JP5843653B2 - 詐称メール処理装置、詐称メール処理方法、及びプログラム - Google Patents

Description

本発明は、送信元のメールアドレスが詐称された詐称メールを処理する詐称メール処理装置、詐称メール処理方法、及びプログラムに関する。

電子メールの受信者は、送信元が正規な電子メールのみならず、送信元のメールアドレスが詐称された詐称メールを受信することがある。このような詐称メールの受信を拒否するための技術として、例えば特許文献１には、送信元のＩＰ（Internet Protocol）アドレス及びメールアドレス毎に、当該ＩＰアドレス及びメールアドレスを送信元とする電子メールの受信総数が記憶され、電子メールを受信すると、その送信元のＩＰアドレス及びメールアドレスに対応する記憶された受信総数に応じたスコアを取得し、取得したスコアに応じて、詐称メールか否かを判別する技術がある。

特開２００６−２５１８８２号公報

しかし、特許文献１に開示された技術では、受信総数に基づいてスコアを取得し、受信した電子メールが詐称メールか否かを判別するため、例えばメールマガジンのような多数の宛先に送信される電子メールは、送信元を詐称していなくても、単位時間あたりの受信総数が多いためにスコアが高くなり、詐称メールとして誤検知されるおそれがある。

本発明は、上述の事情の下になされたもので、受信した電子メールが詐称メールか否かの判別精度を向上させることが可能な詐称メール処理装置、詐称メール処理方法、及びプログラムを提供することを目的とする。

上記目的を達成するため、本発明に係る詐称メール処理装置は、
受信した電子メールの送信元のメールアドレスを表す送信元アドレスと、該電子メールの送信元のＩＰアドレスを表す送信元ＩＰアドレスと、該電子メールの識別情報とを取得し、取得した前記送信元アドレスと、前記送信元ＩＰアドレスと、前記識別情報とを対応付けて受信実績記憶部に記憶させる受信実績取得部と、
受信した電子メールのうち、ユーザが応答した電子メールの識別情報を取得し、取得した前記識別情報を応答実績記憶部に記憶させる応答実績取得部と、
前記受信実績記憶部に記憶された前記送信元ＩＰアドレス毎に、前記応答実績記憶部に記憶された前記識別情報に基づいて、前記送信元ＩＰアドレスが表す送信元から受信した電子メールのうち、前記ユーザが応答した電子メールの総数を取得し、取得した総数に基づいて、前記送信元ＩＰアドレスに対応する前記送信元アドレスのドメイン名が、送信元の正規なメールアドレスのドメイン名か否かを判別し、送信元の正規なメールアドレスのドメイン名であると判別された前記送信元アドレスのドメイン名と、該送信元アドレスのドメイン名に対応する前記送信元ＩＰアドレスとを、正規アドレス記憶部に記憶させる正規アドレス判別部と、
前記正規アドレス記憶部に記憶された前記送信元アドレスのドメイン名と前記送信元ＩＰアドレスとに基づいて、受信した電子メールの送信元アドレスが詐称されている可能性があるか否かを判別する送信元判別部と、
を備えることを特徴とする。

本発明によれば、受信した電子メールが詐称メールか否かの判別精度を向上させることができる。

実施形態に係る詐称メール処理装置の構成を示すブロック図である。 正規アドレス管理ＤＢの一例を示す図である。 受信実績管理ＤＢの一例を示す図である。 応答実績管理ＤＢの一例を示す図である。 添付ファイル管理ＤＢの一例を示す図である。 実施形態に係る詐称メール処理装置の機能構成を示すブロック図である。 正規アドレス判別処理の流れの一例を示すフローチャートである。 送信元判別処理の流れの一例を示すフローチャートである。

図１は、本発明の実施形態に係る詐称メール処理装置１の構成を示すブロック図である。詐称メール処理装置１は、インターネットやＬＡＮ（Local Area Network）等から構成されるネットワーク２を介して、メール送信側装置３及びメール受信側装置４と接続されている。メール送信装置３及びメール受信装置は、携帯電話やＰＣ（Personal Computer）等の電子メールを送受信する機能を備える装置である。本実施形態において、メール送信装置３から、メール受信装置４宛てに送信された電子メールは、ネットワーク２を介して詐称メール処理装置１に送信される。そして、詐称メール処理装置１は、受信した電子メールが詐称メールであるか否か判別し、その判別結果に基づいて、受信したメールをメール受信装置４に送信する。ここで、「詐称メール」とは、送信元のメールアドレスが詐称された電子メールを表す。

