WO2020261426A1 - 不正推定システム、不正推定方法、及びプログラム - Google Patents

不正推定システム、不正推定方法、及びプログラム Download PDF

Info

Publication number
WO2020261426A1
WO2020261426A1 PCT/JP2019/025366 JP2019025366W WO2020261426A1 WO 2020261426 A1 WO2020261426 A1 WO 2020261426A1 JP 2019025366 W JP2019025366 W JP 2019025366W WO 2020261426 A1 WO2020261426 A1 WO 2020261426A1
Authority
WO
WIPO (PCT)
Prior art keywords
service
user
fraud
comparison result
user information
Prior art date
Application number
PCT/JP2019/025366
Other languages
English (en)
French (fr)
Inventor
恭輔 友田
Original Assignee
楽天株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 楽天株式会社 filed Critical 楽天株式会社
Priority to PCT/JP2019/025366 priority Critical patent/WO2020261426A1/ja
Priority to JP2020505292A priority patent/JP6743319B1/ja
Priority to US17/055,996 priority patent/US20210264299A1/en
Priority to EP19928299.7A priority patent/EP3955143A4/en
Priority to TW109121323A priority patent/TWI751590B/zh
Publication of WO2020261426A1 publication Critical patent/WO2020261426A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N5/00—Computing arrangements using knowledge-based models
    • G06N5/04—Inference or reasoning models
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4016—Transaction verification involving fraud or risk level assessment in transaction processing
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/08—Payment architectures
    • G06Q20/12—Payment architectures specially adapted for electronic shopping systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Definitions

