JP7310648B2 - メール端末、不審メール検出システム、プログラム、および不審メールの検出方法 - Google Patents

Description

本発明は、不審メールの検出技術に関し、特に、標的型攻撃メールの検出に好適な技術に関する。

近年、特定の企業や、会社員、従業員等の特定の個人を狙った情報窃取等を目的とする標的型攻撃メールの脅威が増大している。このような標的型攻撃メールの検出技術として特許文献１に記載のメールチェック装置が知られている。

このメールチェック装置は、正規に受信したメールから複数の特徴情報を抽出し、抽出した複数の特徴情報を、このメールの送信元のメールアドレスに対応付けて特徴情報データベースに蓄積する（特徴情報ＤＢ生成工程）。また、メールを受信すると、このメールから複数の特徴情報を抽出するとともに、このメールの送信元のメールアドレスに対応付けられて特徴情報データベースに蓄積されている複数の特徴情報を抽出して、両者を比較する。そして、両者の類似度が基準値未満ならば、このメールを警戒候補メールとして検出する（検出工程）。

特開２０１３－２３６３０８号公報

しかしながら、特許文献１に記載のメールチェック装置は、特徴情報データベースに登録されていないメールアドレスを送信元とするメールに対応していない。例えば、標的型攻撃メールのターゲットとされたメール受信者は、メール本文中に記載されているメール送信者名を知っている場合、送信元のメールアドレスを確認せずにメールを信頼してしまい、このメールに記述されたリンク先にアクセスしたり、このメールに添付されたファイルを開いてしまう可能性がある。この場合において、ヘッダ情報が、メール本文に記載されているメール送信者のメールアドレスを含むように偽装されている場合には、メール受信者が、メールを信頼して、このメールに記述されたリンク先にアクセスしたり、このメールに添付されたファイルを開いてしまう可能性はさらに高まる。特許文献１に記載のメールチェック装置は、このように巧妙に偽装された標的型攻撃メールを検出することができない。

本発明は、上記事情に鑑みてなされたものであり、本発明の目的は、未知のメールアドレスを送信元とする場合や、既知のメールアドレスを含むようにヘッダ情報が偽装されている場合であっても、不審メールの可能性が高い受信メールの検出を可能とする技術を提供することにある。

上記課題を解決するために、本発明では、メール受信者の業務あるいは職務に関連のないキーワードが受信メールに含まれているか否かにより、この受信メールに、不審メールの可能性があるか否かを判断する。

具体的には、企業、団体等の組織を構成する部署毎に、業務分掌にかかわるキーワードが列挙された業務カテゴリ情報と、組織の構成員に割り当てられる役職毎に、職務分掌にかかわるキーワードが列挙された職務カテゴリ情報と、を用いて、メール受信者が所属する部署以外の部署の業務分掌にかかわるキーワードを受信メールから検出した場合、あるいは、メール受信者に割り当てられた役職以外の役職の職務分掌にかかわるキーワードを受信メールから検出した場合に、受信メールは不審メールである可能性が高いと判断する。

ここで、メール受信者が所属する部署以外の部署の業務分掌にかかわるキーワードを受信メールから検出した場合でも、検出されたキーワードが、メール送信者が所属する部署の業務分掌にかかわるキーワードであるならば、受信メールが不審メールである可能性が高いと判断しないようにしてもよい。また、メール受信者に割り当てられた役職以外の役職の職務分掌にかかわるキーワードを受信メールから検出した場合でも、検出されたキーワードが、メール送信者に割り当てられた役職の職務分掌にかかわるキーワードであるならば、受信メールが不審メールである可能性が高いと判断しないようにしてもよい。

例えば、本発明は、
不審メール検出機能を備えたメール端末であって、
組織を構成する部署毎に、業務分掌にかかわるキーワードが列挙された業務カテゴリ情報を記憶する業務カテゴリ情報記憶手段と、
組織の構成員に割り当てられる役職毎に、職務分掌にかかわるキーワードが列挙された職務カテゴリ情報を記憶する職務カテゴリ情報記憶手段と、
メール受信者の所属部署、役職を含む受信者情報を記憶する受信者情報記憶手段と、
前記業務カテゴリ情報記憶手段、前記職務カテゴリ情報記憶手段、および前記受信者情報記憶手段を用いて、受信メールが不審メールである可能性を判断する不審メール判断手段と、を備え、
前記不審メール判断手段は、
前記受信者情報に含まれている前記メール受信者の所属部署以外の部署各々の前記業務カテゴリ情報に列挙されている業務分掌にかかわるキーワード、および、前記受信者情報に含まれている前記メール受信者の役職以外の役職各々の前記職務カテゴリ情報に列挙されている職務分掌にかかわるキーワードのうちの少なくとも一方を、前記受信メールから検索し、検出した場合に、前記受信メールは不審メールである可能性が高いと判断する。

メール送信者がメール受信者の所属部署、役職を知っているのであれば、メール受信者宛てのメールに、メール受信者の業務、職務に関連のないキーワードが含まれる可能性は低いと考えられる。そこで、本発明では、メール受信者の業務あるいは職務に関連のないキーワードが受信メールに含まれているか否かにより、この受信メールに、不審メールの可能性があるか否かを判断している。このようにすることにより、未知のメールアドレスを送信元とする場合や、既知のメールアドレスを含むようにヘッダ情報が偽装されている場合であっても、不審メールの可能性の高い受信メールを検出することができる。

図１は、本発明の一実施の形態に係る不審メール検出システムの概略構成図である。 図２は、本発明の一実施の形態に係る不審メール検出システムの動作例を説明するためのシーケンス図である。 図３は、メール端末１の概略機能構成図である。 図４は、業務カテゴリ情報記憶部１０４の登録内容例を模式的に表した図である。 図５は、職務カテゴリ情報記憶部１０５の登録内容例を模式的に表した図である。 図６は、受信者情報記憶部１０６の登録内容例を模式的に表した図である。 図７は、相手情報記憶部１０７の登録内容例を模式的に表した図である。 図８は、メール端末１の情報取得処理を説明するためのフロー図である。 図９は、メール端末１の不審メール判断処理を説明するためのフロー図である。 図１０は、メール端末１の不審メール判断処理を説明するためのフロー図であり、図９の続きである。 図１１は、不審メール確認表示画面の一例を示す図である。 図１２は、管理サーバ２の概略機能構成図である。 図１３は、管理サーバ２の動作を説明するためのフロー図である。 図１４は、兼務情報記憶部１１４の登録内容例を模式的に表した図である。