詐称メール処理装置１は、図１に示すように、通信部１００と、外部インターフェース（Ｉ／Ｆ）２００と、制御部３００と、ＲＯＭ（Read Only Memory）４００と、ＲＡＭ（Random Access Memory）５００と、記憶部６００と、から構成される。

通信部１００は、例えば、ＮＩＣ（Network Interface Card）やルータ等の通信装置から構成される。通信部１００は、ネットワーク２を介して、メール送信装置４及びメール受信装置４と接続し、電子メールの送受信を行う。

外部Ｉ／Ｆ２００は、ＣＤ（Compact Disc）等のリムーバブルディスクに対して読み書きするためのドライブ装置（図示せず）や、ハードディスクドライブ等から構成される外部記憶装置等に接続するためのインターフェースである。

制御部３００は、例えば、ＣＰＵ（Central Processing Unit）から構成されており、詐称メール処理装置１の全体の制御を行う。例えば、制御部３００は、通信部１００が電子メールを受信すると、その受信した電子メールが詐称メールか否かを判別し、判別結果に基づいて、その受信した電子メールを送信先のメールアドレス宛に通信部１００により送信する。

ＲＯＭ４００は、制御部３００が詐称メール処理装置１の全体を制御するためのプログラム等を格納する不揮発性メモリである。例えば、ＲＯＭ４００は、後述する各種処理を実行するためのプログラムを格納している。

ＲＡＭ５００は、制御部３００が生成した各種情報や、当該各種情報を生成するために必要なデータを一時的に格納するための揮発性メモリである。

記憶部６００は、ハードディスクドライブ等の記憶装置から構成される。例えば、記憶部６００は、正規アドレス管理ＤＢ（データベース）６１０と、受信実績管理ＤＢ６２０と、応答実績管理ＤＢ６３０と、添付ファイル管理ＤＢ６４０とを記憶する。

正規アドレス管理ＤＢ６１０は、正規な電子メールの送信元を表す正規アドレス情報を格納する。ここで、「正規な電子メール」とは、送信元のメールアドレスが詐称されていない電子メールを表す。正規アドレス管理ＤＢに格納された正規アドレス情報の一例を図２に示す。正規アドレス情報は、正規送信元ドメイン名と、正規送信元ＩＰアドレスとを含む。正規送信元ドメイン名は、正規な電子メールの送信元のメールアドレスのドメイン名を表す。正規送信元ＩＰアドレスは、正規な電子メールの送信元のメールサーバのＩＰアドレスを表す。

受信実績管理ＤＢ６２０は、通信部１００から受信した電子メールの受信実績情報を格納する。受信実績情報とは、受信した電子メールの送信元のＩＰアドレス毎の、その送信元のＩＰアドレスから受信した電子メールの総数を表す情報である。受信実績管理ＤＢ６２０に格納された受信実績情報の一例を図３に示す。図３に示すように、受信実績情報は、送信元ＩＰアドレスと、受信総数と、登録情報と、送信元アドレスと、メール識別情報とを含む。送信元ＩＰアドレスは、受信した電子メールの送信元のメールサーバのＩＰアドレスを表す。受信総数は、送信元ＩＰアドレスから送信された受信メールの総数を表す。登録情報は、送信元ＩＰアドレスと、送信元ドメイン名とが、正規アドレス情報として、正規アドレス管理ＤＢ６１０に登録されたか否かを表す情報である。登録情報が「Ｙｅｓ」の場合、その登録情報に対応する送信元ＩＰアドレス及び送信元ドメイン名は、正規アドレス管理ＤＢ６１０に登録されている。また、登録情報が「Ｎｏ」の場合、その登録情報に対応する送信元ＩＰアドレス及び送信元ドメイン名は、正規アドレス管理ＤＢ６１０に登録されていない。送信元アドレスは、受信した電子メールの送信元のメールアドレスを表す。メール識別情報は、受信した電子メールを識別するための情報であり、例えば、受信した電子メールのヘッダ情報に含まれる「Message ID」が表す情報である。送信元ＩＰアドレスと、送信元アドレスと、メール識別情報とは、受信した電子メールのヘッダ情報から取得される。また、受信総数と、登録情報とは、後述するように、制御部３００により取得される。

応答実績管理ＤＢ６３０は、受信した電子メールへの応答実績情報を格納する。応答実績情報とは、受信した電子メールのうち、ユーザが応答した電子メールの情報を表す。図４に、応答実績管理ＤＢ６３０に格納された応答実績情報の一例を示す。図４に示すように、応答実績情報は、ユーザが応答した電子メールの送信元アドレスと、ユーザが応答した電子メールのメール識別情報とを含む。

