特許 6493497 情報処理装置、情報処理方法、プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】6493497

(24)【登録日】2019年3月15日

(45)【発行日】2019年4月3日

(54)【発明の名称】情報処理装置、情報処理方法、プログラム

(51)【国際特許分類】

   G06F 13/00 20060101AFI20190325BHJP

【ＦＩ】

   G06F13/00 610Q

【請求項の数】7

【全頁数】18

(21)【出願番号】特願2017-230618(P2017-230618)

(22)【出願日】2017年11月30日

【審査請求日】2018年10月16日

(73)【特許権者】

【識別番号】390002761

【氏名又は名称】キヤノンマーケティングジャパン株式会社

(73)【特許権者】

【識別番号】592135203

【氏名又は名称】キヤノンＩＴソリューションズ株式会社

(74)【代理人】

【識別番号】100189751

【弁理士】

【氏名又は名称】木村 友輔

(72)【発明者】

【氏名】田中 靖大

【審査官】 佐々木 洋

(56)【参考文献】

【文献】 特開２００９−１８８６７１（ＪＰ，Ａ）

【文献】 特開２００４−１２７１４５（ＪＰ，Ａ）

【文献】 特開２００７−１９３７１７（ＪＰ，Ａ）

【文献】 特開２０１２−０７８９２２（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ １３／００

(57)【特許請求の範囲】

【請求項1】

組織名と電子メールの送信元に係る情報とを対応付けて記憶するコンピュータを、
受信した電子メールの本文について、行ごとに行種別を特定する行種別特定手段と、
前記行種別特定手段により特定された行種別が所定の行種別である行から組織名を抽出する抽出手段と、
前記抽出手段により抽出された組織名に対応付けて記憶された送信元に係る情報を特定する特定手段と、
前記特定手段により特定された送信元に係る情報と、当該電子メールの送信元に係る情報とが一致しない場合、警告を通知する通知手段として機能させるためのプログラム。

【請求項2】

前記抽出手段を、前記行種別特定手段により、行種別が名乗りとして特定された行から組織名を抽出する手段として機能させるための請求項１に記載のプログラム。

【請求項3】

前記抽出手段を、前記行種別特定手段により、行種別が署名部として特定された行から組織名を抽出する手段として機能させるための請求項１または２に記載のプログラム。

【請求項4】

前記抽出手段を、前記電子メールのヘッダ情報から組織名を抽出する手段として機能させるための請求項１乃至３のいずれか１項に記載のプログラム。

【請求項5】

前記通知手段を、前記抽出手段により抽出された組織名から特定される送信元と、当該電子メールの送信元とを異なる形態で表示することで、警告を通知する手段として機能させるための請求項１乃至４のいずれか１項に記載のプログラム。

【請求項6】

組織名と電子メールの送信元に係る情報とを対応付けて記憶する記憶手段と、
受信した電子メールの本文について、行ごとに行種別を特定する行種別特定手段と、
前記行種別特定手段により特定された行種別が所定の行種別である行から組織名を抽出する抽出手段と、
前記抽出手段により抽出された組織名に対応付けて記憶された送信元に係る情報を特定する特定手段と、
前記特定手段により特定された送信元に係る情報と、当該電子メールの送信元に係る情報とが一致しない場合、警告を通知する通知手段と、
を備えることを特徴とする情報処理装置。

【請求項7】

組織名と電子メールの送信元に係る情報とを対応付けて記憶する情報処理装置における情報処理方法であって、
前記情報処理装置の行種別特定手段が、受信した電子メールの本文について、行ごとに行種別を特定する行種別特定工程と、
前記情報処理装置の抽出手段が、前記行種別特定工程により特定された行種別が所定の行種別である行から組織名を抽出する抽出工程と、
前記情報処理装置の特定手段が、前記抽出工程により抽出された組織名に対応付けて記憶された送信元に係る情報を特定する特定工程と、
前記情報処理装置の通知手段が、前記特定工程により特定された送信元に係る情報と、当該電子メールの送信元に係る情報とが一致しない場合、警告を通知する通知工程と、
を備えることを特徴とする情報処理方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報処理装置、情報処理方法、プログラムに関する。

【背景技術】

【0002】

近年、特定の組織や人物から金銭や重要情報の窃取を目的とした標的型攻撃が増加している。標的型攻撃では、目的を達成するために、標的となる組織や人物に特化した情報に基づき、多様な手法を組み合わせて攻撃が行われる。

【0003】

標的型攻撃における初期侵入手段としては、標的型攻撃メールと呼ばれる電子メールを用いる方法が典型的である。標的型攻撃メールでは、標的となる受信者の興味を引く内容や、受信者が自身と関連があると誤認する内容を本文に記載し、電子メールに添付したファイルや記載されたリンク先に仕込まれた不正プログラムを実行させることを狙う。標的が不正プログラムを実行してしまうとバッグドアが設置され更なる攻撃の侵入口となってしまう。