以下に、本発明の一実施の形態について図面を参照して説明する。

図１は、本実施の形態に係る不審メール検出システムの概略構成図である。

図示するように、本実施の形態に係る不審メール検出システムは、メールサーバ６を介してビジネス用途のメールを送受信する複数のメール端末１－１～１－ｎ（以下、単に、メール端末１とも呼ぶ）と、管理サーバ２とが、ＬＡＮ３に接続されて構成されている。ＬＡＮ３は、ゲートウェイ４を介してＷＡＮ５に接続されている。なお、ここでは、メールサーバ６をＬＡＮ３に接続しているが、ＷＡＮ５に接続してもよい。

メール端末１は、メール受信者の業務あるいは職務に関連のないキーワードが受信メールに含まれているか否かにより、この受信メールが不審メールである可能性があるか否かを判断する。そして、メール受信者による不審メールの通報操作に従い、不審メールの可能性があると判断したメールを含む不審メール通報情報を管理サーバ２に送信する。

管理サーバ２は、企業、団体等の組織を構成する部署毎に、業務分掌にかかわるキーワードが列挙された業務カテゴリ情報と、組織の構成員に割り当てられる役職毎に、職務分掌にかかわるキーワードが列挙された職務カテゴリ情報と、利用者（組織の構成員、顧客等）毎に、メールアドレス、氏名、所属部署名、役職名を含む利用者情報と、をメール端末１に提供する。また、管理サーバ２は、メール端末１より受信した不審メール通報情報を蓄積する。

図２は、本実施の形態に係る不審メール検出システムの動作例を説明するためのシーケンス図である。

まず、メール端末１は、起動、自端末１のユーザ（メール受信者）からの指示受付、所定タイミングの到来等、所定のイベントが発生すると、管理サーバ２にカテゴリ情報要求を送信する（Ｓ１００）。これを受けて、管理サーバ２は、各部署の業務カテゴリ情報および各役職の職務カテゴリ情報をメール端末１に送信する（Ｓ１０１）。そして、メール端末１は、自身が保持する各部署の業務カテゴリ情報および各役職の職務カテゴリ情報を、管理サーバ２から受信した各部署の業務カテゴリ情報および各役職の職務カテゴリ情報に更新する（Ｓ１０２）。

また、メール端末１は、管理サーバ２に利用者情報要求を送信する（Ｓ１０３）。これを受けて、管理サーバ２は各利用者の利用者情報を送信する（Ｓ１０４）。そして、メール端末１は、管理サーバ２から受信した各利用者の利用者情報から、自端末１のユーザのメールアドレスを含む利用者情報およびそれ以外の利用者情報を抽出し、自身が保持する受信者情報を、自端末１のユーザのメールアドレスを含む利用者情報に更新するとともに、自身が保持する相手情報を、それ以外の利用者情報（自端末１のユーザ以外の利用者のメールアドレスを含む利用者情報）に更新する（Ｓ１０５）。

つぎに、攻撃者のメール端末７が、メール端末１を送信先とする標的型攻撃メールを送信したものとする（Ｓ１０６）。この標的型攻撃メールは、メールサーバ６を介してメール端末１に送信される。

さて、メール端末１は、メールサーバ６からメールを受信すると、自身が保持する業務カテゴリ情報、職務カテゴリ情報、受信者情報、および相手情報を用いて、この受信メールが不審メールである可能性を判断する（Ｓ１０７）。

具体的には、受信者情報に含まれている所属部署（自端末１のユーザであるメール受信者の所属部署）以外の部署各々の業務カテゴリ情報に列挙されている業務分掌にかかわるキーワード、および、受信者情報に含まれている役職（メール受信者の役職）以外の役職各々の職務カテゴリ情報に列挙されている職務分掌にかかわるキーワードの少なくとも一方を、受信メールから検索する。そして、このようなキーワードを検出した場合、受信メールの送信元アドレスを含む相手情報を保持していないならば、この受信メールは不審メールの可能性が高いと判断する。

一方、受信メールの送信元アドレスを含む相手情報を保持しているならば、検出したキーワードが、この相手情報に含まれている所属部署（メール送信者の所属部署）の業務カテゴリ情報に列挙されている業務分掌にかかわるキーワード、あるいは、この相手情報に含まれている役職（メール送信者の役職）の職務カテゴリ情報に列挙されている職務分掌にかかわるキーワードと一致するか否かを判断する。そして、両者が一致しない場合にのみ、この受信メールは不審メールの可能性が高いと判断する。

ここで、受信メールは不審メールの可能性が高いと判断されたものとする。メール端末１は、不審メールの可能性が高いと判断された受信メールの内容をメール受信者に提示するための不審メール確認表示を行う（Ｓ１０８）。この際、受信メールに含まれている、不審メールの可能性が高いとする判断の根拠となったキーワードを強調表示してもよい。

それから、メール端末１は、メール受信者より不審メールの通報操作を受け付けると（Ｓ１０９）、不審メール確認表示の対象である受信メールと、この受信メールが不審メールの可能性が高いとする判断の根拠となったキーワードと、この受信メールに対して行われたメール受信者の操作履歴と、を含む不審メール通報情報を作成し、この不審メール通報情報を管理サーバ２に送信する（Ｓ１１０）。これを受けて、管理サーバ２は、メール端末１から受信した不審メール通報情報を蓄積する（Ｓ１１１）。

