JP6068506B2 - オンライン不正行為の検出の動的採点集計のシステムおよび方法 - Google Patents

Description

[0001] 本発明はオンライン不正を検出するための方法およびシステムに関する。
[0002] オンライン不正、特に、フィッシングやアイデンティティ窃盗の形態の不正は、世界中のインターネット・ユーザーにとって益々脅威となってきている。インターネット上で活動する国際的犯罪ネットワークにより不正に得られた機密扱いのアイデンティティ情報、例えば、ユーザー名、ＩＤ、パスワード、ソーシャル・セキュリティおよび医療の記録、銀行およびクレジット・カードの詳細などは、個人の資金を引き出すために使われ、更には、第三者へ売られる。個人に対する直接的な財政上の損害の他に、オンライン不正はまた、或る範囲の望まれない副作用、例えば、会社のセキュリティ・コストの増大、小売価格や銀行手数料の上昇、株価の低下、賃金の低下、および税収の低下などをもたらす。

[0003] フィッシングの試みの例では、クローンと呼ばれることもある偽のウェブサイトは、オンラインの小売業者や金融機関の真正のウェブページに見せかけることができ、ユーザーに、何らかの個人／アカウント情報（例えば、ユーザー名、パスワード）および／または金融情報（例えば、クレジット・カード番号、アカウント番号、カード・セキュリティ・コード）を入力することを求める。疑いをもたないユーザーにより情報が提出されると、その情報は不正ウェブサイトにより収得される。更に、ユーザーは、ユーザーのコンピューターへ悪意のあるソフトウェアをインストールし得る別のウェブページへ導かれ得る。悪意のあるソフトウェア（例えば、ウィルス、トロイの木馬）は、特定のウェブページを訪問しているときにユーザーにより押されたキーを記録することにより、個人情報を盗み続けることができ、また、ユーザーのコンピューターを、他のフィッシングやスパム攻撃を開始するためのプラットフォームに変換することができる。

[0004] インターネット・ユーザーのコンピューター・システムで実行されるソフトウェアを、不正なオンライン・ドキュメントを識別して、フィッシング／アイデンティティ窃盗の脅威があり得ることをユーザーに警告するために、用いることができる。クローン・ウェブページを識別するための幾つかのアプローチ、例えば、ウェブページのインターネット・アドレスを既知のフィッシング・アドレスと突き合わせることや信頼性のあるアドレスのリストと突き合わせること（ブラックリスティングおよびホワイトリスティングとそれぞれ呼ばれる技術）が、提案されている。

[0005] シュライム（Shraim）その他への米国特許第７４５７８２３号Ｂ２は、ウェブサイトや電子通信に対して複数のテストを行い、それぞれのテストに基づいてスコアを割り当て、複数のテストのそれぞれに関するスコアに基づいて複合スコアを割り当て、複数のスコアおよび／または複合スコアに従ってウェブサイト／電子通信を正当または不正に分類するシステムを記載している。

[0006] 経験を積んだ不正者は、そのような検出ツールに対する対抗策を継続して発展させている。そのような対抗策は、ブラックリスティングから逃れるためにクローン・ページのＩＰアドレスを頻繁に変更することを含む。オンライン不正のタイプおよび方法は急速に進化しているので、新たな不正識別テストが開発されると、検出が成功するという利益を得ることができる。

米国特許７４５７８２３号

[0007] １つの態様によると、方法は、コンピューター・システムを用いて、ターゲット・ドキュメントの第１不正スコアと第２不正スコアとの組み合わせとして、ターゲット・ドキュメントの集計不正スコアを決定することと、第１不正スコアと第２不正スコアとは、異なる不正評価プロシージャーに従って決定されるものであることと、ターゲット・ドキュメントの第３不正スコアを決定することと、第３不正スコアを決定することに応じて、第３不正スコアと、集計スコアと最大許容可能集計スコアとの差との積に従って決定される第１量により、集計不正スコアを変更することと、集計不正スコアを変更することに応じて、変更された集計スコアに従って、ターゲット・ドキュメントが不正であるかどうかを決定することとを含む。

[0008] 別の態様によると、コンピューター・システムは、少なくとも１つのプロセッサーを含み、ターゲット・ドキュメントの第１不正スコアと第２不正スコアとが異なる不正評価プロシージャーに従って決定されるものであり、ターゲット・ドキュメントの第１不正スコアと第２不正スコアとの組み合わせとして、ターゲット・ドキュメントの集計不正スコアを決定するように、およびターゲット・ドキュメントの第３不正スコアを決定するように、および第３不正スコアを決定することに応じて、第３不正スコアと、集計スコアと最大許容可能集計スコアとの差との積に従って決定される第１量により、集計不正スコアを変更するように、および集計不正スコアを変更することに応じて、変更された集計スコアに従って、ターゲット・ドキュメントが不正であるかどうかを決定するように、プログラムされる。

[0009] 別の態様によると、方法は、コンピューター・システムを用いて、ターゲット・ドキュメントが不正を示す特徴を有するかどうかを判定することと、ターゲット・ドキュメントが不正を示す特徴を有するかどうかを判定することに応じて、ターゲット・ドキュメントが不正を示す特徴を有する場合には、コンピューター・システムを用いて、ターゲット・ドキュメントの集計不正スコアの現在値を、集計スコアの現在値と集計不正スコアの最大許容可能値との差に比例する量により変更することと、集計スコアは、複数の個別の不正スコアの組み合わせとして決定されることと、集計不正スコアの現在値を変更することに応じて、コンピューター・システムを用いて、集計不正スコアの変更された現在値に従って、電子ドキュメントが不正であるかどうかを決定することとを含む。

[0010] 本発明の上記の態様および利点は、以下の詳細な説明を読み、図面を参照すると、より良く理解できるであろう。

図１は、本発明の幾つかの実施形態に従った例示のオンライン不正防止システムを示す。 図２は、本発明の幾つかの実施形態に従ったクライアント・システムの例示のハードウェア構成を示す。 図３は、本発明の幾つかの実施形態に従った不正防止サーバー・システムの例示のハードウェア構成を示す。 図４は、本発明の幾つかの実施形態に従ったクライアント・システムで実行されるアプリケーションのセットを示す。 図５は、本発明の幾つかの実施形態に従った、図１および図２の不正防止サーバーで実行される例示のアプリケーションのセットを示す。 図６は、本発明の幾つかの実施形態に従った、クライアント・システムと不正防止サーバーとの間での例示の不正検出トランザクションを示す。 図７は、本発明の幾つかの実施形態に従った、例示のサーバー不正デテクター・アプリケーションの図を示す。 図８は、本発明の幾つかの実施形態に従った、クライアント・システムにより実行される例示のステップのシーケンスを示す。 図９は、本発明の幾つかの実施形態に従った、不正防止サーバーにより行われる例示のステップのシーケンスを示す。

