JP7165840B1 - 不正検知システム、不正検知方法、及びプログラム - Google Patents

Abstract

不正検知システム（Ｓ）のエンジン取得手段（２０１）は、第１サービスで不正を検知するための第１不正検知エンジンに基づいて、第２サービスで不正を検知するための第２不正検知エンジンを取得する。不正情報取得手段（２０２）は、第２サービスで実際に発生した不正に関する不正情報を取得する。判定手段（２０３）は、不正情報に基づいて、第２サービスにおける不正を第２不正検知エンジンで検知可能か否かを判定する。適用手段（２０４）は、第２サービスにおける不正を第２不正検知エンジンで検知可能であると判定された場合に、第２サービスに第２不正検知エンジンを適用する。

Description

本開示は、不正検知システム、不正検知方法、及びプログラムに関する。

従来、サービスにおける不正を検知する不正検知システムが知られている。特許文献１には、ドメイン固有言語の一種であるＪＳＯＮ形式の訓練データに基づいて、教師有り学習の学習モデルの学習を行う技術が記載されている。特許文献２には、学習モデルのデータ構造として、ＪＳＯＮ形式のツリー構造を利用する技術が記載されている。特許文献３には、ＪＳＯＮ形式のプライバシーポリシーを訓練データとして、学習モデルの学習を行う技術が記載されている。

特許文献４には、クラウド上のデータが不正に取得されることを防止するために、ＪＳＯＮ形式等の構造化データフォーマットのメタデータを、学習済みの学習モデルに解析させる技術が記載されている。特許文献５には、ＩｏＴデバイスの正当性を確保するために、ＪＳＯＮ形式等の構造化データで記述された、ＩｏＴデバイスからのリクエストの正当性を検証する技術が記載されている。

国際公開第２０１８／１３９４５８号公報 特開２０２１－０８１１９８０号公報 特開２０２０－０９１８１４号公報 特開２０１９－１５３３３０号公報 特開２０１９－００９７２８号公報

しかしながら、特許文献１－５の技術では、個々のサービスで独自の不正検知エンジンを作成する必要があるので、不正検知エンジンの作成に手間がかかる。この点、不正検知エンジンの作成を簡易化するために、あるサービスＸの不正検知エンジンを、他のサービスＹの不正検知エンジンに流用することも考えられるが、サービスＸの不正検知エンジンでサービスＹの不正を検知できるとは限らない。このため、単純にサービスＸの不正検知エンジンをサービスＹに流用したとしても、サービスＹにおける不正を検知できず、セキュリティが低下する可能性がある。

本開示の目的の１つは、不正検知エンジンの作成を簡易化しつつ、セキュリティを高めることである。

本開示の一態様に係る不正検知システムは、第１サービスで不正を検知するための第１不正検知エンジンに基づいて、第２サービスで不正を検知するための第２不正検知エンジンを取得するエンジン取得手段と、前記第２サービスで実際に発生した不正に関する不正情報を取得する不正情報取得手段と、前記不正情報に基づいて、前記第２サービスにおける不正を前記第２不正検知エンジンで検知可能か否かを判定する判定手段と、前記第２サービスにおける不正を前記第２不正検知エンジンで検知可能であると判定された場合に、前記第２サービスに前記第２不正検知エンジンを適用する適用手段と、を含む。

本開示によれば、不正検知エンジンの作成を簡易化しつつ、セキュリティが高まる。

不正検知システムの全体構成の一例を示す図である。 ユーザが第１サービスを利用する様子の一例を示す図である。 第１サービスにおける不正検知の流れの一例を示す図である。 第１実施形態で実現される機能の一例を示す機能ブロック図である。 第１サービスデータベースの一例を示す図である。 履歴データベースの一例を示す図である。 第２サービスデータベースの一例を示す図である。 不正情報データベースの一例を示す図である。 第２不正検知エンジンの取得方法の一例を示す図である。 第１実施形態で実行される処理の一例を示すフロー図である。 第２実施形態で実現される機能の一例を示す機能ブロック図である。 第２実施形態における第１サービスの不正検知の一例を示す図である。 履歴データベースの一例を示す図である。 第１実施形態で実行される処理の一例を示すフロー図である。 第１実施形態に係る変形例の機能ブロック図である。 第２実施形態に係る変形例の機能ブロック図である。

［１．第１実施形態］
本開示に係る不正検知システムの実施形態の一例である第１実施形態を説明する。

［１－１．不正検知システムの全体構成］
図１は、不正検知システムの全体構成の一例を示す図である。不正検知システムＳは、第１サーバ１０、第２サーバ２０、及びユーザ端末３０を含む。ネットワークＮは、インターネット又はＬＡＮ等の任意のネットワークである。不正検知システムＳは、少なくとも１つのコンピュータを含めばよく、図１の例に限られない。

第１サーバ１０は、第１サービスを提供する第１提供者のサーバコンピュータである。第１サーバ１０は、第１サービスにおける不正を検知する。第１サーバ１０を含む第１サービスのシステムは、第１不正検知システムということができる。制御部１１は、少なくとも１つのプロセッサを含む。記憶部１２は、ＲＡＭ等の揮発性メモリと、ハードディスク等の不揮発性メモリと、を含む。通信部１３は、有線通信用の通信インタフェースと、無線通信用の通信インタフェースと、の少なくとも一方を含む。

第２サーバ２０は、第２サービスを提供する第２提供者のサーバコンピュータである。第２サービスは、第１サービスとは異なる他のサービスである。第１実施形態では、第１提供者及び第２提供者が異なる場合を説明するが、第１提供者及び第２提供者は同じであってもよい。即ち、第２サービスは、第１サービスと同じ提供者が提供する他のサービスであってもよい。なお、提供者は、サービスの運営会社である。

第２サーバ２０は、第２サービスにおける不正を検知する。第２サーバ２０を含む第２サービスのシステムは、第２不正検知システムということができる。不正検知システムＳは、第１サービスの第１不正検知システムと、第２サービスの第２不正検知システムと、の２つのシステムを含むことになる。制御部２１、記憶部２２、及び通信部２３の物理的構成は、それぞれ制御部１１、記憶部１２、及び通信部１３と同様である。

ユーザ端末３０は、ユーザのコンピュータである。例えば、ユーザ端末３０は、パーソナルコンピュータ、スマートフォン、タブレット端末、又はウェアラブル端末である。制御部３１、記憶部３２、及び通信部３３の物理的構成は、それぞれ制御部１１、記憶部１２、及び通信部１３と同様である。操作部３４は、タッチパネル等の入力デバイスである。表示部３５は、液晶ディスプレイ又は有機ＥＬディスプレイである。

なお、記憶部１２，２２，３２に記憶されるプログラムは、ネットワークＮを介して供給されてもよい。また、各コンピュータには、コンピュータ読み取り可能な情報記憶媒体を読み取る読取部（例えば、メモリカードスロット）と、外部機器とデータの入出力をするための入出力部（例えば、ＵＳＢポート）と、の少なくとも一方が含まれてもよい。例えば、情報記憶媒体に記憶されたプログラムが、読取部及び入出力部の少なくとも一方を介して供給されてもよい。

［１－２．不正検知システムの概要］
第１実施形態では、第１サービスの一例として、画像を投稿することを主な目的としたＳＮＳ（Social networking service）を説明する。第２サービスの一例として、短文のメッセージを投稿することを主な目的としたＳＮＳを説明する。第１サービス及び第２サービスは、任意のサービスであってよく、ＳＮＳに限られない。他のサービスの例は、後述の変形例で説明する。

第１実施形態では、ユーザが第１サービス及び第２サービスの両方を利用する場合を説明するが、ユーザは、第１サービス又は第２サービスの何れか一方のみを利用してもよい。第１サービスを利用するユーザが少なくとも１人存在し、第２サービスを利用するユーザが少なくとも１人存在すればよい。第１サービスの全てのユーザと、第２サービスの全てのユーザと、が完全に一致する必要はない。

第１実施形態では、ユーザは、第１サービス及び第２サービスに利用登録済みであるものとする。ユーザは、第１サービスにログインするためのユーザＩＤ及びパスワードと、第２サービスにログインするためのユーザＩＤ及びパスワードと、を発行済みである。例えば、ユーザが、ユーザ端末３０のアプリケーション又はブラウザを利用して第１サーバ１０にアクセスすると、第１サービスにログインするためのログイン画面が表示部３５に表示される。

図２は、ユーザが第１サービスを利用する様子の一例を示す図である。ユーザは、ログイン画面Ｇ１の入力フォームＦ１０，Ｆ１１に、第１サービスのユーザＩＤ及びパスワードを入力してボタンＢ１２を選択する。第１サーバ１０が、ユーザＩＤ及びパスワードの正当性を確認すると、第１サービスへのログインを許可する。第１サービスへのログインが許可されると、第１サービスのホーム画面Ｇ２が表示部３５に表示される。ユーザは、ホーム画面Ｇ２から第１サービスを利用する。ユーザは、第１サービスと同様の流れで第２サービスにログインし、第２サービスを利用できる。

悪意のある者は、フィッシング等によって他人のユーザＩＤ及びパスワードを入手し、第１サービス及び第２サービスの少なくとも一方に、他人になりすましてログインすることがある。以降、悪意のある者を不正ユーザと記載する。不正ユーザは、第１サービス及び第２サービスの少なくとも一方で不正をするユーザである。以降、不正をしないユーザを、正当ユーザと記載する。正当ユーザ及び不正ユーザを区別しない時は、単にユーザと記載する。

不正とは、違法行為、利用規約に違反する行為、又はその他の迷惑行為である。第１実施形態では、不正の一例として、なりすまし（不正ログイン）を説明する。このため、なりすましについて説明している箇所は、不正と読み替えることができる。検知対象となる不正自体は、種々の種類であってよく、なりすましに限られない。なりすまし以外の他の不正は、後述の変形例で説明する。

例えば、第１サービスは、不正を検知するための不正検知エンジンが既に導入されているものとする。不正検知エンジンは、不正検知で利用されるプログラム又はシステムの総称である。第２サービスは、まだ不正検知エンジンが導入されておらず、ユーザからの通報を受けて人手で不正の判定が行われているものとする。また、第２サービスでは、なりすましが増えており、不正検知エンジンの導入が検討されているものとする。以降、第１サービスの不正検知エンジンを、第１不正検知エンジンと記載する。第２サービスの不正検知エンジンを、第２不正検知エンジンと記載する。

第１実施形態では、第２不正検知エンジンを１から作成すると非常に手間がかかるので、第１不正検知エンジンを流用して第２不正検知エンジンが作成される。第１不正検知エンジンをそのままコピーして第２不正検知エンジンとしてもよいが、第１サービス及び第２サービスは、不正検知に必要なデータ等が完全に一致するわけではないので、第２サービスに合うようにカスタマイズされる。

第２不正検知エンジンの流用元となる第１不正検知エンジン自体は、公知の種々のエンジンを利用可能である。第１実施形態では、学習モデル及びルールの両方を含む第１不正検知エンジンを例に挙げる。以降、第１不正検知エンジンの学習モデル及びルールを、第１学習モデル及び第１ルールと記載する。第２不正検知エンジンの学習モデル及びルールを、第２学習モデル及び第２ルールと記載する。第１学習モデル及び第２学習モデルを区別しない時は、単に学習モデルと記載する。第１ルール及び第２ルールを区別しない時は、単にルールと記載する。

学習モデルは、機械学習を利用したモデルである。学習モデルは、ＡＩ（Artificial Intelligence）と呼ばれることもある。機械学習自体は、公知の種々の方法を利用可能である。第１実施形態の機械学習は、深層学習及び強化学習を含む意味である。学習モデルは、教師有り機械学習、半教師有り機械学習、又は教師無し機械学習の何れであってもよい。例えば、学習モデルは、ニューラルネットワークであってもよい。ルール自体も、公知の種々のルールを利用可能である。例えば、ルールは、ユーザ特徴情報に基づいて判定可能な条件を含む。

ユーザ特徴情報は、ユーザの特徴に関する情報である。ユーザ特徴情報は、静的な情報であってもよいし、動的な情報であってもよい。静的な情報とは、予め登録された情報である。静的な情報は、ユーザが自分で変更しない限りは、原則として変わらない情報である。例えば、ユーザＩＤ、ユーザ名、性別、メールアドレス、年齢、生年月日、国籍、住所、又はこれらの組み合わせは、静的な情報に相当する。動的な情報とは、ユーザの行動に関する情報である。動的な情報は、ユーザがアクセスするたびに変わりうる情報である。例えば、ユーザ端末３０の場所、不正検知が実行される時の時間、ユーザ端末３０の識別情報、又はこれらの組み合わせは、動的な情報に相当する。

図２には、あるユーザが第１サービスにログインする際に取得されるユーザ特徴情報の一例が示されている。図２のように、第１実施形態では、ドメイン固有言語の一種であるＪＳＯＮで定義されたデータ形式のユーザ特徴情報を例に挙げる。データ形式自体は、公知の形式であってよい。例えば、ユーザ特徴情報は、波括弧で囲われた部分に、具体的なデータの内容が記述される。ダブルクォーテーションで囲われた部分に、文字列が記述される。数値は、ダブルクォーテーションで囲われない。

