JP6247490B2 - 不正メール判定装置、及びプログラム - Google Patents

Description

本発明は、受信したメールが不正なメールかどうかを判定する技術に関連するものである。

現在、通信ネットワークを介してメールによる情報の送受信が一般に行われている。メールの利用が普及するのに伴い、メールは各種業務での情報交換手段として活用され、メールにより重要な機密情報がネットワークを経由して授受されるケースも増加している。

そのような観点から、送信先メールアドレスの設定誤り等の不適切なメールの送信を防止するための技術として、例えば特許文献１には、送信するメールの安全性解析・評価を行って安全にメールの送信を行うための技術が記載されている。

一方、近年、発信者のなりすましによる不正な攻撃メールも増加している。そのような観点で、例えば特許文献２には、受信メールに対し、鍵を用いて正当な発信者から送られてきたメールであるかどうかを検証する技術が記載されている。

特開２０１０−１９８３７９号公報 特開２００５−１４２７１９号公報

しかし、受信したメールが、不正なメールかどうかを検証する技術に関し、例えば特許文献２に記載された技術では、送信側等で鍵を生成して付与するなど、特別な仕組みが必要であり、実現が容易でなく、一般的ではない。

近年、様々なテクニックを使用した攻撃メールが増加していることから、より簡易に実現できる不正メールの判定手法が求められている。

本発明は上記の点に鑑みてなされたものであり、送信側や中継ネットワークにおいて、特別な仕組みを備えることなく、受信側でのチェックのみで受信メールが不正か否かの判定を的確に行うことを可能とした技術を提供することを目的とする。

本発明の一実施形態によれば、外部から受信したメールが不正メールか否かを判定する不正メール判定装置であって、
前記不正メール判定装置に接続される端末と外部との間で送信された各メールの送信元アドレス及び宛先アドレスを履歴として格納する履歴データベースを参照し、外部から受信した受信メールの送信元アドレス及び宛先アドレスと、前記履歴データベースにおける各メールの送信元アドレス及び宛先アドレスとの間の類似度を計算し、類似度の大きさに基づいて、前記受信メールが不正メールか否かを判定する不正メール判定手段と、
前記不正メール判定手段により、前記受信メールが不正メールであると判定された場合に、当該受信メールが不正メールであると判定されたことに応じた処理を実行する不正メール制御手段と
を備えることを特徴とする不正メール判定装置が提供される。

本発明の一実施形態によれば、送信側や中継ネットワークにおいて、特別な仕組みを備えることなく、受信側でのチェックのみで受信メールが不正か否かの判定を的確に行うことを可能とした技術を提供することが可能となる。

本発明の実施の形態に係るシステム構成例を示す図である。 不正メール判定装置１０の機能構成図である。 第１の方式におけるアドレス情報の格納処理を示すシーケンス図である。 外部向送信メール宛先履歴テーブルの例を示す図である。 不正メール判定の処理の全体の流れを示すシーケンス図である。 確認画面の例を示す図である。 外部の端末ａから社内の端末に送信されるメール１〜４のヘッダのアドレス情報の例を示す図である。 第１の方式における不正メール判定処理を示すフローチャートである。 第２の方式におけるアドレス情報の格納処理を示すシーケンス図である。 外部受信メール宛先履歴テーブルの例を示す図である。 外部の端末ａから社内の端末に送信されるメール１〜４のエンベロップのアドレス情報の例を示す図である。 第２の方式における不正メール判定処理を示すフローチャートである。 アドレス毎判定情報設定テーブルの例を示す図である。

以下、図面を参照して本発明の実施の形態を説明する。なお、以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。例えば、本実施の形態では、ある会社に着目し、社内から外部（社外）に送られるメール、及び外部から社内に送られるメールを対象としているが、本発明はこのような形態に限られるわけではない。例えば、個人のメールの送受信にも本発明を適用することは可能である。また、本実施の形態では、メール転送のプロトコルとしてＳＭＴＰを使用しているが、本発明を適用できるメールのプロトコルはＳＭＴＰに限られるわけではない。

（システムの全体構成）
図１に、本発明の実施の形態に係るシステム構成例を示す。図１に示すように、本実施の形態におけるシステムにおいては、ある会社の社内に不正メール判定装置１０と宛先履歴ＤＢ（データベース）サーバ２０が備えられる。本実施の形態では、不正メール判定装置１０は社内メールサーバの機能を含んでいるものとする。ただし、不正メール判定装置１０と社内メールサーバが別装置であってもよい。また、不正メール判定装置１０と宛先履歴ＤＢサーバ２０が１つの装置であってもよい。

図１には、外部（他の会社等）のメールサーバの例として外部メールサーバ３０が示されている。また、図１には、例として、社内メールサーバに接続される社内の端末Ａ、端末Ｂ、端末Ｃが示され、外部メールサーバ３０に接続される端末ａ、端末ｂ、端末ｃが示されている。

本実施の形態では、説明を分かり易くするために、端末Ａ、端末Ｂ、端末Ｃ、端末ａ、端末ｂ、端末ｃのユーザをそれぞれユーザＡ、ユーザＢ、ユーザＣ、ユーザａ、ユーザｂ、ユーザｃとし、メールアドレスをＡ、Ｂ、Ｃ、ａ、ｂ、ｃとする。

本実施の形態では、不正メール判定装置１０が、社内から外部に送信されるメールのアドレス情報、及び／又は、外部から社内に送信されるメールのアドレス情報を宛先履歴として宛先履歴ＤＢサーバ２０に格納する。そして、不正メール判定装置１０が、当該履歴に基づいて、外部から受信したメールが不正メールか否かを判定する。なお、本実施の形態において、「不正メール」とは、例えば、受信者が受信することを望まないメール、受信者が受信すべきでないメール、受信者にとって関係のないメール等である。

