JP6509752B2 - 通信システムおよびサーバ - Google Patents

Description

本発明は、電子メールの正規性を判定する技術に関する。

受信者による事前の要請または受信者の同意がないにもかかわらず、受信者の意図を無視して無差別かつ大量に発信されるスパムメールが問題になっている。このようなスパムメールは、以下の点で個人および団体を問わずに脅威となり得る。
（１）添付ファイル等によるウイルス感染
（２）不要なメールの増加による受信者の業務生産性および効率の低下
（３）トラフィックの増加によるサーバおよびネットワークへの負荷の増大
（４）詐欺サイトへの誘導等による個人情報および機密情報の漏洩

そこで、このようなスパムメールを排除するための様々な対策が行われている。例えば、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）のメールアカウントに届くメールに対するフィルタがある。このフィルタは、送信者の情報（メールアドレスおよびホスト情報のブラックリストおよびホワイトリスト）による仕分け（非特許文献１参照）またはメール本文の構文解析を行う（非特許文献１、２参照）。また、スパムメールを送る送信元のＩＰアドレスに関するブラックリスト（非特許文献３参照）およびホワイトリスト（非特許文献４参照）が利用されている。

「１７種類のフィルタリング機能」，［ｏｎｌｉｎｅ］，ＴｒａｎｓＷＡＲＥ，［２０１５年１２月１８日検索］，インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｔｒａｎｓｗａｒｅ．ｃｏ．ｊｐ／ｐｒｏｄｕｃｔ／ａｈ／ｆｉｌｔｅｒ．ｈｔｍｌ＞ 「Ｗｅｌｃｏｍｅ ｔｏ ＳｐａｍＡｓｓａｓｓｉｎ！」，［ｏｎｌｉｎｅ］，Ｔｈｅ Ａｐａｃｈｅ Ｓｏｆｔｗａｒｅ Ｆｏｕｎｄａｔｉｏｎ，［２０１５年１２月１８日検索］，インターネット＜ＵＲＬ：ｈｔｔｐｓ：／／ｓｖｎ．ａｐａｃｈｅ．ｏｒｇ／ｒｅｐｏｓ／ａｓｆ／ｓｐａｍａｓｓａｓｓｉｎ／ｂｒａｎｃｈｅｓ／３．３／ＲＥＡＤＭＥ＞ 「Ｓｐａｍｈａｕｓ ＤＮＳＢＬ Ｕｓａｇｅ Ｔｅｒｍｓ」，［ｏｎｌｉｎｅ］，ＳＰＡＭＨＡＵＳ，［２０１５年１２月１８日検索］，インターネット＜ＵＲＬ：ｈｔｔｐｓ：／／ｗｗｗ．ｓｐａｍｈａｕｓ．ｏｒｇ／ｚｅｎ／＞ 「Ｐｏｌｉｃｙ ｏｆ ｉｐｓ．ｗｈｉｔｅｌｉｓｔｅｄ．ｏｒｇ」，［ｏｎｌｉｎｅ］，ＵＣＥＰＲＯＴＥＣＴ−Ｎｅｔｗｏｒｋ，［２０１５年１２月１８日検索］，インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｗｈｉｔｅｌｉｓｔｅｄ．ｏｒｇ／？ｇｏ＝ｐｏｌｉｃｙ＞

スパムメールは、無差別的に送られる。一方、ある特定の企業等の団体または組織を狙って内容および送信元を詐称して送られる標的型攻撃メールがある。このような標的型攻撃メールに対して従来技術を適用した場合、以下の問題が生じる。標的型攻撃メールは、団体または組織をピンポイントで狙う。このため、標的型攻撃メールは、その団体または組織に対して限定的に送られるメールを偽装し、かつ特別に構築されたサーバから送信される場合が多い。団体または組織に対して限定的に送られるメールを偽装するメールに対して、メール本文の構文解析は機能しない可能性が高い。また、特別に構築されたサーバに関する情報をブラックリストおよびホワイトリストによって網羅することが難しいため、特別に構築されたサーバから送信されるメールに対して、従来のブラックリストおよびホワイトリストは機能しない可能性が高い。

本発明は、電子メールが正規メールであるか否かをより高精度に判定することができる技術を提供する。

本発明は、サーバと、受信者端末とを有し、前記サーバは、電子メールの送信者を示す送信者情報と、前記送信者の端末である送信元ホストから送信された前記電子メールが正規メールであるか否かを前記受信者端末のユーザが判定した判定結果を示すユーザ判定情報とを関連付けて記憶する記憶部と、前記送信者情報を含む前記電子メールを前記送信元ホストから受信し、かつ前記電子メールと、前記電子メールが正規メールであるか否かをサーバ処理部が判定した結果を示すサーバ判定情報とを前記受信者端末に送信し、かつ前記ユーザ判定情報を前記受信者端末から受信するサーバ通信部と、前記記憶部に記憶された前記ユーザ判定情報のうち前記サーバ通信部によって受信された前記電子メールに含まれる前記送信者情報に対応する前記ユーザ判定情報に基づいて前記サーバ判定情報を生成し、かつ生成された前記サーバ判定情報を前記サーバ通信部に出力し、かつ前記サーバ通信部によって受信された前記ユーザ判定情報に基づいて、前記記憶部に記憶された前記ユーザ判定情報を更新する前記サーバ処理部と、を有し、前記記憶部に記憶された前記ユーザ判定情報は、前記電子メールが正規メールであると判定したユーザの数と、前記電子メールが正規メールでないと判定したユーザの数とを含み、前記受信者端末は、前記電子メールと前記サーバ判定情報とを前記サーバから受信し、かつ前記ユーザ判定情報を前記サーバに送信する受信者通信部と、前記サーバ判定情報を前記受信者端末のユーザに提示する提示部と、前記ユーザからの指示に基づいて前記ユーザ判定情報を生成し、かつ生成された前記ユーザ判定情報を前記受信者通信部に出力する受信者処理部と、を有することを特徴とする通信システムである。

また、本発明は、サーバと、受信者端末とを有し、前記サーバは、電子メールの送信者を示す送信者情報と、前記送信者の端末である送信元ホストから送信された前記電子メールが正規メールであるか否かを前記受信者端末のユーザが判定した判定結果を示すユーザ判定情報とを関連付けて記憶する記憶部と、前記送信者情報を前記受信者端末から受信し、かつ前記電子メールが正規メールであるか否かをサーバ処理部が判定した結果を示すサーバ判定情報を前記受信者端末に送信し、かつ前記ユーザ判定情報を前記受信者端末から受信するサーバ通信部と、前記記憶部に記憶された前記ユーザ判定情報のうち前記サーバ通信部によって受信された前記送信者情報に対応する前記ユーザ判定情報に基づいて前記サーバ判定情報を生成し、かつ生成された前記サーバ判定情報を前記サーバ通信部に出力し、かつ前記サーバ通信部によって受信された前記ユーザ判定情報に基づいて、前記記憶部に記憶された前記ユーザ判定情報を更新する前記サーバ処理部と、を有し、前記受信者端末は、前記送信者情報を含む前記電子メールを前記送信元ホストから受信し、かつ受信された前記電子メールに含まれる前記送信者情報と前記ユーザ判定情報とを前記サーバに送信し、かつ前記サーバ判定情報を前記サーバから受信する受信者通信部と、前記サーバ判定情報を前記受信者端末のユーザに提示する提示部と、前記ユーザからの指示に基づいて前記ユーザ判定情報を生成し、かつ生成された前記ユーザ判定情報を前記受信者通信部に出力する受信者処理部と、を有することを特徴とする通信システムである。

また、本発明の通信システムにおいて、前記送信者情報は、送信者の名前を示す送信者名情報と、前記送信者のメールアドレスを示すアドレス情報との少なくとも１つを含むことを特徴とする。

また、本発明の通信システムにおいて、前記送信者情報は、前記送信元ホストのドメインを示すドメイン情報を含むことを特徴とする。

また、本発明の通信システムにおいて、前記記憶部はさらに、前記送信者のメールアドレスのドメインと関連するドメインと、前記送信元ホストのドメインと関連するドメインとの少なくとも１つを示す関連ドメイン情報を前記送信者情報および前記ユーザ判定情報と関連付けて記憶し、前記サーバ処理部は、前記サーバ通信部によって受信された前記電子メールに含まれる前記送信者情報と前記記憶部に記憶された前記送信者情報とを比較した結果と、前記サーバ通信部によって受信された前記電子メールの送信者のメールアドレスのドメインおよび前記電子メールの前記送信元ホストのドメインの少なくとも１つと前記記憶部に記憶された前記関連ドメイン情報とを比較した結果とに基づいて、前記記憶部に記憶された前記ユーザ判定情報のいずれか１つを選択し、かつ選択された前記ユーザ判定情報に基づいて前記サーバ判定情報を生成することを特徴とする。