例えば、あるユーザがログイン画面Ｇ１から第１サービスへのログインを要求すると、第１サーバ１０は、図２のようなユーザ特徴情報を取得する。図２の例では、ユーザ特徴情報は、「ｏｒｉｇｉｎａｌ」といった名前のデータを含む。「ｏｒｉｇｉｎａｌ」は、更に、「ｕｓｅｒｉｄ」、「ｉｐａｄｄｒｅｓｓ」、及び「ｔｉｍｅ」といった名前のデータを含む。これらの個々のデータは、ユーザの何らかの特徴を示すデータである。

「ｕｓｅｒｉｄ」は、ユーザが入力したユーザＩＤを示す。「ｉｐａｄｄｒｅｓｓ」は、ユーザ端末３０のＩＰアドレスを示す。「ｔｉｍｅ」は、ログインが要求された日時を示す。「ｄｅｖｉｃｅｉｄ」は、ユーザのユーザ端末３０を識別可能なデバイスＩＤを示す。ＩＰアドレスは、場所に応じて変わることがあるが、デバイスＩＤは、場所に応じては変わらない。

「ｎａｍｅ」、「ｐｏｓｔｓ」、「ｆｏｌｌｏｗｅｒｓ」、「ｆｏｌｌｏｗｉｎｇ」、「ｇｅｎｄｅｒ」、「ｅｍａｉｌ」、及び「ａｇｅ」は、それぞれユーザＩＤに関連付けられたユーザ名、投稿数、フォロワー数、フォロー数、性別、メールアドレス、及び年齢を示す。ユーザ特徴情報に含まれる情報は、任意の情報であってよく、図２の例に限られない。第１サービスでは、図２のようなユーザ特徴情報に基づいて、不正が検知される。

図３は、第１サービスにおける不正検知の流れの一例を示す図である。Ｓ１～Ｓ５の処理は、第１不正検知エンジンの処理である。例えば、あるユーザが第１サービスにログインしようとすると（Ｓ１）、第１サーバ１０は、ユーザ特徴情報を取得する（Ｓ２）。第１実施形態では、図２のようなユーザ特徴情報が取得された後に、不正検知で利用する情報を取得するための集計処理等が実行される。ユーザ特徴情報には、集計処理等の計算結果が次々と追加される。この計算自体は、公知の種々の方法を利用可能である。追加されるデータもＪＳＯＮのデータ形式に沿ったものとなる。

例えば、第１サーバ１０は、「ｉｐａｄｒｅｓｓ」に基づいて、ＩＰアドレスに対応する市町村を特定し、ユーザの普段の利用中心地からの距離を計算する。第１サーバ１０は、ユーザ特徴情報に、この距離を「ｆｅａｔｕｒｅ１」のデータ名で追加する。第１サーバ１０は、「ｔｉｍｅ」に基づいて、「ｕｓｅｒｉｄ」が示すユーザＩＤで現在の時間帯にログインされた回数を集計する。第１サーバ１０は、ユーザ特徴情報に、この回数を「ｆｅａｔｕｒｅ２」のデータ名で追加する。他にも例えば、第１サーバ１０は、種々の計算を実行可能である。第１サーバは、ユーザ特徴情報に、計算結果を所定のデータ名で次々と格納する。これらの計算は、第１サーバ１０以外の他のコンピュータで実行されてもよい。

第１サーバ１０は、第１学習モデルにユーザ特徴情報を入力し、第１学習モデルから出力されたスコアを取得する（Ｓ３）。第１サーバ１０は、ユーザ特徴情報に基づいて、第１ルールに合致するか否かを判定する（Ｓ４）。図３のように、複数の第１ルールが存在してもよいし、単一の第１ルールのみが存在してもよい。第１サーバ１０は、第１学習モデルのスコアと、第１ルールの判定結果と、を後述の履歴データベースＤＢ２に格納する（Ｓ５）。第１サーバ１０は、第１学習モデルのスコアと、第１ルールの判定結果と、が何れも不正を示すものでなければ、ログインを許可する。第１サーバ１０は、第１学習モデルのスコアと、第１ルールの判定結果と、の少なくとも一方が不正を示すものであれば、ログインを許可しない。この場合、他のパスワードや生体認証等を利用した追加認証が要求されてもよい。

ユーザが第１サービスへのログインを要求してからある程度の期間（例えば、数週間～数ヶ月程度）が経過すると、不正であるか否かを確定するための確定タイミングが訪れる（Ｓ６）。この期間の長さは、全ユーザで共通であってもよいし、ユーザに応じた長さであってもよい。確定タイミングが訪れると、第１サービスの管理者は、ユーザ特徴情報やその他の情報を利用して、不正であるか否かを判定する。第１サーバ１０は、不正であるか否かの確定結果を、履歴データベースに格納する（Ｓ７）。

第１サービスでは、以上のような流れで不正が検知される。第１サービス及び第２サービスは、互いのサービス自体は異なるが、ＳＮＳという点では同種のサービスである。このため、第１サービスにおける不正ユーザの傾向と、第２サービスにおける不正ユーザの傾向と、が似ている可能性がある。例えば、第１サービスで不正をした不正ユーザが、同じユーザ端末３０を利用して、同じ時間帯に同じＩＰアドレスで同じ場所から、第２サービスで不正をしようとすることがある。更に、不正ユーザがなりすまそうとする正当ユーザの年齢やフォロワー数等が似ていることもある。

このように、第１サービスの不正の傾向と、第２サービスの不正の傾向と、が似ていれば、第１不正検知エンジンを第２不正検知エンジンに流用しても、十分に精度の高い不正検知が可能である。ただし、第１サービスの不正の傾向と、第２サービスの不正の傾向と、が異なる可能性もある。この場合、第１不正検知エンジンを流用して第２不正検知エンジンを作成しても、第２サービスの不正を検知できない可能性がある。即ち、第２サービスにおけるなりすましが可能になり、第２サービスのセキュリティを高めることができない可能性がある。

そこで、第１実施形態の不正検知システムＳは、第２サービスで実際に発生した不正を、第１不正検知エンジンを流用して作成された第２不正検知エンジンで検知可能か否かを判定する。この第２不正検知エンジンは、第２サービスで実際に発生した不正を検知可能であると判定された場合に適用される。これにより、第２不正検知エンジンの作成を簡易化しつつ、第２サービスにおけるセキュリティを高めるようにしている。以降、第１実施形態の詳細を説明する。

［１－３．第１実施形態で実現される機能］
図４は、第１実施形態で実現される機能の一例を示す機能ブロック図である。

［１－３－１．第１サーバで実現される機能］
データ記憶部１００は、記憶部１２を主として実現される。ユーザＩＤ取得部１０１、ユーザ特徴情報取得部１０２、及び不正検知部１０３は、制御部１１を主として実現される。

［データ記憶部］
データ記憶部１００は、第１サービスにおける不正を検知するために必要なデータを記憶する。例えば、データ記憶部１００は、第１サービスデータベースＤＢ１と、履歴データベースＤＢ２と、を記憶する。

図５は、第１サービスデータベースＤＢ１の一例を示す図である。第１サービスデータベースＤＢ１は、第１サービスのユーザに関する情報が格納されたデータベースである。例えば、第１サービスデータベースＤＢ１には、ユーザＩＤ、パスワード、ユーザ情報、利用状況情報、及び利用履歴情報が関連付けられて格納される。あるユーザが第１サービスの利用登録を完了すると、第１サービスデータベースＤＢ１に新たなレコードが作成され、このユーザのユーザＩＤ等が格納される。

ユーザＩＤは、ユーザを識別可能なユーザ識別情報の一例である。このためユーザＩＤと記載した箇所は、ユーザ識別情報と読み替えることができる。ユーザ識別情報は、ユーザＩＤ以外の名前で呼ばれる情報であってもよい。例えば、ユーザ名、ユーザアカウント、又はログインＩＤと呼ばれる情報が、ユーザ識別情報に相当してもよい。メールアドレス又は電話番号等の情報がユーザ識別情報として利用されてもよい。パスワードは、ログインに必要な認証情報である。

ユーザ情報は、ユーザにより登録された情報である。例えば、ユーザ情報は、ユーザ名、性別、メールアドレス、及び年齢を含む。ユーザ情報は、国籍、電話番号、生年月日、郵便番号、住所、職業、年収、第１サービスと連携する他のサービスのユーザＩＤ、又は家族構成といった他の情報を含んでもよい。ユーザ情報は、ユーザを何らかの形で分類するための属性（例えば、年齢層や趣味など）を含んでもよい。ユーザ情報が示す個々の内容は、ユーザの特徴の１つである。

利用状況情報は、第１サービスの利用状況に関する情報である。例えば、利用状況情報は、投稿数、フォロワー数、フォロー数、投稿内容、他のユーザからのコメント、ユーザ間のメッセージ、及び第１サービスの設定を含む。あるユーザが第１サービスを利用すると、このユーザの利用状況情報が更新される。あるユーザの利用状況情報が他のユーザの利用により更新されることもある。例えば、あるユーザの利用状況情報は、他のユーザによりフォローされたりコメントが入力されたりすると更新される。利用状況情報が示す個々の内容は、ユーザの特徴の１つである。

利用履歴情報は、第１サービスの利用履歴に関する情報である。利用履歴は、行動履歴ということもできる。利用状況情報は、現時点における利用状況に関する情報であるのに対し、利用履歴情報は、過去における利用状況に関する情報である。例えば、利用履歴情報は、過去のログインにおける時間、過去のログインで利用されたＩＰアドレス、過去のログインで利用されたユーザ端末３０のデバイスＩＤ、及び過去のログインにおけるユーザの行動が格納される。利用履歴情報は、ログインが発生すると更新される。利用履歴情報が示す個々の内容は、ユーザの特徴の１つである。

図６は、履歴データベースＤＢ２の一例を示す図である。履歴データベースＤＢ２は、第１サービスにおける不正検知の履歴が格納されたデータベースである。例えば、履歴データベースＤＢ２には、ユーザ特徴情報、結果情報、及びステータス情報が格納される。第１サービスへのログインが発生すると、履歴データベースＤＢ２に新たなレコードが作成され、このログイン時に実行された不正検知に関する情報が格納される。

ユーザ特徴情報の詳細は、先述した通りである。結果情報は、不正検知の結果に関する情報である。第１実施形態では、結果情報が不正であるか否か（不正の有無）を示す場合を説明するが、結果情報は、不正の疑いを示すスコアであってもよい。スコアが数値で表現される場合、スコアが高いほど不正の疑いが高い。逆に、スコアは、正当性を示すものであってもよい。この場合、スコアが低いほど不正の疑いが高い。スコアは、数値以外にもＳランク、Ａランク、Ｂランクといったような文字等で表現されてもよい。スコアは、不正の確率又は蓋然性ということもできる。

ステータス情報は、不正検知のステータスに関する情報である。第１実施形態では、確定タイミングが訪れた場合に、ログイン時に実行された不正検知の結果が確定するので、ステータス情報は、不正検知の結果が確定したか否かを示す。図６の「未確定」は、確定タイミングが訪れていないことを示す。図６の「確定」は、確定タイミングが訪れたことを示す。第１不正検知エンジンが判定を誤ることもあるので、第１サービスの管理者により、未確定の結果情報が修正されることもある。

なお、データ記憶部１００が記憶するデータは、上記の例に限られない。データ記憶部１００は、任意のデータを記憶可能である。例えば、データ記憶部１００は、第１不正検知エンジンを記憶する。第１実施形態では、第１不正検知エンジンは、第１学習モデル及び第１ルールを含むので、データ記憶部１００は、学習済みの第１学習モデルと、第１ルールの内容を示すデータと、を記憶する。

例えば、第１サーバ１０は、実際に発生した不正におけるユーザ特徴情報に基づいて、第１学習モデルの訓練データを取得する。この訓練データは、第１サービスの管理者によって作成されてもよいし、公知の自動生成手法を利用して取得されてもよい。例えば、訓練データは、ユーザ特徴情報を入力部分とし、不正であるか否かを出力部分とするペアになる。第１サーバ１０は、訓練データの入力部分が入力された場合に、訓練データの出力部分が出力されるように、第１学習モデルの学習を行う。第１学習モデルの学習方法自体は、公知の機械学習で利用されている方法を利用すればよい。第１サーバ１０は、学習済みの第１学習モデルをデータ記憶部１００に記録する。第１サーバ１０は、教師無し学習又は半教師有り学習を利用して学習させた第１学習モデルをデータ記憶部１００に記録してもよい。

例えば、第１サーバ１０は、第１サービスの管理者が作成した第１ルールを、データ記憶部１００に記録する。第１ルールは、管理者が手動で作成しなくてもよく、公知のルール生成方法が利用されてもよい。例えば、決定木を作成する機械学習を利用して第１ルールが生成されてもよい。第１ルールは、不正を検知するためのものに限られず、正当性を検知するためのものであってもよい。例えば、ある条件に合致したユーザを正当と判定するための第１ルールであってもよい。

［ユーザＩＤ取得部］
ユーザＩＤ取得部１０１は、ユーザＩＤを取得する。このユーザＩＤは、不正検知の対象となるユーザのユーザＩＤである。第１実施形態では、ログインが要求された場合に不正検知が実行されるので、ユーザＩＤ取得部１０１は、ログインが要求されたユーザＩＤを取得する。例えば、ユーザＩＤ取得部１０１は、ログイン画面Ｇ１の入力フォームＦ１０に入力されたユーザＩＤを取得する。

