JP5793629B2

JP5793629B2 - 不正リスクアドバイザー

Info

Publication number: JP5793629B2
Application number: JP2015006443A
Authority: JP
Inventors: ヘルスパーデイビッド; マイコンデニス
Original assignee: デジタルエンボイ，インコーポレイテッド
Priority date: 2004-09-17
Filing date: 2015-01-16
Publication date: 2015-10-14
Anticipated expiration: 2025-09-19
Also published as: IL181966A; WO2006034205A2; US7708200B2; US20060149580A1; EP1810235A2; WO2006034205A3; US7438226B2; CA2580731C; EP1810235A4; CA2580731A1; IL181966A0; AU2005286866A1; IL248891A0; US20060282285A1; JP2013145591A; JP2015092404A; JP2008513893A; US7497374B2; US20060287902A1; IL267487A

Description

（関連出願の引用）
本ＰＣＴ出願は、「ＦｒａｕｄＲｉｓｋＡｄｖｉｓｅｒ」と題される米国特許出願第１１／２０９，８８５号（２００５年８月２３日出願）に対する優先権を主張し、該米国特許出願は、「ＦｒａｕｄＲｉｓｋＡｄｖｉｓｅｒ」と題される米国特許出願第１０／９４３，４５４号（２００４年９月１７日出願）に対する優先権を主張し、上記各出願はその全体が本明細書において参考として援用される。

（技術分野）
本発明はオンラインでの不正な商取引を検知するための技術に関する。本発明は、商取引が不正であるかを判定するために、エンドユーザーに関連するＩＰアドレスおよび多数の要素を受信することが可能な不正エンジンを動作するための方法、システム、およびコンピュータプログラム製品を提供する。

本発明はまた、二つのアクセスロケーションの間の移動速度を計算し、二つのロケーションの間のユーザーの移動速度に基づき、商取引が不正であるかを判定し、および商取引の頻度に基づき、商取引が不正であるかを判定するための方法、システム、およびコンピュータプログラム製品に関する。

インターネットにおける身元を隠すことの容易さは、金融サービス業にとって「顧客を知れ」というスローガンをオンラインの世界で実行することを困難にしている。２００３年だけで、インターネット関連の不正が、連邦取引委員会による全ての不正の報告の５５％を占め、前年から約４５％上昇している。金融サービス業がオンラインでより多くの顧客に満足なサービスの提供を続けるためには、安全で確実な環境を作ることが最優先事項となっている。したがって、ユーザーのＩＰアドレスを利用するオンラインでの不正な商取引を検知し、防止するための方法、システム、およびコンピュータプログラム製品に対するニーズおよび要望がある。

本発明は、オンラインでの不正商取引を判定するための方法、システム、およびコンピュータプログラム製品（便宜上、以下では、「方法」または「複数の方法」）を提供する。一実施形態において、エンドユーザーは特定の商取引に関するパラメータおよびルールをシステムに入力する。特定の商取引に関するパラメータ、ルール、および他の情報に基づき、システムは、商取引が不正である可能性に関連するスコアを計算する。スコアは、エンドユーザーによって設定され得る様々な閾値と比較される。スコアが閾値を超えた場合には、商取引は不正であると判定される。商取引に関するデータはまた、エンドユーザーへ出力される。再検討のうえで、エンドユーザーは所定の商取引の不正な状態を変更し得る。

本発明の別の実施形態は、第１アクセスロケーションと第２アクセスロケーションとの間の移動速度を計算し、商取引が不正であるかを判定するために移動速度を利用し、また、計算された商取引の頻度に基づき商取引が不正であるかを判定するための方法を提供する。