添付ファイル管理ＤＢ６４０は、受信した電子メールのうち、詐称メールの可能性があると判別された電子メールに添付されている添付ファイルに関する情報を表す添付ファイル情報を格納する。図５に、添付ファイル管理ＤＢ６４０に格納された添付ファイル情報の一例を示す。図５に示すように、添付ファイル情報は、受信した電子メールに添付されていた添付ファイルの保存先を表す保存先情報と、その添付ファイル名とを含む。

次に、詐称メール処理装置１の機能的構成について説明する。図５に示すように、制御部３００は、送信元判別部３１０、受信実績取得部３２０、詐称メール処理部３３０、応答実績取得部３４０、正規アドレス判別部３５０、として機能する。

送信元判別部３１０は、正規アドレス管理ＤＢ６１０に登録されている正規アドレス情報に基づいて、受信した電子メールが詐称メールである可能性があるか否かを判別する。

具体的には、送信元判別部３１０は、受信した電子メールのヘッダ情報に含まれる送信元ドメイン名と送信元ＩＰアドレスとの組が、正規アドレス管理ＤＢ６１０に正規送信ドメイン名と正規送信元ＩＰアドレスの組として登録されている場合、受信した電子メールは、詐称メールではない、すなわち送信元が正規な電子メールであると判別する。

また、受信した電子メールのヘッダ情報に含まれる送信元ドメイン名は正規アドレス管理ＤＢ６１０に登録されているが、その送信元ドメイン名に対応する送信元ＩＰアドレスが、登録されている正規送信元アドレスに対応する正規送信元ＩＰアドレスと一部異なる場合、または、送信元ドメイン名が正規アドレス管理ＤＢ６１０に登録されていない場合、送信元判別部３１０は、受信した電子メールは、詐称メールの可能性があると判別する。

また、受信した電子メールのヘッダ情報に含まれる送信元ドメイン名は正規アドレス管理ＤＢ６１０に登録されているが、その送信元ドメイン名に対応する送信元ＩＰアドレスが、登録されている正規送信元ドメイン名に対応する正規送信元ＩＰアドレスと大きく異なる場合、送信元判別部３１０は、受信した電子メールは、詐称メールであると判別する。

受信実績取得部３２０は、受信した電子メールから、送信元アドレスと、送信元ＩＰアドレスと、メール識別情報とを取得し、それらを対応付けて受信実績管理ＤＢ６２０に格納する。具体的には、受信実績取得部３２０は、送信元アドレス、送信元ＩＰアドレス、及びメール識別情報を、受信した電子メールのヘッダ情報から取得する。また、受信実績取得部３２０は、受信した電子メールから、送信元アドレスと、送信元ＩＰアドレスと、メール識別情報とを取得して、受信実績管理ＤＢ６２０に格納するたびに、その送信元ＩＰアドレスに対応する受信総数を更新する。

詐称メール処理部３３０は、送信元判別部３１０により、詐称メールの可能性があると判別された電子メールについて、ユーザにその電子メールが詐称メールの可能性があることを認識させるためのアラート処理を実行する。具体的には、詐称メール処理部３３０は、アラート通知部３３１と、添付ファイル処理部３３２と、ＵＲＬ変換部３３２と、とを備える。

アラート通知部３３１は、送信元判別部３１０が詐称メールの可能性があると判別した電子メールに、該電子メールの送信元アドレスが詐称されている可能性がある旨のアラート情報を付加する。アラート情報は、例えば、「このメールは、送信元が詐称されている可能性があります。」のようなメッセージとして、電子メールの本文の冒頭に追加される。アラート情報が付加された電子メールは、通信部１００により、メール受信装置４に送信される。

添付ファイル処理部３３２は、送信元判別部３１０が詐称メールの可能性があると判別した電子メールに、添付ファイルが添付されている場合、その添付ファイルを例えば外部の記憶装置に記憶させる。そして、添付ファイル処理部３３２は、その記憶装置における添付ファイルの保存先を表す保存先情報と、添付ファイル名とを対応付けて添付ファイル情報として添付ファイル管理ＤＢ６４０に記憶させる。そして、添付ファイル処理部３３２は、添付ファイル情報を、その添付ファイルが添付されていた電子メールに付加し、その電子メールから添付ファイルを削除する。添付ファイル情報は、例えば、「この電子メールに添付されていたファイル“先週の会議の議事録.pdf”は、“http://file.co.jp/qazwsx011”に保存されています。」のようなメッセージとして、受信メールの本文の冒頭に追加される。添付ファイル情報が付加された電子メールは、通信部１００により、メール受信装置４に送信される。

