JP6493606B1 - 情報処理装置、クライアント端末、制御方法、及びプログラム - Google Patents

Abstract

【課題】脅威を引き起こし得るメールを特定することが可能となる技術を提供する。
【解決手段】メール受信部によりメールを外部メールサーバから受信すると、当該メールの本文、添付ファイル、ＵＲＬ等に関する情報を抽出部によって抽出し、記憶部によってメール情報テーブルへ記憶する。受信したメールと既にメール情報テーブルに記憶されているメールとの類似度を算出し、この算出した類似度が判定情報設定ファイルに設定されている類似度の閾値以上であって、送信元のメールアドレスの異なり数が、判定情報設定ファイルに設定されている類似メールの件数の閾値以上であれば、迷惑メールとして判定を行う。
【選択図】図４

Description

本発明は、電子メールのセキュリティ技術に関する発明であり、特に、受信した迷惑メールのセキュリティ技術に関する。

近年、ネットワークの発展に伴い、電子メール（以下、必要に応じて単に「メール」と称する）が広く利用されるようになった。

これに伴い、受信者が望まない広告や嫌がらせ等による迷惑メールを受信してしまうケースが多数あり、なかには、不特定多数の受信者に大量に送信されるスパムメールやマルウェアが付されている不審メール等も存在する。

このようなメールは、受信者にとって迷惑になるだけでなく、マルウェアの感染やフィッシングサイトへの誘導など、様々な脅威を引き起こす。

このようなメールは、テンプレート（メールの本文、添付ファイル、ＵＲＬ等を含む）の大部分を使いまわし、受信者の情報及び送信元の情報を変えながらメールが送信されることがある。

このため、異なる送信元のメールアドレスから全く同じもしくは、ほとんど同じ本文や添付ファイル、ＵＲＬを含んだメールが送信される（このようなメールを類似メールと呼ぶ）。

また、テンプレート部分は定期的に更新され、特に、スパムボットによるメールなどは、上記のような特徴を持つことが多い。

通常のメールの運用においては、類似メールが様々な送信元から届くといった状況は少なく、例えば、空メールや受信側が送信内容を指定しているような場合等の特定の状況に限られる。

したがって、様々な脅威から身を守るためには、送信元から送信された脅威を引き起こし得る類似メールを特定する必要がある。

このような特定を行う方法として、既に受信したメールと新たに受信したメールとの送信元の情報とメッセージＩＤとを用いて、同じメールを受信したか否かを判定する方法が開示されている（例えば、特許文献１参照）。

特許第５３２６７８５号

しかしながら、特許文献１に記載の方法では、メーリングリストと当該メーリングリストに含まれる個人リストが宛先に設定されることにより、重複したメールを受信することを防ぐことを目的として、このようなメールを受信したときに、受信者に対して重複しないようにメールを表示するものである。

したがって、脅威を引き起こし得るメールが表示される可能性もあり、このようなメールが表示され、受信者の端末が脅威に侵されるような問題等が生じ得る。

そこで、本発明では、脅威を引き起こし得るメールを特定することが可能な仕組みを提供することを目的とする。

上記課題を解決するために、本発明は、コンピュータを、電子メールを受信する受信手段と、前記受信手段により受信した電子メールのなかから、同一または類似する電子メールを特定する特定手段と、前記特定手段により特定された同一または類似する電子メールのなかから、送信元を異ならせて送信された電子メールを特定する送信元特定手段と、前記送信元特定手段によって特定した電子メールに係るアクションを実行する実行手段と、して機能させるためのプログラムである。

本発明によれば、脅威を引き起こし得るメールを特定することができる、という効果を奏する。

情報処理システムの概略構成の一例を示す構成図である。 メールサーバ、及びクライアント端末のハードウェア構成の一例を示すブロック図である。 ソフトウェア構成の一例を示すブロック図である。 迷惑メールを判定する処理の一例を示すフローチャートである。 判定情報設定ファイルの構成の一例を示す構成図である。 共有情報設定ファイルの構成の一例を示す構成図である。 メール情報テーブルの構成の一例を示す構成図である。 迷惑メールを判定する処理と既存の技術と組合せて利用するときの処理の一例を示す図である。 迷惑メールを再利用する処理の一例を示すフローチャートである。 リスト画面の構成の一例を示す構成図である。 詳細画面の構成の一例を示す図である。

以下、図面を参照して、本発明の実施形態を詳細に説明する。

図１は、本発明の実施形態に係る情報処理システムの構成の一例を示す構成図である。

図１に示すように、本実施形態に係る情報処理システム１００は、メールサーバ１０１、クライアント端末１０２（少なくとも１台以上備える）、及びＬＡＮ１０３を含む構成を備えており、広域ネットワーク１０４を介して外部メールサーバ１０５と接続されている。

メールサーバ１０１は、電子メールの送受信を行うために用いられる情報処理装置であって、電子メールのメールアドレス管理や、当該メールアドレスに送信されてきた電子メールを保存する等の機能を有している。

また、外部メールサーバ１０５から送信される電子メールに対する迷惑メールを判定する処理（詳細後述）を行う。

クライアント端末１０２は、メールサーバ１０１で管理されているメールアドレスを使用して電子メールのやり取りを行うユーザが操作する端末装置である。

また、クライアント端末１０２は、外部メールサーバ１０５から提供される様々なコンテンツ等をユーザへ提供する端末装置でもある。

さらに、クライアント端末１０２は、ＬＡＮ１０３を介してメールサーバ１０１に記憶した本発明に関する設定やデータの参照や編集等を行うことが可能である。

外部メールサーバ１０５は、様々なコンテンツ等をユーザへ提供する装置であり、サービス事業者や個人ユーザ等によって設置されたものであったり、外部のユーザが所有するメールサーバとして設置されたものであったりする。

尚、メールサーバ１０１とＬＡＮ１０３との間に情報処理装置を設け、この情報処理装置において、外部メールサーバ１０５から送信される電子メールに関して、迷惑メールを判定する構成でも良い。

図２は、本発明の実施形態におけるメールサーバ１０１、及びクライアント端末１０２のハードウェア構成の一例を示すブロック図である。

図２に示すように、メールサーバ１０１、及びクライアント端末１０２は、システムバス２０４を介してＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０１、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２０２、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２０３、入力コントローラ２０５、ビデオコントローラ２０６、メモリコントローラ２０７、よび通信Ｉ／Ｆコントローラ２０８が接続される。

ＣＰＵ２０１は、システムバス２０４に接続される各デバイスやコントローラを統括的に制御する。

ＲＯＭ２０２あるいは外部メモリ２１１は、ＣＰＵ２０１が実行する制御プログラムであるＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）やＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）や、本情報処理方法を実現するためのコンピュータ読み取り実行可能なプログラムおよび必要な各種データ（データテーブルを含む）を保持している。