【0004】

標的型攻撃メールには大きく分けて２つの種類がある。１つめは、特定の個人を標的とした「やりとり型攻撃」であり、２つめは、多くの人に当てはまる属性に関する内容のメールを不特定多数に送信することで、特定の属性を持つ人を標的とする「ばらまき型攻撃」である。

【0005】

「ばらまき型攻撃」では、多くの人に当てはまる属性が使われるため、利用者の多いサービスや商品を扱う組織からの通知や連絡を偽装することが多い。

【0006】

詐称される組織は、一般的に認知度、信頼度ともに高く、標的となったユーザは組織の名前だけで無条件に信頼してしまいがちである。また、メールアドレスやＵＲＬが実際に該当組織に所属することを判断するには、メールアドレスはＵＲＬにおいて組織に対応するドメイン部から判断する必要があり、一般的なユーザには難しい。

【0007】

特許文献１には、電子メール本文に記載されたＵＲＬと、予め登録されている組織名を抽出し、抽出したＵＲＬと組織名の位置関係からそれらを関連付け、組織名に関連づけられた抽出ＵＲＬが予め組織名と関連付けられたＵＲＬリストに含まれているかにより正当性を判定する技術が開示されている。

【0008】

また、特許文献２には、電子メール本文に記載されたＵＲＬを抽出し、ＵＲＬのドメインと電子メールの差出人アドレスのドメインを比較し、一致しなければ警告を発する技術が開示されている。

【先行技術文献】

【特許文献】

【0009】

【特許文献1】特開２００７−１５６６９０号公報

【特許文献2】特許第４４２９９７１号公報

【発明の開示】

【発明が解決しようとする課題】

【0010】

特許文献１および特許文献２ともにフィッシング対策の技術でありＵＲＬの正当性を検証する手段となっており、メールによる詐欺そのものを判定しているわけではないため、添付ファイルによる攻撃には対応できないという課題がある。

【0011】

また、特許文献２は、攻撃者が正当なアドレスを用いて、差出人を詐称している場合には有効ではあるが、攻撃者が正当なアドレスと誤認するようなドメインを使用し、ＵＲＬと差出人アドレスのドメインが一致している場合は、検出することができないという課題がある。

【0012】

そのため、受信した電子メールが、本文冒頭における名乗りや末尾の署名において自称している組織の正当なアドレスから送信されたか否かを判定できることが望まれる。

【0013】

そこで、本発明は、電子メール本文から特定される組織と差出人のアドレスとに基づき注意喚起をすることで、標的型攻撃メールによる被害を防ぐことを目的とする。

【課題を解決するための手段】

【0014】

本発明の情報処理装置は、電子メール本文から組織名を抽出する抽出手段と、前記抽出手段により抽出された組織名に対応するドメインを特定するドメイン特定手段と、前記ドメイン特定手段により特定されたドメインと、前記電子メールの差出人アドレスのドメインとに基づき、組織詐称の可能性を通知する通知手段と、を備えることを特徴とする。

【発明の効果】

【0015】

本発明によれば、電子メール本文から特定される組織と差出人のアドレスとに基づき注意喚起をすることで、標的型攻撃メールによる被害を防ぐことが可能となる。

【図面の簡単な説明】

【0016】

【図1】本発明の実施形態における、組織詐称メール検査装置のシステム構成の一例を示す図である。

【図2】本発明の実施形態における、組織詐称メール検知装置のハードウェア構成の一例を示すブロック図である。

【図3】本発明の実施形態における、組織詐称メール検知装置の機能構成の一例を示す図である。

【図4】本発明の実施形態における、メールを検査する処理の一例を示すフローチャートである。

【図5】本発明の実施形態における、メール本文における挨拶部の組織名を抽出する処理の一例を示すフローチャートである。

【図6】本発明の実施形態における、判定知識保存領域の構成の一例を示す図である。

【図7】本発明の実施形態における、行種別テーブルの一例を示す図である。

【図8】本発明の実施形態における、組織ドメインテーブルの一例を示す図である。

【図9】本発明の実施形態における、電子メールの一例を示す図である。

【図10】本発明の実施形態における、メール本文における署名部の組織名を抽出する処理の一例を示すフローチャートである。

【図11】本発明の実施形態における、メールの組織詐称を判定する処理の一例を示すフローチャートである。

【図12】本発明の実施形態における、メール閲覧画面の一例を示す図である。

【発明を実施するための形態】

【0017】

以下、図面を参照して、本発明の実施形態を詳細に説明する。

【0018】

図１は、本発明の実施形態における組織詐称メール検査装置のシステム構成の一例を示す図である。

【0019】

組織詐称メール検査装置１００と、メールサーバ１２０とは、ローカルエリアネットワーク１３０を介して接続される構成となっている。またメールサーバ１２０は、外部ネットワーク１４０に接続可能な構成となっている。