以下の説明では、構造間での全ての記載された接続は、直接の有効な接続、または中間構造を通じての間接の有効な接続であり得ることが、理解される。エレメントのセットは１以上のエレメントを含む。エレメントの何れの詳述も、少なくとも１つのエレメントを指すことが理解される。複数のエレメントは、少なくとも２つのエレメントを含む。必要ではないかぎり、何れの説明される方法のステップも、必ずしも特定の示された順に行う必要はない。第２のエレメントから導き出される第１のエレメント（例えば、データ）に関しては、第１のエレメントが第２のエレメントと等しいことや、第２のエレメントとオプションとしての他のデータとを処理することにより第１のエレメントが作成されることを含む。パラメーターに従って決定または判断を行うことは、パラメーターに従って、また、オプションとして他のデータに従って、決定または判断を行うことを含む。指定しないかぎり、何らかの量／データのインジケーターは、量／データ自体とすることができ、また、量／データ自体とは異なるインジケーターとすることもできる。本発明の幾つかの実施形態で説明するコンピューター・プログラムは、スタンドアローンのソフトウェア・エンティティとすることも、他のコンピューター・プログラムのサブエンティティ（例えば、サブルーチン、コード・オブジェクト）とすることもできる。指定されないかぎり、オンライン不正という用語は、不正ウェブサイトに限定されず、他の不正当であったり一方的に送られてきたりする商業的電子通信、例えば、とりわけ、Ｅメール、インスタント・メッセージ、電話のテキストおよびマルチメディアのメッセージなども含む。コンピューター可読媒体は、磁気、光、および半導体の媒体（例えば、ハード・ドライブ、光ディスク、フラッシュ・メモリ、ＤＲＡＭ）などのような非一時的ストレージと、導電ケーブルや光ファイバーのリンクなどのような通信リンクとを含む。幾つかの実施形態によると、本発明は、特に、ここで説明する方法を行うようにプログラムされたハードウェア（例えば、１以上のプロセッサーおよび／またはメモリ）を含むコンピューター・システムと、ここで説明する方法を行わせるための命令をエンコードするコンピューター可読媒体とを提供する。

[0020] 以下の説明は、例を用いて本発明の実施形態を示すものであり、必ずしも限定を用いて示していない。
[0021] 図１は、本発明の幾つかの実施形態に従った例示のオンライン不正防止システムを示す。システム１０は、複数のウェブ・サーバー１２ａ−ｂ、不正防止サーバー１６、および複数のクライアント・システム１４ａ−ｂを含む。クライアント・システム１４ａ−ｂは、エンドユーザー・コンピューターを表し得るものであり、それぞれが、プロセッサー、メモリ、およびストレージを有し、Ｗｉｎｄｏｗｓ（登録商標）、ＭａｃＯＳ（登録商標）、Ｌｉｎｕｘ（登録商標）などのようなオペレーティング・システムを実行する。幾つかのクライアント・システム１４ａ−ｂは、例えば、タブレットＰＣ、モバイル電話、パーソナル・デジタル・アシスタント（ＰＤＡ）などのような、モバイル計算デバイスおよび／または遠距離通信デバイスを表し得る。幾つかの実施形態では、クライアント・システム１４ａ−ｂは、個々の顧客を表し得るものであり、また、幾つかのクライアント・システムは同じ顧客に属し得る。不正防止サーバー１６は、１以上のコンピューター・システムを含むことができる。ネットワーク１８は、ウェブ・サーバー１２ａ−ｂ、クライアント・システム１４ａ−ｂ、および不正防止サーバー１６を接続する。ネットワーク１８は、インターネットなどのようなワイド・エリア・ネットワークとすることができ、また、ネットワーク１８の一部はローカル・エリア・ネットワーク（ＬＡＮ）を含むこともできる。

[0022] 図２は、クライアント・システム１４の例示のハードウェア構成を示す。幾つかの実施形態では、システム１４は、プロセッサー２０、メモリ・ユニット２２、入力デバイスのセット２４、出力デバイスのセット２８、トレージ・デバイスのセット２６、および通信インターフェース・コントローラー３０を含み、これらの全てはバスのセット３２により接続される。

[0023] 幾つかの実施形態では、プロセッサー２０は、信号および／またはデータのセットを用いて計算オペレーションおよび／または論理オペレーションを実行するように構成された物理デバイス（例えば、マルチコア集積回路）を含む。幾つかの実施形態では、そのような論理オペレーションは、プロセッサー命令のシーケンスの形態（例えば、機械コードや他のタイプのソフトウェア）で、プロセッサー２０へ届けられる。メモリ・ユニット２２は、命令を行うときにプロセッサー２０によりアクセスまたは作成されるデータ／信号を格納する揮発性のコンピューター可読媒体（例えば、ＲＡＭ）を、含むことができる。入力デバイス２４は、とりわけ、コンピューターのキーボードやマウスを含むことができ、ユーザーがデータおよび／または命令をシステム１４へ伝えることを可能にする。出力デバイス２８は、モニターなどのような出力デバイスを含むことができる。幾つかの実施形態では、入力デバイス２４および出力デバイス２８は、タッチスクリーン・デバイスの場合のように、共通のハードウェアを共有することができる。ストレージ・デバイス２６はコンピューター可読媒体を含み、ソフトウェア命令および／またはデータを、不揮発に格納することを可能にし、読み出しおよび書き込みを行う。例示のストレージ・デバイス２６は、磁気ディスク、光ディスク、およびフラッシュ・メモリ。デバイスを含み、また、ＣＤおよび／またはＤＶＤのディスクおよびデバイスなどのような取り外し可能媒体も含む。通信インターフェース・コントローラー３０は、システム１４がネットワーク１８および／または他の機械／コンピューター・システムへ接続することを可能にする。典型的な通信インターフェース・コントローラー３０は、ネットワーク・アダプターを含む。バス３２は、複数のシステム・バス、周辺バス、チップセット・バス、および／またはシステム１４のデバイス２０〜３０の相互接続を可能にする全ての他の回路を、集合的に表す。例えば、バス３２は、とりわけ、プロセッサー２０をメモリ２２へ接続するノースブリッジ・バス、および／またはプロセッサー２０をデバイス２４〜３０へ接続するサウスブリッジ・バスを、含むことができる。

[0024] 図３は、本発明の幾つかの実施形態に従った、不正防止サーバー１６の例示のハードウェア構成を示す。不正防止サーバー１６は、サーバー用プロセッサー１２０、サーバー用メモリ１２２、サーバー用ストレージ・デバイスのセット１２６、およびサーバー用通信インターフェース・コントローラー１３０を含み、これら全てがサーバー用バスのセット１３２を介して接続されるコンピューター・システムとすることができる。不正防止サーバー１６とクライアント・システム１４（図２）とは、ハードウェア構成の幾つかの詳細が異なり得るが、デバイス１２０、１２２、１２６、１３０、および１３２の範囲は、上記のデバイス２０、２２、２６、３０、および３２の範囲とそれぞれ類似であり得る。