つぎに、本実施の形態に係る不審メール検出システムを構成するメール端末１および管理サーバ２の詳細を説明する。

まず、メール端末１の詳細を説明する。

図３は、メール端末１の概略機能構成図である。

図示するように、メール端末１は、ネットワークインターフェース部１００と、マンマシンインターフェース部１０１と、メーラ１０２と、操作監視部１０３と、業務カテゴリ情報記憶部１０４と、職務カテゴリ情報記憶部１０５と、受信者情報記憶部１０６と、相手情報記憶部１０７と、情報取得部１０８と、不審メール判断部１０９と、不審メール確認表示部１１０と、通報操作受付部１１１と、不審メール通報部１１２と、主制御部１１３と、を備えている。

ネットワークインターフェース部１００は、ＬＡＮ３に接続するためのインターフェースである。

マンマシンインターフェース部１０１は、ユーザ（メール受信者）に情報を表示したり、ユーザから各種操作を受け付けたりするためのインターフェースであり、キーボード、マウス等の入力装置および液晶ディスプレイ等の表示装置、あるいはタッチパネル等の入力機能付き表示装置を有している。

メーラ１０２は、自メール端末１を送信先とするメールをメールサーバ６から受信して、その内容を、ユーザ（メール受信者）の指示に従い、マンマシンインターフェース部１０１に表示する。また、メーラ１０２は、ユーザの指示に従い、マンマシンインターフェース部１０１と連携してメールを作成してメールサーバ６に送信する。

操作監視部１０３は、メーラ１０２がマンマシンインターフェース部１０１を介してユーザから受け付けた、受信メールに対する操作を監視して、操作履歴を記録する。

業務カテゴリ情報記憶部１０４は、企業、団体等の組織を構成する部署毎に、業務分掌にかかわるキーワードが列挙された業務カテゴリ情報を記憶する。

図４は、業務カテゴリ情報記憶部１０４の登録内容例を模式的に表した図である。

図示するように、業務カテゴリ情報記憶部１０４には、組織を構成する部署毎に、業務カテゴリ情報のレコード１０４０が登録されている。業務カテゴリ情報のレコード１０４０は、該当する部署の部署名が登録されたフィールド１０４１と、その部署の業務分掌にかかわるキーワードが列挙されたフィールド１０４２と、を有する。ここで、複数の部署の業務分掌にかかわるキーワードについては、いずれの部署に対応するレコード１０４０のフィールド１０４２にも列挙しないようにしている。

職務カテゴリ情報記憶部１０５は、従業員、組合員等の組織の構成員に割り当てられる役職毎に、職務分掌にかかわるキーワードが列挙された職務カテゴリ情報を記憶する。

図５は、職務カテゴリ情報記憶部１０５の登録内容例を模式的に表した図である。

図示するように、職務カテゴリ情報記憶部１０５には、組織の構成員毎に、職務カテゴリ情報のレコード１０５０が登録されている。職務カテゴリ情報のレコード１０５０は、該当する役職の役職名が登録されたフィールド１０５１と、その役職の職務分掌にかかわるキーワードが列挙されたフィールド１０５２と、を有する。ここで、複数の役職の職務分掌にかかわるキーワードについては、いずれの役職に対応するレコード１０５０のフィールド１０５２にも列挙しないようにしている。

受信者情報記憶部１０６は、自メール端末１のユーザであるメール受信者の受信者情報を記憶する。

図６は、受信者情報記憶部１０６の登録内容例を模式的に表した図である。

図示するように、受信者情報記憶部１０６には、受信者情報のレコード１０６０が登録されている。受信者情報のレコード１０６０は、メール受信者のメールアドレスが登録されたフィールド１０６１と、メール受信者の氏名が登録されたフィールド１０６２と、メール受信者の所属部署の部署名が登録されたフィールド１０６３と、メール受信者の役職の役職名が登録されたフィールド１０６４と、を有する。ここで、メール受信者が複数の役職を兼務する場合、フィールド１０６４には、それらすべての役職の役職名が登録される。

相手情報記憶部１０７は、メール受信者以外の利用者（メール受信者のメール相手）毎に相手情報を記憶する。

図７は、相手情報記憶部１０７の登録内容例を模式的に表した図である。

図示するように、相手情報記憶部１０７には、メール受信者のメール相手毎に、相手情報のレコード１０７０が登録されている。相手情報のレコード１０７０は、メール相手のメールアドレスが登録されたフィールド１０７１と、メール相手の氏名が登録されたフィールド１０７２と、メール相手の所属部署の部署名が登録されたフィールド１０７３と、メール相手の役職の役職名が登録されたフィールド１０７４と、を有する。ここで、メール相手が複数の役職を兼務する場合、フィールド１０７４には、それらすべての役職の役職名が登録される。

情報取得部１０８は、管理サーバ２から各種情報を取得する。

不審メール判断部１０９は、業務カテゴリ情報記憶部１０４、職務カテゴリ情報記憶部１０５、受信者情報記憶部１０６、および相手情報記憶部１０７の情報を用いて、受信メールが不審メールである可能性を判断する。

不審メール確認表示部１１０は、不審メール判断部１０９により不審メールの可能性が高いと判断された受信メールをマンマシンインターフェース部１０１に表示する。

通報操作受付部１１１は、不審メール確認表示部１１０によってマンマシンインターフェース部１０１に表示中の受信メールに対する不審メールの通報操作を、マンマシンインターフェース部１０１を介してメール受信者から受け付ける。

不審メール通報部１１２は、通報操作受付部１１１により不審メールの通報操作を受け付けた受信メールを含む不審メール通報情報を管理サーバ２に送信する。

そして、主制御部１１３は、メール端末１の各部１００～１１２を統括的に制御する。

図８は、メール端末１の情報取得処理を説明するためのフロー図である。

このフローは、起動、自端末１のユーザ（メール受信者）からの指示受付、所定タイミングの到来等、所定のイベントが発生することにより開始される。

まず、主制御部１１３は、情報取得部１０８にカテゴリ情報の取得を指示する。これを受けて、情報取得部１０８は、ネットワークインターフェース部１００を介して管理サーバ２にカテゴリ情報要求を送信する（Ｓ２００）。そして、管理サーバ２から各部署の業務カテゴリ情報および各役職の職務カテゴリ情報を受信し（Ｓ２０１）、これらの情報を主制御部１１３に渡す。