携帯電話、携帯端末、ワイヤレスの通信デバイス、パーソナルコンピュータ、または本発明の実施形態を実行するために特に設計された専用のハードウエアデバイスを含む様々なデバイスが、本発明のシステム、方法、またはコンピュータプログラム製品を実行するために使用され得ることは当業者には明らかである。
明示的に述べられている場合を除いては、本明細書で述べられる任意の方法または実施形態は、そのステップが特定の順番で行われることを要求するとして解釈されることを、まったく意図されていない。したがって、方法、システム、またはコンピュータプログラム製品に関する請求項が、ステップが特定の順序に制限されるべきであると請求項または記述において特別に述べていない場合には、いかなる観点においても、順序が推定されることはまったく意図されていない。このことは、ステップまたは動作の流れの配置に関する論理の問題、文法上の構成または句読法から得られる明白な意味、または本明細書で述べられる実施形態の数またはタイプを含む、任意の考えられる表現されていない解釈の根拠に当てはまる。
例えば、本発明は以下の項目を提供する。
（項目１）
第１アクセスロケーションと第２アクセスロケーションとの間の移動速度を計算するための方法であって、
（ａ）第１ＩＰアドレスに基づき該第１アクセスロケーションを決定するステップと、
（ｂ）第１アクセス時間を決定するステップと、
（ｃ）第２ＩＰアドレスに基づき該第２アクセスロケーションを決定するステップと、
（ｄ）第２アクセス時間を決定するステップと、
（ｅ）該第１アクセスロケーションおよび該第１アクセス時間、および該第２アクセスロケーションおよび該第２アクセス時間の関数として、該第１アクセスロケーションと該第２アクセスロケーションとの間の移動速度を計算するステップと
を包含する、方法。
（項目２）
前記計算するステップは、
（ａ）前記第１アクセスロケーションと前記第２アクセスロケーションとの間の距離を計算するステップと、
（ｂ）前記第１アクセス時間と前記第２アクセス時間との間の時間差を計算するステップと、
（ｃ）該計算された時間差で該計算された距離を割り算することによって、該第１アクセスロケーションと該第２アクセスロケーションとの間の前記移動速度を計算するステップと
を包含する、項目１に記載の方法。
（項目３）
第１アクセスロケーションと第２アクセスロケーションとの間のユーザーの移動速度を計算する方法であって、
（ａ）該第１アクセスロケーションおよび第１アクセス時間を該ユーザーに対して決定するステップと、
（ｂ）該ユーザーのＩＰアドレスに基づき該第２アクセスロケーションを該ユーザーに対して決定するステップと、
（ｃ）第２アクセス時間を該ユーザーに対して決定するステップと、
（ｄ）該第１アクセスロケーションおよび該第１アクセス時間、および該第２アクセスロケーションおよび該第２アクセス時間の関数として、該ユーザーの該移動速度を計算するステップと
を包含する、方法。
（項目４）
前記第１アクセスロケーションおよび前記第１アクセス時間が、前記ユーザーに関連する行動プロファイルから決定される、項目３に記載の方法。
（項目５）
前記第１アクセスロケーションが、該第１アクセスロケーションにおいて前記ユーザーのＩＰアドレスの関数として決定される、項目３に記載の方法。
（項目６）
前記第２アクセスロケーションが、前記ユーザーに関連する行動プロファイルに記憶される、項目３に記載の方法。
（項目７）
前記第１アクセスロケーションは前記ユーザーの最後に有効なアクセスロケーションに基づく、項目３に記載の方法。
（項目８）
前記第２アクセスロケーションおよび前記第２アクセス時間は、前記ユーザーの現在のロケーションおよび現在のアクセス時間である、項目３に記載の方法。
（項目９）
オンラインの商取引が不正であるかを判定するための方法であって、
（ａ）ユーザーのＩＰアドレスに基づき、一つ以上の要素を計算するステップであって、少なくとも一つの要素は、第１アクセスロケーションと第２アクセスロケーションとの間の該ユーザーの移動速度である、ステップと、
（ｂ）該一つ以上の要素に基づき、該商取引が不正であるかを判定するステップと
を包含する、方法。
（項目１０）
前記判定するステップは、一つ以上のルールを少なくとも一つの要素へ適用することによって、前記商取引が不正であるかを判定することを包含する、項目９に記載の方法。
（項目１１）
前記ユーザーの移動速度は、
（ａ）第１ＩＰアドレスに基づき前記第１アクセスロケーションを該ユーザーに対して決定するステップと、
（ｂ）第１アクセス時間を該ユーザーに対して決定するステップと、
（ｃ）第２ＩＰアドレスに基づき前記第２アクセスロケーションを該ユーザーに対して決定するステップと、
（ｄ）第２アクセス時間を該ユーザーに対して決定するステップと、
（ｅ）該第１アクセスロケーションおよび該第１アクセス時間および該第２アクセスロケーションおよび該第２アクセス時間の関数として、該第１アクセスロケーションと該第２アクセスロケーションとの間の該ユーザーの移動速度を計算するステップと
に従って決定される、項目９に記載の方法。
（項目１２）
前記ユーザーの移動速度を計算する前記ステップは、
（ａ）前記第１アクセスロケーションと前記第２アクセスロケーションとの間の距離を計算するステップと、
（ｂ）前記第１アクセス時間と前記第２アクセス時間との間の時間差を計算するステップと、
（ｃ）該計算された時間差によって該計算された距離を割り算することによって、該第１アクセスロケーションと該第２アクセスロケーションとの間の該移動距離を計算するステップと
を包含する、項目１１に記載の方法。
（項目１３）
クライアントによってさらに処理するために、前記判定を該クライアントへ転送することをさらに包含する、項目９に記載の方法。
（項目１４）
前記判定に基づき、報告を生成することをさらに包含する、項目９に記載の方法。
（項目１５）
前記商取引と関連するリスクスコアを生成することをさらに包含する、項目９に記載の方法。
（項目１６）
前記リスクスコアをデータベースに記憶することをさらに包含する、項目１５に記載の方法。
（項目１７）
クライアントが前記リスクスコアと比較するために閾値レベルを割り当てる、項目１５に記載の方法。
（項目１８）
前記リスクスコアが前記閾値レベルを超過したときには、前記商取引は不正であると判定される、項目１７に記載の方法。
（項目１９）
前記リスクスコアはリアルタイムで生成される、項目１５に記載の方法。
（項目２０）
クライアントにより、前記判定にアクセスすることをさらに包含する、項目９に記載の方法。
（項目２１）
前記クライアントは前記商取引が不正であるかどうかを示し得る、項目９に記載の方法。
（項目２２）
一つ以上の要素のうちの少なくとも一つが静的または動的である、項目９に記載の方法。
（項目２３）
要素は、前記ＩＰアドレスと関連する国、地域、または都市を含む、項目９に記載の方法。
（項目２４）
要素は、前記ＩＰアドレスと関連する前記ユーザーがいると思われる位置と比較すると、該ユーザーの近くである、項目９に記載の方法。
（項目２５）
要素は、前記ＩＰアドレスと関連するアドレスと比較するために、クライアントによって提供されるアドレスである、項目９に記載の方法。
（項目２６）
要素は、前記クライアントと関連するデータベースに記憶されるエリアコードおよび電話番号と比較するために、クライアントによって提供されるエリアコードまたは電話番号である、項目９に記載の方法。
（項目２７）
要素は、確認のためにクライアントによって提供される電子メールアドレスである、項目９に記載の方法。
（項目２８）
要素は、現在の商取引と比較される、データベースに記憶された商取引習慣に基づく、前記ユーザーに関連するアクセス行動である、項目９に記載の方法。
（項目２９）
要素は、所定の時間内に前記商取引が試みられた頻度である、項目９に記載の方法。
（項目３０）
要素は、特定の時間内に単一のＩＰアドレスが複数の固有の識別子にアクセスする、または複数の固有の識別子を使用する速度である、項目９に記載の方法。
（項目３１）
クライアントは一つ以上の要素の少なくとも一つに関して閾値レベルを割り当て得る、項目９に記載の方法。
（項目３２）
クライアントは一つ以上のユーザー定義の要素を作り得る、項目９に記載の方法。
（項目３３）
クライアントは一つ以上の要素の少なくとも一つに関して拘束ルールを定義し得る、項目９に記載の方法。
（項目３４）
前記第１アクセスロケーションが、前記ユーザーと関連する行動プロファイルから決定される、項目９に記載の方法。
（項目３５）
前記第１アクセスロケーションは、前記ユーザーの最後に有効なアクセスロケーションに基づく、項目９に記載の方法。
（項目３６）
前記第２アクセスロケーションおよび前記第２アクセス時間は、前記ユーザーの現在のアクセスロケーションおよび現在のアクセス時間である、項目９に記載の方法。
（項目３７）
前記第２アクセスロケーションについての情報が、前記ユーザーに関連する行動プロファイルに記憶されている、項目９に記載の方法。
（項目３８）
前記第１アクセスロケーションおよび前記第２アクセスロケーションについての情報がデータベースに記憶される、項目９に記載の方法。
（項目３９）
要素は前記ＩＰアドレスに関連する接続タイプを備え、接続タイプは、ダイヤルアップ、ＩｎｔｅｇｒａｔｅｄＳｅｒｖｉｃｅｓＤｉｇｉｔａｌＮｅｔｗｏｒｋ（ＩＳＤＮ）、ケーブルモデム、ＤｉｇｉｔａｌＳｕｂｓｃｒｉｂｅｒＬｉｎｅ（ＤＳＬ）、ＤｉｇｉｔａｌＳｉｇｎａｌ１（Ｔ１）、またはＯｐｔｉｃａｌＣａｒｒｉｅｒ３（ＯＣ３）を含む、項目９に記載の方法。
（項目４０）
要素は前記ユーザーに関連する行動プロファイルに記憶される接続タイプを備え、接続タイプは、ダイヤルアップ、ＩｎｔｅｇｒａｔｅｄＳｅｒｖｉｃｅｓＤｉｇｉｔａｌＮｅｔｗｏｒｋ（ＩＳＤＮ）、ケーブルモデム、ＤｉｇｉｔａｌＳｕｂｓｃｒｉｂｅｒＬｉｎｅ（ＤＳＬ）、ＤｉｇｉｔａｌＳｉｇｎａｌ１（Ｔ１）、またはＯｐｔｉｃａｌＣａｒｒｉｅｒ３（ＯＣ３）を含む、項目９に記載の方法。
（項目４１）
要素は前記ユーザーの前記ＩＰアドレスに関連するホストタイプを備え、ホストタイプは、ネットワークのエンドポイント、ネットワークのプロクシ、またはネットワークのファイヤーウォールを含む、項目９に記載の方法。
（項目４２）
要素は前記ユーザーに関連する行動プロファイルに記憶されるドメインネームを含む、項目９に記載の方法。
（項目４３）
一つ以上のオンラインでの商取引が不正であるかを判定するための方法であって、
（ａ）一つ以上の商取引が、所定の時間の範囲内にＩＰアドレスから試みられ、または実行される商取引の頻度を計算するステップと、
（ｂ）該ＩＰアドレスに関連するホストタイプを判定するステップと、
（ｃ）一つ以上の商取引が不正であるかを判定する機能を実行するステップであって、該機能は、その入力として少なくとも該商取引の頻度および該ホストタイプを含む、ステップと
を包含する、方法。
（項目４４）
ホストタイプはネットワークのエンドポイント、ネットワークのプロクシ、またはネットワークのファイヤーウォールである、項目４３に記載の方法。
（項目４５）
前記機能はリスクスコアを生成し、該リスクスコアが閾値レベルを超えたときには、一つ以上の前記商取引は不正であると判定される、項目４４に記載の方法。
（項目４６）
前記機能は前記リスクスコアを最適化するために、前記商取引の頻度を前記ホストタイプと比較する、項目４５に記載の方法。
（項目４７）
所定の商取引の頻度に関して、前記ホストタイプがネットワークのエンドポイントであるとき、さらに該ホストタイプがネットワークのプロクシまたはネットワークのファイヤーウォールであるときには、前記機能は比較的に高いリスクスコアを生成する、項目４６に記載の方法。
（項目４８）
不正な商取引を判定する方法であって、
（ａ）インターネットユーザーに関連するＩＰアドレスを受信するステップと、
（ｂ）該インターネットユーザーによって行われた商取引に関連する該ＩＰアドレスに基づき複数の要素を計算するステップと、
（ｃ）該ＩＰアドレスおよび該計算に基づき、該商取引が不正であるかを判定するステップと
を包含する、方法。
（項目４９）
クライアントによってさらに処理するために、該クライアントへ前記判定を転送することをさらに包含する、項目４８に記載の方法。
（項目５０）
前記判定に基づき、報告を生成することをさらに包含する、項目４８に記載の方法。
（項目５１）
前記商取引に関連するリスクスコアを生成することをさらに包含する、項目４８に記載の方法。
（項目５２）
前記リスクスコアをデータベースに記憶することをさらに包含する、項目５１に記載の方法。
（項目５３）
クライアントは前記リスクスコアと比較するために閾値レベルを割り当てる、項目５１に記載の方法。
（項目５４）
前記リスクスコアが前記閾値レベルを超えるときには、前記商取引が不正であると判定される、項目５３に記載の方法。
（項目５５）
前記リスクスコアは、リアルタイムで生成される、項目５１に記載の方法。
（項目５６）
クライアントによって前記判定にアクセスすることをさらに包含する、項目４８に記載の方法。
（項目５７）
前記クライアントが、前記商取引が不正であるという前記判定を無効にし得る、項目５６に記載の方法。
（項目５８）
前記クライアントが、不正であると判定されなかった商取引を不正な商取引であると指定し得る、項目４８に記載の方法。
（項目５９）
前記複数の要素は静的または動的である、項目４８に記載の方法。
（項目６０）
前記静的要素は前記ＩＰアドレスに関連する国、地域、または都市を含む、項目５９に記載の方法。
（項目６１）
前記動的要素は、前記ＩＰアドレスに関連する前記インターネットユーザーがいると思われるロケーションと比較すると、該インターネットユーザーの近くである、項目５９に記載の方法。
（項目６２）
静的要素は、前記ＩＰアドレスに関連するアドレスと比較するためにクライアントによって提供されるアドレスである、項目５９に記載の方法。
（項目６３）
静的要素は、前記インターネットユーザーに関連するデータベースに記憶されるエリアコードおよび電話番号と比較するためにクライアントによって提供されるエリアコードおよび電話番号である、項目５９に記載の方法。
（項目６４）
静的要素は、確認のためにクライアントによって提供される電子メールアドレスである、項目５９に記載の方法。
（項目６５）
動的要素は、前記商取引と比較されるデータベースに記憶された商取引習慣に基づく、前記インターネットユーザーに関連するアクセス行動である、項目５９に記載の方法。
（項目６６）
動的要素は、前記商取引が所定の時間の範囲内に試みられる頻度である、項目５９に記載の方法。
（項目６７）
クライアントが静的要素および動的要素に対して閾値レベルを割り当てる、項目５９に記載の方法。
（項目６８）
クライアントはユーザー定義の動的要素を作り得る、項目５９に記載の方法。
（項目６９）
動的要素は静的要素によって判定され得る、項目５９に記載の方法。
（項目７０）
クライアントは、前記要素に関する拘束ルールを定義し得る、項目４８に記載の方法。