[0025] 図４は、クライアント・システム１４で実行される例示のアプリケーションのセットを示す。幾つかの実施形態では、クライアント・システム１４ａ−ｂのそれぞれは、ドキュメント・リーダー・アプリケーション３４（例えば、ウェブ・ブラウザー、Ｅメール・リーダー、メディア・プレーヤー）を含み、これは、ウェブ・サーバー１２ａ−ｂに格納されたデータへリモートでアクセスするために用いるコンピューター・プログラムであり得る。ユーザーが、ウェブページや電子メッセージなど（以下の説明ではターゲット・ドキュメントと呼ぶ）のようなオンライン・ドキュメントへアクセスするとき、そのターゲット・ドキュメントと関連するデータは、それぞれのウェブ・サーバーとクライアント・システム１４との間のネットワーク１８の一部を伝わる。幾つかの実施形態では、ドキュメント・リーダー・アプリケーション３４は、ターゲット・ドキュメントのデータを受け取り、それを視覚的形態に変換し、それをユーザーに表示して、ユーザーがターゲット・ドキュメントのコンテンツとインタラクションすることを可能にする。

[0026] 幾つかの実施形態では、ドキュメント・リーダー・アプリケーション３４は、ドキュメント・リーダー３４と接続されたクライアント用通信マネージャー３７およびクライアント用不正デテクター３６を含む。幾つかの実施形態では、クライアント用不正デテクター３６は、ターゲット・ドキュメントが不正なものであるかどうかを、判定することができる。例えば、ターゲット・ウェブページが、ユーザーの資格情報を要求する正規の銀行のウェブページの視覚的特徴／セマンティック的特徴を複製している場合、クライアント用不正デテクター３６は、ターゲット・ウェブページをフィッシング・ページとして識別することができる。不正が検出された場合、デテクター３６の幾つかの実施形態は、ドキュメント・リーダー３４によるターゲット・ウェブページの表示を妨げることができ、且つ／又はユーザーに不正の警告を発することができる。不正デテクター３６は、プラグイン、アドオン、またはツールバーの形で、ドキュメント・リーダー３４と統合することができる。代替的には、クライアント用不正デテクター３６は、スタンドアローンのソフトウェア・アプリケーションとすることができ、また、アンチウィルス、ファイアウォール、アンチスパム、および他のモジュールを有するセキュリティ・スイートのモジュールとすることもできる。幾つかの実施形態では、不正デテクター３６のオペレーションは、ユーザーによりオンおよびオフにすることができる。

[0027] 幾つかの実施形態では、クライアント用通信マネージャー３７は、クライアント・システム１４の、不正防止サーバー１６および／またはウェブ・サーバー１２ａ−ｂとの通信を管理するように、構成される。例えば、マネージャー３７は、ネットワーク１８を介して接続を確立し、サーバー１２ａ−ｂとサーバー１６との間でのデータの送信および受信を行うことができる。

[0028] 図５は、本発明の幾つかの実施形態に従った、不正防止サーバー１６で実行される例示のアプリケーションのセットを示す。不正防止サーバー１６は、サーバー用不正デテクター３８と、サーバー用通信マネージャー４６、不正スコア・データベース４２、およびフィルター・パラメーター・データベース４４とを含むことができ、これら全てはデテクター３８と接続される。幾つかの実施形態では、サーバー１６はまた、フィルター・パラメーター・データベース４４と接続されるフィルター・トレーニング・エンジン４８を、含むことができる。幾つかの実施形態では、サーバー用不正デテクター３８は、クライアント・システム１４ａ−ｂとの複数の不正検出トランザクションを行うように、構成される。そのようなトランザクションのそれぞれについて、サーバー用不正デテクター３８は、サーバー側スキャンを行って、後に詳細に説明するように、それぞれのクライアント・システムによりアクセスされたターゲット・ドキュメントが不正なものか否かを判定するように、構成される。サーバー用通信マネージャー４６は、クライアント・システム１４ａ−ｂとの通信を管理するように構成される。例えば、マネージャー４６は、ネットワーク１８を介しての接続を確立すること、クライアント・システム１４ａ−ｂとの間でのデータの送信および受信を行うこと、進行中の不正検出トランザクションのリストを維持すること、およびターゲット・ドキュメントのデータを進行中のクライアント・システム１４ａ−ｂと関連付けすることができる。

[0029] 不正スコア・データベース４２は、オンライン不正の知識のリポジトリーとして維持される。幾つかの実施形態では、データベース４２は、後に説明するように複数のターゲット・ドキュメントに対して計算された、複数の記録された不正スコアを含む。データベース４２に格納された各スコアは、追加の情報、例えば、それぞれのスコアが計算または更新された時点を示すタイム・スタンプ、および／またはそれぞれのスコア（下記を参照）を計算するために用いられた不正フィルターのインジケーター（例えば、フィルターＩＤ）などを、含むことができる。不正スコアと共に、データベース４２はまた、複数のターゲットのオブジェクト識別子（例えば、オブジェクトＩＤ、タグ、ハッシュ）を含むデータ構造を格納することができ、各オブジェクト識別子はターゲット・ドキュメントと一意に関連付けされるものであり、且つ、各不正スコアと、その不正スコアが計算されたターゲット・ドキュメントとを関連付けするマッピングを格納することができ、それにより、後に示すように、サーバー用不正デテクター３８がデータベース４２から記録された不正スコアを選択的に取得することを、可能にする。幾つかの実施形態では、不正スコア・データベース４２は、サーバー１６とは別であるがネットワーク１８を介してサーバー１６と接続されるコンピューター・システムに、存在することができる。代替的には、データベース４２は、サーバー１６と接続される不揮発性のコンピューター可読媒体に存在することができる。

[0030] 幾つかの実施形態では、フィルター・パラメーター・データベース４４は、不正フィルター（下記を参照）の動作を決定するフィルター特定的パラメーターのセットを含む。フィルター・パラメーターの例は、ニューラル・ネットワーク・ベースのフィルターのレイヤーあたりのニューロンの数およびニューロンの重みのセット、ｋ平均法ベースの分類（classifier）におけるクラスターの中心の位置、およびイメージ処理フィルターにおけるカラー・ヒストグラムのビンの数および位置を含む。フィルター・パラメーターの他の例は、判断スレッショルド、ネットワーク・アドレスのセット、不正を示すキーワードのセット、およびドメイン名のブラックリスト／ホワイトリストを含む。幾つかの実施形態では、データベース４４に格納されるフィルター・パラメーターの値は、人間のオペレーターにより提供される。幾つかの実施形態では、不正フィルターは、フィルター・パラメーターの値を変化させることにより不正検出性能を向上させるために、トレーニング（最適化）することができる。例えば、フィルター・トレーニング・エンジン４８は、データベース４４に格納されるフィルター・パラメーターのセットを作成するように、構成することができる（例えば、真正のドキュメントから不正を区別するようにニューラル・ネットワーク・フィルターをトレーニングすることは、ニューロンの重みのセットを提供し得る）。幾つかの実施形態では、フィルター・トレーニング・エンジン４８は、不正防止サーバー１６とは別のコンピューター・システムで動作することができ、その場合、エンジン４８により計算されるフィルター・パラメーターは、周期的またはオンデマンドの更新を介してサーバー１６へ送ることができる。