［ユーザ特徴情報取得部］
ユーザ特徴情報取得部１０２は、第１サービスにおけるユーザの特徴に関するユーザ特徴情報を取得する。このユーザは、不正検知の対象となるユーザである。ユーザ特徴情報の詳細は、先述した通りである。第１実施形態では、ＪＳＯＮを一例とするドメイン固有言語に関するデータ形式のユーザ特徴情報が利用されるので、ユーザ特徴情報取得部１０２は、所定のドメイン固有言語に関するデータ形式のユーザ特徴情報を取得する。

例えば、ユーザ特徴情報取得部１０２は、ユーザＩＤ取得部１０１により取得されたユーザＩＤに基づいて、ユーザ特徴情報を取得する。ユーザ特徴情報取得部１０２は、第１サービスデータベースＤＢ１を参照し、このユーザＩＤに関連付けられたユーザ情報の全部又は一部に基づいて、ユーザ特徴情報を取得する。図２のデータ例であれば、ユーザ特徴情報取得部１０２は、このユーザＩＤに関連付けられたユーザ名、投稿数、フォロワー数、フォロー数、性別、メールアドレス、及び年齢を、「ｏｒｉｇｉｎａｌ」のユーザ特徴情報として取得する。

なお、ユーザ特徴情報に含まれる「ｎａｍｅ」等のデータ名と、第１サービスデータベースＤＢ１のフィールド名と、は同じであってもよいし異なっていてもよい。これらの名前が異なる場合には、「ｎａｍｅ」等のデータ名と、第１サービスデータベースＤＢ１のフィールド名と、の関係を示すデータがデータ記憶部１００に記憶されているものとする。ユーザ特徴情報取得部１０２は、第１サービスデータベースＤＢ１のうち、不正検知で利用するフィールドとして予め定められたフィールドの情報を取得し、当該フィールドのフィールド名に対応するデータ名を示す文字列の後に、当該取得した情報が記述されるように、ユーザ特徴情報を取得する。

例えば、ユーザ特徴情報取得部１０２は、ユーザ端末３０から取得した情報に基づいて、ユーザ特徴情報を取得してもよい。第１実施形態では、ユーザ端末３０は、第１サーバ１０にログインを要求する場合に、自身のＩＰアドレスと、デバイスＩＤと、を送信する。ユーザ特徴情報取得部１０２は、「ｉｐａｄｒｅｓｓ」及び「ｄｅｖｉｃｅｉｄ」のデータ名を示す文字列の後に、ユーザ端末３０から取得したＩＰアドレス及びデバイスＩＤが記述されるように、ユーザ特徴情報を取得する。

なお、デバイスＩＤは、ユーザ端末３０の個体識別番号やＳＩＭカードに格納されたＩＤであってもよいが、第１実施形態では、第１サーバ１０により発行されたＩＤであってもよい。この場合、第１サーバ１０は、あるユーザ端末３０で第１サービスの利用登録が行われたり、何らかのユーザＩＤでログインが発生したりすると、このユーザ端末３０を識別可能なデバイスＩＤを発行する。このユーザ端末３０には、このデバイスＩＤが記録される。ユーザ端末３０は、ログイン時に、第１サーバ１０に当該デバイスＩＤを送信すればよい。

例えば、ユーザ特徴情報取得部１０２は、ユーザ端末３０からログインが要求された場合に、「ｔｉｍｅ」のデータ名を示す文字列の後に、現在の日時が記述されるように、ユーザ特徴情報を取得する。現在の日時は、リアルタイムクロック又はＧＰＳ等を利用して取得されるようにすればよい。ユーザ特徴情報取得部１０２は、ユーザ端末３０からログインが要求された場合に、「ｕｓｅｒｉｄ」のデータ名を示す文字列の後に、ログインが要求されたユーザＩＤが記述されるように、ユーザ特徴情報を取得する。

第１実施形態では、ユーザ特徴情報取得部１０２は、集計処理等の計算によって、不正検知に利用する情報を取得する。例えば、ユーザ特徴情報取得部１０２は、ユーザＩＤ取得部１０１により取得されたユーザＩＤに関連付けられた利用履歴情報に基づいて、ユーザの利用中心地を計算する。利用中心地は、過去の全期間又は一部の期間における利用場所の位置の平均である。ユーザ特徴情報取得部１０２は、ユーザ端末３０のＩＰアドレスから推定した位置と、利用中心地と、の距離を計算する。ユーザ特徴情報取得部１０２は、「ｆｅａｔｕｒｅ１」のデータ名を示す文字列の後に、この距離が記述されるように、ユーザ特徴情報を取得する。

例えば、ユーザ特徴情報取得部１０２は、ユーザＩＤ取得部１０１により取得されたユーザＩＤに関連付けられた利用履歴情報に基づいて、現在の時間帯における過去の利用回数を計算する。更に、ユーザ特徴情報取得部１０２は、この利用履歴情報に基づいて、過去に利用されたデバイスＩＤ及びＩＰアドレスを特定する。ユーザ特徴情報取得部１０２は、「ｆｅａｔｕｒｅ２」のデータ名を示す文字列の後に、当該計算された利用回数と、当該特定されたデバイスＩＤ及びＩＰアドレスと、が記述されるように、ユーザ特徴情報を取得する。

以上のように、ユーザ特徴情報取得部１０２は、不正検知に利用する計算結果が次々と追加されるように、ユーザ特徴情報を取得する。ユーザ特徴情報の取得方法は、種々の方法を利用可能であり、第１実施形態の例に限られない。例えば、ユーザ特徴情報取得部１０２は、集計処理等の計算を実行することなく、ユーザ特徴情報を取得してもよい。他にも例えば、ユーザ特徴情報取得部１０２は、集計処理等の計算だけが含まれるように、ユーザ特徴情報を取得してもよい。

［不正検知部］
不正検知部１０３は、ユーザ特徴情報と、第１不正検知エンジンと、に基づいて、第１サービスにおける不正を検知する。例えば、不正検知部１０３は、ユーザ特徴情報に基づいて、第１不正検知エンジンの第１学習モデルからの出力を取得する。第１学習モデルは、ユーザ特徴情報が入力されると、ユーザ特徴情報に基づいて、不正の疑いを示すスコアを計算して出力する。第１学習モデルがニューラルネットワークである場合には、入力されたユーザ特徴情報が必要に応じて畳み込まれる。不正検知部１０３は、第１学習モデルから出力されたスコアを取得する。第１学習モデルは、スコアではなく、不正であるか否かを示すラベルを出力してもよい。この場合、不正検知部１０３は、第１学習モデルから出力されたラベルを取得する。

例えば、不正検知部１０３は、ユーザ特徴情報に基づいて、第１不正検知エンジンの第１ルールに含まれる条件が満たされるか否かを判定する。個々の条件には、この条件が満たされた場合の不正の有無の判定結果が関連付けられているものとする。即ち、個々の条件には、この条件が満たされることは、不正であることを意味するか、それとも正当であることを意味するか、が定義されている。

図３の例であれば、不正検知部１０３は、ユーザ特徴情報に基づいて、第１ルール１－１が満たされるか否かを判定する。例えば、不正検知部１０３は、ユーザ特徴情報に含まれる利用中心地からの距離が５０ｋｍ以上であるか否かを判定する。不正検知部１０３は、この距離が５０ｋｍ以上であれば、不正であると判定する。不正検知部１０３は、この距離が５０ｋｍ未満であれば、不正ではないと判定する。

不正検知部１０３は、ユーザ特徴情報に基づいて、第１ルール１－２が満たされるか否かを判定する。例えば、不正検知部１０３は、ユーザ特徴情報に含まれる時間帯ごとの利用回数が２回未満であるか否かを判定する。不正検知部１０３は、ユーザ特徴情報に含まれるデバイスＩＤが利用履歴情報に含まれているか否かを判定することによって、普段使用しないデバイスであるか否かを判定する。不正検知部１０３は、利用回数が２回未満の時間帯であり、かつ、普段使用しないデバイスであれば、不正であると判定する。不正検知部１０３は、利用回数が２回以上の時間帯である、又は、普段使用するデバイスであれば、正当であると判定する。

不正検知部１０３は、ユーザ特徴情報に基づいて、第１ルール１－３が満たされるか否かを判定する。例えば、不正検知部１０３は、ユーザ特徴情報に含まれる投稿数が５００以上であるか否かを判定する。不正検知部１０３は、ユーザ特徴情報に含まれるフォロワー数が１０００人以上であるか否かを判定する。不正検知部１０３は、ユーザ特徴情報に含まれるＩＰアドレスが利用履歴情報に含まれているか否かを判定することによって、初めてのＩＰアドレスであるか否かを判定する。不正検知部１０３は、投稿数が５００以上であり、フォロワー数が１０００人以上であり、かつ、初めてのＩＰアドレスであれば、不正であると判定する。不正検知部１０３は、投稿数が５００未満である、又は、フォロワー数が１０００人未満である、又は、使用したことのあるＩＰアドレスであれば、正当であると判定する。

不正検知部１０３は、他の第１ルールについても同様にして、ユーザ特徴情報に基づいて、第１ルールが満たされるか否かを判定する。不正検知部１０３は、所定数以上の第１ルールに合致した場合に不正であると判定してもよい。不正検知部１０３は、第１学習モデルからのスコアが閾値以上である、又は、第１ルールにより不正との結果が得られた場合に、ログインしようとしているユーザが不正であると判定する。なお、不正検知部１０３は、第１学習モデルからのスコアが閾値以上であり、かつ、第１ルールにより不正との結果が得られた場合に、ログインしようとしているユーザが不正であると判定してもよい。更に、不正検知部１０３は、第１学習モデルからのスコアと、不正との結果が得られた第１ルールの数と、に基づいて、ログインしようとしているユーザが不正であるか否かを判定してもよい。

［１－３－２．第２サーバで実現される機能］
データ記憶部２００は、記憶部２２を主として実現される。他の各機能は、制御部２１を主として実現される。

［データ記憶部］
データ記憶部２００は、第２サービスにおける不正を検知するために必要なデータを記憶する。例えば、データ記憶部２００は、第２サービスデータベースＤＢ３と、不正情報データベースＤＢ４と、を記憶する。

図７は、第２サービスデータベースＤＢ３の一例を示す図である。第２サービスデータベースＤＢ３は、第２サービスのユーザに関する情報が格納されたデータベースである。例えば、第２サービスデータベースＤＢ３には、ユーザＩＤ、パスワード、ユーザ情報、利用状況情報、及び利用履歴情報が関連付けられて格納される。これらの情報は、第２サービスに関するものである点で第１サービスデータベースＤＢ１と異なるが、個々の情報の詳細は、第１サービスと同様であってよい。

図８は、不正情報データベースＤＢ４の一例を示す図である。不正情報データベースＤＢ４は、第２サービスで実際に発生した不正に関する不正情報が格納されたデータベースである。不正情報は、不正の内容を示す情報である。不正情報は、第２サービスの不正ユーザのユーザ特徴情報を含む。ユーザ特徴情報の意味は、第１サービスと同様である。第１実施形態では、第２サービスのユーザ特徴情報も、ＪＳＯＮ等のドメイン固有言語に関するデータ形式になる。ただし、第２サービスのユーザ特徴情報に含まれるデータ名と、第１サービスのユーザ特徴情報に含まれるデータ名と、は異なってもよい。これらのデータ名は異なるが、データが示すものが同じ又は類似していればよい。

例えば、不正情報データベースＤＢ４には、ユーザ特徴情報及び結果情報を含む不正情報が格納される。結果情報の意味は、第１サービスと同様である。第１実施形態では、不正情報は、第２サービスにおける不正ユーザのユーザ特徴情報を含むので、結果情報は、不正であることを示す。不正情報は、第２サービスにおける正当ユーザのユーザ特徴情報を含んでもよい。正当ユーザの特徴も不正検知で利用可能な情報であり、第２サービスで実際に発生した不正に関する情報の１つである。不正情報が第２サービスにおける正当ユーザのユーザ特徴情報を含む場合、結果情報は、正当であることを示す。

［エンジン取得部］
エンジン取得部２０１は、第１サービスで不正を検知するための第１不正検知エンジンに基づいて、第２サービスで不正を検知するための第２不正検知エンジンを取得する。第２不正検知エンジンは、第１不正検知エンジンの少なくとも一部に基づいて作成される。例えば、第２サービスの管理者が手動で第１不正検知エンジンをカスタマイズすることによって、第２不正検知エンジンが作成されてもよい。この場合、エンジン取得部２０１は、第２サービスの管理者の端末から、第２不正検知エンジンを取得する。

第１実施形態では、第２サービスの管理者が手動で第１不正検知エンジンをカスタマイズするのではなく、エンジン取得部２０１が、第１不正検知エンジンを自動的にカスタマイズすることによって、第２不正検知エンジンを取得する場合を説明する。エンジン取得部２０１は、予め定められた方法に基づいて、第１不正検知エンジンの全部又は一部の内容を変更することによって、第１不正検知エンジンをカスタマイズする。エンジン取得部２０１は、第１不正検知エンジンの一部の内容を削除することによって、第１不正検知エンジンをカスタマイズしてもよい。エンジン取得部２０１は、第１不正検知エンジンに機能を追加することによって、第１不正検知エンジンをカスタマイズしてもよい。エンジン取得部２０１は、これらの変更、削除、及び追加を組み合わせてもよい。