図１は、オンライン不正緩和エンジンを使用して、オンラインでの商取引が不正であるかどうかを判定するための、本発明一実施形態を示すフローチャートである。図２は、本発明の実施形態を実装するためのコンピュータシステムのブロック図である。図３は、移動速度を計算するために有用な本発明の一実施形態を示す。図４は、移動速度を計算するために有用な本発明の別の実施形態を示す。図５は、ユーザーの移動速度を計算するために有用な本発明の一実施形態を示す。図６は、移動速度を利用して不正な商取引を判定するために有用な本発明の一実施形態を示す。図７は、商取引の頻度を利用して不正な商取引を判定するために有用な本発明の一実施形態を示す。図８は、本発明の様々な実施形態を実行するために使用され得る、コンピュータシステムの論理的概略図を表す。図９は、本発明の一実施形態において、インターネットへ接続されるコンピュータの配置を論理的に示す。

本発明の上述および他の利点および特徴は、添付の図面を参照して以下に与えられる本発明の例示的な実施形態の詳細な記述からさらに明らかになり得る。

以下に続く詳細な記述において、本明細書の一部を形成し、本発明が行われ得る特定の実施形態の説明として示される添付の図面が参照される。これらの実施形態は、当業者が本発明を実行することが可能であるように十分に詳細に記述される。他の実施形態が利用され得ることが理解されるべきであり、構造的、論理的およびプログラミング上の変更が、本発明の精神および範囲を逸脱することなく、行われ得ることが理解されるべきである。

本発明の方法、システム、およびコンピュータプログラム製品が開示され、記述される前に、本発明は、特定の方法、特定のコンポーネント、または特定の構成に限定されず、それ自体はもちろん変化し得ることが理解されるべきである。本明細書で使用される用語は、特定の実施形態を示すことのみを目的とし、限定することを意図していない。

本明細書および特許請求の範囲で使用されるように、文脈が明らかにそうではないと述べていない場合には、単数形の「一つ」「一つの」および「その」は複数形への言及を含む。従って例えば、「一つのエンコーダ」への言及は複数のエンコーダの混在を含み、「一つのエンコーダ」への言及は二つ以上のそのようなエンコーダの混在を含み、他も同様である。

「リスク要素」の用語は、商取引と関連するある程度のレベルのリスクを有する商取引で使用される任意の要素を含む。

「静的リスク要素」の用語は、実行時間において変化しない任意の要素を含む。

「動的リスク要素」の用語は、実行時間において計算される値を有する任意の要素を含む。

「リスク値」の用語は、要素と関連する任意の数を含む。

「リスクウェート」の用語は、要素のリスク値がリスクスコアの結果にどの程度影響するのかを判定する任意の数を含む。

「ルール」の用語は、ブール論理をリスク値へ適用する任意の条件文を含む。

「リスクスコア」の用語は、リスク値、およびリスクウェートの計算結果またはリスクスコアを直接的に設定するルールに基づく、リスク値の任意の集合を含む。

「オンライン不正緩和エンジン」（ＯＦＭＥ）の用語は、複数の要素に加えＩＰアドレスを受取り、それにより商取引が不正であるかどうかを判定するために使用され得る所定の商取引のために、リスクスコアを形成する本発明の任意のコンポーネントを含む。

「商取引」の用語は、オンラインによる銀行預金口座へのアクセス、クレジットカードによる商取引、オンラインにより手形払い、電信送金、株取引、個人情報を使用する商取引、などのような任意のタイプのオンライン活動を含む。

「商取引識別子」の用語は、特定のリスクスコアモデルを識別するシステム生成された任意の一意的な数を含む。

「リスクスコアモデル」の用語は、論理ルールの任意の組、適用可能な静的および動的な要素、要素のためのリスクウェート、不正スコアアルゴリズム、リスクコードの閾値、および不正な商取引を識別するために使用されるリーズンコード含む。

「ユーザー」または「クライアント」の用語は、一人以上の人間、一つ以上の存在、または一つ以上のコンピュータを含む。

「方法」「システム」および「コンピュータプログラム製品」の用語は、本発明の例示的な実施形態の中で互換的に使用され得る。

本発明の方法は、本発明の様々な実施形態を実行するためにプログラムされたプロセッサを使用して実行され得る。図８は、様々な実施形態を行うための例示的な動作環境を示すブロック図である。この例示的な動作環境は動作環境の単なる一例であり、動作環境アーキテクチャの使用または機能目的の範囲に関してどのような制限も示す意図はない。動作環境はまた、例示的な動作環境の中に示される任意の一つのコンポーネントまたはコンポーネントの任意の組合せに関連する、なんらかの依存性または要求性を有するとして解釈されるべきではない。

