特許 6569835 不審メール検出方法、不審メール検出システム、不審メール検出装置、メール端末、およびコンピュータで読み取り可能なプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】6569835

(24)【登録日】2019年8月16日

(45)【発行日】2019年9月4日

(54)【発明の名称】不審メール検出方法、不審メール検出システム、不審メール検出装置、メール端末、およびコンピュータで読み取り可能なプログラム

(51)【国際特許分類】

   G06F 13/00 20060101AFI20190826BHJP

【ＦＩ】

   G06F13/00 610Q

【請求項の数】10

【全頁数】25

(21)【出願番号】特願2019-73734(P2019-73734)

(22)【出願日】2019年4月8日

【審査請求日】2019年4月8日

【早期審査対象出願】

(73)【特許権者】

【識別番号】000134707

【氏名又は名称】株式会社ナカヨ

(74)【代理人】

【識別番号】100104570

【弁理士】

【氏名又は名称】大関 光弘

(72)【発明者】

【氏名】齊木 あずさ

(72)【発明者】

【氏名】佐々木 昌樹

(72)【発明者】

【氏名】弥田 紘一

【審査官】 小林 義晴

(56)【参考文献】

【文献】 特開２０００−３５３１３３（ＪＰ，Ａ）

【文献】 特許第６４８５５８４（ＪＰ，Ｂ１）

【文献】 特開２００３−３４８１６２（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ １３／００

(57)【特許請求の範囲】

【請求項1】

不審メール検出装置を用いて、複数のメール端末が受信したメールのなかから不審メールを検出する不審メール検出方法であって、
前記不審メール検出装置は、
前記メール端末毎に、受信メールのメール本文中の文面により定まる所定のパターン情報を、当該受信メールのメールＩＤに紐付けて蓄積し、
ばらまき型攻撃メールあるいはその可能性があると判断されたメールについて、前記メール端末毎に、当該メール端末に対応付けられて蓄積された前記所定のパターン情報のなかから、当該メールのメール本文中の文面により定まる前記所定のパターン情報を検索し、検索された前記所定のパターン情報に紐付けられている前記メールＩＤを、当該メール端末に通知し、
前記メール端末は、
前記不審メール検出装置より通知された前記メールＩＤにより特定されるメールに対する注意喚起を表示する
ことを特徴とする不審メール検出方法。

【請求項2】

請求項１に記載の不審メール検出方法であって、
前記不審メール検出装置は、
前記メール端末毎に、当該メール端末に対応付けられて蓄積された前記所定のパターン情報のなかから、ばらまき型攻撃メールの可能性があると判断されたメールのメール本文中の文面により定まる前記所定のパターン情報を検索し、検索された前記所定のパターン情報に紐付けられている前記メールＩＤを含む注意喚起通知を、当該メール端末に送信するとともに、当該ばらまき型攻撃メールの可能性があると判断されたメールの前記所定のパターン情報を、検証による確認状態が未確認であることを示すフラグとともに蓄積し、
前記ばらまき型攻撃メールの可能性があると判断されたメールの検証が終了して、当該メールの前記所定のパターン情報に付加されているフラグが、その検証結果を示すフラグに更新されたならば、前記注意喚起通知を送信した前記メール端末に、当該メールＩＤおよび検証結果に応じたメッセージを含む検証結果通知を送信し、
前記メール端末は、
前記不審メール検出装置より通知された前記注意喚起通知および前記検証結果通知を表示する
ことを特徴とする不審メール検出方法。

【請求項3】

請求項２に記載の不審メール検出方法であって、
前記メール端末は、
メールを受信する毎に、受信メールから前記所定のパターン情報を抽出して、抽出した前記所定のパターン情報を、当該受信メールの前記メールＩＤとともに前記不審メール検出装置に送信し、
閲覧中の受信メールに対して操作者から所定の操作を受け付けた場合に、当該閲覧中の受信メールをばらまき型攻撃メールの可能性があるメールとして、当該閲覧中の受信メールの前記メールＩＤを含む不審メール通報を前記不審メール検出装置に送信し、
前記不審メール検出装置は、
前記不審メール通報を受信した場合に、当該不審メール通報の送信元の前記メール端末に対応付けられて蓄積された前記所定のパターン情報のなかから、当該不審メール通報に含まれている前記メールＩＤに紐付けられている、ばらまき型攻撃メールの可能性があると判断されたメールの前記所定のパターン情報を特定し、
前記不審メール通報の送信元以外の前記メール端末毎に、当該メール端末に対応付けられて蓄積された前記所定のパターン情報のなかから、前記特定したばらまき型攻撃メールの可能性があると判断されたメールの前記所定のパターン情報を検索し、検索された前記所定のパターン情報に紐付けられている前記メールＩＤを含む前記注意喚起通知を、当該メール端末に通知する
ことを特徴とする不審メール検出方法。

【請求項4】

請求項２に記載の不審メール検出方法であって、
前記メール端末は、
メールを受信する毎に、受信メールから前記所定のパターン情報を抽出して、抽出した前記所定のパターン情報を、当該受信メールの前記メールＩＤとともに前記不審メール検出装置に送信し、
閲覧中の受信メールに対して操作者から所定の操作を受け付けた場合に、当該閲覧中の受信メールをばらまき型攻撃メールの可能性があるメールとして、当該閲覧中の受信メールの前記所定のパターン情報を含む不審メール通報を前記不審メール検出装置に送信し、
前記不審メール検出装置は、
前記不審メール通報を受信した場合に、前記不審メール通報の送信元以外の前記メール端末毎に、当該メール端末に対応付けられて蓄積された前記所定のパターン情報のなかから、前記不審メール通報に含まれている前記所定のパターン情報を検索し、検索された前記所定のパターン情報に紐付けられている前記メールＩＤを含む前記注意喚起通知を、当該メール端末に通知する
ことを特徴とする不審メール検出方法。

【請求項5】

請求項３または４に記載の不審メール検出方法であって、
前記メール端末は、
操作者から未開封の受信メールに対する開封操作を受け付けた場合に、当該受信メールの前記メールＩＤを含む開封通知を前記不審メール検出装置に送信し、
前記不審メール検出装置は、
前記メール端末毎に、受信メールの前記所定のパターン情報を、当該受信メールの前記メールＩＤおよび開封状態に紐付けて蓄積し、
前記開封通知を受信した場合に、当該開封通知の送信元の前記メール端末に対応付けられて当該開封通知に含まれている前記メールＩＤとともに蓄積されている開封状態を「未開封」から「開封済」に更新し、
前記不審メール通報を受信した場合に、前記不審メール通報の送信元以外の前記メール端末毎に、当該メール端末に対応付けられて蓄積された前記所定のパターン情報のなかから、前記不審メール通報に含まれている前記所定のパターン情報を検索し、検索された前記所定のパターン情報に紐付けられている前記メールＩＤおよび前記開封状態に応じたメッセージを含む注意喚起通知を、当該メール端末に通知する
ことを特徴とする不審メール検出方法。

【請求項6】

複数のメール端末と、不審メールを検出する不審メール検出装置と、を有する不審メール検出システムであって、
前記メール端末は、
メールを受信する毎に、受信メールからメール本文中の文面により定まる所定のパターン情報を抽出して、抽出した前記所定のパターン情報を、当該受信メールのメールＩＤとともに、前記不審メール検出装置に送信するパターン情報送信手段と、
前記不審メール検出装置より通知された前記メールＩＤにより特定されるメールに対する注意喚起を表示する注意喚起手段と、を備え、
前記不審メール検出装置は、
前記メール端末毎に、受信メールのメール本文中の文面により定まる所定のパターン情報を、当該受信メールのメールＩＤに紐付けて蓄積する蓄積手段と、
ばらまき型攻撃メールあるいはその可能性があると判断されたメールについて、前記メール端末毎に、当該メール端末に対応付けられて蓄積された前記所定のパターン情報のなかから、当該メールのメール本文中の文面により定まる前記所定のパターン情報を検索し、検索された前記所定のパターン情報に紐付けられている前記メールＩＤを、当該メール端末に通知する通知手段と、を備える
ことを特徴とする不審メール検出システム。

【請求項7】

複数のメール端末が受信したメールのなかから不審メールを検出する不審メール検出装置であって、
前記メール端末毎に、受信メールのメール本文中の文面により定まる所定のパターン情報を、当該受信メールのメールＩＤに紐付けて蓄積する蓄積手段と、
ばらまき型攻撃メールあるいはその可能性があると判断されたメールについて、前記メール端末毎に、当該メール端末に対応付けられて蓄積された前記所定のパターン情報のなかから、当該メールのメール本文中の文面により定まる前記所定のパターン情報を検索し、検索された前記所定のパターン情報に紐付けられている前記メールＩＤを、当該メール端末に通知する通知手段と、を備える
ことを特徴とする不審メール検出装置。