ＵＲＬ変換部３３３は、送信元判別部３１０が詐称メールの可能性があると判別した電子メールの本文中にＵＲＬが記述されている場合、該ＵＲＬを、該ＵＲＬが示すファイルへのリンクが無効となるように変換する。例えば、受信した電子メールの本文に、「http://....」といったＵＲＬが記述されていた場合、ＵＲＬ変換部３３３は、そのＵＲＬから先頭の「h」を削除し、「ttp://....」のようにＵＲＬを変換する。これにより、例えば、受信した電子メールをオートリンク機能を備えるメールソフトにより開いた場合、変換されたＵＲＬは、リンクとして認識されず、ＵＲＬが示すファイルへのリンクが無効となる。

応答実績取得部３４０は、受信した電子メールのうち、ユーザが応答した電子メールの応答実績情報を取得し、取得した応答実績情報を応答実績管理ＤＢ６３０に格納する。具体的には、応答実績取得部３４０は、返信実績取得部３４１と、報告情報取得部３４２とを備える。

返信実績取得部３４１は、受信した電子メールのうち、ユーザが返信した電子メールの応答実績情報を取得し、取得した応答実績情報を応答実績管理ＤＢ６３０に格納する。具体的には、返信実績取得部３４１は、受信した電子メールに対する返信メールに含まれるヘッダ情報から、受信した電子メールの送信元アドレスと、メール識別情報とを、応答実績情報として取得する。なお、返信実績取得部３４１は、受信した電子メールのヘッダ情報に含まれる「In-Reply-To」が表す情報を、メール識別情報として取得する。

報告情報取得部３４２は、報告情報をユーザの操作により取得し、取得した報告情報に含まれる応答実績情報を応答実績管理ＤＢ６３０に格納する。ここで、報告情報は、受信した電子メールの送信元アドレスは、正規なメールアドレスである旨を表す情報であり、その受信した電子メールの送信元アドレスと、メール識別情報とを含む。例えば、送信元判別部３１０により詐称メールの可能性があると判別された電子メールには、その電子メールの報告情報をユーザの操作により報告情報取得部３４２に送信するためのＵＲＬ等の情報が追加される。そして、その電子メールを見たユーザは、受信した電子メールの送信元アドレスは、正規なメールアドレスであると判断した場合、電子メールに追加されたＵＲＬを操作することにより、報告情報を送信する。これにより、報告情報取得部３４２は、受信した電子メールを見たユーザが詐称メールでないと判断した電子メールの送信元アドレス及びメール識別情報を、応答実績情報として取得する。

正規アドレス判別部３５０は、受信実績管理ＤＢ６２０に格納された受信実績情報と、応答実績管理ＤＢ６３０とに格納された応答実績情報とに基づいて、正規アドレス情報を取得し、正規アドレス管理ＤＢ６１０に格納する。

具体的には、正規アドレス判別部３５０は、受信実績管理ＤＢ６２０に格納された受信実績情報に含まれる送信元ＩＰアドレス毎に、応答実績管理ＤＢ６３０に格納された応答実績情報に含まれるメール識別情報に基づいて、送信元ＩＰアドレスが表す送信元から受信した電子メールのうち、ユーザが応答した電子メールの総数（応答総数）を取得する。そして、送信元ＩＰアドレスが表す送信元から受信した電子メールの総数（受信総数）に対する応答総数の割合が、所定値以上である場合、正規アドレス判別部３５０は、その送信元ＩＰアドレスに対応する送信元ドメイン名は、送信元の正規なメールアドレスのドメイン名であると判別する。そして、正規アドレス判別部３５０は、その送信元ＩＰアドレスと、送信元ドメイン名とを、それぞれ正規送信元ＩＰアドレスと、正規送信元ドメイン名として、正規アドレス管理ＤＢ６１０に格納する。

次に、詐称メール処理装置１が実行する正規アドレス判別処理の流れについて説明する。図７は、詐称メール処理装置１が実行する正規アドレス判別処理の流れの一例を示すフローチャートである。図７に示す正規アドレス判別処理は、例えば、毎日所定の時刻に開始される。

正規アドレス判別部３５０は、受信実績管理ＤＢ６２０から、登録情報が「Ｎｏ」を表す送信元ＩＰアドレスを１つ選択し、その送信元ＩＰアドレスに対応する全てのメール識別情報のうち、対応するメール識別情報が、応答実績管理ＤＢ６３０に含まれている数を応答総数として取得する（ステップＳ１１）。