【0020】

組織詐称メール検査装置１００は、一般的な電子メールクライアントの機能を持ち、電子メールの閲覧機能とメールサーバからの受信機能を有する。

【0021】

更に、受信した電子メールを表示する際に、表示する電子メールに対する組織詐称の有無の判定を行ない、電子メールが組織詐称の可能性があると判断された場合、電子メールの組織詐称箇所を強調表示し目視確認を促す。

【0022】

メールサーバ１２０は一般的なメールの受信サーバ（ＰＯＰ３またはＩＭＡＰサーバ）であり、外部またはローカルの送信先から受け取ったメールを電子メールクライアントの要求に応じて転送する。

【0023】

本実施形態では、組織詐称メール検査装置を電子メールクライアントとした場合について説明するが、ゲートウェイ型の電子メール監査システムやＷｅｂメールシステムとして実施しても構わない。

【0024】

図２は、本発明の実施形態における組織詐称メール検査装置（情報処理装置）１００のハードウェア構成の一例を示すブロック図である。

【0025】

図２に示すように、情報処理装置は、システムバス２０４を介してＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０１、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２０２、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２０３、入力コントローラ２０５、ビデオコントローラ２０６、メモリコントローラ２０７、よび通信Ｉ／Ｆコントローラ２０８が接続される。

【0026】

ＣＰＵ２０１は、システムバス２０４に接続される各デバイスやコントローラを統括的に制御する。

【0027】

ＲＯＭ２０２あるいは外部メモリ２１１は、ＣＰＵ２０１が実行する制御プログラムであるＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ／Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）やＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）や、本情報処理方法を実現するためのコンピュータ読み取り実行可能なプログラムおよび必要な各種データ（データテーブルを含む）を保持している。

【0028】

ＲＡＭ２０３は、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。ＣＰＵ２０１は、処理の実行に際して必要なプログラム等をＲＯＭ２０２あるいは外部メモリ２１１からＲＡＭ２０３にロードし、ロードしたプログラムを実行することで各種動作を実現する。

【0029】

入力コントローラ２０５は、キーボード２０９や不図示のマウス等のポインティングデバイス等の入力装置からの入力を制御する。入力装置がタッチパネルの場合、ユーザがタッチパネルに表示されたアイコンやカーソルやボタンに合わせて押下（指等でタッチ）することにより、各種の指示を行うことができることとする。

【0030】

また、タッチパネルは、マルチタッチスクリーンなどの、複数の指でタッチされた位置を検出することが可能なタッチパネルであってもよい。

【0031】

ビデオコントローラ２０６は、ディスプレイ２１０などの外部出力装置への表示を制御する。ディスプレイは本体と一体になったノート型パソコンのディスプレイも含まれるものとする。なお、外部出力装置はディスプレイに限ったものははく、例えばプロジェクタであってもよい。また、前述のタッチ操作を受け付け可能な装置については、入力装置も提供する。

【0032】

なおビデオコントローラ２０６は、表示制御を行うためのビデオメモリ（ＶＲＡＭ）を制御することが可能で、ビデオメモリ領域としてＲＡＭ２０３の一部を利用することもできるし、別途専用のビデオメモリを設けることも可能である。

【0033】

メモリコントローラ２０７は、外部メモリ２１１へのアクセスを制御する。外部メモリとしては、ブートプログラム、各種アプリケーション、フォントデータ、ユーザファイル、編集ファイル、および各種データ等を記憶する外部記憶装置（ハードディスク）、フレキシブルディスク（ＦＤ）、或いはＰＣＭＣＩＡカードスロットにアダプタを介して接続されるコンパクトフラッシュ（登録商標）メモリ等を利用可能である。

【0034】

通信Ｉ／Ｆコントローラ２０９は、ネットワークを介して外部機器と接続・通信するものであり、ネットワークでの通信制御処理を実行する。例えば、ＴＣＰ／ＩＰを用いた通信やＩＳＤＮなどの電話回線、および携帯電話の３Ｇ回線を用いた通信が可能である。

【0035】

尚、ＣＰＵ２０１は、例えばＲＡＭ２０３内の表示情報用領域へアウトラインフォントの展開（ラスタライズ）処理を実行することにより、ディスプレイ２１０上での表示を可能としている。また、ＣＰＵ２０１は、ディスプレイ２１０上の不図示のマウスカーソル等でのユーザ指示を可能とする。

【0036】

次に図３を用いて、組織詐称メール検査装置（情報処理装置）の機能について説明する。

【0037】

一覧表示部３０１は、メールサーバ１２０から受信した電子メールを表示部に一覧表示する機能を備える。一覧表示された電子メールに対する選択を受け付ける（閲覧要求を受け付ける）ことで、図４のフローチャートで示す処理が実行される。