例えば、第１不正検知エンジンでは、所定のドメイン固有言語に関するデータ形式のユーザ特徴情報が利用されるので、このデータ形式のデータが第２サービスに合うようにカスタマイズされる。エンジン取得部２０１は、第１不正検知エンジンで利用されるユーザ特徴情報に含まれるデータ名を、第２サービスで利用されるデータ名に変更する。エンジン取得部２０１は、当該変更されたデータ名を含むユーザ特徴情報であって、ドメイン固有言語に関するデータ形式のユーザ特徴情報が利用される第２不正検知エンジンを取得する。

第１サービスにおけるデータ名と、第２サービスにおけるデータ名と、の関係を示すデータは、データ記憶部２００に予め記憶されているものとする。これらのデータ名は、互いに意味するものが同じ又は類似するものとする。例えば、第１サービスで「ｕｓｅｒｉｄ」のデータ名で定義されるユーザＩＤが、第２サービスで「ｌｏｇｉｎｉｄ」のデータ名で定義されているのであれば、第１サービスの「ｕｓｅｒｉｄ」のデータ名と、第２サービスの「ｌｏｇｉｎｉｄ」のデータ名と、が関連付けられている。エンジン取得部２０１は、第１不正検知エンジンに含まれる「ｕｓｅｒｉｄ」のデータ名の部分を、第２サービスの「ｌｏｇｉｎｉｄ」のデータ名に変更することによって、第１不正検知エンジンをカスタマイズする。

他にも例えば、第１サービスで「ｔｉｍｅ」のデータ名で定義される時間が、第２サービスで「ｄａｔｅ／ｔｉｍｅ」のデータ名で定義されているのであれば、第１サービスの「ｔｉｍｅ」のデータ名と、第２サービスの「ｄａｔｅ／ｔｉｍｅ」のデータ名と、が関連付けられている。エンジン取得部２０１は、第１不正検知エンジンに含まれる「ｔｉｍｅ」のデータ名の部分を、第２サービスの「ｄａｔｅ／ｔｉｍｅ」のデータ名に変更することによって、第１不正検知エンジンをカスタマイズする。その他にもデータ名の変更を必要とするデータがあれば、エンジン取得部２０１は、第２サービスに合うようなデータ名に変更することによって、第１不正検知エンジンをカスタマイズする。

第１実施形態では、第２不正検知エンジンは、第２学習モデルを含まずに、第２ルールのみを含むものとする。エンジン取得部２０１は、第１不正検知エンジンに含まれる第１ルールに基づいて、第２不正検知エンジンに含まれる第２ルールを取得する。例えば、エンジン取得部２０１は、第１ルールに含まれるデータ名を、第２サービスのデータ名に変更することによって、第２ルールを作成する。

図９は、第２不正検知エンジンの取得方法の一例を示す図である。例えば、図３で説明した「ｆｅａｔｕｒｅ１」のデータ名の利用中心地からの距離が、第２サービスで「ｄｉｓｔａｎｃｅ」のデータ名で定義されるのであれば、エンジン取得部２０１は、第１ルールの「ｆｅａｔｕｒｅ１」のデータ名を「ｄｉｓｔａｎｃｅ」に変更することによって、第２ルール２－１を作成する。第２ルール２－１のように、第１ルール１－１の閾値が変更されてもよい。この場合、閾値の変更方法（倍率や差分等）がデータ記憶部２００に予め定義されているものとする。エンジン取得部２０１は、この定義に基づいて、第１ルール１－１の閾値を変更し、第２ルール２－１の閾値として決定する。他の閾値についても、変更の必要があるものは同様にして変更される。

例えば、図３で説明した「ｆｅａｔｕｒｅ２」のデータ名の利用回数及び普段使用するユーザ端末３０のデバイスＩＤが、第２サービスで「ｆｅａｔｕｅＡ」及び「ｆｅａｔｕｅＢ」といった別々のデータ名で定義されるのであれば、エンジン取得部２０１は、第１ルールの「ｆｅａｔｕｒｅ２」のデータ名を、「ｆｅａｔｕｅＡ」及び「ｆｅａｔｕｅＢ」の２つのデータ名に変更することによって、第２ルールを作成する。その他にも、エンジン取得部２０１は、第２サービスに合うようなデータ名に変更することによって、第１ルールをカスタマイズして第２ルールを取得する。

［不正情報取得部］
不正情報取得部２０２は、第２サービスで実際に発生した不正に関する不正情報を取得する。第１実施形態では、不正情報取得部２０２は、第２サービスで実際に発生した複数の不正に対応する複数の不正情報を取得する。個々の不正情報は、不正情報データベースＤＢ４に格納されているので、不正情報取得部２０２は、不正情報データベースＤＢ４に格納された複数の不正情報を取得する。不正情報取得部２０２は、不正情報データベースＤＢ４に格納された全ての不正情報を取得してもよいし、一部の不正情報のみを取得してもよい。

［判定部］
判定部２０３は、不正情報に基づいて、第２サービスにおける不正を第２不正検知エンジンで検知可能か否かを判定する。即ち、判定部２０３は、第２不正検知エンジンの精度を評価する。第２不正検知エンジンの精度が閾値以上であることは、第２サービスにおける不正を第２不正検知エンジンで検知可能であることを意味する。第２不正検知エンジンの精度が閾値未満であることは、第２サービスにおける不正を第２不正検知エンジンで検知可能ではないことを意味する。

第１実施形態では、第２不正検知エンジンには第２ルールが含まれるので、判定部２０３は、不正情報に基づいて、第２サービスにおける不正を第２ルールで検知可能か否かを判定する。例えば、判定部２０３は、複数の不正情報に基づいて、第２不正検知エンジンの正解率を計算する。判定部２０３は、ｍ個の不正情報に基づいて、第２不正エンジンから出力されたｍ個の不正検知の結果を取得する。判定部２０３は、ｍ個の結果のうち、不正との結果が得られた割合を、正解率として計算する。

判定部２０３は、当該計算された正解率に基づいて、第２サービスにおける不正を第２不正検知エンジンで検知可能か否かを判定する。正解率が閾値（例えば、６０％～９０％程度）以上であることは、第２サービスにおける不正を第２不正検知エンジンで検知可能であることを意味する。正解率が閾値未満であることは、第２サービスにおける不正を第２不正検知エンジンで検知可能ではないことを意味する。なお、判定部２０３は、正解率以外の指標を利用して、第２不正検知エンジンで検知可能か否かを判定してもよい。例えば、適合率又は再現率が利用されてもよい。後述の変形例のように、学習モデルを含む第２不正検知エンジンであれば、Ｌｏｇ Ｌｏｓｓ等が利用されてもよい。

［適用部］
適用部２０４は、第２サービスにおける不正を第２不正検知エンジンで検知可能であると判定された場合に、第２サービスに第２不正検知エンジンを適用する。第２サービスに第２不正検知エンジンを適用するとは、データ記憶部２００に第２不正検知エンジンを記録することである。第２不正検知エンジンで不正検知を実行することは、第２サービスに第２不正検知エンジンを適用することに相当する。即ち、第２不正検知エンジンの実運用を開始することは、第２サービスに第２不正検知エンジンを適用することに相当する。第１実施形態では、第２不正検知エンジンには第２ルールが含まれるので、適用部２０４は、第２サービスにおける不正を第２ルールで検知可能であると判定された場合に、第２サービスに第２ルールを適用する。

［１－３－３．ユーザ端末で実現される機能］
データ記憶部３００は、記憶部３２を主として実現される。他の各機能は、制御部３１を主として実現される。データ記憶部３００は、第１サービス及び第２サービスの少なくとも一方を提供するために必要なデータを記憶する。表示制御部３０１は、種々の画面を表示部３５に表示させる。受付部３０２は、操作部３４から種々の操作を受け付ける。

［１－４．第１実施形態で実行される処理］
図１０は、第１実施形態で実行される処理の一例を示すフロー図である。この処理は、制御部１１，２１，３１が記憶部１２，２２，３２に記憶されたプログラムに従って動作することによって実行される。

ユーザ端末３０は、ログイン画面Ｇ１の入力フォームＦ１０，Ｆ１１にユーザＩＤ及びパスワードが入力されてボタンＢ１２が選択されると、第１サーバ１０に、第１サービスへのログインを要求する（Ｓ１００）。第１サーバ１０は、ユーザ端末３０からログインの要求を受信すると、第１サービスデータベースＤＢ１に基づいて、ユーザ特徴情報を取得し（Ｓ１０１）、第１不正検知エンジンを利用して不正検知を実行する（Ｓ１０２）。なお、ユーザＩＤ及びパスワードの組み合わせが第１サービスデータベースＤＢ１に存在しなければ、Ｓ１０１及びＳ１０２の処理は実行されず、第１サービスへのログインも実行されない。

Ｓ１０１では、第１サーバ１０は、第１サービスデータベースＤＢ１のうち、ログインが要求されたユーザＩＤが格納されたレコードを参照する。第１サーバ１０は、このレコードのユーザ情報及び利用状況情報のうちの全部又は一部を、ユーザ特徴情報の静的な情報として取得する。第１サーバ１０は、ユーザ端末３０からのログインの要求に含まれるＩＰアドレス等の情報を、ユーザ特徴情報の動的な情報として取得する。第１サーバ１０は、このレコードの利用履歴情報に基づいて、先述した集計処理等の計算を実行し、ユーザ特徴情報に次々と追加する。

Ｓ１０２では、第１サーバ１０は、Ｓ１０１で取得したユーザ特徴情報に基づいて、第１学習モデルから出力されたスコアを取得する。第１サーバ１０は、スコアが閾値以上の場合に、不正であると判定する。第１サーバ１０は、Ｓ１０１で取得したユーザ特徴情報に基づいて、第１ルールに含まれる個々の条件を満たすか否かを判定する。第１サーバ１０は、閾値以上の第１ルールが満たされた場合に、不正であると判定する。第１サーバ１０は、第１学習モデル及び第１ルールの少なくとも一方の不正検知の結果が不正だった場合に、不正であると判定する。第１サーバ１０は、第１学習モデル及び第１ルールの両方の不正検知の結果が不正ではなかった場合に、正当であると判定する。第１サーバ１０は、これらの判定結果に基づいて、履歴データベースＤＢ２を更新する。

Ｓ１０２において、不正が検知された場合（Ｓ１０２；不正）、第１サーバ１０は、ユーザをログインさせず、ユーザ端末３０に所定のエラーメッセージを表示させる（Ｓ１０３）。Ｓ１０２において、不正が検知されない場合（Ｓ１０２；正当）、第１サーバ１０は、第１サービスにユーザをログインさせる（Ｓ１０４）。以降、ユーザは、第１サービスを利用する。ユーザが第１サービスを利用すると、第１サービスデータベースＤＢ１に格納された利用状況情報及び利用履歴情報が更新される。第１サーバ１０は、確定タイミングが訪れると、不正の有無を確定させる（Ｓ１０５）。Ｓ１０５では、第１サーバ１０は、第１サービスの管理者の端末から、不正の有無の確定結果を取得し、履歴データベースＤＢ２を更新する。

第２サーバ２０は、第１不正検知エンジンに基づいて、第２不正検知エンジンを取得する（Ｓ１０６）。第２不正検知エンジンの取得方法は、先述した通りである。第２サーバ２０は、不正情報データベースＤＢ４を参照して不正情報を取得する（Ｓ１０７）。第２サーバ２０は、Ｓ１０７で取得した不正情報に基づいて、Ｓ１０６で取得した第２不正検知エンジンの正解率を取得する（Ｓ１０８）。

第２サーバ２０は、Ｓ１０８で取得した第２ルールの正解率が閾値以上であるか否かを判定する（Ｓ１０９）。正解率が閾値以上であると判定された場合（Ｓ１０９；Ｙ）、第２サーバ２０は、第２サービスに、第２不正検知エンジンを適用する（Ｓ１１０）。以降、第１サービスにおけるＳ１００～Ｓ１０５と同様の処理により、第２不正検知エンジンを利用して第２サービスの不正が検知される。正解率が閾値未満であると判定された場合（Ｓ１０９；Ｎ）、第２サーバ２０は、第２サービスに、第２不正検知エンジンを適用せずに、本処理は終了する。

第１実施形態の不正検知システムＳによれば、第１不正検知エンジンに基づいて第２不正検知エンジンを取得し、第２サービスにおける不正を第２不正検知エンジンで検知可能であると判定された場合に、第２サービスに第２不正検知エンジンを適用する。これにより、第２不正検知エンジンの作成を簡易化しつつ、第２サービスにおけるセキュリティが高まる。例えば、第１不正検知エンジンを流用して作成された第２不正検知エンジンの精度を検証したうえで、第２サービスに第２不正検知エンジンが適用されるので、第２サービスで実際に発生している不正を検知可能な精度の高い第２不正検知エンジンを第２サービスに適用できる。また、第１サービスに実際に適用されている第１不正検知エンジンを流用することによって、精度の高い第２不正検知エンジンとすることができる。

また、不正検知システムＳは、不正情報に基づいて、第２サービスにおける不正を第２ルールで検知可能であると判定された場合に、第２サービスに第２ルールを適用する。これにより、第２ルールの作成を簡易化しつつ、第２サービスにおけるセキュリティが高まる。例えば、第２サービスの管理者が１から第２ルールを作成するといった手間が発生することを防止できる。

また、不正検知システムＳは、第２不正検知エンジンの正解率に基づいて、第２サービスにおける不正を第２不正検知エンジンで検知可能か否かを判定する。これにより、第２サービスの不正検知の精度が高い第２不正検知エンジンを適用し、第２サービスにおけるセキュリティが高まる。