[0031] 図６は、例示のクライアント−サーバーの不正検出トランザクションを示す。ユーザーがオンライン・ドキュメント（例えば、ウェブページ）へアクセスすることを要求すると、それぞれのクライアント・システム１４は、ターゲット・インジケーター４０を不正防止サーバー１６へ送ることができ、サーバー１６からターゲット・ラベル５０を受け取ることができる。幾つかの実施形態では、ターゲット・インジケーター４０は、不正防止サーバー１６がそれぞれのターゲット・ドキュメントへ選択的にアクセスすることおよび／またはそれを取得することを可能にするデータを含む。例示のターゲット・インジケーター４０は、ターゲット・ウェブページのユニフォーム・リソース・ロケーター（ＵＲＬ）、ターゲット・ドキュメントのネットワーク・アドレス、およびターゲット・インターネット・ドメインのＩＰアドレスを含む。幾つかの実施形態では、ターゲット・インジケーター４０は、ターゲット・オブジェクトのオブジェクト識別子（例えば、ハッシュ）、サーバー１６にはアクセス可能なデータベースにおけるターゲット・オブジェクトのアドレス（例えば、ポインター）、またはターゲット・オブジェクト自体の一部または全体を、含むことができる。ターゲット・インジケーター４０の幾つかの実施形態はまた、それぞれのターゲット・ドキュメントと関連する他のデータ（例えば、ターゲット・ドキュメントのＨＴＴＰヘッダーからのフィールド、ターゲット・ドキュメントのサイズおよび／またはタイム・スタンプ）も含むことができる。

[0032] 幾つかの実施形態では、ターゲット・ラベル５０は、それぞれの不正検出トランザクションのときに不正防止サーバー１６により決定された、ターゲット・ドキュメントの不正ステータス（例えば、不正、正当）のインジケーターを含む。ターゲット・ラベル５０はまた、それぞれのターゲット・オブジェクトの識別子（オブジェクトＩＤなど）と、タイム・スタンプや検出された不正のタイプ（例えば、フィッシング）のインジケーターなどのような他のデータとを、含むことができる。

[0033] 図７は、本発明の幾つかの実施形態に従ったサーバー用不正デテクター３８の図を示す。不正デテクター３８は、パーサー（解析器；ｐａｒｓｅｒ）５２、パーサー５２と接続された不正フィルターのセット５４（図７ではＦ１、・・・Ｆｎと示す）、フィルター５４と接続されたスコア・アグリゲーター７０、およびスコア・アグリゲーター７０と接続された判断モジュール６６を含む。幾つかの実施形態では、不正デテクター３８は、クライアント・システム１４からターゲット・インジケーター４０を受け取り、インジケーター４０により識別されたターゲット・ドキュメントが不正なものか否かを示すターゲット・ラベル５０を作成する。サーバー用不正デテクター３８はまた、記録された不正スコア６２を不正スコア・データベース４２から、そしてフィルター・パラメーターのセット５６をフィルター・パラメーター・データベース４４から取得することができ、集計不正スコア６４をスコア・データベース４２へ出力することができる。

[0034] 幾つかの実施形態では、パーサー５２は、ターゲット・インジケーター４０を受け取り、インジケーター４０と関連するターゲット・ドキュメントを、様々な不正フィルター５４に対する入力として適切な形態へと処理する。例えば、ターゲット・ドキュメントがウェブページである場合、パーサー５２は、ターゲット・ウェブページを、構成エンティティ（例えば、ヘッダー、ボディ、テキスト部分、イメージなど）へと分解することができ、フォームやハイパーリンクなどのような様々な特徴を識別することができ、とりわけ、ＨＴＴＰヘッダーから特定のデータ（例えば、リンク元（referrer）ＵＲＬ）を抽出することができる。幾つかの実施形態では、パーサー５２は、ターゲット・インジケーター４０に従ってターゲット・ドキュメントの場所（例えば、ＵＲＬ）を判定し、それぞれの場所からターゲット・ドキュメントのコピーをダウンロードするようにサーバー用通信マネージャー４６へ命令することができる。

[0035] 幾つかの実施形態では、不正フィルター５４はコンピューター・プログラムであり、それぞれが、ターゲット・インジケーター４０により示されたドキュメントの正当性を評価するための異なるプロシージャーを、インプリメントする。幾つかの実施形態では、それぞれの不正フィルター５４のオペレーションは、不正を示す特徴（不正なドキュメントの特徴）に関して、および／または正当性を示す特徴（正当なドキュメントの特徴）に関して、それぞれのターゲット・ドキュメントを評価することを、含むことができる。不正を示す特徴の例は、不正なリンク元である。ユーザーが、フィッシングＥメールにおいて見つけたリンクをクリックすることにより、特定のウェブページへ導かれたとき、そのそれぞれのウェブページは、不正なものである可能性が高い。不正を示す別の特徴は、ターゲット・ウェブページにおけるログイン・フォームの存在である。正当性を示す特徴は、トラフィックが高いことである。受け取るトラフィックが高いドメインは、僅かなビジターのみを受け入れるドメインよりも、不正の可能性が低い。

[0036] 不正フィルター５４の幾つかの例を以下で列挙する。
[0037] ａ）リンク元フィルターは、それぞれのドキュメントのリンク元に従って、ターゲット・ドキュメントが不正なものかどうかを判定することができる。幾つかの実施形態では、リンク元は、ターゲット・ドキュメントへリンクする及び／又はターゲット・ドキュメントへユーザーを導くドキュメント（例えば、ウェブページ）である。例えば、ウェブページのＨＴＴＰヘッダーは、現在のページの直前に訪問したページのＵＲＬ（リンク元ＵＲＬとしても知られている）を、含むことができる。幾つかの実施形態では、フィルター５４は、リンク元のブラックリストおよび／またはホワイトリストを維持し、ターゲット・ドキュメントのリンク元をブラックリスト／ホワイトリストのエンティティと比較する。幾つかの実施形態では、ブラックリストにあるＵＲＬにより参照されたページは、不正とマーク付けされる。別の実施形態では、スパム・メッセージ、マルウェア、および／またはソーシャル・ネットワークとして認識されたリンク元は、例えば、個人ウェブページやサーチ・エンジンなどのようなリンク元よりも、不正であることに関しての高い確率と関連付けされ得る。

[0038] ｂ）ページ・レイアウト・フィルターは、ターゲット・ドキュメントの視覚的レイアウトに従って、ターゲット・ドキュメントが不正なものかどうかを、判定することができる。幾つかの実施形態では、ログイン・ページとして視覚的に編成されたウェブページには、不正なものであることに関しての高い確率が割り当てられる。

[0039] ｃ）キーワード・フィルターは、不正と一般的に関連するキーワードのリストを維持することができる。ターゲット・ドキュメントにおけるそのようなキーワードの存在は、それぞれのターゲット・ドキュメントへフィルターが不正とラベル付けすることを、決定することができる。