つぎに、主制御部１１３は、業務カテゴリ情報記憶部１０４の登録内容を、情報取得部１０８から受け取った各部署の業務カテゴリ情報に更新するとともに、職務カテゴリ情報記憶部１０５の登録内容を、情報取得部１０８から受け取った各役職の職務カテゴリ情報に更新する（Ｓ２０２）。

また、主制御部１１３は、情報取得部１０８に利用者情報の取得を指示する。これを受けて、情報取得部１０８は、ネットワークインターフェース部１００を介して管理サーバ２に利用者情報要求を送信する（Ｓ２０３）。そして、管理サーバ２から各利用者の利用者情報を受信し（Ｓ２０４）、これらの情報を主制御部１１３に渡す。

つぎに、主制御部１１３は、情報取得部１０８から受け取った各利用者の利用者情報から、自端末１のユーザのメールアドレスを含む利用者情報およびそれ以外の利用者情報を抽出し、自端末１のユーザのメールアドレスを含む利用者情報を受信者情報に設定する。そして、受信者情報記憶部１０６の登録内容を、新たに設定された受信者情報に更新する（Ｓ２０５）。また、主制御部１１３は、相手情報記憶部１０７の登録内容を、自端末１のユーザ以外の利用者のメールアドレスを含む利用者情報（受信者情報以外の利用者情報）に更新する（Ｓ２０６）。

図９および図１０は、メール端末１の不審メール判断処理を説明するためのフロー図である。

このフローは、メーラ１０２がネットワークインターフェース部１００を介してメールサーバ６からメールを受信することにより開始される。

まず、操作監視部１０３は、メーラ１０２がマンマシンインターフェース部１０１を介して自端末１のユーザ（メール受信者）から受け付ける、受信メールに対する操作の監視を開始する（Ｓ２１０）。これにより、受信メールに対する操作履歴が記録される。

つぎに、主制御部１１３は、メーラ１０２から受信メールを取得して不審メール判断部１０９に渡す。これを受けて、不審メール判断部１０９は、受信者情報記憶部１０６に記憶されている受信者情報に含まれている部署名（メール受信者の所属部署の部署名）以外の部署名を含む業務カテゴリ情報を業務カテゴリ情報記憶部１０４から抽出する。そして、抽出した業務カテゴリ情報に含まれているキーワード（メール受信者の所属部署以外の各部署の業務分掌にかかわるキーワード）を受信メールから検索する（Ｓ２１１）。

そして、メール受信者の所属部署以外のいずれの部署の業務分掌にかかわるキーワードも受信メールから検出できなかった場合（Ｓ２１２でＮＯ）、Ｓ２１６に進む。一方、メール受信者の所属部署以外のいずれかの部署の業務分掌にかかわるキーワードを受信メールから検出した場合（Ｓ２１２でＹＥＳ）、不審メール判断部１０９は、受信メールの送信元アドレスを含む相手情報（メール送信者の相手情報）が相手情報記憶部１０７に記憶されているか否かを調べる（Ｓ２１３）。

メール送信者の相手情報が相手情報記憶部１０７に記憶されていない場合、Ｓ２１２において受信メールから検出されたキーワードが、メール送信者の業務に関連するキーワードである可能性があっても、そのことを確認することができない。そこで、メール送信者の相手情報が相手情報記憶部１０７に記憶されていない場合には（Ｓ２１３でＮＯ）、安全のため、不審メール判断部１０９は、この受信メールが、メール受信者をよく知らない者による標的型攻撃メールである可能性が高いと判断し、Ｓ２２１に進む。

一方、メール送信者の相手情報が相手情報記憶部１０７に記憶されている場合（Ｓ２１３でＹＥＳ）、不審メール判断部１０９は、この相手情報に含まれている部署名（メール送信者の所属部署の部署名）を含む業務カテゴリ情報を業務カテゴリ情報記憶部１０４から抽出する。それから、Ｓ２１２において受信メールから検出したキーワードを、抽出した業務カテゴリ情報に含まれているキーワード（メール送信者の所属部署の業務分掌にかかわるキーワード）と比較する（Ｓ２１４）。受信メールから検出したキーワードがメール送信者の所属部署の業務分掌にかかわるキーワードと一致する場合（Ｓ２１５でＹＥＳ）、Ｓ２１６に進む。

一方、受信メールから検出したキーワードが、メール送信者の所属部署の業務分掌にかかわるキーワードと一致しない場合（Ｓ２１５でＮＯ）、メール受信者およびメール送信者のいずれの所属部署の業務にも関連のないキーワードが受信メールに含まれることとなるので、不審メール判断部１０９は、この受信メールが、メール受信者をよく知らない者による標的型攻撃メールである可能性が高いと判断し、Ｓ２２１に進む。

Ｓ２１６において、不審メール判断部１０９は、受信者情報記憶部１０６に記憶されている受信者情報に含まれている役職名（メール受信者の役職の役職名）以外の役職名を含む職務カテゴリ情報を、職務カテゴリ情報記憶部１０５から抽出する。そして、抽出した職務カテゴリ情報に含まれているキーワード、すなわち、メール受信者の役職以外の各役職の職務分掌にかかわるキーワードを受信メールから検索する。

そして、メール受信者の役職以外のいずれの役職の職務分掌にかかわるキーワードも受信メールから検出できなかった場合（Ｓ２１７でＮＯ）、不審メール判断部１０９は、この受信メールが不審メールである可能性は低いと判断し、この判断結果を主制御部１１３に通知して、このフローを終了する。

一方、メール受信者の役職以外のいずれかの役職の職務分掌にかかわるキーワードを受信メールから検出した場合（Ｓ２１７でＹＥＳ）、不審メール判断部１０９は、受信メールの送信元アドレスを含む相手情報（メール送信者の相手情報）が相手情報記憶部１０７に記憶されているか否かを調べる（Ｓ２１８）。

メール送信者の相手情報が相手情報記憶部１０７に記憶されていない場合、Ｓ２１７において受信メールから検出されたキーワードが、メール送信者の職務に関連するキーワードの可能性があっても、そのことを確認することができない。そこで、メール送信者の相手情報が相手情報記憶部１０７に記憶されていないには（Ｓ２１８でＮＯ）、安全のため、不審メール判断部１０９は、この受信メールが、メール受信者をよく知らない者による標的型攻撃メールである可能性が高いと判断し、Ｓ２２１に進む。