  • the present invention relates to a fraud estimation system, a fraud estimation method, and a program.
  • Patent Document 1 in a system that manages a blacklist indicating a fraudulent user, an action history such as a browsing history of a newly registered user's website is acquired, and the action history of the user in the blacklist is obtained. It is described to estimate the creditworthiness of newly registered users by comparison.
  • the present invention has been made in view of the above problems, and an object of the present invention is to provide a fraud estimation system, a fraud estimation method, and a program capable of improving estimation accuracy.
  • the fraud estimation system compares the user information of the user in one service with the user information of the fraudulent user or the legitimate user in the other service, and the fraud in the one service.
  • the fraud estimation method includes a comparison result acquisition step for acquiring a comparison result between user information of a target user in one service and user information of a fraudulent user or a legitimate user in another service, and the comparison result. Based on this, a learning model in which the relationship between the comparison result between the user information of the user in the one service and the user information of the unauthorized user or the legitimate user in the other service and the presence or absence of the fraud in the one service is learned. It is characterized by including an output acquisition step for acquiring the output of the above, and an estimation step for estimating fraud of the target user based on the output of the learning model.
  • the program according to the present invention is a comparison result acquisition means for acquiring a comparison result between user information of a target user in one service and user information of an unauthorized user or a legitimate user in another service, based on the comparison result.
  • the output of the learning model in which the relationship between the comparison result between the user information of the user in the one service and the user information of the unauthorized user or the legitimate user in the other service and the presence or absence of the fraud in the one service is learned.
  • the computer functions as an output acquisition means to be acquired and an estimation means for estimating fraud of the target user based on the output of the learning model.
  • the learning model in the learning model, the relationship between a plurality of comparison results corresponding to each of the plurality of other services and the presence or absence of fraud in the one service is learned, and the comparison is performed.
  • the result acquisition means acquires a plurality of comparison results corresponding to the plurality of other services
  • the output acquisition means acquires the output of the learning model based on the plurality of comparison results.
  • the learning model also learns the relationship between the usage status in the one service and the presence or absence of fraud in the one service, and the fraud estimation system is the target. It further includes a usage status acquisition means for acquiring the usage status of the one service by the user, and the output acquisition means acquires the output of the learning model based on the usage status by the target user. ..
  • the one service is characterized in that fraud is presumed based on the user information of the predetermined item, and the usage status is the usage status related to the predetermined item.
  • the comparison result acquisition means acquires a plurality of comparison results corresponding to the plurality of items
  • the output acquisition means obtains the plurality of comparison results. Based on this, the output of the learning model is acquired.
  • fraud is estimated based on the user information of the predetermined item, and in the learning model, the comparison result of the user information of the predetermined item and the comparison result of the user information of the predetermined item are used in the one service.
  • the relationship between the presence or absence of fraud and the presence or absence of fraud has been learned, and the comparison result acquisition means acquires the comparison result of the predetermined item.
  • fraud is estimated based on the user information of the first item, and in the learning model, the comparison result of the user information of the second item and the service of the first item are used.
  • the relationship between the presence or absence of fraud and the presence or absence of fraud in the above is learned, and the comparison result acquisition means acquires the comparison result of the second item.
  • the user information of the target user in the one service is compared with the user information of an unauthorized user or a legitimate user in the other service, and the comparison result acquisition is obtained.
  • the means is characterized in that the comparison result is obtained from the other service.
  • the fraud estimation system further includes a receiving means for receiving a request for use of the one service by the target user, and the estimation means uses the one service by the target user.
  • the fraud of the target user is estimated.
  • FIG. 1 is a diagram showing an overall configuration of a fraud estimation system according to the present embodiment.
  • the fraud estimation system S includes service providing systems 1a to 1c and a user terminal 20, which can be connected to a network N such as the Internet.
  • Each of the service providing systems 1a to 1c is a system for providing a service to a user.
  • Each of the service providing systems 1a to 1c can provide any kind of service, and for example, an electronic payment service, a financial service, an electronic commerce service, an insurance service, a communication service, a home delivery service, a video viewing service, or the like is a user.
  • the services provided by the service providing systems 1a to 1c are described as services A to C, respectively.
  • the service providing systems 1a to 1c include servers 10a to 10c, respectively.
  • the service providing system 1 when it is not necessary to distinguish the service providing systems 1a to 1c, the service providing system 1 is simply described.
  • the server 10 is simply described.
  • the control units 11a to 11c, the storage units 12a to 12c, and the communication units 13a to 13c shown in FIG. 1 when it is not necessary to particularly distinguish the control units 11a to 11c, the storage units 12a to 12c, and the communication units 13a to 13c shown in FIG. 1, the reference numerals at the end of the alphabet are omitted.
  • the server 10 is a server computer.
  • the server 10 includes a control unit 11, a storage unit 12, and a communication unit 13.
  • the control unit 11 includes at least one processor.
  • the control unit 11 executes processing according to the programs and data stored in the storage unit 12.
  • the storage unit 12 includes a main storage unit and an auxiliary storage unit.
  • the main storage unit is a volatile memory such as RAM
  • the auxiliary storage unit is a non-volatile memory such as ROM, EEPROM, flash memory, or hard disk.
  • the communication unit 13 is a communication interface for wired communication or wireless communication, and performs data communication via the network N.
  • the user terminal 20 is a computer operated by the user.
  • the user terminal 20 is a mobile phone (including a smartphone), a mobile information terminal (including a tablet computer), a personal computer, or the like.
  • the user terminal 20 includes a control unit 21, a storage unit 22, a communication unit 23, an operation unit 24, and a display unit 25.
  • the physical configurations of the control unit 21, the storage unit 22, and the communication unit 23 may be the same as those of the control unit 11, the storage unit 12, and the communication unit 13, respectively.
  • the operation unit 24 is an input device, for example, a pointing device such as a touch panel or a mouse, a keyboard, a button, or the like.
  • the operation unit 24 transmits the operation content by the user to the control unit 21.
  • the display unit 25 is, for example, a liquid crystal display unit, an organic EL display unit, or the like.
  • the display unit 25 displays an image according to the instruction of the control unit 21.
  • the programs and data described as being stored in the storage units 12 and 22 may be supplied via the network N.
  • the hardware configuration of each computer described above is not limited to the above example, and various hardware can be applied. For example, even if a reading unit for reading a computer-readable information storage medium (for example, an optical disk drive or a memory card slot) or an input / output unit for inputting / outputting data to / from an external device (for example, a USB port) is included. Good.
  • the program or data stored in the information storage medium may be supplied to each computer via the reading unit or the input / output unit.
  • the number of service providing systems 1 may be arbitrary and is not limited to three. For example, two service providing systems 1 may exist, or four or more service providing systems may exist. Further, for example, a plurality of services may be provided by one service providing system 1. Further, the service providing system 1 may include at least one computer, for example, a plurality of servers 10 may be included, or a computer other than the server computer may be included. Further, although only one user terminal 20 is shown in FIG. 1, a plurality of user terminals 20 may exist.
  • the service providing system 1 manages a blacklist indicating an unauthorized user.
  • the fraudulent user may mean a user who actually committed fraud, or may mean a user who may commit fraud in the future.
  • a user who violates the terms of service, a user who violates the law, or a user who is at risk of these is an unauthorized user.
  • a user who commits unauthorized access, unauthorized use of a credit card, hijacking of another person's account, hacking, cracking, malicious posting, intentional mass access, or annoying to another user is an unauthorized user. Equivalent to.
  • the blacklist is a list in which user information about unauthorized users is stored.
  • a blacklist is data that can identify unauthorized users.
  • Blacklisted unauthorized users are restricted from using the service. For example, suspending the user ID (user account) itself or disabling some functions of the service corresponds to restricting the use of the service.
  • the use of the service may be restricted after the administrator's examination is performed, and additional authentication is performed for the user. After that, the use of the service may be restricted.
  • the blacklist may be manually edited by the service administrator, or may be automatically edited by analyzing the user's behavior by the service providing system 1. Further, the item of user information stored in the blacklist (hereinafter referred to as a blacklist item) may be common to all services, but in the present embodiment, the blacklist item corresponding to the service is defined. It is assumed that there is.
  • the blacklist item of service A is the IP address of the user terminal 20 and the device ID of the user terminal 20, and the blacklist of service A includes the IP address and device of the unauthorized user in service A.
  • the ID is stored.
  • the service providing system 1a determines whether or not the IP address or device ID of the user who intends to use the service A is stored in the blacklist.
  • the service providing system 1a restricts the use of the service A by the user whose IP address or device ID is stored in the blacklist. Note that the use of service A may be restricted on the condition that either the IP address or the device ID is not stored in the blacklist, but both of them are stored in the blacklist.
  • the blacklist item of the service B is the address of the user and the IP address of the user terminal 20, and the blacklist of the service B stores the address and the device ID of the unauthorized user in the service B. Will be done.
  • the service providing system 1b determines whether or not either the address or the IP address of the user who intends to use the service B is stored in the blacklist.
  • the service providing system 1b restricts the use of the service B by the user whose address or IP address is stored in the blacklist. Note that the use of service B may be restricted provided that either the address or the IP address is not stored in the blacklist, but both of them are stored in the blacklist.
  • the blacklist items of the service C are the user's name and the card number of the user's credit card
  • the blacklist of the service C includes the name and the card number of the unauthorized user in the service C. It is stored.
  • the service providing system 1c determines whether or not either the name or the card number of the user who intends to use the service C is stored in the blacklist.
  • the service providing system 1c restricts the use of the service C by the user whose name or card number is stored in the blacklist.
  • the use of service C may be restricted on the condition that either the name or the card number is not stored in the blacklist, but both of them are stored in the blacklist.
  • the service providing system 1 restricts the use of the service by unauthorized users on its own blacklist. However, even if it is not on the blacklist of the service providing system 1, there are users who commit fraud, so it may not be possible to prevent such user fraud simply by utilizing their own blacklist.
  • a fraudulent user in service C cheats by using a card number different from the card number stored in the blacklist, the other card number is not on the blacklist of service C. Fraud cannot be prevented.
  • an unauthorized user may be fraudulent in other services A and B, and user information (for example, an address) of another item registered in service C is registered in other services A and B. I have something to do. Therefore, if it can be detected that the user information of the user who uses the service C matches the user information of the unauthorized user in the other services A and B, the fraud can be prevented.
  • the fraud estimation system S whether or not a user of a certain service providing system 1 is a fraudulent user is estimated by using a blacklist of another service providing system 1.
  • the processing of the fraud estimation system S will be described by taking as an example the case where the fraud of the user who uses the service C is estimated by using the blacklist of the services A and B.
  • FIG. 2 is an explanatory diagram showing an outline of processing of the fraud estimation system S.
  • the shaded items in FIG. 2 are blacklist items.
  • the blacklist items of service A are IP addresses and device IDs
  • the blacklist items of service B are addresses and IP addresses
  • the blacklist items of service C are names and card numbers.
  • the user U who uses the service C obtains user information of a plurality of items such as a user ID, a name, an address, a telephone number, a date of birth, a card number, an IP address of the user terminal 20, and a device ID. Registered in advance.
  • the user ID may be automatically assigned by the service providing system 1c.
  • user registration is not essential, and user information such as a name and an address may be input on the spot when using the service C.
  • the service providing system 1c When the user U uses the service C, the service providing system 1c requests the service providing system 1a to compare the IP address of the user U and the device ID (blacklist item of the service A). Similarly, the service providing system 1c requests the service providing system 1b to compare the address of the user U and the IP address (blacklist item of the service B). That is, the service providing system 1c requests the service providing systems 1a and 1b to determine whether or not the user U who uses the service C is the same person as the unauthorized user in the services A and B.
  • the service providing system 1a refers to the IP address and device ID of the unauthorized user on its own blacklist, and compares it with the IP address and device ID received from the service providing system 1c.
  • the service providing system 1b refers to the address and IP address of the unauthorized user on its blacklist and compares it with the address and IP address received from the service providing system 1c.
  • Each of the service providing systems 1a and 1b transmits a comparison result (whether or not the user information such as the IP address matches) to the service providing system 1c. If the user information of the user U and the user information of the unauthorized user in the services A and B do not match, the user U is likely to be different from the unauthorized user in the services A and B. On the other hand, when the user information of the user U and the user information of the unauthorized user in the services A and B match, it is highly probable that the user U is the same as the unauthorized user in the services A and B.
  • each of the services A to C is subjected to fraud detection from a unique viewpoint, and for a service in which fraud is detected from a viewpoint significantly different from that of service C, the comparison result may not be very reliable. If the comparison results from the service providing systems 1a and 1b are trusted as they are, the judgment criteria for restricting the service become too strict, and there is a possibility that the use of the service is restricted even for users who are not illegal in the service C. ..
  • the service providing system 1c estimates the fraud of the user U by using a learning model that learns the relationship between the comparison results from the services A and B and the presence or absence of fraud in the service C. ..
  • a learning model that learns the relationship between the comparison results from the services A and B and the presence or absence of fraud in the service C. ..
  • the relationship between the usage status in the service C and the presence or absence of fraud is also learned from the learning model.
  • the learning model is a trained model.
  • the learning model is sometimes referred to as a learner, classifier, or classification learner.
  • a learning model for classifying whether or not the user U is an unauthorized user is used.
  • Various known methods can be used for machine learning itself, and for example, methods such as neural networks, reinforcement learning, or deep learning can be used.
  • Machine learning is not limited to supervised machine learning, and semi-supervised machine learning may be used, or unsupervised machine learning may be used.
  • the learning model calculates the features of the input data and classifies the data.
  • the feature quantity is a numerical value indicating the feature of the data, and is represented by, for example, an n (n is a natural number) -dimensional vector or an array consisting of n elements.
  • an algorithm for calculating the feature amount may be prepared. In this case, the learning model does not need to calculate the features, and the features calculated by the algorithm are input to the learning model.
  • the service providing system 1c inputs data indicating the usage status of the user U in the service C and the comparison results acquired from the service providing systems 1a and 1b into the learning model.
  • the learning model calculates the feature amount of the data, classifies the user U as either illegal or legitimate, and outputs the classification result.
  • the service providing system 1c estimates the fraud of the user U based on the output from the learning model.
  • the service providing system 1c presumes that the user U is not illegal in the service C, and permits the use of the service C. On the other hand, if the output from the learning model indicates fraud, the service providing system 1c presumes that the user U is fraudulent in the service C, and limits the use of the service C.
  • the fraud estimation system S of the present embodiment uses the learning model to estimate the fraud of the user U who uses the service C, thereby improving the fraud estimation accuracy.
  • the details of this technique will be described.
  • the code of the user U who is registered as a user in the service C is omitted.
  • FIG. 3 is a functional block diagram showing an example of the functions realized by the fraud estimation system S.
  • the functions realized by the service providing systems 1a and 1b and the functions realized by the service providing system 1c are different will be described.
  • the service providing systems 1a to Each of 1c may have a similar function.
  • the data storage unit 100a is mainly realized by the storage unit 12a.
  • the data storage unit 100a stores data necessary for executing the process described in this embodiment.
  • the user database DB1a of the service A and the blacklist BLa of the service A will be described.
  • FIG. 4 is a diagram showing a data storage example of the user database DB1a of the service A.
  • the user database DB1a is a database in which user information of a user registered as a user in service A is stored.
  • the user database DB1a stores a user ID that uniquely identifies a user and registration information registered by the user at the time of user registration.
  • the registration information is user information other than the user ID, and is, for example, personal information of the user.
  • the user database DB1a stores user information for each of a plurality of items.
  • the item is a type or content of user information.
  • the user database DB1a contains the user ID, name, address, telephone number, date of birth, credit card number, IP address of the user terminal 20, and the user terminal 20. Eight items of user information such as device ID are stored.
  • the user database DB1a may store user information of arbitrary items, for example, work place, job title, age, gender, nickname, face photo, SIM information of user terminal 20, password, biometric information, etc.
  • User information of items such as authentication information, e-mail address, access location information, or access date and time may be stored.
  • FIG. 5 is a diagram showing an example of data storage of the blacklist BLa of service A.
  • the two items of the IP address and the device ID are the blacklist items of the service A
  • the IP address and the device ID of the unauthorized user in the service A are stored in the blacklist BLa of the service A.
  • the administrator of service A operates his / her own terminal and registers the IP address and device ID of the unauthorized user in the blacklist BLa.
  • the service providing system 1a analyzes the user's behavior, estimates a user who matches a predetermined rule as an unauthorized user, and registers the IP address and device ID of the unauthorized user in the blacklist BLa.
  • Any rule can be applied, and the rule may be, for example, a rule regarding a payment amount, a payment frequency, an access location, or an access time.
  • the service providing system 1a may detect an unauthorized user by using a learning model for detecting the user's fraud, and register the IP address and device ID of the detected unauthorized user in the blacklist BLa.
  • the blacklist BLa may store user information of items other than the blacklist items. For example, user information (for example, name or address) of an item other than the IP address and device ID of an unauthorized user is acquired from the user database DB1a and stored in the blacklist BLa together with the IP address and device ID which are blacklist items. May be good.
  • the blacklist BLa of the IP address and the blacklist BLa of the device ID may be separate.
  • the comparison unit 101a is mainly realized by the control unit 11a.
  • the comparison unit 101a compares the user information of the target user in one service with the user information of an unauthorized user in another service.
  • One service is a service used by the target user.
  • the target user is a user who is the target of fraud estimation.
  • the target user is a user to be processed by the estimation unit 106c, which will be described later.
  • Other services are services other than one service. In other services, the same person as one service may be registered as a user.
  • service C corresponds to one service
  • services A and B correspond to other services. Therefore, the part explaining the service C in the present embodiment can be read as one service, and the part explaining the service A or the service B can be read as another service. Further, the part explaining the user who is trying to register the user in the service C can be read as the target user.
  • the comparison unit 101a compares the user information of the target user in the service C with the user information of the unauthorized user in the service A.
  • An unauthorized user in service A is a user on the blacklist BLa of service A. That is, the unauthorized user in the service A is a user whose IP address or device ID is stored in the blacklist BLa of the service A.
  • the IP address and the device ID, which are the blacklist items of the service A, are compared will be described, but the user information of any item may be compared.
  • the name and the card number, which are blacklist items of the service C may be compared, and the user information of other items that are not blacklist items in particular may be compared.
  • the case where the user information of the two items of the IP address and the device ID are compared will be described, but the number of items of the user information to be compared may be arbitrary. For example, only one item of user information may be compared, or three or more items of user information may be compared. Further, in the present embodiment, the case where the number of items to be compared in each of the services A and B is the same (two items) will be described, but the number of items to be compared and the type thereof may be different depending on the service.
  • the comparison unit 101a acquires the IP address and device ID of the target user from the service providing system 1c of the service C.
  • the comparison unit 101a acquires the IP address and device ID of the unauthorized user in the service A based on the blacklist BLa.
  • the comparison unit 101a compares the IP address and device ID of the target user in the service C with the IP address and device ID of the unauthorized user in the service A.
  • the comparison unit 101a transmits the comparison result to the service providing system 1c of the service C.
  • the comparison result may be in any data format, and is either a value indicating that the user information matches or a value indicating that the user information does not match. In the present embodiment, since the two items of the IP address and the device ID are compared, the comparison result of each of these two items is transmitted.
  • the comparison unit 101a may determine a partial match (similarity) of the user information. That is, whether or not the target user of the service C and the unauthorized user of the service A are the same person may be estimated by a partial match instead of an exact match. As the partial match, any of a prefix match, an intermediate match, and a suffix match may be determined.
  • the data storage unit 100b is mainly realized by the storage unit 12b.
  • the data storage unit 100b stores data necessary for executing the process described in this embodiment.
  • the user database DB1b of the service B and the blacklist BLb of the service B will be described.
  • FIG. 6 is a diagram showing a data storage example of the user database DB1b of the service B.
  • the user database DB1b of the service B is a database in which the user information of the user registered as a user in the service B is stored.
  • the case where the items stored in the user database DB1a of the service A and the items stored in the user database DB1b of the service B are the same will be described. Since the details of each item stored in the user database DB1b of the service B are the same as those of the user database DB1a of the service A, the description thereof will be omitted.
  • a unique user ID is issued for each service. Therefore, even if they are the same person, the user ID of the service A and the user ID of the service B are different. Further, when the same person uses a plurality of credit cards, the card number of the service A and the card number of the service B may be different. Similarly, for other items, the user information of the service A and the user information of the service B may be different even if they are the same person.
  • the items stored in the user database DB1a of the service A and the items stored in the user database DB1b of the service B may be different.
  • the address may be stored in the user database DB1a of the service A, but the address may not be stored in the user database DB1b of the service B.
  • This point is the same for service C, and in the present embodiment, when the items stored in the user database DB1c of service C and the items stored in the user databases DB1a and DB1b of services A and B are the same. However, these items may be different.
  • User information of items required for user registration may be registered in each service.
  • FIG. 7 is a diagram showing an example of data storage of the blacklist BLb of service B. As shown in FIG. 7, in the present embodiment, since the two items of the address and the IP address are the blacklist items of the service B, the address and the IP address of the unauthorized user in the service B are stored in the blacklist BLb of the service B. To.
  • the blacklist BLb of service B is different from the blacklist BLa of service A in that the blacklist items are different, and the other points are the same, so the description thereof will be omitted.
  • “Service A”, “service providing system 1a”, “IP address”, “device ID”, and “blacklist BLa” in the explanation of the blacklist BLa of service A are referred to as “service B” and “service providing system 1b”, respectively.
  • the comparison unit 101b is mainly realized by the control unit 11b.
  • the comparison unit 101b compares the user information of the target user in the service C with the user information of the unauthorized user in the service B. Since the processing of the comparison unit 101b is the same as the processing of the comparison unit 101a, the description thereof will be omitted.
  • the "service A”, “IP address”, “device ID”, “user database DB1a”, and “blacklist BLa” in the explanation of the comparison unit 101a are referred to as “service B", “address”, "IP address”, and "”, respectively. It may be read as “user database DB1b” and "blacklist BLb".
  • a data storage unit 100c As shown in FIG. 3, in the service providing system 1c, a data storage unit 100c, a reception unit 102c, a usage status acquisition unit 103c, a comparison result acquisition unit 104c, an output acquisition unit 105c, and an estimation unit 106c are realized.
  • the data storage unit 100c is mainly realized by the storage unit 12c.
  • the data storage unit 100c stores data necessary for executing the process described in this embodiment.
  • the user database DB1c of the service C the blacklist BLc of the service C, the usage status database DB2, the teacher data DT, and the learning model M will be described.
  • FIG. 8 is a diagram showing a data storage example of the user database DB1c of the service C.
  • the user database DB1c of the service C is a database in which the user information of the user registered as a user in the service C is stored.
  • the details of each item stored in the user database DB1c of the service C are the same as those of the user databases DB1a and DB1b of the services A and B, and thus the description thereof will be omitted.
  • FIG. 9 is a diagram showing an example of data storage of the blacklist BLc of service C. As shown in FIG. 9, since the name and the card number are the blacklist items of the service C in the present embodiment, the name and the card number of the unauthorized user in the service C are stored in the blacklist BLc of the service C.
  • the blacklist BLc of service C is different from the blacklist BLa of service A in that the blacklist items are different, and the other points are the same, so the description thereof will be omitted.
  • “Service A”, “service providing system 1a”, “IP address”, “device ID”, and “blacklist BLa” in the explanation of the blacklist BLa of service A are referred to as “service C” and “service providing system 1c”, respectively.
  • FIG. 10 is a diagram showing a data storage example of the usage status database DB2.
  • the usage status database DB2 is a database in which the usage status of the user in the service C is stored.
  • the usage status database DB2 may store the usage status of all users (all periods), or may store the usage status of some users (some periods).
  • the usage status is information indicating how the service C is used by the user.
  • the usage status can also be referred to as usage history or usage content.
  • the usage status shows the behavior of the user in the service C.