例えば、正規アドレス判別部３５０は、図３に示す受信実績管理ＤＢ６２０において、登録情報が「Ｎｏ」を表す送信元ＩＰアドレス「xxx.xxx.xxx.xxx」を選択したとする。そして、送信元ＩＰアドレス「xxx.xxx.xxx.xxx」に対応するメール識別情報「QWERT11@company1.co.jp」は、図４に示す応答実績管理ＤＢ６３０に含まれているため、応答総数として“１”をカウントする。この処理を、送信元ＩＰアドレス「xxx.xxx.xxx.xxx」に対応するメール識別情報に対して行うことにより、応答総数を取得する。

次に、正規アドレス判別部３５０は、ステップＳ１１において取得した応答総数の、選択された送信元ＩＰアドレスの受信総数に対する割合を算出する（ステップＳ１２）。

次に、正規アドレス判別部３５０は、ステップＳ１２において算出した割合が、所定値以上か否かを判別する（ステップＳ１３）。割合が所定値以上ではないと判別した場合（ステップＳ１３；Ｎｏ）、ステップＳ１５に処理を進める。

割合が所定値以上の場合（ステップＳ１３；Ｙｅｓ）、正規アドレス判別部３５０は、その送信元ＩＰアドレスと、その送信元ＩＰアドレスに対応する送信元ドメイン名とを、それぞれ正規送信元ＩＰアドレス及び正規送信元ドメイン名として、正規アドレス管理ＤＢ６１０に格納する（ステップＳ１４）。そして、正規アドレス判別部３５０は、受信実績管理ＤＢ６２０において、その送信元ＩＰアドレスに対応する登録情報を「Ｙｅｓ」に更新する。

次に、正規アドレス判別部３５０は、受信実績管理ＤＢ６２０に格納された、登録情報が「Ｎｏ」を表す全ての送信元ＩＰアドレスに対して、ステップＳ１１〜Ｓ１４の処理を実行したか否かを判別する（ステップＳ１５）。全ての送信元ＩＰアドレスに対して、上記の処理を実行していないと判別した場合（ステップＳ１５；Ｎｏ）、全てについて処理したと判別するまで、ステップＳ１１〜Ｓ１４の処理を繰り返す。

全ての送信元ＩＰアドレスに対して、ステップＳ１１〜Ｓ１４の処理を実行したと判別した場合（ステップＳ１５；Ｙｅｓ）、正規アドレス判別部３５０は、本処理を終了する。

次に、詐称メール処理装置１が実行する送信元判別処理の流れについて説明する。図８は、詐称メール処理装置１が実行する送信元判別処理の流れの一例を示すフローチャートである。図８に示す送信元判別処理は、例えば、通信部１００を介して、詐称メール処理装置１がメール送信装置３から電子メールを受信したことを契機として開始される。

まず、送信元判別部３１０は、受信した電子メールの送信元ドメイン名が、正規アドレス管理ＤＢ６１０に登録されているか否かを判別する（ステップＳ２１）。具体的には、送信元判別部３１０は、受信した電子メールのヘッダ情報から、その電子メールの送信元ドメイン名を取得し、取得した送信元アドレスと一致するメールアドレスが、正規送信元アドレスとして、正規アドレス管理ＤＢ６１０に登録されているか否かを判別する。

次に、送信元判別部３１０は、ステップＳ２１において、受信した電子メールの送信元ドメイン名がすでに正規アドレス管理ＤＢ６１０に登録されていると判別した場合（ステップＳ２１；Ｙｅｓ）、受信した電子メールの送信元ＩＰアドレスと、ステップ２１において登録されていると判別された送信元アドレスに対応する正規送信元ＩＰアドレスとが、一致するか否かを判別する（ステップＳ２２）。

次に、送信元判別部３１０は、受信した電子メールの送信元ＩＰアドレスと、受信した電子メールの送信元アドレスに対応する正規送信元ＩＰアドレスとが、一致しないと判別した場合（ステップＳ２２；Ｎｏ）、送信元判別部３１０は、受信した電子メールの送信元ＩＰアドレスと、受信した電子メールの送信元アドレスに対応する正規送信元ＩＰアドレスとが、一部相違するか否か判別する（ステップＳ２３）。