一方、メール送信者の相手情報が相手情報記憶部１０７に記憶されている場合（Ｓ２１８でＹＥＳ）、不審メール判断部１０９は、この相手情報に含まれている役職名（メール送信者の職名）を含む職務カテゴリ情報を、職務カテゴリ情報記憶部１０５から抽出する。それから、受信メールから検出したキーワードを、抽出した職務カテゴリ情報に含まれているキーワード（メール送信者の役職の職務分掌にかかわるキーワード）と比較する（Ｓ２１９）。受信メールから検出したキーワードがメール送信者の役職の職務分掌にかかわるキーワードと一致する場合（Ｓ２２０でＹＥＳ）、不審メール判断部１０９は、この受信メールが不審メールであるの可能性は低いと判断し、この判断結果を主制御部１１３に通知して、このフローを終了する。

一方、受信メールから検出したキーワードがメール送信者の役職の職務分掌にかかわるキーワードと一致しない場合（Ｓ２２０でＮＯ）、メール受信者およびメール送信者のいずれの職務にも関連のないキーワードが受信メールに含まれることとなるので、不審メール判断部１０９は、この受信メールが、メール受信者をよく知らない者による標的型攻撃メールである可能性が高いと判断して、Ｓ２２１に進む。

Ｓ２２１において、不審メール判断部１０９は、受信メールが不審メールである可能性が高いとする判断結果を、その判断の根拠となったキーワードとともに主制御部１１３に通知する。主制御部１１３は、不審メール確認表示部１１０に、不審メールの可能性が高いと判断された受信メールを、その判断の根拠となったキーワードとともに通知して不審メール確認表示を指示する。これを受けて、不審メール確認表示部１１０は、マンマシンインターフェース部１０１に、不審メールの可能性が高いと判断された受信メールに対する不審メール確認表示を行う（Ｓ２２１）。

図１１は、不審メール確認表示画面の一例を示す図である。

図において、符号１１００は送信元アドレスの表示欄、符号１１０１はメール受信日時の表示欄、符号１１０２は件名の表示欄、そして、符号１１０３はメール本文の表示欄である。メール本文は、テキスト変換されてメール本文の表示欄１１０３に表示される。また、メール本文において、不審メールの可能性が高いとする判断の根拠となったキーワード（ここでは「侵害調査」）が強調表示される（符号１１０６）。

また、符号１１０４は、メール受信者が受信メールを不審メールではないと判断した場合に操作（終了操作）するボタンであり、符号１１０５は、メール受信者が受信メールを不審メールであると判断した場合に操作（不審メールの通報操作）するボタンである。

図１１に示すような不審メール確認表示画面を介して、メール受信者から終了操作を受け付けると（Ｓ２２２で「終了操作」）、主制御部１１３は、不審メール確認表示部１１０による不審メール確認表示を終了して、このフローを終了する。

一方、メール受信者から不審メールの通報操作を受け付けると（Ｓ２２２で「通報操作」）、主制御部１１３は、不審メールと判断された受信メールに対する操作履歴（開封操作等）を操作監視部１０３から取得する。そして、不審メールと判断された受信メール、その判断の根拠となったキーワード、および、この受信メールに対する操作履歴を、不審メール通報部１１２に渡す。これを受けて、不審メール通報部１１２は、主制御部１１３から受け取った受信メール、キーワード、および操作履歴を含む不審メール通報情報を作成し、この不審メール通報情報を、ネットワークインターフェース部１００を介して管理サーバ２に送信する（Ｓ２２３）。この際、主制御部１１３は、不審メールと判断された受信メールをメーラ１０２から削除してもよい。それから、主制御部１１３は、不審メール確認表示部１１０による不審メール確認表示を終了して、このフローを終了する。

つぎに、管理サーバ２の詳細を説明する。

図１２は、管理サーバ２の概略機能構成図である。

図示するように、管理サーバ２は、ネットワークインターフェース部２００と、マンマシンインターフェース部２０１と、業務カテゴリ情報データベース部２０２と、職務カテゴリ情報データベース部２０３と、利用者情報データベース部２０４と、情報要求処理部２０５と、通報受信部２０６と、通報情報蓄積部２０７と、主制御部２０８と、を備えている。

ネットワークインターフェース部２００は、ＬＡＮ３に接続するためのインターフェースである。

マンマシンインターフェース部２０１は、ユーザ（管理者）に情報を表示したり、ユーザから各種操作を受け付けたりするためのインターフェースであり、キーボード、マウス等の入力装置および液晶ディスプレイ等の表示装置を有している。

業務カテゴリ情報データベース部２０２は、企業、団体等の組織を構成する部署毎に、業務分掌にかかわるキーワードが列挙された業務カテゴリ情報を記憶するデータベースであり、その登録内容は、基本的に、図４に示すメール端末１の業務カテゴリ情報記憶部１０４の登録内容と同様である。

職務カテゴリ情報データベース部２０３は、従業員、組合員等の組織の構成員に割り当てられる役職毎に、職務分掌にかかわるキーワードが列挙された職務カテゴリ情報を記憶するデータベースであり、その登録内容は、基本的に、図５に示すメール端末１の職務カテゴリ情報記憶部１０５の登録内容例と同様である。

利用者情報データベース部２０４は、利用者毎に、メールアドレス、氏名、所属部署、役職を含む利用者情報を記憶するデータベースであり、その登録内容は、基本的に、図６に示すメール端末１の受信者情報記憶部１０６および図７に示すメール端末１の相手情報記憶部１０７の登録内容例をマージしたものと同様である。

情報要求処理部２０５は、メール端末１からカテゴリ情報要求および利用者情報要求を受信して、これらの要求を処理する。すなわち、カテゴリ情報要求の送信元のメール端末１に、業務カテゴリ情報データベース部２０２に記憶されている各部署の業務カテゴリ情報および職務カテゴリ情報データベース部２０３に記憶されている各役職の職務カテゴリ情報を送信する。また、利用者情報要求の送信元のメール端末１に、利用者情報データベース部２０４に記憶されている各利用者の利用者情報を送信する。

通報受信部２０６は、メール端末１から不審メール通報情報を受信する。

通報情報蓄積部２０７は、通報受信部２０６により受信された不審メール通報情報を蓄積する。

そして、主制御部２０８は、管理サーバ２の各部２００～２０７を統括的に制御する。

図１３は、管理サーバ２の動作を説明するためのフロー図である。

情報要求処理部２０５は、ネットワークインターフェース部２００を介してメール端末１からカテゴリ情報要求を受信すると（Ｓ３００でＹＥＳ）、主制御部２０８にカテゴリ情報の取得を依頼する。これを受けて、主制御部２０８は、業務カテゴリ情報データベース部２０２から各部署の業務カテゴリ情報を読み出すとともに、職務カテゴリ情報データベース部２０３から各役職の職務カテゴリ情報を読み出して、情報要求処理部２０５に渡す。そして、情報要求処理部２０５は、主制御部２０８から受け取った各部署の業務カテゴリ情報および各役職の職務カテゴリ情報をカテゴリ情報要求の送信元のメール端末１に送信する（Ｓ３０１）。

また、情報要求処理部２０５は、ネットワークインターフェース部２００を介してメール端末１から利用者情報要求を受信すると（Ｓ３０２でＹＥＳ）、主制御部２０８に利用者情報の取得を依頼する。これを受けて、主制御部２０８は、利用者情報データベース部２０４から各利用者の利用者情報を読み出して情報要求処理部２０５に渡す。そして、情報要求処理部２０５は、主制御部２０８から受け取った各利用者の利用者情報を利用者情報要求の送信元のメール端末１に送信する（Ｓ３０３）。

また、通報受信部２０６は、ネットワークインターフェース部２００を介してメール端末１から不審メール通報情報を受信すると（Ｓ３０４でＹＥＳ）、受信した不審メール通報情報を、送信元であるメール端末１のメールアドレスとともに主制御部２０８に渡す。これを受けて、主制御部２０８は、不審メール通報情報を、送信元であるメール端末１のメールアドレスおよびこの不審メール通報情報の通報日時に紐付けて通報情報蓄積部２０７に蓄積する（Ｓ３０５）。

また、主制御部２０８は、マンマシンインターフェース部２０１を介してユーザ（管理者）からデータベースの更新操作を受け付けると（Ｓ３０６でＹＥＳ）、その操作内容に従い、更新対象のデータベース部２０２～２０４を更新する（Ｓ３０７）。

また、主制御部２０８は、マンマシンインターフェース部２０１を介してユーザ（管理者）から不審メール通報情報の表示操作を受け付けると（Ｓ３０８でＹＥＳ）、通報情報蓄積部２０７に蓄積されている不審メール通報情報を、通報元のメール端末１のメールアドレスおよび通報日時とともに表示する（Ｓ３０９）。

以上、本発明の一実施の形態について説明した。

メール送信者がメール受信者の所属部署、役職を知っているのであれば、メール受信者宛てのメールに、メール受信者の業務、職務に関連のないキーワードが含まれる可能性は低いと考えられる。そこで、本実施の形態では、メール受信者の業務あるいは職務に関連のないキーワードが受信メールに含まれているか否かにより、この受信メールに不審メールの可能性があるか否かを判断している。このようにすることにより、未知のメールアドレスを送信元とする場合や、既知のメールアドレスを含むようにヘッダ情報が偽装されている場合であっても、不審メールの可能性の高い受信メールを検出することができる。

また、メール受信者が所属する部署以外の部署の業務分掌にかかわるキーワード、あるいは、メール受信者に割り当てられた役職以外の役職の職務分掌にかかわるキーワードが、メールに含まれている場合でも、このキーワードが、メール送信者が所属する部署の業務分掌にかかわるキーワード、あるいは、メール送信者に割り当てられた役職の職務分掌にかかわるキーワードである場合、メール送信者がメール受信者に自身の所属部署の業務分掌あるいは役職の職務分掌をメールで問い合わせている可能性がある。そこで、本実施の形態では、メール受信者が所属する部署以外の部署の業務分掌にかかわるキーワード、あるいは、メール受信者に割り当てられた役職以外の役職の職務分掌にかかわるキーワードを受信メールから検出した場合でも、この検出されたキーワードが、メール送信者が所属する部署の業務分掌にかかわるキーワード、あるいは、メール送信者に割り当てられた役職の職務分掌にかかわるキーワードであるならば、受信メールが不審メールである可能性が高いと判断しない。このため、不審メールの検出精度をさらに向上させることができる。

また、本実施の形態において、メール端末１は、不審メールの可能性が高いと判断した受信メールを表示し、メール受信者から不審メールの通報操作を受け付けた場合に、この受信メールおよびこの受信メールが不審メールである可能性が高いとする判断の根拠となったキーワードを含む不審メール通報情報を、管理サーバ２に送信している。このように、本実施の形態によれば、受信メールが不審メールであるか否かの最終的な判断をメール受信者に委ねているので、精度の高い不審メール通報情報を管理サーバ２に蓄積することができる。

また、本実施の形態によれば、不審メールの可能性が高いと判断された受信メールに対するメール受信者の操作履歴を不審メール通報情報に含めているので、管理サーバ２の管理者は、メール受信者に対してより適切な措置を指導することができる。

なお、本発明は上記の実施の形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。

例えば、上記の実施の形態では、メール端末１の受信者情報記憶部１０６および相手情報記憶部１０７において、メール受信者およびメール相手が複数の役職を兼務する場合、それらすべての役職を受信者情報および相手情報に含めている（図６のフィールド１０６４、図７のフィールド１０７４）。しかし、兼務する役職を受信者情報および相手情報に含めなくてもよい。この場合、図１４に示すように、各部署１１４１の役職１１４２毎に兼務内容１１４３を含む兼務情報のレコード１１４０が記憶された兼務情報記憶部１１４をメール端末１に追加する。そして、不審メール判断部１０９は、受信者情報に含まれているメール受信者の所属部署および役職に対する兼務内容を兼務情報記憶部１１４から検索し、メール受信者に割り当てられた役職および兼務内容により特定される役職以外の役職の職務分掌にかかわるキーワードを受信メールから検出する。また、管理サーバ２に兼務情報データベース部を追加し、メール端末１は、利用者情報取得の際に、管理サーバ２から兼務情報も取得して、兼務情報記憶部１１４を更新する。

