特開 2022-156776 分析装置、分析方法及び分析プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022156776

(43)【公開日】2022-10-14

(54)【発明の名称】分析装置、分析方法及び分析プログラム

(51)【国際特許分類】

   G06Q 20/40 20120101AFI20221006BHJP

【ＦＩ】

G06Q20/40

【審査請求】有

【請求項の数】8

【出願形態】ＯＬ

(21)【出願番号】P 2021060640

(22)【出願日】2021-03-31

(71)【出願人】

【識別番号】399035766

【氏名又は名称】エヌ・ティ・ティ・コミュニケーションズ株式会社

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】加藤 恭英

(72)【発明者】

【氏名】石野 衛

(72)【発明者】

【氏名】山内 守

(72)【発明者】

【氏名】中島 博行

【テーマコード（参考）】

5L055

【Ｆターム（参考）】

5L055AA72

(57)【要約】

【課題】金融サービスにおける不正利用を検知すること。
【解決手段】分析装置４０は、端末１０から送信されたＡＰＩリクエストを解釈した結果に基づきサーバ３０に金融サービスを提供させるゲートウェイ装置２０のログを、所定の形式のデータに変換する。そして、分析装置４０は、変換したデータから、金融サービスの不正利用に関する所定の条件を満たす事象を検出する。
【選択図】図１

【特許請求の範囲】

【請求項1】

端末から送信されたＡＰＩリクエストを解釈した結果に基づきサーバに金融サービスを提供させるゲートウェイ装置のログを、所定の形式のデータに変換する変換部と、
前記変換部によって変換されたデータから、前記金融サービスの不正利用に関する所定の条件を満たす事象を検出する検出部と、
を有することを特徴とする分析装置。

【請求項2】

前記変換部は、前記ログを、決済元のＩＰアドレス、クレジットカード及び加盟店をノードとし、ノード間における取引をエッジとするグラフに変換することを特徴とする請求項１に記載の分析装置。

【請求項3】

前記検出部は、クレジットカードを利用した履歴が存在しないＩＰアドレスからの決済が行われたことを検出することを特徴とする請求項１又は２に記載の分析装置。

【請求項4】

前記検出部は、１つのＩＰアドレスから複数のクレジットカードの決済が行われたことを検出することを特徴とする請求項１又は２に記載の分析装置。

【請求項5】

前記検出部は、払い戻しの履歴があるクレジットカードによる決済が行われたことを検出することを特徴とする請求項１又は２に記載の分析装置。

【請求項6】

前記検出部は、決済が行われた加盟店に関する所定の条件を満たすことを検出することを特徴とする請求項１又は２に記載の分析装置。

【請求項7】

分析装置によって実行される分析方法であって、
端末から送信されたＡＰＩリクエストを解釈した結果に基づきサーバに金融サービスを提供させるゲートウェイ装置のログを、所定の形式のデータに変換する変換工程と、
前記変換工程によって変換されたデータから、前記金融サービスの不正利用に関する所定の条件を満たす事象を検出する検出工程と、
を含むことを特徴とする分析方法。

【請求項8】

コンピュータを、請求項１から６のいずれか１項に記載の分析装置として機能させるための分析プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、分析装置、分析方法及び分析プログラムに関する。

【背景技術】

【0002】

従来、ＡＰＩ（Application Programming Interface）を介して提供される金融サービスが知られている。また、ＡＰＩを介して提供されるサービスにおいては、サービス利用者の端末から送信されたＡＰＩリクエストを基に新たなリクエストを生成し、当該生成したリクエストを用いてリダイレクトを行うことを端末に要求するＡＰＩの処理方法が用いられる場合がある。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０１７－３３２２１号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、従来の技術には、金融サービスにおける不正利用を検知することが困難な場合があるという問題がある。例えば、金融サービスにおけるクレジットカード決済に関する詳細な情報は保護されているため入手できない場合がある。その結果、不正なクレジットカードの決済を検知することが難しくなる。

【課題を解決するための手段】

【0005】

上述した課題を解決し、目的を達成するために、分析装置は、端末から送信されたＡＰＩリクエストを解釈し、サーバに金融サービスを提供させるゲートウェイ装置のログを、所定の形式のデータに変換する変換部と、前記変換部によって変換されたデータから、前記金融サービスの不正利用に関する所定の条件を満たす事象を検出する検出部と、を有することを特徴とする。