また、不正検知システムＳは、所定のドメイン固有言語が利用される第１不正検知エンジンに基づいて、ドメイン固有言語が利用される第２不正検知エンジンを取得する。ドメイン固有言語を利用することによって、第１不正検知エンジンを流用しやすくなるので、第２不正検知エンジンを作成しやすくなる。例えば、第１不正検知エンジンに入力されるユーザ特徴情報のデータ形式をある程度維持したまま第２不正検知エンジンを作成できるので、第２不正検知エンジンを作成する手間をより効果的に軽減できる。例えば、ＪＳＯＮのデータ形式のデータ名を変更したり、このデータ名のデータが示す数値の閾値を変更したりするだけで第２不正検知エンジンを作成できる。

［２．第２実施形態］
次に、不正検知システムＳの別実施形態である第２実施形態を説明する。第１実施形態では、第１サービスにおける第１不正検知エンジンを流用して第２不正検知エンジンが取得される場合を説明した。第２サービスに第２不正検知エンジンが適用されると、第２サービスにおける不正を検知できる。第２サービスの不正ユーザは、第１サービスでも不正をすることがある。第２サービスにおける不正検知の結果を第１サービスにフィードバックできれば、第１サービスにおける不正検知の精度が高まると考えられる。

このため、第２実施形態では、第２サービスにおける不正検知の結果を利用して、第１サービスにおける不正検知が行われる場合を説明する。なお、第１実施形態と同様の構成は、説明を省略する。また、第２実施形態における第２不正検知エンジンは、第１実施形態のように取得されなくてもよい。即ち、第２実施形態の不正検知システムＳは、第１実施形態の不正検知システムＳを前提としなくてもよい。第２実施形態の不正検知システムＳは、第１実施形態で説明した機能を省略可能である。第２不正検知エンジンは、第１不正検知エンジンを流用せずに、第２サービスの管理者により作成されてもよい。

［２－１．第２実施形態で実現される機能］
図１１は、第２実施形態で実現される機能の一例を示す機能ブロック図である。

［２－１－１．第１サーバで実現される機能］
データ記憶部１００、ユーザＩＤ取得部１０１、及びユーザ特徴情報取得部１０２は、第１実施形態と同様である。不正検知部１０３は、第１実施形態と共通の機能を有するが、一部の機能が異なる。結果情報取得部１０４は、制御部１１を主として実現される。

［結果情報取得部］
結果情報取得部１０４は、ユーザＩＤに基づいて、不正を検知するための不正検知エンジンが第１サービスとは異なる第２サービスにおけるユーザの不正検知の結果に関する結果情報を取得する。このユーザＩＤは、第１サービスのユーザＩＤであってもよいし、第２サービスのユーザＩＤであってもよい。第１実施形態で説明したように、第２サービスの不正検知は、所定のドメイン固有言語のデータ形式のユーザ特徴情報に基づいて実行されるので、結果情報取得部１０４は、ドメイン固有言語のデータ形式のユーザ特徴情報を利用して実行された、第２サービスにおける不正検知の結果に関する結果情報を取得する。

第２実施形態では、あるユーザの第１サービスのユーザＩＤと、このユーザの第２サービスのユーザＩＤと、の関係を示すデータがデータ記憶部１００に記憶されているものとする。以降、第１サービスのユーザＩＤを第１ユーザＩＤと記載し、第２サービスのユーザＩＤを第２ユーザＩＤと記載する。これらを区別しない時は、単にユーザＩＤと記載する。

結果情報取得部１０４は、ユーザＩＤ取得部１０１により取得された第１ユーザＩＤに関連付けられた第２ユーザＩＤに基づいて、結果情報を取得する。結果情報取得部１０４は、第２サーバ２０に対し、第１ユーザＩＤに関連付けられた第２ユーザＩＤに関連付けられた結果情報を要求する。第２サーバ２０は、この要求を受信すると、後述の履歴データベースＤＢ５を参照し、この第２ユーザＩＤに関連付けられた結果情報を第１サーバ１０に送信する。結果情報取得部１０４は、第２サーバ２０により送信された結果情報を取得する。

なお、第２サーバ２０のデータ記憶部２００に、あるユーザの第１ユーザＩＤと、このユーザの第２ユーザＩＤと、が関連付けられていてもよい。この場合、結果情報取得部１０４は、第２サーバ２０に対し、ユーザＩＤ取得部１０１により取得された第１ユーザＩＤとともに、結果情報を要求する。第２サーバ２０は、この要求を受信すると、この第１ユーザＩＤに関連付けられた第２ユーザＩＤを取得する。第２サーバ２０は、後述の履歴データベースＤＢ５を参照し、この第２ユーザＩＤに関連付けられた結果情報を、第１サーバ１０に送信する。結果情報取得部１０４は、第２サーバ２０により送信された結果情報を取得する。

また、あるユーザの第１ユーザＩＤと、このユーザの第２ユーザＩＤと、が同じであってもよい。即ち、第１サービスと第２サービスで共通のユーザＩＤが利用されてもよい。この場合、結果情報取得部１０４は、第２サーバ２０に対し、ユーザＩＤ取得部１０１により取得されたユーザＩＤとともに、結果情報を要求すればよい。第２サーバ２０は、後述の履歴データベースＤＢ５を参照し、このユーザＩＤに関連付けられた結果情報を第１サーバ１０に送信する。結果情報取得部１０４は、第２サーバ２０により送信された結果情報を取得する。

［不正検知部］
図１２は、第２実施形態における第１サービスの不正検知の一例を示す図である。図１２のように、第２実施形態では、第１サービスにおけるユーザ特徴情報に、第２サービスにおける不正検知の結果を示すデータが追加される。図１２の例では、「ｓｅｒｖｉｃｅ２」のデータ名のデータは、第２サービスの結果情報である。第２実施形態では、ユーザ特徴情報の一部に第２サービスの結果情報が組み込まれる場合を説明するが、この結果情報は、ユーザ特徴情報に組み込まれなくてもよい。第１不正検知エンジンの第１学習モデルは、第２サービスにおける不正検知の結果を特徴量の１つとして不正検知を実行する。第１不正検知エンジンの第１ルールは、第２サービスにおける不正検知の結果が条件の１つになる。

不正検知部１０３は、第１サービスにおけるユーザ特徴情報と、第２サービスにおける結果情報と、に基づいて、第１サービスにおける不正を検知する。例えば、不正検知部１０３は、第１サービスにおけるユーザ特徴情報と、第２サービスにおける第２ルールに基づく結果情報と、に基づいて、第１サービスにおける不正を検知する。不正検知部１０３は、第２サービスにおける結果情報を第１サービスにおけるユーザ特徴情報の一部に組み込み、当該結果情報を含むユーザ特徴情報に基づいて、第１サービスにおける不正を検知する。

例えば、図１２のように、第１ルールの条件の１つとして、第２サービスにおける結果情報が含まれる。例えば、不正検知部１０３は、第２サービスにおける結果情報が不正を示す場合、第１サービスでも不正と判定する。他にも例えば、結果情報がスコアを示す場合、不正検知部１０３は、第１不正検知エンジンの第１学習モデルが出力したスコアと、結果情報が示すスコアと、の合計値が閾値以上であるか否かを判定することによって、第１サービスにおける不正を検知してもよい。更に、第２サービスの結果情報を含む訓練データに基づいて第１学習モデルの学習を行い、不正検知部１０３は、結果情報を含むユーザ特徴情報を第１学習モデルに入力し、第１学習モデルからの出力を取得してもよい。不正検知部１０３が実行する個々の処理は、機械学習を利用した学習モデルによって、自動的に実行されてもよい。

［２－１－２．第２サーバで実現される機能］
不正検知部２０５は、制御部２１を主として実現される。不正検知部２０５は、第２不正検知エンジンに基づいて、第２サービスにおける不正を検知する。不正検知部２０５は、第２サービスにおける不正を検知するという点で第１サーバ１０の不正検知部１０３と異なり、不正検知の方法自体は同様である。このため、不正検知部２０５の不正検知の処理は、不正検知部１０３の不正検知の処理の説明と同様である。

第２サービスでは、第２サービスにおける不正に関する判定条件を含む第２ルールが利用される。不正検知部２０５の判定結果である結果情報は、第２ルールに基づいて判定された、第２サービスにおける不正検知の結果を示す。なお、エンジン取得部２０１、不正情報取得部２０２、判定部２０３、及び適用部２０４は、第１実施形態と同様である。データ記憶部１００は、第１実施形態と似ているが一部の機能が異なる。

図１３は、履歴データベースＤＢ５の一例を示す図である。履歴データベースＤＢ５は、第２サービスにおける不正検知の履歴が格納されたデータベースである。例えば、履歴データベースＤＢ５には、ユーザ特徴情報、結果情報、及びステータス情報が格納される。第２サービスへのログインが発生すると、履歴データベースＤＢ２に新たなレコードが作成され、このログイン時に実行された不正検知に関する情報が格納される。これらの情報が第２サービスに関するものである点で履歴データベースＤＢ２と異なり、個々の情報の詳細は、第１サービスと同様である。ログインからある程度の時間が経過して確定タイミングが訪れると不正の有無が確定する点についても、第１サービスと同様であってよい。

［２－１－３．ユーザ端末で実現される機能］
ユーザ端末３０の機能は、第１実施形態と同様である。

［２－２．第２実施形態で実行される処理］
図１４は、第１実施形態で実行される処理の一例を示すフロー図である。この処理は、制御部１１，２１，３１が記憶部１２，２２，３２に記憶されたプログラムに従って動作することによって実行される。

Ｓ２００～Ｓ２０５の処理は、第１サービスにおける不正検知が第１サーバ１０とユーザ端末３０の間で実行される点と、第２サービスにおける不正検知が第２サーバ２０とユーザ端末３０の間で実行される点と、がＳ１００～Ｓ１０５の処理と異なるが、他の点については、Ｓ１００～Ｓ１０５と同様である。

Ｓ２０６及びＳ２０７の処理は、Ｓ１００及びＳ１０１の処理と同様である。第１サーバ１０は、ユーザ端末３０からログインの要求を受信すると、第２サーバ２０に対し、ログインが要求されたユーザの結果情報を要求する（Ｓ２０８）。第２サーバ２０は、結果情報の要求を受信すると、履歴データベースＤＢ５を参照して結果情報を取得し、第１サーバ１０に対し、結果情報を送信する（Ｓ２０９）。

第１サーバ１０は、結果情報を受信すると、Ｓ２０７で取得したユーザ特徴情報の一部として組み込み、第１不正検知エンジンを利用して不正検知を実行する（Ｓ２１０）。Ｓ２１０の処理は、第２サービスの結果情報が第１サービスの不正検知で考慮される点で第１実施形態とは異なるが、他の点については同様である。続くＳ２１１～Ｓ２１３の処理は、Ｓ１０３～Ｓ１０５の処理と同様である。なお、第１サービスの不正検知は実行されず、第１サービスへのログインも実行されない点は、第１実施形態と同様である。

第２実施形態の不正検知システムＳによれば、第１サービスにおけるユーザ特徴情報と、第２サービスにおける結果情報と、に基づいて、第１サービスにおける不正を検知する。これにより、第２サービスにおける不正検知の結果も総合的に考慮して第１サービスにおける不正検知が実行されるので、第１サービスにおけるセキュリティが高まる。例えば、第１サービスにおける不正の傾向と、第２サービスにおける不正の傾向と、が似ている場合には、第２サービスにおける結果情報は、第１サービスにおける不正検知でも参考になると考えられる。このため、第２サービスにおける結果情報を利用することによって、第１サービスの不正検知の精度が高まり、第１サービスにおけるセキュリティが高まる。

また、不正検知システムＳは、第１サービスにおけるユーザ特徴情報と、第２サービスにおける第２ルールに基づく結果情報と、に基づいて、第１サービスにおける不正を検知する。これにより、第２サービスにおける第２ルールを利用した不正検知の結果も総合的に考慮して第１サービスにおける不正検知が実行されるので、第１サービスにおけるセキュリティが高まる。

また、不正検知システムＳは、ドメイン固有言語のデータ形式のユーザ特徴情報を利用して実行された、第２サービスにおける不正検知の結果に関する結果情報を取得する。第１サービスと第２サービスで同じドメイン固有言語のデータ形式を共有することによって、第１サービスと第２サービスが連携しやすくなる。

［３．変形例］
なお、本開示は、以上に説明した実施形態に限定されるものではない。本開示の趣旨を逸脱しない範囲で、適宜変更可能である。

［３－１．第１実施形態に係る変形例］
まず、第１実施形態に係る変形例を説明する。図１５は、第１実施形態に係る変形例の機能ブロック図である。変更部１０５は、制御部２１を主として実現される。不正検知部２０５は、第２実施形態で説明した通りである。

［変形例１－１］
例えば、第１サービス及び第２サービスは、任意のサービスであってよく、第１実施形態及び第２実施形態の例に限られない。例えば、第１サービスは、第１電子決済サービスであり、第２サービスは、第１電子決済サービスとは異なる第２電子決済サービスであってもよい。以降の変形例では、これらの電子決済サービスにおける不正検知が実行される場合を説明する。なお、第１電子決済サービスを単に第１サービスと記載し、第２電子決済サービスを単に第２サービスと記載する。