[0040] ｄ）インターネット・ドメイン履歴フィルターは、インターネット・ドメインについての履歴データを用いて、ドメインによりホストされるターゲット・ドキュメントの正当性を判定することができる。幾つかの実施形態では、それぞれのドメインは、不正なウェブページ（例えば、フィッシング）をホストしたことが無い、またはハッキングされたことが無い、というインジケーションがあるとき、ターゲット・ドキュメントには、不正なものであることに関しての高い確率が割り当てられる。

[0041] ｅ）インターネット・ドメイン評判フィルターは、評判インジケーターのセット、例えば、ドメイン・オーナーのアイデンティティおよび／またはアドレス、現在のオーナーシップの下でドメインが最初に登録された日付などを、用いることができる。幾つかの実施形態では、不正ドメインとして知られているものと同じオーナーを有するドメインには、高い不正確率が割り当てられる。幾つかの実施形態では、オーナーシップが頻繁に変更されていることを示すドメインにも、不正ドキュメントをホストしているとに関しての高い確率が割り当てられる。

[0042] オンライン不正の形や内容は継続的に変化するので、フィルター５４の不正検出性能は時間と共に変化する。幾つかの実施形態では、複数の不正フィルター５４は、新たなフィルターの追加と、時代遅れと考えられる古いフィルターの除去とにより、現在まで持続させることができる。新たなフィルターは、例えば、新規の不正を示す特徴と共に、導入することができる。幾つかの実施形態では、不正フィルター５４は、オペレーターにより選択的にターン・オンおよびターン・オフすることができる。代替的には、フィルターは、サービスにおける特定の時間（例えば、１年）の後に、または他の基準に従って、自動的に非アクティブにすることができる。幾つかの実施形態では、それぞれの不正フィルター５４は識別子（フィルターＩＤ）を含むことができ、識別子は、その不正フィルターを他の不正フィルターと区別し、それにより、サーバー用不正デテクター３８が、不正フィルターの任意の組み合わせを選択的に用いること、および各ターゲット・ドキュメントを評価するために何れの不正フィルターを使用したかの記録を維持することを、可能にする。

[0043] それぞれの不正フィルター５４は、パーサー５２からのターゲット・ドキュメントのデータのセットと、フィルター・パラメーター・データベース４４からのフィルター・パラメーターのセット５６とを入力し、スコア・アグリゲーター７０へスコア６０を出力する。幾つかの実施形態では、それぞれのスコア６０は、０と１との間の数である。スコア６０は、不正を示すもの（高いスコアは、ターゲット・ドキュメントが不正なものであることに関しての高い確率を示す）、および／または正当を示すもの（高いスコアは、ターゲット・ドキュメントが正当なものであることに関しての高い確率を示す）であり得る。例えば、特定の不正フィルター５４が生じさせた０．８５という不正を示すスコアは、その特定のフィルターによると、そのドキュメントが不正である可能性が８５％であることを示し得る。幾つかの実施形態では、スコア６０は、バイナリー値（例えば、１／０、イエス／ノー）を有することができる。

[0044] 表１は、推測したインターネット・トラフィックに従って不正フィルター５４により生み出された例示のスコアのセット６０を示す。フィルターは、特定のターゲット・ウェブページをスキャンするために、様々なクライアント・システム１４からの多数のリクエスト（クエリ）を登録する。クエリの数は、それぞれのＵＲＬでのインターネット・トラフィックを示すことができ、高いトラフィックは、正当なウェブページを示し得る。例示のスコアは、正当性を示すものである（高いスコアは、正当性が高いことを示す）。

[0045] スコア・アグリゲーター７０（図７）は、不正フィルター５４により生み出された個々のスコア６０を、それぞれのターゲット・ドキュメントの集計スコア６４へと組み合わせるように、構成される。幾つかの実施形態では、集計スコア６４は、ターゲット・オブジェクトが不正なものである可能性を示す数である（例えば、数は０から１００であり、０は確実に正当であることを示し、１００は確実に不正であることを示す）。幾つかの実施形態では、サーバー用不正デテクター３８は、ターゲット・ドキュメントが評価される都度、集計スコア６４のコピーを、ターゲット・ドキュメントのインジケーターおよび計算で用いた不正フィルターのインジケーター（例えば、それぞれのフィルターのＩＤ）と共にスコア・データベース４２に記録するように、構成される。これは、データベース４２がキャッシュのように動作することを可能にする。同じターゲット・ドキュメントが再度評価されるとき、サーバー用不正デテクター３８は、ターゲット・ドキュメントの記録されたスコア６２を、再計算する必要なく、データベース４２から取得することができ、従って、計算リソースを節約することができる。それぞれのターゲット・ドキュメントを分析するために以前に使われたことのない不正フィルター５４（例えば、ターゲット・ドキュメントの最後のスキャン以降に導入された新たなフィルター）のみが、スコア６４を生み出すために用いられ、そのスコアが記録されたスコア６２と組み合わされて集計スコア６４が作成される。

[0046] 集計スコア６４を計算するために、アグリゲーター７０は、最初に、スコア６４を、それぞれのターゲット・ドキュメントの記録されたスコア６２と等しい値に、初期設定することができる。次に、スコアσ_ｉを生み出すそれぞれの不正フィルターｉに対して、アグリゲーター７０の幾つかの実施形態は、以下のように集計スコア６４を反復して変更する。

[0047] スコアσ_ｉが不正を示すものであるとき（高いスコアは、不正の可能性が高いことを示す）、集計スコアの現在値は、
Ｓ_Ａ→Ｓ_Ａ＋（Ｓ_ｍａｘ−Ｓ_Ａ）ｗ_ｉσ_ｉ ［１］
のように新たな値に置換され、ここで、ＳＡは集計スコアを示し、Ｓ_ｍａｘは集計スコアの上界を示し（最大許容可能スコア、例えば、１００）、ｗ_ｉはそれぞれの不正フィルターの重みを示す。不正スコアσ_ｉが正当を示すものであるとき（高いスコアは、正当の可能性が高いことを示す）、集計スコアの現在値は、
Ｓ_Ａ→Ｓ_Ａ −（Ｓ_Ａ−Ｓ_ｍｉｎ）ｗ_ｉσ_ｉ ［２］
のように更新され、ここで、Ｓ_Ａは集計スコアを示し、Ｓ_ｍｉｎは集計スコアの下界を示し（最小許容可能スコア、例えば、０）、ｗ_ｉはそれぞれの不正フィルターの重みを示す。

[0048] 幾つかの実施形態では、それぞれのフィルターの重みｗ_ｉは、０から１の間の数であり、それぞれのフィルターの信頼の度合を表す。ターゲット・ドキュメントの幾つかの特徴は、他の特徴よりも、不正と強く関連し得る。例えば、既知のフィッシング・ページへのリンクは、典型的には、「パスワード」という単語の存在よりも、不正を強く示す。従って、ターゲット・ドキュメントのハイパーリンクの分析に特化した不正フィルターにより計算されたスコアσ_ｉは、「パスワード」などのようなキーワードの存在を検出する不正フィルターにより計算されたスコアσ_ｉよりも、高い重みｗ_ｉを受け取ることができる。幾つかの実施形態では、フィルターの重みｗ_ｉは、オペレーターにより提供することができ、また、自動化したフィルター・トレーニング・プロシージャーの結果とすることもできる。