また、上記の実施の形態では、メール端末１がＬＡＮ３に接続された有線端末である場合を例にとり説明したが、本発明はこれに限定されない。メール端末１は、無線を介してＬＡＮ３に接続された無線端末であってもよい。

また、上記の実施の形態では、利用者情報は、メールアドレス、氏名、所属部署名、役職名を含んでいるが、それ以外の情報を含めてもよい。例えば、利用者情報に、利用者がビジネス用途のメール本文の末尾に挿入する署名を含めてもよい。この場合、相手情報記憶部１０７に記憶された相手情報に含まれているメールアドレスを送信元アドレスとする受信メールがＳ２１９において不審メールである可能性が高いと判断された場合に、不審メール確認表示画面に、相手情報に含まれている署名がさらに表示されるようにすれば、メール受信者は、メール本文の表示欄１１０３に表示される受信メール本文末尾の署名と、相手情報に含まれている署名との対比により、受信メールが不審メールである可能性をより確実に判断することができる。なお、メール本文の表示欄１１０３においては、受信メール本文末尾の署名の、相手情報に含まれている署名との相違部分（名称の記載、スペースの有無、改行の有無、配置されている記号およびその数等）が強調表示されてもよい。また、Ｓ２１９において、不審メール判断部１０９は、受信メールのメール本文末尾に挿入された署名と、メール送信者の相手情報に含まれている著名とを比較し、両者の記載およびレイアウトが異なる場合も、受信メールが不審メールである可能性が高いと判断するようにしてもよい。

また、上記の実施の形態において、図３に示すメール端末１の機能構成は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｓｅｓｓｉｇ Ｕｎｉｔ）と、メモリと、ハードディスク、フラッシュメモリ等の補助記憶装置と、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）、無線アダプタ等の通信インターフェースと、を備えたＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、タブレットＰＣ、スマートフォン等の汎用コンピュータにおいて、ＣＰＵが、所定のプログラムを、メーラ１０２を実現するためのプログラムとともに補助記憶装置からメモリ上にロードして実行することにより実現される。

また、上記の実施の形態において、図１２に示す管理サーバ２の機能構成は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）などの集積ロジックＩＣによりハード的に実現されるものでもよいし、あるいはＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等の計算機によりソフトウエア的に実現されるものでもよい。あるいは、ＣＰＵと、メモリと、補助記憶装置と、通信インターフェースと、を備えたＰＣ等の汎用コンピュータにおいて、ＣＰＵが所定のプログラムを補助記憶装置からメモリ上にロードして実行することにより実現されるものでもよい。

１、１－１～１－ｎ：メール端末 ２：管理サーバ ３：ＬＡＮ
４：ゲートウェイ ５：ＷＡＮ ６：メールサーバ
７：メール端末（攻撃者） １００：ネットワークインターフェース部
１０１：マンマシンインターフェース部 １０２：メーラ
１０３：操作監視部 １０４：業務カテゴリ情報記憶部
１０５：職務カテゴリ情報記憶部 １０６：受信者情報記憶部
１０７：相手情報記憶部 １０８：情報取得部 １０９：不審メール判断部
１１０：不審メール確認表示部 １１１：通報操作受付部
１１２：不審メール通報部 １１３：主制御部 １１４：兼務情報記憶部
２００：ネットワークインターフェース部
２０１：マンマシンインターフェース部
２０２：業務カテゴリ情報データベース部
２０３：職務カテゴリ情報データベース部
２０４：利用者情報データベース部 ２０５：情報要求処理部
２０６：通報受信部 ２０７：通報情報蓄積部 ２０８：主制御部

Claims (9)