ＲＡＭ２０３は、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。ＣＰＵ２０１は、処理の実行に際して必要なプログラム等をＲＯＭ２０２あるいは外部メモリ２１１からＲＡＭ２０３にロードし、ロードしたプログラムを実行することで各種動作を実現する。

入力コントローラ２０５は、キーボード２０９や不図示のマウス等のポインティングデバイス等の入力装置からの入力を制御する。入力装置がタッチパネルの場合、ユーザがタッチパネルに表示されたアイコンやカーソルやボタンに合わせて押下（指等でタッチ）することにより、各種の指示を行うことができることとする。

また、タッチパネルは、マルチタッチスクリーンなどの、複数の指でタッチされた位置を検出することが可能なタッチパネルであってもよい。

ビデオコントローラ２０６は、ディスプレイ２１０などの外部出力装置への表示を制御する。ディスプレイは本体と一体になったノート型パソコンのディスプレイも含まれるものとする。なお、外部出力装置はディスプレイに限ったものははく、例えばプロジェクタであってもよい。また、前述のタッチ操作を受け付け可能な装置については、入力装置も提供する。

なおビデオコントローラ２０６は、表示制御を行うためのビデオメモリ（ＶＲＡＭ）を制御することが可能で、ビデオメモリ領域としてＲＡＭ２０３の一部を利用することもできるし、別途専用のビデオメモリを設けることも可能である。

メモリコントローラ２０７は、外部メモリ２１１へのアクセスを制御する。外部メモリとしては、ブートプログラム、各種アプリケーション、フォントデータ、ユーザファイル、編集ファイル、および各種データ等を記憶する外部記憶装置（ハードディスク）、フレキシブルディスク（ＦＤ）、或いはＰＣＭＣＩＡカードスロットにアダプタを介して接続されるコンパクトフラッシュ（登録商標）メモリ等を利用可能である。

通信Ｉ／Ｆコントローラ２０９は、ネットワークを介して外部機器と接続・通信するものであり、ネットワークでの通信制御処理を実行する。例えば、ＴＣＰ／ＩＰを用いた通信やＩＳＤＮなどの電話回線、および携帯電話の３Ｇ回線を用いた通信が可能である。

尚、ＣＰＵ２０１は、例えばＲＡＭ２０３内の表示情報用領域へアウトラインフォントの展開（ラスタライズ）処理を実行することにより、ディスプレイ２１０上での表示を可能としている。また、ＣＰＵ２０１は、ディスプレイ２１０上の不図示のマウスカーソル等でのユーザ指示を可能とする。

次に図３を参照して、本発明の実施形態における各種装置の機能構成の一例について説明する。尚、各機能については、後述するフローチャート等と合わせて説明を行う。

メールサーバ１０１は、メール受信部３００、抽出部３０２、記憶部３０４、判定部３０６、処理部３０８、共有部３１０、及び再利用部３１２を備えている。

メール受信部３００は、外部メールサーバ１０５から送信される電子メールを受信し、抽出部３０２は、メール受信部３００で受信した電子メールから所定の条件に従って、本文、添付ファイル、ＵＲＬ等に関する情報を取得する。

記憶部３０４は、抽出部３０２によって取得した電子メールに関する情報をテーブルへ記憶したり、迷惑メールの判定を行う際に使用する定義情報を設定ファイルへ記憶する。

判定部３０６は、メール受信部３００で受信した電子メールと記憶部３０４によって記憶した電子メールとの本文、添付ファイル、ＵＲＬ等に関しての類似度を算出し、算出した類似度が設定ファイルに設定された閾値以上であって、送信元の異なり数が設定ファイルに設定された閾値上であるか否かによって、迷惑メールであるか否かの判定を行う。

処理部３０８は、判定部３０６によって、迷惑メールとして判定した電子メールに対して、２次被害等が生じないように処理を行い、共有部３１０は、同様な理由により、このような電子メールに関する情報を他のシステムやユーザへ共有する。

再利用部３１２は、迷惑メールとして判定した電子メールに関する情報を既存の技術（スパム対策ソフトやアンチウイルスソフト）にインプットし、セキュリティ全般の精度を向上させる。

次に図４に示すフローチャートを用いて、本発明の実施形態におけるメールサーバ１０１が実行する迷惑メールを判定する処理について説明する。尚、本処理は、メールサーバ１０１のＣＰＵ２０１が所定の制御プログラムを読み出して実行される。

ステップＳ４００では、メール受信部３００は、外部メールサーバ１０５から送信された電子メールを受信する。

ステップＳ４０２では、抽出部３０２は、ステップＳ４００において受信した電子メールに関する情報を抽出する。

抽出する電子メールに関する情報としては、例えば、送信元に関する情報として、送信元のメールアドレス、送信元のメールアドレスのハッシュ値（予め決めた任意のハッシュ関数により算出された値。但し、一連の処理では、同じハッシュ関数を用いる。以後、同様）、送信元のメールアドレスの任意の識別子、送信元のメールサーバのドメイン情報、送信元のメールサーバのＩＰアドレス、ＭＴＡ（Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ａｇｅｎｔ）の経路情報などがある。

また、抽出するメールに関する情報として本文に関する情報があり、本文のハッシュ値、ファジーハッシュ値（予め決めた任意のファジーハッシュ関数により算出された値。但し、一連の処理では、同じファジーハッシュ関数を用いる。以後、同様）、任意の識別子（例えば、本文を識別するための番号を振り、重複した本文があれば同一番号を振る等）、特徴量、本文全体、要素ごとのハッシュ値、要素ごとの情報（ハッシュ値、ファジーハッシュ値、任意の識別子、特徴量等。）などがある。本文の要素としては、例えば、各段落や一定サイズのブロックごとなどがある。

要素ごとの情報に関しては、一部の要素をランダムに入れ替えたり、いくつかの要素から組合せたりして、本文を作成するような迷惑メールが存在する。

例えば、前半の段落に利用する文章リストと後半の段落に利用する文章リストから、それぞれランダムに選択して組合せて全体の文章を作成したメールや、最後の署名部分をランダムに作成したメール等が存在する。

したがって、要素ごとに情報を抽出することによって、迷惑メールを特定する精度を上げることが可能となる。

また、抽出するメールに関する情報として添付ファイルに関する情報があり、添付ファイルに関するハッシュ値、添付ファイルに関するファジーハッシュ値、任意の識別子（例えば、添付ファイルを識別するための番号を振り、重複した添付ファイルがあれば同一番号を振る等）、動作情報（サンドボックスや自動解析環境で動作させて動作ログを取得する。動作情報の例としては、、マクロ付きのＥＸＣＥＬ（登録商標）ファイルであれば、マクロによって行われる動作、通信先ＵＲＬ、ファイルの読み書きのログ等。実行ファイルでも同様に、実行ファイルを実行したときに行われる動作のログ。あるいは、通信先ＵＲＬやファイルの読み書き、レジストリの読み書き、シャットダウンや再起動などのＰＣへの命令等）、添付ファイル自身（基本的には、ハッシュ値やファジーハッシュ値だけで問題ないが、添付ファイルそのものがあると様々な方法で類似度が算出できるようになるため。）、メタデータ（例えば、ファイル名、ファイルタイプ、ファイルサイズ、作成日時、作成者名、製品名、バージョン情報、Ｅｘｉｆ、アンチウイルスソフトによる検出名等）、要素ごとのハッシュ値、要素ごとの情報（ハッシュ値、ファジーハッシュ値、任意の識別子、動作情報（添付ファイルが複数存在する場合、各添付ファイルの動作情報））等がある。