[0049] 式［１］および［２］を用いる例示の計算では、ターゲット・ウェブページは、以前の不正スキャンにおいて４０という集計スコア（０から１００までのスケールで測定）を受けた。後の時点で、信頼性の高いフィルター（ｗ_１＝１）が導入され、それは、そのターゲット・ウェブページに関して不正指示スコアσ_１＝０．３を返した。アグリゲーター７０は、新たな集計スコア、４０＋（１００−４０）×０．３＝５８、を計算する。そのとき、ドメイン・トラフィック・フィルター（重みｗ_２＝０．５）は、正当指示スコア、σ_２＝０．２、を返す。ここで、集計スコアは、５８−５８×０．５×０．２≒５２、となる。

[0050] 幾つかの実施形態では、判断モジュール６６（図７）は、アグリゲーター７０から集計スコア６４を受け取り、ターゲット・ラベル５０を出力する。ターゲット・ラベル５０を決定するために、判断モジュール６６の幾つかの実施形態は、集計スコア６４を所定のスレッショルドと比較することができる。スコア６４がスレッショルドを超えたとき、ターゲット・ドキュメントは、不正とラベル付けすることができ、そうでない場合は、正当とラベル付けすることができる。幾つかのコンピューター実験では、５０という例示のスレッショルド値を用いた。

[0051] 図８は、本発明の幾つかの実施形態に従った、不正検出トランザクションのときにクライアント・システム１４により実行される例示のステップのシーケンスを示す。ステップ２０２において、システム１４は、ターゲット・ドキュメントへアクセスするためのユーザー・リクエスト（例えば、ウェブページをブラウザー・アプリケーションにおいて表示するため）を受け取る。ステップ２０４において、クライアント用不正デテクター３６は、ターゲット・ドキュメントと関連するターゲット・インジケーター４０を決定することができる。ターゲット・ウェブページの例では、インジケーター４０は、とりわけ、ターゲット・ウェブページのＵＲＬを含むことができる。ステップ２０６において、クライアント用通信マネージャー３７は、ターゲット・インジケーターをサーバー１６へ送るために、ネットワーク１８を介しての不正防止サーバー１６との接続を確立することができる。次に、ステップ２０８において、通信マネージャー３７は、サーバー１６からターゲット・ラベル５０を受け取る。ステップ２１０において、不正デテクター３６は、ターゲット・ラベル５０に従って、それぞれのターゲット・ドキュメントが不正なものか否かを判定する。ラベル５０が正当なドキュメントと示すとき、ステップ２１２において、クライアント・システム１４は、そのターゲット・ドキュメントをロードすることができる（例えば、ターゲット・ウェブページをユーザーに表示する）。ターゲット・ラベル５０が不正なドキュメントと示すとき、ステップ２１４において、クライアント・システム１４は、例えば、不正の警告を表示することにより、ユーザーへ通知を行うことができる。幾つかの実施形態では、ステップ２１４は更に、そのターゲット・ドキュメントへのアクセスを妨げることを、含むことができる。

[0052] 図９は、本発明の幾つかの実施形態に従った、不正検出トランザクションのときに不正防止サーバー１６により行われる例示のステップのシーケンスを示す。ステップ２２２において、サーバー用通信マネージャー４６は、クライアント・システム１４からターゲット・インジケーター４０を受け取る。ステップ２２４において、サーバー用不正デテクター３８は、それぞれのターゲット・ドキュメントと関連する記録されたスコア６２を、スコア・データベース４２から取得することができる。次に、ステップ２２６において、デテクター３８は、記録されたスコア６２と関連して格納されたデータ（例えば、フィルターＩＤ）に従って、スコア６２を計算するために何れの不正フィルター５４が用いられたかと、スコアの更新が必要かどうかとを、決定する。幾つかの実施形態では、ターゲット・ドキュメントへまだ適用されていない少なくとも１つの不正フィルター５４が存在するときにはいつも（例えば、新たな不正フィルターが導入される都度、または既存の不正フィルターのパラメーターが変更されたとき）、新たな集計スコアが計算される。スコアの更新が不要であるとき（例えば、記録されたスコア６２が、全てのフィルター５４からの集計スコア６０であるとき）、サーバー１６のオペレーションは、後に更に説明するようにステップ２３４へ進む。そうではない場合、ステップ２２８において、パーサー５２は、フィルター５４への入力として適切な、ターゲット・ドキュメントのデータのセットを作成することができる。幾つかの実施形態では、ステップ２２８は更に、ターゲット・ドキュメントを、部分的にまたは全体として、サーバー１６へリモートでアクセスまたはダウンロードすることを、含むことができる。

[0053] ステップ２３０において、フィルター５４のサブセットは、パーサー５２からターゲット・ドキュメントのデータを入力し、対応するスコア６０を生み出すことができる。ステップ２３２において、スコア・アグリゲーター７０は、ステップ２３０で計算されたスコア６０を、ステップ２２４で取得した記録されたスコア６２と組み合わせることにより、集計スコア６４を計算することができる。幾つかの実施形態では、アグリゲーター７０は、式［１］を用いて集計スコア６４を計算することができる。次に、ステップ２３４において、判断モジュール６６は、集計スコアに従ってターゲット・ラベル５０を作成することができる。幾つかの実施形態では、新たにスコアの集計が行われなかったとき、モジュール６６は、記録されたスコア６２に従ってターゲット・ラベル５０を決定することができる。ステップ２３６において、サーバー用不正デテクター３８は、通信マネージャー４６に命令して、ターゲット・ラベル５０を送信元クライアント・システム１４へ送らせる。ステップ２３８において、サーバー用不正デテクター３８は、記録されたスコア６２を、新たに計算された集計スコア６４と置換することにより、スコア・データベース４２を更新することができる。幾つかの実施形態では、更新についてのデータ（例えば、集計スコアに参加しているフィルターのＩＤ、タイム・スタンプなど）は、集計スコア６４と共にセーブされる。

[0054] 上述の例示のシステムおよび方法は、幾つかの異なる不正フィルターを同時に用いることを可能にし、それら不正フィルターの個々の出力を動的に組み合わせることを可能にし、調査されたターゲット・ドキュメント（例えば、ウェブページ、電子通信）が不正なものである可能性を示す集計スコアを作成する。

[0055] オンライン不正は、多くの異なる形態となり得る。不正なオンライン・ドキュメントの幾つかは、金融機関を表すふりをするウェブページ、エスクロー詐欺をホストするウェブページ、詐欺を行うソーシャル・ネットワーク（例えば、Ｆａｃｅｂｏｏｋ（登録商標））・ページ、オンライン・カジノ詐欺や金融ローン詐欺やペイ・パー・クリック詐欺をホストするウェブページ、オンライン・デート詐欺や雇用／募集詐欺をホストするウェブページを含む。オンライン不正の他の例は、信用のあるエンティティを装って、機密扱いの情報、例えば、ユーザー名、パスワード、およびクレジット・カードの詳細などを得ることを試みるフィッシング・ウェブページおよび／または電子メッセージである。他の不正なウェブページおよび電子メッセージは、悪意のあるソフトウェアを含んでいること及び／又は悪意のあるソフトウェアをユーザーのコンピューターへインストールすることを試みることがあり得、そのマルウェアは、アイデンティティや他の個人情報を盗むために用いられる。