本方法は、多数の他の一般的な目的および特別の目的の計算システムの動作環境または構成とともに動作可能である。本方法と共に使用するのに適切であり得る、周知の計算システム、動作環境、および／または構成の例は、パーソナルコンピュータ、サーバーコンピュータ、ラップトップデバイス、およびマルチプロセッサシステムを含むが、それらに限定されない。追加の例としては、セットトップボックス、プログラム可能な家庭用電子機器、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、任意の上記システムまたはデバイスを含む分散型の計算動作環境、および同様のものを含む。

本方法は、コンピュータによって実行される、プログラムモジュールのようなコンピュータ命令の一般的なコンテクストで示され得る。一般的には、プログラムモジュールは、特定のタスクを行い、または特定の抽象データの型を実装する、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造を含む。本方法はまた、コミュニケーションネットワークを介してリンクされた遠隔処理デバイスによってタスクが行われる、分散型の計算動作環境において行われ得る。分散型の計算動作環境において、プログラムモジュールは、ローカルおよび遠隔の両方の、メモリ記憶デバイスを含むコンピュータ記憶メディアに配置され得る。

本明細書で開示される方法は、コンピュータ８０１の形の汎用の目的の計算デバイスを通じて実装され得る。コンピュータ８０１のコンポーネントは、一つ以上のプロセッサまたは処理ユニット８０３、システムメモリ８１２、およびプロセッサ８０３を含む様々なシステムコンポーネントをシステムメモリ８１２へ結合するシステムバス８１３を含み得るが、それらに限定されない。

図８のプロセッサ８０３は、ＩｎｔｅｌＣｏｒｐｏｒａｔｉｏｎによって製造されるＰＥＮＴＩＵＭ（登録商標）ＩＶ、またはＡｄｖａｎｃｅｄＭｉｃｒｏＤｅｖｉｃｅｓＣｏｒｐｏｒａｔｉｏｎによって製造されるＡＴＨＬＯＮ６４プロセッサを含む、ｘ−８６互換プロセッサであり得る。Ａｐｐｌｅ、ＩＢＭまたはＮＥＣによって製造されるプロセッサを含む、他の命令セットを使用するプロセッサがまた使用され得る。

システムバス８１３は、メモリバスまたはメモリコントローラ、周辺のバス、加速グラフィックポート、および様々な任意のバスアーキテクチャを使用するプロセッサまたはローカルバスを含む、一つ以上の複数の考えられるタイプのバス構造を示す。例として、そのようなアーキテクチャは、ＩｎｄｕｓｔｒｙＳｔａｎｄａｒｄＡｒｃｈｉｔｅｃｔｕｒｅ（ＩＳＡ）バス、ＭｉｃｒｏＣｈａｎｎｅｌＡｒｃｈｉｔｅｃｔｕｒｅ（ＭＣＡ）バス、強化ＩＳＡ（ＥＩＳＡ）バス、ＶｉｄｅｏＥｌｅｃｔｒｏｎｉｃｓＳｔａｎｄａｒｄｓＡｓｓｏｃｉａｔｉｏｎ（ＶＥＳＡ）ローカルバス、およびＭｅｚｚａｎｉｎｅバスとしてもまた公知のＰｅｒｉｐｈｅｒａｌＣｏｍｐｏｎｅｎｔＩｎｔｅｒｃｏｎｎｅｃｔｓ（ＰＣＩ）バスを含み得る。このバス、およびこの記述で述べられる全てのバスはまた、有線またはワイヤレスのネットワーク接続によって実装され得る。バス８１３、およびこの記述で述べられる全てのバスはまた、有線またはワイヤレスのネットワーク接続によって実装され得、プロセッサ８０３、大容量記憶デバイス８０４、オペレイティングシステム８０５、アプリケーションソフトウエア８０６、データ８０７、ネットワークアダプタ８０８、システムメモリ８１２、入力／出力インターフェイス８１０、ディスプレイアダプタ８０９、ディスプレイデバイス８１１、および人と機械のインターフェイス８０２を含む各サブシステムは、物理的に離れた位置にあり、この形のバスを介して接続され、完全に分散型のシステムを効果的に実装する、一つ以上の遠隔計算デバイス８１４ａ、８１４ｂ、８１４ｃの中に含まれ得る。

図８のオペレイティングシステム８０５は、ＭＩＣＲＯＳＯＦＴＷＩＮＤＯＷＳ（登録商標）ＸＰ、ＷＩＮＤＯＷＳ（登録商標）２０００、ＷＩＮＤＯＷＳ（登録商標）ＮＴ、またはＷＩＮＤＯＷＳ（登録商標）９８、およびＲＥＤＨＡＴＬＩＮＵＸ、ＦＲＥＥＢＳＤ、またはＳＵＮＭＩＣＲＯＳＹＳＴＥＭＳＳＯＬＡＲＩＳのようなオペレイティングシステムを含む。さらに、アプリケーションソフトウエア８０６は、ユーザーがディスプレイデバイス８１１でＨＴＭＬ、ＳＧＭＬ、ＸＭＬ、または任意の他の適切に構築された文書言語を見ることを可能にする、ＭＩＣＲＯＳＯＦＴＩＮＴＥＲＮＥＴＥＸＰＬＯＲＥＲまたはＭＯＺＩＬＬＡＦＩＲＥＦＯＸのようなウェブブラジングソフトウェアを含み得る。

コンピュータ８０１は、一般的にはコンピュータで読み取り可能な様々なメディアを含む。そのようなメディアは、コンピュータ８０１によってアクセス可能であり、揮発性および不揮発性のメディアの両方、取り外し可能および取り外し不可能なメディアの両方を含む任意の利用可能なメディアであり得る。システムメモリ８１２は、ランダムアクセスメモリ（ＲＡＭ）のような揮発性のメモリ、および／または読出し専用メモリ（ＲＯＭ）のような不揮発性のメモリの形式の、コンピュータで読出し可能なメディアを含む。システムメモリ８１２は、一般的にはデータ８０７のようなデータおよび／または処理ユニット８０３によって現在アクセス可能なおよび／または直ちに操作されている、オペレイティングシステム８０５およびアプリケーションソフトウエア８０６のようなプログラムモジュールを含む。

コンピュータ８０１はまた、取り外し可能／取り外し不可能な、揮発性／不揮発性のコンピュータ記憶メディアを含み得る。例として、図８は、コンピュータコード、コンピュータで読出し可能な命令、データ構造、プログラムモジュール、およびコンピュータ８０１に関する他のデータの不揮発性の記憶を提供し得る大容量記憶デバイス８０４を示す。例えば、大容量記憶デバイス８０４は、ハードディスク、取り外し可能な磁気ディスク、取り外し可能な光ディスク、磁気カセットまたは他の磁気記憶デバイス、フラッシュメモリカード、ＣＤ−ＲＯＭ、デジタル多目的ディスク（ＤＶＤ）またはたの光記憶装置、ランダムアクセスメモリ（ＲＡＭ）、読出し専用メモリ（ＲＯＭ）、電気的に消去可能なプログラマブル読出し専用メモリ（ＥＥＰＲＯＭ）、などであり得る。

任意の数のプログラムモジュールは、例としてオペレイティングシステム８０５およびアプリケーションソフトウエア８０６を含む大容量記憶デバイス８０４に記憶され得る。オペレイティングシステム８０５およびアプリケーションソフトウエア８０６（またはそれらのある組合せ）のそれぞれは、プログラミングの要素およびアプリケーションソフトウエア８０６を含み得る。データ８０７はまた大容量記憶デバイス８０４に記憶され得る。データ８０４は、当該分野で公知の一つ以上の任意のデータベースに記憶され得る。そのようなデータベースの例は、ＤＢ２（登録商標）、Ｍｉｃｒｏｓｏｆｔ（登録商標）Ａｃｃｅｓｓ、Ｍｉｃｒｏｓｏｆｔ（登録商標）ＳＱＬＳｅｒｖｅｒ、Ｏｒａｃｌｅ（登録商標）、ｍｙＳＱＬ、ＰｏｓｔｇｒｅＳＱＬ、などを含む。データベースは集中して置かれ得、または複数のシステムに分散され得る。