添付ファイルの要素として、例えば、一定サイズのブロックごとや、ファイルのセクションごと、ファイルのリソース部分、Ｏｆｆｉｃｅであれば、マクロ部分のみなどがある。

要素ごとの情報に関しては、一部の要素をランダムに入れ替えたり、いくつかの要素から組合せたりして、作成されたファイルが添付された迷惑メールが存在する。

例えば、ファイルのリソース部分のみを書き換えた添付ファイルや、Ｏｆｆｉｃｅのマクロ部分のみを再利用し、内容は毎回書き換えている添付ファイルが存在する。

したがって、前述と同様に、要素ごとに情報を抽出することによって、迷惑メールを特定する精度を上げることが可能となる。

さらに、抽出する電子メールに関する情報としてＵＲＬ等に関する情報があり、ハッシュ値、ファジーハッシュ値、任意の識別子（例えば、ＵＲＬを識別するための番号を振り、重複したＵＲＬがあれば同一番号を振る等）、動作情報（サンドボックスや自動解析環境で動作させ動作ログを取得する。動作情報の例としては、ＵＲＬにアクセスしたときのリダイレクト先や、ダウンロードされるファイル等。）、ＵＲＬ全体、メタデータ（ドメインならばＩＰアドレス、ＧｅｏＬｏｃａｔｉｏｎ（ＩＰアドレスの位置情報)、アンチウイルスソフト等の検出情報、要素ごとのハッシュ値、要素ごとの情報（ハッシュ値、ファジーハッシュ値、任意の識別子）などがある。

ＵＲＬの要素として、例えばドメイン部分、ＦＱＤＮ、ＵＲＬのパスの部分、ＵＲＬのクエリ部分などがある。

要素ごとの情報に関しては、一部の要素をランダムに入れ替えたり、いくつかの要素から組合せたりして、ＵＲＬを作成するような迷惑メールが存在する。

例えば、ＵＲＬパスの末尾のディレクトリ部分をランダムに書き換えたＵＲＬや、ＵＲＬのクエリ部分をランダムに入れ替えたＵＲＬ等が存在する。

したがって、前述と同様に、要素ごとに情報を抽出することによって、迷惑メールを特定する精度を上げることが可能となる。

その他にも、抽出する電子メールに関する情報として、送信先のメールアドレスとしてＴＯやＣＣ、ＢＣＣに設定されたアドレス、件名などを抽出してもよい。

各情報の任意の識別子は、ハッシュ関数以外にも、例えば、送信元のメールアドレス、本文、添付ファイル、ＵＲＬ、またこれらの要素に一つ一つ番号を振った識別子のようにデータを区別あるいは、概ね区別できるものであってもよい。

さらに、各情報は、加工してもよい。例えば、本文に関する情報ならば改行コードを削除したり、ＵＲＬ部分を削除したりしてもよい。また、添付ファイルに関する情報であれば、ファイル形式の変換や画像化、実行ファイルのアンパックなどをしてもよい。

ステップＳ４０４では、記憶部３０４は、ステップＳ４０２において抽出した各情報をメール情報テーブル７００（図７参照）に記憶する。

図７には、メール情報テーブル７００の構成が示されており、メール情報テーブル７００は、ステップＳ４０２において抽出した電子メールの情報を記憶するテーブルであり、本文に関する情報である本文のハッシュ７０２及び本文のファジーハッシュ７０４、添付ファイルに関する情報である添付ファイルのハッシュ７０６及び添付ファイルのファジーハッシュ７０８、ＵＲＬに関する情報であるＵＲＬのハッシュ７１０、送信元のメールアドレスのハッシュ７１２等の項目を含んで構成されている。

本文のハッシュ７０２には、本文に関するハッシュ値が記憶され、本文のファジーハッシュ７０４には、本文に関するファジーハッシュ値が記憶される。

添付ファイルのハッシュ７０６には、添付ファイルに関するハッシュ値が記憶され、添付ファイルのファジーハッシュ７０８には、添付ファイルに関するファジーハッシュ値が記憶される。

ＵＲＬのハッシュ７１０には、ＵＲＬに関するハッシュ値が記憶され、送信元アドレスのハッシュ７１２には、送信元のメールアドレスに関するハッシュ値が記憶される。
尚、記憶する形式はテーブルでなくともファイルでもよい。また、メール情報テーブル７００は、情報処理システム１００内に構築されたものを利用しても良いし、外部のシステムへ構築されたものを利用してもよい。さらに、外部のシステムのデータベースとデータを交換することも可能である。

尚、類似メールは頻繁に更新されるため、メール情報テーブル７００に記憶された古いデータを削除した場合でも十分な効果が期待できる。

削除のタイミングとしては、例えば、定期的に削除する、または、最終アクセス（本文、添付ファイル、ＵＲＬのハッシュ値、ファジーハッシュ値、識別子等を最後に画面等によって参照した時間を示す。類似メールがなければ受信した時間(テーブルに記憶した時間)になり、類似メールがあった場合は、最後に受信した時間を示す。）から一定時間経過したデータを削除してもよいし、最初に記憶されてから一定時間経過したデータを削除するなどでもよい。

これにより、リソースの負荷を軽減させたり、迷惑メールを判定する処理の速度を向上させたりする効果がある。

ステップＳ４０６では、判定部３０６は、ステップＳ４０４で記憶した電子メールが既にメール情報テーブル７００に記憶されている電子メールと、本文に関する類似度が高く、送信元に関する情報の類似度が低い（送信元が異なる）場合、類似メールとして判定する。

あるいは、本文が同一の電子メールが、異なる送信元のメールアドレスから合計何件以上受信しているかを判定する。

本ステップでは、図５に示す判定情報設定ファイル５００の本文に関する設定５０４に設定された類似度の閾値よりも、本文に関する類似度以上であるか否かによって判定を行う。

また、判定情報設定ファイル５００の全体に関する設定５０２に設定された類似メールの件数の閾値よりも、本文が同一の電子メールであって、異なる送信元のメールアドレスから送信された電子メールの合計件数の方が高いか否かによって判定を行う。

図５に示す判定情報設定ファイル５００は、本発明における各判定を行うための情報を記憶した設定ファイルである。

判定情報設定ファイル５００は、全体の設定５０２、本文に関する設定５０４、添付ファイルに関する設定５０６、及びＵＲＬに関する設定５０８等を含んで構成されている。

判定情報設定ファイル５００は、本処理の最初に読み込んでもよいし、本処理における各ステップで必要な設定のみ読み込んでもよい。

全体の設定５０２は、全般的な処理に関する設定を記憶するものであり、本文に関する設定５０４は、本文の処理に関する設定を記憶するものであり、添付ファイルに関する設定５０６は、添付ファイルの処理に関する設定を記憶するものであり、ＵＲＬに関する設定５０４は、ＵＲＬの処理に関する設定を記憶するものである。

他の例としては、本文に関するファジーハッシュ値の類似度が、本文に関する設定５０４に設定された類似度の閾値以上となる電子メールであって、全体に関する設定５０２に設定された類似メールの件数の閾値よりも、異なる送信元のメールサーバのＩＰアドレスから送信された電子メールの合計件数の方が高いか否かによって判定してもよい。

もしくは、本文が同一の電子メールであって、全体に関する設定５０２に設定された類似メールの件数の閾値よりも、異なる送信元のメールアドレスから送信された電子メールの合計件数よりも高く、かつ、本文の類似度が、本文に関する設定５０４に設定された類似度の閾値以上の電子メールであり、全体に関する設定５０２に設定された類似メールの件数の閾値よりも、電子メールの受信件数が高くなる、の組合せで判定するなどでもよい。

尚、さらに、本文を前述した要素ごとに分割した情報を用いて、類似判定を行うことも可能である。この時、本文に関する設定５０４において、要素ごとに設定を行ってもよい。

設定には、類似度の閾値や本文に類似する迷惑メール検知に利用するかどうかなどがあり、状況に応じて要素ごとに設定を追加する。

判定情報設定ファイル５００の「本文の大きさ（例えば、文字数やバイト数等）」に設定された値以上の場合のみ類似メールの判定を行うなどとしてもよい。

ステップＳ４０８では、判定部３０６は、ステップＳ４０４で記憶した電子メールが既にメール情報テーブル７００に記憶されている電子メールと、添付ファイルに関する類似度が高く、送信元に関する情報の類似度が低い（送信元が異なる）場合、類似メールとして判定する。

本ステップでは、図５に示す判定情報設定ファイル５００の添付ファイルに関する設定５０６に設定された類似度の閾値よりも、添付ファイルに関する類似度が高いか否かによって判定を行う。

例えば、添付ファイルに関するファジーハッシュ値の類似度が、添付ファイルに関する設定５０６に設定された類似度の閾値以上の電子メールであって、全体に関する設定５０２に設定された類似メールの件数の閾値よりも、異なる送信元アドレスから送信されたメールの合計件数が高くなるか否かによって判定する。

もしくは、サンドボックス等の保護された領域で添付ファイルを実行した結果、動作ログ（ファイルやレジストリの読み書き、ネットワーク通信、実行したＡＰＩ等）の類似度が、添付ファイルに関する設定５０６に設定された類似度の閾値以上となる電子メールであって、全体に関する設定５０２に設定された類似メールの件数の閾値よりも、異なる送信元のメールアドレスから送信された電子メールの合計件数が高いか否かによって判定するなどでもよい。

さらに、添付ファイルを前述した要素ごとに分割した情報を用いて、類似判定を行うことも可能である。

この時、添付ファイルに関する設定５０６において、要素ごとに設定を行ってもよい。

設定には、類似度の閾値や添付ファイルを類似する迷惑メール検知に利用するかどうかなどがあり、状況に応じて要素ごとに設定を追加する。

ステップＳ４０６では、判定部３０６は、ステップＳ４０４で記憶した電子メールが既にメール情報テーブル７００に記憶されている電子メールと、ＵＲＬに関する類似度が高く、送信元に関する情報の類似度が低い（送信元が異なる）場合、類似メールとして判定する。

本ステップでは、図５に示す判定情報設定ファイル５００のＵＲＬに関する設定５０８に設定された類似度の閾値よりも、ＵＲＬに関する類似度が高いか否かによって判定を行う。

例えば、メールに記載されたＵＲＬのＦＱＤＮが同一のメールであって、全体に関する設定５０２に設定された類似メールの件数の閾値よりも、異なる送信元のメールアドレスから送信された電子メールの合計件数が高いか否かによって判定する。

もしくは、サンドボックス等の保護された領域でＵＲＬにアクセスした後のレスポンスデータの類似度が、ＵＲＬに関する設定５０８に設定された類似度以上となる電子メールであって、全体に関する設定５０２に設定された類似メールの件数の閾値よりも、異なる送信元のメールアドレスから送信された電子メールの合計件数が高いか否かによって判定するなどでもよい。

さらに、ＵＲＬを要素ごとに分割した情報を用いて、類似判定を行うことも可能である。

この時、ＵＲＬに関する設定５０８において、要素ごとに設定を行ってもよい。

設定には、類似度の閾値やＵＲＬが類似する迷惑メール検知に利用するかどうかなどがあり、状況に応じて要素ごとに設定を追加する。

ステップＳ４１２では、判定部３０６は、ステップＳ４０６において求めた件数やステップＳ４０８において求めた件数、あるいは、ステップＳ４１０において求めた件数が一定以上の場合、その類似メールを迷惑メールと判定し、ステップＳ４１４へ処理を進め、迷惑メールとして判定しない場合、ステップＳ４１６へ処理を進める。

また、ステップＳ４０６の件数、ステップＳ４０８の件数、及びステップＳ４１０の件数の組合せで判断してもよい。

また、完全一致の場合と類似の場合で、閾値を変えたり、組合せを変えたりしてもよい。例えば、本文が同一の電子メールを異なる送信元のメールアドレスから３件以上受信した場合、その本文の内容と同一の内容の電子メールを全て迷惑メールとして扱う。

または、本文が８０％以上類似していて、添付ファイルに関するファジーハッシュ値も９０％以上類似している電子メールが、異なる送信元のメールアドレスから３件以上受信した場合、当該電子メール（その電子メールと本文が８０％以上類似し、添付ファイルと９０％以上類似しているメール）を迷惑メールとして扱うことにしてもよい。

ステップＳ４１４では、処理部３０８は、ステップＳ４１２において迷惑メールとして判定した電子メールに対する任意の処理を行う。

迷惑メールに対する任意の処理として、例えば、対象電子メールの削除、対象電子メールへの警告文の追加、添付ファイルやＵＲＬの無害化、仮想環境上での実行などがある。

また、任意の処理は、完全一致で検知した場合や類似として検知した場合など、検知の仕方によって異なる処理を行ってもよい。例えば、完全一致で検知した場合は、電子メールを削除し、類似として検知した場合は、警告文を追加するなどがある。

さらに、組合せを利用してもよい。例えば、本文の類似度が高い電子メールは一定未満の件数だが、添付ファイルの類似度が高い電子メールは一定以上の件数が存在する場合は、削除せずに添付ファイルを無害化するなどの処理でもよい。このように検知条件によって、処理を変更することで精度や利便性が向上する。

ステップＳ４１６では、共有部３１０は、ステップＳ４０４において記憶した各情報をユーザと共有する。

共有先としては、例えば、他のユーザや経路上のサーバ、拠点内の別のサーバ、拠点間での共有、あるいは、他の企業や組織との共有、さらに開発元との共有などがある。

経路上のサーバと各情報を共有する方法としては、例えば、外部メールサーバ１０５からメールサーバＡから、メールサーバＢあるいはメールサーバＣに電子メールを分岐して送信するような構成を備えている場合、メールサーバＢ、Ｃで本システムを通常利用する。

メールサーバＢにおいて迷惑メールと判定した電子メールに関する情報をメールサーバＡに共有する。

メールサーバＡでは、負荷を減らすために代表的な情報のみ抽出し、メールサーバＢから共有された情報のみ記憶し、類似メール判定を行う。これによりメールサーバＣでも迷惑メールを判定できる。

共有する情報としては、送信元に関する情報や本文に関する情報、添付ファイルやＵＲＬに関する情報などを共有対象の情報ごとに、共有する先の範囲を設定することができる。

図６のように共有情報設定ファイル６００によって設定を調整してもよい。図６に示す共有情報設定ファイル６００は、情報共有の設定を行うための設定ファイルである。

共有情報設定ファイル６００は、共有の設定６０２、送信元に関する設定６０４、本文に関する設定６０６、添付ファイルに関する設定６０８、及びＵＲＬに関する設定６１０等を含んで構成されている。

全体の共有の設定６０２は、全般的な共有設定を記憶するものであり、送信元に関する設定６０４は、送信元の共有に関する設定を記憶するものであり、本文に関する設定６０６は、本文の共有に関する設定を記憶するものであり、添付ファイルに関する設定６０８は、添付ファイルの共有に関する設定を記憶するものであり、ＵＲＬに関する設定６１０は、ＵＲＬの共有に関する設定を記憶するものである。

例えば、開発元に共有する場合は、本文に関する設定６０６により、本文のハッシュ値、及び送信元に関する設定６０４により、送信元のメールアドレスのハッシュ値の一部（例えば、先頭２文字）及びメールアドレスのドメイン情報のみ共有する。

これにより開発元へ共有することの懸念が少なくできる効果がある。（ここで、メールアドレスのハッシュ値は、レインボーテーブル（平文とハッシュ値のセットのテーブル）などにより元に戻せる可能性があるが、ハッシュ値の一部であれば衝突が発生するためもとの値を推測することがより困難になる。

また、一定以上の送信元が異なる類似メールの件数がカウントできればいいため衝突が発生しても影響は少ない）。

または、拠点間の別のメールサーバと共有する場合は、本文に関する設定６０６により、本文に関するハッシュ値及びファジーハッシュ値、添付ファイルに関する設定６０８により、添付ファイルに関するハッシュ値及びファジーハッシュ値、ＵＲＬに関する設定６１０により、ＦＱＤＮ、送信元に関する設定６０４により、送信元のメールアドレス及びメールアドレスのハッシュ値全体の情報を共有するなどとしてもよい。

また、各クライアント端末１０２に本発明を実装している場合などでは、類似メールが一定以上溜まらない可能性があるため、経路上のメールサーバ等に共有することで、サンプル数が増え、判定精度が向上する効果が期待できる。

また、他企業、他組織または開発元と共有することで、セキュリティ企業がＷｅｂ等で注意喚起をする以上の効果が期待できる。

尚、ステップＳ４０６の処理を行う前に、ステップＳ４０６以降の処理を一時的に待機する待機時間（例えば、短めに設定した場合は、１０分、長めに設定した場合は、1時間程度）を設けることも可能である。

類似する迷惑メールは、最初の一件目は類似メールが存在しないため必ず送信される。待機時間を設けることで、一定以上の件数が溜まるまでの時間的猶予ができ、最初の一件目を含めて検知することができる。また、類似する迷惑メールは短期間に送られてくるため、短い遅延時間でも効果が期待できる。

また、この待機時間は、送信元情報ごとに設定を変更してもよい。このような迷惑メールは、初めて受信する送信元から送信されることが多い。例えば、初めて受信する送信元に関してのみ待機時間を設けるなどがある。これにより、全ての電子メールを遅延させなくても、遅延時間を設ける効果が期待できる。

また、ステップＳ４１２において各類似メールの判定を行った結果に基づいて、迷惑メールの判定を行っているが、判定精度を上げるために、受信実績や送信実績を類似メールの判定に利用してもよい。

類似する迷惑メールの多くは、初めて受信する送信元であることが多い。また、同じ送信元が利用される場合でも、一方的に受信しているのみで送信実績がない場合もある。

利用法としては、例えば、受信実績がない、つまり、初めて受信する送信元（メール情報テーブル７００に存在しない送信元）のみ各類似メールの判定を行う。

あるいは、受信実績はあるものの送信実績のない送信元のみ各類似メールの判定を行う。この場合、送信実績として、送信した電子メールの送信元に関する情報を含んだ電子メールに関する情報を記憶しておく必要がある。

また、受信実績や送信実績を本文に関する類似メール判定、添付ファイルに関する類似メール判定、ＵＲＬに関する類似メール判定のそれぞれで利用してもよい。

例えば、受信実績がある電子メールに対して、本文は類似メール判定を行うが、添付ファイルやＵＲＬの類似メール判定を行わず、受信実績がない電子メールに対しては、本文、添付ファイル、ＵＲＬの類似メール判定を行うことなどとすることも可能である。

これにより、受信実績がある電子メールの添付ファイルやＵＲＬは、危険性が少ないが、なりすましメールのように、受信実績がないにも関わらず、本文をコピーして、危険な添付ファイルやＵＲＬがある電子メールを検知することも可能である。

設定には、類似する電子メールが何件以上あった場合に迷惑メールとして判定するかの閾値や送信、受信実績を利用するかなどがあり、状況に応じて設定を追加する。

これによって、スパムボットに代表されるような同一のテンプレートを用いて、送信元、送信先を変えながら送信される迷惑メール（類似メール）を自動で検出し、受信を抑制することができる。

また、事前にデータを用意して機械学習する必要がなく、頻繁に更新される迷惑メールに対して、迅速に対応でき、頻繁に更新される迷惑メールに対して、都度ユーザが設定を追加する必要がなく、煩わしさを軽減できる。

また、受信側のみで対策を行っているため、送信側のメールサーバの仕様等に影響されずに対策を行うことが可能である

［変形例］
図８は、既存の技術と組合せることによって、迷惑メールと判定した電子メールに対して、セキュリティ精度を高めるシステムの構成図の一例である。

この既存の技術との組合せの構成図は、メール受信処理８００、既存技術による処理８０２、前述した迷惑メール判定処理８０４、及びメール転送処理８０６からなる。

メール受信処理８００は、外部メールサーバ１０５から電子メールを受け取る処理を行い、既存の技術による処理８０２は、スパムメールやマルウェア付き電子メールを、既存の技術であるスパム対策ソフトやアンチウイルスソフトにより検出する処理である。

迷惑メール判定処理８０４は、実施形態で説明した迷惑メールを判定する処理であり、メール転送処理８０６は、電子メールに対しての判定処理等が完了した後に、次のメールサーバ１０１やクライアント端末１０２等に当該電子メールを転送する処理である。

迷惑メール判定処理８０４は、既存の技術よりも先に処理を行ってもよいし、また、同一のメールサーバ１０１で処理を行わなくてもよい。

迷惑メール判定処理８０４は既存の技術と競合しない処理であるため、組み合わせて利用することが可能であり、組合せて利用することで、迷惑メールの検知率が向上する。

次に図９のフローチャートを用いて、本発明の実施形態における迷惑メールを再利用する処理について説明する。尚、本処理は、メールサーバ１０１のＣＰＵ２０１が所定の制御プログラムを読み出して実行される。

本発明では、自動で新規の迷惑メールを検知することが可能であるため、検出した電子メールのデータは、既存のフィルタリングやスパム対策ソフト、アンチウイルスソフトなどに流用することができる。

また、機械学習の学習データやセキュリティ訓練などで使用する教材としても流用することができる。これにより、本発明以外の技術の性能を向上させる効果がある。

ステップＳ９００では、再利用部３１２は、迷惑メールとして判定した電子メールの送信元情報に関するデータを再利用する。

送信元情報は、他の迷惑メールの送信にも利用される可能性があるため、迷惑メールの送信元情報を、電子メールの送受信に係るフィルタリングやブラックリスト設定に登録するなどにより、迷惑メールの抑制が可能になる。

送信元情報には、メールアドレス、メールサーバのＩＰアドレス、あるいは、配信経路のメールサーバの情報などが利用できる。

ステップＳ９０２では、再利用部３１２は、迷惑メールとして判定した電子メールの送信先情報に関するデータを再利用する。

迷惑メールには、日常的には利用しない送信先情報の組合せが利用されることがある。例えば、ＴＯに製品Ａのサポート窓口と企業の採用の窓口、ＣＣにＷｅｂサイトに関する問い合わせ窓口と個人宛等のように関連性の少ないメールアドレスを複数指定している場合がある。

このような送信先情報の組合せは、送信先のリストとして使用され、再度同様の送信先情報の組合せに対して迷惑メールが送信される可能性がある。

そのため、この送信先情報の組合せを再利用することが可能である。例えば、この送信先情報の組合せに対して送信される電子メールに警告文を追加するなどの利用ができる。

また、送信実績及び受信実績を利用して、本発明により検出した送信先情報の組合せが、実績のない組合せであった場合に、その送信先情報の組合せを電子メールの送受信に係るフィルタリングやブラックリストに登録することなどもできる。

ステップＳ９０４では、再利用部３１２は、迷惑メールとして判定した電子メールの本文情報に関するデータを再利用する。

迷惑メールは、図４のステップＳ４１６においてデータの共有を行っているが、既存のフィルタリングやスパム対策ソフトにも迷惑メールとして判定した電子メールの本文情報をインプットすることにより、このような本文情報を含む新たな電子メールを特定することが可能となる。

ステップＳ９０６では、再利用部３１２は、迷惑メールとして判定した電子メールの添付ファイルの情報に関するデータを再利用する。

迷惑メールは、図４のステップＳ４１６においてデータの共有を行っているが、既存のフィルタリング、スパム対策ソフト、または、アンチウイルスソフトなどにも迷惑メールとして判定した電子メールの添付ファイルの情報をインプットすることにより、このような添付ファイルの情報を含む新たな電子メールや通信を特定することが可能となる。

これにより、メール経由以外にＷｅｂ経由で当該ファイルが利用された場合でも検知することができる。

ステップＳ９０８では、再利用部３１２は、迷惑メールとして判定した電子メールのＵＲＬに関するデータを再利用する。

本発明で検出した迷惑メールは、図４のステップＳ４１６においてデータの共有を行っているが、既存のフィルタリング、スパム対策ソフト、アンチウイルスソフト、ＵＴＭ（Ｕｎｉｆｉｅｄ Ｔｈｒｅａｔ Ｍａｎａｇｅｍｅｎｔ）などにも迷惑メールとして判定したＵＲＬに関する情報をインプットすることにより、このようなＵＲＬに関する情報を含む新たな電子メールや通信を特定することが可能となる。

これにより、メール経由以外にＷｅｂ経由で当該ファイルが利用された場合でも検知することができる。

ステップＳ９１０では、再利用部３１２は、迷惑メールとして判定した電子メールの本文、添付ファイル、ＵＲＬ等などからシグネチャを作成する。

シグネチャの例として、ハッシュ値または、データの一部を何か所か抽出し、パターンマッチングを行う。例えば、本文ならば２、５、７行から１０文字ずつ抽出し、抽出した文字列をシグネチャとする。そして、抽出した文字列全てを含む電子メールを迷惑メールとして判定する。

あるいは、ファイルならば、ｎバイト〜ｎ＋１００バイト、ｍバイト〜ｍ＋１００バイトを抽出しシグネチャとする。そして、抽出したバイト列を全て含むファイルが添付された電子メールを迷惑メールとして判定する。

この時、迷惑メールの類似度が高いものから重複部分を抽出するしてもよい。これにより、ランダム要素を除外することで、判定精度を向上させることが可能となる。

また、受信時だけでなく、メール送信時にも利用できる。迷惑メールは、スパムボットなどにより送信されることが多いため、送信時にシグネチャで検出した場合は、クライアント端末１０２がスパムボットに感染し、踏み台になっている可能性がある。

スパムボットに感染したクライアント端末１０２は、同一のテンプレートを利用して迷惑メールを送信していることから、同じスパムボットに感染したクライアント端末１０２が複数ある場合、各クライアント端末１０２から同じ内容の電子メールが送信される。

メールサーバ１０１では、この同じ内容の電子メールが様々なところから受信されることからこのような迷惑メールを検知することが可能となる。

このため、送信時に検出することで、加害者になる可能性を減らすことができ、メールにより感染拡大するような場合は、被害の拡大も抑制できる。

さらに、踏み台になっているクライアント端末１０２を特定または自動検知することも可能である。

自動検知の方法例として、検知した電子メールのＲｅｃｅｉｖｅｄヘッダーから最初に利用した拠点内のメールサーバに対して、検知した電子メールを送信したクライアント端末１０２のＩＰアドレスを問い合わせる。

最初に利用されたメールサーバでは、電子メールの送信ログからクライアント端末のＩＰアドレスを抽出して、問い合わせに返答する。

これにより、自動で踏み台になっているクライアント端末１０２を自動検知することが可能となる。

シグネチャまたは検出したデータは、機械学習の学習データやセキュリティ訓練などで使用する教材としても流用することができる。

機械学習では、学習前に学習用のデータを作成する必要があるが、本発明では自動で迷惑メールを検出できるため、検出したデータをそのまま機械学習の学習データとしても利用することもできる。

ステップＳ９１２では、再利用部３１２は、迷惑メールを分類及び分析を行う。

分類の方法例として、迷惑メールのｂｏｄｙ０、ｂｏｄｙ１・・・・ａｔｔａｃｈｍｅｎｔ０、ａｔｔａｃｈｍｅｎｔ１、・・・・というようにパートごとに分割し、パートごとにハッシュ値を算出し、各パートのハッシュ値が同一の迷惑メールを抽出し、Ｆｒｏｍアドレスのユニーク数をカウントし閾値(例えば、３件)以上あった迷惑メールを全て抽出し、ハッシュ値ごとにまとめて分類する。尚、さらに、Ｃｏｎｔｅｎｔ−Ｔｙｐｅごとに分類しても良い。

類似性の高い迷惑メールをまとめることで、図１０及び図１１に示す画面の表示内容のように迷惑メールを分類して表示することができる。

また、各画面は、それぞれ設定により表示する内容を変更することができる。またこの画面構成は一例であり、他の画面構成でもよい。

これにより、多く受信される迷惑メールや最近の傾向がわかり、注意喚起等を行いやすくできる。

また、分類を行うことで研究等に利用するうえでの労力を削減することができる。

さらに、分析にも利用できる。例えば、検出したメールの送信時間等を利用して、攻撃者の傾向や、迷惑メールの傾向を分析することができる。共通する項目などから攻撃者や攻撃者グループの追跡や特定にも利用できる。

また、定期的に送信される迷惑メールを事前予測することも可能である。例えば、「〇月の請求書」、「〇月の発注書」など、日時や季節、イベントごとに送信される迷惑メールは、事前予測し、送られてきた時点で警告文を挿入することなども可能である。

図１０には、迷惑メールと判定したメールを分類してリスト表示するリスト画面１０００の構成を示す構成図の一例である。

リスト画面１０００は、表示設定１００２、分類１００４、及びリスト表示部１００６等を含んで構成されている。

表示設定１００２は、リスト画面１０００に表示する条件を設定するが、表示設定１００２は、類似項目１００８、類似度１０１０、期間１０１２等を含んで構成されており、他の設定を追加してもよい。

また、類似項目１００８は、本文が類似するメール、添付ファイルが類似するメール、ＵＲＬが類似するメール等を少なくとも１以上選択することが可能である。

類似項目１００８で選択した項目に該当する類似するメールのうち、類似度１０１０は、指定した類似度以上の類似度を示す類似するメール等を表示することが可能であり、期間１０１２は、指定した期間に受信した類似するメール等を表示することが可能である。

分類１００４は、分類を行った単位を表示し、リスト表示部１００６は、表示設定１１０２に設定された項目に対して指示された条件を満たす類似するメール等を、分類１００４の分類に応じてリスト表示する。

図１１には、迷惑メールと判定したメールを分類して当該メールの詳細情報を表示する詳細画面１１００の構成を示す構成図の一例である。

詳細画面１１００は、表示設定１１０２、分類１１０４、及び詳細情報表示部１１０６等からなる。

表示設定１１０２は、詳細画面１１００に表示する条件を設定するが、表示設定１１０２は、類似項目１１０８、類似度１１１０、期間１１１２等を含んで構成されており、他の設定を追加してもよい。

また、類似項目１１０８は、本文が類似するメール、添付ファイルが類似するメール、ＵＲＬが類似するメール等を少なくとも１以上選択することが可能である。

類似項目１１０８で選択した項目に該当する類似するメールのうち、類似度１１１０は、指定した類似度以上の類似度を示す類似するメール等を表示することが可能であり、期間１１１２は、指定した期間に受信した類似するメール等を表示することが可能である。

分類１１０４は、分類を行った単位を表示し、詳細情報表示部１１０６は、表示設定１１０２に設定された項目に対して指示された条件を満たす類似するメール等を分類１１０４の分類に応じて表示する。

尚、詳細画面１１００は、詳細情報表示部１１０６は、分類ごとに表示単位を分けて表示を行っても良い。例えば、分類Ａのみを表示し、次へボタン（不図示）を押下することで、分類Ｂのみを表示するような態様をとることが可能である。

また、詳細情報表示部１１０６は、１つのメールの詳細情報を表示することでも良い。例えば、分類Ａに属する１つのメールの詳細情報を表示し、次へボタン（不図示）を押下することで、分類Ａに属する他のメールが存在する場合は、当該メールの詳細情報を表示し、分類Ａに属する他のメールが存在しない場合は、分類Ｂに属するメールの詳細情報を表示することでも良い。

また、分類１００４を選択することによって、選択した分類に属するメールの詳細画面１１００に表示しても良いし、リスト表示部１００６に表示されたレコードを選択することによって、選択したレコードのメールの詳細情報を詳細画面１１００に表示しても良い。

本発明の実施形態においては、迷惑メールを判定する処理をメールサーバ１０１において実行する構成として説明したが、クライアント端末１０２で実行するよう構成してもよい。

あるいは、クラウド環境における情報処理装置で迷惑メールを判定する処理を実行するように構成しても良く、この場合、メールサーバ１０１（あるいは、メールボックス）に対して外部プログラムとして実行してもよい。

以上、実施形態について示したが、本発明は、例えば、システム、装置、方法、プログラムもしくは記録媒体等としての実施態様をとることが可能である。具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。

また、本発明におけるプログラムは、図４、９に示すフローチャートの処理方法をコンピュータが実行可能なプログラムであり、本発明の記憶媒体は図４、９の処理方法をコンピュータが実行可能なプログラムが記憶されている。なお、本発明におけるプログラムは図４、９の各装置の処理方法ごとのプログラムであってもよい。

以上のように、前述した実施形態の機能を実現するプログラムを記録した記録媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記録媒体に格納されたプログラムを読み出し、実行することによっても本発明の目的が達成されることは言うまでもない。

この場合、記録媒体から読み出されたプログラム自体が本発明の新規な機能を実現することになり、そのプログラムを記録した記録媒体は本発明を構成することになる。

プログラムを供給するための記録媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ−ＲＯＭ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＥＥＰＲＯＭ、シリコンディスク等を用いることが出来る。

また、コンピュータが読み出したプログラムを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムの指示に基づき、コンピュータ上で稼働しているＯＳ（オペレーティングシステム）等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

さらに、記録媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

また、本発明は、複数の機器から構成されるシステムに適用しても、ひとつの機器から成る装置に適用しても良い。また、本発明は、システムあるいは装置にプログラムを供給することによって達成される場合にも適用できることは言うまでもない。この場合、本発明を達成するためのプログラムを格納した記録媒体を該システムあるいは装置に読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。

さらに、本発明を達成するためのプログラムをネットワーク上のサーバ、データベース等から通信プログラムによりダウンロードして読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。なお、上述した各実施形態およびその変形例を組み合わせた構成も全て本発明に含まれるものである。

１００ 情報処理システム
１０１ メールサーバ
１０２ クライアント端末
１０３ ＬＡＮ
１０４ 広域ネットワーク
１０５ 外部メールサーバ

Claims (25)

1. コンピュータを、
   電子メールを受信する受信手段と、
   前記受信手段により受信した電子メールのなかから、同一または類似する電子メールを特定する特定手段と、
   前記特定手段により特定された同一または類似する電子メールのなかから、送信元を異ならせて送信された電子メールを特定する送信元特定手段と、
   前記送信元特定手段によって特定した電子メールに係るアクションを実行する実行手段と、
   して機能させるためのプログラム。
2. 前記特定手段は、受信したメールを迷惑メールとして特定するために用いるデータを登録することなく、前記受信した電子メールのなかから、同一または類似する電子メールを特定するものとして機能させるための請求項１に記載のプログラム。
3. 前記送信元特定手段を、所定数以上の前記送信元を異ならせて送信された電子メールを特定するものとして機能させるための請求項１または２に記載のプログラム。
4. 前記送信元特定手段を、前記受信手段により受信した電子メールのなかから、同一または類似する電子メールであって、前記送信元に係る情報の類似度の低い異なる電子メールを特定するものとして機能させるための請求項１乃至３の何れか１項に記載のプログラム。
5. 前記同一または類似する電子メールは、電子メールの本文の要素が同一または類似する電子メールであることを特徴とする請求項１乃至４の何れか１項に記載のプログラム。
6. 前記同一または類似する電子メールは、電子メールの添付ファイルが同一または類似する電子メールであることを特徴とする請求項１乃至５の何れか１項に記載のプログラム。
7. 前記同一または類似する電子メールは、電子メールの添付ファイルの要素が同一または類似する電子メールであることを特徴とする請求項１乃至６の何れか１項に記載のプログラム。
8. 前記同一または類似する電子メールは、電子メールの添付ファイルを実行した結果得られた情報が同一または類似する電子メールであることを特徴とする請求項１乃至７の何れか１項に記載のプログラム。
9. 前記同一または類似する電子メールは、電子メールのＵＲＬが同一または類似する電子メールであることを特徴とする請求項１乃至８の何れか１項に記載のプログラム。
10. 前記同一または類似する電子メールは、電子メールのＵＲＬの要素が同一または類似する電子メールであることを特徴とする請求項１乃至９の何れか１項に記載のプログラム。
11. 前記同一または類似する電子メールは、電子メールのＵＲＬによりアクセスした結果得られた情報が同一または類似する電子メールであることを特徴とする請求項１乃至１０の何れか１項に記載のプログラム。
12. 前記コンピュータを、
    前記特定手段によって同一または類似する電子メールの特定方法により、当該電子メールが迷惑メールであるか否かを判定する判定手段を含めて機能させ、
    前記実行手段を、前記判定手段により迷惑メールと判定した電子メールに係るアクションを実行するものとして機能させるための請求項１乃至１１の何れか１項に記載のプログラム。
13. 前記実行手段を、前記特定方法によって、前記判定手段により迷惑メールとして判定された電子メールに対するアクションを実行するものとして機能させるための請求項１２に記載のプログラム。
14. 前記特定手段を、前記受信手段により電子メールを受信してから所定時間経過後、既に前記受信手段により受信した電子メールのなかから、同一または類似する電子メールを特定するものとして機能させるための請求項１至１３の何れか１項に記載のプログラム。
15. 前記特定手段を、前記受信手段により初めての送信元から電子メールを受信してから前記所定時間経過後、既に前記受信手段により受信した電子メールのなかから、同一または類似する電子メールを特定するものとして機能させるための請求項１４に記載のプログラム。
16. 前記送信元特定手段を、前記電子メールの送信元からの受信実績がない場合に前記特定する処理を行うものとして機能させるための請求項１乃至１４の何れか１項に記載のプログラム。
17. 前記送信元特定手段を、前記電子メールの送信元からの受信実績はあるが、前記送信元に送信実績のない場合に前記特定する処理を行うものとして機能させるための請求項１６に記載のプログラム。
18. 前記コンピュータを、
    前記送信元特定手段により特定された電子メールの情報と同一または類似する電子メールの情報を備えた電子メールの中継を制御する制御手段を含めて機能させることを特徴とする請求項１乃至１７の何れか１項に記載のプログラム。
19. 前記コンピュータを、
    前記特定手段による特定方法に基づいて前記特定された電子メールを分類して表示の制御を行う表示制御手段を含めて機能させることを特徴とする請求項１乃至１８の何れか１項に記載のプログラム。
20. 前記実行手段を、他の情報処理装置での電子メールの中継を制御するために、前記送信元特定手段により特定された電子メールの情報を当該他の情報処理装置へ共有するものとして機能させるための請求項１乃至１９の何れか１項に記載のプログラム。
21. 前記実行手段を、前記送信元特定手段により特定された電子メールの情報を、異なる情報処理装置へ分岐して電子メールを送信する他の情報処理装置へ共有するものとして機能させるための請求項２０に記載のプログラム。
22. 電子メールを中継する情報処理装置であって、
    電子メールを受信する受信手段と、
    前記受信手段により受信した電子メールのなかから、同一または類似する電子メールを特定する特定手段と、
    前記特定手段により特定された同一または類似する電子メールのなかから、送信元を異ならせて送信された電子メールを特定する送信元特定手段と、
    前記送信元特定手段によって特定した電子メールに係るアクションを実行する実行手段と、
    を備えることを特徴とする情報処理装置。
23. 電子メールの送受信を行う情報処理装置であって、
    電子メールを受信する受信手段と、
    前記受信手段により受信した電子メールのなかから、同一または類似する電子メールを特定する特定手段と、
    前記特定手段により特定された同一または類似する電子メールのなかから、送信元を異ならせて送信された電子メールを特定する送信元特定手段と、
    前記送信元特定手段によって特定した電子メールに係るアクションを実行する実行手段と、
    を備えることを特徴とする情報処理装置。
24. 電子メールを中継する情報処理装置の制御方法であって、
    前記情報処理装置は、
    電子メールを受信する受付ステップと、
    前記受信ステップにより受信した電子メールのなかから、同一または類似する電子メールを特定する特定ステップと、
    前記特定ステップにより特定された同一または類似する電子メールのなかから、送信元を異ならせて送信された電子メールを特定する送信元特定ステップと、
    前記送信元特定ステップによって特定した電子メールに係るアクションを実行する実行ステップと、
    を実行することを特徴とする情報処理装置の制御方法。
25. コンピュータを、
    電子メールを受信する受信手段と、
    前記受信手段により受信した電子メールのなかから、同一または類似する電子メールであって、送信元を異ならせて送信された電子メールを特定する特定手段と、
    前記特定手段によって特定した電子メールに係るアクションを実行する実行手段と、
    して機能させるためのプログラム。

Images