[0056] 個々の不正フィルターは、ターゲット・ドキュメントの多数の不正を示す特徴および／または正当を示す特徴を評価し、例えば、ウェブページが、ログイン・フォームや不正を示すキーワードを含んでいるかどうかの判定や、ターゲット・ドキュメントをホストしているインターネット・ドメインが、不正ドキュメントをホストした履歴を有するかどうかの判定などを行う。

[0057] 幾つかの実施形態では、個々のフィルターで作成された不正スコアは、不正を示すもの（高いスコアは、不正である可能性が高いことを示す）、または正当を示すもの（高いスコアは、正当である可能性が高いことを示す）であり得る。共通の計算プロシージャーに従って、不正を示すスコアは集計不正スコアを増加させ得、正当を示すスコアは集計スコアを減少させ得る。

[0058] ここで説明した例示のシステムおよび方法は、新たに導入される不正フィルターの動的な組み込み、および／または老朽化した不正フィルターの段階的な除去を、それらのフィルターにより作成された個々のスコアの再計算や、集計不正スコアの再正規化を必要とせずに、可能にする。

[0059] 本発明の幾つかの実施形態は、クライアント−サーバー共同不正検出トランザクションを行い、ターゲット・オブジェクトに対するサーバー側スキャンの結果に従って、ターゲット・オブジェクトの不正ステータス（例えば、不正／正当）を評価する。リモートのサーバーで不正検出の一部を行うことには、クライアント・コンピューター・システムでのローカルの不正検出よりも多くの利点がある。

[0060] サーバーで集中して不正検出の重要な部分を行うことにより、上述のシステムおよび方法は、新たに検出されたオンライン不正についてのデータを時宜に組み込むことを可能とされる。例えば、ウェブページのホワイトリスト／ブラックリストは、より効率的に中央サーバーで維持することができる。それとは対照的に、クライアント・コンピューター・システムで不正検出を行う場合、新たな脅威が発見されるたびに、更新されたホワイトリスト／ブラックリストを多数のクライアントへ分配する必要がある。

[0061] クライアント・システムと上述の不正防止サーバー・システムとの間で交換されるデータ・パケットのサイズは、最小に維持される。不正検出のためにターゲット・ドキュメント全体をクライアントからサーバーへ送る代わりに、上述の例示の方法およびシステムは、ターゲットＵＲＬなどのようなターゲット・インジケーターを交換するように構成され、それはターゲット・オブジェクトあたり数バイトという量であり、従って、ネットワーク・トラフィックを大幅に低減する。

[0062] 上記の実施形態を、本発明の範囲から離れずに多くの方法で変更でき得ることは、当業者には明らかであろう。従って、本発明の範囲は、特許請求の範囲と、それの法的等価物とにより決定されるべきである。

Claims (28)