本実施の形態では、不正メールである可能性があるか否かを判定し、不正メールである可能性がある場合に受信者に確認させることとしている。ただし、不正メール判定装置１０の処理上は、"不正メールである可能性がある"ことを、"不正メールである"と表現している。また、本実施の形態では、メールのヘッダにおけるＴｏ、Ｃｃのいずれも「宛先」として扱うこととしている。

本実施の形態では、以下の観点で、外部から受信したメールが、不正メールか否かの判定を行っている。

業務でのメールのやりとりでメールの返信を行う場合、返信者は、受信したメールの送信元に加えて、Ｃｃ：も含めて全員に返信することが多い。つまり、送信メールのヘッダにおける送信元（Ｆｒｏｍ：）及び宛先（Ｔｏ：、Ｃｃ：）のアドレス群と同じアドレス群が、受信メールのヘッダに付されていることが多い。例えば、Ａからｂ宛にａとＣをＣｃ：に入れて送信したメールのヘッダにはＡ（Ｆｒｏｍ）、ｂ（Ｔｏ）、ａ、Ｃ（Ｃｃ）のアドレスが付される。そして、このメールをｂが受信し、全員へ返信する場合、この返信メールのヘッダには、例えば、ｂ（Ｆｒｏｍ）、Ａ（Ｔｏ）、ａ、Ｃ（Ｃｃ）のアドレスが付される。

そこで、本実施の形態では、後述する第１の方式において、社内の端末から外部に送信されるメールのアドレス情報を宛先履歴として宛先履歴ＤＢサーバ２０に格納しておき、外部からメールを受信した場合に、当該メールのアドレス情報と上記宛先履歴とを比較して、当該アドレス情報と一致する又は近い履歴があるか否かで不正メールかどうかを判定している。

他方、外部の特定のユーザが社内に向けて送信するメールの宛先は、送信の度に異なることは少なく、例えば、いつでも同じ宛先か、もしくは、宛先となる部署毎に同じ複数の宛先の集合となる場合が多い。そこで、本実施の形態では、後述する第２の方式において、外部から社内に向けて送信されるメールのアドレス情報を宛先履歴として宛先履歴ＤＢサーバ２０に格納しておき、外部からメールを受信した場合に、当該メールのアドレス情報と上記宛先履歴とを比較して、当該アドレス情報と一致する又は近い履歴があるか否かで不正メールかどうかを判定している。

図２に、本実施の形態における不正メール判定装置１０の機能構成図を示す。図２に示すように、本実施の形態の不正メール判定装置１０は、メール転送処理部１１、アドレス情報格納処理部１２、不正メール判定処理部１３、及び不正メール通知制御部１４を備える。

メール転送処理部１１は、社内メールサーバに相当する機能部であり、ＳＭＴＰのプロトコルに従ったメールの転送・配信処理等を行う。アドレス情報格納処理部１２は、メール転送処理部１１により送受信されるメールのアドレス情報を宛先履歴ＤＢサーバ２０に格納する機能部である。後述するように、第１の方式では、メールメッセージのヘッダのアドレス情報を格納し、第２の方式では、エンベロップのアドレス情報を格納するが、これらは一例に過ぎない。

不正メール判定処理部１３は、外部から受信したメールのアドレス情報と、宛先履歴ＤＢサーバ２０に格納された送信元毎の宛先履歴とに基づいて、外部から受信したメールが不正メールか否かを判定する機能部である。不正メール通知制御部１４は、不正メール判定処理部１３により受信メールが不正メールであると判定された場合に、不正メールの可能性のあるメールが届いたことを宛先の端末に通知するとともに、確認画面を当該端末に表示させ、確認結果に基づくメール配信制御を行う機能部である。なお、このように不正メールであると判定された場合に、宛先の端末に通知する制御は一例に過ぎず、後述するように、不正メール通知制御部１４は、受信メールが不正メールであると判定された場合に不正メールを破棄する制御や、端末からの受信メール有無確認要求に基づいて、不正メール表示を含む受信メールリストを通知する制御等を行うことも可能である。

本実施の形態に係る不正メール判定装置１０は、コンピュータに、本実施の形態で説明する処理内容を記述したプログラムを実行させることにより実現可能である。すなわち、不正メール判定装置１０における各機能部は、コンピュータに内蔵されるＣＰＵやメモリ、ハードディスク等のハードウェア資源を用いて、各部で実施される処理に対応するプログラムを実行することによって実現することが可能である。上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メール等、ネットワークを通して提供することも可能である。

本実施の形態は、アドレス情報格納処理部１２、不正メール判定処理部１３、及び不正メール通知制御部１４に対応するプログラムを、社内メールサーバ上で実行させることで不正メール判定装置１０とすることを想定しているが、アドレス情報格納処理部１２、不正メール判定処理部１３、及び不正メール通知制御部１４に対応するプログラムを端末（クライアント）で実行させることにより、端末側で不正メール判定処理を行ってもよい。

上記のように、不正メールの判定処理には、２種類（第１の方式、第２の方式）あり、以下、第１の方式と第２の方式についてより詳細に説明する。

（第１の方式：社内からの送信メールの履歴に基づく不正メール判定）
＜アドレス情報格納処理＞
図３を参照して、第１の方式におけるアドレス情報の格納処理について説明する。図３は、社内の端末Ａからメールが送信される例を示している。前述したとおり、第１の方式では、社内からの送信メールに対し、社外から返信を行う際に、全員へ返信を行うことが多いという点に着目していることから、これに関する宛先情報を送信元情報とともに格納するために、メールメッセージのヘッダのＦｒｏｍフィールド、Ｔｏフィールド、Ｃｃフィールドのアドレス情報を取得し、格納することとしている。

なお、本明細書において、「メールメッセージ」は、ヘッダとメール本文からなる。また、メールメッセージを送受信するためのコマンド（送信元を示すＭＡＩＬ Ｆｒｏｍ、宛先を示すＲＣＰＴ Ｔｏ等）を「エンベロップ」と呼ぶ。また、特に断らない限り、「メール」は「メールメッセージ」と「エンベロップ」を含む。また、ＭＡＩＬ ＦｒｏｍをエンベロップＦｒｏｍ、ＲＣＰＴ ＴｏをエンベロップＴｏと呼ぶ場合がある。