【請求項8】

不審メールを検出する不審メール検出装置とともに不審メール検出システムを構成するメール端末であって、
メールを受信する毎に、受信メールからメール本文中の文面により定まる所定のパターン情報を抽出して、抽出した前記所定のパターン情報を、当該受信メールのメールＩＤとともに、前記不審メール検出装置に送信するパターン情報送信手段と、
閲覧中の受信メールに対して操作者から所定の操作を受け付けた場合に、当該閲覧中の受信メールをばらまき型攻撃メールの可能性があるメールとして、当該閲覧中の受信メールの前記メールＩＤあるいは前記所定のパターン情報を含む不審メール通報を前記不審メール検出装置に送信する不審メール通報手段と、
前記不審メール検出装置より通知された前記メールＩＤにより特定されるメールに対する注意喚起を表示する注意喚起手段と、を備える
ことを特徴とするメール端末。

【請求項9】

コンピュータで読み取り可能なプログラムであって、
前記プログラムは、
前記コンピュータを、複数のメール端末が受信したメールのなかから不審メールを検出する不審メール検出装置として機能させ、
前記不審メール検出装置は、
前記メール端末毎に、受信メールのメール本文中の文面により定まる所定のパターン情報を、当該受信メールのメールＩＤに紐付けて蓄積する蓄積手段と、
ばらまき型攻撃メールあるいはその可能性があると判断されたメールについて、前記メール端末毎に、当該メール端末に対応付けられて蓄積された前記所定のパターン情報のなかから、当該メールのメール本文中の文面により定まる前記所定のパターン情報を検索し、検索された前記所定のパターン情報に紐付けられている前記メールＩＤを、当該メール端末に通知する通知手段と、を備える
ことを特徴とするコンピュータで読み取り可能なプログラム。

【請求項10】

コンピュータで読み取り可能なプログラムであって、
前記プログラムは、
前記コンピュータを、不審メールを検出する不審メール検出装置とともに不審メール検出システムを構成するメール端末として機能させ、
前記メール端末は、
メールを受信する毎に、受信メールからメール本文中の文面により定まる所定のパターン情報を抽出して、抽出した前記所定のパターン情報を、当該受信メールのメールＩＤとともに、前記不審メール検出装置に送信するパターン情報送信手段と、
閲覧中の受信メールに対して操作者から所定の操作を受け付けた場合に、当該閲覧中の受信メールをばらまき型攻撃メールの可能性があるメールとして、当該閲覧中の受信メールの前記メールＩＤあるいは前記所定のパターン情報を含む不審メール通報を前記不審メール検出装置に送信する不審メール通報手段と、
前記不審メール検出装置より通知された前記メールＩＤにより特定されるメールに対する注意喚起を表示する注意喚起手段と、を備える
ことを特徴とするコンピュータで読み取り可能なプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、不審メールの検出技術に関し、特に、ばらまき型攻撃メールの検出に好適な不審メールの検出技術に関する。

【背景技術】

【0002】

近年、不特定多数に送信されるばらまき型攻撃メールの脅威が増大している。このようなばらまき型攻撃メールを含む迷惑メールの判定リストの作成における負担を軽減する技術として、特許文献１に記載のメール判定リスト作成装置がある。

【0003】

このメール判定リスト作成装置は、過去にやり取りされたメール毎に、ヘッダ情報からメール送信元ＩＰアドレスおよびメール送信元ホスト名を抽出する。そして、抽出した各メールのメール送信元ＩＰアドレスおよびメール送信元ホスト名のなかから、複数のメール送信元ホスト名が組み合わされているメール送信元ＩＰアドレスを特定して、この特定されたメール送信元ＩＰアドレスが掲載されたブラックリストを作成する。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０１６−７１７２８号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

一般に、迷惑メール送信者は、メールサーバに対して任意に設定可能なホスト名を頻繁に変更する。このため、迷惑メールは、メール送信元ホスト名が異なっても、メール送信元ＩＰアドレスが同一である場合が多い。特許文献１に記載のメール判定リスト作成装置は、このことを利用してブラックリストを作成している。

【0006】

しかしながら、最近のばらまき型攻撃メールでは、メール送信元ＩＰアドレスを含むヘッダ情報が偽装されているケースもあり、特許文献１に記載のメール判定リスト作成装置では、このようなケースに対応できない。

【0007】

また、特許文献１に記載のメール判定リスト作成装置は、ブラックリストの作成前に、このブラックリストにメール送信元ＩＰアドレスが掲載されているばらまき型攻撃メールをすでに受信しているメール端末について、その対策を考慮していない。

【0008】

本発明は、上記事情に鑑みてなされたものであり、本発明の目的は、ばらまき型攻撃メールの検出に好適な不審メールの検出技術を提供することにある。

【課題を解決するための手段】

【0009】

上記課題を解決するために、本発明では、不特定多数に送信されるばらまき型攻撃メールが、一般に、メール本文中に記述された電話番号、メールアドレス等の連絡先、および／または、メール本文中の記述に設定されたリンク先はメール毎に変更されるが、メール本文中の文面はそのままであることに着目している。メール端末毎に、受信メールのメール本文中の文面により定まる所定のパターン情報を、この受信メールのヘッダ情報に含まれているメッセージＩＤ等の固有のメールＩＤに紐付けて蓄積する。そして、ばらまき型攻撃メールあるいはその可能性があると判断されたメールについて、メール端末毎に、蓄積された所定のパターン情報のなかから、指定されたメールのメール本文中の文面により定まる所定のパターン情報を検索して、この所定のパターン情報を有する受信メールのメールＩＤを、この受信メールを受信したメール端末に通知する。

【0010】

ここで、ばらまき型攻撃メールの可能性があると人為的に判断されたメールのメール本文中の文面により定まる所定のパターン情報を、検証による確認状態が未確認であることを示すフラグとともに蓄積しておき、このメールの検証が終了して、このメールの所定のパターン情報に付加されているフラグが、検証結果を示すフラグに更新されたならば、この所定のパターン情報を有する受信メールのメールＩＤを、更新されたフラグが示す検証結果に応じたメッセージとともに、この受信メールを受信したメール端末に通知してもよい。

【0011】

例えば、本発明の不審メール検出方法は、
不審メール検出装置を用いて、複数のメール端末が受信したメールのなかから不審メールを検出する不審メール検出方法であって、
前記不審メール検出装置は、
前記メール端末毎に、受信メールのメール本文中の文面により定まる所定のパターン情報を、当該受信メールのメールＩＤに紐付けて蓄積し、
ばらまき型攻撃メールあるいはその可能性があると判断されたメールについて、前記メール端末毎に、当該メール端末に対応付けられて蓄積された前記所定のパターン情報のなかから、当該メールのメール本文中の文面により定まる前記所定のパターン情報を検索し、検索された前記所定のパターン情報に紐付けられている前記メールＩＤを、当該メール端末に通知し、
前記メール端末は、
前記不審メール検出装置より通知された前記メールＩＤにより特定されるメールに対する注意喚起を表示する。

【発明の効果】

【0012】

本発明では、不特定多数に送信されるばらまき型攻撃メールが、一般に、メール本文中に記述された電話番号、メールアドレス等の連絡先、および／または、メール本文中の記述に設定されたリンク先はメール毎に変更されるが、メール本文中の文面はそのままであることに着目し、メール端末毎に、メールＩＤに紐付けて蓄積された受信メールのメール本文中の文面により定まる所定のパターン情報のなかから、ばらまき型攻撃メールあるいはその可能性があると判断されたメールのメール本文中の文面により定まる所定のパターン情報を検索して、この所定のパターン情報を有する受信メールのメールＩＤを、この受信メールを受信したメール端末に通知する。このため、ヘッダ情報が偽装されている場合でも、ばらまき型攻撃メールを検出できる可能性が高まる。また、ばらまき型攻撃メールあるいはその可能性があると判断される前に、このメールをすでに受信しているメール端末に、このメールに対する注意を喚起することができる。したがって、本発明によれば、ばらまき型攻撃メールの検出に好適な不審メールの検出技術を提供することができる。

【図面の簡単な説明】

【0013】

【図1】図１は、本発明の一実施の形態に係る不審メール検出システムの概略構成図である。

【図2】図２は、本発明の一実施の形態に係る不審メール検出システムの動作例を説明するためのシーケンス図である。

【図3】図３は、本発明の一実施の形態に係る不審メール検出システムの動作例を説明するためのシーケンス図であり、図２の続きである。

【図4】図４は、本発明の一実施の形態に係る不審メール検出システムの動作例を説明するためのシーケンス図であり、図３の続きである。

【図5】図５は、メール端末１の概略機能構成図である。

【図6】図６は、メール本文中の文面から半角文字を削除することにより得られる全角文字列情報のハッシュ値を、メール本文中の文面により定まる所定のパターン情報として抽出する場合の原理を説明するための図である。