1. コンピューター・システムが、ターゲット・ドキュメントの集計不正スコアを、不正スコア・データベースに記憶するステップであって、前記集計不正スコアは、該ターゲット・ドキュメントの第１不正スコアと第２不正スコアとの組み合わせとして決定されたものであり、前記第１不正スコアと前記第２不正スコアとは、第１不正フィルター及び第２不正フィルターによりそれぞれ決定されたものである、ステップと、
   前記コンピューター・システムが、第３不正フィルターにより前記ターゲット・ドキュメントの第３不正スコアを決定するステップと、
   前記コンピューター・システムが、前記不正スコア・データベースから前記集計不正スコアを取得し、前記第３不正スコアと、前記集計不正スコアと最大許容可能集計スコアとの差との積に従って決定される第１量により、前記集計不正スコアを変更するステップと、
   前記コンピューター・システムが、変更された前記集計不正スコアに従って、前記ターゲット・ドキュメントが不正なものかどうかを判定するステップと
   を含む方法。
2. 請求項１に記載の方法であって、
   前記第３不正スコアが高いことは、前記ターゲット・ドキュメントが不正なものである可能性が高いことを示し、
   前記集計不正スコアと前記最大許容可能集計スコアとの前記差は、前記最大許容可能集計スコアから前記集計不正スコアを引いたものであり、
   前記第１量により前記集計不正スコアを変更することは、前記第１量だけ前記集計不正スコアを増加させることを含み、
   前記コンピューター・システムは、変更された前記集計不正スコアが所定のスレッショルドを越えた場合に、前記ターゲット・ドキュメントは不正なものであると判定する、
   方法。
3. 請求項１又は２に記載の方法であって、前記第１量は
   （Ｓ_ｍａｘ−Ｓ_Ａ）ｗσ
   という関数として決定され、Ｓ_Ａは前記集計不正スコアであり、Ｓ_ｍａｘは前記最大許容可能集計スコアであり、σは前記第３不正スコアであり、ｗは前記第３不正スコアの信頼性を示す数である、方法。
4. 請求項１又は２に記載の方法であって、前記第３不正スコアを決定することは、前記ターゲット・ドキュメントが不正を示す特徴を含むかどうかを判定するステップを含み、前記集計不正スコアを変更することは、前記ターゲット・ドキュメントが前記不正を示す特徴を含むとき、前記集計不正スコアを前記第１量だけ増加させるステップを含む、方法。
5. 請求項１又は２に記載の方法であって、
   前記コンピューター・システムが、第４不正フィルターにより前記ターゲット・ドキュメントの第４不正スコアを決定するステップと、
   前記コンピューター・システムが、前記第４不正スコアと、前記集計不正スコアと最小許容可能集計スコアとの差との積に従って決定される第２量により、前記集計不正スコアを変更するステップと
   を更に含む方法。
6. 請求項５に記載の方法であって、前記第２量は
   （Ｓ_Ａ−Ｓ_ｍｉｎ）ｗσ
   という関数として決定され、Ｓ_Ａは前記集計不正スコアであり、Ｓ_ｍｉｎは前記最小許容可能集計スコアであり、σは前記第４不正スコアであり、ｗは前記第４不正スコアの信頼性を示す数である、方法。
7. 請求項５に記載の方法であって、前記第４不正スコアを決定することは、前記ターゲット・ドキュメントが正当を示す特徴を含むかどうかを判定するステップを含み、前記集計不正スコアを変更することは、前記ターゲット・ドキュメントが前記正当を示す特徴を含むとき、前記集計不正スコアを前記第２量だけ減少させるステップを含む、方法。
8. 請求項１又は２に記載の方法であって、前記第３不正スコアを決定することは、前記ターゲット・ドキュメントへのハイパーリンクを含むリンク元ドキュメントを評価するステップを含む、方法。
9. 請求項８に記載の方法であって、前記リンク元ドキュメントを評価することは、前記リンク元ドキュメントがソーシャル・ネットワーク・ウェブページであるかどうかを判定するステップを含む、方法。
10. 請求項８に記載の方法であって、前記リンク元ドキュメントを評価することは、前記リンク元ドキュメントがスパム・メッセージであるかどうかを判定するステップを含む、方法。
11. 請求項１又は２に記載の方法であって、前記第３不正スコアを決定することは、前記ターゲット・ドキュメントが不正を示すレイアウトの特徴を含むかどうかを判定するステップを含む、方法。
12. 請求項１１に記載の方法であって、前記レイアウトの特徴は電子フォームを含む、方法。
13. 請求項１又は２に記載の方法であって、前記第３不正スコアを決定することは、前記ターゲット・ドキュメントをホストするインターネット・ドメインがハッキングを受けたことがあるかどうかを判定するステップを含む、方法。
14. ターゲット・ドキュメントの集計不正スコアを不正スコア・データベースに記憶し、前記集計不正スコアは、該ターゲット・ドキュメントの第１不正スコアと第２不正スコアとの組み合わせとして決定されたものであり、前記第１不正スコアと前記第２不正スコアとは、第１不正フィルター及び第２不正フィルターによりそれぞれ決定されたものであり、
    第３不正フィルターにより前記ターゲット・ドキュメントの第３不正スコアを決定し、
    前記不正スコア・データベースから前記集計不正スコアを取得し、前記第３不正スコアと、前記集計不正スコアと最大許容可能集計スコアとの差との積に従って決定される第１量により、前記集計不正スコアを変更し、
    変更された前記集計不正スコアに従って、前記ターゲット・ドキュメントが不正なものかどうかを判定する
    ように構成されたコンピューター・システム。
15. 請求項１４に記載のコンピューター・システムであって、
    前記第３不正スコアが高いことは、前記ターゲット・ドキュメントが不正なものである可能性が高いことを示し、
    前記集計不正スコアと前記最大許容可能集計スコアとの前記差は、前記最大許容可能集計スコアから前記集計不正スコアを引いたものであり、
    前記第１量により前記集計不正スコアを変更することは、前記第１量だけ前記集計不正スコアを増加させることを含み、
    変更された前記集計不正スコアが所定のスレッショルドを越えた場合に、前記ターゲット・ドキュメントは不正なものであると判定する
    ように構成されたコンピューター・システム。
16. 請求項１４又は１５に記載のコンピューター・システムであって、前記第１量は
    （Ｓ_ｍａｘ−Ｓ_Ａ）ｗσ
    という関数として決定され、Ｓ_Ａは前記集計不正スコアであり、Ｓ_ｍａｘは前記最大許容可能集計スコアであり、σは前記第３不正スコアであり、ｗは前記第３不正スコアの信頼性を示す数である、コンピューター・システム。
17. 請求項１４又は１５に記載のコンピューター・システムであって、前記第３不正スコアを決定することは、前記ターゲット・ドキュメントが不正を示す特徴を含むかどうかを判定することを含み、前記集計不正スコアを変更することは、前記ターゲット・ドキュメントが前記不正を示す特徴を含むとき、前記集計不正スコアを前記第１量だけ増加させることを含む、コンピューター・システム。
18. 請求項１４又は１５に記載のコンピューター・システムであって、
    第４不正フィルターにより前記ターゲット・ドキュメントの第４不正スコアを決定し、
    前記第４不正スコアと、前記集計不正スコアと最小許容可能集計スコアとの差との積に従って決定される第２量により、前記集計不正スコアを変更する
    ように構成されたコンピューター・システム。
19. 請求項１８に記載のコンピューター・システムであって、前記第２量は
    （Ｓ_Ａ−Ｓ_ｍｉｎ）ｗσ
    という関数として決定され、Ｓ_Ａは前記集計不正スコアであり、Ｓ_ｍｉｎは前記最小許容可能集計スコアであり、σは前記第４不正スコアであり、ｗは前記第４不正スコアの信頼性を示す数である、コンピューター・システム。
20. 請求項１９に記載のコンピューター・システムであって、前記第４不正スコアを決定することは、前記ターゲット・ドキュメントが正当を示す特徴を含むかどうかを判定することを含み、前記集計不正スコアを変更することは、前記ターゲット・ドキュメントが前記正当を示す特徴を含むとき、前記集計不正スコアを前記第２量だけ減少させることを含む、コンピューター・システム。
21. 請求項１４又は１５に記載のコンピューター・システムであって、前記第３不正スコアを決定することは、前記ターゲット・ドキュメントへのハイパーリンクを含むリンク元ドキュメントを評価することを含む、コンピューター・システム。
22. 請求項２１に記載のコンピューター・システムであって、前記リンク元ドキュメントを評価することは、前記リンク元ドキュメントがソーシャル・ネットワーク・ウェブページであるかどうかを判定することを含む、コンピューター・システム。
23. 請求項２１に記載のコンピューター・システムであって、前記リンク元ドキュメントを評価することは、前記リンク元ドキュメントがスパム・メッセージであるかどうかを判定することを含む、コンピューター・システム。
24. 請求項１４又は１５に記載のコンピューター・システムであって、前記第３不正スコアを決定することは、前記ターゲット・ドキュメントが不正を示すレイアウトの特徴を含むかどうかを判定することを含む、コンピューター・システム。
25. 請求項２４に記載のコンピューター・システムであって、前記レイアウトの特徴は電子フォームを含む、コンピューター・システム。
26. 請求項１４又は１５に記載のコンピューター・システムであって、前記第３不正スコアを決定することは、前記ターゲット・ドキュメントをホストするインターネット・ドメインがハッキングを受けたことがあるかどうかを判定することを含む、コンピューター・システム。
27. コンピューター・システムが、不正フィルターによりターゲット・ドキュメントが不正を示す特徴を含むかどうかを判定するステップと、
    前記ターゲット・ドキュメントが前記不正を示す特徴を含むときに、前記コンピューター・システムが、前記ターゲット・ドキュメントの集計不正スコアの現在値を不正スコア・データベースから取得し、該現在値を、０より大きく且つ１以下の所定の重みと、前記集計不正スコアの前記現在値と前記集計不正スコアの最大許容可能値との差との積である量により変更するステップであって、前記不正スコア・データベースに記憶されていた前記集計不正スコアの前記現在値は、個別の不正フィルターによりそれぞれ決定された複数の個別の不正スコアの組み合わせとして決定されたものである、ステップと、
    前記コンピューター・システムが、前記集計不正スコアの変更された前記現在値に従って、前記ターゲット・ドキュメントが不正であるかどうかを判定するステップと
    を含む方法。
28. 請求項２７に記載の方法であって、
    前記集計不正スコアの前記現在値と前記集計不正スコアの前記最大許容可能値との前記差は、前記最大許容可能値から前記現在値を引いたものであり、
    前記量により前記集計不正スコアの前記現在値を変更することは、前記量だけ該現在値を増加させることを含み、
    前記コンピューター・システムは、前記集計不正スコアの変更された前記現在値が所定のスレッショルドを越えた場合に、前記ターゲット・ドキュメントは不正であると判定する、
    方法。

Images