図３のステップ１０１で、不正メール判定装置１０におけるメール転送処理部１１が、端末Ａから送信されたメールを受信する。アドレス情報格納処理部１２は、メール転送処理部１１の中のバッファにあるメールメッセージのヘッダからＦｒｏｍ、Ｔｏ、Ｃｃのアドレス情報を取得し、それを宛先履歴ＤＢサーバ２０に送信する（ステップ１０２）。宛先履歴ＤＢサーバ２０は、アドレス情報を格納する（ステップ１０３）。メール転送処理部１１は、メールの転送処理を行う（ステップ１０４）。図３には、一例として、送信されたメールメッセージのヘッダがＦｒｏｍ：Ａ、Ｔｏ：ａ、Ｃｃ：ｂ，ｃ，Ｂであり、これらの情報を宛先履歴ＤＢサーバ２０に格納することが示されている。

図３に示す処理は、メールが社内の端末から送信される度に行われる。ただし、本実施の形態では、会社の外部から受信したメールが不正か否かを判定するので、ヘッダの宛先（Ｔｏ又はＣｃ）に外部アドレスが含まれる送信メールについて図３に示す処理を行って、アドレス情報を格納する。

図４に、第１の方式において宛先履歴ＤＢサーバ２０に格納されるテーブル（外部向送信メール宛先履歴テーブル）の例を示す。図４の例では、送信元（Ｆｒｏｍフィールドのアドレス）、宛先（Ｔｏ、Ｃｃフィールドのアドレス）のアドレス情報（レコード）が、パターン番号とともに格納されている。当該アドレス情報を「パターン」と呼ぶ場合がある。

なお、外部へ送信されるメールのアドレス情報を格納する際に、既に同じアドレス情報が格納されている場合は、新たなレコードに記録することとしてもよいし、パターン毎に件数の欄を設けておき、件数をインクリメントする（１増加させる）こととしてもよい。このように件数の欄を設けることで、パターン毎のメールの数を容易に把握できる。

また、アドレス情報毎に１レコードに格納し、同じパターンには同じパターン番号を付し、更に、アドレス情報を格納した時刻（日時）を格納してもよい。時刻を格納することで、パターンの古さを把握でき、古いパターンについては判定対象外とするといった制御を行うことができる。

＜不正メール判定処理＞
まず、不正メール判定の処理の全体の流れについて、図５のシーケンス図を参照して説明する。処理の全体の流れについては第２の方式も同様である。図５には、例としてエンベロップＦｒｏｍ、エンベロップＴｏ、及びヘッダのＦｒｏｍ、Ｔｏ、Ｃｃフィールドのアドレスが示されている。これらのアドレスに示されているように、図５は、外部のａから社内のＡ、Ｂ、及び外部のｂ，ｃに向けてメールが送信される例を示している。

外部の端末ａから、メールが送信される（ステップ２０１）。メールは外部メールサーバ３０から不正メール判定装置１０のメール転送処理部１１に送信される（ステップ２０２）。不正メール判定装置１０における不正メール判定処理部１３は、メール転送処理部１１のバッファ（記憶装置）の中のメールから送信元アドレスと宛先アドレスを取得し、当該アドレス情報と、宛先履歴ＤＢサーバ２０における宛先履歴とを比較することで、受信したメールが不正メールか否かを判定する（ステップ２０３〜２０５）。この判定は、メールの社内の宛先毎に行われる。図５の例では、宛先であるＡとＢについて判定が行われている。従って、同じメールでも、ある宛先にとって不正ではなく、別の宛先にとって不正であることがある。

不正メール判定処理部１３は、ある宛先（図５の例ではＢ）について、受信メールが不正メールでないと判定した場合、その旨をメール転送処理部１１に通知し、メール転送処理部１１は当該宛先（Ｂ）にメールを転送する（ステップ２０６）。

不正メール判定処理部１３が、ある宛先（図５の例ではＡ）について、受信メールが不正メールであると判定した場合、不正メール通知制御部１４は、不正メール通知を当該宛先（本例では端末Ａ）に送信する（ステップ２０７）。不正メール通知は、メール転送処理部１１からメールで送信してもよいし、他の手段で送信してもよい。また、不正メール通知には、宛先の端末において確認画面を表示するための確認画面情報（例：ＵＲＬ）が含まれている。

不正メール通知を受信した端末Ａは、例えばＵＲＬをクリックすることで確認画面を表示する（ステップ２０８）。確認画面の一例を図６に示す。図６に示すように、確認画面には、不正メールと判定された理由（本実施の形態では、「いつもと異なる宛先の組み合わせです。）、通知の受信者が対応を選択するためのボタン（「削除する」、「受信する」、「後で確認する」等）が表示されている。

不正メール通知制御部１４が、端末Ａから受信ＯＫ（例：「受信する」が選択された場合）を受信すると（ステップ２０９）、不正メール通知制御部１４は受信ＯＫである旨をメール転送処理部１１に通知し、通知を受けたメール転送処理部１１は、メールの転送を行う（ステップ２１０）。もしも不正メール通知制御部１４が、端末Ａから受信ＮＧ（例：「削除する」が選択された場合）を受信した場合には、不正メール通知制御部１４は受信ＮＧである旨をメール転送処理部２１０に通知し、通知を受けたメール転送処理部１１は、メールの破棄を行う。

上記の例では、不正メール判定処理部１３が受信メールを不正メールと判定した場合に、不正メール判定装置１０（メールサーバ）から受信者の端末に通知を行うこととしているが、このような制御は一例に過ぎない。

例えば、不正メール判定装置１０から端末への通知を行わず、受信者（端末）側で定期的に不正メール判定装置１０における受信メール有無を確認し、不正メール対象をチェックして確認画面を表示するようにしてもよい。