【図7】図７は、ＨＴＭＬ形式の電子メールのメール本文から、その文面を構成するＨＴＭＬ文書のタグ情報のハッシュ値を、メール本文中の文面により定まる所定のパターン情報として抽出する場合の原理を説明するための図である。

【図8】図８は、ＨＴＭＬ形式の電子メールのメール本文から、その文面を構成するＨＴＭＬ文書のタグ情報のハッシュ値を、メール本文中の文面により定まる所定のパターン情報として抽出する場合の原理を説明するための図であり、図７の続きである。

【図9】図９は、メール端末１の動作を説明するためのフロー図である。

【図10】図１０は、注意喚起表示画面１１５の一例を示す図である。

【図11】図１１は、検証結果表示画面１１６の一例を示す図である。

【図12】図１２は、不審メール検出サーバ２の概略機能構成図である。

【図13】図１３は、パターン情報リスト記憶部２０２の登録内容例を模式的に表した図である。

【図14】図１４は、不審メールリスト記憶部２０３の登録内容例を模式的に表した図である。

【図15】図１５は、不審メール検出サーバ２の動作を説明するためのフロー図である。

【発明を実施するための形態】

【0014】

以下に、本発明の一実施の形態について図面を参照して説明する。

【0015】

図１は、本実施の形態に係る不審メール検出システムの概略構成図である。

【0016】

図示するように、本実施の形態に係る不審メール検出システムは、メールサーバ６を介して電子メールを送受信する複数のメール端末１−１〜１−ｎ（以下、単に、メール端末１とも呼ぶ）と、不審メール検出サーバ２とが、ＬＡＮ３に接続されて構成されている。ＬＡＮ３は、ゲートウェイ４を介してＷＡＮ５に接続されている。

【0017】

メール端末１は、メールサーバ６を介して電子メールを送受信する。なお、図１では、メールサーバ６をＷＡＮ５に接続しているが、ＬＡＮ３に接続してもよい。

【0018】

不審メール検出サーバ２は、メール端末１が受信した電子メールのなかから不審メールを検出する。なお、図１では、不審メール検出サーバ２をＬＡＮ３に接続しているが、ＷＡＮ５に接続してもよい。

【0019】

図２〜図４は、本実施の形態に係る不審メール検出システムの動作例を説明するためのシーケンス図である。

【0020】

まず、攻撃者のメール端末７が、メール本文中の文面はそのままに、メール本文中に記述された電話番号、メールアドレス等の連絡先、および／または、メール本文中の記述に設定されたリンク先をメール毎に変更して、メール端末１−１〜１−ｎのそれぞれを送信先とする複数の未知のばらまき型攻撃メールを作成して送信したものとする（Ｓ１００）。これらのばらまき型攻撃メールは、それぞれ、メールサーバ６を介して送信先のメール端末１−１〜１−ｎに送信される。

【0021】

これを受けて、メール端末１−１〜１−ｎは、メール端末７から受信した電子メール（ばらまき型攻撃メール）のメール本文から、その文面により定まる所定のパターン情報を抽出する（Ｓ１０１、Ｓ１０５、Ｓ１０９）。ここで、所定のパターン情報には、例えば、メール本文中の文面から半角文字（バイト文字）を削除することにより得られる全角文字（マルチバイト文字）列情報のハッシュ値が用いられる。あるいは、電子メールがＨＴＭＬ（Ｈｙｐｅｒ Ｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）形式である場合、メール本文中の文面を構成するＨＴＭＬ文書から抽出したタグ情報であってタグ内の属性値が削除されたタグ情報のハッシュ値が用いられる。

【0022】

それから、メール端末１−１〜１−ｎは、メール端末７から受信した電子メールのヘッダ情報に含まれているメッセージＩＤをメールＩＤに設定し、このメールＩＤと、この電子メールのメール本文から抽出した所定のパターン情報と、を含むパターン登録依頼を生成して、このパターン登録依頼を不審メール検出サーバ２に送信する（Ｓ１０２、Ｓ１０６、Ｓ１１０）。

【0023】

つぎに、不審メール検出サーバ２は、メール端末１−１〜１−ｎのそれぞれから受信したパターン登録依頼に含まれている所定のパターン情報を、電子メールの開封状態（ここでは「未開封」）とともに、このパターン登録依頼に含まれているメールＩＤに紐付けて、該当するメール端末１のパターン情報リストに登録する（Ｓ１０３、Ｓ１０７、Ｓ１１１）。また、不審メール検出サーバ２は、ばらまき型攻撃メールの可能性があると例えば人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報が登録された不審メールリストから、メール端末１のそれぞれから受信したパターン登録依頼に含まれている所定のパターン情報を検索する（Ｓ１０４、Ｓ１０８、Ｓ１１２）。

【0024】

ここで、メール端末７がメール端末１−１〜１−ｎに送信した電子メールは未知のばらまき型攻撃メールであるので、これらのメール端末１から受信したパターン登録依頼に含まれている所定のパターン情報は、不審メールリストに登録されていない。この場合は、パターン登録依頼の送信元のメール端末１に対する応答処理は実施しない。

【0025】

なお、メール端末１から受信したパターン登録依頼に含まれている所定のパターン情報が不審メールリストに登録されている場合は、パターン登録依頼の送信元のメール端末１に対する応答処理を実施して、この所定のパターン情報に紐付けられて不審メールリストに登録されている検証結果に応じたメッセージを、パターン登録依頼に含まれているメールＩＤとともにパターン登録依頼の送信元のメール端末１に送信する。

【0026】

つぎに、メール端末１−１が、メールサーバ６経由でメール端末７から受信した電子メール（ばらまき型攻撃メール）の開封操作をユーザより受け付けたものとする（Ｓ１１３）。これを受けて、メール端末１−１は、開封した電子メールのメールＩＤ（ヘッダ情報に含まれているメッセージＩＤ）を含む開封通知を不審メール検出サーバ２に送信する（Ｓ１１４）。不審メール検出サーバ２は、メール端末１−１からの開封通知を受信すると、この開封通知に含まれているメールＩＤに紐付けられてメール端末１−１のパターン情報リストに登録されている開封状態を「未開封」から「開封済」に更新する（Ｓ１１５）。

【0027】

同様に、メール端末１−２がメールサーバ６経由でメール端末７から受信した電子メールの開封操作をユーザより受け付けたものとする（Ｓ１１６）。これを受けて、メール端末１−２は、開封した電子メールのメールＩＤを含む開封通知を不審メール検出サーバ２に送信する（Ｓ１１７）。不審メール検出サーバ２は、メール端末１−２からの開封通知を受信すると、この開封通知に含まれているメールＩＤに紐付けられてメール端末１−２のパターン情報リストに登録されている開封状態を「未開封」から「開封済」に更新する（Ｓ１１８）。

【0028】

つぎに、メール端末１−２が、メール端末７から受信した電子メールを閲覧したユーザから、この電子メールにばらまき型攻撃メールの可能性があるとする通報操作を受け付けたものとする（Ｓ１１９）。これを受けて、メール端末１−２は、この電子メールを不審メールに設定して、不審メールおよびこの不審メールのメールＩＤを含む不審メール通報を不審メール検出サーバ２に送信する（Ｓ１２０）。

【0029】

不審メール検出サーバ２は、メール端末１−２からの不審メール通報を受信すると、メール端末１−２のパターン情報リストを参照し、この不審メール通報に含まれているメールＩＤに紐付けられてメール端末１−２のパターン情報リストに登録されている所定のパターン情報を特定する。そして、特定した所定のパターン情報およびこの不審メール通報に含まれている不審メールを、検証による確認状態（ここでは「未確認」）を示すフラグ（以下、確認状態フラグ）とともに不審メールリストに登録する（Ｓ１２１）。

【0030】

つぎに、不審メール検出サーバ２は、不審メール通報の送信元であるメール端末１−２以外のメール端末１−１、１−３〜１−ｎのそれぞれについて、該当するメール端末１−１、１−３〜１−ｎのパターン情報リストから、不審メールリストに登録した所定のパターン情報を検索する（Ｓ１２２）。

【0031】

そして、不審メール検出サーバ２は、不審メール通報の送信元であるメール端末１−２以外のメール端末１−１、１−３〜１−ｎのそれぞれについて、該当するメール端末１−１、１−３〜１−ｎのパターン情報リストから、不審メールリストに登録した所定のパターン情報を検索できたならば、この所定のパターン情報に紐付けられて不審メールリストに登録されている確認状態が「未確認」であることを確認して、この所定のパターン情報に紐付けられて該当するメール端末１−１、１−３〜１−ｎのパターン情報リストに登録されている開封状態に応じた注意喚起メッセージを生成する。