1. 不審メール検出機能を備えたメール端末であって、
   組織を構成する部署毎に、業務分掌にかかわるキーワードが列挙された業務カテゴリ情報を記憶する業務カテゴリ情報記憶手段と、
   組織の構成員に割り当てられる役職毎に、職務分掌にかかわるキーワードが列挙された職務カテゴリ情報を記憶する職務カテゴリ情報記憶手段と、
   メール受信者の所属部署、役職を含む受信者情報を記憶する受信者情報記憶手段と、
   前記業務カテゴリ情報記憶手段、前記職務カテゴリ情報記憶手段、および前記受信者情報記憶手段を用いて、受信メールが不審メールである可能性を判断する不審メール判断手段と、を備え、
   前記不審メール判断手段は、
   前記受信者情報に含まれている前記メール受信者の所属部署以外の部署各々の前記業務カテゴリ情報に列挙されている業務分掌にかかわるキーワード、および、前記受信者情報に含まれている前記メール受信者の役職以外の役職各々の前記職務カテゴリ情報に列挙されている職務分掌にかかわるキーワードの少なくとも一方を、前記受信メールから検索し、検出した場合に、前記受信メールは不審メールである可能性が高いと判断する
   ことを特徴とするメール端末。
2. 請求項１に記載のメール端末であって、
   メール相手毎に、メールアドレス、所属部署、役職を含む相手情報を記憶する相手情報記憶手段をさらに備え、
   前記不審メール判断手段は、
   前記受信者情報に含まれている前記メール受信者の所属部署以外の部署各々の前記業務カテゴリ情報に列挙されている業務分掌にかかわるキーワード、あるいは、前記受信者情報に含まれている前記メール受信者の役職以外の役職各々の前記職務カテゴリ情報に列挙されている職務分掌にかかわるキーワードを、前記受信メールから検出した場合でも、当該キーワードが、前記受信メールの送信元メールアドレスを含む前記相手情報に含まれているメール送信者の所属部署の前記業務カテゴリ情報に列挙されている業務分掌にかかわるキーワード、あるいは、前記受信メールの送信元メールアドレスを含む前記相手情報に含まれているメール送信者の役職の前記職務カテゴリ情報に列挙されている業務分掌にかかわるキーワードであるならば、前記受信メールは不審メールである可能性が高いと判断しない
   ことを特徴とするメール端末。
3. 請求項１または２に記載のメール端末であって、
   前記メール受信者が兼務する役職を含む兼務情報を記憶する兼務情報記憶手段をさらに備え、
   前記不審メール判断手段は、
   前記受信者情報に含まれている前記メール受信者の役職に、前記兼務情報に含まれている、当該メール受信者が兼務する役職も含めて、前記受信メールが不審メールである可能性を判断する
   ことを特徴とするメール端末。
4. 請求項１ないし３のいずれか一項に記載のメール端末であって、
   前記不審メール判断手段により前記受信メールは不審メールである可能性が高いと判断された場合に、当該受信メールの内容を表示する不審メール確認表示手段と、
   前記メール受信者から受け付けた通報操作に従い、前記不審メール確認表示手段に表示中の前記受信メールおよび前記不審メール判断手段により当該受信メールから検出されたキーワードを含む不審メール通報情報を、管理サーバに送信する不審メール通報手段と、をさらに備える
   ことを特徴とするメール端末。
5. 請求項４に記載のメール端末であって、
   前記受信メールに対する操作履歴情報を記憶する操作履歴情報記憶手段をさらに備え、
   前記不審メール通報手段は、
   前記不審メール通報情報に、前記操作履歴情報記憶手段に記憶されている前記受信メールに対する操作履歴情報を含めて、当該不審メール通報情報を前記管理サーバに送信する
   ことを特徴とするメール端末。
6. 請求項４または５に記載のメール端末と、不審メールを管理する管理サーバと、を備えた不審メール検出システムであって、
   前記管理サーバは、
   組織を構成する部署毎に、業務分掌にかかわるキーワードが列挙された業務カテゴリ情報を記憶する業務カテゴリ情報データベースと、
   組織の構成員に割り当てられる役職毎に、職務分掌にかかわるキーワードが列挙された職務カテゴリ情報を記憶する職務カテゴリ情報データベースと、
   前記メール端末から受信したカテゴリ情報要求に従い、前記業務カテゴリ情報データベースに記憶されている各部署の前記業務カテゴリ情報および前記職務カテゴリ情報データベースに記憶されている各役職の前記職務カテゴリ情報を、前記メール端末に送信するカテゴリ情報送信手段と、
   前記メール端末から受信した前記不審メール通報情報を蓄積する不審メール通報情報蓄積手段と、をさらに備え、
   前記メール端末は、
   前記管理サーバに前記カテゴリ情報要求を送信して、各部署の前記業務カテゴリ情報および各役職の前記職務カテゴリ情報を取得するカテゴリ情報取得手段と、
   前記カテゴリ情報取得手段により取得された各部署の前記業務カテゴリ情報を前記業務カテゴリ情報記憶手段に記憶するとともに、前記カテゴリ情報取得手段により取得された各役職の前記職務カテゴリ情報を前記職務カテゴリ情報記憶手段に記憶する記憶制御手段と、をさらに備える
   ことを特徴とする不審メール検出システム。
7. 請求項６に記載の不審メール検出システムであって、
   前記管理サーバは、
   組織の構成員および顧客を含む利用者毎に、メールアドレス、所属部署、役職を含む利用者情報を記憶する利用者情報データベースと、
   前記メール端末から受信した利用者情報要求に従い、前記利用者情報データベースに記憶されている各利用者の前記利用者情報を、前記メール端末に送信する利用者情報送信手段と、をさらに備え、
   前記メール端末は、
   前記管理サーバに前記利用者情報要求を送信して、各利用者の前記利用者情報を取得する利用者情報取得手段をさらに備え、
   前記記憶制御手段は、
   前記利用者情報取得手段により取得された各利用者の前記利用者情報のうち、自メール端末のメールアドレスを含む前記利用者情報を、前記メール受信者の前記受信者情報として前記受信者情報記憶手段に記憶するとともに、自メール端末のメールアドレスを含む前記利用者情報以外の前記利用者情報を、メール相手の相手情報として所定の記憶手段に記憶する
   ことを特徴とする不審メール検出システム。
8. コンピュータで実行可能なプログラムであって、
   前記プログラムは、
   メール端末として機能する前記コンピュータを、
   組織を構成する部署毎に、業務分掌にかかわるキーワードが列挙された業務カテゴリ情報を記憶する業務カテゴリ情報記憶手段、
   組織の構成員に割り当てられる役職毎に、職務分掌にかかわるキーワードが列挙された職務カテゴリ情報を記憶する職務カテゴリ情報記憶手段、
   メール受信者の所属部署、役職を含む受信者情報を記憶する受信者情報記憶手段、および
   前記業務カテゴリ情報記憶手段、前記職務カテゴリ情報記憶手段、および前記受信者情報記憶手段を用いて、受信メールが不審メールである可能性を判断する不審メール判断手段として機能させ
   前記不審メール判断手段は、
   前記受信者情報に含まれている前記メール受信者の所属部署以外の部署各々の前記業務カテゴリ情報に列挙されている業務分掌にかかわるキーワード、および、前記受信者情報に含まれている前記メール受信者の役職以外の役職各々の前記職務カテゴリ情報に列挙されている職務分掌にかかわるキーワードの少なくとも一方を、前記受信メールから検索し、検出した場合に、前記受信メールは不審メールである可能性が高いと判断する
   ことを特徴とするプログラム。
9. メール端末による不審メールの検出方法であって、
   前記メール端末は、
   メールを受信した場合に、当該メールから、予め記憶された、メール受信者の所属部署以外の部署各々の業務分掌にかかわるキーワード、および、当該メール受信者の役職以外の役職各々の職務分掌にかかわるキーワードの少なくとも一方を検索し、検出した場合に、当該メールは不審メールである可能性が高いと判断する
   ことを特徴とする不審メールの検出方法。

Images