特開 2023-62039 情報処理装置、情報処理方法、及び情報処理プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023062039

(43)【公開日】2023-05-02

(54)【発明の名称】情報処理装置、情報処理方法、及び情報処理プログラム

(51)【国際特許分類】

   H04L 51/21 20220101AFI20230425BHJP

   H04L 51/00 20220101ALI20230425BHJP

   G06F 21/56 20130101ALI20230425BHJP

【ＦＩ】

H04L51/21

H04L51/00

G06F21/56 360

【審査請求】有

【請求項の数】6

【出願形態】ＯＬ

(21)【出願番号】P 2023019446

(22)【出願日】2023-02-10

(62)【分割の表示】P 2020061652の分割

【原出願日】2020-03-30

(71)【出願人】

【識別番号】500147023

【氏名又は名称】デジタルアーツ株式会社

(72)【発明者】

【氏名】佐藤 光成

(72)【発明者】

【氏名】田澤 智也

(57)【要約】      （修正有）

【課題】リンク先が偽装されている場合であっても偽装メールを精度良く検出できる情報処理装置、情報処理方法及び情報処理プログラムを提供する。
【解決手段】クライアント端末に送信される電子メールを中継する情報処理装置１０であって、電子メールを受信して、電子メールに含まれるＵＲＬ情報を抽出するＵＲＬ情報抽出部１５と、ユーザがアクセスした際に、アクセス先のＵＲＬからリダイレクトさせる展開条件を予め保存する展開条件保存部１６と、抽出したＵＲＬ情報と展開条件とに基づいてＵＲＬ情報がリダイレクトするか否かを照合する照合部１７と、リダイレクトすると判定したＵＲＬ情報について実際の接続先ＵＲＬを取得して、当該接続先ＵＲＬが適切か否かを判定する判定部１８と、を備える。
【選択図】図１

【特許請求の範囲】

【請求項1】

クライアント端末に送信される電子メールを中継する情報処理装置であって、 前記電子メールを受信して、前記電子メールに含まれるＵＲＬ情報を抽出するＵＲＬ情報抽出部と、 ユーザがアクセスした際に、アクセス先のＵＲＬからリダイレクトさせる展開条件を予め保存する展開条件保存部と、 抽出された前記ＵＲＬ情報と前記展開条件とに基づいて前記ＵＲＬ情報がリダイレクトするか否かを照合する照合部と、 リダイレクトすると判定された前記ＵＲＬ情報について実際の接続先ＵＲＬを取得して、当該接続先ＵＲＬが適切か否かを判定する判定部と、を備えることを特徴とする情報処理装置。

【請求項2】

前記展開条件のそれぞれに対応付けて、実際の接続先ＵＲＬを展開して取得するか否かの設定を保存し、 前記判定部は、前記実際の接続先ＵＲＬを展開して取得すると設定された前記展開条件の場合に、実際の接続先ＵＲＬを取得して、当該接続先ＵＲＬが適切か否かを判定する、ことを特徴とする請求項１に記載の情報処理装置。

【請求項3】

前記展開条件保存部は、アクセス先のＵＲＬからリダイレクトさせる短縮ＵＲＬのドメインのリストを予め保存しており、 前記照合部は、抽出された前記ＵＲＬ情報に含まれるアクセス先のＵＲＬのドメインと保存されたドメインとを照合することによりリダイレクトするか否かを判定する、ことを特徴とする請求項１または請求項２に記載の情報処理装置。

【請求項4】

前記展開条件保存部は、アクセス先のＵＲＬから他のＵＲＬにリダイレクトさせるＵＲＬの正規表現、またはスクリプトを予め保存しており、 前記照合部は、抽出された前記ＵＲＬ情報に前記スクリプトが含まれるか否かによりリダイレクトするか否かを判定する、ことを特徴とする請求項１から請求項３のいずれか一項に記載の情報処理装置。