【0032】

具体的には、開封状態「未開封」に対しては、例えば「第三者により不審メールが通報されました。安全性が確認されるまで開封しないでください。」というように、安全性が確認されるまで開封しないことを要求する注意喚起メッセージを生成し、開封状態「開封済」に対しては、例えば「第三者により不審メールが通報されました。安全性が確認されるまでメールの使用を中止してください。」というように、安全性が確認されるまでメールの使用中止を要求する注意喚起メッセージを生成する。それから、不審メール検出サーバ２は、生成した注意喚起メッセージと、この所定のパターン情報に紐付けられて該当するメール端末１−１、１−３〜１−ｎのパターン情報リストに登録されているメールＩＤと、を含む注意喚起通知を、該当するメール端末１−１、１−３〜１−ｎに送信する（Ｓ１２３、Ｓ１２４）。

【0033】

ここで、不審メール通報の送信元であるメール端末１−２以外のメール端末１−１、１−３〜１−ｎのうち、メール端末１−１は不審メールを開封済なので、このメール端末１−１に対しては、開封状態「開封済」に応じた注意喚起メッセージと、不審メールリストに登録した所定のパターン情報に紐付けられてメール端末１−１のパターン情報リストに登録されているメールＩＤと、を含む注意喚起通知を送信する（Ｓ１２３）。

【0034】

一方、メール端末１−３〜１−ｎに対しては、いずれのメール端末１−３〜１−ｎも不審メールを未開封なので、開封状態「未開封」に応じた注意喚起メッセージと、不審メールリストに登録した所定のパターン情報に紐付けられてそれぞれのメール端末１−３〜１−ｎのパターン情報リストに登録されているメールＩＤと、を含む注意喚起通知を送信する（Ｓ１２４）。

【0035】

メール端末１−１、１−３〜１−ｎは、不審メール検出サーバ２からの注意喚起通知を受信すると、この注意喚起通知に含まれているメールＩＤにより特定される電子メールの件名、差出人、宛先、受信日時等の諸情報を特定し、これらの諸情報を、注意喚起通知に含まれている注意喚起メッセージとともに表示する（Ｓ１２５、Ｓ１２６）。

【0036】

つぎに、Ｓ１２１において所定のパターン情報とともに不審メールリストに登録された不審メールについてセキュリティ機関等による検証が終了して、不審メール検出サーバ２が、この所定のパターン情報とともに不審メールリストに登録された確認状態フラグに検証結果を反映させるための確認状態更新操作を、管理者より受け付けたものとする（Ｓ１２７）。これを受けて、不審メール検出サーバ２は、受け付けた検証結果に従い、Ｓ１２１において所定のパターン情報とともに不審メールリストに登録された確認状態フラグを更新する（Ｓ１２８）。具体的には、確認状態フラグを「未確認」から「安全」あるいは「危険」に更新する。

【0037】

つぎに、不審メール検出サーバ２は、すべてのメール端末１−１〜１−ｎのそれぞれについて、該当するメール端末１−１〜１−ｎのパターン情報リストから、検証結果を反映させた確認状態フラグに対応付けられて不審メールリストに登録されている所定のパターン情報を検索する（Ｓ１２９）。

【0038】

そして、不審メール検出サーバ２は、すべてのメール端末１−１〜１−ｎのそれぞれについて、該当するメール端末１−１〜１−ｎのパターン情報リストから、検証結果を反映させた確認状態フラグに対応付けられて不審メールリストに登録されている所定のパターン情報を検索できたならば、この所定のパターン情報に紐付けられて該当するメール端末１−１〜１−ｎのパターン情報リストに登録されている開封状態と、この所定のパターン情報に紐付けられて不審メールリストに登録されている確認状態フラグが示す確認状態（ここでは「安全」または「危険」）と、に応じて検証結果メッセージを生成する。

【0039】

具体的には、確認状態「安全」かつ開封状態「未開封」に対しては、例えば「安全性が確認されました。開封しても問題ありません」というように、安全に開封可能であることを知らせる検証結果メッセージを生成し、確認状態「安全」かつ開封状態「開封済」に対しては、例えば「安全性が確認されました。メールを使用しても問題ありません。」というように、安全にメールを使用可能であることを知らせる検証結果メッセージを生成する。また、確認状態「危険」かつ開封状態「未開封」に対しては、例えば「ばらまき型攻撃メールであることが確認されました。開封することなく削除してください」というように、未開封のまま削除することを要求する検証結果メッセージを生成し、確認状態「危険」かつ開封状態「開封済」に対しては、例えば「ばらまき型攻撃メールであることが確認されました。感染の可能性があります。電源をオフにしてネットワークを切断し、管理者に連絡してください。」というように、ネットワークからの隔離および管理者への連絡を要求する検証結果メッセージを生成する。それから、不審メール検出サーバ２は、生成した検証結果メッセージと、検証結果を反映させた確認状態フラグとともに不審メールリストに登録されている所定のパターン情報に紐付けられて、該当するメール端末１−１〜１−ｎのパターン情報リストに登録されているメールＩＤと、を含む検証結果通知を、該当するメール端末１−１〜１−ｎに送信する（Ｓ１３０〜Ｓ１３２）。

【0040】

ここで、メール端末１−１は不審メールを開封済なので、このメール端末１−１に対しては、確認状態「安全または危険」かつ開封状態「開封済」に応じた検証結果メッセージと、検証結果を反映させた確認状態フラグとともに不審メールリストに登録されている所定のパターン情報に紐付けられてメール端末１−１のパターン情報リストに登録されているメールＩＤと、を含む検証結果通知を送信する（Ｓ１３０）。

【0041】

同様に、メール端末１−２は不審メールを開封済なので、このメール端末１−２に対しては、確認状態「安全または危険」かつ開封状態「開封済」に応じた検証結果メッセージと、検証結果を反映させた確認状態フラグとともに不審メールリストに登録されている所定のパターン情報に紐付けられてメール端末１−２のパターン情報リストに登録されているメールＩＤと、を含む検証結果通知を送信する（Ｓ１３１）。

【0042】

一方、他のメール端末１−３〜１−ｎはいずれも不審メールを未開封なので、これらのメール端末１−３〜１−ｎに対しては、確認状態「安全または危険」かつ開封状態「未開封」に応じた検証結果メッセージと、検証結果を反映させた確認状態フラグとともに不審メールリストに登録されている所定のパターン情報に紐付けられてそれぞれのメール端末１−３〜１−ｎのパターン情報リストに登録されているメールＩＤと、を含む検証結果通知を送信する（Ｓ１３２）。

【0043】

メール端末１−１〜１−ｎは、不審メール検出サーバ２から検証結果通知を受信すると、この検証結果通知に含まれているメールＩＤにより特定される電子メールの件名、差出人、宛先、受信日時等の諸情報を特定し、これらの諸情報を、検証結果通知に含まれている検証結果メッセージとともに表示する（Ｓ１３３〜Ｓ１３５）。

【0044】

つぎに、本実施の形態に係る不審メール検出システムを構成するメール端末１および不審メール検出サーバ２の詳細を説明する。

【0045】

まず、メール端末１の詳細を説明する。

【0046】

図５は、メール端末１の概略機能構成図である。

【0047】

図示するように、メール端末１は、ネットワークインターフェース部１００と、マンマシンインターフェース部１０１と、メーラ１０２と、パターン情報抽出部１０３と、パターン登録依頼送信部１０４と、開封通知送信部１０５と、不審メール通報部１０６と、通知受信部１０７と、通知表示部１０８と、を備えている。

【0048】

ネットワークインターフェース部１００は、ＬＡＮ３に接続するためのインターフェースである。

【0049】

マンマシンインターフェース部１０１は、ユーザに情報を表示したり、ユーザから各種操作を受け付けたりするためのインターフェースであり、キーボード、マウス等の入力装置と、液晶ディスプレイ等の表示装置と、を有している。

【0050】

メーラ１０２は、電子メールクライアントとして必要な処理を実行する。例えば、自メール端末１を送信先とする電子メールをメールサーバ６から受信する。また、マンマシンインターフェース部１０１を介してユーザより受け付けた開封操作に従い、メールサーバ６から受信した電子メールのなかから、この開封操作により指定された電子メールをマンマシンインターフェース部１０１に表示する。また、マンマシンインターフェース部１０１と連携して電子メールを作成し、メールサーバ６に送信する。

【0051】

パターン情報抽出部１０３は、メーラ１０２がネットワークインターフェース部１００を介してメールサーバ６から電子メールを受信する毎に、受信した電子メールのメール本文から、その文面により定まる所定のパターン情報を抽出する。上述したように、所定のパターン情報には、例えば、メール本文中の文面から半角文字（バイト文字）を削除することにより得られる全角文字（マルチバイト文字）列情報のハッシュ値が用いられる。あるいは、電子メールがＨＴＭＬ形式である場合、メール本文中の文面を構成するＨＴＭＬ文書から抽出したタグ情報であってタグ内の属性値が削除されたタグ情報のハッシュ値が用いられる。