  • information according to the content of the service C may be stored, and in the present embodiment, the case where the service C is an electronic commerce service will be described. Therefore, in the present embodiment, the usage status can be said to be the purchase status of the product.
  • the usage status database DB2 contains a transaction ID that uniquely identifies a transaction, a user ID, a store ID that uniquely identifies a store, a product ID that uniquely identifies a product, a quantity of products, and a transaction amount. Information such as (payment amount or settlement amount) and transaction date and time is stored.
  • the usage status database DB2 is updated every time the user uses the service C.
  • the service providing system 1c issues a transaction ID when a product purchase procedure is performed at a store on the online shopping mall of service C, and the user ID of the user who performed the purchase procedure, the store ID of the store, The product ID of the product, the quantity of the product specified by the user, the unit price of the product and the transaction amount according to the quantity, and the transaction date and time, which is the current date and time, are stored in the usage status database DB2.
  • the usage status stored in the usage status database DB2 is not limited to the above example.
  • Information indicating the usage status of the service C by the user may be stored, and for example, information such as access location information or delivery destination may be stored.
  • FIG. 11 is a diagram showing a data storage example of the teacher data DT.
  • the teacher data DT is data used in learning a learning model.
  • the teacher data DT is the data for adjusting the parameters of the learning model.
  • the teacher data DT is sometimes referred to as training data or training data.
  • the teacher data DT is data in which data in the same format as the input data and the output that is the correct answer are paired.
  • the output is either a value indicating fraud or a value indicating legitimacy.
  • the teacher data DT is created by the administrator of the service C, and the presence or absence of fraud is determined by the administrator. That is, the administrator determines whether or not the user corresponding to the input portion of the teacher data DT actually cheated, and the value of the output portion of the teacher data DT is determined.
  • a pair of a user's usage status for example, transaction amount and transaction frequency
  • a comparison result in services A and B for example, a comparison result in services A and B
  • a fraud flag indicating the presence or absence of fraud Is stored.
  • the usage status and comparison result are inputs (questions), and the invalid flag is an output (answer).
  • the fraud flag is information indicating whether or not it is fraudulent.
  • a fraud flag of "1” means fraud
  • a fraud flag of "0” means legitimate.
  • the comparison result is "1”
  • the comparison result is "0”
  • the data storage unit 100c stores the program (algorithm) and parameters of the learning model M.
  • the learning model M has already learned the teacher data DT.
  • various methods used in supervised machine learning such as neural networks can be used, and the parameters of the learning model M are adjusted so that the input-output relationship indicated by the teacher data DT can be obtained. Will be done.
  • the learning model M calculates the feature amount of the input data and outputs a value indicating the classification result.
  • the learning model M Since the learning model M classifies the user as either illegal or legitimate, it outputs a value of either illegal or legitimate.
  • the learning model M may output a score indicating the probability (probability) of classification. In this case, the learning model M may output at least one of a score indicating the probability of being incorrect and a score indicating the probability of being valid.
  • the classification result by the learning model M is sometimes called a label. In this case, the output is the label ID that identifies the label.
  • the learning model M the relationship between the comparison result between the user information of the user in the service C and the user information of the unauthorized user in the services A and B and the presence / absence of the fraud in the service C is learned.
  • each of the services A and B corresponds to another service, and there are a plurality of other services. Therefore, the learning model M includes a plurality of comparison results corresponding to each of the plurality of other services and one. The relationship between the presence or absence of fraud in the service of is learned. It should be noted that the learning model M may have only one or three or more comparison results of any number of other services as long as they have been learned.
  • the relationship between the usage status in the service C and the presence / absence of fraud is also shown in the teacher data DT. Therefore, the learning model M includes the usage status in the service C and the presence / absence of fraud in the service C. The relationship of, is also learned. Further, in the present embodiment, user information of a plurality of items is registered in the service C and the services A and B, and the learning model M contains a plurality of comparison results corresponding to the plurality of items and the fraud in the service C. The relationship between presence and absence is being learned. In the learning model M, it is sufficient that the comparison result of an arbitrary number of items is learned, the comparison result of only one item may be learned, or the comparison result of three or more red hairs is learned. May be good.
  • the learning model M learns the relationship between the comparison result of the user information of the predetermined item and the presence or absence of fraud in the service C. .. That is, in the learning model M, the relationship between the comparison result of the blacklist items in the services A and B and the presence / absence of fraud in the service C is learned.
  • the reference numerals of the learning model M will be omitted.
  • the reception unit 102c is mainly realized by the control unit 11c.
  • the reception unit 102c receives a request for use of the service C by the target user.
  • the usage request is a request transmitted to use the service C.
  • the usage request may include arbitrary information, for example, user information of an arbitrary item related to the target user, or the content of the service that the target user wants to use.
  • the service C is an electronic commerce service
  • the usage request includes information (for example, product ID and quantity) regarding the product purchased by the target user.
  • the reception unit 102c receives a usage request from the user terminal 20 by receiving information input by the user using the operation unit 24.
  • the usage status acquisition unit 103c is mainly realized by the control unit 11c.
  • the usage status acquisition unit 103c acquires the usage status of the service C by the target user.
  • the usage status acquisition unit 103c since the usage status is stored in the usage status database DB2, the usage status acquisition unit 103c refers to the usage status database DB2 stored in the data storage unit 100c and acquires the usage status. Since the information corresponding to the usage status may be included in the usage request, the usage status acquisition unit 103c acquires the usage status by referring to the usage request received from the user terminal 20. May be good.
  • the usage status acquired by the usage status acquisition unit 103c may be arbitrary, but in the present embodiment, fraud is estimated based on the user information of the blacklist item in the service C, so that the usage status is determined.
  • the blacklist item is an example of a predetermined item according to the present invention. Therefore, the part described as a blacklist item (for example, IP address or device ID in service A, address or IP address in service B, name or card number in service C) in the present embodiment can be read as a predetermined item. it can.
  • the whitelist item in the modification described later may correspond to a predetermined item.
  • the usage status related to the blacklist item is the usage status related to the blacklist item. For example, if the blacklist item is a card number, information related to payment such as transaction amount and transaction frequency becomes the usage status.
  • the transaction amount is the amount per transaction.
  • the transaction frequency is the number of transactions in a certain period (for example, about one day to several months).
  • the blacklist item is a user ID
  • the number and frequency of logins with the same user ID will be the usage status.
  • the usage status is the number and frequency of service applications with the same name.
  • the usage status related to the item may be acquired.
  • the comparison result acquisition unit 104c is mainly realized by the control unit 11c.
  • the comparison result acquisition unit 104c acquires the comparison result between the user information of the target user in the service C and the user information of the unauthorized user in the services A and B.
  • each of the services A and B corresponds to another service, and there are a plurality of other services. Therefore, the comparison result acquisition unit 104c acquires a plurality of comparison results corresponding to each of the plurality of other services. To do.
  • the comparison result acquisition unit 104c acquires a plurality of comparison results corresponding to each of the plurality of items.
  • the comparison result acquisition unit 104c acquires the comparison result of each of the plurality of items. For example, in the service A, since the IP address and the device ID are blacklist items, the comparison result acquisition unit acquires the comparison result of each of the IP address and the device ID. Further, in the service B, since the address and the IP address are blacklist items, the comparison result acquisition unit acquires the comparison result of each of the address and the IP address.
  • the comparison process is not executed in the service C, but the user information of the target user in the service C and the user information of the unauthorized user in the other service are compared in the services A and B.
  • the comparison result acquisition unit 104c acquires the comparison result from the services A and B. That is, when the comparison result acquisition unit 104c acquires the comparison result, the card numbers of the services A and B are not transmitted in the network N.
  • the comparison result acquisition unit 104c acquires the comparison result corresponding to the services A and B for each of the services A and B.
  • the output acquisition unit 105c is mainly realized by the control unit 11c.
  • the output acquisition unit 105c acquires the output of the learning model based on the comparison result acquired by the comparison result acquisition unit 104c.
  • each of the services A and B corresponds to another service, and there are a plurality of other services. Therefore, the output acquisition unit 105c acquires the output of the learning model based on the plurality of comparison results. Further, in the present embodiment, since the usage status in the service C is also used, the output acquisition unit acquires the output of the learning model based on the usage status by the target user.
  • the output acquisition unit 105c inputs input data indicating the usage status acquired by the usage status acquisition unit 103c and each of the plurality of comparison results acquired by the comparison result acquisition unit 104c into the learning model.
  • the input data has the same format as the input portion of the teacher data DT shown in FIG.
  • the learning model calculates the features of the input data and outputs a classification result indicating whether the input data is invalid or valid.
  • the output acquisition unit 105c acquires the output classification result.
  • the estimation unit 106c is mainly realized by the control unit 11c.
  • the estimation unit 106c estimates the fraud of the target user based on the output of the learning model.
  • the estimation is to determine or determine whether or not the target user is an unauthorized user.
  • the estimation result by the estimation unit 106c may be the final result of whether or not the user is an unauthorized user, or may be left to the judgment by the administrator thereafter.
  • the estimation unit 106c refers to the output of the learning model, estimates that the target user is illegal if the classification result indicates fraud, and estimates that the target user is valid if the classification result indicates legitimacy.
  • fraud is presumed when the user uses the service, so the target user is a user who has already registered as a user or a user who has entered user information on the spot when using the service.
  • the user registration is to register the user information in the service C in order to start using the service C.
  • User registration is sometimes referred to as usage registration or service registration.
  • the estimation unit 106c estimates the fraud of the target user when the service C is used by the target user.
  • the case where service C is used is when the usage request is received or at any time thereafter.
  • the estimation unit 106c estimates the fraud of the target user after the user registration is completed.
  • the estimation unit 106c may estimate the fraud of the target user before the user registration is completed.
  • Processing executed in the fraud estimation system 12 and 13 are flow charts showing an example of processing executed in the fraud estimation system S.
  • the processes shown in FIGS. 12 and 13 are executed by the control units 11 and 21 operating according to the programs stored in the storage units 12 and 22, respectively.
  • the process described below is an example of the process executed by the functional block shown in FIG.
  • the control unit 21 transmits an access request for the service C usage screen to the service providing system 1c (S1).
  • the usage screen is a screen for using the service C, for example, a product page for purchasing a product.
  • the access request is transmitted at an arbitrary timing such as when the URL of the usage screen is selected.
  • the control unit 11c transmits the display data of the usage screen to the user terminal 20 (S2).
  • the display data may be in any data format, for example, HTML data. It is assumed that the display data of the usage screen is stored in advance in the storage unit 12c.
  • the control unit 21 causes the display unit 25 to display the usage screen based on the display data (S3).
  • the usage screen is displayed in S3, the user operates the operation unit 24 to input the usage content of the service C.
  • the user specifies the quantity of goods displayed on the product page. It is assumed that the user has logged in to the service C in advance and the user ID is stored in the user terminal 20.
  • the service C can be used without user registration, the user inputs his / her own user information at this stage.
  • the control unit 21 transmits a usage request to the service providing system 1c (S4). It is assumed that the usage request includes information such as the quantity of products input by the user and user information such as a user ID. The usage request may be sent when a button for purchasing the product is selected.
  • the control unit 11c when the usage request is received, the control unit 11c refers to the user database DB1c to acquire the user's name and card number, and whether or not these are stored in the blacklist BLc of the service C. Is determined (S5). In S5, the control unit 11c uses the user's name and the card number as a query to search the blacklist BLc of the service C. If the user selects another payment such as bank transfer, the card number does not have to be referred to. Further, the determination in S5 may be executed when the access request is received in S2.
  • the control unit 11c When it is determined that the name or card number is stored in the blacklist BLc (S5; Y), the control unit 11c presumes that the user is illegal and restricts the use of the service (S6). In S6, the control unit 11c refuses to use the service and restricts the user from using the service. In this case, a message such as "The service cannot be used with this card number" may be displayed on the user terminal 20. Alternatively, for example, the control unit 11c may suspend the use of the service and send a notification asking the administrator of the service C whether or not to allow the user registration. In this case, if permission is obtained from the administrator of service C, user registration is permitted.
  • the process proceeds to FIG. 13, and the control unit 11c receives the service providing systems 1a and 1b based on the user database DB1c.
  • Request the comparison process of user information (S7).
  • the request for the comparison process may be made by transmitting the data in a predetermined format, and the user information of the item to be compared is included.
  • the control unit 11c transmits the IP address and device ID of the user who requested the use to the service providing system 1a, and transmits the address and IP address of the user who requested the use to the service providing system 1b. It is assumed that the information that specifies which item of user information is to be transmitted to which service providing system 1 is stored in advance in the storage unit 12c.
  • the control unit 11a When the service providing system 1a receives the IP address and the device ID, the control unit 11a refers to the blacklist BLa of the service A (S8), and each of the received IP address and the device ID and the IP of the blacklist BLa Each of the address and the device ID is compared (S9). In S9, the control unit 11a determines whether or not they match.
  • the control unit 11a transmits the comparison result in S9 to the service providing system 1c (S10).
  • the control unit 11a transmits a comparison result indicating that each of the IP address and the device ID matches, or a comparison result indicating that they do not match, based on the processing result of S9. .. That is, the control unit 11a transmits a comparison result indicating whether or not there is an unauthorized user whose IP address and device ID match.
  • the control unit 11b when the address and the IP address are received, the control unit 11b refers to the blacklist BLb of the service B (S11), and each of the received address and the IP address and the address of the blacklist BLb. And each of the IP addresses are compared (S12). In S12, the control unit 11b determines whether or not they match.
  • the control unit 11b transmits the comparison result in S12 to the service providing system 1c (S13).
  • the control unit 11a transmits, for each of the address and the IP address, a comparison result indicating that they match, or a comparison result indicating that they do not match, based on the processing result of S12. That is, the control unit 11b transmits a comparison result indicating whether or not there is an unauthorized user whose address and IP address match.
  • the control unit 11c acquires the usage status based on the usage status database DB2, and the learning model together with the received comparison result. Is input to and the output of the training model is acquired (S15). In S15, the control unit 11c acquires the usage status such as the transaction amount and the transaction frequency of the user based on the usage request received from the user terminal 20 and the usage status database DB2. The control unit 11c inputs the input data including the acquired usage status and the received comparison result into the learning model, and acquires the output from the learning model.
  • the control unit 11c determines whether or not the output of the learning model indicates an unauthorized user (S16). When it is determined that the user is an unauthorized user (S16; Y), it is presumed that the user is illegal, the process proceeds to S6, and the use of the service is restricted. On the other hand, when it is determined that the output of the learning model indicates a legitimate user (S16; N), the control unit 11c permits the use of the service (S17), and this process ends. In S17, the user is presumed to be legitimate and the service is provided to the user.
  • the output of the learning model is acquired and targeted based on the comparison result between the user information of the target user in the service C and the user information of the fraudulent user in the services A and B.
  • the accuracy of estimating the fraud can be improved.
  • the target user is registered as an unauthorized user in the services A and B, the fraud of the target user can be estimated. It is possible to prevent fraudulent users from fraudulently. Further, for example, by using a learning model in which the relationship between service C and services A and B is comprehensively learned, it is possible to prevent excessively strict security.
  • the fraud estimation system S estimates the fraud of the user by acquiring the output of the learning model and estimating the fraud of the target user based on the plurality of comparison results corresponding to the plurality of services A and B, respectively.
  • the accuracy can be effectively improved, and the security in the service C can be further improved.
  • the target user did not cheat on a specific other service. Even so, if the target user is cheating on another service, the fraud of the target user can be estimated.
  • the relationship with service C differs depending on services A and B, by considering a learning model in which services A and B are comprehensively learned, the accuracy of estimating fraud is improved and the security becomes excessively strict. It can be effectively prevented from being lost.
  • the relationship between the usage status in the service C and the presence / absence of fraud in the services A and B is also learned by the learning model, and the learning model is output based on the usage status by the target user.
  • the fraud estimation system S acquires the output of the learning model based on the usage status of the blacklist item of the service C, and considers the usage status more important for the service C to improve the accuracy of estimating the fraud of the user. It can be effectively enhanced, and the security in service C can be further improved.
  • the fraud estimation system S the relationship between the plurality of comparison results corresponding to each of the plurality of items and the presence / absence of fraud in the service C is learned by the learning model, and the plurality of comparison results corresponding to the plurality of items are obtained. Based on this, by acquiring the output of the learning model and estimating the fraud from a more multifaceted perspective, the accuracy of estimating the fraud of the user can be effectively improved, and the security in the service C can be further improved. it can.
  • the relationship between the comparison result of the user information of the blacklist items of services A and B and the presence or absence of fraud in service C is learned by the learning model, and the blacklist of services A and B is learned.
  • the user information comparison process is executed in the service providing systems 1a and 1b, and the service providing system 1c acquires the comparison result from the service providing systems 1a and 1b, so that the user information of the services A and B is transmitted to the network N. Therefore, it is possible to prevent the leakage of personal information of services A and B. Further, since the service providing system 1c does not execute the comparison process, the processing load of the service providing system 1c can be reduced.
  • the fraud estimation system S can prevent an unauthorized user from using the service by estimating the fraud of the target user when the service C is used.
  • the blacklist items of services A and B are compared has been described, but items other than the blacklist items of services A and B may be compared.
  • items that are blacklist items of service C and are not blacklist items of services A and B may be compared.
  • items that are not blacklist items of any of services A to C may be compared.
  • the blacklist item corresponds to the first item according to the invention of the modified example (1).
  • the learning model the relationship between the comparison result of the user information of the second item and the presence or absence of fraud in the service C is learned.
  • the second item is an item different from the first item and is not a blacklist item for services A and B.
  • the second item is a card number, a telephone number, and the like. In this modification, the case where the card number corresponds to the second item will be described.
  • the comparison unit 101a refers to the user database DB1a and acquires the card number of the unauthorized user.
  • the comparison unit 101a will acquire the IP address or the card number associated with the device ID stored in the blacklist BLa.
  • the comparison unit 101a may obtain the card number of the unauthorized user by referring to the blacklist BLa.
  • the comparison unit 101b of the service B may also refer to the user database DB1b to acquire the card number of the unauthorized user. Since the comparison process itself is the same as that of the embodiment, the description thereof will be omitted.
  • the comparison result acquisition unit 104c acquires the comparison result of the card number.
  • the method of obtaining the comparison result is the same as that of the embodiment.
  • the processing of the estimation unit 106c is the same as that of the embodiment.
  • the target user is fraudulent based on the comparison result between the card number of the target user in the service C and the card number of the fraudulent user in the services A and B whose card number is not a blacklist item.
  • the accuracy of estimating fraud can be effectively improved, and the security in the service C can be further improved.
  • the blacklist BLa of the services A and B Since the fraud of the target user can be estimated using BLb, the fraud of the fraudulent user in the service C can be prevented in advance.
  • the service providing system 1 prepares a white list instead of a black list.
  • the white list is a list in which user information about legitimate users is stored.
  • a whitelist is a list that contains information that can identify legitimate users. Legitimate users on the whitelist are not restricted from using the service.
  • the whitelist may be manually edited by the service administrator, or may be automatically edited by the service providing system 1 analyzing the user's behavior. Further, the item of user information stored in the whitelist (hereinafter referred to as a whitelist item) may be common to all services, but in the present embodiment, the whitelist item corresponding to the service is defined. It is assumed that there is.
  • the relationship between the comparison result between the user information of the user in the service C and the user information of the legitimate user in the services A and B and the presence or absence of fraud in the service C is learned.
  • the teacher data DT is data indicating a pair of these relationships.
  • the description of "illegal user” may be read as "legitimate user” as described in the embodiment.
  • the comparison result acquisition unit 104c of this modification acquires the comparison result between the user information of the target user in the service C and the user information of the legitimate user in the services A and B.
  • the comparison result is either a value indicating that it matches the user information of the legitimate user or a value indicating that it does not match the user information of the legitimate user.
  • the processing of the output acquisition unit 105c and the processing of the estimation unit 106c are also as described in the embodiment, and the description of "illegal user" may be read as "legitimate user".
  • the accuracy of estimating the fraud of the user can be improved by estimating the fraud of the target user in the service C by using the whitelist in the services A and B, and the security in the service C. Can be further improved.
  • the comparison result acquisition unit 104c may acquire the comparison result with the user information of the unauthorized user or the legitimate user in the other service, and may acquire only the comparison result of any one of them, or these You may get the comparison result of both. That is, at least one of the blacklist and the whitelist in other services may be used so that the fraud of the target user can be presumed.
  • the case where the user databases DB1a to DB1c are prepared for each service has been described, but a common user database may be prepared for all services.
  • any item can be set as the blacklist item, and an item with a high probability of being used when fraudulently committing a service may be set as a blacklist item.
  • the number of other services is not limited to two, and may be only one or three or more.
  • the usage status of the service C is learned by the learning model has been described, but the usage status of the service C does not have to be particularly learned by the learning model.
  • the fraud of the target user is presumed without using the usage status of the service C.
  • the case where fraud is presumed when using the service has been described, but fraud at any other timing may be presumed.
  • it does not have to be the case where the user particularly uses the service and fraud may be presumed at the timing specified by the administrator of the service C.
  • the service providing system 1c may specify the service in which the item to be compared is registered, and request the service providing system 1 of the specified service to perform the comparison process. In this case, it is assumed that the information indicating which item of user information is registered in which service is registered in the service providing system 1c.
  • the service providing system 1a has the same function as the service providing system 1c described in the embodiment, and the service providing system 1c has the same function as the comparison units 101a and 101b of the service providing systems 1a and 1b. ..
  • the service providing system 1a transmits the user information of the target user who registers the user of the service A to the service providing systems 1b and 1c, and acquires the comparison result from the service providing systems 1b and 1c.
  • the service providing system 1a inputs the comparison result into the learning model and estimates the fraud of the target user.
  • the service providing system 1b has the same function as the service providing system 1c described in the embodiment, and the service providing system 1c has the same function as the comparison units 101a and 101b of the service providing systems 1a and 1b. ..
  • the service providing system 1b transmits the user information of the target user who registers the user of the service B to the service providing systems 1a and 1c, and acquires the comparison result from the service providing systems 1a and 1c.
  • the service providing system 1b inputs the comparison result into the learning model and estimates the fraud of the target user.
  • all service providing systems 1 may have the same function.
  • the blacklist item is defined for each service has been described, but the blacklist item may be common to a plurality of services.
  • all blacklist items of services AC may be card numbers.
  • the comparison units 101a and 101b may acquire the user information to be compared by referring to the blacklist without particularly referring to the user databases DB1a and DB1b.
  • the service providing systems 1a and 1b may be a system outside the fraud estimation system S.
  • each function may be shared by a plurality of computers.
  • the functions may be shared by each of the server 10 and the user terminal 20.
  • the fraud estimation system S includes a plurality of server computers
  • the functions may be shared by the plurality of server computers.
  • the data described as being stored in the data storage units 100a to 100c may be stored by a computer other than the server 10.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Business, Economics & Management (AREA)
  • Computing Systems (AREA)
  • Accounting & Taxation (AREA)
  • Computer Hardware Design (AREA)
  • Mathematical Physics (AREA)
  • Artificial Intelligence (AREA)
  • Evolutionary Computation (AREA)
  • Data Mining & Analysis (AREA)
  • Computational Linguistics (AREA)
  • General Health & Medical Sciences (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Business, Economics & Management (AREA)
  • Strategic Management (AREA)
  • Finance (AREA)
  • Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Molecular Biology (AREA)
  • Bioethics (AREA)
  • Databases & Information Systems (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Biophysics (AREA)
  • Biomedical Technology (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