また、本発明は、電子メールの送信者を示す送信者情報と、前記送信者の端末である送信元ホストから送信された前記電子メールが正規メールであるか否かを受信者端末のユーザが判定した判定結果を示すユーザ判定情報とを関連付けて記憶する記憶部と、前記送信者情報を含む前記電子メールを前記送信元ホストから受信し、かつ前記電子メールと、前記電子メールが正規メールであるか否かをサーバ処理部が判定した結果を示すサーバ判定情報とを前記受信者端末に送信し、かつ前記ユーザ判定情報を前記受信者端末から受信するサーバ通信部と、前記記憶部に記憶された前記ユーザ判定情報のうち前記サーバ通信部によって受信された前記電子メールに含まれる前記送信者情報に対応する前記ユーザ判定情報に基づいて前記サーバ判定情報を生成し、かつ生成された前記サーバ判定情報を前記サーバ通信部に出力し、かつ前記サーバ通信部によって受信された前記ユーザ判定情報に基づいて、前記記憶部に記憶された前記ユーザ判定情報を更新する前記サーバ処理部と、を有し、前記記憶部に記憶された前記ユーザ判定情報は、前記電子メールが正規メールであると判定したユーザの数と、前記電子メールが正規メールでないと判定したユーザの数とを含むことを特徴とするサーバである。

また、本発明は、電子メールの送信者を示す送信者情報と、前記送信者の端末である送信元ホストから送信された前記電子メールが正規メールであるか否かを受信者端末のユーザが判定した判定結果を示すユーザ判定情報とを関連付けて記憶する記憶部と、前記送信者情報を前記受信者端末から受信し、かつ前記電子メールが正規メールであるか否かをサーバ処理部が判定した結果を示すサーバ判定情報を前記受信者端末に送信し、かつ前記ユーザ判定情報を前記受信者端末から受信するサーバ通信部と、前記記憶部に記憶された前記ユーザ判定情報のうち前記サーバ通信部によって受信された前記送信者情報に対応する前記ユーザ判定情報に基づいて前記サーバ判定情報を生成し、かつ生成された前記サーバ判定情報を前記サーバ通信部に出力し、かつ前記サーバ通信部によって受信された前記ユーザ判定情報に基づいて、前記記憶部に記憶された前記ユーザ判定情報を更新する前記サーバ処理部と、を有することを特徴とするサーバである。

本発明によれば、電子メールが正規メールであるか否かをより高精度に判定することができる。

本発明の第１の実施形態による通信システムの構成を示すブロック図である。 本発明の第１の実施形態によるサーバの構成を示すブロック図である。 本発明の第１の実施形態による受信者端末の構成を示すブロック図である。 本発明の第１の実施形態におけるＢＷリストを示す参考図である。 本発明の第１の実施形態によるサーバの動作の手順を示すフローチャートである。 本発明の第１の実施形態による受信者端末の動作の手順を示すフローチャートである。 本発明の第１の実施形態によるサーバの動作の手順を示すフローチャートである。 本発明の第１の実施形態によるサーバの動作の手順を示すフローチャートである。 本発明の第１の実施形態によるサーバの動作の手順を示すフローチャートである。 本発明の第１の実施形態における第１のケースの状態図である。 本発明の第１の実施形態における第２のケースの状態図である。 本発明の第１の実施形態における第３のケースの状態図である。 本発明の第１の実施形態における第４のケースの状態図である。 本発明の第１の実施形態における第５のケースの状態図である。 本発明の第２の実施形態による通信システムの構成を示すブロック図である。 本発明の第２の実施形態によるサーバの動作の手順を示すフローチャートである。 本発明の第２の実施形態による受信者端末の動作の手順を示すフローチャートである。

以下、図面を参照し、本発明の実施形態を説明する。

（第１の実施形態）
図１は、本発明の第１の実施形態による通信システム１の構成を示している。図１に示すように、通信システム１は、サーバ１０と、受信者端末２０とを有する。

例えば、サーバ１０は、受信者端末２０が使用される団体または組織によって管理されるサーバである。サーバ１０は、メールサーバとして機能する。サーバ１０は、受信者端末２０によって受信される電子メールの転送経路上に配置されている。サーバ１０は、団体または組織のネットワークにおける電子メールの配信を管理する。サーバ１０は、送信者の端末である送信元ホスト３０から受信者端末２０に送信された電子メールを受信し、かつ受信された電子メールを受信者端末２０に転送する。例えば、受信者端末２０は、特定の団体または組織に所属する人物によって使用される端末である。

図２は、サーバ１０の構成を示している。図２に示すように、サーバ１０は、記憶部１００と、サーバ通信部１０１と、サーバ処理部１０２とを有する。

記憶部１００は、不揮発性の記録媒体である。記憶部１００は、電子メールの送信者を示す送信者情報と、送信元ホスト３０から送信された電子メールが正規メールであるか否かを受信者端末２０のユーザが判定した判定結果を示すユーザ判定情報とを関連付けて記憶する。具体的には、記憶部１００は、送信者情報とユーザ判定情報とを含むＢＷリストを記憶する。ＢＷリストは、ブラックリストおよびホワイトリストに相当する。

サーバ通信部１０１は、通信インターフェースである。サーバ通信部１０１は、送信者情報を含む電子メールを送信元ホスト３０から受信する。サーバ通信部１０１は、電子メールと、電子メールが正規メールであるか否かをサーバ処理部１０２が判定した結果を示すサーバ判定情報とを受信者端末２０に送信する。例えば、サーバ判定情報が付加された電子メールが受信者端末２０に送信される。電子メールとサーバ判定情報とが別々に受信者端末２０に送信されてもよい。サーバ通信部１０１は、ユーザ判定情報を受信者端末２０から受信する。

サーバ処理部１０２は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）のような制御装置である。サーバ処理部１０２は、記憶部１００に記憶されたユーザ判定情報のうちサーバ通信部１０１によって受信された電子メールに含まれる送信者情報に対応するユーザ判定情報に基づいてサーバ判定情報を生成する。サーバ処理部１０２は、生成されたサーバ判定情報をサーバ通信部１０１に出力する。サーバ処理部１０２は、サーバ通信部１０１によって受信されたユーザ判定情報に基づいて、記憶部１００に記憶されたユーザ判定情報を更新する。

例えば、サーバ１０のＣＰＵが、記憶部１００に記憶されたプログラムを読み込み、かつ読み込まれたプログラムを実行することにより、サーバ通信部１０１およびサーバ処理部１０２の機能が実現される。このプログラムは、例えばフラッシュメモリのような「コンピュータ読み取り可能な記録媒体」により提供されてもよい。また、上述したプログラムは、このプログラムが保存された記憶装置等を有するコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波によりサーバ１０に伝送されてもよい。プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体である。また、上述したプログラムは、前述した機能の一部を実現してもよい。さらに、上述したプログラムは、前述した機能をコンピュータに既に記録されているプログラムとの組合せで実現できる差分ファイル（差分プログラム）であってもよい。

例えば、送信者情報は、送信者の名前を示す送信者名情報と、送信者のメールアドレスを示すアドレス情報との少なくとも１つを含む。送信者情報は、送信元ホスト３０のドメインを示すドメイン情報を含んでもよい。

記憶部１００はさらに、送信者のメールアドレスのドメインと関連するドメインと、送信元ホスト３０のドメインと関連するドメインとの少なくとも１つを示す関連ドメイン情報を送信者情報およびユーザ判定情報と関連付けて記憶してもよい。サーバ処理部１０２は、サーバ通信部１０１によって受信された電子メールに含まれる送信者情報と記憶部１００に記憶された送信者情報とを比較した結果と、サーバ通信部１０１によって受信された電子メールの送信者のメールアドレスのドメインおよび電子メールの送信元ホスト３０のドメインの少なくとも１つと記憶部１００に記憶された関連ドメイン情報とを比較した結果とに基づいて、記憶部１００に記憶されたユーザ判定情報のいずれか１つを選択し、かつ選択されたユーザ判定情報に基づいてサーバ判定情報を生成してもよい。

図３は、受信者端末２０の構成を示している。図３に示すように、受信者端末２０は、受信者通信部２００と、受信者処理部２０１と、提示部２０２と、操作部２０３とを有する。

受信者通信部２００は、通信インターフェースである。受信者通信部２００は、電子メールとサーバ判定情報とをサーバ１０から受信する。受信者通信部２００は、ユーザ判定情報をサーバ１０に送信する。

受信者処理部２０１は、ＣＰＵのような制御装置である。受信者処理部２０１は、受信者端末２０のユーザからの指示に基づいてユーザ判定情報を生成し、かつ生成されたユーザ判定情報を受信者通信部２００に出力する。

