいて、ログイン時に不正利用をしているか否かを判定できる。

（変形形態）
本実施形態は、不正利用であると判定した場合に、一律にサービスの利用を抑止する処理を行ったが、これに限定されない。例えば、不正利用であると判定した場合に、所定時間内での同一端末ＩＤの出現回数等により不正利用の度合いを決定し、その度合いに応じて抑止するサービスを決定してもよい。そのことによって、不正の度合いに応じて全面的に所定のサービスを抑止したり、一部の機能のみを抑止したり、とサービスの内容を変更できる。

以上、本発明の実施形態について説明したが、本発明は上述した実施形態に限るものではない。また、本発明の実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本発明の実施形態に記載されたものに限定されるものではない。

１ 不正利用判定サーバ
３ サービス提供サーバ
５ ユーザ端末
１０ 制御部
１１ ログアウト要求受信手段
１２ ログアウト履歴記憶手段
１３ ログイン要求受信手段
１４ ログアウト履歴補完手段
１５ 不正利用判定手段
１６ 判定結果出力手段
１７ アクセス要求受信手段
１８ アクセス履歴記憶手段
２０ 記憶部
２１ ログイン／ログアウト履歴ＤＢ
２２ アクセス履歴ＤＢ
１００ サービス提供システム

Claims (5)

1. ユーザＩＤを含む所定のサービスのログアウト要求を受信したことに応じて、前記ユーザＩＤに対応付けてログアウト履歴を記憶するログアウト履歴記憶手段と、
   前記所定のサービスに対するアクセス要求を受信したことに応じて、アクセス履歴を前記ユーザＩＤに対応付けて記憶するアクセス履歴記憶手段と、
   前記ユーザＩＤを含む所定のサービスへのログイン要求を受信したことに応じて、前記ユーザＩＤに対応付けてログイン履歴を記憶する手段と、
   前記ユーザＩＤを含む前記所定のサービスへのログイン要求を受信したことに応じて、前記ログイン履歴及び前記ログアウト履歴を参照して、受信したログイン要求に関係する直近の履歴がログイン履歴かログアウト履歴かによって直近のログアウト履歴が存在するか否かを判定し、直近のログアウト履歴が存在しない場合には、前記アクセス履歴記憶手段が記憶した前記アクセス履歴のうち前記ログイン要求に係るユーザＩＤに対応付けて直前に記憶された前記アクセス履歴を直近のログアウト履歴とみなして補完するログアウト履歴補完手段と、
   前記ログアウト履歴記憶手段が記憶した前記ログアウト履歴及び前記ログアウト履歴補完手段により前記ログアウト履歴とみなされた前記アクセス履歴に基づき、前記所定のサービスの不正利用をしているか否かを判定する不正利用判定手段と、
   前記不正利用判定手段による判定結果を出力する判定結果出力手段と、
   を備える、
   不正利用判定サーバ。
2. 前記不正利用判定手段は、前記ログイン要求に含まれる前記ユーザＩＤと同一のユーザＩＤに対応付けて記憶された前記直近のログアウト履歴と、前記ログイン要求により記憶されるログイン履歴との関係に基づいて、前記所定のサービスの不正利用をしているか否かを判定する、
   請求項１に記載の不正利用判定サーバ。
3. 前記ログアウト要求は、前記ログアウト要求を送信した端末を特定する端末ＩＤを含み、
   前記ログアウト履歴記憶手段は、前記端末ＩＤを含んで前記ログアウト履歴を記憶し、
   前記ログイン要求は、前記ログイン要求を送信した端末を特定する端末ＩＤを含み、
   前記不正利用判定手段は、前記ログイン要求に含まれる前記端末ＩＤと同一の端末ＩＤを含んで記憶された所定の時間内での前記ログアウト履歴と、前記ログイン要求により記憶されるログイン履歴との頻度に基づいて、前記所定のサービスの不正利用をしているか否かを判定する、
   請求項１又は請求項２に記載の不正利用判定サーバ。
4. 前記ログアウト要求は、前記ログアウト要求を送信した端末の位置を特定する位置情報を含み、
   前記ログアウト履歴記憶手段は、前記位置情報を含んで前記ログアウト履歴を記憶し、
   前記ログイン要求は、前記ログイン要求を送信した端末の位置を特定する位置情報を含み、
   前記不正利用判定手段は、前記ログイン要求に含まれる前記位置情報と同一の位置情報を含んで記憶された所定の時間内での前記ログアウト履歴と、前記ログイン要求により記録されるログイン履歴との頻度に基づいて、前記所定のサービスの不正利用をしているか否かを判定する、
   請求項１又は請求項２に記載の不正利用判定サーバ。
5. ＣＰＵと記憶部とを備えたコンピュータにおいてサービスの不正利用を判定する不正利用判定方法であって、
   ユーザＩＤを含む所定のサービスのログアウト要求を受信したことに応じて、前記ユーザＩＤに対応付けてログアウト履歴を記憶するステップと、
   前記所定のサービスに対するアクセス要求を受信したことに応じて、アクセス履歴を前記ユーザＩＤに対応付けて記憶するステップと、
   前記ユーザＩＤを含む所定のサービスへのログイン要求を受信したことに応じて、前記ユーザＩＤに対応付けてログイン履歴を記憶するステップと、
   前記ユーザＩＤを含む前記所定のサービスへのログイン要求を受信したことに応じて、前記ログイン履歴及び前記ログアウト履歴を参照して、受信したログイン要求に関係する直近の履歴がログイン履歴かログアウト履歴かによって直近のログアウト履歴が存在するか否かを判定し、直近のログアウト履歴が存在しない場合には、記憶された前記アクセス履歴のうち前記ログイン要求に係るユーザＩＤに対応付けて直前に記憶された前記アクセス履歴を直近のログアウト履歴とみなして補完するステップと、
   記憶された前記ログアウト履歴及び前記ログアウト履歴とみなされた前記アクセス履歴に基づき、前記所定のサービスの不正利用をしているか否かを判定するステップと、
   判定結果を出力するステップとを、
   前記記憶部に記憶されたプログラムに従って前記ＣＰＵに実行させることを特徴とする不正利用判定方法。

Images