不正推定システム（Ｓ）の記憶手段（１００ｃ）は、一のサービスにおけるユーザのユーザ情報と他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報との比較結果と、一のサービスにおける不正の有無と、の関係が学習された学習モデルを記憶する。比較結果取得手段（１０４ｃ）は、一のサービスにおける対象ユーザのユーザ情報と、他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報と、の比較結果を取得する。出力取得手段（１０５ｃ）は、比較結果に基づいて、学習モデルの出力を取得する。推定手段（１０６ｃ）は、学習モデルの出力に基づいて、対象ユーザの不正を推定する。

Description

不正推定システム、不正推定方法、及びプログラム
　本発明は、不正推定システム、不正推定方法、及びプログラムに関する。
　従来、インターネット等で提供されるサービスにおけるユーザの不正を推定する技術が検討されている。例えば、特許文献１には、不正とされたユーザを示すブラックリストを管理するシステムにおいて、新規登録するユーザのウェブサイトの閲覧履歴などの行動履歴を取得し、ブラックリスト内のユーザの行動履歴と比較して、新規登録するユーザの信用度を推定することが記載されている。
特開２０１８－０４５５７３号公報
　しかしながら、不正をするユーザの行動には種々の傾向があり、新規登録をするユーザが不正をするおそれがあったとしても、ブラックリスト内のユーザの行動履歴に似ているとは限らない。特許文献１の技術では、ブラックリスト内のユーザと似た行動をするユーザしか検出することができず、不正推定の精度を十分に高めることができなかった。
　本発明は上記課題に鑑みてなされたものであって、その目的は、推定精度を高めることが可能な不正推定システム、不正推定方法、及びプログラムを提供することである。
　上記課題を解決するために、本発明に係る不正推定システムは、一のサービスにおけるユーザのユーザ情報と他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報との比較結果と、前記一のサービスにおける不正の有無と、の関係が学習された学習モデルを記憶する記憶手段と、前記一のサービスにおける対象ユーザのユーザ情報と、前記他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報と、の比較結果を取得する比較結果取得手段と、前記比較結果に基づいて、前記学習モデルの出力を取得する出力取得手段と、前記学習モデルの出力に基づいて、前記対象ユーザの不正を推定する推定手段と、を含むことを特徴とする。
　本発明に係る不正推定方法は、一のサービスにおける対象ユーザのユーザ情報と、他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報と、の比較結果を取得する比較結果取得ステップと、前記比較結果に基づいて、前記一のサービスにおけるユーザのユーザ情報と前記他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報との比較結果と、前記一のサービスにおける不正の有無と、の関係が学習された学習モデルの出力を取得する出力取得ステップと、前記学習モデルの出力に基づいて、前記対象ユーザの不正を推定する推定ステップと、を含むことを特徴とする。
　本発明に係るプログラムは、一のサービスにおける対象ユーザのユーザ情報と、他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報と、の比較結果を取得する比較結果取得手段、前記比較結果に基づいて、前記一のサービスにおけるユーザのユーザ情報と前記他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報との比較結果と、前記一のサービスにおける不正の有無と、の関係が学習された学習モデルの出力を取得する出力取得手段、前記学習モデルの出力に基づいて、前記対象ユーザの不正を推定する推定手段、としてコンピュータを機能させる。
　本発明の一態様によれば、前記学習モデルには、複数の他のサービスにそれぞれ対応する複数の比較結果と、前記一のサービスにおける不正の有無と、の関係が学習されており、前記比較結果取得手段は、前記複数の他のサービスにそれぞれ対応する複数の比較結果を取得し、前記出力取得手段は、前記複数の比較結果に基づいて、前記学習モデルの出力を取得する、ことを特徴とする。
　本発明の一態様によれば、前記学習モデルには、前記一のサービスにおける利用状況と、前記一のサービスにおける不正の有無と、の関係も学習されており、前記不正推定システムは、前記対象ユーザによる前記一のサービスの利用状況を取得する利用状況取得手段を更に含み、前記出力取得手段は、前記対象ユーザによる利用状況に基づいて、前記学習モデルの出力を取得する、ことを特徴とする。
　本発明の一態様によれば、前記一のサービスでは、所定項目のユーザ情報に基づいて不正が推定され、前記利用状況は、前記所定項目に関する利用状況である、ことを特徴とする。
　本発明の一態様によれば、前記一のサービス及び前記他のサービスでは、複数項目のユーザ情報が登録され、前記学習モデルには、前記複数項目にそれぞれ対応する複数の比較結果と、前記一のサービスにおける不正の有無と、の関係が学習されており、前記比較結果取得手段は、前記複数項目にそれぞれ対応する複数の比較結果を取得し、前記出力取得手段は、前記複数の比較結果に基づいて、前記学習モデルの出力を取得する、ことを特徴とする。
　本発明の一態様によれば、前記他のサービスでは、所定項目のユーザ情報に基づいて不正が推定され、前記学習モデルには、前記所定項目のユーザ情報の比較結果と、前記一のサービスにおける不正の有無と、の関係が学習されており、前記比較結果取得手段は、前記所定項目の比較結果を取得する、ことを特徴とする。
　本発明の一態様によれば、前記他のサービスでは、第１項目のユーザ情報に基づいて不正が推定され、前記学習モデルには、第２項目のユーザ情報の比較結果と、前記一のサービスにおける不正の有無と、の関係が学習されており、前記比較結果取得手段は、前記第２項目の比較結果を取得する、ことを特徴とする。
　本発明の一態様によれば、前記他のサービスでは、前記一のサービスにおける対象ユーザのユーザ情報と、前記他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報と、が比較され、前記比較結果取得手段は、前記他のサービスから比較結果を取得する、ことを特徴とする。
　本発明の一態様によれば、前記不正推定システムは、前記対象ユーザによる前記一のサービスの利用要求を受け付ける受付手段を更に含み、前記推定手段は、前記対象ユーザにより前記一のサービスが利用される場合に、前記対象ユーザの不正を推定する、ことを特徴とする。
　本発明によれば、推定精度を高めることが可能となる。
本実施形態に係る不正推定システムの全体構成を示す図である。 不正推定システムの処理の概要を示す説明図である。 不正推定システムで実現される機能の一例を示す機能ブロック図である。 サービスＡのユーザデータベースのデータ格納例を示す図である。 サービスＡのブラックリストのデータ格納例を示す図である。 サービスＢのユーザデータベースのデータ格納例を示す図である。 サービスＢのブラックリストのデータ格納例を示す図である。 サービスＣのユーザデータベースのデータ格納例を示す図である。 サービスＣのブラックリストのデータ格納例を示す図である。 利用状況データベースのデータ格納例を示す図である。 教師データのデータ格納例を示す図である。 不正推定システムにおいて実行される処理の一例を示すフロー図である。 不正推定システムにおいて実行される処理の一例を示すフロー図である。
［１．不正推定システムの全体構成］
　以下、本発明に係る不正推定システムの実施形態の例を説明する。図１は、本実施形態に係る不正推定システムの全体構成を示す図である。図１に示すように、不正推定システムＳは、サービス提供システム１ａ～１ｃとユーザ端末２０とを含み、これらは、インターネットなどのネットワークＮに接続可能である。
　サービス提供システム１ａ～１ｃの各々は、ユーザにサービスを提供するためのシステムである。サービス提供システム１ａ～１ｃの各々は、任意の種類のサービスを提供可能であり、例えば、電子決済サービス、金融サービス、電子商取引サービス、保険サービス、通信サービス、宅配サービス、又は動画視聴サービス等がユーザに提供される。本実施形態では、サービス提供システム１ａ～１ｃが提供するサービスを、それぞれサービスＡ～Ｃと記載する。
　例えば、サービス提供システム１ａ～１ｃは、それぞれサーバ１０ａ～１０ｃを含む。なお、以降の説明では、サービス提供システム１ａ～１ｃを特に区別する必要のないときは、単にサービス提供システム１と記載する。同様に、サーバ１０ａ～１０ｃを特に区別する必要のないときは、単にサーバ１０と記載する。同様に、図１に示す制御部１１ａ～１１ｃ、記憶部１２ａ～１２ｃ、及び通信部１３ａ～１３ｃを特に区別する必要のないときは、末尾のアルファベットの符号を省略する。
　サーバ１０は、サーバコンピュータである。サーバ１０は、制御部１１、記憶部１２、及び通信部１３を含む。制御部１１は、少なくとも１つのプロセッサを含む。制御部１１は、記憶部１２に記憶されたプログラムやデータに従って処理を実行する。記憶部１２は、主記憶部及び補助記憶部を含む。例えば、主記憶部は、ＲＡＭなどの揮発性メモリであり、補助記憶部は、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリ、又はハードディスクなどの不揮発性メモリである。通信部１３は、有線通信又は無線通信用の通信インタフェースであり、ネットワークＮを介してデータ通信を行う。
　ユーザ端末２０は、ユーザが操作するコンピュータである。例えば、ユーザ端末２０は、携帯電話機（スマートフォンを含む）、携帯情報端末（タブレット型コンピュータを含む）、又はパーソナルコンピュータ等である。本実施形態では、ユーザ端末２０は、制御部２１、記憶部２２、通信部２３、操作部２４、及び表示部２５を含む。制御部２１、記憶部２２、及び通信部２３の物理的構成は、それぞれ制御部１１、記憶部１２、及び通信部１３と同様であってよい。
　操作部２４は、入力デバイスであり、例えば、タッチパネルやマウス等のポインティングデバイス、キーボード、又はボタン等である。操作部２４は、ユーザによる操作内容を制御部２１に伝達する。表示部２５は、例えば、液晶表示部又は有機ＥＬ表示部等である。表示部２５は、制御部２１の指示に従って画像を表示する。
　なお、記憶部１２，２２に記憶されるものとして説明するプログラム及びデータは、ネットワークＮを介して供給されるようにしてもよい。また、上記説明した各コンピュータのハードウェア構成は、上記の例に限られず、種々のハードウェアを適用可能である。例えば、コンピュータ読み取り可能な情報記憶媒体を読み取る読取部（例えば、光ディスクドライブやメモリカードスロット）や外部機器とデータの入出力をするための入出力部（例えば、ＵＳＢポート）が含まれていてもよい。例えば、情報記憶媒体に記憶されたプログラムやデータが読取部や入出力部を介して、各コンピュータに供給されるようにしてもよい。
　また、サービス提供システム１の数は、任意であってよく、３つに限られない。例えば、２つのサービス提供システム１が存在してもよいし、４つ以上のサービス提供システムが存在してもよい。また例えば、１つのサービス提供システム１によって、複数のサービスが提供されてもよい。また、サービス提供システム１には、少なくとも１つのコンピュータが含まれていればよく、例えば、複数のサーバ１０が含まれていてもよいし、サーバコンピュータ以外のコンピュータが含まれていてもよい。また、図１では、ユーザ端末２０を１つだけ示したが、複数のユーザ端末２０が存在してもよい。
［２．不正推定システムの概要］
　本実施形態では、サービス提供システム１は、不正ユーザを示すブラックリストを管理する。
　不正ユーザは、実際に不正を働いたユーザを意味してもよいし、将来的に不正を働く恐れのあるユーザを意味してもよい。例えば、サービス規約に違反する行為をしたユーザ、法律に違反する行為をしたユーザ、又はこれらの恐れがあるユーザは、不正ユーザに相当する。また例えば、不正アクセス、クレジットカードの不正利用、他人のアカウントの乗っ取り、ハッキング、クラッキング、悪意のある投稿、意図的な大量のアクセス、又は他のユーザへの迷惑行為をしたユーザは、不正ユーザに相当する。
　ブラックリストは、不正ユーザに関するユーザ情報が格納されたリストである。別の言い方をすれば、ブラックリストは、不正ユーザを識別可能なデータである。ブラックリストに載った不正ユーザは、サービスの利用が制限される。例えば、ユーザＩＤ（ユーザアカウント）自体が停止すること、又は、サービスの一部の機能を使用不可にすることは、サービスの利用を制限することに相当する。なお、不正が推定された場合に、直ちにサービスの利用が制限される必要はなく、管理者の審査が行われた後にサービスの利用が制限されてもよいし、ユーザに対する追加の認証が行われた後にサービスの利用が制限されてもよい。
　ブラックリストは、サービスの管理者によって手動で編集されてもよいし、サービス提供システム１によりユーザの行動が解析されることによって自動的に編集されてもよい。また、ブラックリストに格納されるユーザ情報の項目（以降、ブラックリスト項目という。）は、全サービスで共通であってもよいが、本実施形態では、サービスに応じたブラックリスト項目が定められているものとする。
　例えば、サービスＡのブラックリスト項目は、ユーザ端末２０のＩＰアドレスと、ユーザ端末２０のデバイスＩＤと、の２つであり、サービスＡのブラックリストには、サービスＡにおける不正ユーザのＩＰアドレスとデバイスＩＤが格納される。サービス提供システム１ａは、サービスＡを利用しようとしているユーザのＩＰアドレス又はデバイスＩＤがブラックリストに格納されているか否かを判定する。サービス提供システム１ａは、ＩＰアドレス又はデバイスＩＤがブラックリストに格納されているユーザによるサービスＡの利用を制限する。なお、ＩＰアドレス又はデバイスＩＤの何れかがブラックリストに格納されていることではなく、これらの両方がブラックリストに格納されていることを条件として、サービスＡの利用が制限されてもよい。
　また例えば、サービスＢのブラックリスト項目は、ユーザの住所と、ユーザ端末２０のＩＰアドレスと、の２つであり、サービスＢのブラックリストには、サービスＢにおける不正ユーザの住所とデバイスＩＤが格納される。サービス提供システム１ｂは、サービスＢを利用しようとしているユーザの住所又はＩＰアドレスの何れかがブラックリストに格納されているか否かを判定する。サービス提供システム１ｂは、住所又はＩＰアドレスの何れかがブラックリストに格納されているユーザによるサービスＢの利用を制限する。なお、住所又はＩＰアドレスの何れかがブラックリストに格納されていることではなく、これらの両方がブラックリストに格納されていることを条件として、サービスＢの利用が制限されてもよい。
　また例えば、サービスＣのブラックリスト項目は、ユーザの名前と、ユーザのクレジットカードのカード番号と、の２つであり、サービスＣのブラックリストには、サービスＣにおける不正ユーザの名前とカード番号が格納される。サービス提供システム１ｃは、サービスＣを利用しようとしているユーザの名前又はカード番号の何れかがブラックリストに格納されているか否かを判定する。サービス提供システム１ｃは、名前又はカード番号の何れかがブラックリストに格納されているユーザによるサービスＣの利用を制限する。なお、名前又はカード番号の何れかがブラックリストに格納されていることではなく、これらの両方がブラックリストに格納されていることを条件として、サービスＣの利用が制限されてもよい。
　上記のように、サービス提供システム１は、自身のブラックリストに載っている不正ユーザによるサービスの利用を制限する。しかしながら、サービス提供システム１のブラックリストに載っていなかったとしても、不正を働くユーザは存在するので、自身のブラックリストを活用するだけでは、このようなユーザの不正を防止できないことがある。
　例えば、サービスＣにおける不正ユーザが、ブラックリストに格納されたカード番号とは別のカード番号を利用して不正を働く場合、当該別のカード番号は、サービスＣのブラックリストに載っていないので、不正を防止することができない。この点、不正ユーザは、他のサービスＡ，Ｂでも不正を働いていることがあり、サービスＣに登録した他の項目のユーザ情報（例えば、住所など）を、他のサービスＡ，Ｂに登録していることがある。このため、サービスＣを利用するユーザのユーザ情報が、他のサービスＡ，Ｂにおける不正ユーザのユーザ情報と一致していることを検出できれば、不正を未然に防止することができる。
　そこで、不正推定システムＳでは、あるサービス提供システム１のユーザが不正ユーザであるか否かを、他のサービス提供システム１のブラックリストを利用して推定するようにしている。本実施形態では、サービスＣを利用するユーザの不正を、サービスＡ，Ｂのブラックリストを利用して推定する場合を例に挙げて、不正推定システムＳの処理を説明する。