この場合、例えば、不正メール判定装置１０の不正メール通知制御部１４は、受信者の端末から定期的に送信される受信メール確認要求に応じて、受信メールが不正メールかどうかの判定結果の表示を含む受信メールリストを作成し、当該リストを受信者の端末に送信する機能を備える。受信者は、端末に表示された受信メールリスト画面を確認し、不正メールの表示（印）がある場合に、それをクリックする（あるいはチェックする）等の操作を行うことで、確認画面を不正メール通知制御部１４に要求する。要求を受けた不正メール通知制御部１４は、該当の不正メールに関する確認画面情報を端末に送信する。確認画面情報を受信した端末には、図６に示したような確認画面が表示される。その後の制御内容は前述した制御と同様である。

また、端末が不正メール確認要求を定期的に不正メール判定装置１０に送信するようにして、不正メール通知制御部１４が、端末から不正メール確認要求を受信したときに、不正メールの有無を確認し、不正メールがある場合に当該不正メールに関する確認画面情報を端末に送信することとしてもよい。

また、不正メール通知制御部１４は、不正メール判定処理部１３がある宛先についての受信メールを不正メールと判定した時点で、当該宛先に対する受信メールを破棄する制御を行ってもよい。

外部の端末ａから社内の端末に送信されるメール１〜４のヘッダのアドレス情報の一例を図７に示す。図７に示す例を用いて、外部の端末ａから社内の端末に送信されるメールについての不正メール判定処理の詳細を図８のフローチャートを参照して説明する。

不正メール判定装置１０の不正メール判定処理部１３は、外部から受信したメールメッセージのヘッダから送信元アドレス、宛先アドレスを抽出する（ステップ３０１）。例えば、図７のメール１の場合、送信元アドレスとしてａが抽出され、宛先アドレスとしてＡ、Ｂ、Ｃ、ａ、ｂ、ｃが抽出される。本例では、宛先アドレスとして抽出された社内のアドレス毎に比較判定を行うので、Ａ、Ｂ、Ｃのそれぞれについて、以下の判定処理を行う。

まず、宛先アドレスＡについての処理を行う。不正メール判定処理部１３は、図４に示した外部向送信メール宛先履歴テーブルから、判定対象メールの宛先アドレスＡを送信元とし、送信元アドレスａを宛先とする履歴を抽出する（ステップ３０２）。図４の例では、パターン１、２、３が抽出される。なお、本例では、ステップ３０２において、履歴が抽出されない場合、不正であると判定される。

そして、不正メール判定処理部１３は、ステップ３０２で抽出された履歴の各パターンと、判定対象メールのアドレスとの比較を行い、不正かどうかを判定する（ステップ３０３）。例えば、判定対象メールにおける送信元アドレス（本例のａ）と着目宛先アドレス（本例の現段階ではＡ）を除いた宛先アドレス群と完全に一致する宛先アドレス群を持つパターンがステップ３０２で抽出されたパターンの中にある場合に正常であり、完全に一致するパターンがない場合に不正であると判定することができる。例えば、判定対象メールがメール１の場合、送信元：ａ、宛先：Ａ、Ｂ、Ｃ、ａ、ｂ、ｃであり、送信元ａと宛先Ａを除いた宛先アドレス群Ｂ、Ｃ、ａ、ｂ、ｃは、図４のテーブルのパターン１の宛先アドレス群と完全に一致するので、正常であると判定される。また、例えば、メール３は、送信元：ａ、宛先：Ａ、Ｂ、Ｃ、Ｅであり、宛先アドレス群Ｂ、Ｃ、Ｅと完全に一致する宛先アドレス群を持つパターンは存在しないからメール３は不正であると判定される。

上記のように完全に一致するか否かでなく、各パターンとの間で類似度を計算し、最大となる類似度の大きさによって、不正メールかどうかを判定してもよい。類似度としては、例えば、集合要素の類似度の評価を行うためのＴａｎｉｍｏｔｏ係数を利用することができる。Ｔａｎｉｍｏｔｏ係数Ｔは以下の式で表される。

Ｔ＝Ｎｃ／（Ｎａ＋Ｎｂ−Ｎｃ）
上記の式において、Ｎａは集合ａの要素数であり、Ｎｂは集合ｂの要素数であり、Ｎｃは、集合ａと集合ｂの共通集合ｃ（積集合）の要素数である。Ｔａｎｉｍｏｔｏ係数は０．０〜１．０の間の数として表され、１．０は完全に一致する集合を表し、類似度が下がるにつれ値は小さくなり、０．０で全く一致のない集合を表す。

本例では、テーブルのパターンにおけるアドレスの要素の集合を集合ａ、判定対象メールにおけるアドレス情報の要素の集合を集合ｂとする。この場合、パターン１の集合の要素はＡ、ａ、ｂ、ｃ、Ｂ、ＣでありＮａ＝６である。メール１のアドレス情報の集合の要素は、ａを１つと数え、ａ、Ａ、Ｂ、Ｃ、ｂ、ｃでありＮｂ＝６である。ｃは、Ａ、ａ、ｂ、ｃ、Ｂ、Ｃであり、Ｎｃ＝６である。よって、Ｔ＝１となる。

また、例えば、パターン３の集合の要素はＡ、ａ、ＥでありＮａ＝３であり、メール３のアドレス情報の集合の要素は、ａ、Ａ、Ｂ、Ｃ、ＥでありＮｂ＝５であり、ｃは、Ａ、ａ、Ｅであり、Ｎｃ＝３である。よって、パターン３とメール３との間では、Ｔ＝３／５＝０．６である。また、メール４のアドレス情報の集合の要素はａ、Ａであり、Ｎｂ＝２であり、ｃは、ａ、Ａであり、Ｎｃ＝２である。よって、パターン３とメール４との間では、Ｔ＝２／３≒０．６６である。

不正メール判定処理部１３は、上記のＴを、判定対象メールのアドレス情報と、ステップ３０２で抽出された各パターンとの間で計算し、最大となるＴが所定の閾値以上であれば不正でないと判定し、最大のＴが所定の閾値未満であれば不正であると判定する。なお、所定の閾値が１である場合、完全一致のときにのみ不正でないと判定される。