提示部２０２は、サーバ判定情報を受信者端末２０のユーザに提示する。例えば、提示部２０２は、液晶ディスプレイのような表示装置である。提示部２０２が表示装置である場合、提示部２０２は、サーバ判定情報を表示することによりサーバ判定情報をユーザに提示する。提示部２０２は、受信者通信部２００によって受信された電子メール等の情報を表示してもよい。提示部２０２は、スピーカのような音声出力装置であってもよい。提示部２０２が音声出力装置である場合、提示部２０２は、サーバ判定情報に対応する音声を出力することによりサーバ判定情報をユーザに提示する。ユーザは、提示部２０２によって提示されたサーバ判定情報に基づいて、電子メールが正規メールと攻撃メールとのどちらであるのかを知ることができる。

操作部２０３は、キーボードおよびマウスのような入力装置である。操作部２０３は、受信者端末２０のユーザによる操作を受け付ける。操作部２０３は、電子メールに対するユーザの判定結果の入力操作を受け付けたとき、その判定結果に対応した情報を受信者処理部２０１に出力する。受信者処理部２０１は、この情報に基づいてユーザ判定情報を生成する。

受信者端末２０のユーザは、提示部２０２によって提示されるサーバ判定情報を参考にすることができる。しかし、ユーザは、電子メールが正規メールと攻撃メールとのどちらであるのかを自分自身で判定することもできる。例えば、電子メールにＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）が記載されている場合、ユーザは、そのＵＲＬが示すウェブサイトにアクセスし、そのウェブサイトの情報に基づいて、判定を行う。ウェブサイトに特に不審な点が見当たらない場合、ユーザは、電子メールが正規メールであると判定することができる。ウェブサイトが不審なサイトである場合、ユーザは、電子メールが攻撃メールであると判定することができる。電子メールに添付ファイルが添付されている場合、ユーザは、その添付ファイルの情報に基づいて、判定を行ってもよい。添付ファイルが安全なファイルである場合、ユーザは、電子メールが正規メールであると判定することができる。添付ファイルがコンピュータウイルスを含むなど、添付ファイルが危険なファイルである場合、ユーザは、電子メールが攻撃メールであると判定することができる。ユーザは、上記の判定結果を操作部２０３により入力する。

例えば、受信者端末２０のＣＰＵがプログラムを実行することにより、受信者通信部２００、受信者処理部２０１、提示部２０２、および操作部２０３の機能が実現される。このプログラムの実現形態は、サーバ１０の機能を実現するプログラムの実現形態と同様である。

第１の実施形態では、標的型攻撃メールを含む電子メールに対して、ユーザが判定を行った結果がユーザ判定情報としてサーバ１０によって管理される。この結果、従来のブラックリストおよびホワイトリストが網羅することが難しい送信者からの電子メールに対して、サーバ１０がユーザ判定情報に基づいて判定を行うことができる。つまり、サーバ１０は、電子メールが正規メールであるか否かをより高精度に判定することができる。

図４は、サーバ１０の記憶部１００に記憶されるＢＷリストの例を示している。図４に示すように、ＢＷリストは、４つのエントリＥ１，Ｅ２，Ｅ３，Ｅ４を有する。各エントリは、９つの項目を含む。各項目は、送信者名と、メールアドレスと、送信元ホストのドメインと、関連ドメインと、正規判定数と、非正規判定数と、受信数と、判定フラグと、更新日とである。

送信者名と、メールアドレスと、送信元ホストのドメインとは、送信者情報である。サーバ１０によって受信される電子メールは、送信者名と、メールアドレスと、送信元ホストのドメインとを含む。送信者名は、電子メールの送信者を示す。送信者名は、送信者名情報である。メールアドレスは、電子メールを送信した送信元ホスト３０のメールアドレスである。メールアドレスは、アドレス情報である。メールアドレスの代わりに、メールアドレスのドメインが使用されてもよい。送信元ホストのドメインは、電子メールを送信した送信元ホスト３０のドメインである。

関連ドメインは、電子メールが経由するサーバのドメインを示す。関連ドメインは、送信者のメールアドレスのドメインと関連するドメインと、送信元ホスト３０のドメインと関連するドメインとの少なくとも１つを示す。例えば、サーバ処理部１０２は、メールアドレスのドメインまたは送信元ホスト３０のドメインに基づくウェブクロールによって関連ドメインを収集する。関連ドメインは、関連ドメイン情報である。送信者名と、メールアドレスと、送信元ホストのドメインと、関連ドメインとは、電子メールから抽出される。

正規判定数と、非正規判定数とは、ユーザ判定情報である。正規判定数は、電子メールが正規メールであると判定したユーザの数である。非正規判定数は、電子メールが正規メールでないと判定したユーザの数である。非正規判定数は、電子メールが攻撃メールであると判定したユーザの数と、電子メールが正規メールと攻撃メールとのどちらであるか不明であると判定したユーザの数とを含み得る。第１の実施形態では、受信者端末２０から受信されたユーザ判定情報は頻度情報として記憶部１００に記憶される。

受信数は、受信された電子メールの数である。受信者端末２０のユーザは電子メールに対する判定を自分自身で行うか否かを任意に決定できるため、受信された電子メールに対してユーザ判定情報が得られない場合がある。このため、正規判定数と非正規判定数との合計は、受信数と必ずしも一致しない。

判定フラグは、サーバ判定情報である。判定フラグは、各エントリに対応する電子メールが正規メールであるか否かを示す。サーバ処理部１０２は、正規判定数と非正規判定数とに基づいて、電子メールが正規メールであるか否かを定期的に判定し、かつ判定結果に基づいて判定フラグを更新する。例えば、サーバ処理部１０２は、正規判定数を正規判定数と非正規判定数との合計で割ることにより、電子メールが正規メールである確率を算出する。サーバ処理部１０２は、この確率が所定の閾値以上である場合、電子メールが正規メールであると判定する。サーバ処理部１０２は、この確率が所定の閾値未満である場合、電子メールが正規メールでないと判定する。サーバ処理部１０２は、受信数を重要度の係数とみなし、かつ上記の確率と受信数とに基づいて判定を行ってもよい。例えば、サーバ処理部１０２は、上記の確率を受信数で割った数が所定の閾値以上である場合、電子メールが正規メールであると判定する。サーバ処理部１０２は、上記の確率を受信数で割った数が所定の閾値未満である場合、電子メールが正規メールでないと判定する。

判定フラグに代えて、電子メールが正規メールである確率等のＢＷリストに登録されてもよい。ＢＷリストが判定フラグを含まなくてもよい。例えば、サーバ処理部１０２は、電子メールが受信されたとき、正規判定数と非正規判定数とに基づいて、各エントリに対応する電子メールが正規メールであるか否かを判定してもよい。これによって、判定フラグに対応するサーバ判定情報が生成される。

更新日は、各エントリが最後に更新された日である。サーバ処理部１０２は、新たに受信された電子メールから抽出された送信者名と、メールアドレスと、送信元ホストのドメインと、関連ドメインとの少なくとも１つが、ＢＷリストに登録された情報と一致しない場合、新しいエントリをＢＷリストに生成する。これらの４つの項目のうち関連ドメインのみが一致しない場合、ＢＷリストに存在するエントリの関連ドメインにその関連ドメインが追加されてもよい。

サーバ１０の動作を説明する。図５は、サーバ１０の動作の手順を示している。

（ステップＳ１００）
サーバ通信部１０１は、電子メールを送信元ホスト３０から受信し、かつ受信された電子メールをサーバ処理部１０２に出力する。送信元ホスト３０から送信された電子メールは、受信者端末２０に転送される経路の途中でサーバ１０を経由する。

（ステップＳ１０１）
電子メールが受信された後、サーバ処理部１０２は、電子メールから送信者情報を抽出する。

（ステップＳ１０２）
送信者情報が抽出された後、サーバ処理部１０２は、メール判定処理により、電子メールが正規メールであるか否かを判定し、かつサーバ判定情報を生成する。メール判定処理の詳細については、後述する。例えば、サーバ判定情報は、正規メールと攻撃メールと不明メールとのいずれか１つを示す。不明メールは、正規メールと攻撃メールとのいずれか１つに特定できないメールである。サーバ処理部１０２は、サーバ判定情報が付加された電子メールをサーバ通信部１０１に出力する。

（ステップＳ１０３）
メール判定処理が行われた後、サーバ通信部１０１は、サーバ判定情報が付加された電子メールを受信者端末２０に送信する。これによって、サーバ通信部１０１は、電子メールとサーバ判定情報とを受信者端末２０に送信する。サーバ処理部１０２は、電子メールとサーバ判定情報とを別々に受信者端末２０に送信してもよい。