【請求項5】

クライアント端末に送信される電子メールを中継する情報処理方法であって、 前記電子メールを受信して、前記電子メールに含まれるＵＲＬ情報を抽出するステップと、 ユーザがアクセスした際に、アクセス先のＵＲＬからリダイレクトさせる展開条件を予め保存するステップと、 抽出された前記ＵＲＬ情報と前記展開条件とに基づいて前記ＵＲＬ情報がリダイレクトするか否かを判定するステップと、 リダイレクトすると判定された前記ＵＲＬ情報について実際の接続先ＵＲＬを取得して、当該接続先ＵＲＬが適切か否かを判定するステップと、を含むことを特徴とする情報処理方法。

【請求項6】

コンピュータを、 電子メールを受信して、前記電子メールに含まれるＵＲＬ情報を抽出する機能、 ユーザがアクセスした際に、アクセス先のＵＲＬからリダイレクトさせる展開条件を予め保存する機能、 抽出された前記ＵＲＬ情報と前記展開条件とに基づいて前記ＵＲＬ情報がリダイレクトするか否かを判定する機能、 リダイレクトすると判定された前記ＵＲＬ情報について実際の接続先ＵＲＬを取得して、当該接続先ＵＲＬが適切か否かを判定する機能、として実行させることを特徴とする記載の情報処理プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、情報処理装置、情報処理方法、及び情報処理プログラムに関する。

【背景技術】

【0002】

電子メールの送信元を偽り、あたかも適切なメールかのように偽装して送信する、いわゆる「なりすまし」メールが問題となっている。悪意の第三者が、特定の法人や団体に対して送信元をより巧妙に偽装した電子メールを送信して、メール内に記載されたリンク先情報などを介してユーザの端末をマルウェアなどに感染させて、個人情報などのデータを窃取する標的型のメール攻撃が近年増加しており、標的型のメール攻撃への対策が必要となっている。

【0003】

特に、メールの送信元を偽装するとともに、メール内に記載された、ユーザがクリックしてアクセスするリンク先情報について実際の接続先となるＵＲＬを巧妙に隠して、悪意のサイトに誘導する攻撃が増加している。

【0004】

従来では、ユーザがクリックしてアクセスするＵＲＬと、当該ＵＲＬから転送（リダイレクト）される実際の接続先となるＵＲＬを比較して、接続先となるＵＲＬが適切なものであるか否かを判定する技術が開示されている。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２０１９－５３６１３公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

一方で、企業や団体で広く普及している短縮ＵＲＬサービスのように、ユーザがクリックしてアクセスするアクセス先のＵＲＬから別のＵＲＬにリダイレクトされるような場合、実際の接続先のＵＲＬは適切な接続先となる。つまり、リダイレクトされるようなアクセス先のＵＲＬであっても適切な接続先となる場合があり、リダイレクトの有無により適切か否かを判定する従来の方法では偽装メールを誤検知してしまうおそれがある。

【0007】

本発明はこのような事情を考慮してなされたもので、リンク先が巧妙に偽装されている場合であっても偽装メールを精度良く検出できる情報処理装置、情報処理方法、及び情報処理プログラムを提供することを目的とする。

【課題を解決するための手段】

【0008】

本発明の実施形態に係る情報処理装置は、クライアント端末に送信される電子メールを中継する情報処理装置であって、前記電子メールを受信して、前記電子メールに含まれるＵＲＬ情報を抽出するメール情報抽出部と、ユーザがアクセスした際に、アクセス先のＵＲＬからリダイレクトさせる展開条件を予め保存する展開条件保存部と、抽出された前記ＵＲＬ情報と前記展開条件とに基づいて前記ＵＲＬ情報がリダイレクトするか否かを照合する照合部と、リダイレクトすると判定された前記ＵＲＬ情報について実際の接続先ＵＲＬを取得して、当該接続先ＵＲＬが適切か否かを判定する判定部と、を備える。