　図２は、不正推定システムＳの処理の概要を示す説明図である。図２に網掛けで示す項目は、ブラックリスト項目である。先述したように、サービスＡのブラックリスト項目はＩＰアドレスとデバイスＩＤであり、サービスＢのブラックリスト項目は住所とＩＰアドレスであり、サービスＣのブラックリスト項目は名前とカード番号である。
　図２に示すように、サービスＣを利用するユーザＵは、ユーザＩＤ、名前、住所、電話番号、生年月日、カード番号、ユーザ端末２０のＩＰアドレス、及びデバイスＩＤといった複数項目のユーザ情報を予め登録している。なお、本実施形態では、ユーザ登録時にユーザＵが自分でユーザＩＤを入力する場合を説明するが、ユーザＩＤは、サービス提供システム１ｃが自動的に割り当ててもよい。また、ユーザ登録は必須ではなく、サービスＣの利用時にその場で名前や住所などのユーザ情報を入力させてもよい。
　ユーザＵがサービスＣを利用する場合、サービス提供システム１ｃは、サービス提供システム１ａに対し、ユーザＵのＩＰアドレスとデバイスＩＤ（サービスＡのブラックリスト項目）の比較を依頼する。同様に、サービス提供システム１ｃは、サービス提供システム１ｂに対し、ユーザＵの住所とＩＰアドレス（サービスＢのブラックリスト項目）の比較を依頼する。即ち、サービス提供システム１ｃは、サービス提供システム１ａ，１ｂに対し、サービスＣを利用するユーザＵが、サービスＡ，Ｂにおける不正ユーザと同一人物であるか否かの判定を依頼する。
　サービス提供システム１ａは、自身のブラックリストに載った不正ユーザのＩＰアドレス及びデバイスＩＤを参照し、サービス提供システム１ｃから受信したＩＰアドレス及びデバイスＩＤと比較する。同様に、サービス提供システム１ｂは、自身のブラックリストに載った不正ユーザの住所及びＩＰアドレスを参照し、サービス提供システム１ｃから受信した住所及びＩＰアドレスと比較する。
　サービス提供システム１ａ，１ｂの各々は、サービス提供システム１ｃに対し、比較結果（ＩＰアドレス等のユーザ情報が一致しているか否か）を送信する。ユーザＵのユーザ情報と、サービスＡ，Ｂにおける不正ユーザのユーザ情報と、が一致していない場合には、ユーザＵは、サービスＡ，Ｂにおける不正ユーザとは異なる蓋然性が高い。一方、ユーザＵのユーザ情報と、サービスＡ，Ｂにおける不正ユーザのユーザ情報と、が一致している場合には、ユーザＵは、サービスＡ，Ｂにおける不正ユーザと同じである蓋然性が高い。
　この点、ユーザＵが、サービスＡ，Ｂの不正ユーザと同じである蓋然性が高かったとしても、サービスＣにおいて不正を働くとは限らない。例えば、各サービスＡ～Ｃは、それぞれ独自の観点で不正検知が行われており、サービスＣとは大きく異なる観点で不正検知が行われるサービスについては、比較結果をあまり信用できないことがある。サービス提供システム１ａ，１ｂからの比較結果をそのまま信用すると、サービスを制限する判定基準が厳しくなりすぎてしまい、サービスＣでは不正とされないユーザについても、サービスの利用が制限されてしまう可能性がある。
　そこで、サービス提供システム１ｃは、サービスＡ，Ｂからの比較結果と、サービスＣにおける不正の有無と、の関係を学習させた学習モデルを利用して、ユーザＵの不正を推定するようにしている。本実施形態では、不正の推定精度を更に高めるために、サービスＣにおける利用状況と不正の有無との関係も学習モデルに学習されている。
　学習モデルは、学習済みのモデルである。学習モデルは、学習器、分類器、又は分類学習器と呼ばれることもある。本実施形態では、ユーザＵが不正ユーザであるか否かを分類するための学習モデルが用いられる。機械学習自体は、公知の種々の手法を利用可能であり、例えば、ニューラルネットワーク、強化学習、又は深層学習といった手法を利用可能である。機械学習は、教師有り機械学習に限られず、半教師有り機械学習が用いられてもよいし、教師無し機械学習が用いられてもよい。
　例えば、学習モデルは、入力されたデータの特徴量を計算し、当該データに関する分類を行う。特徴量は、データの特徴を示す数値であり、例えば、ｎ（ｎは自然数）次元のベクトル、又は、ｎ個の要素からなる配列で示される。なお、学習モデルとは別に、特徴量を計算するためのアルゴリズムを用意してもよい。この場合、学習モデルは、特徴量を計算する必要がなく、当該アルゴリズムによって計算された特徴量が学習モデルに入力される。
　サービス提供システム１ｃは、サービスＣにおけるユーザＵの利用状況と、サービス提供システム１ａ，１ｂから取得した比較結果と、を示すデータを学習モデルに入力する。学習モデルは、当該データの特徴量を計算し、ユーザＵを不正又は正当の何れかに分類し、分類結果を出力する。サービス提供システム１ｃは、学習モデルからの出力に基づいて、ユーザＵの不正を推定する。
　サービス提供システム１ｃは、学習モデルからの出力が正当を示していれば、サービスＣにおいてユーザＵが不正ではないと推定し、サービスＣの利用を許可する。一方、サービス提供システム１ｃは、学習モデルからの出力が不正を示していれば、サービスＣにおいてユーザＵが不正であると推定し、サービスＣの利用を制限する。
　以上のように、本実施形態の不正推定システムＳは、学習モデルを利用して、サービスＣを利用するユーザＵの不正を推定することによって、不正の推定精度を高めるようにしている。以降、この技術の詳細を説明する。なお、以降の説明では、サービスＣにユーザ登録するユーザＵの符号を省略する。
［３．不正推定システムにおいて実現される機能］
　図３は、不正推定システムＳで実現される機能の一例を示す機能ブロック図である。本実施形態では、サービス提供システム１ａ，１ｂで実現される機能と、サービス提供システム１ｃで実現される機能と、が異なる場合を説明するが、後述する変形例のように、サービス提供システム１ａ～１ｃの各々は、同様の機能を有していてもよい。
［３－１．サービスＡにおいて実現される機能］
　図３に示すように、サービスＡのサービス提供システム１ａでは、データ記憶部１００ａと比較部１０１ａとが実現される。
[データ記憶部]
　データ記憶部１００ａは、記憶部１２ａを主として実現される。データ記憶部１００ａは、本実施形態で説明する処理を実行するために必要なデータを記憶する。ここでは、データ記憶部１００ａが記憶するデータの一例として、サービスＡのユーザデータベースＤＢ１ａと、サービスＡのブラックリストＢＬａと、について説明する。
　図４は、サービスＡのユーザデータベースＤＢ１ａのデータ格納例を示す図である。図４に示すように、ユーザデータベースＤＢ１ａは、サービスＡにユーザ登録したユーザのユーザ情報が格納されるデータベースである。例えば、ユーザデータベースＤＢ１ａには、ユーザを一意に識別するユーザＩＤと、ユーザ登録時にユーザが登録した登録情報と、が格納される。登録情報は、ユーザＩＤ以外のユーザ情報であり、例えば、ユーザの個人情報である。
　ユーザデータベースＤＢ１ａには、複数項目の各々のユーザ情報が格納される。項目とは、ユーザ情報の種類又は内容である。図４に示すように、本実施形態では、ユーザデータベースＤＢ１ａには、ユーザＩＤ、名前、住所、電話番号、生年月日、クレジットカードのカード番号、ユーザ端末２０のＩＰアドレス、及びユーザ端末２０のデバイスＩＤといった８項目のユーザ情報が格納される。
　なお、ユーザデータベースＤＢ１ａに格納されるユーザ情報は、図４の例に限られない。ユーザデータベースＤＢ１ａには、任意の項目のユーザ情報が格納されるようにすればよく、例えば、勤務先、役職、年齢、性別、ニックネーム、顔写真、ユーザ端末２０のＳＩＭ情報、パスワードや生体情報などの認証情報、メールアドレス、アクセス場所情報、又は、アクセス日時といった項目のユーザ情報が格納されていてもよい。
　図５は、サービスＡのブラックリストＢＬａのデータ格納例を示す図である。本実施形態では、ＩＰアドレスとデバイスＩＤの２項目がサービスＡのブラックリスト項目なので、サービスＡのブラックリストＢＬａには、サービスＡにおける不正ユーザのＩＰアドレスとデバイスＩＤが格納される。例えば、サービスＡの管理者は、自身の端末を操作し、不正ユーザのＩＰアドレスとデバイスＩＤをブラックリストＢＬａに登録する。
　また例えば、サービス提供システム１ａは、ユーザの行動を解析し、所定のルールに合致するユーザを不正ユーザとして推定し、当該不正ユーザのＩＰアドレスとデバイスＩＤをブラックリストＢＬａに登録する。ルールは、任意のルールを適用可能であり、例えば、決済金額、決済頻度、アクセス場所、又はアクセス時間に関するルールであってもよい。また例えば、サービス提供システム１ａは、ユーザの不正を検知する学習モデルを利用して不正ユーザを検出し、当該検出した不正ユーザのＩＰアドレスとデバイスＩＤをブラックリストＢＬａに登録してもよい。
　なお、ブラックリストＢＬａには、ブラックリスト項目以外の項目のユーザ情報が格納されてもよい。例えば、不正ユーザのＩＰアドレスとデバイスＩＤ以外の項目のユーザ情報（例えば、名前又は住所）がユーザデータベースＤＢ１ａから取得され、ブラックリスト項目であるＩＰアドレスとデバイスＩＤとともにブラックリストＢＬａに格納されていてもよい。
　また、図５では、ＩＰアドレスとデバイスＩＤが同じブラックリストＢＬａに格納されている場合を説明するが、これらは、別々のブラックリストＢＬａに格納されていてもよい。即ち、ＩＰアドレスのブラックリストＢＬａと、デバイスＩＤのブラックリストＢＬａと、が別々であってもよい。
［比較部］
　比較部１０１ａは、制御部１１ａを主として実現される。比較部１０１ａは、一のサービスにおける対象ユーザのユーザ情報と、他のサービスにおける不正ユーザのユーザ情報と、を比較する。
　一のサービスとは、対象ユーザが利用するサービスである。対象ユーザとは、不正の推定対象となるユーザである。別の言い方をすれば、対象ユーザは、後述する推定部１０６ｃの処理対象となるユーザである。他のサービスとは、一のサービス以外のサービスである。他のサービスには、一のサービスと同一人物がユーザ登録していることがある。
　本実施形態では、サービスＣにおけるユーザの不正が推定される場合を説明するので、サービスＣは一のサービスに相当し、サービスＡ，Ｂは他のサービスに相当する。このため、本実施形態でサービスＣを説明している箇所は、一のサービスと読み替えることができ、サービスＡ又はサービスＢを説明している箇所は、他のサービスと読み替えることができる。また、サービスＣにおいてユーザ登録をしようとしているユーザを説明している箇所は、対象ユーザと読み替えることができる。
　比較部１０１ａは、サービスＣにおける対象ユーザのユーザ情報と、サービスＡにおける不正ユーザのユーザ情報と、を比較する。サービスＡにおける不正ユーザは、サービスＡのブラックリストＢＬａに載っているユーザである。即ち、サービスＡにおける不正ユーザは、サービスＡのブラックリストＢＬａにＩＰアドレス又はデバイスＩＤが格納されたユーザである。
　なお、本実施形態では、サービスＡのブラックリスト項目であるＩＰアドレスとデバイスＩＤが比較される場合を説明するが、任意の項目のユーザ情報が比較されてよい。例えば、サービスＣのブラックリスト項目である名前とカード番号が比較されてもよいし、特にブラックリスト項目ではない他の項目のユーザ情報が比較されてもよい。
　また、本実施形態では、ＩＰアドレスとデバイスＩＤの２項目のユーザ情報が比較される場合を説明するが、比較されるユーザ情報の項目数は、任意であってよい。例えば、１項目のユーザ情報だけが比較されてもよいし、３項目以上のユーザ情報が比較されてもよい。更に、本実施形態では、サービスＡ，Ｂの各々で比較される項目数が同じ（２項目）である場合を説明するが、サービスによって比較される項目数やその種類が異なってもよい。
　例えば、比較部１０１ａは、サービスＣのサービス提供システム１ｃから、対象ユーザのＩＰアドレスとデバイスＩＤを取得する。比較部１０１ａは、ブラックリストＢＬａに基づいて、サービスＡにおける不正ユーザのＩＰアドレスとデバイスＩＤを取得する。
　比較部１０１ａは、サービスＣにおける対象ユーザのＩＰアドレス及びデバイスＩＤと、サービスＡにおける不正ユーザのＩＰアドレス及びデバイスＩＤと、を比較する。比較部１０１ａは、サービスＣのサービス提供システム１ｃに対し、比較結果を送信する。比較結果は、任意のデータ形式であってよく、ユーザ情報が一致することを示す値、又は、ユーザ情報が一致しないことを示す値の何れかとなる。本実施形態では、ＩＰアドレスとデバイスＩＤの２項目が比較されるので、これら２つの各々の比較結果が送信される。
　なお、本実施形態では、ＩＰアドレスとデバイスＩＤが比較されるので、比較部１０１ａがＩＰアドレスとデバイスＩＤの完全一致（同一）を判定する場合を説明するが、住所やメールアドレスなどの他のユーザ情報が比較される場合には、比較部１０１ａはユーザ情報の部分一致（類似）を判定してもよい。即ち、サービスＣの対象ユーザとサービスＡの不正ユーザとが同一人物であるか否かは、完全一致ではなく、部分一致によって推定されてもよい。部分一致としては、前方一致、中間一致、又は後方一致の何れが判定されてもよい。
［３－２．サービスＢにおいて実現される機能］
　図３に示すように、サービス提供システム１ｂでは、データ記憶部１００ｂと比較部１０１ｂとが実現される。
［データ記憶部］
　データ記憶部１００ｂは、記憶部１２ｂを主として実現される。データ記憶部１００ｂは、本実施形態で説明する処理を実行するために必要なデータを記憶する。ここでは、データ記憶部１００ｂが記憶するデータの一例として、サービスＢのユーザデータベースＤＢ１ｂと、サービスＢのブラックリストＢＬｂと、について説明する。
　図６は、サービスＢのユーザデータベースＤＢ１ｂのデータ格納例を示す図である。図６に示すように、サービスＢのユーザデータベースＤＢ１ｂは、サービスＢにユーザ登録したユーザのユーザ情報が格納されるデータベースである。本実施形態では、サービスＡのユーザデータベースＤＢ１ａに格納される項目と、サービスＢのユーザデータベースＤＢ１ｂに格納される項目と、が同じ場合を説明する。サービスＢのユーザデータベースＤＢ１ｂに格納される各項目の詳細は、サービスＡのユーザデータベースＤＢ１ａと同様のため、説明を省略する。
　本実施形態では、サービスごとに、独自のユーザＩＤが発行される。このため、同一人物であったとしても、サービスＡのユーザＩＤと、サービスＢのユーザＩＤと、は異なる。また、同一人物が複数のクレジットカードを利用する場合には、サービスＡのカード番号と、サービスＢのカード番号と、が異なることもある。他の項目についても同様に、同一人物であったとしても、サービスＡのユーザ情報と、サービスＢのユーザ情報と、が異なることもある。
　なお、サービスＡのユーザデータベースＤＢ１ａに格納される項目と、サービスＢのユーザデータベースＤＢ１ｂに格納される項目と、は異なっていてもよい。例えば、サービスＡのユーザデータベースＤＢ１ａには住所が格納されるが、サービスＢのユーザデータベースＤＢ１ｂには住所が格納されない、といったことがあってもよい。この点は、サービスＣについても同様であり、本実施形態では、サービスＣのユーザデータベースＤＢ１ｃに格納される項目と、サービスＡ，ＢのユーザデータベースＤＢ１ａ，ＤＢ１ｂに格納される項目と、が同じ場合を説明するが、これらの項目は、異なっていてもよい。各サービスには、ユーザ登録で必要な項目のユーザ情報が登録されるようにすればよい。
　図７は、サービスＢのブラックリストＢＬｂのデータ格納例を示す図である。図７に示すように、本実施形態では、住所及びＩＰアドレスの２項目がサービスＢのブラックリスト項目なので、サービスＢのブラックリストＢＬｂには、サービスＢにおける不正ユーザの住所及びＩＰアドレスが格納される。
　サービスＢのブラックリストＢＬｂは、ブラックリスト項目が異なるという点でサービスＡのブラックリストＢＬａとは異なり、他の点については同様のため、説明を省略する。サービスＡのブラックリストＢＬａの説明における「サービスＡ」、「サービス提供システム１ａ」、「ＩＰアドレス」、「デバイスＩＤ」、「ブラックリストＢＬａ」を、それぞれ「サービスＢ」、「サービス提供システム１ｂ」、「住所」、「ＩＰアドレス」、「ブラックリストＢＬｂ」と読み替えればよい。
［比較部］
　比較部１０１ｂは、制御部１１ｂを主として実現される。比較部１０１ｂは、サービスＣにおける対象ユーザのユーザ情報と、サービスＢにおける不正ユーザのユーザ情報と、を比較する。比較部１０１ｂの処理は、比較部１０１ａの処理と同様のため、説明を省略する。比較部１０１ａの説明における「サービスＡ」、「ＩＰアドレス」、「デバイスＩＤ」、「ユーザデータベースＤＢ１ａ」、「ブラックリストＢＬａ」を、それぞれ「サービスＢ」、「住所」、「ＩＰアドレス」、「ユーザデータベースＤＢ１ｂ」、「ブラックリストＢＬｂ」と読み替えればよい。
［３－３．サービスＣにおいて実現される機能］
　図３に示すように、サービス提供システム１ｃでは、データ記憶部１００ｃ、受付部１０２ｃ、利用状況取得部１０３ｃ、比較結果取得部１０４ｃ、出力取得部１０５ｃ、及び推定部１０６ｃが実現される。
［データ記憶部］