上記の例では、アドレスの要素の全部を集合に入れているが、ステップ３０２でパターンを抽出した時点で一致が確認されているａとＡを、パターンのアドレス群及び判定対象メールのアドレス群から除いたアドレス群で評価を行ってもよい。

また、上記の例では、類似度としてＴａｎｉｍｏｔｏ係数を用いているが、これは一例に過ぎず、類似度として他の値を用いてもよい。例えば、パターンと判定対象メールとで、一致するアドレスの個数の、判定対象メールにおけるアドレスの要素数に対する割合で類似度を表してもよい。

図８のフローのステップ３０３において、不正であると判定された場合は図５のステップ２０７〜２１０に示したような不正時の処理を行い（ステップ３０４）、不正でないと判定された場合は、図５のステップ２０６で示すような正常時の処理を行う（ステップ３０５）。

ステップ３０６において、不正メール判定処理部１３は、社内の宛先アドレスの全てについて判定処理が終了したかどうかを確認し、終了していなければ、次の宛先アドレスについてステップ３０２からの処理を繰り返す。例えば、図７に示したメール１の場合であれば、Ａの次に、Ｂについて同様の処理を行う。終了していれば該当の受信メールについての判定処理を終了する。

上記の例において、例えばユーザＡは外部へのメール送信を頻繁に行うために、外部向送信メール宛先履歴テーブルにＡを送信元とする宛先履歴が残る。

一方、社員がある宛先にメールを送信する際に、Ｃｃ：に上司（アドレスＤとする）を必ず加えるが、上司自身はその宛先へのメール送信を行うことはないという場合がある。このような場合、外部向送信メール宛先履歴テーブルには、送信元をＤとする履歴は残らない。従って、例えば、上司のアドレスＤをＣｃに含むメールを外部から受信し、図８で説明した判定処理を行う場合、上記の処理のステップ３０２でパターンが抽出されないため、宛先Ｄについては当該メールは必ず不正と判定されることになる。このようなことを防ぐため、外部向送信メール宛先履歴テーブルにおける「送信元」を「宛先」と区別せずに評価を行うこととしてもよい。

具体的には、図８のフローのステップ３０２で、判定対象メールの送信元（Ｆｒｏｍ）のアドレスが、宛先として存在するパターンを外部向送信メール宛先履歴テーブルから抽出する。この場合、外部向送信メール宛先履歴テーブルにおける「送信元」のアドレスに関わらずに抽出が行われるため、上記の上司のように、該当宛先にメール送信を行わない場合でも、パターン抽出がされる。

そして、抽出された各パターンにおける「送信元」を「宛先」と見なして、一致判定、もしくは類似度判定を行う。例えば、メール１は、送信元：ａ、宛先：Ａ、Ｂ、Ｃ、ａ、ｂ、ｃであるから、これは図４のテーブルのパターン１と完全に一致するので、宛先Ａ、Ｂ、Ｃのいずれにとっても正常であると判定される。

（第２の方式：外部からの受信メールの履歴に基づく不正メール判定）
次に、第２の方式として、外部からの受信メールの履歴に基づく不正メール判定について説明する。以下では、主に第１の方式と異なる点について説明する。

＜アドレス情報格納処理＞
図９を参照して、第２の方式におけるアドレス情報の格納処理について説明する。図９は、外部の端末ａからメールが送信される例を示している。前述したとおり、第２の方式では、外部の特定のユーザが社内に向けて送信するメールの宛先は、送信の度に異なることは少なく、例えば、いつでも同じ宛先か、もしくは、宛先となる部署毎に同じ複数の宛先の集合となる場合が多いという点に着目していることから、社内への宛先アドレス、及び送信元アドレスの情報を正確に取得して格納するために、送信元を示すエンベロップＦｒｏｍ（ＭＡＩＬ Ｆｒｏｍ）のアドレスと、宛先を示すエンベロップＴｏ（ＲＣＰＴ Ｔｏ）のアドレスを取得し、格納することとしている。

なお、社内メールサーバでもある不正メール判定装置１０により取得されるＲＣＰＴ Ｔｏのアドレスは、社内への宛先のアドレスのみを含む。

図９のステップ４０１においてメールが端末ａから送信される。ステップ４０２で、不正メール判定装置１０におけるメール転送処理部１１が、端末ａから送信されたメールを受信する。アドレス情報格納処理部１２は、メール転送処理部１１の中のバッファから当該メールのエンベロップの送信元アドレス（ＭＡＩＬ Ｆｒｏｍのアドレス）、及び宛先アドレス（ＲＣＰＴ Ｔｏのアドレス）を取得し、それらを宛先履歴ＤＢサーバ２０に送信する（ステップ４０３）。宛先履歴ＤＢサーバ２０は、アドレス情報をテーブルとして格納する（ステップ４０４）。メール転送処理部１１は、メールの転送処理を行う（ステップ４０５）。

図９には、一例として、不正メール判定装置１０が受信するメールのエンベロップが、ＭＡＩＬ Ｆｒｏｍ：ａ、ＲＣＰＴ Ｔｏ：Ａ，Ｂであり、これらの情報を宛先履歴ＤＢサーバ２０に格納することが示されている。図９に示す処理が、メールが外部から社内の端末へ送信される度に行われる。

図１０に、第２の方式において宛先履歴ＤＢサーバ２０に格納される外部受信メール宛先履歴テーブルの例を示す。図１０の例では、送信元（ＭＡＩＬ Ｆｒｏｍのアドレス）、宛先（ＲＣＰＴ Ｔｏのアドレス）が、パターン番号とともに格納されている。なお、外部から受信するメールのアドレス情報を格納する際に、既に同じアドレス情報が格納されている場合は、新たなレコードに記録することとしてもよいし、パターン毎に件数の欄を設けておき、件数をインクリメントする（１増加させる）こととしてもよい。また、第１の方式と同様に、パターン毎に格納時刻を格納してもよい。