【発明の効果】

【0006】

本発明によれば、金融サービスにおける不正利用を検知することができる。

【図面の簡単な説明】

【0007】

【図1】図１は、サービス提供システムの構成例を示す図である。

【図2】図２は、分析装置による分析方法を説明する図である。

【図3】図３は、分析装置の構成例を示す図である。

【図4】図４は、グラフへの変換について説明する図である。

【図5】図５は、グラフデータの例を示す図である。

【図6】図６は、第１の実施形態に係る分析装置の処理の流れを示すフローチャートである。

【図7】図７は、分析プログラムを実行するコンピュータの一例を示す図である。

【発明を実施するための形態】

【0008】

以下に、本願に係る分析装置、分析方法及び分析プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。

【0009】

［第１の実施形態の構成］
まず、図１を用いて、分析装置を含むサービス提供システムの構成について説明する。図１は、サービス提供システムの構成例を示す図である。

【0010】

図１に示すように、サービス提供システム１は、インターネットを利用してサービス利用者に様々なサービスを提供するためのシステムである。

【0011】

図１の例では、サービス利用者は端末１０からＡＰＩを実行し、サーバ３０によるサービスの提供を受ける。例えば、端末１０はスマートフォン又はパーソナルコンピュータである。

【0012】

サービス提供システム１は、ＩＴインフラサービス、金融サービス、飲食サービスといった様々なサービスを提供することができる。例えば、ＩＴインフラサービスは、利用者にネットワーク上のサーバ等を利用させるサービスである。また、例えば、金融サービスは、クレジットカードのオンラインでの決済を行うサービスである。また、例えば、飲食サービスは、飲食店における商品の注文をネットワーク経由で行うサービスである。

【0013】

まず、端末１０は、利用するサービスの内容に応じたリクエスト（例えば、ＨＴＴＰリクエスト）をインターネットに送信する。ここで、端末１０によって送信されたリクエストはゲートウェイ装置２０によって受信される。

【0014】

ゲートウェイ装置２０は、受信したリクエストに含まれるＵＲＬからクエリ文字列を抽出し、当該抽出したクエリ文字列を復号する。そして、ゲートウェイ装置２０は、復号したクエリ文字列を基に、端末１０に対してリダイレクトを実行することを要求する。

【0015】

端末１０は、ゲートウェイ装置２０の要求に従ってリダイレクトを実行する。このとき、リダイレクトによって生じたリクエストはサーバ３０に送信される。サーバ３０は、受け取ったリクエストを基にサービスの提供に関する所定のアプリケーションを実行する。

【0016】

ここで、分析装置４０は、ゲートウェイ装置２０からサービス利用ログを取得する。そして、分析装置４０は、取得したサービス利用ログを用いて、サービスの不正利用の検知するための分析を行う。

【0017】

図２は、分析装置による分析方法を説明する図である。図２に示すように、分析装置４０は、ゲートウェイ装置２０から取得したサービス利用ログをＤＢ（データベース）化する。例えば、分析装置４０は、サービス利用ログをグラフデータに変換し、ＤＢ化する。

【0018】

そして、分析装置４０はＤＢを基にリスクを検出し、検出結果をサービス運用者の端末５０に通知する。

【0019】

図３は、分析装置の構成例を示す図である。図３に示すように、分析装置４０は、通信部４１、記憶部４２及び制御部４３を有する。

【0020】

通信部４１は、ネットワークを介して、ゲートウェイ装置２０等の装置との間でデータ通信を行う。例えば、通信部４１はＮＩＣ（Network Interface Card）である。

【0021】

記憶部４２は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、光ディスク等の記憶装置である。なお、記憶部４２は、ＲＡＭ（Random Access Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non Volatile Static Random Access Memory）等のデータを書き換え可能な半導体メモリであってもよい。

【0022】

記憶部４２は、分析装置４０で実行されるＯＳ（Operating System）や各種プログラムを記憶する。記憶部４２は、ログ情報４２２及び検出情報４２３を記憶する。ログ情報４２２は、ＤＢ化されたサービス利用ログであり、例えばグラフデータである。また、検出情報４２３は、不正利用の検出結果である。

【0023】

制御部４３は、分析装置４０全体を制御する。制御部４３は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＧＰＵ（Graphics Processing Unit）等の電子回路や、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）等の集積回路である。また、制御部４３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。

【0024】

また、制御部４３は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部４３は、変換部４３１、検出部４３２、加算部４３３及び通知部４３４を有する。

【0025】

変換部４３１は、端末１０から送信されたＡＰＩリクエストを解釈した結果に基づきサーバ３０に金融サービスを提供させるゲートウェイ装置２０のサービス利用ログを、所定の形式のデータに変換する。