　データ記憶部１００ｃは、記憶部１２ｃを主として実現される。データ記憶部１００ｃは、本実施形態で説明する処理を実行するために必要なデータを記憶する。ここでは、データ記憶部１００ｃが記憶するデータの一例として、サービスＣのユーザデータベースＤＢ１ｃ、サービスＣのブラックリストＢＬｃ、利用状況データベースＤＢ２、教師データＤＴ、及び学習モデルＭについて説明する。
　図８は、サービスＣのユーザデータベースＤＢ１ｃのデータ格納例を示す図である。図８に示すように、サービスＣのユーザデータベースＤＢ１ｃは、サービスＣにユーザ登録したユーザのユーザ情報が格納されるデータベースである。本実施形態では、サービスＣのユーザデータベースＤＢ１ｃに格納される各項目の詳細は、サービスＡ，ＢのユーザデータベースＤＢ１ａ，ＤＢ１ｂと同様のため、説明を省略する。
　図９は、サービスＣのブラックリストＢＬｃのデータ格納例を示す図である。図９に示すように、本実施形態では、名前とカード番号がサービスＣのブラックリスト項目なので、サービスＣのブラックリストＢＬｃには、サービスＣにおける不正ユーザの名前とカード番号が格納される。
　サービスＣのブラックリストＢＬｃは、ブラックリスト項目が異なるという点でサービスＡのブラックリストＢＬａとは異なり、他の点については同様のため、説明を省略する。サービスＡのブラックリストＢＬａの説明における「サービスＡ」、「サービス提供システム１ａ」、「ＩＰアドレス」、「デバイスＩＤ」、「ブラックリストＢＬａ」を、それぞれ「サービスＣ」、「サービス提供システム１ｃ」、「名前」、「カード番号」、「ブラックリストＢＬｃ」と読み替えればよい。
　図１０は、利用状況データベースＤＢ２のデータ格納例を示す図である。図１０に示すように、利用状況データベースＤＢ２は、サービスＣにおけるユーザの利用状況が格納されたデータベースである。利用状況データベースＤＢ２には、全ユーザ（全期間）の利用状況が格納されてもよいし、一部のユーザ（一部の期間）の利用状況が格納されてもよい。
　利用状況は、ユーザによりサービスＣがどのように利用されたかを示す情報である。利用状況は、利用履歴又は利用内容ということもできる。利用状況には、サービスＣにおけるユーザの行動が表れる。利用状況としては、サービスＣの内容に応じた情報が格納されるようにすればよく、本実施形態では、サービスＣが電子商取引サービスである場合を説明する。このため、本実施形態では、利用状況は、商品の購入状況ということもできる。
　図１０に示すように、利用状況データベースＤＢ２には、取引を一意に識別する取引ＩＤ、ユーザＩＤ、店舗を一意に識別する店舗ＩＤ、商品を一意に識別する商品ＩＤ、商品の数量、取引額（支払額又は決済額）、及び取引日時といった情報が格納される。利用状況データベースＤＢ２は、ユーザがサービスＣを利用するたびに更新される。
　例えば、サービス提供システム１ｃは、サービスＣのオンラインショッピングモール上の店舗における商品の購入手続きが行われた場合に、取引ＩＤを発行し、購入手続きをしたユーザのユーザＩＤ、当該店舗の店舗ＩＤ、当該商品の商品ＩＤ、ユーザが指定した商品の数量、商品の単価と数量に応じた取引額、及び現在日時である取引日時が利用状況データベースＤＢ２に格納される。なお、利用状況データベースＤＢ２に格納される利用状況は、上記の例に限られない。ユーザによるサービスＣの利用状況を示す情報が格納されるようにすればよく、例えば、アクセス場所情報又は配送先といった情報が格納されてもよい。
　図１１は、教師データＤＴのデータ格納例を示す図である。教師データＤＴは、学習モデルの学習で利用されるデータである。別の言い方をすれば、教師データＤＴは、学習モデルのパラメータを調整するためのデータである。教師データＤＴは、学習データ又は訓練データと呼ばれることもある。教師データＤＴは、入力データと同じ形式のデータと、正解となる出力と、がペアになったデータである。
　本実施形態では、対象ユーザが不正であるか否かが分類されるので、出力は、不正を示す値、又は、正当を示す値の何れかとなる。例えば、教師データＤＴは、サービスＣの管理者により作成され、不正の有無は、管理者によって判断される。即ち、教師データＤＴの入力部分に相当するユーザが実際に不正をしたか否かが管理者によって判断され、教師データＤＴの出力部分の値が決定される。
　図１１に示すように、教師データＤＴには、サービスＣにおけるユーザの利用状況（例えば、取引額及び取引頻度）及びサービスＡ，Ｂにおける比較結果と、不正の有無を示す不正フラグと、のペアが格納されている。利用状況及び比較結果は入力（設問）であり、不正フラグは出力（回答）となる。
　不正フラグは、不正であるか否かを示す情報である。図１１のデータ格納例では、不正フラグが「１」であることは不正を意味し、不正フラグが「０」であることは正当を意味する。また、比較結果が「１」であることはユーザ情報が一致したことを意味し、比較結果が「０」であることはユーザ情報が一致しなかったことを意味する。
　また、データ記憶部１００ｃは、学習モデルＭのプログラム（アルゴリズム）やパラメータを記憶する。学習モデルＭは、教師データＤＴを学習済みである。学習処理自体は、ニューラルネットワーク等の教師有り機械学習で利用されている種々の手法を利用可能であり、教師データＤＴが示す入力と出力の関係が得られるように、学習モデルＭのパラメータが調整される。学習モデルＭは、入力されたデータの特徴量を計算し、分類結果を示す値を出力する。
　学習モデルＭは、ユーザを不正又は正当の何れかに分類するので、不正又は正当の何れかの値を出力する。なお、学習モデルＭは、分類の蓋然性（確度）を示すスコアを出力してもよい。この場合、学習モデルＭは、不正である蓋然性を示すスコアと、正当である蓋然性を示すスコアと、の少なくとも一方を出力してもよい。なお、学習モデルＭによる分類結果は、ラベルと呼ばれることもある。この場合、出力となるのは、ラベルを識別するラベルＩＤとなる。
　学習モデルＭは、サービスＣにおけるユーザのユーザ情報とサービスＡ，Ｂにおける不正ユーザのユーザ情報との比較結果と、サービスＣにおける不正の有無と、の関係が学習されている。本実施形態では、サービスＡ，Ｂの各々が他のサービスに相当し、他のサービスが複数存在するので、学習モデルＭには、複数の他のサービスにそれぞれ対応する複数の比較結果と、一のサービスにおける不正の有無と、の関係が学習されている。なお、学習モデルＭには、任意の数の他のサービスの比較結果が学習されていればよく、１つだけであってもよいし、３つ以上であってもよい。
　また、本実施形態では、サービスＣにおける利用状況と不正の有無との関係も教師データＤＴに示されているので、学習モデルＭには、サービスＣにおける利用状況と、サービスＣにおける不正の有無と、の関係も学習されている。また、本実施形態では、サービスＣ及びサービスＡ，Ｂでは、複数項目のユーザ情報が登録されており、学習モデルＭには、複数項目にそれぞれ対応する複数の比較結果と、サービスＣにおける不正の有無と、の関係が学習されている。なお、学習モデルＭには、任意の項目数の比較結果が学習されていればよく、１項目だけの比較結果が学習されていてもよいし、３紅毛以上の比較結果が学習されていてもよい。
　また、本実施形態では、サービスＡ，Ｂでは、所定項目（サービスＡ，
Ｂの各々のブラックリスト項目）のユーザ情報に基づいて不正が推定され、学習モデルＭには、所定項目のユーザ情報の比較結果と、サービスＣにおける不正の有無と、の関係が学習されている。即ち、学習モデルＭには、サービスＡ，Ｂにおけるブラックリスト項目の比較結果と、サービスＣにおける不正の有無と、の関係が学習されている。なお、以降の説明では、学習モデルＭの符号を省略する。
［受付部］
　受付部１０２ｃは、制御部１１ｃを主として実現される。受付部１０２ｃは、対象ユーザによるサービスＣの利用要求を受け付ける。利用要求は、サービスＣを利用するために送信される要求である。利用要求には、任意の情報が含まれてよく、例えば、対象ユーザに関する任意の項目のユーザ情報、又は、対象ユーザが利用したいサービスの内容などである。本実施形態では、サービスＣは、電子商取引サービスなので、利用要求には、対象ユーザが購入する商品に関する情報（例えば、商品ＩＤや数量）が含まれる。受付部１０２ｃは、ユーザ端末２０から、ユーザが操作部２４を利用して入力した情報を受信することによって、利用要求を受け付ける。
［利用状況取得部］
　利用状況取得部１０３ｃは、制御部１１ｃを主として実現される。利用状況取得部１０３ｃは、対象ユーザによるサービスＣの利用状況を取得する。本実施形態では、利用状況は、利用状況データベースＤＢ２に格納されているので、利用状況取得部１０３ｃは、データ記憶部１００ｃに記憶された利用状況データベースＤＢ２を参照し、利用状況を取得する。なお、利用状況に相当する情報は、利用要求にも含まれていることがあるので、利用状況取得部１０３ｃは、ユーザ端末２０から受信した利用要求を参照することによって、利用状況を取得してもよい。
　利用状況取得部１０３ｃが取得する利用状況は、任意の内容であってよいが、本実施形態では、サービスＣにおいて、ブラックリスト項目のユーザ情報に基づいて不正が推定されるので、利用状況は、ブラックリスト項目に関する利用状況である場合を説明する。ブラックリスト項目は、本発明に係る所定項目の一例である。このため、本実施形態でブラックリスト項目（例えば、サービスＡにおけるＩＰアドレス又はデバイスＩＤ、サービスＢにおける住所又はＩＰアドレス、サービスＣにおける名前又はカード番号）と記載した箇所は、所定項目と読み替えることができる。なお、後述する変形例におけるホワイトリスト項目が所定項目に相当してもよい。
　ブラックリスト項目に関する利用状況とは、ブラックリスト項目に関連する利用状況である。例えば、ブラックリスト項目がカード番号であれば、取引額や取引頻度といった決済に係る情報が利用状況となる。取引額は、取引１回あたりの金額である。取引頻度は、一定期間（例えば、１日～数か月程度）における取引の回数である。
　また例えば、ブラックリスト項目がユーザＩＤであれば、同一のユーザＩＤでログインした回数や頻度が利用状況となる。また例えば、ブラックリスト項目が名前であれば、同一の名前でサービスの申し込みをした回数や頻度が利用状況となる。他の項目についても同様に、項目に関する利用状況が取得されるようにすればよい。
［比較結果取得部］
　比較結果取得部１０４ｃは、制御部１１ｃを主として実現される。比較結果取得部１０４ｃは、サービスＣにおける対象ユーザのユーザ情報と、サービスＡ，Ｂにおける不正ユーザのユーザ情報と、の比較結果を取得する。本実施形態では、サービスＡ，Ｂの各々が他のサービスに相当し、他のサービスが複数存在するので、比較結果取得部１０４ｃは、複数の他のサービスにそれぞれ対応する複数の比較結果を取得する。
　また、本実施形態では、サービスＡ，Ｂにおける複数のブラックリスト項目が比較対象となるので、比較結果取得部１０４ｃは、複数項目にそれぞれ対応する複数の比較結果を取得する。比較結果取得部１０４ｃは、複数項目の各々の比較結果を取得する。例えば、サービスＡでは、ＩＰアドレスとデバイスＩＤがブラックリスト項目となっているので、比較結果取得部は、ＩＰアドレスとデバイスＩＤの各々の比較結果を取得する。また、サービスＢでは、住所とＩＰアドレスがブラックリスト項目となっているので、比較結果取得部は、住所とＩＰアドレスの各々の比較結果を取得する。
　本実施形態では、サービスＣにおいて比較処理が実行されるのではなく、サービスＡ，Ｂにおいて、サービスＣにおける対象ユーザのユーザ情報と、他のサービスにおける不正ユーザのユーザ情報と、が比較されるので、比較結果取得部１０４ｃは、サービスＡ，Ｂから比較結果を取得する。即ち、比較結果取得部１０４ｃが比較結果を取得するにあたり、ネットワークＮにおいて、サービスＡ，Ｂのカード番号が送信されない。比較結果取得部１０４ｃは、サービスＡ，Ｂごとに、当該サービスＡ，Ｂに対応する比較結果を取得する。
［出力取得部］
　出力取得部１０５ｃは、制御部１１ｃを主として実現される。出力取得部１０５ｃは、比較結果取得部１０４ｃが取得した比較結果に基づいて、学習モデルの出力を取得する。本実施形態では、サービスＡ，Ｂの各々が他のサービスに相当し、他のサービスが複数存在するので、出力取得部１０５ｃは、複数の比較結果に基づいて、学習モデルの出力を取得する。更に、本実施形態では、サービスＣにおける利用状況も利用されるので、出力取得部は、対象ユーザによる利用状況に基づいて、学習モデルの出力を取得する。
　例えば、出力取得部１０５ｃは、利用状況取得部１０３ｃが取得した利用状況と、比較結果取得部１０４ｃが取得した複数の比較結果の各々と、を示す入力データを学習モデルに入力する。入力データは、図１１に示す教師データＤＴの入力部分と同様の形式となる。学習モデルは、入力データの特徴量を計算し、入力データを不正又は正当の何れかを示す分類結果を出力する。出力取得部１０５ｃは、当該出力された分類結果を取得する。
［推定部］
　推定部１０６ｃは、制御部１１ｃを主として実現される。推定部１０６ｃは、学習モデルの出力に基づいて、対象ユーザの不正を推定する。推定とは、対象ユーザが不正ユーザであるか否かを判定又は決定することである。推定部１０６ｃによる推定結果が、不正ユーザであるか否かの最終結果となってもよいし、その後に管理者による判断にゆだねられてもよい。推定部１０６ｃは、学習モデルの出力を参照し、不正を示す分類結果であれば対象ユーザが不正である推定し、正当を示す分類結果であれば対象ユーザが正当であると推定する。
　本実施形態では、ユーザがサービスを利用する際に不正が推定されるので、対象ユーザは、ユーザ登録済みのユーザ、又は、サービスの利用時にその場でユーザ情報を入力したユーザとなる。なお、ユーザ登録は、サービスＣの利用を開始するために、サービスＣにユーザ情報を登録することである。ユーザ登録は、利用登録又はサービス登録といわれることもある。
　推定部１０６ｃは、対象ユーザによりサービスＣが利用される場合に、対象ユーザの不正を推定する。サービスＣが利用される場合とは、利用要求が受け付けられた時点、又は、その後の任意の時点である。例えば、推定部１０６ｃは、ユーザ登録が完了した後に、対象ユーザの不正を推定する。なお、推定部１０６ｃは、ユーザ登録が完了する前に、対象ユーザの不正を推定してもよい。
［４．不正推定システムにおいて実行される処理］
　図１２及び図１３は、不正推定システムＳにおいて実行される処理の一例を示すフロー図である。図１２及び図１３に示す処理は、制御部１１，２１が、それぞれ記憶部１２，２２に記憶されたプログラムに従って動作することによって実行される。下記に説明する処理は、図３に示す機能ブロックにより実行される処理の一例である。
　図１２に示すように、まず、ユーザ端末２０においては、制御部２１は、サービス提供システム１ｃに対し、サービスＣの利用画面のアクセス要求を送信する（Ｓ１）。利用画面は、サービスＣを利用するための画面であり、例えば、商品を購入するための商品ページである。アクセス要求は、利用画面のＵＲＬが選択された場合などの任意のタイミングで送信される。
　サービス提供システム１ｃにおいては、アクセス要求を受信すると、制御部１１ｃは、ユーザ端末２０に対し、利用画面の表示データを送信する（Ｓ２）。表示データは、任意のデータ形式であってよく、例えば、ＨＴＭＬデータである。利用画面の表示データは、記憶部１２ｃに予め記憶されているものとする。
　ユーザ端末２０においては、表示データを受信すると、制御部２１は、表示データに基づいて、利用画面を表示部２５に表示させる（Ｓ３）。Ｓ３において利用画面が表示されると、ユーザは、操作部２４を操作して、サービスＣの利用内容を入力する。例えば、ユーザは、商品ページに表示された商品の数量を指定する。なお、ユーザは、予めサービスＣにログインしており、ユーザ端末２０にユーザＩＤが記憶されているものとする。ユーザ登録をせずにサービスＣを利用可能とする場合には、この段階でユーザは自身のユーザ情報を入力する。
　制御部２１は、サービス提供システム１ｃに対し、利用要求を送信する（Ｓ４）。利用要求には、ユーザが入力した商品の数量などの情報と、ユーザＩＤなどのユーザ情報と、が含まれているものとする。利用要求は、商品を購入するためのボタンが選択された場合等に送信されるようにすればよい。
　サービス提供システム１ｃにおいては、利用要求を受信すると、制御部１１ｃは、ユーザデータベースＤＢ１ｃを参照してユーザの名前及びカード番号を取得し、これらがサービスＣのブラックリストＢＬｃに格納されているか否かを判定する（Ｓ５）。Ｓ５においては、制御部１１ｃは、ユーザの名前とカード番号をクエリとし、サービスＣのブラックリストＢＬｃ内を検索する。なお、ユーザが銀行振込等の他の決済を選択した場合には、カード番号は参照されなくてもよい。また、Ｓ５における判定は、Ｓ２においてアクセス要求を受信した時点で実行されてもよい。
　名前又はカード番号がブラックリストＢＬｃに格納されていると判定された場合（Ｓ５；Ｙ）、制御部１１ｃは、ユーザが不正であると推定し、サービスの利用を制限する（Ｓ６）。Ｓ６においては、制御部１１ｃは、サービスの利用を拒否し、ユーザにサービスを利用させないように制限する。この場合、ユーザ端末２０に、「このカード番号ではサービスを利用できません」といったメッセージが表示されてもよい。他にも例えば、制御部１１ｃは、サービスの利用を保留とし、サービスＣの管理者に対し、ユーザ登録を許可するか否かを問い合わせる通知を送信してもよい。この場合、サービスＣの管理者による許可が得られた場合には、ユーザ登録が許可される。