第１サービス及び第２サービスでは、任意の電子決済が可能であり、例えば、クレジットカード、デビットカード、電子マネー、ポイント、電子キャッシュ、銀行口座、仮想通貨、ウォレット、又はその他の電子バリューといった決済手段を利用可能である。バーコード又は二次元コードを利用した電子決済、近距離無線通信を利用した電子決済、又は生体認証を利用した電子決済も利用可能である。変形例１－１では、第１サービスでクレジットカードが利用され、第２サービスで電子マネーが利用される場合を例に挙げる。クレジットカートを利用した電子決済自体は、公知の種々の方法を利用可能である。電子マネーを利用した電子決済自体も、公知の種々の方法を利用可能である。

変形例１－１の第１サービスデータベースＤＢ１には、個々の決済に関する情報が格納される。第１サービスデータベースＤＢ１は、決済データベースということもできる。例えば、第１サービスデータベースＤＢ１には、カード情報及び利用履歴情報が格納される。カード情報は、個々のクレジットカードに関する情報である。例えば、カード情報は、カード番号、有効期限、名義人情報、及び利用可能枠を含む。名義人情報は、名義人の氏名だけでなく、電話番号や住所等の情報が格納されてもよい。利用履歴情報は、クレジットカードの利用履歴に関する情報である。例えば、利用履歴情報は、利用日時、利用場所（利用店舗）、及び利用額を含む。カード番号により、個々のクレジットカードを識別可能なので、変形例１－１の第１サービスデータベースＤＢ１には、ユーザＩＤが含まれていなくてもよい。利用場所は、ユーザ端末３０のＧＰＳ情報を利用して取得されてもよいし、電子決済が実行された店舗の位置であってもよい。

変形例１－１の履歴データベースＤＢ２は、第１実施形態と同様であるが、ユーザ特徴情報は、ＳＮＳに関する情報ではなく、クレジットカードに関する情報を含む点で異なる。例えば、ユーザ特徴情報は、クレジットカードの利用場所、利用日時、利用額、利用中心地からの距離、普段利用する時間との違い、平均利用額との違い、キャッシングにおける借り入れ額、ユーザの年収といった情報が含まれる。結果情報及びステータス情報は、第１実施形態と同様である。

変形例１－１の第２サービスデータベースＤＢ３には、第１サービスデータベースＤＢ１と同様、個々の決済に関する情報が格納される。例えば、第１サービスデータベースＤＢ１には、電子マネー情報及び利用履歴情報が格納される。電子マネー情報は、個々の電子マネーに関する情報である。例えば、電子マネー情報は、電子マネーＩＤ、残高、及び名義人情報を含む。利用履歴情報は、電子マネーの利用履歴に関する情報である。例えば、利用履歴情報は、利用日時、利用場所（利用店舗）、及び利用額を含む。電子マネーＩＤにより、個々の電子マネーを識別可能なので、変形例１－１の第２サービスデータベースＤＢ３には、ユーザＩＤが含まれていなくてもよい。

変形例１－１の不正情報データベースＤＢ４は、第１実施形態と同様であるが、ユーザ特徴情報は、ＳＮＳに関する情報ではなく、電子マネーに関する情報を含む点で異なる。例えば、ユーザ特徴情報は、電子マネーの利用場所、利用日時、利用額、利用中心地からの距離、普段利用する時間との違い、平均利用額との違い、キャッシングにおける借り入れ額、ユーザの年収といった情報が含まれる。結果情報は、第１実施形態と同様である。履歴データベースＤＢ５も、電子マネーに関する情報を含む点で、第２実施形態と異なるが、他の点は同様である。

変形例１－１における不正検知の流れ自体は、図３を参照して説明した第１実施形態の流れと同様である。ただし、図３におけるＳ１のログインは、クレジットカードによる決済の要求になる。ユーザがクレジットカードを利用して決済を要求すると（Ｓ１）、第１サーバ１０は、ユーザ特徴情報を取得する（Ｓ２）。例えば、第１サーバ１０は、決済が要求されたクレジットカード番号、名義人情報、利用中心地からの距離、普段利用する時間との違い、平均利用額との違いといった種々の情報を取得し、ＪＳＯＮ形式のユーザ特徴情報に次々と格納する。

第１サーバ１０は、ユーザ特徴情報に基づいて、第１学習モデルからの出力を取得する（Ｓ３）。第１学習モデルは、クレジットカードの利用に関するユーザ特徴情報と、クレジットカードを利用した不正の有無の情報と、を含む訓練データが学習されているものとする。第１学習モデルは、ユーザ特徴情報が入力されると、必要に応じて畳み込みを行い、不正の疑いを示すスコアを出力する。なお、クレジットカードの不正とは、不正ユーザによる他人のクレジットカードの利用である。ユーザ端末３０に表示させたバーコード又は二次元コードを利用した電子決済であれば、他人のユーザＩＤ及びパスワードによるなりすましによってログインし、バーコード又は二次元コードを利用することが不正に相当する。

第１サーバ１０は、ユーザ特徴情報に基づいて、第１ルールの判定結果を取得する（Ｓ４）。第１ルールは、クレジットカードの利用に関するユーザ特徴情報の条件が含まれる。例えば、第１ルールは、第１実施形態と同様の利用中心地からの距離、普段利用する時間との違い、普段利用するデバイスとの違い以外にも、平均利用額との違い等のルールであってもよい。他にも例えば、第１ルールは、特定の名義人であれば正当と判定されるようなルールであってもよい。

第１サーバ１０は、第１学習モデルからの出力と、第１ルールの判定結果と、を履歴データベースＤＢ２に格納する（Ｓ５）。第１サーバ１０は、第１学習モデルから不正と判定された場合、又は、第１ルールで不正と判定された場合には、決済を許可しない。第１サーバ１０は、第１学習モデルから不正と判定されず、かつ、第１ルールで不正と判定されない場合には、決済を実行する。決済から一定程度の期間が経過して確定タイミングが訪れると（Ｓ６）、第１サービスの管理者は、決済が不正であるか否かを確定し（Ｓ７）、履歴データベースＤＢ２が更新される。

変形例１－１でも、エンジン取得部２０１は、クレジットカードに関する不正を検知するための第１不正検知エンジンに基づいて、電子マネーに関する不正を検知するための第２不正検知エンジンを取得する。不正情報取得部２０２は、実際に電子マネーを利用して発生した不正に関する不正情報を取得する。判定部２０３は、電子マネーに関する不正を、第２不正検知エンジンで検知可能か否かを判定する。適用部２０４は、電子マネーに関する不正を第２不正検知エンジンで検知可能であると判定された場合に、第２サービスに第２不正検知エンジンを適用する。電子マネーの不正検知でも、クレジットカードの不正検知で利用される利用中心地からの距離、普段利用する時間との違い、普段利用するデバイスとの違いといったルール等を流用可能なことがあるので、その適正が検証される。

変形例１－１によれば、第２不正検知エンジンの作成を簡易化しつつ、第２電子決済サービスにおけるセキュリティが高まる。

［変形例１－２］
例えば、第１実施形態で説明したように、第１不正検知エンジンでは、第１サービスにおける不正に関する第１スコアを出力する第１学習モデルが利用される。この場合、第１不正検知エンジンに含まれる第１ルールは、第１スコアに関する条件を含んでもよい。例えば、不正と判定されることの条件として、第１スコアが閾値以上であることが設定されてもよい。逆に、正当と判定されることの条件として、第１スコアが閾値未満であることが設定されてもよい。

また、第２不正検知エンジンでは、第２サービスにおける不正に関する第２スコアを出力する第２学習モデルが利用される。この場合、第２不正検知エンジンに含まれる第２ルールは、第２スコアに関する条件を含んでもよい。例えば、不正と判定されることの条件として、第２スコアが閾値以上であることが設定されてもよい。逆に、正当と判定されることの条件として、第２スコアが閾値未満であることが設定されてもよい。第２ルールの閾値は、第１ルールの閾値と同じであってもよいし異なってもよい。第２スコアを示すデータ名や閾値は、第１実施形態と同様に、カスタマイズが行われてもよい。第２学習モデルは、後述の変形例１－３のように第１学習モデルを流用して作成されてもよいし、特に第１学習モデルを流用せずに作成されてもよい。

変形例１－２によれば、第２不正検知エンジンに含まれる第２ルールには、第２サービスにおける不正に関する第２スコアを出力する第２学習モデルが利用される。これにより、第２学習モデルによる不正検知の結果も総合的に考慮して第２サービスの不正検知を実行し、第２サービスにおけるセキュリティが高まる。

［変形例１－３］
例えば、第２不正検知エンジンでは、第１学習モデルに基づく第２学習モデルが利用されてもよい。エンジン取得部２０１は、第１学習モデルのパラメータに基づくパラメータを含む第２学習モデルを取得する。第２学習モデルは、第１学習モデルと全く同じコピーの学習モデルであってもよいし、第１学習モデルの一部が第２サービスに合うように変更されてもよい。

エンジン取得部２０１は、第１学習モデルの一部を変更又は削除することによって第２学習モデルを取得してもよいし、第１学習モデルに機能を追加することによって第２学習モデルを取得してもよい。例えば、第１学習モデルがニューラルネットワークである場合、エンジン取得部２０１は、第１学習モデルの入力層を、第２サービスのユーザ特徴情報に合うように変更した入力層に置き換えることによって、第２学習モデルを取得してもよい。

例えば、第１サービスのユーザ特徴情報のうち、ｎ（ｎは自然数）個の項目が第１学習モデルに入力されるものとする。第２サービスのユーザ特徴情報のうち、ｋ（ｋはｎ未満の自然数）個の項目が第２学習モデルに入力されるものとする。ｋ個の項目が示す内容は、ｎ個のうちのｋ個の項目が示す内容と同じ又は似ているものとする。例えば、ｋ個の項目として、第２サービスで電子マネーが利用された場合の利用中心地からの距離、利用額、利用時間といった内容が含まれる場合、ｎ個の項目として、第１サービスでクレジットカードが利用された場合の利用中心地からの距離、利用額、利用時間といった内容が含まれるものとする。エンジン取得部２０１は、ｎ個の項目が入力される第１学習モデルの入力層を、ｋ個の項目のみになるように変更し、第２学習モデルを取得する。なお、ｎ個の項目のうち足りない項目（ｎ―ｋ個の項目）は、欠損値として扱われてもよい。

例えば、エンジン取得部２０１は、第１学習モデルの出力層を、第２サービスの不正検知で得たい結果が得られるように変更した出力層に置き換えることによって、第２学習モデルを取得してもよい。例えば、第１学習モデルがスコアを出力するものとする。第２サービスでは、スコアではなく、不正であるか否かのラベルを得たいものとする。この場合、エンジン取得部２０１は、スコアを出力する第１学習モデルの出力層を、ラベルを出力する出力層に置き換えるように変更し、第２学習モデルを取得する。その他にも、エンジン取得部２０１は、第１学習モデルの中間層の一部を変更又は削除することによって第２学習モデルを取得してもよい。

判定部２０３は、不正情報に基づいて、第２サービスにおける不正を第２学習モデルで検知可能か否かを判定する。この判定方法は、第１実施形態と同様に、正解率が利用されるようにすればよい。適用部２０４は、第２サービスにおける不正を第２学習モデルで検知可能であると判定された場合に、第２サービスに第２学習モデルを適用する。第２サービスに適用されるのが第２ルールではなく第２学習モデルという点で第１実施形態と異なるだけであり、適用部２０４の処理自体は、第１実施形態で説明した通りである。

変形例１－３によれば、判定部２０３は、不正情報に基づいて、第２サービスにおける不正を、第１学習モデルに基づく第２学習モデルで検知可能であると判定された場合に、第２サービスに第２学習モデルを適用する。これにより、第２学習モデルを作成する手間を省きつつ、セキュリティが高まる。

［変形例１－４］
例えば、不正検知システムＳは、結果情報取得部１０４及び変更部１０５を含んでもよい。結果情報取得部１０４は、第２サービスに第２不正検知エンジンが適用された場合に、第２サービスにおける不正検知の結果に関する結果情報を取得する。結果情報取得部１０４は、第２実施形態で説明した通りである。

変更部１０５は、結果情報に基づいて、第１不正検知エンジンを変更するための処理を実行する。この処理は、第２実施形態で説明したように、第２サービスの結果情報を、第１ルールの１つとして組み込む処理であってもよいし、他の処理であってもよい。他の処理としては、第１サービスの管理者に、第２サービスから取得された結果情報を通知し、第１不正検知エンジンの変更を促す処理であってもよい。他にも例えば、第２サービスの結果情報を、第１学習モデルに入力される特徴量の１つにする処理であってもよい。例えば、変更部１０５は、第１サービスの不正検知で結果情報を利用するように、第１不正検知エンジンを変更してもよい。

変形例１－４によれば、第２サービスに第２不正検知エンジンが適用された場合に、第２サービスにおける不正検知の結果に関する結果情報に基づいて、第１不正検知エンジンを変更するための処理を実行する。これにより、第２サービスにおける不正検知の結果を第１サービスの不正検知にも利用し、第１サービスにおけるセキュリティが高まる。

［変形例１－５］
例えば、第１実施形態で説明したように、第１サービスでは、第１サービスの第１ユーザが第１サービスを利用する場合に、第１不正検知エンジンに基づいて、当該第１ユーザの不正が検知される。第１サービスでは、第１ユーザが第１サービスを利用した後に、当該第１ユーザの不正の有無が確定する。