（ステップＳ１０４）
電子メールとサーバ判定情報とが送信された後、サーバ通信部１０１は、ユーザ判定情報を受信者端末２０から受信し、かつ受信されたユーザ判定情報をサーバ処理部１０２に出力する。

（ステップＳ１０５）
サーバ処理部１０２は、ユーザ判定情報に基づいて、記憶部１００に記憶されたＢＷリストを更新する。つまり、サーバ処理部１０２は、ユーザ判定情報の内容に応じて、ＢＷリストにおける正規判定数または非正規判定数を１増加させる。サーバ処理部１０２はさらに、ＢＷリストにおける受信数を１増加させる。サーバ１０は、ステップＳ１００からステップＳ１０５の一連の処理を繰り返し行う。

受信者端末２０の動作を説明する。図６は、受信者端末２０の動作の手順を示している。

（ステップＳ２００）
受信者通信部２００は、サーバ判定情報が付加された電子メールをサーバ１０から受信する。これによって、受信者通信部２００は、電子メールとサーバ判定情報とをサーバ１０から受信する。受信者通信部２００は、受信された電子メールとサーバ判定情報とを受信者処理部２０１に出力する。

（ステップＳ２０１）
受信者処理部２０１は、サーバ判定情報を提示部２０２に出力する。提示部２０２は、サーバ判定情報を受信者端末２０のユーザに提示する。これによって、ユーザは、電子メールが正規メールであるか否かをサーバ１０が判定した結果を知ることができる。

（ステップＳ２０２）
サーバ判定情報がユーザに提示された後、操作部２０３は、電子メールに対するユーザの判定結果の入力操作を受け付け、かつその判定結果に対応した情報を受信者処理部２０１に出力する。受信者処理部２０１は、この情報に基づいてユーザ判定情報を生成する。例えば、判定結果が正規メールを示す場合、受信者処理部２０１は、電子メールが正規メールであることを示すユーザ判定情報を生成する。判定結果が攻撃メールを示す場合、受信者処理部２０１は、電子メールが攻撃メールであることを示すユーザ判定情報を生成する。受信者処理部２０１は、生成されたユーザ判定情報を受信者通信部２００に出力する。このとき、提示部２０２は、電子メールをユーザに提示してもよい。例えば、提示部２０２は、電子メールを表示してもよい。ユーザは、電子メールに記載されたＵＲＬまたは電子メールに添付された添付ファイル等に基づいて、電子メールに対する判定を行う。

（ステップＳ２０３）
ユーザ判定情報が生成された後、受信者通信部２００は、ユーザ判定情報をサーバ１０に送信する（ステップＳ２０３）。受信者端末２０は、ステップＳ２００からステップＳ２０３の一連の処理を繰り返し行う。

ユーザが全ての電子メールに対して上記の判定を行う必要はない。このため、ステップＳ２０２とステップＳ２０３とにおける処理が行われなくてもよい。受信者端末２０において、ステップＳ２０２とステップＳ２０３とにおける処理が行われない場合、サーバ１０において、ステップＳ１０４とステップＳ１０５とにおける処理は行われない。

ステップＳ１０２におけるメール判定処理を説明する。図７と図８と図９とは、メール判定処理の手順を示している。

（ステップＳ３００）
サーバ処理部１０２は、ＢＷリストのエントリのうち、送信者名が電子メールの送信者名と一致するエントリがあるか否かを判定する。送信者名が電子メールの送信者名と一致するエントリがある場合、ステップＳ３０１における処理が行われる。送信者名が電子メールの送信者名と一致するエントリがない場合、ステップＳ３０６における処理が行われる。

（ステップＳ３０１）
ステップＳ３００における判定の結果、ＢＷリストのエントリは、電子メールに含まれる情報と部分的に一致する。サーバ処理部１０２は、部分的に一致するエントリのうちメールアドレスが電子メールのメールアドレスと一致するエントリがあるか否かを判定する。メールアドレスが電子メールのメールアドレスと一致するエントリがある場合、ステップＳ３０２における処理が行われる。メールアドレスが電子メールのメールアドレスと一致するエントリがない場合、ステップＳ３０３における処理が行われる。

（ステップＳ３０２）
ステップＳ３００等における判定の結果、ＢＷリストのエントリは、電子メールに含まれる情報と部分的に一致する。サーバ処理部１０２は、部分的に一致するエントリのうち送信元ホストのドメインが電子メールの送信元ホスト３０のドメインと一致するエントリがあるか否かを判定する。送信元ホストのドメインが電子メールの送信元ホスト３０のドメインと一致するエントリがある場合、ステップＳ３０８における処理が行われる。送信元ホスト３０のドメインが電子メールの送信元ホスト３０のドメインと一致するエントリがない場合、ステップＳ３０５における処理が行われる。

（ステップＳ３０３）
ステップＳ３００における判定の結果、ＢＷリストのエントリは、電子メールに含まれる情報と部分的に一致する。サーバ処理部１０２は、部分的に一致するエントリのうちメールアドレスのドメインが電子メールの送信者アドレスのドメインと類似するエントリがあるか否かを判定する。メールアドレスのドメインが電子メールの送信者アドレスのドメインと類似するエントリがある場合、ステップＳ３０４における処理が行われる。メールアドレスのドメインが電子メールの送信者メールアドレスのドメインと類似するエントリがない場合、ステップＳ３０７における処理が行われる。

（ステップＳ３０４）
ステップＳ３００における判定の結果、ＢＷリストのエントリは、電子メールに含まれる情報と部分的に一致する。サーバ処理部１０２は、部分的に一致するエントリの関連ドメインが電子メールの送信者メールアドレスのドメインと一致するか否かを判定する。部分的に一致するエントリの関連ドメインが電子メールの送信者メールアドレスのドメインと一致する場合、ステップＳ３０２における処理が行われる。部分的に一致するエントリの関連ドメインが電子メールの送信者メールアドレスのドメインと一致しない場合、ステップＳ３０７における処理が行われる。

（ステップＳ３０５）
ステップＳ３００等における判定の結果、ＢＷリストのエントリは、電子メールに含まれる情報と部分的に一致する。サーバ処理部１０２は、部分的に一致するエントリの関連ドメインが電子メールの送信元ホスト３０のドメインと一致するか否かを判定する。部分的に一致するエントリの関連ドメインが電子メールの送信元ホスト３０のドメインと一致する場合、ステップＳ３０８における処理が行われる。部分的に一致するエントリの関連ドメインが電子メールの送信元ホスト３０のドメインと一致しない場合、ステップＳ３１１における処理が行われる。

（ステップＳ３０６）
サーバ処理部１０２は、メールアドレスが電子メールのメールアドレスと一致するエントリがあるか否かを判定する。メールアドレスが電子メールのメールアドレスと一致するエントリがある場合、ステップＳ３０８における処理が行われる。メールアドレスが電子メールのメールアドレスと一致するエントリがない場合、ステップＳ３１３における処理が行われる。

（ステップＳ３０７）
ステップＳ３００等における判定の結果、ＢＷリストのエントリは、電子メールに含まれる情報と部分的に一致する。サーバ処理部１０２は、部分的に一致するエントリのうち送信元ホストのドメインが電子メールの送信元ホスト３０のドメインと一致するエントリがあるか否かを判定する。送信元ホストのドメインが電子メールの送信元ホスト３０のドメインと一致するエントリがある場合、ステップＳ３０８における処理が行われる。送信元ホストのドメインが電子メールの送信元ホスト３０のドメインと一致するエントリがない場合、ステップＳ３１０における処理が行われる。

（ステップＳ３０８）
ステップＳ３００等における判定の結果、ＢＷリストのエントリは、電子メールに含まれる情報と部分的に一致する。サーバ処理部１０２は、部分的に一致するエントリが正規メールのエントリであるか否かを判定する。判定フラグが正規メールを示す場合、そのエントリは正規メールのエントリである。判定フラグが非正規メールを示す場合、そのエントリは正規メールのエントリではない。部分的に一致するエントリが正規メールのエントリである場合、ステップＳ３０９における処理が行われる。部分的に一致するエントリが正規メールのエントリでない場合、ステップＳ３１２における処理が行われる。

（ステップＳ３０９）
サーバ処理部１０２は、電子メールが正規メールであると判定する。サーバ処理部１０２は、判定結果を示すサーバ判定情報を生成し、かつサーバ判定情報が付加された電子メールをサーバ通信部１０１に出力する。