　一方、カード番号がブラックリストＢＬｃに格納されていると判定されない場合（Ｓ５；Ｎ）、図１３に移り、制御部１１ｃは、ユーザデータベースＤＢ１ｃに基づいて、サービス提供システム１ａ，１ｂの各々に対し、ユーザ情報の比較処理を依頼する（Ｓ７）。比較処理の依頼は、所定形式のデータが送信されることによって行われるようにすればよく、比較対象となる項目のユーザ情報が含まれるものとする。制御部１１ｃは、サービス提供システム１ａに対し、利用要求をしたユーザのＩＰアドレスとデバイスＩＤを送信し、サービス提供システム１ｂに対し、利用要求をしたユーザの住所とＩＰアドレスを送信する。なお、どのサービス提供システム１に対し、どの項目のユーザ情報を送信するかを特定する情報は、記憶部１２ｃに予め記憶されているものとする。
　サービス提供システム１ａにおいては、ＩＰアドレスとデバイスＩＤを受信すると、制御部１１ａは、サービスＡのブラックリストＢＬａを参照し（Ｓ８）、受信したＩＰアドレス及びデバイスＩＤの各々と、ブラックリストＢＬａのＩＰアドレス及びデバイスＩＤの各々と、を比較する（Ｓ９）。Ｓ９においては、制御部１１ａは、これらが一致するか否かを判定する。
　制御部１１ａは、サービス提供システム１ｃに対し、Ｓ９における比較結果を送信する（Ｓ１０）。Ｓ１０においては、制御部１１ａは、Ｓ９の処理結果に基づいて、ＩＰアドレス及びデバイスＩＤの各々について、一致していることを示す比較結果、又は、一致していないことを示す比較結果を送信する。即ち、制御部１１ａは、ＩＰアドレス及びデバイスＩＤの各々が一致する不正ユーザが存在するか否かを示す比較結果を送信する。
　一方、サービス提供システム１ｂにおいては、住所とＩＰアドレスを受信すると、制御部１１ｂは、サービスＢのブラックリストＢＬｂを参照し（Ｓ１１）、受信した住所及びＩＰアドレスの各々と、ブラックリストＢＬｂの住所及びＩＰアドレスの各々と、を比較する（Ｓ１２）。Ｓ１２においては、制御部１１ｂは、これらが一致するか否かを判定する。
　制御部１１ｂは、サービス提供システム１ｃに対し、Ｓ１２における比較結果を送信する（Ｓ１３）。Ｓ１３においては、制御部１１ａは、Ｓ１２の処理結果に基づいて、住所及びＩＰアドレスの各々について、一致していることを示す比較結果、又は、一致していないことを示す比較結果を送信する。即ち、制御部１１ｂは、住所及びＩＰアドレスの各々が一致する不正ユーザが存在するか否かを示す比較結果を送信する。
　サービス提供システム１ｃにおいては、サービス提供システム１ａ，１ｂの各々から比較結果を受信すると（Ｓ１４）、制御部１１ｃは、利用状況データベースＤＢ２に基づいて利用状況を取得し、受信した比較結果とともに学習モデルに入力し、学習モデルの出力を取得する（Ｓ１５）。Ｓ１５においては、制御部１１ｃは、ユーザ端末２０から受信した利用要求と、利用状況データベースＤＢ２と、に基づいて、ユーザの取引額と取引頻度などの利用状況を取得する。制御部１１ｃは、取得した利用状況と受信した比較結果とを含む入力データを学習モデルに入力し、学習モデルからの出力を取得する。
　制御部１１ｃは、学習モデルの出力が不正ユーザを示しているか否かを判定する（Ｓ１６）。不正ユーザを示していると判定された場合（Ｓ１６；Ｙ）、ユーザが不正であると推定され、Ｓ６の処理に移行し、サービスの利用が制限される。一方、学習モデルの出力が正当ユーザを示していると判定された場合（Ｓ１６；Ｎ）、制御部１１ｃは、サービスの利用を許可し（Ｓ１７）、本処理は終了する。Ｓ１７においては、ユーザが正当であると推定され、ユーザに対してサービスが提供される。
　本実施形態の不正推定システムＳによれば、サービスＣにおける対象ユーザのユーザ情報と、サービスＡ，Ｂにおける不正ユーザのユーザ情報と、の比較結果に基づいて、学習モデルの出力を取得して対象ユーザの不正を推定することによって、不正を推定する精度を高めることができる。不正を推定する精度を高めることにより、サービスＣにおいて不正ユーザが不正を働くことを防止し、サービスＣにおけるセキュリティを高めることができる。例えば、対象ユーザの名前又はカード番号がサービスＣのブラックリストＢＬｃに格納されていなかったとしても、サービスＡ，Ｂにおいて不正ユーザとして登録されていれば、対象ユーザの不正を推定できるので、サービスＣにおける不正ユーザの不正を未然に防止することができる。また例えば、サービスＣとサービスＡ，Ｂとの関係が総合的に学習された学習モデルを利用することによって、過度に厳しいセキュリティになってしまうことを防止することができる。
　また、不正推定システムＳは、複数のサービスＡ，Ｂにそれぞれ対応する複数の比較結果に基づいて、学習モデルの出力を取得して対象ユーザの不正を推定することによって、ユーザの不正を推定する精度を効果的に高めることができ、サービスＣにおけるセキュリティをより向上させることができる。例えば、単一の他のサービスのブラックリストを利用するのではなく、複数の他のサービスのブラックリストＢＬａ，ＢＬｂを利用することによって、特定の他のサービスで対象ユーザが不正を働いていなかったとしても、別の他のサービスで対象ユーザが不正を働いていた場合に、対象ユーザの不正を推定することができる。更に、サービスＡ，ＢによってサービスＣとの関係が異なるので、サービスＡ，Ｂを総合的に学習された学習モデルを考慮することによって、不正を推定する精度を高めつつ、過度に厳しいセキュリティになってしまうことを効果的に防止することができる。
　また、不正推定システムＳは、サービスＣにおける利用状況と、サービスＡ，Ｂにおける不正の有無と、の関係も学習モデルに学習されており、対象ユーザによる利用状況に基づいて、学習モデルの出力を取得することによって、ユーザの不正を推定する精度を効果的に高めることができ、サービスＣにおけるセキュリティをより向上させることができる。
　また、不正推定システムＳは、サービスＣのブラックリスト項目に関する利用状況に基づいて学習モデルの出力を取得し、サービスＣにとってより重要な利用状況を考慮することによって、ユーザの不正を推定する精度を効果的に高めることができ、サービスＣにおけるセキュリティをより向上させることができる。
　また、不正推定システムＳは、複数項目にそれぞれ対応する複数の比較結果と、サービスＣにおける不正の有無と、の関係が学習モデルに学習されており、複数項目にそれぞれ対応する複数の比較結果に基づいて、学習モデルの出力を取得し、より多面的な観点で不正を推定することによって、ユーザの不正を推定する精度を効果的に高めることができ、サービスＣにおけるセキュリティをより向上させることができる。
　また、不正推定システムＳは、サービスＡ，Ｂのブラックリスト項目のユーザ情報の比較結果と、サービスＣにおける不正の有無と、の関係が学習モデルに学習されており、サービスＡ，Ｂのブラックリスト項目の比較結果を取得することによって、ユーザの不正を推定する精度を効果的に高めることができ、サービスＣにおけるセキュリティをより向上させることができる。
　また、サービス提供システム１ａ，１ｂにおいてユーザ情報の比較処理が実行され、サービス提供システム１ｃがサービス提供システム１ａ，１ｂから比較結果を取得することによって、サービスＡ，Ｂのユーザ情報がネットワークＮに送信されないので、サービスＡ，Ｂの個人情報が流出することを防止することができる。更に、サービス提供システム１ｃが比較処理を実行しないので、サービス提供システム１ｃの処理負荷を軽減することもできる。
　また、不正推定システムＳは、サービスＣが利用される場合に、対象ユーザの不正を推定することによって、不正ユーザがサービスを利用することを防止できる。
［５．変形例］
　なお、本発明は、以上に説明した実施の形態に限定されるものではない。本発明の趣旨を逸脱しない範囲で、適宜変更可能である。
　（１）例えば、実施形態では、サービスＡ，Ｂのブラックリスト項目が比較される場合を説明したが、サービスＡ，Ｂのブラックリスト項目以外の項目が比較されてもよい。例えば、サービスＣのブラックリスト項目であって、サービスＡ，Ｂのブラックリスト項目ではない項目が比較されてもよい。他にも例えば、サービスＡ～Ｃの何れのブラックリスト項目でもない項目が比較されてもよい。
　実施形態で説明したように、サービスＡ，Ｂでは、ＩＰアドレス等のブラックリスト項目のユーザ情報に基づいて不正が推定されている。ブラックリスト項目は、変形例（１）の発明に係る第１項目に相当する。学習モデルには、第２項目のユーザ情報の比較結果と、サービスＣにおける不正の有無と、の関係が学習されている。第２項目は、第１項目とは異なる項目であり、サービスＡ，Ｂのブラックリスト項目ではない項目である。例えば、第２項目は、カード番号や電話番号などである。本変形例では、カード番号が第２項目に相当する場合を説明する。
　本変形例では、サービスＡのブラックリスト項目ではないカード番号が比較対象となるので、比較部１０１ａは、ユーザデータベースＤＢ１ａを参照して、不正ユーザのカード番号を取得する。比較部１０１ａは、ブラックリストＢＬａに格納されたＩＰアドレス又はデバイスＩＤに関連付けられたカード番号を取得することになる。なお、ブラックリストＢＬａに不正ユーザの他の項目のユーザ情報も格納しておく場合には、比較部１０１ａは、ブラックリストＢＬａを参照して不正ユーザのカード番号を取得すればよい。サービスＢの比較部１０１ｂについても同様に、ユーザデータベースＤＢ１ｂを参照して不正ユーザのカード番号を取得すればよい。比較処理自体は、実施形態と同様のため、説明を省略する。
　比較結果取得部１０４ｃは、カード番号の比較結果を取得する。比較結果の取得方法自体は、実施形態と同様である。推定部１０６ｃの処理についても実施形態と同様である。
　変形例（１）によれば、サービスＣにおける対象ユーザのカード番号と、カード番号がブラックリスト項目ではないサービスＡ，Ｂにおける不正ユーザのカード番号と、の比較結果に基づいて、対象ユーザの不正を推定することによって、不正を推定する精度を効果的に高めることができ、サービスＣにおけるセキュリティをより向上させることができる。例えば、対象ユーザのカード番号がサービスＣのブラックリストＢＬｃに格納されていなかったとしても、サービスＡ，Ｂの不正ユーザが当該カード番号を登録していれば、サービスＡ，ＢのブラックリストＢＬａ，ＢＬｂを利用して対象ユーザの不正を推定できるので、サービスＣにおける不正ユーザの不正を未然に防止することができる。
　（２）また例えば、実施形態では、サービスＡ，Ｂにおける不正ユーザのユーザ情報を利用して、サービスＣにおける対象ユーザの不正が推定される場合を説明したが、サービスＡ，Ｂにおける正当ユーザのユーザ情報を利用して、サービスＣにおける対象ユーザの不正が推定されてもよい。本変形例では、サービス提供システム１では、ブラックリストではなく、ホワイトリストが用意されている。
　ホワイトリストは、正当ユーザに関するユーザ情報が格納されたリストである。別の言い方をすれば、ホワイトリストは、正当ユーザを識別可能な情報が格納されたリストである。ホワイトリストに載った正当ユーザは、サービスの利用が制限されない。
　ホワイトリストは、サービスの管理者によって手動で編集されてもよいし、サービス提供システム１がユーザの行動を解析することによって自動的に編集されてもよい。また、ホワイトリストに格納されるユーザ情報の項目（以降、ホワイトリスト項目という。）は、全サービスで共通であってもよいが、本実施形態では、サービスに応じたホワイトリスト項目が定められているものとする。
　本変形例の学習モデルは、サービスＣにおけるユーザのユーザ情報とサービスＡ，Ｂにおける正当ユーザのユーザ情報との比較結果と、サービスＣにおける不正の有無と、の関係が学習されている。教師データＤＴは、これらの関係のペアを示すデータとなる。学習方法自体は、実施形態で説明した通りである、「不正ユーザ」の記載を「正当ユーザ」と読み替えればよい。
　本変形例の比較結果取得部１０４ｃは、サービスＣにおける対象ユーザのユーザ情報と、サービスＡ，Ｂにおける正当ユーザのユーザ情報と、の比較結果を取得する。比較結果は、正当ユーザのユーザ情報と一致することを示す値、又は、正当ユーザのユーザ情報と一致しないことを示す値の何れかとなる。出力取得部１０５ｃの処理及び推定部１０６ｃの処理についても実施形態で説明した通りであり、「不正ユーザ」の記載を「正当ユーザ」と読み替えればよい。
　変形例（２）によれば、サービスＡ，Ｂにおけるホワイトリストを利用し、サービスＣにおける対象ユーザの不正を推定することによって、ユーザの不正を推定する精度を高めることができ、サービスＣにおけるセキュリティをより向上させることができる。
　なお、比較結果取得部１０４ｃは、他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報との比較結果を取得すればよく、これらの何れか一方の比較結果だけを取得してもよいし、これらの両方の比較結果を取得してもよい。即ち、他のサービスにおけるブラックリスト及びホワイトリストの少なくとも一方が利用されて対象ユーザの不正が推定されるようにすればよい。
　（３）また例えば、上記変形例を組み合わせてもよい。
　また例えば、サービスごとにユーザデータベースＤＢ１ａ～ＤＢ１ｃが用意されている場合を説明したが、全サービスで共通のユーザデータベースが用意されていてもよい。また例えば、ブラックリスト項目は、任意の項目を設定可能であり、サービスにおいて不正を働く際に利用される蓋然性が高い項目がブラックリスト項目として設定されていてもよい。また例えば、他のサービスの数は、２つに限られず、１つだけであってもよいし、３つ以上であってもよい。
　また例えば、ユーザ情報の比較結果だけではなく、サービスＣの利用状況が学習モデルに学習されている場合を説明したが、サービスＣの利用状況は特に学習モデルに学習されていなくてもよい。この場合、サービスＣの利用状況が用いられずに対象ユーザの不正が推定されることになる。また例えば、サービスの利用時における不正が推定される場合を説明したが、他の任意のタイミングにおける不正が推定されてよい。例えば、ユーザが特にサービスを利用する場合でなくてもよく、サービスＣの管理者が指定したタイミングで不正が推定されてもよい。
　また例えば、サービス提供システム１ｃが多数のサービスと提携している場合には、他のサービスの中には、比較対象となる項目が登録されていないこともある。このため、サービス提供システム１ｃは、比較対象となる項目が登録されているサービスを特定し、当該特定したサービスのサービス提供システム１に対し、比較処理を依頼してもよい。この場合、どのサービスにどの項目のユーザ情報が登録されているかを示す情報が、サービス提供システム１ｃに登録されているものとする。
　また例えば、サービスＣにおける対象ユーザの不正を推定する場面を例に挙げたが、サービスＡにおける対象ユーザの不正が推定されてもよい。この場合、サービス提供システム１ａは、実施形態で説明したサービス提供システム１ｃと同様の機能を有し、サービス提供システム１ｃは、サービス提供システム１ａ，１ｂの比較部１０１ａ，１０１ｂと同様の機能を有する。例えば、サービス提供システム１ａは、サービスＡのユーザ登録をする対象ユーザのユーザ情報を、サービス提供システム１ｂ，１ｃに送信し、サービス提供システム１ｂ，１ｃから比較結果を取得する。サービス提供システム１ａは、学習モデルに比較結果を入力して対象ユーザの不正を推定する。
　また例えば、サービスＢにおける対象ユーザの不正が推定されてもよい。この場合、サービス提供システム１ｂは、実施形態で説明したサービス提供システム１ｃと同様の機能を有し、サービス提供システム１ｃは、サービス提供システム１ａ，１ｂの比較部１０１ａ，１０１ｂと同様の機能を有する。例えば、サービス提供システム１ｂは、サービスＢのユーザ登録をする対象ユーザのユーザ情報を、サービス提供システム１ａ，１ｃに送信し、サービス提供システム１ａ，１ｃから比較結果を取得する。サービス提供システム１ｂは、学習モデルに比較結果を入力して対象ユーザの不正を推定する。
　また例えば、全てのサービス提供システム１が同じ機能を有してもよい。また例えば、ブラックリスト項目がサービスごとに定められている場合を説明したが、ブラックリスト項目は、複数のサービスで共通であってもよい。例えば、サービスＡ－Ｃの全てのブラックリスト項目がカード番号であってもよい。この場合、比較部１０１ａ，１０１ｂは、特にユーザデータベースＤＢ１ａ，ＤＢ１ｂを参照せず、ブラックリストを参照して、比較対象のユーザ情報を取得すればよい。また例えば、不正推定システムＳにサービス提供システム１ａ，１ｂが含まれている場合を説明したが、サービス提供システム１ａ，１ｂは、不正推定システムＳの外部のシステムであってもよい。
　また例えば、主な機能がサーバ１０で実現される場合を説明したが、各機能は、複数のコンピュータで分担されてもよい。例えば、サーバ１０及びユーザ端末２０の各々で機能が分担されてもよい。また例えば、不正推定システムＳが複数のサーバコンピュータを含む場合には、これら複数のサーバコンピュータで機能が分担されてもよい。また例えば、データ記憶部１００ａ～１００ｃで記憶されるものとして説明したデータは、サーバ１０以外のコンピュータによって記憶されてもよい。