【0026】

ゲートウェイ装置２０は、ＵＲＬから抽出したクエリ文字列を復号することにより、ＡＰＩリクエストを解釈しているということができる。

【0027】

図４は、グラフへの変換について説明する図である。変換部４３１は、サービス利用ログを、「ＩＰアドレス」、「クレジットカード」、「加盟店」の３種類のノードを持つグラフデータに変換する。

【0028】

「ＩＰアドレス」はクレジットカード決済を行うユーザが利用する端末１０のＩＰアドレスに相当する。「クレジットカード」はユーザが利用するクレジットカードに相当し、クレジットカード番号等によって識別される。「加盟店」はクレジットカードの決済により入金が行われる対象である。なお、クレジットカード決済に関する各処理はサーバ３０がＡＰＩを実行することにより行われる。また、ノード間のエッジは取引があったことを意味している。取引には、決済の依頼、入金等が含まれる。

【0029】

また、ある１つのノードから他の１つのノードに対して複数回の取引があった場合、図４に示すように、当該ノード間には複数のエッジが配置される。

【0030】

図５は、グラフデータの例を示す図である。一例として、変換部４３１は、サービス利用ログを図５のようなグラフデータに変換する。

【0031】

検出部４３２は、変換部４３１によって変換されたデータから、金融サービスの不正利用に関する所定の条件を満たす事象を検出する。

【0032】

検出部４３２は、クレジットカードを利用した履歴が存在しないＩＰアドレスからの決済が行われたことを検出することができる。これは、例えば図５のグラフにおいて、「ＩＰアドレス」ノードと「クレジットカード」ノードとの間に新たなエッジが発生することに相当する。

【0033】

検出部４３２は、１つのＩＰアドレスから複数のクレジットカードの決済が行われたことを検出する。例えば、図５には、「ＩＰアドレス」ノード７１２から「クレジットカード」ノード７２２及び７２３に対して決済が行われたことが示されている。

【0034】

検出部４３２は、払い戻しの履歴があるクレジットカードによる決済が行われたことを検出する。これにより、検出部４３２は、払い戻しを繰り返すように不正を検出する。

【0035】

検出部４３２は、決済が行われた加盟店に関する所定の条件を満たすことを検出する。例えば、１つのクレジットカードが、一定の時間帯で多数の加盟店で利用されていた場合、不正に利用された可能性が考えられる。

【0036】

例えば、検出部４３２は、図５の「クレジットカード」ノード７２２との間にエッジを持つ「加盟店」ノード７３４及び７３５に対応する加盟店の所在地間の距離が一定以上であることを検出する。

【0037】

また、検出部４３２は、加盟店による履歴にない取引の発生を検出する。例えば、図５の「クレジットカード」ノード７２４と「加盟店」ノード７３６との間にエッジが存在するが、「クレジットカード」ノード７２４と「ＩＰアドレス」ノードとの間のエッジは存在しない。検出部４３２は、このような事象を加盟店による履歴にない取引の発生として検出する。

【0038】

また、検出部４３２は、「ＩＰアドレス」ノードと「クレジットカード」ノードとの間の支払い金額と、対応する「クレジットカード」ノードと「加盟店」ノードとの間の支払い金額と、が一致しないことを検出する。

【0039】

加算部４３３は、検出部４３２によって検出された事象をリスクとみなし、関連するノードにポイントを加算する。このポイントが大きいほど不正利用の可能性が高くなる。

【0040】

通知部４３４は、検出結果を運用者に通知する。例えば、加算部４３３によって加算されたポイントが一定値を越えたノードに関する情報を通知する。

【0041】

［第１の実施形態の処理］
図６は、第１の実施形態に係る分析装置の処理の流れを示すフローチャートである。図６に示すように、まず、分析装置４０は、ゲートウェイ装置２０のサービス利用ログをグラフデータに変換する（ステップＳ１０１）。

【0042】

次に、分析装置４０は、グラフデータからリスクを検出する（ステップＳ１０２）。そして、分析装置４０は、リスクに応じてグラフデータのノードにポイントを加算する（ステップＳ１０３）。

【0043】

そして、分析装置４０は、検出結果を運用者に通知する（ステップＳ１０４）。

【0044】

［第１の実施形態の効果］
これまで説明してきたように、変換部４３１は、端末１０から送信されたＡＰＩリクエストを解釈した結果に基づきサーバに金融サービスを提供させるゲートウェイ装置２０のログを、所定の形式のデータに変換する。検出部４３２は、変換部４３１によって変換されたデータから、金融サービスの不正利用に関する所定の条件を満たす事象を検出する。