ユーザーは、入力デバイス（示されていない）を介して、コンピュータ８０１に命令および情報を入力し得る。そのような入力デバイスの例は、キーボード、ポインティングデバイス（例えば「マウス」）、マイクロフォン、ジョイスティック、シリアルポート、スキャナーなどを含むが、それらに限定されない。これらのおよび他の入力デバイスは、システムバス８１３に結合される人と機械のインターフェイス８０２を介して処理ユニット８０３に接続され得るが、パラレルポート、シリアルポート、ゲームポート、またはユニバーサルシリアルバス（ＵＳＢ）のような他のインターフェイスおよびバス構造によって接続され得る。

ディスプレイデバイス８１１はまた、ディスプレイアダプタ８０９のようなインターフェイスを介してシステムバス８１３へ接続され得る。例えば、ディスプレイデバイスは、ブラウン管（ＣＲＴ）モニターまたは液晶ディスプレイ（ＬＣＤ）であり得る。ディスプレイデバイス８１１に加え、他の出力周辺デバイスは、入力／出力インターフェイス８１０を介してコンピュータ８０１へ接続され得る、スピーカー（示されていない）およびプリンター（示されていない）のようなコンポーネントを含み得る。

コンピュータ８０１は、ネットワークされた動作環境において、一つ以上の遠隔計算デバイス８１４ａ、８１４ｂ、８１４ｃへの論理接続を使用して、動作し得る。例として、遠隔計算デバイスは、パーソナルコンピュータ、ポータブルコンピュータ、サーバー、ルーター、ネットワークコンピュータ、ピアーデバイスまたは他の共通ネットワークノードなどであり得る。コンピュータ８０１と遠隔計算デバイス８１４ａ、８１４ｂ、８１４ｃとの間の論理接続は、ローカルエリアネットワーク（ＬＡＮ）および一般的な広域ネットワーク（ＷＡＮ）を介して行われ得る。そのようなネットワーク接続は、ネットワークアダプタを介してであり得る。ネットワークアダプタ８０８は、有線およびワイヤレスの動作環境で実装され得る。そのようなネットワークの動作環境は、オフィス、企業全体のコンピュータネットワーク、イントラネット、およびインターネット８１５でよく見られるものである。

説明の目的のために、アプリケーションプログラム、およびオペレイティングシステム８０５のような他の実行可能なプログラムコンポーネントは、本明細書で別個のブロックとして示されているが、しかしながらそのようなプログラムおよびコンポーネントは、様々な時に計算デバイス８０１の異なる記憶コンポーネントに存在し、コンピュータのデータプロセッサによって実行されることが理解される。アプリケーションソフトウエア８０６の実装は、コンピュータで読出し可能なメディアの一部のフォームに記憶され得、その間で伝達され得る。開示された方法の実装はまた、コンピュータで読出し可能な一部のフォームに記憶され得、その間で伝達され得る。コンピュータで読出し可能なメディアは、コンピュータによってアクセスされ得る任意の利用可能なメディアであり得る。限定ではなく例として、コンピュータで読出し可能なメディアは、「コンピュータ記憶メディア」および「伝達メディア」を含み得る。「コンピュータ記憶メディア」は、コンピュータ読出し可能命令、データ構造、プログラムモジュール、または他のデータのような情報を記憶するための任意の方法または技術において実装される、揮発性および不揮発性、取り外し可能および取り外し不可能なメディアを含む。コンピュータ記憶メディアは、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリまたは他のメモリ技術、ＣＤ−ＲＯＭ、デジタル多目的ディスク（ＤＶＤ）または他の光記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置または他の磁気記憶デバイス、または所望の情報を記憶するために使用され得る、およびコンピュータによってアクセスされ得る、任意の他のメディアを含むが、それらに限定されない。

図９は、本発明の一つの実施形態であるインターネット８１５の論理概観を示す。例えば、図８に示される遠隔計算デバイス８１４ａ、８１４ｂ、８１４ｃのような一つ以上のクライアントコンピュータ８０１は、９０１−１、９０１−２、９０１−３として示されるようにインターネット８１５に接続され得る。さらに、８０１で示されるタイプの一つ以上のコンピュータ９０２−１、９０２−２、および９０２−３は、ＨＴＴＰ要請によるウェブページ、データベースアクセス、遠隔ターミナルサービス、デジタルファイルのダウンロードまたはアップロード、または任意の他の所望のサービスを提供するサーバーとしての役割を行い得る。さらに、９０１−１のような一つ以上のクライアントコンピュータは、インターネットでアクセス可能なサーバーコンピュータ９０２−１としての役割を行い得、またその逆もあり得る。

（オンライン不正緩和エンジン）
図１は、本発明に従ったオンラインによる不正商取引の判定を行うためのステップを示すフローチャートである。ステップ１０５において、入力パラメータが、例えば銀行のようなエンドユーザーによってＯＦＭＥに入力される。ＯＦＭＥは、選択されたリスクスコアモデルに関するランタイム環境を提供する。ＯＦＭＥは、例えば商取引識別子、ＩＰアドレス、データ／タイムスタンプ、固有の識別子および処理のための多数の静的要素のような入力パラメータを受信するためのルールに基づくエンジンを提供する。引き続いてＯＦＭＥは、例えばＮｅｔＡｃｕｉｔｙサーバーからのインターネットのユーザーのロケーションのような、インターネットのユーザーのＩＰアドレスに関する適切な情報を取り出す。ＮｅｔＡｃｕｉｔｙサーバーの操作は、米国特許出願第０９／８３２，９５９号の中で説明されており、該出願は本出願の譲受人に対して同一人に譲渡され、かつ該出願はその全体が本明細書において参考として援用される。

所定のインターネットベースの商取引に関連する固有の商取引識別子は、所定の商取引のためにどのリスクスコアモデルが使用されるべきかを判定するために、ＯＦＭＥによって使用される。詐欺リスクアドバイザーは、追跡目的のために固有の識別子を使用する。その結果は、データベースに記憶される。

追加の入力パラメータは、エンドユーザーに供給されたデータを用いて、ＯＦＭＥに入力され得る。例えば、エンドユーザーは、判定過程においてＯＦＭＥによって使用され得るホットファイル、疑わしいＩＰリストなどを使用し得る。いったん、ＯＦＭＥが特定の入力パラメータを受信すると、不正リスクアドバイザーはステップ１１２へ進む。ステップ１１２において、エンドユーザーは、特定の判定をするために使用されるように、標準リスクスコアモデルの組またはエンドユーザーが定めるリスクスコアモデルの組から選択する。

ＯＦＭＥが適切なリスクスコアモデルをロードした後、本発明は、ＯＦＭＥが所定の要素の組を評価し、各所定の要素に関するリスク値を判定するステップ１１４へ進む。いったん、リスク値がＯＦＭＥと関連する各要素に関して判定されると、本発明は、ＯＦＭＥが所定のルールの組を評価し、リスクスコアを判定するステップ１１６へ進む。

リスクスコアがルールマッチによって判定されているときには、本発明は、合計のリスクスコアを判定するために、ＯＦＭＥがリスクスコアアルゴリズムを実行するステップ１１８へ進む。ＯＦＭＥは、合計のリスクスコアを判定するために、オプションの静的リスクスコアと共に、ルール評価からの基準リスク値を使用する。例えば、ルールに基づくリスクスコアは、０と１０００との間の値を割り当てられ得る。リスクスコア０は非常に不正なものであるとして理解される商取引に割り当てられ得、一方、リスクスコア１０００は、低い不正の危険性を有すると理解されるスコアに割り当てられ得る。

ステップ１１８で計算されるリスクスコアおよびエンドユーザーによって定義される閾値の制限に従って、ＯＦＭＥはステップ１２０へ進むか、ステップ１２２へ進むかを判定する。スコアが所定の閾値レベルを超える場合には、その商取引は不正なものであるとして判定されるので、ＯＦＭＥは、ステップ１２０へ進む。従って、その商取引は、各要素値および各要素値に関するリーズンコードに関してさらに再審査をするために、フラグ付けされ、エンドユーザーへ転送される。スコアが所定の閾値の制限の範囲内である場合には、商取引は有効なものとして判定されるので、ＯＦＭＥはステップ１２２へ進む。