（ステップＳ３１０）
ステップＳ３００等における判定の結果、ＢＷリストのエントリは、電子メールに含まれる情報と部分的に一致する。サーバ処理部１０２は、部分的に一致するエントリの関連ドメインが電子メールの送信元ホスト３０のドメインと一致するか否かを判定する。部分的に一致するエントリの関連ドメインが電子メールの送信元ホスト３０のドメインと一致する場合、ステップＳ３０８における処理が行われる。部分的に一致するエントリの関連ドメインが電子メールの送信元ホスト３０のドメインと一致しない場合、ステップＳ３１１における処理が行われる。

（ステップＳ３１１）
ステップＳ３００等における判定の結果、ＢＷリストのエントリは、電子メールに含まれる情報と部分的に一致する。サーバ処理部１０２は、部分的に一致するエントリが正規メールのエントリであるか否かを判定する。部分的に一致するエントリが正規メールのエントリである場合、ステップＳ３１２における処理が行われる。部分的に一致するエントリが正規メールのエントリでない場合、ステップＳ３１７における処理が行われる。

（ステップＳ３１２）
サーバ処理部１０２は、電子メールが攻撃メールであると判定する。サーバ処理部１０２は、判定結果を示すサーバ判定情報を生成し、かつサーバ判定情報が付加された電子メールをサーバ通信部１０１に出力する。

（ステップＳ３１３）
サーバ処理部１０２は、メールアドレスが電子メールのメールアドレスと類似するエントリがあるか否かを判定する。メールアドレスが電子メールのメールアドレスと類似するエントリがある場合、ステップＳ３１４における処理が行われる。メールアドレスが電子メールのメールアドレスと類似するエントリがない場合、ステップＳ３１７における処理が行われる。

（ステップＳ３１４）
ステップＳ３１３における判定の結果、ＢＷリストのエントリは、電子メールに含まれる情報と部分的に類似する。サーバ処理部１０２は、部分的に類似するエントリの関連ドメインが電子メールの送信者メールアドレスドメインと一致するか否かを判定する。部分的に類似するエントリの関連ドメインが電子メールの送信者メールアドレスドメインと一致する場合、ステップＳ３０２における処理が行われる。部分的に類似するエントリの関連ドメインが電子メールの送信者メールアドレスドメインと一致しない場合、ステップＳ３１５における処理が行われる。

（ステップＳ３１５）
ステップＳ３１３における判定の結果、ＢＷリストのエントリは、電子メールに含まれる情報と部分的に類似する。サーバ処理部１０２は、部分的に類似するエントリのうち送信元ホストのドメインが電子メールの送信元ホスト３０のドメインと一致するエントリがあるか否かを判定する。部分的に類似するエントリのうち送信元ホストのドメインが電子メールの送信元ホスト３０のドメインと一致するエントリがある場合、ステップＳ３０８における処理が行われる。部分的に類似するエントリのうち送信元ホストのドメインが電子メールの送信元ホスト３０のドメインと一致するエントリがない場合、ステップＳ３１６における処理が行われる。

（ステップＳ３１６）
ステップＳ３１３における判定の結果、ＢＷリストのエントリは、電子メールに含まれる情報と部分的に類似する。サーバ処理部１０２は、部分的に類似するエントリの関連ドメインが電子メールの送信元ホスト３０のドメインと一致するか否かを判定する。部分的に類似するエントリの関連ドメインが電子メールの送信元ホスト３０のドメインと一致する場合、ステップＳ３０８における処理が行われる。部分的に類似するエントリの関連ドメインが電子メールの送信元ホスト３０のドメインと一致しない場合、ステップＳ３１１における処理が行われる。

（ステップＳ３１７）
サーバ処理部１０２は、電子メールが不明メールであると判定する。サーバ処理部１０２は、判定結果を示すサーバ判定情報を生成し、かつサーバ判定情報が付加された電子メールをサーバ通信部１０１に出力する。

ステップＳ３１６における判定の結果が否定的であった場合、サーバ処理部１０２は、電子メールのメールアドレスのドメインおよび送信元ホスト３０のドメインと、ＢＷリストの部分的に類似するエントリの送信元ホストのドメインおよび関連ドメインのｗｈｏｉｓ情報を検索してもよい。電子メールの各ドメインと、ＢＷリストの部分的に類似するエントリの各ドメインとにおいて、登録者等に共通性がある場合、ＢＷリストにおける正規メールの送信者と同一の団体または組織に所属する送信者からの電子メールが受信された可能性が高い。この場合、サーバ処理部１０２は、電子メールが正規メールであると判定してもよい。

メール判定処理の具体的な例を説明する。以下では、５つのケースについて説明する。図１０から図１４は、各ケースの状態を示している。各図において、ＢＷリストのうち、正規判定数と非正規判定数と受信数と更新日とを除く項目が示されている。

（第１のケース）
図１０は、第１のケースにおける状態を示している。サーバ１０によって受信された電子メールの送信者名は「へのへの もへじ」であり、かつメールアドレスは「ｈｅｎｏｈｅｎｏ＠Ａ．ｃｏｍ」であり、かつ送信元ホスト３０のドメインは「ｍａｉｌ．Ａ．ｃｏｍ」である。

電子メールの送信者名である「へのへの もへじ」は、ＢＷリストのエントリＥ１の送信者名である「へのへの もへじ」と一致する（ステップＳ３００）。電子メールのメールアドレスである「ｈｅｎｏｈｅｎｏ＠Ａ．ｃｏｍ」は、ＢＷリストのエントリＥ１のメールアドレスである「ｈｅｎｏｈｅｎｏ＠Ａ．ｃｏｍ」と一致する（ステップＳ３０１）。電子メールの送信元ホスト３０のドメインである「ｍａｉｌ．Ａ．ｃｏｍ」は、ＢＷリストのエントリＥ１の送信元ホストのドメインである「ｍａｉｌ．Ａ．ｃｏｍ」と一致する（ステップＳ３０２）。ＢＷリストのエントリＥ１の判定フラグは、エントリＥ１に対応する電子メールが正規メールであることを示す（ステップＳ３０８）。このため、サーバ処理部１０２は、電子メールが正規メールであると判定し、かつ正規メールを示すサーバ判定情報を生成する（ステップＳ３０９）。

第１のケースにおいて、送信者名とメールアドレスと送信元ホストのドメインとの組合せに関して、電子メールの情報とＢＷリストにおける正規メールの情報とが一致する。この場合、サーバ１０によって受信された電子メールは、正規メールであると判定される。

（第２のケース）
図１１は、第２のケースにおける状態を示している。サーバ１０によって受信された電子メールの送信者名は「へのへの もへじ」であり、かつメールアドレスは「ｈｅｎｏｈｅｎｏ＠ｙａ−−ｈｕｈｕ．ｃｏｍ」であり、かつ送信元ホスト３０のドメインは「ｍａｉｌ．ｄｕ−−ｍｍｙ．ｃｏｍ」である。

電子メールの送信者名である「へのへの もへじ」は、ＢＷリストのエントリＥ１の送信者名である「へのへの もへじ」であると一致する（ステップＳ３００）。電子メールのメールアドレスである「ｈｅｎｏｈｅｎｏ＠ｙａ−−ｈｕｈｕ．ｃｏｍ」は、ＢＷリストのエントリＥ１のメールアドレスである「ｈｅｎｏｈｅｎｏ＠Ａ．ｃｏｍ」と一致しない（ステップＳ３０１）。電子メールのメールアドレスのドメインである「ｙａ−−ｈｕｈｕ．ｃｏｍ」は、ＢＷリストのエントリＥ１のメールアドレスのドメインである「Ａ．ｃｏｍ」と類似しない（ステップＳ３０３）。

電子メールの送信元ホスト３０のドメインである「ｍａｉｌ．ｄｕ−−ｍｍｙ．ｃｏｍ」は、ＢＷリストのエントリＥ１の送信元ホストのドメインである「ｍａｉｌ．Ａ．ｃｏｍ」と一致しない（ステップＳ３０７）。電子メールの送信元ホスト３０のドメインである「ｍａｉｌ．ｄｕ−−ｍｍｙ．ｃｏｍ」は、ＢＷリストのエントリＥ１の関連ドメインである「Ａ−−ａｎｏｔｈｅｒ．ｃｏｍ」および「Ａ−−ｔｅｓｔ．ｃｏｍ」と一致しない（ステップＳ３１０）。ＢＷリストのエントリＥ１の判定フラグは、エントリＥ１に対応する電子メールが正規メールであることを示す（ステップＳ３１１）。このため、サーバ処理部１０２は、電子メールが攻撃メールであると判定し、かつ攻撃メールを示すサーバ判定情報を生成する（ステップＳ３１２）。

第２のケースにおいて、電子メールの送信者名とＢＷリストにおける正規メールの送信者名とは一致する。しかし、電子メールのメールアドレスおよび送信元ホストのドメインの組合せに関して、電子メールの情報とＢＷリストにおける正規メールの情報とは一致しない。この場合、電子メールの送信者名が偽装されている可能性が高い。このため、サーバ１０によって受信された電子メールは、攻撃メールであると判定される。