具体的には、例えば、送信元判別部３１０は、受信した電子メールの送信元ＩＰアドレスと、受信した電子メールの送信元アドレスに対応する正規送信元ＩＰアドレスとの、先頭から３組の数字が一致するか否かを判別する。先頭から３組の数字が一致する場合、送信元判別部３１０は、一部相違すると判別する。また、先頭から３組の数字が一致しない場合、一部相違しない、すなわち大きく異なると判別する。例えば、受信した電子メールの送信元ＩＰアドレスが「192.168.0.1」であり、受信した電子メールの送信元ドメイン名に対応する正規送信元ＩＰアドレスが「192.168.0.255」の場合、先頭３組の数字「192.168.0」は一致するため、送信元判別部３１０は、受信した電子メールの送信元ＩＰアドレスと、受信した電子メールの送信元ドメイン名に対応する正規送信元ＩＰアドレスとが、一部相違すると判別する。

送信元判別部３１０は、送信元アドレスが正規アドレス管理ＤＢ６１０に登録されていないと判別した場合（ステップＳ２１；Ｎｏ）、または、受信した電子メールの送信元ＩＰアドレスと、受信した電子メールの送信元ドメイン名に対応する正規送信元ＩＰアドレスとが、一部相違すると判別した場合（ステップＳ２３；Ｙｅｓ）、詐称メール処理部３３０は、受信した電子メールに対してアラート処理を実行する（ステップＳ２４）。

具体的には、例えば、アラート通知部３３１は、受信した電子メールの本文冒頭に、その電子メールが詐称メールの可能性が高い旨を表すメッセージを追加する。また、ユーザが、その電子メールが正規な送信元のメールアドレスから送信されたものと判断した場合に、その旨とその電子メールの情報とを報告情報として送信するためＵＲＬが、受信した電子メールの本文に追加される。また、電子メールに添付ファイルが添付されている場合は、添付ファイル処理部３３２は、その添付ファイルを記憶装置に保存するとともに、その保存先情報と添付ファイル名とを電子メールの本文に追加し、電子メールから添付ファイルを削除する。また、添付ファイル情報を添付ファイル管理ＤＢ６４０に格納する。また、電子メール本文中にＵＲＬが記述されている場合は、ＵＲＬ変換部３３３は、そのＵＲＬを、そのＵＲＬが示すファイルへのリンクが無効となるように変換する。

そして、送信元判別部３１０は、受信した電子メールを通信部１００により送信先（メール受信装置４）に送信し（ステップＳ２５）、本処理を終了する。

また、受信した電子メールの送信元ＩＰアドレスと、受信した電子メールの送信元ドメイン名に対応する正規送信元ＩＰアドレスとが、一部相違しないと判別した場合（ステップＳ２３；Ｎｏ）、送信元判別部３１０は、受信した電子メールが詐称メールであると判別し、受信メールを削除する（ステップＳ２６）。そして、本処理を終了する。

すなわち、送信元判別処理において、受信した電子メールの送信元ドメイン名及び送信元ＩＰアドレスの組が、正規アドレス管理ＤＢ６１０に正規送信元ドメイン名及び正規送信元ＩＰアドレスの組として、登録されている場合は、電子メールはそのまま送信先に送信される。また、電子メールの送信元ドメイン名が正規送信元ドメイン名として登録されていない場合、または送信元ドメイン名は正規送信元ドメイン名として登録されているが、送信元ＩＰアドレスが正規送信元ＩＰアドレスとして登録されているものと一部相違する場合、受信した電子メールは、詐称メールの可能性があると判別されて、アラート処理が実行された後、送信先に送信される。また、送信元ドメイン名は正規送信元ドメイン名として登録されているが、送信元ＩＰアドレスが正規送信元ＩＰアドレスとして登録されているものと大きく相違する場合、受信した電子メールは、詐称メールであると判別されて、削除される。

以上説明したように、本実施形態に係る詐称メール処理装置１において、受信した電子メールに対するユーザからの応答実績情報に基づいて、正規アドレス情報が取得され、正規アドレス管理ＤＢ６１０に格納される。そして、この正規アドレス管理ＤＢ６１０に格納された正規アドレス情報に基づいて、詐称メールか否かの判別が実行されるため、より精度良く詐称メールを判別することができる。

また、応答実績情報は、受信した電子メールに対するユーザの返信メールの情報、または受信した電子メールのメールアドレスは正規である旨のユーザからの報告情報から取得することができる。従って、メールマガジンのような多数の宛先に送信される電子メールについても、詐称メールとして判別されることを防ぐことができる。