ステップ１３０において、エンドユーザーは懸案の商取引に関して、ＯＦＭＥから出力を受信する。商取引がＯＦＭＥによって不正であると判定される場合には、エンドユーザーは、商取引に関する要素値およびリーズンコードを含む結果をＯＦＭＥから受信する。さらに、たとえ商取引が有効だと考えられる場合あっても、ＯＦＭＥは、データベースの中にある商取引に関しては、本発明のリアルタイムの統計値を更新し得、例えばＩＰアドレスのような関連する全てのデータを記憶し得る。記憶されたデータは、リスクスコアモデルのリスクウェートを更新し、または特定の要素または特定のルールを削除するための、分析目的と共に、報告目的との両方で使用される。エンドユーザーはＯＦＭＥの結果を無効にすることができ、有効であると判定された商取引に疑わしいとフラグ付けし得、または疑わしい商取引を有効と判断し得る。

図２は、本発明において使用され得る例示的な処理システム２００を示す。システム２００は、エンドユーザーがパラメータ、ルール、およびユーザーが定めた関数をＯＦＭＥ２０２へ入力し得るユーザーインターフェイス２２０を含む。ユーザーインターフェイス２２０は複数のユーザーインターフェイスを備え得る。ユーザーインターフェイス２２０はまた、特定の商取引に関する出力データをＯＦＭＥ２０２から受信する。ユーザーインターフェイス２２０は、グラフィックベースまたはウェブベースであり得、または任意の他の適切な入力メカニズムを使用し得る。

いったん、ＯＦＭＥ２０２が、ユーザーインターフェイス２２０からデータを受信すると、ＯＦＭＥ２０２は、このデータと関連する情報を、例えばＮｅｔＡｃｕｉｔｙサーバー２０６、確認サーバー２０４、および行動追跡データベース２０８から取得する。確認サーバー２０４は、所定の商取引のためにエンドユーザーによって供給される電子メールアドレスおよびエリアコードを確認する。

行動追跡データベース２０８は、現在のインターネットベースの商取引がインターネットユーザーの通常の行動と一致しているかどうかを判定するために、エンドユーザーによって提供される、所定のインターネットユーザーに関連する固有の識別子を使用する。この固有の識別子は検索可能な行動追跡データベース２０８に記憶される。インターネットユーザーがインターネットベースの商取引を行うときには、行動追跡データベース２０８が検索され、ＩＳＰおよびドメインと共に、固有の識別子と共にまた記憶されている地理的なデータが、もし可能であれば、引き出される。この情報は、現在懸案のインターネットベースの商取引についての現在のＩＰアドレスに関連する、地理的なデータ、ＩＳＰおよびドメイン情報と比較される。比較の結果つまりアクセス行動要素が、現在懸案のインターネットベースの商取引が不正であるかを判定するために使用される。アクセス行動の違反が判定される場合には、自動化された問い掛け／応答が、リアルタイムでアカウントにアクセスしているインターネットユーザーを確認するために使用され得る。インターネットユーザーに関する行動追跡データベース２０８の中で利用可能な現在のアドレスに関する履歴がない場合には、現在の地理的なデータ、ＩＳＰおよび現在のＩＰアドレスに関連するドメイン情報が、行動追跡データベース２０８へ追加される。従って、インターネットユーザーがアカウントを作成しているときには、アクセス行動は不正検出の要素として使用され得ない。

インターネットユーザーに割り当てられた固有の識別子は、複数のアクセス行動を記憶し得る。さらに、インターネットユーザーは、例えば長距離の旅行、住所の変更などのためにアクセス行動を変化させ得るので、エンドユーザーはＯＦＭＥ２０２から返送されたアクセス行動違反を無効にし得る。

ＯＦＭＥ２０２は、所定の商取引と関連するリスクスコアを判定するために、ユーザーインターフェイス２２０、ＮｅｔＡｃｕｉｔｙサーバー２０６、確認サーバー２０４および行動追跡データベース２０８によって提供される情報を使用する。いったん、ＯＦＭＥ２０２がリスクスコアを計算すると、リスクスコアは商取引に関する任意の関連情報と共に、行動追跡データベース２０８、リアルタイム統計データベース２１２、ユーザーインターフェイス２２０、およびＯＦＭＥデータ記憶データベース２１０へ送信される。

一実施形態において、ＯＦＭＥデータ記憶データベース２１０は、長期記憶のためにＯＦＭＥ２０２から受信したデータをＯＦＭＥ出力ウェアハウス記憶装置２１８へ転送し得る。さらに、ＯＦＭＥデータ記憶データベース２１０はＯＦＭＥ２０２から受信したデータを、処理およびユーザーインターフェイス２２０へ出力するために、報告サブシステム２１４およびフォレンシックス（Ｆｏｒｅｎｓｉｃｓ）サブシステム２１６の両方へ転送し得る。

フォレンシックスサブシステム２１６は、リスクスコアモデルを作動させることによって生成される情報を探索する能力を、エンドユーザーへを提供する。このようにして、エンドユーザーは、なぜ商取引が疑わしいと考えられたのか、またはなぜ商取引が疑わしいと考えられなかったのかを判定し得る。報告サブシステム２１４は、例えば疑わしいものとしてフラグ付けされた商取引の数のような、様々な報告をエンドユーザーへ提供する。

（移動速度の計算）
本発明の一実施形態において、第１ＩＰアドレスおよび第２ＩＰアドレスを使用して、第１アクセスポイントと第２アクセスポイントとの間の移動速度を計算するための方法が提供される。移動速度を計算することは、不正な商取引を判定すること、ネットワーク分析、ユーザープロファイリング、ユーザーアカウントの確認および追跡、ネットワークアクセスプロバイダーの分析、および広告を含む、いくつかの実用的な用途を有する。移動速度はまた、不正な商取引を判定するためにＯＦＭＥ２０２によって使用される要素であり得る。

図３は、移動速度を計算するのに有用な、本発明の一実施形態を示す。第一に、第１アクセスロケーションは、第１インターネットプロトコル（「ＩＰ」）アドレスに基づき決定され得る３０１。第２に、第１アクセス時間が決定される３０２。第３に、第２アクセスロケーションが、第２アドレスに基づき決定される３０３。第４に、第２アクセス時間が決定される３０４。最後に、第１アクセスロケーションと第２アクセスロケーションとの間の移動速度が、第１アクセスロケーション３０１および第１アクセス時間３０２、および第２アクセスロケーション３０３および第２アクセス時間３０４の関数として、計算される。

移動速度を計算するために有用な、本発明のさらなる実施形態は、図４に論理的に示されている。図４の実施形態は、図３のステップ３０５から継続しているが、特定の順序のステップが明白にまたは暗示的に要求されるのではない。この実施形態において、第１アクセスロケーション３０１と第２アクセスロケーション３０３との間の距離が計算される４０１。第２に、時間差が、第１アクセス時間３０２と第２アクセス時間３０４との間で計算される４０２。第３に、移動速度が、計算された時間差４０２によって計算された距離４０１を割り算することによって、第１アクセスロケーション３０１と第２アクセスロケーション３０３との間で計算される４０３。

単なる説明の目的であるが、図４の実施形態によって、第１ＩＰアドレスは２４．１３１．３６．５４であり、第１アクセス時間３０２が東部標準時１：００ＰＭであることを仮定する。ＮｅｔＡｃｕｉｔｙサーバーによって提供される方法のような、ＩＰアドレスに対応する位置を判定するための方法が、第１ＩＰアドレスがアメリカ、ジョージア州アトランタの第１ロケーション３０１に対応することを判定するために使用される。次に、１４４．２１４．５．２４６である第２ＩＰアドレスが提供され、第２アクセス時間３０４が東部標準時１：０５ＰＭである。再び、方法が使用され、１４４．２１４．５．２４６が中国、香港の第２アクセスロケーション３０３に対応することを判定する。