【0045】

分析装置４０は、ゲートウェイ装置２０のログを参照することで、入手困難なクレジットカードの決済に関する情報を得ることができる。このため、本実施形態によれば、金融サービスにおける不正利用を検知することができる。

【0046】

変換部４３１は、ログを、決済元のＩＰアドレス、クレジットカード及び加盟店をノードとし、ノード間における取引をエッジとするグラフに変換する。これにより、エッジ数の計測といった既存のグラフ分析手法を用いて検出を行うことができる。

【0047】

検出部４３２は、クレジットカードを利用した履歴が存在しないＩＰアドレスからの決済が行われたことを検出する。これにより、偽造クレジットカード等による不正な決済を検出することができる。

【0048】

検出部４３２は、１つのＩＰアドレスから複数のクレジットカードの決済が行われたことを検出する。これにより、クレジットカードの盗難等による不正な決済を検出することができる。

【0049】

検出部４３２は、払い戻しの履歴があるクレジットカードによる決済が行われたことを検出する。これにより、不正な払い戻しを検出することができる。

【0050】

検出部４３２は、決済が行われた加盟店に関する所定の条件を満たすことを検出する。これにより、加盟店による不正な処理を検出することができる。

【0051】

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散及び統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散又は統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。なお、プログラムは、ＣＰＵだけでなく、ＧＰＵ等の他のプロセッサによって実行されてもよい。

【0052】

また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

【0053】

［プログラム］
一実施形態として、分析装置４０は、パッケージソフトウェアやオンラインソフトウェアとして上記の分析処理を実行する分析プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の分析プログラムを情報処理装置に実行させることにより、情報処理装置を分析装置４０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal Handyphone System）等の移動体通信端末、さらには、ＰＤＡ（Personal Digital Assistant）等のスレート端末等がその範疇に含まれる。

【0054】

図７は、分析プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

【0055】

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

【0056】

ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、分析装置４０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、分析装置４０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid State Drive）により代替されてもよい。

【0057】

また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した実施形態の処理を実行する。

【0058】

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

【符号の説明】

【0059】

１ サービス提供システム
１０、５０ 端末
２０ ゲートウェイ装置
３０ サーバ
４０ 分析装置
４１ 通信部
４２ 記憶部
４３ 制御部
４２２ ログ情報
４２３ 検出情報
４３１ 変換部
４３２ 検出部
４３３ 加算部
４３４ 通知部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【手続補正書】

【提出日】2022-07-19

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

端末から送信されたＨＴＴＰリクエストに含まれるＵＲＬから抽出したクエリ文字列を復号することにより、前記ＨＴＴＰリクエストを解釈した結果に基づきサーバに金融サービスを提供させるゲートウェイ装置のＨＴＴＰリクエストのログを、所定の形式のデータに変換する変換部と、
前記変換部によって変換されたデータから、前記金融サービスの不正利用に関する所定の条件を満たす事象を検出する検出部と、
を有することを特徴とする分析装置。

【請求項2】

前記変換部は、前記ログを、決済元のＩＰアドレス、クレジットカード及び加盟店をノードとし、ノード間における取引をエッジとするグラフに変換することを特徴とする請求項１に記載の分析装置。

【請求項3】

前記検出部は、クレジットカードを利用した履歴が存在しないＩＰアドレスからの決済が行われたことを検出することを特徴とする請求項１又は２に記載の分析装置。

【請求項4】

前記検出部は、１つのＩＰアドレスから複数のクレジットカードの決済が行われたことを検出することを特徴とする請求項１又は２に記載の分析装置。

【請求項5】

前記検出部は、払い戻しの履歴があるクレジットカードによる決済が行われたことを検出することを特徴とする請求項１又は２に記載の分析装置。

【請求項6】

前記検出部は、決済が行われた加盟店に関する所定の条件を満たすことを検出することを特徴とする請求項１又は２に記載の分析装置。

【請求項7】

分析装置によって実行される分析方法であって、
端末から送信されたＨＴＴＰリクエストに含まれるＵＲＬから抽出したクエリ文字列を復号することにより、前記ＨＴＴＰリクエストを解釈した結果に基づきサーバに金融サービスを提供させるゲートウェイ装置のＨＴＴＰリクエストのログを、所定の形式のデータに変換する変換工程と、
前記変換工程によって変換されたデータから、前記金融サービスの不正利用に関する所定の条件を満たす事象を検出する検出工程と、
を含むことを特徴とする分析方法。

【請求項8】

コンピュータを、請求項１から６のいずれか１項に記載の分析装置として機能させるための分析プログラム。