Claims (11)

  1. 　一のサービスにおけるユーザのユーザ情報と他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報との比較結果と、前記一のサービスにおける不正の有無と、の関係が学習された学習モデルを記憶する記憶手段と、
    　前記一のサービスにおける対象ユーザのユーザ情報と、前記他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報と、の比較結果を取得する比較結果取得手段と、
    　前記比較結果に基づいて、前記学習モデルの出力を取得する出力取得手段と、
    　前記学習モデルの出力に基づいて、前記対象ユーザの不正を推定する推定手段と、
    　を含むことを特徴とする不正推定システム。
  2. 　前記学習モデルには、複数の他のサービスにそれぞれ対応する複数の比較結果と、前記一のサービスにおける不正の有無と、の関係が学習されており、
    　前記比較結果取得手段は、前記複数の他のサービスにそれぞれ対応する複数の比較結果を取得し、
    　前記出力取得手段は、前記複数の比較結果に基づいて、前記学習モデルの出力を取得する、
    　ことを特徴とする請求項１に記載の不正推定システム。
  3. 　前記学習モデルには、前記一のサービスにおける利用状況と、前記一のサービスにおける不正の有無と、の関係も学習されており、
    　前記不正推定システムは、前記対象ユーザによる前記一のサービスの利用状況を取得する利用状況取得手段を更に含み、
    　前記出力取得手段は、前記対象ユーザによる利用状況に基づいて、前記学習モデルの出力を取得する、
    　ことを特徴とする請求項１又は２に記載の不正推定システム。
  4. 　前記一のサービスでは、所定項目のユーザ情報に基づいて不正が推定され、
    　前記利用状況は、前記所定項目に関する利用状況である、
    　ことを特徴とする請求項３に記載の不正推定システム。
  5. 　前記一のサービス及び前記他のサービスでは、複数項目のユーザ情報が登録され、
    　前記学習モデルには、前記複数項目にそれぞれ対応する複数の比較結果と、前記一のサービスにおける不正の有無と、の関係が学習されており、
    　前記比較結果取得手段は、前記複数項目にそれぞれ対応する複数の比較結果を取得し、
    　前記出力取得手段は、前記複数の比較結果に基づいて、前記学習モデルの出力を取得する、
    　ことを特徴とする請求項１～４の何れかに記載の不正推定システム。
  6. 　前記他のサービスでは、所定項目のユーザ情報に基づいて不正が推定され、
    　前記学習モデルには、前記所定項目のユーザ情報の比較結果と、前記一のサービスにおける不正の有無と、の関係が学習されており、
    　前記比較結果取得手段は、前記所定項目の比較結果を取得する、
    　ことを特徴とする請求項１～５の何れかに記載の不正推定システム。
  7. 　前記他のサービスでは、第１項目のユーザ情報に基づいて不正が推定され、
    　前記学習モデルには、第２項目のユーザ情報の比較結果と、前記一のサービスにおける不正の有無と、の関係が学習されており、
    　前記比較結果取得手段は、前記第２項目の比較結果を取得する、
    　ことを特徴とする請求項１～６の何れかに記載の不正推定システム。
  8. 　前記他のサービスでは、前記一のサービスにおける対象ユーザのユーザ情報と、前記他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報と、が比較され、
    　前記比較結果取得手段は、前記他のサービスから比較結果を取得する、
    　ことを特徴とする請求項１～７の何れかに記載の不正推定システム。
  9. 　前記不正推定システムは、前記対象ユーザによる前記一のサービスの利用要求を受け付ける受付手段を更に含み、
    　前記推定手段は、前記対象ユーザにより前記一のサービスが利用される場合に、前記対象ユーザの不正を推定する、
    　ことを特徴とする請求項１～８の何れかに記載の不正推定システム。
  10. 　一のサービスにおける対象ユーザのユーザ情報と、他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報と、の比較結果を取得する比較結果取得ステップと、
    　前記比較結果に基づいて、前記一のサービスにおけるユーザのユーザ情報と前記他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報との比較結果と、前記一のサービスにおける不正の有無と、の関係が学習された学習モデルの出力を取得する出力取得ステップと、
    　前記学習モデルの出力に基づいて、前記対象ユーザの不正を推定する推定ステップと、
    　を含むことを特徴とする不正推定方法。
  11. 　一のサービスにおける対象ユーザのユーザ情報と、他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報と、の比較結果を取得する比較結果取得手段、
    　前記比較結果に基づいて、前記一のサービスにおけるユーザのユーザ情報と前記他のサービスにおける不正ユーザ又は正当ユーザのユーザ情報との比較結果と、前記一のサービスにおける不正の有無と、の関係が学習された学習モデルの出力を取得する出力取得手段、
    　前記学習モデルの出力に基づいて、前記対象ユーザの不正を推定する推定手段、
    　としてコンピュータを機能させるためのプログラム。
PCT/JP2019/025366 2019-06-26 2019-06-26 不正推定システム、不正推定方法、及びプログラム WO2020261426A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
PCT/JP2019/025366 WO2020261426A1 (ja) 2019-06-26 2019-06-26 不正推定システム、不正推定方法、及びプログラム
JP2020505292A JP6743319B1 (ja) 2019-06-26 2019-06-26 不正推定システム、不正推定方法、及びプログラム
US17/055,996 US20210264299A1 (en) 2019-06-26 2019-06-26 Fraud estimation system, fraud estimation method and program
EP19928299.7A EP3955143A4 (en) 2019-06-26 2019-06-26 FRAUD DEDUCTION SYSTEM, FRAUD DEDUCTION METHOD, AND PROGRAM
TW109121323A TWI751590B (zh) 2019-06-26 2020-06-23 違規推定系統、違規推定方法及程式產品

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/025366 WO2020261426A1 (ja) 2019-06-26 2019-06-26 不正推定システム、不正推定方法、及びプログラム

Publications (1)

Publication Number Publication Date
WO2020261426A1 true WO2020261426A1 (ja) 2020-12-30

Family

ID=72047846

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/025366 WO2020261426A1 (ja) 2019-06-26 2019-06-26 不正推定システム、不正推定方法、及びプログラム

Country Status (5)

Country Link
US (1) US20210264299A1 (ja)
EP (1) EP3955143A4 (ja)
JP (1) JP6743319B1 (ja)
TW (1) TWI751590B (ja)
WO (1) WO2020261426A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7165841B1 (ja) * 2021-08-31 2022-11-04 楽天グループ株式会社 不正検知システム、不正検知方法、及びプログラム

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI759908B (zh) * 2020-10-15 2022-04-01 威聯通科技股份有限公司 產生授權允許名單的方法與利用其之資安系統
US12008573B2 (en) * 2021-01-21 2024-06-11 Shopify Inc. Computer-implemented systems and methods for detecting fraudulent activity
JP7176157B1 (ja) * 2021-06-30 2022-11-21 楽天グループ株式会社 学習モデル作成システム、学習モデル作成方法、及びプログラム
US11974134B2 (en) * 2022-01-28 2024-04-30 Oracle International Corporation Methods, systems, and computer readable media for validating subscriber entities against spoofing attacks in a communications network

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010026547A (ja) * 2008-07-15 2010-02-04 Fujitsu Ltd ファイアウォール負荷分散方法及びファイアウォール負荷分散システム
JP2011160029A (ja) * 2010-01-29 2011-08-18 Nippon Telegr & Teleph Corp <Ntt> 通信処理システム、通信処理方法、通信処理装置及びプログラム
JP2015170219A (ja) * 2014-03-07 2015-09-28 株式会社日立システムズ アクセス管理方法およびアクセス管理システム
JP2018045573A (ja) 2016-09-16 2018-03-22 ヤフー株式会社 判定装置、判定方法、判定プログラム、生成装置、生成方法及び生成プログラム
JP2018063728A (ja) * 2017-12-27 2018-04-19 株式会社カウリス サービス提供システム、サービス提供方法、照合装置、照合方法及びコンピュータプログラム

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7865427B2 (en) * 2001-05-30 2011-01-04 Cybersource Corporation Method and apparatus for evaluating fraud risk in an electronic commerce transaction
US10586235B2 (en) * 2016-06-22 2020-03-10 Paypal, Inc. Database optimization concepts in fast response environments
CN106991317B (zh) * 2016-12-30 2020-01-21 中国银联股份有限公司 安全验证方法、平台、装置和系统
WO2018216379A1 (ja) * 2017-05-26 2018-11-29 株式会社日立国際電気 機械学習モデル不正検知システム及び不正検知方法
US10742669B2 (en) * 2017-08-09 2020-08-11 NTT Security Corporation Malware host netflow analysis system and method
CN109934267B (zh) * 2019-02-19 2023-10-20 创新先进技术有限公司 模型检测方法及装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010026547A (ja) * 2008-07-15 2010-02-04 Fujitsu Ltd ファイアウォール負荷分散方法及びファイアウォール負荷分散システム
JP2011160029A (ja) * 2010-01-29 2011-08-18 Nippon Telegr & Teleph Corp <Ntt> 通信処理システム、通信処理方法、通信処理装置及びプログラム
JP2015170219A (ja) * 2014-03-07 2015-09-28 株式会社日立システムズ アクセス管理方法およびアクセス管理システム
JP2018045573A (ja) 2016-09-16 2018-03-22 ヤフー株式会社 判定装置、判定方法、判定プログラム、生成装置、生成方法及び生成プログラム
JP2018063728A (ja) * 2017-12-27 2018-04-19 株式会社カウリス サービス提供システム、サービス提供方法、照合装置、照合方法及びコンピュータプログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3955143A4

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7165841B1 (ja) * 2021-08-31 2022-11-04 楽天グループ株式会社 不正検知システム、不正検知方法、及びプログラム
WO2023032045A1 (ja) * 2021-08-31 2023-03-09 楽天グループ株式会社 不正検知システム、不正検知方法、及びプログラム

Also Published As

Publication number Publication date
JP6743319B1 (ja) 2020-08-19
TWI751590B (zh) 2022-01-01
EP3955143A1 (en) 2022-02-16
TW202105303A (zh) 2021-02-01
EP3955143A4 (en) 2022-06-22
JPWO2020261426A1 (ja) 2021-09-13
US20210264299A1 (en) 2021-08-26

Similar Documents

Publication Publication Date Title
JP6743319B1 (ja) 不正推定システム、不正推定方法、及びプログラム
US7543740B2 (en) Fraud analyst smart cookie
JP5775003B2 (ja) ユーザセッションを認証するためのソーシャル情報の使用
US20150295906A1 (en) Identity validation system and associated methods
US20220147970A1 (en) Qr code initiative: fraud detection
WO2014145395A2 (en) System and method for consumer fraud protection
US11657177B2 (en) QR code initiative: privacy
JP6813711B1 (ja) 不正推定システム、不正推定方法、及びプログラム
EP4046093B1 (en) A digital, personal and secure electronic access permission
US20210133760A1 (en) Multi-factor authentication for business to consumer transactions
JP7176158B1 (ja) 学習モデル評価システム、学習モデル評価方法、及びプログラム
US10003464B1 (en) Biometric identification system and associated methods
WO2023275995A1 (ja) 不正検知システム、不正検知方法、及びプログラム
JP7176157B1 (ja) 学習モデル作成システム、学習モデル作成方法、及びプログラム
JP2007011964A (ja) ユーザ情報管理システム及びユーザ情報管理プログラム
JP7165841B1 (ja) 不正検知システム、不正検知方法、及びプログラム
JP7165840B1 (ja) 不正検知システム、不正検知方法、及びプログラム
JP2023065712A (ja) 管理装置、管理方法、および管理プログラム
JP2022103891A (ja) カード登録システム、カード登録方法、及びプログラム
WO2022103629A1 (en) Qr code initiative: privacy
CN112634015A (zh) 信息审批方法、装置及介质

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2020505292

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19928299

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE