特開 2024-3085 情報処理装置、情報処理方法およびプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024003085

(43)【公開日】2024-01-11

(54)【発明の名称】情報処理装置、情報処理方法およびプログラム

(51)【国際特許分類】

   G06F 21/55 20130101AFI20231228BHJP

   G06F 21/45 20130101ALI20231228BHJP

【ＦＩ】

G06F21/55 320

G06F21/45

【審査請求】有

【請求項の数】8

【出願形態】ＯＬ

(21)【出願番号】P 2023187999

(22)【出願日】2023-11-01

(62)【分割の表示】P 2020118211の分割

【原出願日】2020-07-09

(71)【出願人】

【識別番号】509286983

【氏名又は名称】株式会社ロイヤリティマーケティング

(74)【代理人】

【識別番号】110003708

【氏名又は名称】弁理士法人鈴榮特許綜合事務所

(72)【発明者】

【氏名】佐佐 將行

(72)【発明者】

【氏名】星山 昌之

(57)【要約】

【課題】 不正アクセスに対する対策をより適切に選択可能にする技術を提供する。
【解決手段】 パスワード認証によりアカウントを管理するサービスの会員のうち、アカウントに不正なアクセスを受けた被害会員に関する会員情報を取得する情報取得部と、上記会員情報の統計的な偏りを分析する分析部と、上記分析の結果に基づいて上記サービスが管理するアカウントごとに上記不正なアクセスに対する対策を選択する対策選択部と、を備える情報処理装置を提供する。
【選択図】図２

【特許請求の範囲】

【請求項1】

パスワード認証によりアカウントを管理するサービスの会員のうち、アカウントに不正なアクセスを受けた被害会員に関する会員情報を取得する、会員情報取得部と、
前記会員情報の統計的な偏りを分析する分析部と、
前記分析の結果に基づいて、前記サービスが管理するアカウントごとに前記不正なアクセスに対する対策を選択する、対策選択部と
を備える情報処理装置。

【請求項2】

前記分析部は、前記会員情報に含まれる項目について被害会員数の偏差値を算出することにより、前記会員情報の統計的な偏りを分析し、
前記対策選択部は、前記偏差値と前記パスワード認証の危険度との対応関係に基づき、前記会員情報の統計的な偏りに対応する危険度を決定し、前記危険度に応じた対策を選択する、
請求項１に記載の情報処理装置。

【請求項3】

前記分析部は、前記会員情報に含まれる少なくとも２つの項目の各々について前記会員情報の統計的な偏りを分析し、
前記対策選択部は、前記少なくとも２つの項目の各々について前記会員情報の統計的な偏りに対応する危険度を組み合わせることによって前記対策を選択する、
請求項２に記載の情報処理装置。

【請求項4】

前記対策選択部は、前記会員情報の統計的な偏りおよび前記被害会員に関する経済的価値に基づいて前記対策を選択する、
請求項２または３に記載の情報処理装置。

【請求項5】

前記対策選択部は、前記サービスが管理するアカウントの少なくとも一部について、当該アカウントに係るサービスの全部もしくは一部の停止、当該アカウントに係るパスワード認証の停止、または当該アカウントのパスワード認証の危険度を表す情報の通知のうちの少なくとも１つを前記対策として選択する、
請求項１乃至４のいずれか一項に記載の情報処理装置。

【請求項6】

パスワード認証によりアカウントを管理するサービスの会員のうち、アカウントに不正なアクセスを受けた被害会員に関する会員情報を取得する過程と、
前記会員情報の統計的な偏りを分析する過程と、
前記分析の結果に基づいて、前記サービスが管理するアカウントごとに前記不正なアクセスに対する対策を選択する過程と
を備える情報処理方法。

【請求項7】

請求項１乃至５のいずれか一項に記載の装置の各部による処理をコンピュータに実行させるプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、情報処理装置、情報処理方法およびプログラムに関する。

【背景技術】

【0002】

通信技術の発展に伴い、インターネットバンキングやオンラインショッピングをはじめとするオンラインサービスが広く普及している。一般に、各ユーザは、ユーザＩＤなどとも呼ばれるアカウント識別情報と、認証用のパスワードを入力することによって、システムにログインし、サービスの提供を受けることができる。

【0003】

このようなオンラインサービスの普及に伴い、ユーザＩＤとパスワードの組合せによりアクセス制御機能が付されているサービス等に対し、利用権限がない第三者が不正に利用できる状態にする行為が問題となっている。ここでは、このような行為全般を「不正アクセス」または「不正ログイン」と呼ぶ。不正アクセスが発生すると、個人情報が盗まれたり、現金やポイントが不正利用されたりするおそれがある。

【0004】

このような不正アクセスを検知するため、いわゆるリスクベースの認証を行うことが知られている（例えば、特許文献１参照）。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２０２０－５７４３９号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

一般に、不正アクセスが検知された場合、不正アクセスの対象となったアカウントのサービスを停止させるなどの対策がとられる。しかし、管理下にある他のアカウントに対しては、例えば、全サービスを停止させる、パスワード変更を要求する通知をするなど、一律な対策しかとられていなかった。頻繁なサービス停止は、ユーザ（以下、「会員」とも言う。）の不満の原因となりかねない。また、頻繁なパスワード変更は、ユーザにとって煩雑であるばかりか、パスワードの管理が困難となり、複数のサービス間でのパスワードの使い回しが助長され、かえってセキュリティの低下をまねくおそれもある。

【0007】

この発明は上記事情に着目してなされたもので、その目的とするところは、不正アクセスに対する対策をより適切に選択可能にする技術を提供することにある。

【課題を解決するための手段】

【0008】

上記課題を解決するために、この発明の一態様では、パスワード認証によりアカウントを管理するサービスの会員のうち、アカウントに不正なアクセスを受けた被害会員に関する会員情報を取得する情報取得部と、上記会員情報の統計的な偏りを分析する分析部と、上記分析の結果に基づいて上記サービスが管理するアカウントごとに上記不正なアクセスに対する対策を選択する対策選択部と、を備える情報処理装置が提供される。

【発明の効果】

【0009】

この発明の一態様によれば、サービス会員のうち、実際に不正なアクセスを受けた被害会員の会員情報の統計的な偏りに基づいて、管理下にあるアカウントごとに対策が選択される。これにより、不正なアクセスが発生したときに、全アカウントに対して一律な対策をとるのではなく、不正アクセスの傾向を踏まえてアカウントごとに選択された、より適切な対策をとることができる。