【0038】

検査処理部３０２は、図４、図５、図１０、図１１のフローチャートで示す処理を実行する機能を備える。詳細は、各フローチャートを用いて説明する。

【0039】

判定知識保存領域は、図７、図８に示すデータが保存された領域である。

【0040】

閲覧処理部３０４は、閲覧要求を受け付けた電子メールを表示する機能を備え、組織詐称の可能性がある旨の通知等を行う機能を備える

【0041】

（メール検査処理）
次に図４のフローチャートを用いて、本発明の実施形態における検査処理部３０２が実行する電子メールの検査処理について説明する。

【0042】

図４のフローチャートは、組織詐称メール検査装置１００のＣＰＵ２０１が所定の制御プログラムを読み出して実行する処理であり、一覧表示部３０１において閲覧を指示された電子メールを表示する前に実行される処理を示すフローチャートである。

【0043】

ステップＳ４０１では、検査処理部３０２は、メール受信処理部３０１で閲覧を指示された電子メールを取得する。

【0044】

ステップＳ４０２では、検査処理部３０２は、ステップＳ４０１で受け取った電子メールから電子メール本文冒頭の挨拶部を特定し、挨拶部に記述されている組織名を抽出する。本ステップの処理の詳細は、図５のフローチャートを用いて後述する。

【0045】

ステップＳ４０３では、検査処理部３０２は、ステップＳ４０１で受け取った電子メールから電子メール本文末尾の署名部を特定し、署名部に記述されている組織名を抽出する。本ステップの処理の詳細は、図１０のフローチャートを用いて後述する。

【0046】

ステップＳ４０４では、検査処理部３０２は、電子メールヘッダの差出人のフィールド（Ｆｒｏｍ）の実名部から組織名を抽出する。

【0047】

ステップＳ４０５では、検査処理部３０２は、ステップＳ４０２からＳ４０４で取得した組織名と差出人アドレスから組織詐称の有無を判定する。本ステップの処理の詳細は、図１１のフローチャートを用いて後述する

【0048】

（挨拶部組織名抽出処理）
次に図５のフローチャートを用いて、ステップＳ４０２の挨拶部組織名抽出処理について説明する。

【0049】

ステップＳ５０１では、検査処理部３０２は、ステップＳ４０１で取得した電子メールの本文から空行と引用行を除去する。引用行は、返信メールや転送メール等において、返信元のメールや転送元のメールに記載されていた部分である。行頭に「＞」が付されていること等に基づき判断することが可能である。

【0050】

ステップＳ５０２では、検査処理部３０２は、ステップＳ５０１で空行と引用行が除去された本文の先頭から規定数だけ行を取得する。

【0051】

ステップＳ５０３では、検査処理部３０２は、ステップＳ５０２で取得した行に対して、ステップＳ５０８までの繰り返し処理を開始する。

【0052】

ステップＳ５０４では、検査処理部３０２は、図６に示す判定知識保存領域３０３における行種別テーブル６０１を用いて、対象の行の種別を判定する。

【0053】

行種別の判断は、行種別テーブル６０１に登録されたパターン（正規表現）に合致した種別と判断される。合致するパターンがない場合、種別は「なし」とする。行種別テーブル６０１の一例を図７に示す。

【0054】

本発明の実施形態では、正規表現を用いたが、単語や特定文字列の出現頻度や割合などにより判断するように構成しても構わない。

【0055】

ステップＳ５０５では、検査処理部３０２は、ステップＳ５０４の処理の結果、対象行の行種別が「挨拶」「宛名」「名乗り」のいずれかと判定された場合は、ステップＳ５０６に処理を移す。行種別が「挨拶」「宛名」「名乗り」のいずれでもないと判断された場合、処理を終了する。

【0056】

ステップＳ５０６では、検査処理部３０２は、テップＳ５０４の処理の結果、対象行の行種別が「名乗り」と判定された場合は、ステップＳ５０７に処理を移す。行種別が「名乗り」でないと判断された場合、ステップＳ５０８に処理を移す。

【0057】

ステップＳ５０７では、検査処理部３０２は、対象の行から組織名を抽出し、処理を終了する。

【0058】

組織名の抽出については、詳細は省略するが、判定知識保存領域３０３における組織ドメインテーブル６０２における「組織名」および「別名・ブランド名」に登録されている文字列を抽出する。組織ドメインテーブル６０２の一例を図８に示す。

【0059】

ステップＳ５０８では、検査処理部３０２は、処理対象となる行がまだあれば、ステップＳ５０３からの繰り返し処理を実施する。処理対象となる行がなければ、処理を終了する。

【0060】

結果として、電子メール冒頭の挨拶部分で、差出人が自称している組織名を取得する

【0061】

（挨拶部組織名抽出処理具体例）
次に挨拶部組織名抽出処理の具体例として、図９に示す電子メール９０１に対して図５に示す処理が実施された場合について説明する。

【0062】

ステップＳ５０１では、検査処理部３０２は、電子メール９０１の本文９０４から空行と引用行を除去する。

【0063】

ステップＳ５０２では、検査処理部３０２は、ステップＳ５０１で空行と引用行が除去された本文９０４の先頭から規定数だけ行を取得する（９０５）。本具体例では規定数を５とする。