次に、アトランタの第１アクセスロケーション３０１と香港の第２アクセスロケーション３０３との間の距離が、約８４０５マイルであると計算される４０１。東部標準時１：００ＰＭの第１アクセス時間３０２と東部標準時１：０５ＰＭの第２アクセス時間３０４との間の計算された時間差４０２は５分である。８４０５マイルである計算された距離４０１は５分の時間差４０２で割り算して、８４０５マイル／５分、つまり時速１００，８６０マイルの移動速度４０３を計算し、その速度は疑わしいほどに高速である。

（ユーザーの移動速度の計算）
本発明の一実施形態において、第１ＩＰアドレスおよび第２ＩＰアドレスを使用して、第１アクセスロケーションと第２アクセスロケーションとの間のユーザーの移動速度を計算するための方法が提供される。ユーザーの移動速度を計算することは、不正の商取引を判定すること、ネットワーク分析、ユーザープロファイリング、ユーザーのアカウント確認および追跡、ネットワークアクセスプロバイダーの分析、および広告を含む、いくつかの実用的な用途を含む。ユーザーの移動速度はまた、不正の商取引を判定するために、ＯＦＭＥ２０２によって利用される要素であり得る。

図５は、ユーザーの移動速度を計算するために有用な、本発明の一実施形態を示す。第１に、第１アクセスロケーション５０１がユーザーに対して決定される。第１アクセスロケーション５０１は、第１アクセスロケーション５０１を決定するためにユーザーのＩＰアドレスを使用すること、ユーザーの行動プロファイルから第１アクセス位置５０１を検索すること、またはユーザー提供の第１アクセス位置５０１を使用することによるなどの、様々な方法で決定され得る。

第２に、第１アクセス時間５０２がユーザーに対して決定される。第２アクセスロケーションが、ユーザーのＩＰアドレスに基づきユーザーに対して決定される５０３。第４に、第２アクセス時間がユーザーに対して決定される５０４。次いで本実施形態の方法は、第１アクセスロケーション５０１と第２アクセスロケーション５０３との間のユーザーの移動速度５０５を計算する。ユーザーの移動速度は、図４で具体化される方法を含む様々な方法を使用して計算され得る。

図５に基づくさらなる実施形態において、第１アクセスロケーション５０１および第１アクセス時間５０２は、ユーザーと関連する行動プロファイルから判定される。他の実施形態において、第１アクセスロケーション５０１は、ユーザーの最後の有効なアクセスロケーションに基づき判定され得る。別の実施形態において、第２アクセスロケーション５０３および第２アクセス時間５０４は、ユーザーの現在のアクセスロケーションおよび現在のアクセス時間である。

（不正商取引の判定）
本発明の一実施形態において、ユーザーの移動速度を不正要素として使用することによって、商取引が不正であるかを判定するための方法が提供される。ユーザーの移動速度に基づき商取引が不正であるかを判定することは、識別番号の盗用、電子メールのフィッシング、ハッキング、スパイウエア、Ｔｒｏｊａｎｓなどから生じ得る、オンラインでの個人情報の窃盗および使用を抑制し防止するようないくつかの実用的な用途を有する。同様に、商取引が正当なものかを判定するために、同じ方法が使用され得る。

ユーザーの移動速度に基づき、商取引が不正であるかを判定するための方法の一実施形態が、図６に示される。第一に、ユーザーの移動速度が、第１アクセスロケーションと第２アクセスロケーションとの間で計算される６０１。ユーザーの移動速度を計算するための一実施形態が、図５のステップ５０１からステップ５０５で提供される。移動速度を計算するための他の方法はまた、図６の実施形態で使用され得る。本明細書に含まれる不正な商取引を判定するための様々な実施形態は、ＯＦＭＥ２０２を使用し得る。

行動プロファイルは、商取引が不正であるかを判定するために、図６の実施形態および他の実施形態において利用され得る。例えば、アクセスロケーション、アクセス時間、ＩＰアドレス、地理的なロケーション、エリアコード、電話番号、電子メールアドレス、商取引の頻度、および他の要素が、行動プロファイルへ記憶され得る。一つ以上の要素に対応する一つ以上の変数が永続的に記憶されることが可能なので、行動プロファイルは有用であり、実施形態が第１アクセスロケーションと第２アクセスロケーションとの間の移動速度および不正の可能性を判定するだけではなく、複数のアクセス位置、アクセス時間、ＩＰアドレス、などにわたって不正活動のパターンを判定することを可能にする。行動プロファイルは、図２の実施形態における行動追跡データベース２０８のようなデータベースに記憶され得る。

第２に、図６の方法は、ユーザーのＩＰアドレスに基づく一つ以上の追加の要素が計算され得るかを判定する。ユーザーの移動速度は６０１で計算されることを要するのみであるが、ユーザーのＩＰアドレスに基づく要素を含む追加の要素が、様々な実施形態において使用され得る。計算された追加の要素６０３のタイプおよび数は、不正な商取引の判定を最適化するために、異なる実施形態の間で変化し得る。

追加の要素が残っている６０２と判定された場合には、追加の要素が計算される６０３。次に、計算される要素がなくなるまで、図６の方法は残っている追加の要素を判定６０２し、計算６０３し、図６の方法をステップ６０４へ進める。

図６の実施形態に基づく一実施形態において、計算された追加の要素６０３は、ユーザーのＩＰアドレスに関連する国、地域、または都市を含む。図６の実施形態を拡張する別の実施形態において、計算された要素６０３は、ＩＰアドレスと関連するユーザーがいると思われる位置と比較すると、ユーザーの近くであり得る。計算された要素６０３はまた、ダイヤルアップ、ＩｎｔｅｇｒａｔｅｄＳｅｒｖｉｃｅｓＤｉｇｉｔａｌＮｅｔｗｏｒｋ（ＩＳＤＮ）、ケーブルモデム、ＤｉｇｉｔａｌＳｕｂｓｃｒｉｂｅｒＬｉｎｅ（ＤＳＬ）、ＤｉｇｉｔａｌＳｉｇｎａｌ１（Ｔ１）、またはＯｐｔｉｃａｌＣａｒｒｉｅｒ（ＯＣ３）のようなユーザーの接続タイプを含み得る。要素６０３はまた、個人ネットワークのエンドポイント、企業ネットワークのエンドポイント、個人または企業のプロクシ、個人または企業のファイヤーウォール、などのようなホストのタイプを含み得る。

図６の実施形態を拡張する追加の実施形態は、ＩＰアドレスと関連するアドレスと比較するためにクライアントによって提供されるアドレス、データベースに記憶されるクライアントに関連するエリアコードおよび電話番号と比較するためにクライアントによって提供されるエリアコードおよび電話番号、またはクライアントによって提供される電子メールアドレスを含む、ユーザーによって提供される要素を利用し得る。ユーザー提供の要素はユーザーによって直接的に提供されるので、本実施形態はユーザー提供の要素は正確であるとみなし、それは本発明のさまざまな実施形態において有用である。

さらなる要素が図６の実施形態によって利用され得、その要素は、現在の商取引と比較される、データベースに記憶された商取引習慣に基づくユーザーと関連するアクセス行動などである。要素はまた、所定の時間の範囲内で、商取引が試みられまたは実行される頻度、または単一のＩＰアドレスが特定の時間の範囲内に、複数の固有の識別子へアクセスしまたは複数の固有の識別子を使用する速度を備え得る。

図６のさらなる実施形態において、クライアントは６０３で計算される要素の判定に参加し得る。例えば、一実施形態において、クライアントはひとつ以上の要素に対する閾値レベルを割り当て得る。クライアントはまた、一つ以上のユーザー定義の要素を生成し得、クライアントはまた、一つ以上の要素に対する拘束ルールを定義し得る。ユーザーが要素を判定し、要素に対する閾値レベルおよび要素に対する拘束ルールを割り当てることを可能にすることは、図６の方法が、商取引がユーザーにあつらえられた（ｔａｉｌｏｒｅｄ）方法において不正であるかを適切に判定することを可能にする。