【発明の効果】

【0009】

本発明の実施形態により、リンク先が偽装されている場合であっても偽装メールを精度良く検出できる情報処理装置、情報処理方法、及び情報処理プログラムが提供される。

【図面の簡単な説明】

【0010】

【図1】本実施形態に係る情報処理装置が適用される電子メールシステムの構成の一例を示す構成図。

【図2】（Ａ）リダイレクトを実行する展開条件（スクリプト）のリスト、（Ｂ）リダイレクトを実行する展開条件（短縮ＵＲＬ）のリストを示す説明図。

【図3】展開条件を含む電子メールの一例を説明する説明図。

【図4】本実施形態による情報処理方法の処理手順の一例を示すフローチャート。

【発明を実施するための形態】

【0011】

以下、本発明の実施形態を添付図面に基づいて説明する。
図１は、第１実施形態に係る情報処理装置１０が適用される電子メールシステムの構成の一例を示す構成図である。

【0012】

情報処理装置１０は、外部メールサーバを介して、外部端末（図示省略）から電子メールを受信して、受信した電子メールをクライアント端末２０に送信するサーバである。情報処理装置１０は、例えばインターネットからの接続が制限される内部ネットワーク１１に設けられてもよく、内部ネットワーク１１とインターネットと任意に接続可能な外部ネットワークとの境界（ＤＭＺ：ＤｅＭｉｌｉｔａｒｉｚｅｄ Ｚｏｎｅ）に設けられてもよい。

【0013】

クライアント端末２０は、情報処理装置１０から電子メールを受信する端末である。なお、ここでは、クライアント端末２０を３つで構成する例を示しているが、クライアント端末２０の数量、配置は図１に限定されるものでは無い。また、クライアント端末２０は、情報処理装置１０と同様に、内部ネットワーク１１に配置されている必要はなく、例えば内部ネットワーク１１の外部から情報処理装置１０に接続されてもよい。

【0014】

通信部１２は、外部端末から送信された電子メールを情報処理装置１０に転送する中継装置である。通信部１２は、内部ネットワーク１１と外部ネットワークとを接続する境界に設けられてもよいし、外部ネットワークに設けられてもよい。通信部１２としては、ＭＴＡ（Ｍｅｓｓａｇｅ Ｔｒａｎｓｆｅｒ Ａｇｅｎｔ）が例示される。

【0015】

外部名前解決装置１３は、電子メールの送信元が適切か否かを識別するための判別情報を保有するサーバであり、例えばＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバである。判別情報としては、送信元のドメインとＩＰアドレスの組み合わせが例示される。情報処理装置１０は、電子メールを受信したときに、通信部１２を介して外部名前解決装置１３に問い合わせて、受信した電子メールの送信元が外部名前解決装置１３の判別情報と一致するか否かを照合して、当該電子メールの送信元が適切か否かを判定してもよい。

【0016】

本実施形態に係る情報処理装置１０は、送受信部１４と、ＵＲＬ情報抽出部１５と、展開条件保存部１６と、照合部１７と、判定部１８と、を備えている。

【0017】

なお、情報処理装置１０を構成する各ユニットの機能は、所定のプログラムコードを、プロセッサを用いて実行することによって実現しても良く、このようなソフトウェア処理に限らず、例えば、ＡＳＩＣ等を用いたハードウェア処理で実現してもよいし、ソフトウェア処理とハードウェア処理とを組み合わせて実現してもよい。

【0018】

送受信部１４は、通信部１２から転送されて受信した電子メールの受信制御、及び、クライアント端末２０から発信される電子メールの送信制御を実行する。

【0019】

ＵＲＬ情報抽出部１５は、受信した電子メール内から、ＵＲＬ情報を抽出する。ここで、ＵＲＬ情報とは、ユーザのアクセス先のＵＲＬを含む連続する文字列を意味しており、リダイレクトを実行するスクリプトを挟んでアクセス先のＵＲＬと他のＵＲＬが記載されている場合にはアクセス先のＵＲＬから連続する文字列全体となる。ＵＲＬ情報は、電子メール内を検索して抽出される。また、メール本文のみならず、電子メールに添付された添付ファイル、添付ファイルのマクロ等から取得されるリンク先に関する一切の情報についてＵＲＬ情報を抽出する。