【0064】

ステップＳ５０３では、検査処理部３０２は、ステップＳ５０２で取得した行「ニューセレクト 近藤様」に対して、ステップＳ５０８までの繰り返し処理を開始する。

【0065】

ステップＳ５０４では、検査処理部３０２は、図７の行種別テーブル６０１を用いて、対象の行「ニューセレクト 近藤様」の種別を「宛名」（７０１に合致）と判定する。

【0066】

ステップＳ５０５では、検査処理部３０２は、ステップＳ５０４の処理の結果、対象行の行種別が「宛名」と判定されたので、ステップＳ５０６に処理を移す。

【0067】

ステップＳ５０６では、検査処理部３０２は、テップＳ５０４の処理の結果、対象行の行種別が「宛名」と判定されたので、ステップＳ５０８に処理を移す。

【0068】

ステップＳ５０８では、検査処理部３０２は、処理対象となる行「お世話になっております。」があるので、ステップＳ５０３からの繰り返し処理を実施する。

【0069】

ステップＳ５０３では、検査処理部３０２は、次の行「お世話になっております。」に対して、ステップＳ５０８までの繰り返し処理を開始する。

【0070】

ステップＳ５０４では、検査処理部３０２は、図７の行種別テーブル６０１を用いて、対象の行「お世話になっております。」の種別を「挨拶」（７０２に合致）と判定する。

【0071】

ステップＳ５０５では、検査処理部３０２は、ステップＳ５０４の処理の結果、対象行の行種別が「挨拶」と判定されたので、ステップＳ５０６に処理を移す。

【0072】

ステップＳ５０６では、検査処理部３０２は、テップＳ５０４の処理の結果、対象行の行種別が「挨拶」と判定されたので、ステップＳ５０８に処理を移す。

【0073】

ステップＳ５０８では、検査処理部３０２は、処理対象となる行「長防銀の大村です。」がまだあるので、ステップＳ５０３からの繰り返し処理を実施する。

【0074】

ステップＳ５０３では、検査処理部３０２は、次の行「長防銀の大村です。」に対して、ステップＳ５０８までの繰り返し処理を開始する。

【0075】

ステップＳ５０４では、検査処理部３０２は、図７の行種別テーブル６０１を用いて、対象の行「長防銀の大村です。」の種別を「名乗り」（７０３に合致）と判定する。

【0076】

ステップＳ５０５では、検査処理部３０２は、ステップＳ５０４の処理の結果、対象行「長防銀の大村です。」の行種別が「名乗り」と判定されたので、ステップＳ５０６に処理を移す。

【0077】

ステップＳ５０６では、検査処理部３０２は、テップＳ５０４の処理の結果、対象行「長防銀の大村です。」の行種別が「名乗り」と判定されたので、ステップＳ５０７に処理を移す。

【0078】

ステップＳ５０７では、検査処理部３０２は、対象の行「長防銀の大村です。」から組織名「長防銀」（８０１に合致）を抽出し、処理を終了する。

【0079】

結果として、電子メール９０１冒頭から、差出人が自称している組織名として「長防銀」を取得する

【0080】

（署名部組織名抽出処理）
次に図１０のフローチャートを用いて、ステップＳ４０３の署名部組織名抽出処理について説明する。

【0081】

ステップＳ１００１では、検査処理部３０２は、一時領域に署名部バッファを確保し初期化する。

【0082】

ステップＳ１００２では、検査処理部３０２は、ステップＳ４０１で取得した電子メールの本文から空行と引用行を除去する。

【0083】

ステップＳ１００３では、検査処理部３０２は、ステップＳ１００２で空行と引用行が除去された本文の末尾から規定数だけ行を取得する。

【0084】

ステップＳ１００４では、検査処理部３０２は、ステップＳ１００３で取得した行に対して、末尾からステップＳ１００８までの繰り返し処理を開始する。

【0085】

ステップＳ１００５では、検査処理部３０２は、ステップＳ５０４と同様に、判定知識保存領域３０３における行種別テーブル６０１を用いて、対象行の行種別を判定する。

【0086】

ステップＳ１００６では、検査処理部３０２は、テップＳ１００５の処理の結果、対象行の行種別が「本文」または「本文末」と判定された場合は、ステップＳ１００９に処理を移す。行種別が「本文」または「本文末」でないと判断された場合、ステップＳ１００７に処理を移す。

【0087】

ステップＳ１００７では、検査処理部３０２は、対象行を署名バッファに追加する。

【0088】

ステップＳ１００８では、検査処理部３０２は、処理対象となる行がまだあれば、ステップＳ１００４からの繰り返し処理を実施する。処理対象となる行がなければ、ステップＳ１００９に処理を移す。