＜不正メール判定処理＞
第２の方式における不正メール判定処理の全体の流れ、端末に表示される確認画面、確認制御等は第１の方式と同じであり、図５、図６を参照して説明したとおりである。

図１０に示した外部受信メール宛先履歴テーブルとの比較の対象となる、外部の端末ａから社内の端末に送信されるメール１〜４のアドレス情報の例を図１１に示す。図１１に示すとおり、第２の方式では、エンベロップのアドレス情報（ＭＡＩＬ Ｆｒｏｍ、ＲＣＰＴ Ｔｏ）を比較に用いる。

第２の方式において、外部の端末ａから社内の端末に送信されるメールについての不正メール判定処理を図１２のフローチャートを参照して説明する。

不正メール判定装置１０の不正メール判定処理部１１は、外部から受信したメールのエンベロップから送信元アドレス、宛先アドレスを抽出する（ステップ５０１）。例えば、図１１のメール１の場合、送信元アドレスとしてａが抽出され、宛先アドレスとしてＡ、Ｂ、Ｃ、Ｄが抽出される。本例では、宛先アドレスとして抽出された社内のアドレス毎に比較判定を行うので、Ａ、Ｂ、Ｃ、Ｄのそれぞれについて、以下の判定処理を行う。

まず、宛先アドレスＡについての処理を行う。不正メール判定処理部１３は、図１０に示したテーブルから、判定対象メールの送信元アドレスａを送信元とし、宛先アドレスＡを宛先として含むパターンを抽出する（ステップ５０２）。図１０の例では、パターン１、２が抽出される。本例では、ステップ５０２において、履歴が抽出されない場合、不正であると判定される。

そして、不正メール判定処理部１３は、ステップ５０２で抽出されたパターンと、判定対象メールのアドレスとの比較を行い、不正かどうかを判定する。判定の基準は第１の方式と同様である。すなわち、例えば、判定対象メールにおける送信元アドレス（本例のａ）と着目宛先アドレス（本例の現段階ではＡ）を除いた宛先アドレス群と完全に一致する宛先アドレス群を持つパターンがステップ５０２で抽出されたパターンの中にある場合に正常であり、完全に一致するパターンがない場合に不正であると判定することができる。例えば、メール１は、送信元：ａ、宛先：Ａ、Ｂ、Ｃ、Ｄであり、アドレス群Ｂ、Ｃ、Ｄは、図１０のテーブルのパターン１のアドレス群Ｂ、Ｃ、Ｄと完全に一致するので、正常であると判定される。また、例えば、メール３は、送信元：ａ、宛先：Ａ、Ｂ、Ｃ、Ｅであり、アドレス群Ｂ、Ｃ、Ｅと完全に一致するアドレス群を持つパターンは存在しないからメール３は不正であると判定される。

上記のように完全に一致するか否かでなく、各パターンとの間で類似度を計算し、最大となる類似度の大きさによって、不正メールかどうかを判定してもよい。類似度としては、第１の方式と同様に、例えば、Ｔａｎｉｍｏｔｏ係数を利用することができる。

本例でも、パターンにおけるアドレスの要素の集合を集合ａ、判定対象メールにおけるアドレス情報の要素の集合を集合ｂとする。この場合、例えば、パターン１の集合の要素はａ、Ａ、Ｂ、Ｃ、ＤでありＮａ＝５である。メール１のアドレス情報の集合の要素は、ａ、Ａ、Ｂ、Ｃ、ＤでありＮｂ＝５である。ｃは、ａ、Ａ、Ｂ、Ｃ、Ｄであり、Ｎｃ＝５である。よって、Ｔ＝１となる。

また、例えば、パターン２の集合の要素はａ、Ａ、Ｂ、ＣでありＮａ＝４であり、メール３のアドレス情報の集合の要素は、ａ、Ａ、Ｂ、Ｃ、ＥでありＮｂ＝５であり、ｃは、ａ、Ａ、Ｂ、Ｃであり、Ｎｃ＝４である。よって、パターン２とメール３との間では、Ｔ＝４／５＝０．８である。

不正メール判定処理部１３は、上記のＴを、判定対象メールのアドレス情報と、ステップ５０２で抽出された各パターンとの間で計算し、最大のＴが所定の閾値以上であれば不正でないと判定し、最大のＴが所定の閾値未満であれば不正であると判定する。

なお、上記の例では、アドレスの要素の全部を集合に入れているが、ステップ５０２でパターンを抽出した時点で一致が確認されているａ、Ａを除いたアドレスで評価を行ってもよい。

また、上記の例では、類似度としてＴａｎｉｍｏｔｏ係数を用いているが、これは一例に過ぎず、類似度として他の値を用いてもよい。例えば、パターンと判定対象メールとで、一致するアドレスの個数の、判定対象メールにおけるアドレスの要素数に対する割合で類似度を表してもよい。

図１２のフローのステップ５０３において、不正であると判定された場合は図５のステップ２０７〜２１０に示したような不正時の処理を行い（ステップ５０４）、不正でないと判定された場合は、図５のステップ２０６で示すような正常時の処理を行う（ステップ５０５）。

ステップ５０６において、不正メール判定処理部１３は、宛先アドレスの全てについて判定処理が終了したかどうかを確認し（ステップ５０６）、終了していなければ、次の宛先アドレスについてステップ５０２からの処理を繰り返す。例えば、図１１に示したメール１の場合であれば、Ａの次に、Ｂについて同様の処理を行う。終了していれば該当の受信メールについての判定処理を終了する。