【0020】

展開条件保存部１６は、ユーザがアクセスした際に、アクセス先のＵＲＬからリダイレクトさせる展開条件を予め保存する。展開条件とは、ユーザのアクセス先のＵＲＬから別のＵＲＬに転送（リダイレクト）させる条件を意味している。展開条件として、リダイレクトする文字列のパターン（正規表現）を保存してもよく、リダイレクトするドメインやスクリプト、あるいはＵＲＬが設定されてもよい。例えば、ＵＲＬ情報に短縮ＵＲＬのドメインが含まれる場合が例示される。この場合、展開条件保存部１６は、短縮ＵＲＬのドメインのリストを予め保存している。また、展開条件として、ＵＲＬ情報内に、アクセス先のＵＲＬから他のＵＲＬにリダイレクトさせるスクリプトが含まれてもよい。この場合、展開条件保存部１６は、リダイレクトさせるスクリプトを予め保存する。

【0021】

展開条件保存部１６に保存される展開条件は、情報処理装置１０の外部に配置された展開条件を配信するための展開条件配信サーバ１９から一定期間ごとに配信されてもよい。展開条件配信サーバ１９では、新たな展開条件が更新される。

【0022】

なお、短縮ＵＲＬとは、長い文字列のＵＲＬを短くしたものであり、リダイレクトを利用して本来の長いＵＲＬに転送するためのＵＲＬである。

【0023】

また、展開条件保存部１６は、展開条件のそれぞれに対応付けて、実際の接続先ＵＲＬを展開して取得するか否かの設定を保存してもよい。具体的には、展開条件のそれぞれについて、後述する判定部１８において、リダイレクトによる実際の接続先を取得するか否かの設定であり、「展開する」と設定した場合には実際の接続先を取得する一方で、「展開しない」と設定した場合には実際の接続先を取得しない。

【0024】

例えば、展開してＵＲＬが適切か否かを判定する必要がある短縮ＵＲＬサービスについては「展開する」に設定し、企業や団体が設定する短縮ＵＲＬのドメインについては悪意のおそれがないとして「展開しない」に設定してもよい。加えて、いずれの設定にも該当しない展開条件については、適切か否かを判定する必要があるものとして「展開する」に設定してもよい。

【0025】

照合部１７は、抽出されたＵＲＬ情報と展開条件とに基づいてＵＲＬ情報がリダイレクトするか否かを照合する。具体的には、抽出されたＵＲＬ情報が、展開条件保存部１６に保存されている展開条件を含むか否かを判定する。展開条件を含む場合には、当該ＵＲＬ情報はリダイレクトするものとなる。

【0026】

例えば、照合部１７は、抽出されたＵＲＬ情報に含まれるアクセス先のＵＲＬのドメインと保存されたドメインとを照合することにより、アクセス先のＵＲＬからリダイレクトするか否かを判定する。あるいは、照合部１７は、抽出されたＵＲＬ情報にリダイレクトのスクリプトが含まれるか否かにより、アクセス先のＵＲＬからリダイレクトするか否かを判定する。

【0027】

判定部１８は、リダイレクトすると判定されたＵＲＬ情報について実際の接続先ＵＲＬを取得して、当該接続先ＵＲＬが適切か否かを判定する。ここで、適切でない（有害な）ＵＲＬとは、ユーザがアクセスさせることで、悪意のあるファイルのダウンロードやＷｅｂサイトへの接続にクライアント端末２０を誘導するＵＲＬを意味する。ＵＲＬが適切か否の判定は、具体的には、マルウェアなどの悪意のサイトのおそれがあるＵＲＬのドメインやＩＰアドレスなどの悪性情報を予め記録しておき、この悪性情報と接続先ＵＲＬとを照合することにより適切か否かを判定する。また、ＵＲＬの拡張子について、マルウェアなどをダウンロードするおそれのあるものについて禁止拡張子として設定して、接続先ＵＲＬの拡張子と比較することで適切か否かを判定してもよい。また、適切な（アクセスしても無害な）ＵＲＬをホワイトリストとして予め保存しておき、接続先ＵＲＬがこのホワイトリストに該当しない場合には、適切でないと判断してもよい。