また、詐称メールの可能性がある電子メールに対しては、アラート情報が付加される。また、本文中にＵＲＬが記述されている場合には、そのリンクが無効となるようにＵＲＬが変換される。また、電子メールに添付された添付ファイルは、別途保存され、その保存先情報と添付ファイル名が付加される。これにより、ウィルス感染や不正サイトへのアクセスを防止できる。また、管理者の負担を低減することができる。

以上、本発明の実施形態について説明したが、本発明は実施形態によって限定されるものではない。

例えば、上記の実施形態において、詐称メール処理装置１と、メール送信装置３と、メール受信装置４とは、同じネットワーク２に接続されている場合について説明したが、詐称メール処理装置１と、メール送信装置３とが接続されているネットワークは、詐称メール処理装置１と、メール受信装置４とが接続されているネットワークと異なるものであってもよい。

また、本発明に係る詐称メール処理装置は、専用のシステムによらず、通常のコンピュータシステムを用いて実現可能である。例えば、ネットワークに接続されているコンピュータに、上記動作を実行するためのプログラムを、コンピュータシステムが読み取り可能な記録媒体（ＣＤ−ＲＯＭ、ＭＯ等）に格納して配布し、当該プログラムをコンピュータシステムにインストールすることにより、上述の処理を実行する詐称メール処置装置を構成してもよい。

また、コンピュータにプログラムを提供する方法は任意である。例えば、プログラムは、通信回線の掲示板（ＢＢＳ）にアップロードされ、通信回線を介してコンピュータに配信されてもよい。また、プログラムは、プログラムを表す信号により搬送波を変調した変調波により伝送され、この変調波を受信した装置が変調波を復調してプログラムを復元するようにしてもよい。そして、コンピュータは、このプログラムを起動して、ＯＳの制御のもと、他のアプリケーションと同様に実行する。これにより、コンピュータは、上述の処理を実行する詐称メール処理装置として機能する。

１ 詐称メール処理装置
１００ 通信部
２００ 外部Ｉ／Ｆ
３００ 制御部
３１０ 送信元判別部
３２０ 受信実績取得部
３３０ 詐称メール処理部
３３１ アラート通知部
３３２ 添付ファイル処理部
３３３ ＵＲＬ変換部
３４０ 応答実績取得部
３４１ 返信実績取得部
３４２ 報告情報取得部
３５０ 正規アドレス判別部
４００ ＲＯＭ
５００ ＲＡＭ
６００ 記憶部
６１０ 正規アドレス管理ＤＢ
６２０ 受信実績管理ＤＢ
６３０ 応答実績管理ＤＢ
６４０ 添付ファイル管理ＤＢ
２ ネットワーク
３ メール送信装置
４ メール受信装置

Claims (8)