第２サービスでは、第２サービスの第２ユーザが第２サービスを利用する場合に、第２不正検知エンジンに基づいて、当該第２ユーザの不正が検知されてもよい。第２サービスでは、第２ユーザが第２サービスを利用した後に、当該第２ユーザの不正の有無が確定してもよい。第２サービスは、第２サービスが利用されてから不正の有無が確定するまでの期間の長さが第１サービスよりも短いサービスであってもよい。即ち、第２サービスの利用から不正の確定タイミングまでの長さは、第１サービスの利用から不正の確定タイミングまでの長さよりも短い。

変形例１－５によれば、第２サービスは、第２サービスが利用されてから不正の有無が確定するまでの期間の長さが第１サービスよりも短いサービスである。これにより、第２サービスにおける最新の不正の傾向を第１サービスにフィードバックできる。例えば、第１サービスで不正が確定するまでの期間を２月程度とし、第２サービスで不正が確定するまでの期間を２週間程度とする。この場合、不正の傾向が変化した時に、第１サービスでこの変化を把握するまでに２月程度かかることが考えられるが、より早く不正の傾向の変化を把握できる第２サービスの不正検知の結果を第１サービスにフィードバックすることにより、第１サービスにおける不正の変化に対応しやすくなる。

［変形例１－６］
例えば、第１不正検知エンジンでは、第３サービスにおける不正検知の結果が利用されてもよい。第３サービスは、第１サービス及び第２サービスとは異なるサービスである。変形例１－６では、第３サービスが第３電子決済サービスである場合を説明するが、第３サービスは、他の任意のサービスであってよく、第３電子決済サービスに限られない。第３電子決済サービスで利用可能な決済手段は、任意の決済手段であってよく、変形例１－６では、ポイントである場合を説明する。ポイントを利用した電子決済自体は、公知の方法を利用可能である。

例えば、第１不正検知エンジンの第１学習モデルは、第３サービスにおける不正検知の結果を、特徴量の１つとして利用する。第１不正検知エンジンの第１ルールは、第３サービスにおける不正検知の結果が条件の１つとして利用する。エンジン取得部２０１は、第１不正検知エンジンに基づいて、第３サービスにおける不正検知の結果が利用される第２不正検知エンジンを取得する。第２不正検知エンジンの第２学習モデルは、第３サービスにおける不正検知の結果を、特徴量の１つとして利用する。第２不正検知エンジンの第２ルールは、第３サービスにおける不正検知の結果が条件の１つとして利用する。変形例１―６でも、エンジン取得部２０１は、第３サービスにおける不正検知の結果を示すデータ名や閾値を、必要に応じて変更することによって、第２不正検知エンジンを取得してもよい。

変形例１－６によれば、第１不正検知エンジンに基づいて、第３サービスにおける不正検知の結果が利用される第２不正検知エンジンを取得する。これにより、第３サービスにおける不正検知の結果を第２サービスに利用できるので、種々のサービスにおける不正検知の結果を総合的に考慮し、第２サービスのセキュリティが高まる。

［変形例１－７］
例えば、複数の第１サービスが存在する場合に、エンジン取得部２０１は、複数の第１サービスに対応する複数の第１不正検知エンジンに基づいて、第２不正検知エンジンを取得してもよい。例えば、ある第１サービスは、あるカード会社が提供する電子決済サービスである。他の第１サービスは、他のカード会社が提供する電子決済サービスである。個々の第１不正検知エンジンの流用方法は、第１実施形態で説明した通りである。エンジン取得部２０１は、複数の第１不正検知エンジンのうちの全部を流用する必要はなく、その一部のみを流用してもよい。エンジン取得部２０１は、複数の不正検知エンジンの各々のデータ名や閾値を変更することによって、第２不正検知エンジンを取得する。

変形例１－７によれば、複数の第１サービスに対応する複数の第１不正検知エンジンに基づいて、第２不正検知エンジンを取得する。これにより、複数の第１サービスを総合的に考慮して第２不正検知エンジンを取得し、第２サービスのセキュリティが高まる。

［変形例１－８］
エンジン取得部２０１は、複数の第１サービスのうち、第２サービスに関連付けられた第１サービスの第１不正検知エンジンに基づいて、第２不正検知エンジンを取得してもよい。第２サービスに関連付けられた第１サービスは、第２不正検知エンジンの流用元となる第１不正検知エンジンが適用されている第１サービスである。例えば、複数の第１サービスとして、クレジットカードの電子決済サービス、ポイントの電子決済サービス、電子決済サービス、旅行予約サービスが存在したとする。この中で、第２サービスである電子マネーの電子決済サービスの不正検知に有効な第１サービスが、クレジットカードの電子決済サービスと、ポイントの電子決済サービスと、の２つだったとすると、これら２つの第１サービスが第２サービスに関連付けられている。これらの関連付けは、データ記憶部２００に予め記憶されているものとする。エンジン取得部２０１は、第２サービスに関連付けられていない第１サービスの第１不正検知エンジンは流用せずに、第２サービスに関連付けられた第１サービスの第１不正検知エンジンに基づいて、第２不正検知エンジンを取得する。

変形例１－８によれば、複数の第１サービスのうち、第２サービスに関連付けられた第１サービスの第１不正検知エンジンに基づいて、第２不正検知エンジンを取得する。これにより、第２サービスと関連性の高い第１サービスの第１不正検知エンジンを流用できるので、第２サービスのセキュリティが高まる。

［変形例１－９］
例えば、第１実施形態と第２実施形態を組み合わせて、第１不正検知エンジンでは、結果情報が利用されてもよい。結果情報の利用方法自体は、第２実施形態で説明した通りである。変形例１－９では、第２実施形態で説明した各機能が実現される。

変形例１－９によれば、第１不正検知エンジンで結果情報が利用される。これにより、第１サービスにおけるセキュリティが高まる。

［３－２．第２実施形態に係る変形例］
次に、第２実施形態に係る変形例を説明する。図１６は、第２実施形態に係る変形例の機能ブロック図である。確定情報取得部１０６及び変更判定部１０７は、制御部１１を主として実現される。

［変形例２－１］
例えば、第２実施形態の不正検知システムＳも、変形例１－１と同様、電子決済サービスに適用してもよい。第１サーバ１０は、第２サービスにおける電子マネーの不正に関する結果情報を、第１サービスにおけるクレジットカードの不正検知に利用する。電子決済サービスに適用した場合の不正検知の方法は、変形例１－１で説明した通りである。以降の変形例も、電子決済サービスへの適用例を説明する。

変形例２－１によれば、電子決済サービスにおけるセキュリティが高まる。

［変形例２－２］
例えば、第２実施形態で説明したように、第２サービスでは、複数の第２ルールが利用されてもよい。この場合、結果情報は、複数の第２ルールの各々に基づいて判定された、第２サービスにおける不正検知の結果を示す。即ち、結果情報は、複数の第２ルールが総合的に利用された不正検知の結果を示す。結果情報は、個々の第２ルールごとに不正の有無の判定結果が示されていてもよいし、不正と判定された第２ルールが１つでも存在するか否かが示されてもよい。

不正検知部１０３は、第１サービスにおけるユーザ特徴情報と、第２サービスにおける複数の第２ルールに基づく結果情報と、に基づいて、第１サービスにおける不正を検知する。例えば、不正検知部１０３は、第２サービスにおける複数の結果情報をユーザ特徴情報に組み込み、第１サービスにおける不正を検知する。複数の結果情報が特徴量の１つとして考慮される点で第２実施形態とは異なるが、第１サービスにおける不正の検知自体は、第２実施形態と同様である。

変形例２－２によれば、第１サービスにおけるユーザ特徴情報と、第２サービスにおける複数の第２ルールに基づく結果情報と、に基づいて、第１サービスにおける不正を検知する。複数の第２ルールが総合的に考慮されることによって、第１サービスにおけるセキュリティが高まる。

［変形例２－３］
例えば、第２サービスでは、第２サービスにおける不正に関する第２スコアを出力する第２学習モデルが利用されてもよい。第２学習モデルは、変形例１－３のようにして第１学習モデルが流用されることによって作成されてもよいし、特に第１学習モデルが流用されることなく作成されてもよい。この場合、結果情報は、第２学習モデルから出力された第２スコアに関する情報であってもよい。結果情報は、第２学習モデルが出力したスコアを示してもよいし、スコアが閾値以上であるか否かを示す情報（即ち、不正の有無を示す情報）であってもよい。

不正検知部１０３は、第１サービスにおけるユーザ特徴情報と、第２サービスにおける第２スコアに基づく結果情報と、に基づいて、第１サービスにおける不正を検知する。第２スコアが特徴量の１つとして考慮される点で第２実施形態とは異なるが、第１サービスにおける不正の検知自体は、第２実施形態と同様である。第２実施形態で説明した第２ルールに基づく結果情報と同様に、第２スコアに基づく結果情報がユーザ特徴情報に組み込まれてもよいし、ユーザ特徴情報とは別に結果情報が利用されてもよい。例えば、第１ルールの１つとして、第２スコアが閾値以上であれば不正である、といったルールが存在してもよいし、第１学習モデルに入力される特徴量の１つとして利用されてもよい。

変形例２－３によれば、第１サービスにおけるユーザ特徴情報と、第２サービスにおける第２スコアに基づく結果情報と、に基づいて、第１サービスにおける不正を検知する。これにより、第２サービスにおける不正検知の結果を第１サービスにも利用することによって、第１サービスにおけるセキュリティが高まる。

［変形例２－４］
例えば、第２サービスでは、複数の第２学習モデルが利用されてもよい。この場合、結果情報は、複数の第２学習モデルの各々から出力された第２スコアに関する情報である。即ち、結果情報は、複数の第２学習モデルが総合的に利用された不正検知の結果を示す。
結果情報は、個々の第２学習モデルごとの第２スコアが示されていてもよいし、第２スコアが閾値以上の第２学習モデルが１つでも存在するか否かが示されてもよい。

不正検知部１０３は、第１サービスにおけるユーザ特徴情報と、第２サービスにおける複数の第２スコアに基づく結果情報と、に基づいて、第１サービスにおける不正を検知する。複数の第２スコアが考慮される点で第２実施形態とは異なるが、第１サービスにおける不正の検知自体は、第２実施形態と同様である。

変形例２－４によれば、第１サービスにおけるユーザ特徴情報と、第２サービスにおける複数の第２スコアに基づく結果情報と、に基づいて、第１サービスにおける不正を検知する。これにより、複数の第２学習モデルが総合的に考慮されることによって、第１サービスにおけるセキュリティが高まる。

［変形例２－５］
例えば、複数の第２サービスが存在する場合、結果情報取得部１０４は、複数の第２サービスに対応する複数の結果情報を取得してもよい。例えば、ある第２サービスは、ある会社が提供する電子マネーの電子決済サービスである。他の第２サービスは、他の会社が提供する電子マネーの電子決済サービスである。複数の第２サービスが存在する点で第２実施形態とは異なるが、個々の結果情報自体は、第２実施形態と同様である。個々の第２サービスの第２サーバ２０では、第１実施形態及び第２実施形態で説明した機能が実現される。

不正検知部１０３は、第１サービスにおけるユーザ特徴情報と、複数の第２サービスに対応する複数の結果情報と、に基づいて、第１サービスにおける不正を検知する。複数の第２サービスの各々の結果情報が考慮される点で第２実施形態とは異なるが、第１サービスにおける不正の検知自体は、第２実施形態と同様である。不正検知部１０３は、複数の結果情報をユーザ特徴情報に組み込み、第１不正検知エンジンを利用して不正検知を実行する。例えば、不正検知部１０３は、結果情報が不正を示す第２サービスが１つでも存在すれば、第１サービスでも不正と判定してもよい。不正検知部１０３は、結果情報が不正を示す第２サービスの数が閾値以上であれば、第１サービスで不正と判定してもよい。更に、不正検知部１０３は、結果情報が不正を示す第２サービスの数を特徴量の１つとして、第１学習モデルに入力して第１学習モデルからの出力を取得してもよい。この場合、第２サービスの数と不正の有無との関係が第１学習モデルに学習済みであるものとする。

変形例２－５によれば、第１サービスにおけるユーザ特徴情報と、複数の第２サービスに対応する複数の結果情報と、に基づいて、第１サービスにおける不正を検知する。これにより、複数の第２サービスにおける不正検知の結果を総合的に考慮して、第１サービスにおけるセキュリティが高まる。

［変形例２－６］
例えば、結果情報取得部１０４は、複数の第２サービスのうち、第１サービスに関連付けられた第２サービスに対応する結果情報を取得する。第１サービスに関連付けられた第２サービスは、不正検知の結果を参考にする第２サービスである。例えば、複数の第２サービスとして、電子マネーの電子決済サービス、ポイントの電子決済サービス、電子決済サービス、旅行予約サービスが存在したとする。この中で、第１サービスであるクレジットカードの電子決済サービスの不正検知に有効な第２サービスが、電子マネーの電子決済サービスと、ポイントの電子決済サービスと、の２つだったとすると、これら２つの第２サービスが第１サービスに関連付けられている。これらの関連付けは、データ記憶部１００に予め記憶されているものとする。結果情報取得部１０４は、第１サービスに関連付けられていない第２サービスに対応する結果情報は取得しない。第１サービスに関連付けられた第２サービスの結果情報が取得される点で第２実施形態とは異なるが、個々の結果情報自体は、第２実施形態と同様である。