【0089】

ステップＳ１００９では、検査処理部３０２は、ステップＳ５０７と同様に、署名部バッファに追加された行から組織名を抽出する。

【0090】

結果として、電子メール末尾の署名部分で、差出人が自称している組織名を取得する

【0091】

（署名部組織名抽出処理具体例）
次に署名部組織名抽出処理の具体例として、図９に示す電子メール９０１に対して図１０に示す処理が実施された場合について説明する。

【0092】

ステップＳ１００１では、検査処理部３０２は、一時領域に署名部バッファを確保し初期化する。

【0093】

ステップＳ１００２では、検査処理部３０２は、電子メール９０１の本文９０４から空行と引用行を除去する。

【0094】

ステップＳ１００３では、検査処理部３０２は、ステップＳ１００２で空行と引用行が除去された本文９０４の末尾から規定数だけ行を取得する（９０７）。本具体例では規定数を８とする。

【0095】

ステップＳ１００４では、検査処理部３０２は、ステップＳ１００３で取得した末尾の行「■■■■■■■■■■■■■■■■■■■■■■」に対して、からステップＳ１００８までの繰り返し処理を開始する。

【0096】

ステップＳ１００５では、検査処理部３０２は、図７の行種別テーブル６０１を用いて、対象行「■■■■■■■■■■■■■■■■■■■■■■」に合致するルールがないので行種別を「なし」と判定する。

【0097】

ステップＳ１００６では、検査処理部３０２は、テップＳ１００５の処理の結果、対象行「■■■■■■■■■■■■■■■■■■■■■■」の行種別が「なし」と判断されたので、ステップＳ１００７に処理を移す。

【0098】

ステップＳ１００７では、検査処理部３０２は、対象行「■■■■■■■■■■■■■■■■■■■■■■」を署名バッファに追加する。

【0099】

ステップＳ１００８では、検査処理部３０２は、処理対象となる行「大村 益二」がまだあるので、ステップＳ１００４からの繰り返し処理を実施する。

【0100】

以下、「大村 益二」、「Ｅ−Ｍａｉｌ： ｏｏｍｕｒａ＠ｃｈｏｂｏ−ｂａｎｋ．ｃｏ．ｊｐ」、「Ｔｅｌ： ＸＸＸＸＸＸＸ ＦＡＸ：ＹＹＹＹＹＹＹ」、「長防銀行 本店 営業部」、「長防銀行 本店 営業部」の各行についても同様の処理を行う。

【0101】

ステップＳ１００４では、検査処理部３０２は、ステップＳ１００３で取得した行「以上」に対して、末尾からステップＳ１００８までの繰り返し処理を開始する。

【0102】

ステップＳ１００５では、検査処理部３０２は、図７の行種別テーブル６０１を用いて、対象行「以上」の行種別を「本文末」（７０４に合致）と判定する。

【0103】

ステップＳ１００６では、検査処理部３０２は、テップＳ１００５の処理の結果、対象行「以上」の行種別が「本文末」と判断されたので、ステップＳ１００９に処理を移す。

【0104】

ステップＳ１００９では、検査処理部３０２は、ステップＳ５０７と同様に、署名部バッファに追加された行（９０８と同内容）から組織名「長防銀行」を抽出する。

【0105】

結果として、電子メール９０１末尾署名部から、差出人が自称している組織名として「長防銀行」を取得する。

【0106】

（組織詐称判定処理）
次に図１１のフローチャートを用いて、ステップＳ４０５の組織詐称判定処理について説明する。

【0107】

ステップＳ１１０１では、検査処理部３０２は、一時領域に結果バッファを確保し初期化する。

【0108】

ステップＳ１１０２では、検査処理部３０２は、ステップＳ４０１で取得した電子メールのヘッダーにおける差出人（Ｆｒｏｍ）のアドレスからドメイン部分を差出人ドメインとして取得する。

【0109】

ステップＳ１１０３では、検査処理部３０２は、ステップＳ４０２からステップＳ４０４で取得した組織名に対して、ステップＳ１１０９までの繰り返し処理を開始する。

【0110】

ステップＳ１１０４では、検査処理部３０２は、組織ドメインテーブル６０２を用いて、対象の組織名に対するドメインを組織ドメインとして取得する。

【0111】

ステップＳ１１０５では、検査処理部３０２は、ステップＳ１１０４で取得した組織ドメインに対して、ステップＳ１１０７までの繰り返し処理を開始する。

【0112】

ステップＳ１１０６では、検査処理部３０２は、対象となる組織ドメインと差出人ドメインを比較し、一致すればステップＳ１１０９に処理を移す。一致しなければステップＳ１１０７に処理を移す。

【0113】

ステップＳ１１０７では、検査処理部３０２は、処理対象となる組織ドメインがまだあれば、ステップＳ１１０５からの繰り返し処理を実施する。処理対象となる組織ドメインがなければ、ステップＳ１１０８に処理を移す。