1. 受信した電子メールの送信元のメールアドレスを表す送信元アドレスと、該電子メールの送信元のＩＰアドレスを表す送信元ＩＰアドレスと、該電子メールの識別情報とを取得し、取得した前記送信元アドレスと、前記送信元ＩＰアドレスと、前記識別情報とを対応付けて受信実績記憶部に記憶させる受信実績取得部と、
   受信した電子メールのうち、ユーザが応答した電子メールの識別情報を取得し、取得した前記識別情報を応答実績記憶部に記憶させる応答実績取得部と、
   前記受信実績記憶部に記憶された前記送信元ＩＰアドレス毎に、前記応答実績記憶部に記憶された前記識別情報に基づいて、前記送信元ＩＰアドレスが表す送信元から受信した電子メールのうち、前記ユーザが応答した電子メールの総数を取得し、取得した総数に基づいて、前記送信元ＩＰアドレスに対応する前記送信元アドレスのドメイン名が、送信元の正規なメールアドレスのドメイン名か否かを判別し、送信元の正規なメールアドレスのドメイン名であると判別された前記送信元アドレスのドメイン名と、該送信元アドレスのドメイン名に対応する前記送信元ＩＰアドレスとを、正規アドレス記憶部に記憶させる正規アドレス判別部と、
   前記正規アドレス記憶部に記憶された前記送信元アドレスのドメイン名と前記送信元ＩＰアドレスとに基づいて、受信した電子メールの送信元アドレスが詐称されている可能性があるか否かを判別する送信元判別部と、
   を備えることを特徴とする詐称メール処理装置。
2. 前記応答実績取得部は、受信した電子メールのうち、ユーザが返信した電子メールの識別情報を取得し、取得した前記識別情報を応答実績記憶部に記憶させる、
   ことを特徴とする請求項１に記載の詐称メール処理装置。
3. 前記応答実績取得部は、受信した電子メールのうち、送信元アドレスが正規なメールアドレスである電子メールの識別情報をユーザの操作により取得し、取得した前記識別情報を応答実績記憶部に記憶させる、
   ことを特徴とする請求項１または２に記載の詐称メール処理装置。
4. 前記送信元判別部により受信した電子メールの送信元アドレスが詐称されている可能性があると判別された場合、該電子メールの送信元アドレスが詐称されている可能性がある旨のアラート情報を該電子メールに付加するアラート通知部をさらに備える、
   ことを特徴とする請求項１乃至３のいずれか１項に記載の詐称メール処理装置。
5. 前記送信元判別部により受信した電子メールの送信元アドレスが詐称されている可能性があると判別された場合、該電子メールに添付されたファイルを添付ファイル記憶部に記憶させ、前記ファイルが前記添付ファイル記憶部に記憶された場所を表す保存先情報を該電子メールに付加し、該電子メールに添付された前記ファイルを削除する添付ファイル処理部をさらに備える、
   ことを特徴とする請求項１乃至４のいずれか１項に記載の詐称メール処理装置。
6. 前記送信元判別部により受信した電子メールの送信元アドレスが詐称されている可能性があると判別された場合、該電子メールの本文に記述されているＵＲＬを、該ＵＲＬが示すファイルへのリンクが無効となるように変換するＵＲＬ変換部をさらに備える、
   ことを特徴とする請求項１乃至５にいずれか１項に記載の詐称メール処理装置。
7. 受信した電子メールの送信元のメールアドレスを表す送信元アドレスと、該電子メールの送信元のＩＰアドレスを表す送信元ＩＰアドレスと、該電子メールの識別情報とを取得し、取得した前記送信元アドレスと、前記送信元ＩＰアドレスと、前記識別情報とを対応付けて受信実績記憶部に記憶させるステップと、
   受信した電子メールのうち、ユーザが応答した電子メールの識別情報を取得し、取得した前記識別情報を応答実績記憶部に記憶させるステップと、
   前記受信実績記憶部に記憶された前記送信元ＩＰアドレス毎に、前記応答実績記憶部に記憶された前記識別情報に基づいて、前記送信元ＩＰアドレスが表す送信元から受信した電子メールのうち、前記ユーザが応答した電子メールの総数を取得し、取得した総数に基づいて、前記送信元ＩＰアドレスに対応する前記送信元アドレスのドメイン名が、送信元の正規なメールアドレスのドメイン名か否かを判別し、送信元の正規なメールアドレスのドメイン名であると判別された前記送信元アドレスのドメイン名と、該送信元アドレスのドメイン名に対応する前記送信元ＩＰアドレスとを、正規アドレス記憶部に記憶させるステップと、
   前記正規アドレス記憶部に記憶された前記送信元アドレスのドメイン名と前記送信元ＩＰアドレスとに基づいて、受信した電子メールの送信元アドレスが詐称されている可能性があるか否かを判別するステップと、
   を有することを特徴とする詐称メール処理方法。
8. コンピュータを、
   受信した電子メールの送信元のメールアドレスを表す送信元アドレスと、該電子メールの送信元のＩＰアドレスを表す送信元ＩＰアドレスと、該電子メールの識別情報とを取得し、取得した前記送信元アドレスと、前記送信元ＩＰアドレスと、前記識別情報とを対応付けて受信実績記憶部に記憶させる受信実績取得手段、
   受信した電子メールのうち、ユーザが応答した電子メールの識別情報を取得し、取得した前記識別情報を応答実績記憶部に記憶させる応答実績取得手段、
   前記受信実績記憶部に記憶された前記送信元ＩＰアドレス毎に、前記応答実績記憶部に記憶された前記識別情報に基づいて、前記送信元ＩＰアドレスが表す送信元から受信した電子メールのうち、前記ユーザが応答した電子メールの総数を取得し、取得した総数に基づいて、前記送信元ＩＰアドレスに対応する前記送信元アドレスのドメイン名が、送信元の正規なメールアドレスのドメイン名か否かを判別し、送信元の正規なメールアドレスのドメイン名であると判別された前記送信元アドレスのドメイン名と、該送信元アドレスのドメイン名に対応する前記送信元ＩＰアドレスとを、正規アドレス記憶部に記憶させる正規アドレス判別手段、
   前記正規アドレス記憶部に記憶された前記送信元アドレスのドメイン名と前記送信元ＩＰアドレスとに基づいて、受信した電子メールの送信元アドレスが詐称されている可能性があるか否かを判別する送信元判別手段、
   として機能させるためのプログラム。

Images