（閾値の設定方法について）
前述したように、第１の方式と第２の方式における１つの判定手法として、Ｔａｎｉｍｏｔｏ係数を算出し、それを「所定の閾値」と比較することで不正メールかどうかを判定している。この閾値は、例えば、学習期間を設けることで求める。学習期間では、不正メール判定処理部１３は、メールを受信する度に、対応する各テーブルに宛先履歴を蓄積するとともに、前述した判定処理と同様にして、各パターンとの間でＴａｎｉｍｏｔｏ係数を算出し、Ｔａｎｉｍｏｔｏ係数をメモリ等の記憶手段に蓄積する。そして、Ｔａｎｉｍｏｔｏ係数の分布を調べ、Ｔａｎｉｍｏｔｏ係数の例えば中間値を閾値とし、閾値を超える値のうちの最頻値を「所定の閾値」として採用する。所定の閾値は、第１の方式と第２の方式のそれぞれについて求める。

また、実際の運用の段階では、受信メールにおいて最大のＴａｎｉｍｏｔｏ係数が所定の閾値よりも小さければ不正メールとして隔離されるが、当該隔離したメールについてもユーザにより受信が選択されれば、受信メールのアドレス情報を宛先履歴に追加する。また、メールを外部から受信する度に、Ｔａｎｉｍｏｔｏ係数が計算されるので、計算されるＴａｎｉｍｏｔｏ係数と、これまでに計算したＴａｎｉｍｏｔｏ係数を用いて上記のようにして所定の閾値を求め、所定の閾値を更新していく。所定の閾値の更新は、メールを受信する度に行ってもよいし、所定数のメールを受信する度に行うこととしてもよい。

（アドレス毎判定パターン設定について）
本実施の形態では、不正メール判定装置１０には第１の方式と第２の方式の両方の判定を行う機能を備える。ただし、不正メール判定装置１０が第１の方式と第２の方式のいずれか一方のみの機能を備えることとしてもよい。

両方の機能を備える不正メール判定装置１０は、外部からの受信メールの不正判定において、第１の方式の手法、第２の方式の手法のどちらか１つの判定のみを行うこととしてもよいし、両方の判定を行うこととしてもよい。両方の判定を行う場合、例えば、不正メール判定処理部１３は、第１の方式での判定と、第２の方式での判定の両方で、判定対象メールが不正メールでないと判定した場合に判定対象メールが不正メールでないと判定し、いずれか一方で不正であると判定された場合に不正メールであると判定してもよいし、いずれか一方で不正でないと判定されれば、判定対象メールは不正でないと判定してもよい。

また、不正メール判定処理部１３は、宛先となるユーザのメール送受信の特性に応じて、判定対象メールに対し、第１の方式で判定を行うか、第２の方式で判定を行うかを選択することとしてもよい。

例えば、受信が多いユーザ（多くの部下のＣｃに必ず含まれる上司等）、送信が多いユーザ（営業担当者等）、受信専用アドレス（問合せ窓口）等によってメール送受信の特性が異なる。

本実施の形態では、特性に応じて「判定パターン」を設定しておき、効果的な判定（判定処理時間短縮等）を行うこととしている。図１３に、当該判定パターンを含む情報を記録したアドレス毎判定情報設定テーブルを示す。このテーブルは、不正メール判定装置１０の記憶装置、もしくは外部のＤＢサーバ（例：宛先履歴ＤＢサーバ２０）に格納され、不正メール判定処理部１３により、不正メール判定処理時に参照される。また、当該テーブルを用いる実施形態では、図４、図１０に示した履歴テーブルの各々には、不正メール判定装置１０（社内メールサーバ）により、外部との間の全ての送受信メールのアドレス情報と格納日時が記録される。

図１３の例では、例えば、アドレスＡのユーザについては、当該アドレスＡ宛に外部からメールを受信したときに、第２の方式（外部からの受信履歴）を優先して使用する。「優先して使用」とは、例えば、第２の方式での判定が可能でない場合（パターン数が十分でない等）以外は第２の方式を用いることである。

図１３における「履歴一致期限判定」は、宛先履歴テーブルにおける所定の期日以内のパターンと一致した（又は類似度が閾値以上の）場合に正常と判定するものである。すなわち、判定対象メールと一致する最新のパターンが、古い時期（例：３０日以前）に履歴テーブルに蓄積されたパターンである場合は不正メールと判定する。このような判定手法は、所定の期間だけ行われるプロジェクトについての判定を行う場合に有効である。

「履歴一致件数判定」は、判定対象メールと一致した（又は類似度が閾値以上の）最新のパターンが、直近で送受信された所定件数以内のメールに基づくパターンでない場合は不正メールとして判定するものである。例えば、判定パターンが「受信履歴」（第２の方式）であり、「履歴一致件数判定」の件数が１００件である場合、判定対象メールと一致した（又は類似度が閾値以上の）最新のパターンが、図１０に示す外部受信メール宛先履歴テーブルにおける最新のメールによるパターンから過去１００件以内のパターンである場合に不正でないと判定する。

「パターン一致件数判定」は、判定対象メールと一致した（又は閾値以上の）パターンの件数を判定で考慮するものである。例えば、「パターン一致件数」が５件の場合、一致パターン４件以下の場合は不正メールと判定し、５件以上であれば不正メールでないと判定する。

以上、説明したように、本実施の形態では、メール送受信を行うユーザ（アドレス）のグループは、ある程度一致するという傾向があることに着目して、履歴として残っているグループ（パターン）と受信メールのアドレスのグループとの間の類似度を測り、受信メールの異質さを検知することとしている。このような手法を採用したことで、送信側や中継ネットワークにおいて、特別な仕組みを備えることなく、受信側でのチェックのみで受信メールが不正か否かの判定を的確に行うことが可能となる。

なお、本実施の形態では、不正メール判定装置１０の装置構成として図２に例を示したが、装置構成は図２に限られるわけではなく、本実施の形態で説明した不正メール判定処理を実施できる構成であればどのような構成でもよい。例えば、不正メール判定装置１０を、外部から受信したメールが不正メールか否かを判定する不正メール判定装置であって、前記不正メール判定装置に接続される端末と外部との間で送受信された各メールの送信元アドレス及び宛先アドレスを履歴として格納する履歴データベースを参照し、外部から受信した受信メールの送信元アドレス及び宛先アドレスと、前記履歴データベースにおける各メールの送信元アドレス及び宛先アドレスとを比較することにより、前記受信メールが不正メールか否かを判定する不正メール判定手段と、前記不正メール判定手段により、前記受信メールが不正メールであると判定された場合に、当該受信メールの宛先の端末上に表示された確認画面への入力情報に応じて前記受信メールを前記端末に転送するか否かを決定する不正メール制御手段とを備える不正メール判定装置として構成してもよい。