【0114】

ステップＳ１１０８では、検査処理部３０２は、差出人ドメインと組織名の組み合わせを結果バッファに追加する。

【0115】

ステップＳ１１０９では、検査処理部３０２は、処理対象となる組織名がまだあれば、ステップＳ１１０３からの繰り返し処理を実施する。処理対象となる行がなければ、処理を終了する。

【0116】

結果として、電子メールの本文において組織を自称しているが、差出人アドレスのドメインが、自称した組織が使用するドメインと異なる場合、差出人アドレスと自称した組織の差異を結果バッファに取得する。

【0117】

結果バッファが空であれば、差出人ドメインすべてが対応する正当なドメインがあったことを示し詐称がないと判断することが可能となる。結果バッファが空でなければ、差出人のドメインが対応する正当なドメインが存在せず、組織を詐称している可能性が高いことを示しており、組織詐称と判定することが可能となる

【0118】

（組織詐称判定処理具体例）
次に組織詐称判定処理の具体例として、図９に示す電子メール９０１に対して図１１に示す処理が実施された場合について説明する。

【0119】

ステップＳ１１０１では、検査処理部３０２は、一時領域に結果バッファを確保し初期化する。

【0120】

ステップＳ１１０２では、検査処理部３０２は、電子メール９０１のヘッダー９０２おける差出人（Ｆｒｏｍ）９０３のアドレス「ｏｏｍｕｒａ＠ｃｈｏｂｏ−ｂａｎｋ．ａｔｔａｃｋｅｒ．ｃｏｍ」からドメイン部分「ｃｈｏｂｏ−ｂａｎｋ．ａｔｔａｃｋｅｒ．ｃｏｍ」を差出人ドメインとして取得する。

【0121】

前述した具体例に示したように、ステップＳ４０２では「長防銀」を、ステップＳ４０３では「長防銀行」を組織名として取得しており、また、ステップＳ４０４では、差出人９０３の実名部から「長防銀行」を抽出しており、組織名としては「長防銀」と「長防銀行」が取得されているものとする。

【0122】

ステップＳ１１０３では、検査処理部３０２は、組織名「長防銀」に対して、ステップＳ１１０９までの繰り返し処理を開始する。

【0123】

ステップＳ１１０４では、検査処理部３０２は、図８の組織ドメインテーブル６０２を用いて、対象の組織名「長防銀」に対するドメインを組織ドメインとして「ｃｈｏｂｏ−ｂａｎｋ．ｃｏ．ｊｐ」を取得する。

【0124】

ステップＳ１１０５では、検査処理部３０２は、ステップＳ１１０４で取得した組織ドメイン「ｃｈｏｂｏ−ｂａｎｋ．ｃｏ．ｊｐ」に対して、ステップＳ１１０７までの繰り返し処理を開始する。

【0125】

ステップＳ１１０６では、検査処理部３０２は、対象となる組織ドメイン「ｃｈｏｂｏ−ｂａｎｋ．ｃｏ．ｊｐ」と差出人ドメイン「ｃｈｏｂｏ−ｂａｎｋ．ａｔｔａｃｋｅｒ．ｃｏｍ」を比較し、一致しないのでステップＳ１１０７に処理を移す。

【0126】

ステップＳ１１０７では、検査処理部３０２は、処理対象となる組織ドメインがないので、ステップＳ１１０８に処理を移す。

【0127】

ステップＳ１１０８では、検査処理部３０２は、差出人ドメイン「ｃｈｏｂｏ−ｂａｎｋ．ａｔｔａｃｋｅｒ．ｃｏｍ」と組織名「長防銀」の組み合わせを結果バッファに追加する。

【0128】

ステップＳ１１０９では、検査処理部３０２は、処理対象となる組織名「長防銀行」がまだあるので、ステップＳ１１０３からの繰り返し処理を実施する。

【0129】

ステップＳ１１０３では、検査処理部３０２は、組織名「長防銀行」に対して、ステップＳ１１０９までの繰り返し処理を開始する。

【0130】

ステップＳ１１０４では、検査処理部３０２は、図８の組織ドメインテーブル６０２を用いて、対象の組織名「長防銀行」に対するドメインを組織ドメインとして「ｃｈｏｂｏ−ｂａｎｋ．ｃｏ．ｊｐ」を取得する。

【0131】

ステップＳ１１０５では、検査処理部３０２は、ステップＳ１１０４で取得した組織ドメイン「ｃｈｏｂｏ−ｂａｎｋ．ｃｏ．ｊｐ」に対して、ステップＳ１１０７までの繰り返し処理を開始する。

【0132】

ステップＳ１１０６では、検査処理部３０２は、対象となる組織ドメイン「ｃｈｏｂｏ−ｂａｎｋ．ｃｏ．ｊｐ」と差出人ドメイン「ｃｈｏｂｏ−ｂａｎｋ．ａｔｔａｃｋｅｒ．ｃｏｍ」を比較し、一致しないのでステップＳ１１０７に処理を移す。