【0028】

また、判定部１８は、ＵＲＬ情報から展開して取得された情報において、展開条件保存部の展開条件との照合により展開条件がさらに含まれる場合には、実際の接続先ＵＲＬを取得するために、さらに展開して接続先ＵＲＬを取得してもよい。

【0029】

なお、展開条件保存部１６において、展開条件のそれぞれに対応付けて、実際の接続先ＵＲＬを展開して取得するか否かの設定している場合には、判定部１８は、ＵＲＬ情報内に展開して取得すると設定された展開条件が含まれる場合、実際の接続先ＵＲＬを取得して、当該接続先ＵＲＬが適切か否かを判定してもよい。接続先ＵＲＬが適切でないと判定された場合、当該電子メールは偽装メールの疑いがあると判断される。

【0030】

判定部１８において、電子メールに含まれるＵＲＬ情報は適切であるとされたメールについては、送受信部１４を介してクライアント端末２０（電子メールで設定された送信先に対応する端末）に転送される。一方で、送受信部１４は、電子メールに含まれるＵＲＬ情報が不適切と判定された場合にはクライアント端末２０に電子メールを送信せずに、情報処理装置１０の内部にメールを隔離する。これにより、電子メールを受信するクライアント端末２０がウィルスに感染するなどのリスクが回避されて、端末の安全性が担保される。

【0031】

また、展開条件に合致するＵＲＬ情報を展開するためのサーバを別途配置して、判定部１８はＵＲＬ情報をこのサーバに送信して、当該サーバ上においてリダイレクトされる実際の接続先ＵＲＬを取得してもよい。判定部１８は、接続先ＵＲＬをサーバから受け付けて、当該接続先ＵＲＬが適切か否かを判定してもよい。

【0032】

図２（Ａ）は、リダイレクトを実行する展開条件（スクリプト）のリストである。例えば、「ｓｃｒｉｐｔＡ」では、ユーザのアクセス先となるＵＲＬを先頭に配置して、スクリプトを挟んで実際の接続先ＵＲＬを記載することでリダイレクトを実行させるものである。照合部１７は、抽出したＵＲＬ情報に展開条件が含まれるか否かを照合する。また、展開条件のそれぞれについて、判定部１８においてリダイレクトによる実際の接続先を取得するか否かの設定がされており、「ｓｃｒｉｐｔＡ」は展開有無が“〇”に設定されて実際の接続先を取得する一方で、「ｓｃｒｉｐｔＢ」は展開有無が“×”に設定されて実際の接続先を取得しない設定となる。実際の接続先を取得しない展開不要の条件については、適切なＵＲＬと判断される。

【0033】

また、図２（Ｂ）は、リダイレクトを実行する展開条件（短縮ＵＲＬ）のリストを示す説明図である。照合部１７は、抽出したＵＲＬ情報に短縮ＵＲＬが含まれるか否かを照合する。また、展開条件のそれぞれについて、判定部１８においてリダイレクトによる実際の接続先を取得するか否かの設定されており、「ｔａｎｓｈｕｋｕＡ」は展開有無が“〇”に設定されて実際の接続先を取得する一方で、「ｔａｎｓｈｕｋｕＢ」は“×”に設定されて実際の接続先を取得しない設定となる。実際の接続先を取得しない展開不要の条件については、適切なＵＲＬと判断される。展開の有無を設定することで、適切か否かの判定が必要なＵＲＬのみ接続先を取得することなり、効率的にＵＲＬの判定ができる。

【0034】

図３は、展開条件を含む電子メールの一例を説明する説明図である。
電子メールの本文内にＵＲＬ情報が記載されており、ＵＲＬ情報にあらかじめ設定された展開条件として「ｓｃｒｉｐｔＡ」が含まれている。この場合、判定部１８は、リダイレクト先と判定されたＵＲＬ情報について実際の接続先ＵＲＬ（ｈｔｔｐ：／／ｍａｌｉｃｉｏｕｓ．ｃｏｍ）を取得して、当該接続先ＵＲＬが適切か否かを判定する。このように、アクセス先のＵＲＬからリダイレクトさせる展開条件を予め保存して、抽出されたＵＲＬ情報と展開条件とに基づいてＵＲＬ情報がリダイレクトするか否かを照合する。そして、リダイレクトすると判定されたＵＲＬ情報について実際の接続先ＵＲＬを取得し、当該接続先ＵＲＬが適切か否かを判定することで、偽装メールを精度良く検出できる。