次に、図６の実施形態において、本方法は、ユーザーの移動速度および上記のようなゼロ以上の追加の要素に基づき、商取引が不正であるかを判定する。商取引が不正であるまたは妥当であるという判定６０４は、図６の方法の特定の実装に基づき、リアルタイムで、ほぼリアルタイムで、またはリアルタイムではなく起こり得る。ユーザーの移動速度は、不正の商取引を判定するためにＯＦＭＥ２０２によって利用される要素であり得、行動追跡データベース２０８の中に備わる行動プロファイルに記憶され得る。

（商取引の頻度）
本発明の一つの実施形態において、計算された商取引の頻度を使用することによって、商取引が不正であるかを判定するための、方法が提供される。高い頻度の商取引は、例えば、ユーザーの個人情報が盗まれ、ユーザーの個人情報を使用して複数のオンラインでの不正購入を行おうと意図する一人以上の個人へ配信されるような場合に有用であり得る。高い頻度の商取引は、特定の商取引が同じＩＰアドレスから所定の時間の範囲内で繰り返し試みられる不正取引を示し得る。

同様に、同じまたは同様の商取引が複数回にわたり試みられまたは実行され、および単一のＩＰアドレスによってまたは単一のＩＰアドレスにおいて受信される場合には、商取引は不正であり得る。例えば、ある個人のクレジットカード情報が盗まれ、特定のＩＰアドレスにおいて電子商取引サービスを営業する特定のオンラインの小売業者において不正な購入を行うために、その情報を利用しようと意図する人の一団に配信されることを想定する。本発明の一実施形態に従って、複数のＩＰアドレスが、電子商取引サーバーのアドレスのような単一のＩＰアドレスで受信される商取引を試みまたは実行する頻度が、商取引が不正であることを示し得る。さらなる実施形態において、移動速度またはユーザープロファイルから検索されたアクセス行動のような上記の要素は、不正な商取引を判定するために組み込まれ得る。

商取引の頻度に基づき商取引が不正であるかを判定することは、識別番号の盗用、電子メールのフィッシング、ハッキング、スパイウエア、Ｔｒｏｊａｎｓなどから生じ得るオンラインでの個人情報の窃盗および使用を抑制し、防止するようないくつかの実用的な用途を有する。同様に、商取引が妥当であるかを判定するために、同じ方法が使用され得る。図７に示される実施形態は、不正な商取引を判定するために、商取引の頻度を利用する一つの方法を提供する。

第１に、図７の実施形態において、第１ＩＰアドレスから所定の時間の範囲内に商取引が試みられた頻度が計算される。例えば、第１ＩＰアドレスから発生したオンラインで購入を行う商取引が、１時間以内に１００回試みられまたは実行された場合には、図７の実施形態は、計算された商取引頻度７０１に基づき商取引が不正であると判定し得る７０２。

商取引の頻度７０１は、商取引が試みられまたは実行された回数をそれらの商取引が試みられまたは実行された時間で割り算することなどを含む様々な方法で計算され得る。商取引頻度はまた、図２の実施形態のＯＦＭＥ２０２によって利用される要素であり得、同様に図２の行動追跡データベース２０８に備わる行動プロファイルに記憶され得る。

別の実施形態における商取引頻度は、不正検出の精度を高めるために、ＩＰアドレスのホストタイプまたは他の要素と共に組み合され得る。例えば、図７の実施形態を拡張して、一つ以上の商取引が、１時間以内に１００回、一つのＩＰアドレスから試みられたと想定する。他の情報がなければ、一つのＩＰアドレスから１時間に１００回の試みという商取引頻度は、不正な商取引を示し得る。しかしながら、ＩＰアドレスが、複数のユーザーにインターネットアクセスを提供するネットワークプロクシまたはファイヤーウォールを示す場合には、１時間に１００回の試みは、実際に不正らしい商取引を示し得ない。ゆえに、ＩＰアドレスがプロクシ、ファイヤーウォール、または何人かは一つ以上の合法な商取引を行っている複数のユーザーにアクセスを提供する他のインターネットゲートウェイを示したときには、商取引の頻度をＩＰアドレスのホストタイプと比較することは、誤った陽性反応を減少させることによって不正判定を最適化し得る。接続タイプ、移動速度、行動プロファイルから検索される情報、地理的なロケーション、ユーザー提供の要素、などのような他の要素はまた、不正検出の精度を高めるために、移動頻度と組み合わされ得る。

本発明は、例示的な実施形態との関連において詳細に示されてきたが、本発明は上に開示された実施形態に限られないことが理解されるべきである。むしろ、本発明は、任意の数の変更、交替、代用、またはこれまでに示されていない均等の配置を組み込むように修正され得るが、それらは本発明の精神および範囲と同等である。特に、上述の不正リスクアドバイザーの特定の実施形態は、例示としてとられるべきであり、限定としてとられるべきではない。例えば、本発明はウェブベースのアプリケーションで使用され得る。したがって、本発明は上述の記述または図表によって限定されず、特許請求の範囲によってのみ制限される。

Claims

１つ以上のオンラインでの商取引が不正であるかを判定するための方法であって、前記方法は、
ａ．前記１つ以上の商取引が所定の時間の範囲内にＩＰアドレスから試みられるかまたは実行される商取引の頻度を計算するステップと、
ｂ．前記ＩＰアドレスに関連するホストタイプを決定するステップであって、前記ホストタイプは、ネットワークのエンドポイント、ネットワークのプロキシ、またはネットワークのファイヤーウォールのうちの１つである、ステップと、
ｃ．リスクスコアを、前記１つ以上の商取引のそれぞれに対して、
ｉ．前記ホストタイプがネットワークのプロキシ、またはネットワークのファイヤーウォールである場合に、前記リスクスコアを減少させるステップを実行することにより生成する機能を実行するステップと、
ｄ．前記リスクスコアを閾値スコアと比較することにより前記１つ以上の商取引が不正であるかを判定するステップと
を包含する、方法。
１つ以上のオンラインでの商取引が不正であるかを判定するためのプロセッサを備えるシステムであって、前記プロセッサは、
ａ．前記１つ以上の商取引が所定の時間の範囲内にＩＰアドレスから試みられるかまたは実行される商取引の頻度を計算するステップと、
ｂ．前記ＩＰアドレスに関連するホストタイプを決定するステップであって、前記ホストタイプは、ネットワークのエンドポイント、ネットワークのプロキシ、またはネットワークのファイヤーウォールのうちの１つである、ステップと、
ｃ．リスクスコアを、前記１つ以上の商取引のそれぞれに対して、
ｉ．前記ホストタイプがネットワークのプロキシ、またはネットワークのファイヤーウォールである場合に、前記リスクスコアを減少させるステップを実行することにより生成する機能を実行するステップと、
ｄ．前記リスクスコアを閾値スコアと比較することにより前記１つ以上の商取引が不正であるかを判定するステップと
を実行するようにプログラムされている、システム。
１つ以上のオンラインでの商取引が不正であるかを判定するためのプログラムを保持するコンピュータ読み取り可能な媒体であって、前記プログラムは命令を備え、前記命令は、実行されたときに、
ａ．前記１つ以上の商取引が所定の時間の範囲内にＩＰアドレスから試みられるかまたは実行される商取引の頻度を計算するステップと、
ｂ．前記ＩＰアドレスに関連するホストタイプを決定するステップであって、前記ホストタイプは、ネットワークのエンドポイント、ネットワークのプロキシ、またはネットワークのファイヤーウォールのうちの１つである、ステップと、
ｃ．リスクスコアを、前記１つ以上の商取引のそれぞれに対して、
ｉ．前記ホストタイプがネットワークのプロキシ、またはネットワークのファイヤーウォールである場合、前記リスクスコアを減少させるステップを実行することにより生成する機能を実行するステップと、
ｄ．前記リスクスコアを閾値スコアと比較することにより前記１つ以上の商取引が不正であるかを判定するステップと
をプロセッサに実行させる、コンピュータ読み取り可能な媒体。