【0052】

図６は、メール本文中の文面から半角文字を削除することにより得られる全角文字列情報のハッシュ値を、メール本文中の文面により定まる所定のパターン情報として抽出する場合の原理を説明するための図である。

【0053】

図６において、メール本文１１０は、ばらまき型攻撃メールのメール本文例である。上述したように、ばらまき型攻撃メールは、メール本文１１０中の文面はそのままに、メール本文１１０中に記述された電話番号１１０１、メールアドレス１１０２等の連絡先、および／または、メール本文１１０中の記述に設定されたリンク先１１０３をメール毎に変更して大量に作成されて、不特定多数に個別送信される。ここで、リンク先１１０３には半角文字が用いられる。また、電話番号１１０１、メールアドレス１１０２にも、半角文字が用いられる可能性が高い。そこで、メール本文１１０中から半角文字を削除して、大量に作成されるばらまき型攻撃メールにおいて共通する（メール毎に変更されない）可能性の高い全角文字列情報１１１を抽出する。この例では、電話番号１１０１、メールアドレス１１０２、リンク先１１０３の他に、周期的に配列された記号等の半角記号１１０４も削除して、メール本文１１０から全角文字列情報１１１を抽出している。そして、抽出した全角文字列情報１１１のハッシュ値を算出し、このハッシュ値を、メール本文１１０中の文面により定まる所定のパターン情報とする。

【0054】

図７および図８は、ＨＴＭＬ形式の電子メールのメール本文から、その文面を構成するＨＴＭＬ文書のタグ情報であってタグ内の属性値が削除されたタグ情報のハッシュ値を、メール本文中の文面により定まる所定のパターン情報として抽出する場合の原理を説明するための図である。

【0055】

図７において、メール本文（ＨＴＭＬ文書）１１２は、ＨＴＭＬ形式のばらまき型攻撃メールのメール本文例である。上述したように、大量に作成されるばらまき型攻撃メール間において、メール本文１１２中に記述された電話番号、メールアドレス等の連絡先、および／または、メール本文中の記述に設定されたリンク先はメール毎に変更されるが、メール本文１１２中の文面は同じである可能性が高い。そこで、メール本文１１２を構成するＨＴＭＬ文書からタグ情報（属性値あり）１１３を抽出し、さらに、このタグ情報（属性値あり）１１３から、タグ内のアドレス等の属性値１１３０、１１３１を削除する。これにより、図８に示すように、タグ情報（属性値なし）１１４を抽出する。そして、抽出したタグ情報（属性値なし）１１４のハッシュ値を算出し、このハッシュ値を、メール本文（ＨＴＭＬ文書）１１２中の文面により定まる所定のパターン情報とする。

【0056】

図５に戻って説明を続ける。

【0057】

パターン登録依頼送信部１０４は、パターン情報抽出部１０３によって電子メールのメール本文からパターン情報が抽出される毎に、この電子メールのヘッダ情報に含まれているメッセージＩＤをメールＩＤに設定し、このメールＩＤと、この電子メールのメール本文から抽出されたパターン情報と、を含むパターン登録依頼を生成する。そして、このパターン登録依頼を、ネットワークインターフェース部１００を介して不審メール検出サーバ２に送信する。

【0058】

開封通知送信部１０５は、メーラ１０２がマンマシンインターフェース部１０１を介してユーザから未開封の電子メールの指定を伴う開封操作を受け付けた場合に、この開封操作で指定された電子メールのヘッダ情報に含まれているメッセージＩＤをメールＩＤに設定し、このメールＩＤを含む開封通知を、ネットワークインターフェース部１００を介して不審メール検出サーバ２に送信する。

【0059】

不審メール通報部１０６は、メーラ１０２によってマンマシンインターフェース部１０１に表示された閲覧中の電子メールについて、マンマシンインターフェース部１０１を介してユーザから、ばらまき型攻撃メールの可能性があるとする通報操作を受け付けた場合に、この電子メールのヘッダ情報に含まれているメッセージＩＤをメールＩＤに設定し、このメールＩＤおよび電子メールを含む不審メール通報を生成する。そして、この不審メール通報を、ネットワークインターフェース部１００を介して不審メール検出サーバ２に送信する。

【0060】

通知受信部１０７は、ネットワークインターフェース部１００を介して不審メール検出サーバ２から注意喚起通知および検証結果通知を受信する。

【0061】

通知表示部１０８は、通知受信部１０７が注意喚起通知を受信すると、この注意喚起通知に含まれているメールＩＤにより特定される電子メールの件名、差出人、宛先、受信日時等の諸情報をメーラ１０２から取得する。そして、取得した諸情報を、この注意喚起通知に含まれている注意喚起メッセージとともに表示する。また、通知表示部１０８は、通知受信部１０７が検証結果通知を受信すると、この検証結果通知に含まれているメールＩＤにより特定される電子メールの件名、差出人、宛先、受信日時等の諸情報をメーラ１０２から取得する。そして、取得した諸情報を、この検証結果通知に含まれている検証結果メッセージとともに表示する。

【0062】

図９は、メール端末１の動作を説明するためのフロー図である。

【0063】

メーラ１０２がネットワークインターフェース部１００を介してメールサーバ６から電子メールを受信すると（Ｓ２００でＹＥＳ）、パターン情報抽出部１０３は、この電子メールのメール本文からその文面により定まる所定のパターン情報を抽出する（Ｓ２０１）。そして、抽出したパターン情報を、この電子メールのヘッダ情報に含まれているメッセージＩＤとともにパターン登録依頼送信部１０４に渡す。

【0064】

これを受けて、パターン登録依頼送信部１０４は、パターン情報抽出部１０３から受け取ったメッセージＩＤをメールＩＤに設定し、このメールＩＤと、このメールＩＤとともにパターン情報抽出部１０３から受け取ったパターン情報と、を含むパターン登録依頼を生成する。そして、このパターン登録依頼を、ネットワークインターフェース部１００を介して不審メール検出サーバ２に送信する（Ｓ２０２）。

【0065】

また、メーラ１０２が、未開封の電子メールの指定を伴う開封操作を、マンマシンインターフェース部１０１を介してユーザから受け付けると（Ｓ２０３でＹＥＳ）、開封通知送信部１０５は、この開封操作で指定されている電子メールのヘッダ情報に含まれているメッセージＩＤをメールＩＤに設定する。そして、このメールＩＤを含む開封通知を、ネットワークインターフェース部１００を介して不審メール検出サーバ２に送信する（Ｓ２０４）。

【0066】

また、不審メール通報部１０６は、メーラ１０２によってマンマシンインターフェース部１０１に表示された閲覧中の電子メールについて、マンマシンインターフェース部１０１を介してユーザから通報操作を受け付けると（Ｓ２０５でＹＥＳ）、この電子メールのヘッダ情報に含まれているメッセージＩＤをメールＩＤに設定する。そして、このメールＩＤおよびマンマシンインターフェース部１０１に表示中の電子メールを含む不審メール通報を生成し、この不審メール通報を、ネットワークインターフェース部１００を介して不審メール検出サーバ２に送信する（Ｓ２０６）。

【0067】

また、通知受信部１０７は、ネットワークインターフェース部１００を介して不審メール検出サーバ２から注意喚起通知を受信すると（Ｓ２０７でＹＥＳ）、この注意喚起通知を通知表示部１０８に渡す。これを受けて、通知表示部１０８は、メーラ１０２を参照して、メーラ１０２に保存されている受信メールのなかから、この注意喚起通知に含まれているメールＩＤをメッセージＩＤとしてヘッダ情報に含む電子メールを特定する。そして、特定した電子メールの件名、差出人、宛先、受信日時等の諸情報を取得する。それから、通知表示部１０８は、取得した諸情報と、この注意喚起通知に含まれている注意喚起メッセージと、を含む注意喚起表示画面を生成して、この注意喚起表示画面をマンマシンインターフェース部１０１に表示する（Ｓ２０８）。

【0068】

図１０は、注意喚起表示画面１１５の一例を示す図である。

【0069】

図１０において、符号１１５０は、注意喚起通知に含まれている注意喚起メッセージの表示欄である。ここでは、注意喚起通知の送信先のメール端末１−３〜１−ｎにおいて、注意喚起通知に含まれているメールＩＤにより特定される電子メールの開封状態が「未開封」である場合の表示例を示している。また、符号１１５１は、注意喚起通知に含まれているメールＩＤをメッセージＩＤとしてヘッダ情報に含む電子メールの諸情報であり、例えば、件名、差出人、宛先、受信日時を含む。また、符号１１５２、１１５３は、注意喚起表示画面１１５を閉じるための終了ボタンである。マンマシンインターフェース部１０１を介してユーザより、終了ボタン１１５２が選択された場合、通知表示部１０８は、マンマシンインターフェース部１０１への注意喚起表示画面１１５の表示を終了する。一方、終了ボタン１１５３が選択された場合、通知表示部１０８は、マンマシンインターフェース部１０１への注意喚起表示画面１１５の表示を終了するとともに、注意喚起通知に含まれているメールＩＤをメーラ１０２に通知して電子メールの削除を要求する。これを受けて、メーラ１０２は、このメールＩＤをメッセージＩＤとしてヘッダ情報に含む電子メールを削除する。