【0035】

図４は、本実施形態による情報処理方法の処理手順の一例を示すフローチャートである。

【0036】

ＵＲＬ情報抽出部１５は、受信した電子メール内から、ＵＲＬ情報を抽出する（Ｓ１０）。

【0037】

照合部１７は、抽出されたＵＲＬ情報と展開条件とに基づいてＵＲＬ情報がリダイレクトするか否かを照合する（Ｓ１１）。具体的には、照合部１７は、抽出されたＵＲＬ情報が、展開条件保存部１６に保存されている展開条件を含むか否かを照合して、展開条件を含む場合には、当該ＵＲＬ情報はリダイレクトするものとする（Ｓ１１：ＹＥＳ）。

【0038】

判定部１８は、リダイレクトすると判定されたＵＲＬ情報について実際の接続先ＵＲＬを取得して、当該接続先ＵＲＬが適切か否かを判定する（Ｓ１２、Ｓ１３）。判定部１８は、適切と判定した場合、電子メールをクライアント端末２０に転送する（Ｓ１３：ＹＥＳ１５）。

【0039】

一方で、判定部１８は、適切でないと判定した場合、電子メールに含まれるＵＲＬ情報が有害である偽装メールであるとして隔離する（Ｓ１３：ＮＯ、Ｓ１４）。なお、判定部１８は、偽装メールであるとして隔離された場合、隔離した旨をクライアント端末２０（電子メールで設定された送信先に対応する端末）に通知してもよい。また、情報処理装置１０が、送信元のドメイン、ＩＰアドレスなどの送信元情報など複数の判定基準を用いて偽装メールか否かの判定をしている場合は、判定部１８において当該接続先ＵＲＬが適切でないと判定された場合に、この判定結果や送信元情報などの複数の基準に基づいて偽装メールか否かを判断してもよい。

【0040】

このように、従前のリダイレクトするか否かにより電子メールの偽装判定をする場合では、メール偽装判定において誤検知が増えるおそれがあるが、リダイレクトさせる展開条件に基づいて電子メールに含まれるＵＲＬ情報が適切か否かを判定することで、リンク先が偽装されている場合であっても偽装メールを精度良く検出でき、偽装メールの判定における誤検知を低減できる。

【0041】

以上述べた各実施形態の情報処理装置によれば、ユーザがアクセスした際に、アクセス先のＵＲＬからリダイレクトさせる展開条件を予め保存して、抽出されたＵＲＬ情報と展開条件とに基づいてＵＲＬ情報がリダイレクトするか否かを照合し、リダイレクトすると判定されたＵＲＬ情報について実際の接続先ＵＲＬを取得し、当該接続先ＵＲＬが適切か否かを判定することにより、リンク先が偽装されている場合であっても偽装メールを精度良く検出できる。

【0042】

なお、情報処理装置１０で実行されるプログラムは、ＲＯＭ等から構成されるハードディスクに予め組み込んで提供される。もしくは、このプログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ－ＲＯＭ、ＣＤ－Ｒ、メモリカード、ＤＶＤ、フレキシブルディスク等のコンピュータで読み取り可能な記憶媒体に記憶されて提供するようにしてもよい。また、情報処理装置１０で実行されるプログラムは、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせて提供するようにしてもよい。

【0043】

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【符号の説明】

【0044】

１０…情報処理装置、１１…内部ネットワーク、１２…通信部、１３…外部名前解決装置、１４…送受信部、１５…ＵＲＬ情報抽出部、１６…展開条件保存部、１７…照合部、１８…判定部、１９…展開条件配信サーバ、２０…クライアント端末。

【図1】

【図2】

【図3】

【図4】