【0133】

ステップＳ１１０７では、検査処理部３０２は、処理対象となる組織ドメインがないので、ステップＳ１１０８に処理を移す。

【0134】

ステップＳ１１０８では、検査処理部３０２は、差出人ドメイン「ｃｈｏｂｏ−ｂａｎｋ．ａｔｔａｃｋｅｒ．ｃｏｍ」と組織名「長防銀行」の組み合わせを結果バッファに追加する。

【0135】

ステップＳ１１０９では、検査処理部３０２は、処理対象となる組織名がもうないので、処理を終了する。

【0136】

結果として、一時領域の結果バッファに、差出人ドメイン「ｃｈｏｂｏ−ｂａｎｋ．ａｔｔａｃｋｅｒ．ｃｏｍ」、組織名「長防銀」の組と差出人ドメイン「ｃｈｏｂｏ−ｂａｎｋ．ａｔｔａｃｋｅｒ．ｃｏｍ」、組織名「長防銀行」の組の２つの組み合わせを取得する

【0137】

（メール閲覧処理）
次に、検査処理部３０２がメール検査処理により取得した結果バッファの情報を用いて、閲覧処理部３０４が、ユーザに対して、電子メールの内容を表示するとともに、組織を詐称していると判定した根拠となる箇所を強調することで、詐称の有無の判断を促すためのメール閲覧画面の一例を図１２に示す。

【0138】

図１２に示すメール閲覧画面では、検査処理部３０２で取得した結果バッファに含まれる組織名と、組織名に対する組織ドメインを強調表示する。また、結果バッファに含まれる差出人ドメインを異なる表現で強調表示する。結果として、組織名に対応していないドメインが別の表現で表示されるため、ユーザは組織が詐称されていることを容易に理解できるようになる。

【0139】

本発明の実施形態においては、電子メールに挨拶部や署名部がない場合は、組織名が抽出できず、警告を行わないが、挨拶部や署名部など自称している箇所がないことを警告するように構成してもよい。

【0140】

また、本発明の実施形態においては、電子メールのヘッダーに記載された差出人（Ｆｒｏｍ）のアドレスを対象として説明したが、実際の差出人アドレス（エンベロープＦｒｏｍ）を対象とするように構成してもよい。

【0141】

以上、情報処理装置としての実施形態について示したが、本発明は、例えば、システム、装置、方法、プログラムもしくは記録媒体等としての実施態様をとることが可能である。具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。

【0142】

また、本発明におけるプログラムは、図４、図５、図１０、図１１に示すフローチャートの処理方法をコンピュータが実行可能なプログラムであり、本発明の記憶媒体は図４、図５、図１０、図１１の処理方法をコンピュータが実行可能なプログラムが記憶されている。なお、本発明におけるプログラムは図４、図５、図１０、図１１の各装置の処理方法ごとのプログラムであってもよい。

【0143】

以上のように、前述した実施形態の機能を実現するプログラムを記録した記録媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記録媒体に格納されたプログラムを読み出し、実行することによっても本発明の目的が達成されることは言うまでもない。

【0144】

この場合、記録媒体から読み出されたプログラム自体が本発明の新規な機能を実現することになり、そのプログラムを記録した記録媒体は本発明を構成することになる。

【0145】

プログラムを供給するための記録媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ−ＲＯＭ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＥＥＰＲＯＭ、シリコンディスク等を用いることが出来る。

【0146】

また、コンピュータが読み出したプログラムを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムの指示に基づき、コンピュータ上で稼働しているＯＳ（オペレーティングシステム）等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

【0147】

さらに、記録媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。

【0148】

また、本発明は、複数の機器から構成されるシステムに適用しても、ひとつの機器から成る装置に適用しても良い。また、本発明は、システムあるいは装置にプログラムを供給することによって達成される場合にも適応できることは言うまでもない。この場合、本発明を達成するためのプログラムを格納した記録媒体を該システムあるいは装置に読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。

【0149】

さらに、本発明を達成するためのプログラムをネットワーク上のサーバ、データベース等から通信プログラムによりダウンロードして読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。なお、上述した各実施形態およびその変形例を組み合わせた構成も全て本発明に含まれるものである。

【符号の説明】

【0150】

１００ 組織詐称メール検査装置（情報処理装置）
１２０ メールサーバ

【要約】

【課題】 電子メール本文から特定される組織と差出人のアドレスとに基づき注意喚起をすることで、標的型攻撃メールによる被害を防ぐこと
【解決手段】 受信した電子メールの本文から組織名を抽出し、抽出された組織名に対応するドメインを特定する。特定されたドメインと、前記電子メールの差出人アドレスのドメインとに基づき、組織詐称の可能性を通知する。
【選択図】 図１

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】