（第３のケース）
図１２は、第３のケースにおける状態を示している。サーバ１０によって受信された電子メールの送信者名は「へのへの もへじ」であり、かつメールアドレスは「ｈｅｎｏｈｅｎｏ＠Ａ．ｃｏｍ」であり、かつ送信元ホスト３０のドメインは「ｍａｉｌ．ｄｕ−−ｍｍｙ．ｃｏｍ」である。

電子メールの送信者名である「へのへの もへじ」は、ＢＷリストのエントリＥ１の送信者名である「へのへの もへじ」と一致する（ステップＳ３００）。電子メールのメールアドレスである「ｈｅｎｏｈｅｎｏ＠Ａ．ｃｏｍ」は、ＢＷリストのエントリＥ１のメールアドレスである「ｈｅｎｏｈｅｎｏ＠Ａ．ｃｏｍ」と一致する（ステップＳ３０１）。電子メールの送信元ホスト３０のドメインである「ｍａｉｌ．ｄｕ−−ｍｍｙ．ｃｏｍ」は、ＢＷリストのエントリＥ１の送信元ホストのドメインである「ｍａｉｌ．Ａ．ｃｏｍ」と一致しない（ステップＳ３０２）。電子メールの送信元ホスト３０のドメインである「ｍａｉｌ．ｄｕ−−ｍｍｙ．ｃｏｍ」は、ＢＷリストのエントリＥ１の関連ドメインである「Ａ−−ａｎｏｔｈｅｒ．ｃｏｍ」および「Ａ−−ｔｅｓｔ．ｃｏｍ」と一致しない（ステップＳ３０５）。ＢＷリストのエントリＥ１の判定フラグは、エントリＥ１に対応する電子メールが正規メールであることを示す（ステップＳ３１１）。このため、サーバ処理部１０２は、電子メールが攻撃メールであると判定し、かつ攻撃メールを示すサーバ判定情報を生成する（ステップＳ３１２）。

第３のケースにおいて、電子メールの送信者名とＢＷリストにおける正規メールの送信者名とは一致する。また、電子メールのメールアドレスとＢＷリストにおける正規メールのメールアドレスとは一致する。しかし、電子メールの送信元ホスト３０のドメインとＢＷリストにおける正規メールの送信元ホストのドメインとは一致しない。この場合、電子メールの送信者名が偽装されている可能性が高い。このため、サーバ１０によって受信された電子メールは、攻撃メールであると判定される。

（第４のケース）
図１３は、第４のケースにおける状態を示している。サーバ１０によって受信された電子メールの送信者名は「ぺけぺけ ぽん」であり、かつメールアドレスは「ｈｅｎｏｈｅｎｏ＠Ａ−−ｔｅｓｔ．ｃｏｍ」であり、かつ送信元ホスト３０のドメインは「Ａ−−ａｎｏｔｈｅｒ．ｃｏｍ」である。

電子メールの送信者名である「ぺけぺけ ぽん」は、ＢＷリストのどのエントリの送信者名とも一致しない（ステップＳ３００）。電子メールのメールアドレスである「ｈｅｎｏｈｅｎｏ＠Ａ−−ｔｅｓｔ．ｃｏｍ」は、ＢＷリストのどのエントリのメールアドレスとも一致しない（ステップＳ３０６）。電子メールのメールアドレスである「ｈｅｎｏｈｅｎｏ＠Ａ−−ｔｅｓｔ．ｃｏｍ」は、ＢＷリストのエントリＥ１のメールアドレスである「ｈｅｎｏｈｅｎｏ＠Ａ．ｃｏｍ」と類似する（ステップＳ３１３）。電子メールのメールアドレスのドメインである「Ａ−−ｔｅｓｔ．ｃｏｍ」は、ＢＷリストのエントリＥ１の関連ドメインである「Ａ−−ｔｅｓｔ．ｃｏｍ」と一致する（ステップＳ３１４）。

電子メールの送信元ホスト３０のドメインである「Ａ−−ａｎｏｔｈｅｒ．ｃｏｍ」は、ＢＷリストのエントリＥ１の送信元ホストのドメインである「ｍａｉｌ．Ａ．ｃｏｍ」と一致しない（ステップＳ３０２）。電子メールの送信元ホスト３０のドメインである「Ａ−−ａｎｏｔｈｅｒ．ｃｏｍ」は、ＢＷリストのエントリＥ１の関連ドメインである「Ａ−−ａｎｏｔｈｅｒ．ｃｏｍ」と一致する（ステップＳ３０５）。ＢＷリストのエントリＥ１の判定フラグは、エントリＥ１に対応する電子メールが正規メールであることを示す（ステップＳ３０８）。このため、サーバ処理部１０２は、電子メールが正規メールであると判定し、かつ正規メールを示すサーバ判定情報を生成する（ステップＳ３０９）。

第４のケースにおいて、電子メールの送信者名およびメールアドレスの組合せに関して、電子メールの情報とＢＷリストにおける正規メールの情報とは一致しない。電子メールのメールアドレスは、ＢＷリストにおける正規メールのメールアドレスと類似する。この場合、電子メールが標的型攻撃メールである可能性がある。電子メールのメールアドレスのドメインは、ＢＷリストにおける正規メールの関連ドメインと一致する。また、電子メールの送信元ホスト３０のドメインは、ＢＷリストにおける正規メールの関連ドメインと一致する。この場合、ＢＷリストにおける正規メールの送信者と同一の団体または組織に所属する送信者からの電子メールが受信された可能性が高い。このため、サーバ１０によって受信された電子メールは、正規メールであると判定される。

（第５のケース）
図１４は、第５のケースにおける状態を示している。サーバ１０によって受信された電子メールの送信者名は「ぺけぺけ ぽん」であり、かつメールアドレスは「ｈｅｎｏｈｅｎｏ＠Ａ−ｄｕ−−ｍｍｙ．ｃｏｍ」であり、かつ送信元ホスト３０のドメインは「ｍａｉｌ．ｄｕ−−ｍｍｙ．ｃｏｍ」である。

電子メールの送信者名である「ぺけぺけ ぽん」は、ＢＷリストのどのエントリの送信者名とも一致しない（ステップＳ３００）。電子メールのメールアドレスである「ｈｅｎｏｈｅｎｏ＠Ａ−ｄｕ−−ｍｍｙ．ｃｏｍ」は、ＢＷリストのどのエントリのメールアドレスとも一致しない（ステップＳ３０６）。電子メールのメールアドレスである「ｈｅｎｏｈｅｎｏ＠Ａ−ｄｕ−−ｍｍｙ．ｃｏｍ」は、ＢＷリストのエントリＥ１のメールアドレスである「ｈｅｎｏｈｅｎｏ＠Ａ．ｃｏｍ」と類似する（ステップＳ３１３）。電子メールのメールアドレスのドメインである「Ａ−ｄｕ−−ｍｍｙ．ｃｏｍ」は、ＢＷリストのエントリＥ１の関連ドメインである「Ａ−−ｔｅｓｔ．ｃｏｍ」と一致しない（ステップＳ３１４）。

電子メールの送信元ホスト３０のドメインである「ｍａｉｌ．ｄｕ−−ｍｍｙ．ｃｏｍ」は、ＢＷリストのエントリＥ１の送信元ホストのドメインである「ｍａｉｌ．Ａ．ｃｏｍ」と一致しない（ステップＳ３１５）。電子メールの送信元ホスト３０のドメインである「ｍａｉｌ．ｄｕ−−ｍｍｙ．ｃｏｍ」は、ＢＷリストのエントリＥ１の関連ドメインである「Ａ−−ａｎｏｔｈｅｒ．ｃｏｍ」および「Ａ−−ｔｅｓｔ．ｃｏｍ」と一致しない（ステップＳ３１６）。ＢＷリストのエントリＥ１の判定フラグは、エントリＥ１に対応する電子メールが正規メールであることを示す（ステップＳ３１１）。このため、サーバ処理部１０２は、電子メールが攻撃メールであると判定し、かつ攻撃メールを示すサーバ判定情報を生成する（ステップＳ３１２）。

第５のケースにおいて、電子メールの送信者名およびメールアドレスの組合せに関して、電子メールの情報とＢＷリストにおける正規メールの情報とは一致しない。電子メールのメールアドレスは、ＢＷリストにおける正規メールのメールアドレスと類似する。この場合、電子メールが標的型攻撃メールである可能性がある。電子メールのメールアドレスのドメインは、ＢＷリストにおける正規メールの関連ドメインと一致しない。また、電子メールの送信元ホスト３０のドメインは、ＢＷリストにおける正規メールの送信元ホストのドメインおよび関連ドメインと一致しない。この場合、電子メールが標的型攻撃メールである可能性が高い。このため、サーバ１０によって受信された電子メールは、攻撃メールであると判定される。

第１の実施形態において、記憶部１００は、電子メールに記載されたＵＲＬを示すＵＲＬ情報を送信者情報およびユーザ判定情報と関連付けて記憶してもよい。例えば、ＢＷリストの各エントリに対して、ＵＲＬが追加されてもよい。サーバ処理部１０２は、サーバ通信部１０１によって受信された電子メールに含まれる送信者情報と記憶部１００に記憶された送信者情報とを比較した結果と、サーバ通信部１０１によって受信された電子メールに含まれるＵＲＬと記憶部１００に記憶されたＵＲＬ情報とを比較した結果とに基づいて、記憶部１００に記憶されたユーザ判定情報のいずれか１つを選択し、かつ選択されたユーザ判定情報に基づいてサーバ判定情報を生成してもよい。例えば、真の送信者から送信される電子メールに記載されたＵＲＬがＢＷリストに登録される。この電子メールに対するユーザ判定情報は、正規メールを示す可能性が高い。真の送信者を偽装した送信者から攻撃メールが送信された場合、その攻撃メールには、正規の電子メールに記載されたＵＲＬと異なるＵＲＬが記載される。この攻撃メールに対するユーザ判定情報は、攻撃メールを示す可能性が高い。例えば、メール判定処理によって電子メールが不明メールと判定された場合、サーバ処理部１０２は、電子メールに含まれるＵＲＬに対応するユーザ判定情報に基づいてサーバ判定情報を生成してもよい。送信者情報に加えてＵＲＬ情報を判定に使用することにより、サーバ１０は、電子メールが正規メールであるか否かをより高精度に判定することができる。

第１の実施形態において、記憶部１００は、電子メールに添付された添付ファイルを示すファイル情報を送信者情報およびユーザ判定情報と関連付けて記憶してもよい。例えば、ＢＷリストの各エントリに対して、ファイル情報が追加されてもよい。例えば、ファイル情報は、添付ファイルのハッシュ値である。サーバ処理部１０２は、サーバ通信部１０１によって受信された電子メールに含まれる送信者情報と記憶部１００に記憶された送信者情報とを比較した結果と、サーバ通信部１０１によって受信された電子メールに含まれる添付ファイルの情報と記憶部１００に記憶されたファイル情報とを比較した結果とに基づいて、記憶部１００に記憶されたユーザ判定情報のいずれか１つを選択し、かつ選択されたユーザ判定情報に基づいてサーバ判定情報を生成してもよい。例えば、真の送信者から送信される電子メールに添付された添付ファイルの情報がＢＷリストに登録される。この電子メールに対するユーザ判定情報は、正規メールを示す可能性が高い。真の送信者を偽装した送信者から攻撃メールが送信された場合、その攻撃メールには、正規の電子メールに添付されたファイルと異なるファイルが添付される。この攻撃メールに対するユーザ判定情報は、攻撃メールを示す可能性が高い。例えば、メール判定処理によって電子メールが不明メールと判定された場合、サーバ処理部１０２は、電子メールに添付された添付ファイルに対応するユーザ判定情報に基づいてサーバ判定情報を生成してもよい。送信者情報に加えてファイル情報を判定に使用することにより、サーバ１０は、電子メールが正規メールであるか否かをより高精度に判定することができる。

上記のように、第１の実施形態において、サーバ１０は、電子メールに含まれる送信者情報に対応するユーザ判定情報に基づいて、電子メールが正規メールであるか否かを判定する。このため、サーバ１０は、電子メールが正規メールであるか否かをより高精度に判定することができる。標的型攻撃メールのみならず、スパムメールおよびフィッシングメールに対しても、サーバ１０は攻撃メールであると判定することができる。第１の実施形態で提供されるメール判定技術と従来のフィルタとを併用することにより、より網羅性の高いメール判定が可能となる。

受信者端末２０から送信されるユーザ判定情報に基づいて、サーバ１０の記憶部１００に記憶されたユーザ判定情報が自動的に更新される。このため、ユーザ判定情報の管理が容易である。

送信者名およびメールアドレスの偽装が容易であるため、従来技術において、これらの情報に対するホワイトリストの信頼性が低い。しかし、送信元ホスト３０のドメインを偽装することは困難であるため、この情報を送信者情報と組み合わせて判定を行うことにより、サーバ１０は、電子メールが正規メールであるか否かをより高精度に判定することができる。

スパムメール等のフィルタ技術では、団体または組織に届く電子メールに関する情報が、フィルタを提供するセキュリティベンダに送信され、かつそのセキュリティベンダ内で解析が行われることが多い。しかし、メールサーバを保有する団体または組織にとって、取引先のメールアドレスおよびメール本文等は機密情報となりえる場合がある。このため、電子メールに関する情報を外部に提供したり、異なる組織間でブラックリストおよびホワイトリストの情報を共有したりすることが難しい。このため、サーバ１０は、受信者端末２０が使用される団体または組織によって管理されるサーバであることが望ましい。これによって、情報の提供または共有に関する問題が解決される。

（第２の実施形態）
図１５は、本発明の第２の実施形態による通信システム２の構成を示している。図１５に示すように、通信システム２は、サーバ１１と、受信者端末２１とを有する。

例えば、サーバ１１は、受信者端末２１が使用される団体または組織によって管理されるサーバである。サーバ１１は、メールサーバの機能を有していなくてよい。例えば、受信者端末２１は、特定の団体または組織に所属する人物によって使用される端末である。送信元ホスト３０から送信された電子メールは、メールサーバ４０を経由して受信者端末２１によって受信される。

サーバ１１の構成は、図２に示すサーバ１０の構成と同様である。記憶部１００は、電子メールの送信者を示す送信者情報と、送信元ホスト３０から送信された電子メールが正規メールであるか否かを受信者端末２１のユーザが判定した判定結果を示すユーザ判定情報とを関連付けて記憶する。サーバ通信部１０１は、送信者情報を受信者端末２１から受信する。サーバ通信部１０１は、電子メールが正規メールであるか否かをサーバ処理部１０２が判定した結果を示すサーバ判定情報を受信者端末２１に送信する。サーバ通信部１０１は、ユーザ判定情報を受信者端末２１から受信する。サーバ処理部１０２は、記憶部１００に記憶されたユーザ判定情報のうちサーバ通信部１０１によって受信された送信者情報に対応するユーザ判定情報に基づいてサーバ判定情報を生成する。サーバ処理部１０２は、生成されたサーバ判定情報をサーバ通信部１０１に出力する。サーバ処理部１０２は、サーバ通信部１０１によって受信されたユーザ判定情報に基づいて、記憶部１００に記憶されたユーザ判定情報を更新する。

受信者端末２１の構成は、図３に示す受信者端末２０の構成と同様である。受信者通信部２００は、送信者情報を含む電子メールを送信元ホスト３０から受信する。受信者通信部２００は、受信された電子メールに含まれる送信者情報とユーザ判定情報とをサーバ１１に送信する。受信者通信部２００は、サーバ判定情報をサーバ１１から受信する。受信者処理部２０１は、受信者端末２１のユーザからの指示に基づいてユーザ判定情報を生成し、かつ生成されたユーザ判定情報を受信者通信部２００に出力する。提示部２０２は、サーバ判定情報を受信者端末２１のユーザに提示する。操作部２０３は、受信者端末２１のユーザによる操作を受け付ける。

サーバ１１の動作を説明する。図１６は、サーバ１１の動作の手順を示している。以下では、図５に示すサーバ１０の動作と異なる点を説明する。

（ステップＳ１１０）
サーバ通信部１０１は、送信者情報を受信者端末２１から受信する。

送信者情報が受信された後、ステップＳ１０２におけるメール判定処理が行われる。図１６に示すステップＳ１０２におけるメール判定処理は、図５に示すステップＳ１０２におけるメール判定処理と同様である。

（ステップＳ１１１）
メール判定処理が行われた後、サーバ通信部１０１は、サーバ判定情報を受信者端末２１に送信する。

サーバ判定情報が送信された後、ステップＳ１０４およびステップＳ１０５の各々における処理が行われる。図１６に示すステップＳ１０４およびステップＳ１０５の各々における処理は、図５に示すステップＳ１０４およびステップＳ１０５の各々における処理と同様である。

受信者端末２１の動作を説明する。図１７は、受信者端末２１の動作の手順を示している。以下では、図６に示す受信者端末２０の動作と異なる点を説明する。

（ステップＳ２１０）
受信者通信部２００は、電子メールを送信元ホスト３０から受信し、かつ受信された電子メールを受信者処理部２０１に出力する。この電子メールは、メールサーバ４０を経由した電子メールである。

（ステップＳ２１１）
電子メールが受信された後、受信者処理部２０１は、電子メールから送信者情報を抽出する。受信者処理部２０１は、抽出された送信者情報を受信者通信部２００に出力する。

（ステップＳ２１２）
送信者情報が抽出された後、受信者通信部２００は、送信者情報をサーバ１１に送信する。

（ステップＳ２１３）
送信者情報が送信された後、受信者通信部２００は、サーバ判定情報をサーバ１１から受信し、かつ受信されたサーバ判定情報を受信者処理部２０１に出力する。

サーバ判定情報が受信された後、ステップＳ２０１からステップＳ２０３の各々における処理が行われる。図１７に示すステップＳ２０１からステップＳ２０３の各々における処理は、図６に示すステップＳ２０１からステップＳ２０３の各々における処理と同様である。

受信者端末２１は、送信元ホスト３０から受信した電子メールをサーバ１１に転送することにより送信者情報をサーバ１１に送信してもよい。

第２の実施形態において、サーバ１１は、電子メールが正規メールであるか否かをより高精度に判定することができる。

以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

１，２ 通信システム、１０，１１ サーバ、２０，２１ 受信者端末、３０ 送信元ホスト、４０ メールサーバ、１００ 記憶部、１０１ サーバ通信部、１０２ サーバ処理部、２００ 受信者通信部、２０１ 受信者処理部、２０２ 提示部、２０３ 操作部

Claims (7)

1. サーバと、受信者端末とを有し、
   前記サーバは、
   電子メールの送信者を示す送信者情報と、前記送信者の端末である送信元ホストから送信された前記電子メールが正規メールであるか否かを前記受信者端末のユーザが判定した判定結果を示すユーザ判定情報とを関連付けて記憶する記憶部と、
   前記送信者情報を含む前記電子メールを前記送信元ホストから受信し、かつ前記電子メールと、前記電子メールが正規メールであるか否かをサーバ処理部が判定した結果を示すサーバ判定情報とを前記受信者端末に送信し、かつ前記ユーザ判定情報を前記受信者端末から受信するサーバ通信部と、
   前記記憶部に記憶された前記ユーザ判定情報のうち前記サーバ通信部によって受信された前記電子メールに含まれる前記送信者情報に対応する前記ユーザ判定情報に基づいて前記サーバ判定情報を生成し、かつ生成された前記サーバ判定情報を前記サーバ通信部に出力し、かつ前記サーバ通信部によって受信された前記ユーザ判定情報に基づいて、前記記憶部に記憶された前記ユーザ判定情報を更新する前記サーバ処理部と、
   を有し、
   前記記憶部に記憶された前記ユーザ判定情報は、前記電子メールが正規メールであると判定したユーザの数と、前記電子メールが正規メールでないと判定したユーザの数とを含み、
   前記受信者端末は、
   前記電子メールと前記サーバ判定情報とを前記サーバから受信し、かつ前記ユーザ判定情報を前記サーバに送信する受信者通信部と、
   前記サーバ判定情報を前記受信者端末のユーザに提示する提示部と、
   前記ユーザからの指示に基づいて前記ユーザ判定情報を生成し、かつ生成された前記ユーザ判定情報を前記受信者通信部に出力する受信者処理部と、
   を有する
   ことを特徴とする通信システム。
2. サーバと、受信者端末とを有し、
   前記サーバは、
   電子メールの送信者を示す送信者情報と、前記送信者の端末である送信元ホストから送信された前記電子メールが正規メールであるか否かを前記受信者端末のユーザが判定した判定結果を示すユーザ判定情報とを関連付けて記憶する記憶部と、
   前記送信者情報を前記受信者端末から受信し、かつ前記電子メールが正規メールであるか否かをサーバ処理部が判定した結果を示すサーバ判定情報を前記受信者端末に送信し、かつ前記ユーザ判定情報を前記受信者端末から受信するサーバ通信部と、
   前記記憶部に記憶された前記ユーザ判定情報のうち前記サーバ通信部によって受信された前記送信者情報に対応する前記ユーザ判定情報に基づいて前記サーバ判定情報を生成し、かつ生成された前記サーバ判定情報を前記サーバ通信部に出力し、かつ前記サーバ通信部によって受信された前記ユーザ判定情報に基づいて、前記記憶部に記憶された前記ユーザ判定情報を更新する前記サーバ処理部と、
   を有し、
   前記受信者端末は、
   前記送信者情報を含む前記電子メールを前記送信元ホストから受信し、かつ受信された前記電子メールに含まれる前記送信者情報と前記ユーザ判定情報とを前記サーバに送信し、かつ前記サーバ判定情報を前記サーバから受信する受信者通信部と、
   前記サーバ判定情報を前記受信者端末のユーザに提示する提示部と、
   前記ユーザからの指示に基づいて前記ユーザ判定情報を生成し、かつ生成された前記ユーザ判定情報を前記受信者通信部に出力する受信者処理部と、
   を有する
   ことを特徴とする通信システム。
3. 前記送信者情報は、送信者の名前を示す送信者名情報と、前記送信者のメールアドレスを示すアドレス情報との少なくとも１つを含むことを特徴とする請求項１または請求項２に記載の通信システム。
4. 前記送信者情報は、前記送信元ホストのドメインを示すドメイン情報を含むことを特徴とする請求項１から請求項３のいずれか一項に記載の通信システム。
5. 前記記憶部はさらに、前記送信者のメールアドレスのドメインと関連するドメインと、前記送信元ホストのドメインと関連するドメインとの少なくとも１つを示す関連ドメイン情報を前記送信者情報および前記ユーザ判定情報と関連付けて記憶し、
   前記サーバ処理部は、前記サーバ通信部によって受信された前記電子メールに含まれる前記送信者情報と前記記憶部に記憶された前記送信者情報とを比較した結果と、前記サーバ通信部によって受信された前記電子メールの送信者のメールアドレスのドメインおよび前記電子メールの前記送信元ホストのドメインの少なくとも１つと前記記憶部に記憶された前記関連ドメイン情報とを比較した結果とに基づいて、前記記憶部に記憶された前記ユーザ判定情報のいずれか１つを選択し、かつ選択された前記ユーザ判定情報に基づいて前記サーバ判定情報を生成する
   ことを特徴とする請求項１から請求項４のいずれか一項に記載の通信システム。
6. 電子メールの送信者を示す送信者情報と、前記送信者の端末である送信元ホストから送信された前記電子メールが正規メールであるか否かを受信者端末のユーザが判定した判定結果を示すユーザ判定情報とを関連付けて記憶する記憶部と、
   前記送信者情報を含む前記電子メールを前記送信元ホストから受信し、かつ前記電子メールと、前記電子メールが正規メールであるか否かをサーバ処理部が判定した結果を示すサーバ判定情報とを前記受信者端末に送信し、かつ前記ユーザ判定情報を前記受信者端末から受信するサーバ通信部と、
   前記記憶部に記憶された前記ユーザ判定情報のうち前記サーバ通信部によって受信された前記電子メールに含まれる前記送信者情報に対応する前記ユーザ判定情報に基づいて前記サーバ判定情報を生成し、かつ生成された前記サーバ判定情報を前記サーバ通信部に出力し、かつ前記サーバ通信部によって受信された前記ユーザ判定情報に基づいて、前記記憶部に記憶された前記ユーザ判定情報を更新する前記サーバ処理部と、
   を有し、
   前記記憶部に記憶された前記ユーザ判定情報は、前記電子メールが正規メールであると判定したユーザの数と、前記電子メールが正規メールでないと判定したユーザの数とを含む
   ことを特徴とするサーバ。
7. 電子メールの送信者を示す送信者情報と、前記送信者の端末である送信元ホストから送信された前記電子メールが正規メールであるか否かを受信者端末のユーザが判定した判定結果を示すユーザ判定情報とを関連付けて記憶する記憶部と、
   前記送信者情報を前記受信者端末から受信し、かつ前記電子メールが正規メールであるか否かをサーバ処理部が判定した結果を示すサーバ判定情報を前記受信者端末に送信し、かつ前記ユーザ判定情報を前記受信者端末から受信するサーバ通信部と、
   前記記憶部に記憶された前記ユーザ判定情報のうち前記サーバ通信部によって受信された前記送信者情報に対応する前記ユーザ判定情報に基づいて前記サーバ判定情報を生成し、かつ生成された前記サーバ判定情報を前記サーバ通信部に出力し、かつ前記サーバ通信部によって受信された前記ユーザ判定情報に基づいて、前記記憶部に記憶された前記ユーザ判定情報を更新する前記サーバ処理部と、
   を有することを特徴とするサーバ。

Images