不正検知部１０３は、第１サービスにおけるユーザ特徴情報と、第１サービスに関連付けられた第２サービスに対応する結果情報と、に基づいて、第１サービスにおける不正を検知する。第１サービスに関連付けられた第２サービスの各々の結果情報が考慮される点で第２実施形態とは異なるが、第１サービスにおける不正の検知自体は、第２実施形態と同様である。不正検知部１０３は、第１サービスに関連付けられていない第２サービスに対応する結果情報は、第１サービスの不正検知で利用しない。

変形例２－６によれば、第１サービスにおけるユーザ特徴情報と、第１サービスに関連付けられた第２サービスに対応する結果情報と、に基づいて、第１サービスにおける不正を検知する。これにより、第１サービスと関連性の高い第２サービスに対応する結果情報を利用して不正検知を実行できるので、第１サービスのセキュリティが高まる。

［変形例２－７］
例えば、変形例１－５と同様に、第２サービスは、第２サービスが利用されてから不正の有無が確定するまでの期間の長さが第１サービスよりも短いサービスであってもよい。

変形例２－７によれば、第２サービスは、第２サービスが利用されてから不正の有無が確定するまでの期間の長さが第１サービスよりも短いサービスである。これにより、第２サービスにおける最新の不正の傾向を第１サービスにフィードバックできる。例えば、変形例１－５と同様の理由で、第１サービスにおける不正の変化に対応しやすくなる。

［変形例２－８］
例えば、不正検知システムＳは、変更部１０５、確定情報取得部１０６、及び変更判定部１０７を含んでもよい。確定情報取得部１０６は、第１サービスにおける不正の確定結果に関する確定情報を取得する。履歴データベースＤＢ２に格納されたユーザ特徴情報、結果情報、及びステータス情報のデータセットは、確定情報の一例である。確定情報取得部１０６は、履歴データベースＤＢ２を参照し、確定情報を取得する。確定情報取得部１０６は、履歴データベースＤＢ２に格納された全部又は一部の確定情報を取得する。

変更判定部１０７は、第１サービスにおける確定情報と、第２サービスにおける結果情報と、に基づいて、第１サービスで不正を検知するための第１不正検知エンジンを変更するか否かを判定する。例えば、変更判定部１０７は、第１サービスにおける確定情報で不正が確定したユーザが、第２サービスでも不正と判定されているか否かを判定する。変更判定部１０７は、第１サービスにおける確定情報で不正が確定したユーザが、第２サービスでも不正と判定されていると判定された場合に、第１不正検知エンジンを変更すると判定する。この場合、第１サービスの不正の傾向と、第２サービスの不正の傾向と、が似てきたので、第２サービスの結果情報を第１不正検知エンジンで利用すると判定される。

なお、変更判定部１０７は、所定数の確定情報のうち、第２サービスでも不正と判定された割合を計算してもよい。変更判定部１０７は、この割合が閾値以上である場合に、第１不正検知エンジンを変更すると判定してもよい。変更部１０５は、第１不正検知エンジンを変更すると判定された場合に、第２不正検知エンジンに基づいて、第１不正検知エンジンを変更するための処理を実行する。この処理は、変形例１－４で説明した通りである。変更部１０５は、第１不正検知エンジンを変更すると判定されない場合には、この処理は実行しない。

変形例２－８によれば、第１サービスにおける確定情報と、第２サービスにおける結果情報と、に基づいて、第１不正検知エンジンを変更すると判定された場合に、第２不正検知エンジンに基づいて、第１不正検知エンジンを変更するための処理を実行する。これにより、第２サービスにおける不正検知の結果を利用すると有効な場合に第１サービスの不正検知にも利用し、第１サービスにおけるセキュリティが高まる。

［変形例２－９］
例えば、結果情報取得部１０４は、現時点から所定期間内における不正検知の結果に関する結果情報を取得してもよい。この期間は、任意の長さであってよく、例えば、数週間程度であってもよいし、数ヶ月程度であってもよい。結果情報取得部１０４は、所定期間よりも前に実行された不正検知の結果に関する結果情報は取得しない。履歴データベースＤＢ５には、第２サービスにおける不正検知が実行された日時が格納されているものとする。この日時が所定期間内の結果情報だけが取得される。

不正検知部１０３は、第１サービスにおけるユーザ特徴情報と、所定期間内における第２サービスにおける結果情報と、に基づいて、ユーザの不正を検知する。所定期間外の第２サービスにおける結果情報が不正検知で利用されない点で第２実施形態と異なり、他の点については第２実施形態と同様である。

変形例２－９によれば、不正検知部１０３は、第１サービスにおけるユーザ特徴情報と、所定期間内における第２サービスにおける結果情報と、に基づいて、ユーザの不正を検知する。これにより、比較的新しい不正検知の結果をフィードバックし、最新の不正の傾向に対応することができるので、第１サービスにおけるセキュリティが高まる。

［変形例２－１０］
例えば、第１実施形態及び第２実施形態を組み合わせて、結果情報取得部１０４は、適用部２０４により適用された第２不正検知エンジンに基づく不正検知の結果に関する結果情報を取得してもよい。

変形例２－１０によれば、第２不正検知エンジンに基づく不正検知の結果に関する結果情報を取得する。これにより、第２不正検知エンジンの作成を簡易化しつつ、第１サービスにおけるセキュリティが高まる。

［３－３．その他の変形例］
例えば、上記説明した変形例を組み合わせてもよい。

例えば、ドメイン固有言語は、ＪＳＯＮ以外の任意の言語を利用可能である。ユーザ特徴情報は、マークアップ言語を利用して取得されてもよい。ユーザ特徴情報のデータ形式は、他の種々の形式であってよい。例えば、不正検知システムＳは、電子商取引サービス、電子チケットサービス、金融サービス、又は通信サービスといったサービスにおける不正検知にも適用可能である。例えば、第１実施形態のようにして、ある会社が提供する第１電子商取引サービスにおける第１不正検知エンジンを、他の会社が提供する第２電子商取引サービスにおける第２不正検知エンジンに流用してもよい。第２実施形態のようにして、他の会社が提供する第２電子商取引サービスにおける第２不正検知エンジンの不正検知の結果を、ある会社が提供する第１電子商取引サービスにおける第１不正検知エンジンの不正検知で利用してもよい。

また例えば、第１サーバ１０で実現されるものとして説明した機能は、他のコンピュータで実現されてもよいし、複数のコンピュータで分担されてもよい。第２サーバ２０で実現されるものとして説明した機能は、他のコンピュータで実現されてもよいし、複数のコンピュータで分担されてもよい。例えば、データ記憶部１００，２００に記憶されるものとしたデータは、データベースサーバに記憶されていてもよい。

Claims (15)

1. 第１サービスで不正を検知するための第１不正検知エンジンに基づいて、第２サービスで不正を検知するための第２不正検知エンジンを取得するエンジン取得手段と、
   前記第２サービスで実際に発生した不正に関する不正情報を取得する不正情報取得手段と、
   前記不正情報に基づいて、前記第２サービスにおける不正を前記第２不正検知エンジンで検知可能か否かを判定する判定手段と、
   前記第２サービスにおける不正を前記第２不正検知エンジンで検知可能であると判定された場合に、前記第２サービスに前記第２不正検知エンジンを適用する適用手段と、
   を含む不正検知システム。
2. 前記第１不正検知エンジンでは、前記第１サービスにおける不正に関する判定条件を含む第１ルールが利用され、
   前記第２不正検知エンジンでは、前記第１ルールに基づく第２ルールが利用され、
   前記判定手段は、前記不正情報に基づいて、前記第２サービスにおける不正を前記第２ルールで検知可能か否かを判定し、
   前記適用手段は、前記第２サービスにおける不正を前記第２ルールで検知可能であると判定された場合に、前記第２サービスに前記第２ルールを適用する、
   請求項１に記載の不正検知システム。
3. 前記第１不正検知エンジンでは、前記第１サービスにおける不正に関する第１スコアを出力する第１学習モデルが利用され、
   前記第１ルールは、前記第１スコアに関する条件を含み、
   前記第２不正検知エンジンでは、前記第２サービスにおける不正に関する第２スコアを出力する第２学習モデルが利用され、
   前記第２ルールは、前記第２スコアに関する条件を含む、
   請求項２に記載の不正検知システム。
4. 前記第１不正検知エンジンでは、前記第１サービスにおける不正に関する第１スコアを出力する第１学習モデルが利用され、
   前記第２不正検知エンジンでは、前記第１学習モデルに基づく第２学習モデルが利用され、
   前記判定手段は、前記不正情報に基づいて、前記第２サービスにおける不正を前記第２学習モデルで検知可能か否かを判定し、
   前記適用手段は、前記第２サービスにおける不正を前記第２学習モデルで検知可能であると判定された場合に、前記第２サービスに前記第２学習モデルを適用する、
   請求項１～３の何れかに記載の不正検知システム。
5. 前記不正情報取得手段は、前記第２サービスで実際に発生した複数の不正に対応する複数の前記不正情報を取得し、
   前記判定手段は、前記複数の不正情報に基づいて、前記第２不正検知エンジンの正解率を計算し、当該計算された正解率に基づいて、前記第２サービスにおける不正を前記第２不正検知エンジンで検知可能か否かを判定する、
   請求項１～４の何れかに記載の不正検知システム。
6. 前記不正検知システムは、
   前記第２サービスに前記第２不正検知エンジンが適用された場合に、前記第２サービスにおける不正検知の結果に関する結果情報を取得する結果情報取得手段と、
   前記結果情報に基づいて、前記第１不正検知エンジンを変更するための処理を実行する変更手段と、
   を含む請求項１～５の何れかに記載の不正検知システム。
7. 前記第１サービスでは、前記第１サービスの第１ユーザが前記第１サービスを利用する場合に、前記第１不正検知エンジンに基づいて、当該第１ユーザの不正が検知され、
   前記第１サービスでは、前記第１ユーザが前記第１サービスを利用した後に、当該第１ユーザの不正の有無が確定し、
   前記第２サービスでは、前記第２サービスの第２ユーザが前記第２サービスを利用する場合に、前記第２不正検知エンジンに基づいて、当該第２ユーザの不正が検知され、
   前記第２サービスでは、前記第２ユーザが前記第２サービスを利用した後に、当該第２ユーザの不正の有無が確定し、
   前記第２サービスは、前記第２サービスが利用されてから不正の有無が確定するまでの期間の長さが前記第１サービスよりも短いサービスである、
   請求項６に記載の不正検知システム。
8. 前記第１不正検知エンジンでは、第３サービスにおける不正検知の結果が利用され、
   前記エンジン取得手段は、前記第１不正検知エンジンに基づいて、前記第３サービスにおける不正検知の結果が利用される前記第２不正検知エンジンを取得する、
   請求項１～７の何れかに記載の不正検知システム。
9. 前記エンジン取得手段は、複数の前記第１サービスに対応する複数の前記第１不正検知エンジンに基づいて、前記第２不正検知エンジンを取得する、
   請求項１～８の何れかに記載の不正検知システム。
10. 前記エンジン取得手段は、複数の前記第１サービスのうち、前記第２サービスに関連付けられた前記第１サービスの前記第１不正検知エンジンに基づいて、前記第２不正検知エンジンを取得する、
    請求項１～９の何れかに記載の不正検知システム。
11. 前記不正検知システムは、前記第２サービスに前記第２不正検知エンジンが適用された場合に、前記第２サービスにおける不正検知の結果に関する結果情報を取得する結果情報取得手段を更に含み、
    前記第１不正検知エンジンでは、前記結果情報が利用される、
    請求項１～１０の何れかに記載の不正検知システム。
12. 前記第１不正検知エンジンでは、所定のドメイン固有言語に関するデータ形式のユーザ特徴情報が利用され、
    前記エンジン取得手段は、前記第１不正検知エンジンで利用される前記ユーザ特徴情報に含まれるデータ名を、前記第２サービスのデータ名に変更し、当該変更されたデータ名を含む、前記ドメイン固有言語に関するデータ形式のユーザ特徴情報が利用される前記第２不正検知エンジンを取得する、
    請求項１～１１の何れかに記載の不正検知システム。
13. 前記第１サービスは、第１電子決済サービスであり、
    前記第２サービスは、前記第１電子決済サービスとは異なる第２電子決済サービスである、
    請求項１～１２の何れかに記載の不正検知システム。
14. コンピュータが、
    第１サービスで不正を検知するための第１不正検知エンジンに基づいて、第２サービスで不正を検知するための第２不正検知エンジンを取得するエンジン取得ステップと、
    前記第２サービスで実際に発生した不正に関する不正情報を取得する不正情報取得ステップと、
    前記不正情報に基づいて、前記第２サービスにおける不正を前記第２不正検知エンジンで検知可能か否かを判定する判定ステップと、
    前記第２サービスにおける不正を前記第２不正検知エンジンで検知可能であると判定された場合に、前記第２サービスに前記第２不正検知エンジンを適用する適用ステップと、
    を実行する不正検知方法。
15. 第１サービスで不正を検知するための第１不正検知エンジンに基づいて、第２サービスで不正を検知するための第２不正検知エンジンを取得するエンジン取得手段、
    前記第２サービスで実際に発生した不正に関する不正情報を取得する不正情報取得手段、
    前記不正情報に基づいて、前記第２サービスにおける不正を前記第２不正検知エンジンで検知可能か否かを判定する判定手段、
    前記第２サービスにおける不正を前記第２不正検知エンジンで検知可能であると判定された場合に、前記第２サービスに前記第２不正検知エンジンを適用する適用手段、
    としてコンピュータを機能させるためのプログラム。

Images