例えば前記不正メール制御手段は、前記受信メールの宛先の端末に不正メール通知を送信することにより、又は、当該端末から受信する確認要求に基づいて、当該端末に確認画面情報を送信する。また、前記不正メール制御手段は、前記不正メール判定手段により、前記受信メールが不正メールであると判定された場合に、当該受信メールを破棄するようにしてもよい。

前記不正メール判定装置は、端末から外部に向けて送信された各メールの送信元アドレス及び宛先アドレス、又は、外部から受信した各メールの送信元アドレス及び宛先アドレスを前記履歴データベースに格納するアドレス情報格納処理手段を備える。

前記不正メール判定手段は、前記履歴データベースにおける送信元アドレス及び宛先アドレスからなるパターンの中に、前記受信メールの送信元アドレス及び宛先アドレスと一致するパターンが存在するか否かを判定することにより、前記受信メールが不正メールか否かを判定することができる。また、前記不正メール判定手段は、前記履歴データベースにおける送信元アドレス及び宛先アドレスからなる各パターンと、前記受信メールの送信元アドレス及び宛先アドレスとの間の類似度を算出し、最大の類似度が所定の閾値以上となるか否かを判定することにより、前記受信メールが不正メールか否かを判定することができる。

（第１項）
外部から受信したメールが不正メールか否かを判定する不正メール判定装置であって、
前記不正メール判定装置に接続される端末と外部との間で送受信された各メールの送信元アドレス及び宛先アドレスを履歴として格納する履歴データベースを参照し、外部から受信した受信メールの送信元アドレス及び宛先アドレスと、前記履歴データベースにおける各メールの送信元アドレス及び宛先アドレスとを比較することにより、前記受信メールが不正メールか否かを判定する不正メール判定手段と、
前記不正メール判定手段により、前記受信メールが不正メールであると判定された場合に、当該受信メールの宛先の端末上に表示された確認画面への入力情報に応じて前記受信メールを前記端末に転送するか否かを決定する不正メール制御手段と
を備えることを特徴とする不正メール判定装置。
（第２項）
外部から受信したメールが不正メールか否かを判定する不正メール判定装置であって、
前記不正メール判定装置に接続される端末と外部との間で送受信された各メールの送信元アドレス及び宛先アドレスを履歴として格納する履歴データベースを参照し、外部から受信した受信メールの送信元アドレス及び宛先アドレスと、前記履歴データベースにおける各メールの送信元アドレス及び宛先アドレスとを比較することにより、前記受信メールが不正メールか否かを判定する不正メール判定手段と、
前記不正メール判定手段により、前記受信メールが不正メールであると判定された場合に、当該受信メールを破棄する不正メール制御手段と
を備えることを特徴とする不正メール判定装置。
（第３項）
前記不正メール判定装置に接続される端末から外部に向けて送信された各メールの送信元アドレス及び宛先アドレス、又は、外部から受信した各メールの送信元アドレス及び宛先アドレスを前記履歴データベースに格納するアドレス情報格納処理手段
を更に備えることを特徴とする第１項又は第２項に記載の不正メール判定装置。
（第４項）
コンピュータを、第１項ないし第３項のうちいずれか１項に記載の不正メール判定装置における各手段として機能させるためのプログラム。
本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

１０ 不正メール判定装置
２０ 宛先履歴ＤＢサーバ
３０ 外部メールサーバ
１１ メール転送処理部
１２ アドレス情報格納処理部
１３ 不正メール判定処理部
１４ 不正メール通知制御部

Claims (4)

1. 外部から受信したメールが不正メールか否かを判定する不正メール判定装置であって、
   前記不正メール判定装置に接続される端末と外部との間で送信された各メールの送信元アドレス及び宛先アドレスを履歴として格納する履歴データベースを参照し、外部から受信した受信メールの送信元アドレス及び宛先アドレスと、前記履歴データベースにおける各メールの送信元アドレス及び宛先アドレスとの間の類似度を計算し、類似度の大きさに基づいて、前記受信メールが不正メールか否かを判定する不正メール判定手段と、
   前記不正メール判定手段により、前記受信メールが不正メールであると判定された場合に、当該受信メールが不正メールであると判定されたことに応じた処理を実行する不正メール制御手段と
   を備えることを特徴とする不正メール判定装置。
2. 外部から受信したメールが不正メールか否かを判定する不正メール判定装置であって、
   前記不正メール判定装置に接続される端末と外部との間で送信された各メールの送信元アドレス及び宛先アドレスを履歴として格納する履歴データベースを参照し、外部から受信した受信メールの送信元アドレス及び宛先アドレスと、前記履歴データベースにおける各メールの送信元アドレス及び宛先アドレスとの間の類似度を計算し、最大となる類似度と所定の閾値とを比較することにより、前記受信メールが不正メールか否かを判定する不正メール判定手段と、
   前記不正メール判定手段により、前記受信メールが不正メールであると判定された場合に、当該受信メールが不正メールであると判定されたことに応じた処理を実行する不正メール制御手段と
   を備えることを特徴とする不正メール判定装置。
3. 前記不正メール判定装置に接続される端末から外部に向けて送信された各メールの送信元アドレス及び宛先アドレス、又は、外部から受信した各メールの送信元アドレス及び宛先アドレスを前記履歴データベースに格納するアドレス情報格納処理手段
   を更に備えることを特徴とする請求項１又は２に記載の不正メール判定装置。
4. コンピュータを、請求項１ないし３のうちいずれか１項に記載の不正メール判定装置における各手段として機能させるためのプログラム。

Images