【0070】

また、通知受信部１０７は、ネットワークインターフェース部１００を介して不審メール検出サーバ２から検証結果通知を受信すると（Ｓ２０９でＹＥＳ）、この検証結果通知を通知表示部１０８に渡す。これを受けて、通知表示部１０８は、メーラ１０２を参照して、メーラ１０２に保存されている受信メールのなかから、この検証結果通知に含まれているメールＩＤをメッセージＩＤとしてヘッダ情報に含む電子メールを特定する。そして、特定した電子メールの件名、差出人、宛先、受信日時等の諸情報を取得する。それから、通知表示部１０８は、取得した諸情報と、この検証結果通知に含まれている検証結果メッセージと、を含む検証結果表示画面を生成して、この検証結果表示画面をマンマシンインターフェース部１０１に表示する（Ｓ２１０）。

【0071】

図１１は、検証結果表示画面１１６の一例を示す図である。

【0072】

図１１において、符号１１６０は、検証結果通知に含まれている検証結果メッセージの表示欄である。ここでは、検証結果通知の送信先のメール端末１−３〜１−ｎにおいて、この検証結果通知に含まれているメールＩＤにより特定される電子メールの確認状態（検証結果）が「危険」であり、かつ、このメール端末１−３〜１−ｎにおけるこの電子メールの開封状態が「未開封」である場合の表示例を示している。また、符号１１６１は、検証結果通知に含まれているメールＩＤをメッセージＩＤとしてヘッダ情報に含む電子メールの諸情報であり、例えば、件名、差出人、宛先、受信日時を含む。また、符号１１６２、１１６３は、検証結果表示画面１１６を閉じるための終了ボタンである。マンマシンインターフェース部１０１を介してユーザより、終了ボタン１１６２が選択された場合、通知表示部１０８は、マンマシンインターフェース部１０１への検証結果表示画面１１６の表示を終了する。一方、終了ボタン１１６３が選択された場合、通知表示部１０８は、マンマシンインターフェース部１０１への検証結果表示画面１１６の表示を終了するとともに、検証結果通知に含まれているメールＩＤをメーラ１０２に通知して電子メールの削除を要求する。これを受けて、メーラ１０２は、このメールＩＤをメッセージＩＤとしてヘッダ情報に含む電子メールを削除する。

【0073】

つぎに、不審メール検出サーバ２の詳細を説明する。

【0074】

図１２は、不審メール検出サーバ２の概略機能構成図である。

【0075】

図示するように、不審メール検出サーバ２は、ネットワークインターフェース部２００と、マンマシンインターフェース部２０１と、パターン情報リスト記憶部２０２と、不審メールリスト記憶部２０３と、パターン登録依頼処理部２０４と、開封通知処理部２０５と、不審メール通報処理部２０６と、注意喚起通知送信部２０７と、確認状態更新部２０８と、検証結果通知送信部２０９と、を備えている。

【0076】

ネットワークインターフェース部２００は、ＬＡＮ３に接続するためのインターフェースである。

【0077】

マンマシンインターフェース部２０１は、管理者（不審メールの解析者）に情報を表示したり、管理者から各種操作を受け付けたりするためのインターフェースであり、キーボード、マウス等の入力装置と、液晶ディスプレイ等の表示装置と、を有している。

【0078】

パターン情報リスト記憶部２０２には、メール端末１毎に、メール端末１が受信した電子メールのパターン情報リストが記憶される。

【0079】

図１３は、パターン情報リスト記憶部２０２の登録内容例を模式的に表した図である。

【0080】

図示するように、パターン情報リスト記憶部２０２には、メール端末１毎に、パターン情報リストのテーブル２０２０が記憶されている。パターン情報リストのテーブル２０２０には、メール端末１が受信した電子メール毎にパターン情報のレコード２０２１が記憶される。パターン情報のレコード２０２１は、登録日時を登録するフィールド２０２２と、メールＩＤを登録するフィールド２０２３と、パターン情報を登録するフィールド２０２４と、該当するメール端末１における電子メールの開封状態（「開封済」または「未開封」）を登録するフィールド２０２５と、フィールド２０２５の開封状態が「未開封」から「開封済」に更新された場合にその更新日時を登録するフィールド２０２６と、を有する。

【0081】

不審メールリスト記憶部２０３には不審メールリストが記憶されている。

【0082】

図１４は、不審メールリスト記憶部２０３の登録内容例を模式的に表した図である。

【0083】

図示するように、不審メールリスト記憶部２０３には、不審メール通報された不審メール毎に、不審メールのレコード２０３０が登録されている。不審メールのレコード２０３０は、不審メール通報の通報日時を登録するフィールド２０３１と、不審メール通報の通報元のメール端末１を登録するフィールド２０３２と、不審メールのメールＩＤを登録するフィールド２０３３と、不審メールあるいはその格納先を登録するフィールド２０３４と、不審メールの安全性の確認状態（「安全」、「危険」または「未確認」）を表す確認状態フラグを登録するフィールド２０３５と、フィールド２０３５の確認状態フラグが「未確認」から「安全」または「危険」に更新された場合にその更新日時を登録するフィールド２０３６と、を有する。

【0084】

パターン登録依頼処理部２０４は、ネットワークインターフェース部２００を介してメール端末１から受信したパターン登録依頼を処理する。

【0085】

開封通知処理部２０５は、ネットワークインターフェース部２００を介してメール端末１から受信した開封通知を処理する。

【0086】

不審メール通報処理部２０６は、ネットワークインターフェース部２００を介してメール端末１から受信した不審メール通報を処理する。

【0087】

注意喚起通知送信部２０７は、不審メールリスト記憶部２０３に不審メールのレコード２０３０が追加される毎に、あるいは、パターン登録依頼処理部２０４より受け取った注意喚起通知送信指示に従い、注意喚起通知の送信処理を実施する。

【0088】

確認状態更新部２０８は、マンマシンインターフェース部２０１を介して管理者（不審メールの解析者）から受け付けた確認状態更新操作に従い、不審メールリスト記憶部２０３に記憶されている不審メールのレコード２０３０の確認状態フラグを更新する。

【0089】

検証結果通知送信部２０９は、不審メールリスト記憶部２０３に登録されているいずれかの不審メールのレコード２０３０のフィールド２０３５に登録されている確認状態フラグが更新される毎に、あるいは、パターン登録依頼処理部２０４より受け取った検証結果通知送信指示に従い、検証結果通知の送信処理を実施する。

【0090】

図１５は、不審メール検出サーバ２の動作を説明するためのフロー図である。

【0091】

パターン登録依頼処理部２０４は、ネットワークインターフェース部２００を介してメール端末１からパターン登録依頼を受信すると（Ｓ３００でＹＥＳ）、パターン登録依頼の送信元のメール端末１に対応付けられてパターン情報リスト記憶部２０２に記憶されているパターン情報リストのテーブル２０２０にパターン情報のレコード２０２１を追加して、このレコード２０２０のフィールド２０２２に現在日時を登録するとともに、フィールド２０２３、２０２４にパターン登録依頼に含まれているメールＩＤ、パターン情報を登録する。また、フィールド２０２５に開封状態「未開封」を登録し、フィールド２０２６を空欄（Ｎｕｌｌ）とする（Ｓ３０１）。

【0092】

つぎに、パターン登録依頼処理部２０４は、パターン登録依頼の送信元以外のメール端末１に対応付けられてパターン情報リスト記憶部２０２に記憶されているパターン情報リストのテーブル２０２０各々について、パターン登録依頼に含まれているパターン情報がフィールド２０２４に登録されているパターン情報のレコード２０２１を検索する。そして、該当するパターン情報リストのレコード２０２１が検索できたならば、このレコード２０２１を含むパターン情報リストのテーブル２０２０に対応付けられているメール端末１が不審メール通報の送信元としてフィールド２０３２に登録され、検索したパターン情報のレコード２０２１のフィールド２０２３に登録されているメールＩＤがフィールド２０３３に登録されている不審メールのレコード２０３０を、不審メールリスト記憶部２０３から検索する（Ｓ３０２）。

【0093】

そして、該当する不審メールのレコード２０３０を検索できたならば（Ｓ３０３でＹＥＳ）、パターン登録依頼処理部２０４は、検索した不審メールのレコード２０３０のフィールド２０３５に登録されている確認状態フラグが「未確認」であるか否かを判断する（Ｓ３０４）。

【0094】

ここで、確認状態フラグが「未確認」である場合（Ｓ３０４でＹＥＳ）、パターン登録依頼処理部２０４は、パターン登録依頼の送信元と、パターン登録依頼に含まれているメールＩＤと、検索したパターン情報リストのレコード２０２１のフィールド２０２５の開封状態「未開封」と、を含む注意喚起通知送信指示を、注意喚起通知送信部２０７に出力する。これを受けて、注意喚起通知送信部２０７は、パターン登録依頼処理部２０４から受け付けた注意喚起通知送信指示に含まれているメールＩＤと、この注意喚起通知送信指示に含まれている開封状態「未開封」に応じた注意喚起メッセージと、を含む注意喚起通知を生成し、この注意喚起通知を、ネットワークインターフェース部２００を介して、この注意喚起通知送信指示に含まれているパターン登録依頼の送信元のメール端末１に送信する（Ｓ３０５）。

【0095】

一方、確認状態フラグが「未確認」でない場合（Ｓ３０４でＮＯ）、つまり確認状態フラグが「安全」または「危険」である場合、パターン登録依頼処理部２０４は、パターン登録依頼の送信元と、パターン登録依頼に含まれているメールＩＤと、検索したパターン情報リストのレコード２０２１のフィールド２０２５の開封状態「未開封」と、確認状態フラグが示す確認状態（「安全」または「危険」）と、を含む検証結果通知送信指示を、検証結果通知送信部２０９に出力する。これを受けて、検証結果通知送信部２０９は、パターン登録依頼処理部２０４から受け取った検証結果通知送信指示に含まれているメールＩＤと、この検証結果通知送信指示に含まれている開封状態「未開封」および確認状態（「安全」または「危険」）に応じた検証結果メッセージと、を含む検証結果通知を生成し、生成した検証結果通知を、ネットワークインターフェース部２００を介して、この検証結果通知送信指示に含まれているパターン登録依頼の送信元のメール端末１に送信する（Ｓ３０６）。

【0096】

また、不審メール通報処理部２０６は、ネットワークインターフェース部２００を介してメール端末１から不審メール通報を受信すると（Ｓ３０７でＹＥＳ）、不審メールリスト記憶部２０３に不審メールのレコード２０３０を追加して、このレコード２０３０のフィールド２０３１に現在日時を登録し、フィールド２０３２に不審メール通報の送信元を登録し、そして、フィールド２０３３に不審メール通報に含まれているメールＩＤを登録するとともに、フィールド２０３４に不審メール通報に含まれている不審メールあるいはその格納先を登録する。また、フィールド２０３５に確認状態フラグ「未確認」を登録し、フィールド２０３６を空欄（Ｎｕｌｌ）とする（Ｓ３０８）。

【0097】

注意喚起通知送信部２０７は、不審メールリスト記憶部２０３に不審メールのレコード２０３０が追加されると、この不審メールのレコード２０３０のフィールド２０３２に登録されている不審メール通報の送信元のメール端末１に対応付けられてパターン情報リスト記憶部２０２に記憶されているパターン情報リストのテーブル２０２０から、この不審メールのレコード２０３０のフィールド２０３３に登録されているメールＩＤがフィールド２０２３に登録されているパターン情報のレコード２０２１を検索し、検索したレコード２０２１のフィールド２０２４に登録されているパターン情報を取得する。それから、不審メール通報の送信元以外のメール端末１各々について、該当するメール端末１に対応付けられてパターン情報リスト記憶部２０２に記憶されているパターン情報リストのテーブル２０２０から、取得したパターン情報がフィールド２０２４に登録されているパターン情報のレコード２０２１を検索する（Ｓ３０９）。

【0098】

そして、パターン情報のレコード２０２１を検索できたならば（Ｓ３１０でＹＥＳ）、検索したパターン情報のレコード２０２１各々について、該当するレコード２０２１のフィールド２０２３に登録されているメールＩＤと、このレコード２０２１のフィールド２０２５に登録されている開封状態（「開封済」あるいは「未開封」）に応じた注意喚起メッセージと、を含む注意喚起通知を生成し、この注意喚起通知を、ネットワークインターフェース部２００を介して、該当するレコード２０２１が検索されたパターン情報リストのテーブル２０２０に対応付けられているメール端末１に送信する（Ｓ３１１）。

【0099】

また、確認状態更新部２０８は、マンマシンインターフェース部２０１を介して管理者から、不審メール通報の送信元、メールＩＤ、および検証結果の指定を伴う確認状態更新操作を受け付けると（Ｓ３１２でＹＥＳ）、不審メールリスト記憶部２０３から、確認状態更新操作で指定された送信元、メールＩＤがフィールド２０３２、２０３３に登録されている不審メールのレコード２０３０を検索する。そして、検索したレコード２０３０のフィールド２０３５に登録されている確認状態フラグを、「未確認」から、確認状態更新操作で指定された検証結果（「安全」または「危険」）に更新するとともに、フィールド２０３６に現在日時を登録する（Ｓ３１３）。

【0100】

つぎに、検証結果通知送信部２０９は、更新された不審メールのレコード２０３０のフィールド２０３２に登録されている不審メール通報の送信元のメール端末１に対応付けられてパターン情報リスト記憶部２０２に記憶されているパターン情報リストのテーブル２０２０から、更新された不審メールのレコード２０３０のフィールド２０３３に登録されているメールＩＤがフィールド２０２３に登録されているパターン情報のレコード２０２１を検索し、検索したレコード２０２１のフィールド２０２４に登録されているパターン情報を取得する。それから、パターン情報リスト記憶部２０２に記憶されているすべてのパターン情報リストのテーブル２０２０各々について、取得したパターン情報がフィールド２０２４に登録されているパターン情報のレコード２０２１を検索する（Ｓ３１４）。

【0101】

つぎに、検証結果通知送信部２０９は、検索されたパターン情報のレコード２０２１各々について、検索したレコード２０２１のフィールド２０２３に登録されているメールＩＤと、このレコード２０２１のフィールド２０２５に登録されている開封状態（「開封済」あるいは「未開封」）および更新された不審メールのレコード２０３０のフィールド２０３５の確認状態フラグ（「安全」あるいは「危険」）に応じた検証結果メッセージと、を含む検証結果通知を生成して、この検証結果通知を、ネットワークインターフェース部２００を介して、該当するレコード２０２１が検索されたパターン情報リストのテーブル２０２０に対応付けられているメール端末１に送信する（Ｓ３１５）。

【0102】

また、開封通知処理部２０５は、ネットワークインターフェース部２００を介してメール端末１から開封通知を受信すると（Ｓ３１６でＹＥＳ）、開封通知の送信元のメール端末１に対応付けられてパターン情報リスト記憶部２０２に記憶されているパターン情報リストのテーブル２０２０から、開封通知に含まれているメールＩＤがフィールド２０２３に登録されているパターン情報のレコード２０２１を検索する。そして、検索したレコード２０２１のフィールド２０２５に登録されている開封状態を「未開封」から「開封済」に更新するとともに、フィールド２０２６に現在日時を登録する（Ｓ３１７）。

【0103】

以上、本発明の一実施の形態について説明した。

【0104】

本実施の形態では、不特定多数に送信されるばらまき型攻撃メールでは、一般に、メール本文中に記述された電話番号、メールアドレス等の連絡先、および／または、メール本文中の記述に設定されたリンク先はメール毎に変更されるが、メール本文中の文面はそのままであることに着目し、不審メール検出サーバ２が、メール端末１毎に蓄積された受信メールのメール本文中の文面により定まる所定のパターン情報のなかから、ばらまき型攻撃メールあるいはその可能性があると例えば人為的に判断された電子メールのメール本文中の文面により定まる所定のパターン情報を検索して、この所定のパターン情報を有する受信メールのメールＩＤを、この受信メールを受信したメール端末１に通知する。このため、ヘッダ情報が偽装されている場合でも、ばらまき型攻撃メールを検出できる可能性が高まる。また、ばらまき型攻撃メールあるいはその可能性があると例えば人為的に判断される前にこのメールを受信しているメール端末１のユーザにも、このメールに対する注意を喚起することができる。

【0105】

また、本実施の形態において、不審メール検出サーバ２は、不審メール通報に応じて、パターン情報リスト記憶部２０２にメール端末１毎に記憶されているパターン情報リストのテーブル２０２０のなかから、ばらまき型攻撃メールの可能性があると例えば人為的に判断された電子メールのパターン情報が登録されたパターン情報のレコード２０２１を検索し、検索したレコード２０２１に登録されているメールＩＤを含む注意喚起通知を、このレコード２０２１が検索されたパターン情報リストのテーブル２０２０に対応付けられているメール端末１に送信するとともに、不審メールリスト記憶部２０３に、ばらまき型攻撃メールの可能性があると例えば人為的に判断された電子メールおよびそのメールＩＤと、検証による確認状態「未確認」と、を含む不審メールのレコード２０３０を登録する。また、ばらまき型攻撃メールの可能性があると例えば人為的に判断された電子メールの検証が終了して、不審メールのレコード２０３０に含まれている確認状態フラグが「未確認」からその検証結果（「安全」または「危険」）に更新されたならば、注意喚起通知の送信先のメール端末１に、この不審メールのレコード２０３０に含まれているメールＩＤおよび確認状態フラグに応じたメッセージを含む検証結果通知を送信する。したがって、メール端末１のユーザは、受信メールにばらまき型攻撃メールの可能性があることを速やかに知ることができるとともに、後からその検証結果を知ることができるので、ばらまき型攻撃メールの可能性があると判断された受信メールに対して、適切な対応を行うことができる。

【0106】

また、本実施の形態において、メール端末１は、電子メールを受信する毎に、受信メールからパターン情報を抽出して、抽出したパターン情報およびこの受信メールのメールＩＤを含むパターン登録依頼を不審メール検出サーバ２に送信する。また、閲覧中の受信メールに対して操作者から通報操作を受け付けた場合に、この閲覧中の受信メールをばらまき型攻撃メールの可能性があるメールとして、この閲覧中の受信メールのメールＩＤを含む不審メール通報を不審メール検出サーバ２に送信する。一方、不審メール検出サーバ２は、メール端末１からパターン登録依頼を受信する毎に、このパターン登録依頼に含まれているメールＩＤおよびパターン情報が登録されたパターン情報のレコード２０２１を、パターン登録依頼の送信元のメール端末１に対応付けられてパターン情報リスト記憶部２０２に記憶されたパターン情報リストのテーブル２０２０に追加する。メール端末１から不審メール通報を受信した場合、この不審メール通報の送信元のメール端末１に対応付けられたパターン情報リストのテーブル２０２０から、不審メール通報に含まれているメールＩＤに紐付けられているパターン情報のレコード２０２１を特定する。そして、不審メール通報の送信元以外のメール端末１それぞれのパターン情報リストのテーブル２０２０から、不審メール通報の送信元のメール端末１に対応付けられたパターン情報リストのテーブル２０２０から特定したレコード２０２１に登録されているパターン情報が登録されているパターン情報のレコード２０２１を検索する。そして、検索したレコード２０２１に登録されているメールＩＤを含む注意喚起通知を、このレコード２０２１を含むパターン情報リストのテーブル２０２０に対応付けられたメール端末１に送信する。このため、あるメール端末１が不審メール通報を不審メール検出サーバ２に送信することで、この不審メール通報においてばらまき型攻撃メールの可能性が指摘されている電子メールを受信した他のメール端末１各々にも注意喚起することができるので、ばらまき型攻撃メールの被害の拡大を迅速に防止することができる。

【0107】

なお、本発明は上記の実施の形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。

【0108】

例えば、上記の実施の形態では、電子メールのメール本文中の文面により定まる所定のパターン情報が、ばらまき型攻撃メールあるいはその可能性があると例えば人為的に判断された電子メールのそれと一致するか否かにより、この電子メールがばらまき型攻撃メールであるか否かあるいはその可能性があるか否かを判定している。しかしながら、本発明はこれに限定されない。例えば、電子メールのメール本文中の文面に電子メールの件名および添付ファイル名の少なくとも一方を組合せ、この組合せにより定まる所定のパターン情報（例えば、この組合せから半角文字を削除することにより得られる全角文字列情報のハッシュ値）が、ばらまき型攻撃メールあるいはその可能性があると例えば人為的に判断された電子メールである不審メールのそれと一致するか否かにより、対象メールにばらまき型攻撃メールの可能性があるか否かを判定してもよい。

【0109】

また、上記の実施の形態では、電子メールのメールＩＤとして、電子メールのヘッダ情報に含まれているメッセージＩＤを用いているが、本発明はこれに限定されない。メールＩＤは、電子メールから得られる電子メールを識別可能な固有の情報であればどのようなものでもよい。例えば、電子メールの件名あるいは差出人と受信日時との組合せをメールＩＤとして用いてもよい。

【0110】

また、上記の実施の形態では、メール本文中の文面から半角文字（バイト文字）を削除することにより得られる全角文字（マルチバイト文字）列情報のハッシュ値を所定のパターン情報の一例として挙げているが、半角文字に加えて、スペース、絵文字等の記号を削除してもよい。

【0111】

また、上記の実施の形態では、メール端末１が受信メールからパターン情報を抽出して、この抽出したパターン情報およびメールＩＤを含むパターン登録依頼を不審メール検出サーバ２に送信している。しかしながら、本発明はこれに限定されない。メール端末１は、受信メールおよびメールＩＤを含むパターン登録依頼を不審メール検出サーバ２に送信し、不審メール検出サーバ２が、パターン登録依頼に含まれている受信メールからパターン情報を抽出するようにしてもよい。

【0112】

また、上記の実施の形態では、メール端末１がばらまき型攻撃メールの可能性がある電子メールおよびそのメールＩＤを含む不審メール通報を不審メール検出サーバ２に送信し、不審メール検出サーバ２が、不審メール通報の送信元のメール端末１に対応付けられたパターン情報リストのテーブル２０２０から、不審メール通報のメールＩＤが登録されているパターン情報のレコード２０２１を検索し、このレコード２０２１からばらまき型攻撃メールの可能性がある電子メールのパターン情報を取得している。しかし、本発明はこれに限定されない。メール端末１がばらまき型攻撃メールの可能性がある電子メールおよびそのパターン情報を含む不審メール通報を不審メール検出サーバ２に送信し、不審メール検出サーバ２が、ばらまき型攻撃メールの可能性がある電子メールのパターン情報を不審メール通報から取得してもよい。あるいは、メール端末１がばらまき型攻撃メールの可能性がある電子メールを含む不審メール通報を不審メール検出サーバ２に送信し、不審メール検出サーバ２が、不審メール通報に含まれているばらまき型攻撃メールの可能性がある電子メールからパターン情報を抽出してもよい。

【0113】

また、上記の実施の形態では、メール端末１がＬＡＮ３に接続された有線端末である場合を例にとり説明したが、本発明はこれに限定されない。メール端末１は、無線を介してＬＡＮ３に接続された無線端末であってもよい。

【0114】

また、上記の実施の形態において、図５に示すメール端末１および図１２に示す不審メール検出サーバ２の機能構成は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）などの集積ロジックＩＣによりハード的に実現されるか、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等の計算機によりソフトウエア的に実現される。あるいは、ＣＰＵと、メモリと、ハードディスク、フラッシュメモリ等の補助記憶装置と、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）、無線アダプタ等の通信インターフェースと、を備えたＰＣ、タブレットＰＣ、スマートフォン等の汎用コンピュータにおいて、ＣＰＵが、所定のプログラムを、補助記憶装置からメモリ上にロードして実行することにより実現される。

【符号の説明】

【0115】

１、１−１〜１−ｎ：メール端末 ２：不審メール検出サーバ
３：ＬＡＮ ４：ゲートウェイ ５：ＷＡＮ ６：メールサーバ
７：メール端末（攻撃者） １００：ネットワークインターフェース部
１０１：マンマシンインターフェース部 １０２：メーラ
１０３：パターン情報抽出部 １０４：パターン登録依頼送信部
１０５：開封通知送信部 １０６：不審メール通報部
１０７：通知受信部 １０８：通知表示部
２００：ネットワークインターフェース部
２０１：マンマシンインターフェース部 ２０２：パターン情報リスト記憶部
２０３：不審メールリスト記憶部 ２０４：パターン登録依頼処理部
２０５：開封通知処理部 ２０６：不審メール通報処理部
２０７：注意喚起通知送信部 ２０８：確認状態更新部
２０９：検証結果通知送信部

【要約】

【課題】ばらまき型攻撃メールの検出に好適な不審メールの検出技術を提供する。
【解決手段】不審メール検出サーバ２は、メール端末１毎に、受信メールのメール本文中の文面により定まる所定のパターン情報をこの受信メールのメールＩＤとともに蓄積する。そして、メール端末１毎に、ばらまき型攻撃メールあるいはその可能性があると判断された電子メールのメール本文中の文面により定まる所定のパターン情報を、該当するメール端末１に対応付けられて蓄積された所定のパターン情報のなかから検索する。そして、パターン情報を検索できたならば、このパターン情報に紐付けられているメールＩＤを、該当するメール端末１に通知する。
【選択図】図１

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】