【0010】

すなわち、この発明によれば、不正アクセスに対する対策をより適切に選択可能にする技術を提供することができる。

【図面の簡単な説明】

【0011】

【図1】図１は、この発明の一実施形態に係る情報処理装置を備えたシステムの全体構成の一例を示す図である。

【図2】図２は、この発明の一実施形態に係る情報処理装置の機能構成の一例を示すブロック図である。

【図3】図３は、この発明の一実施形態に係る情報処理装置のハードウェア構成の一例を示すブロック図である。

【図4】図４は、図２に示した情報処理装置による処理手順と処理内容の第１の例を示すフローチャートである。

【図5】図５は、図２に示した情報処理装置により取得される被害者データの一例を示す図である。

【図6】図６は、図２に示した情報処理装置による分析処理の結果の第１の例を示す図である。

【図7】図７は、図２に示した情報処理装置による分析処理の結果の第２の例を示す図である。

【図8】図８は、図２に示した情報処理装置による分析処理の結果の第３の例を示す図である。

【図9】図９は、図２に示した情報処理装置による分析処理の結果の第４の例を示す図である。

【図10】図１０は、図２に示した情報処理装置による分析処理の結果の第５の例を示す図である。

【図11】図１１は、図２に示した情報処理装置により使用される偏差値と危険度の対応を指定する対応表の一例を示す図である。

【図12】図１２は、図２に示した情報処理装置による種別ごとに判定された危険度の一例を示す図である。

【図13】図１３は、図２に示した情報処理装置により使用される危険度と対策の対応を指定する対応表の第１の例を示す図である。

【図14】図１４は、図２に示した情報処理装置による処理手順と処理内容の第２の例を示すフローチャートである。

【図15】図１５は、図２に示した情報処理装置による対策選択処理の第１の例を示す図である。

【図16】図１６は、図２に示した情報処理装置により使用される危険度と対策の対応関係を指定する対応表の第２の例を示す図である。

【図17】図１７は、図２に示した情報処理装置による処理手順と処理内容の第３の例を示すフローチャートである。

【図18】図１８は、図２に示した情報処理装置による対策選択処理の第２の例を示す図である。

【発明を実施するための形態】

【0012】

以下、図面を参照してこの発明に係る実施形態について説明する。なお、以降、説明済みの要素と同一または類似の要素には同一または類似の符号を付し、重複する説明については基本的に省略する。例えば、複数の同一または類似の要素が存在する場合に、各要素を区別せずに説明するために共通の符号を用いることがあるし、各要素を区別して説明するために当該共通の符号に加えて枝番号を用いることもある。

【0013】

［実施形態の概要］
この発明の実施形態に係る情報処理装置は、パスワード認証により会員のアカウントを管理するサービスとの間で情報をやり取りすることができる。当該情報処理装置は、不正なアクセスを受けた会員がいる場合に、当該会員に関する会員情報を収集し、会員情報をもとに統計的な偏りについて分析し、分析結果に基づいて不正なアクセスに対する対策を選択する。

【0014】

ここで、情報処理装置が収集する会員情報には、不正なアクセスを受けた会員に関するあらゆる情報が含まれ得る。例えば、会員情報には、当該会員の個人情報、アカウントに紐づけられる情報、ネットワーク上のサービスに係る活動履歴などが含まれる。個人情報には、例えば、氏名、住所、性別、年齢、電話番号、メールアドレス、職業、年収、家族構成、嗜好等が含まれる。アカウントに紐づけられる情報には、例えば、当該アカウントの作成日時、アカウント作成日時からの経過時間、アカウント作成のために経由したＷｅｂサイトの情報、ログイン履歴、パスワード変更履歴などが含まれる。ネットワーク上のサービスに係る活動履歴には、例えば、ソーシャルネットワーキングサービス（ＳＮＳ）の利用履歴、ＳＮＳ上の投稿履歴、特定のＷｅｂサイトの閲覧履歴、クレジットカードの利用履歴、オンラインショッピングに係る購買履歴や決済情報、銀行口座や電子マネー口座の残高や入出金履歴、ポイント口座の残高や交換履歴、保険加入や証券取引の実績など、任意のサービスの活動履歴が含まれる。

【0015】

以下では、一例として、パスワード認証により会員のアカウントを管理するサービスとしてポイントサービスを想定し、実施形態に係る情報処理装置が、ポイントサービスを提供するサーバから上記の会員情報を収集するものとして説明する。ただし、これは一例にすぎず、実施形態に係る情報処理装置は、他の多種多様な情報収集元から収集される会員情報に基づいて同様の処理が可能であることに留意されたい。例えば、情報処理装置は、不正なアクセスを受けた会員本人に対して会員情報の入力を要求することによって、会員情報を収集することができる。情報処理装置はまた、会員本人がＳＮＳ上で公開している情報を収集することもできる。あるいは情報処理装置は、会員本人の許可を得て、金融機関やクレジットカード会社のサーバから預貯金や購買履歴に関する情報を収集することもできる。情報処理装置は、情報ＡはサーバＸから、情報ＢはサーバＹから、というように、複数の情報収集元から会員情報を収集し、統合して、後続の処理に用いてもよい。

【0016】

［一実施形態］
（１）構成
（１－１）システム
図１は、この発明の一実施形態に係る情報処理装置１０を備えたシステム１の全体構成の一例を示す図である。
情報処理装置１０は、インターネットなどのネットワークＮＷを介して、ポイント管理サーバ２０、サービスＡサーバ５０Ａ，サービスＢサーバ５０Ｂ，・・・（以後、まとめて「サービス提供サーバ５０」とも言う）、およびユーザによって使用されるユーザ端末ＵＴ１，．．．，ＵＴｉ（以後、まとめて「ユーザ端末ＵＴ」とも言う）との間で通信可能である。

【0017】

ポイント管理サーバ２０は、情報処理装置１０の会員情報収集元の一例であり、ポイントサービスを提供する事業者によって管理されるサーバコンピュータである。ポイントサービスは、例えば、会員登録をしたユーザ（以下、単に「会員」とも言う）が、商品または役務（以下、「商品等」と言う）を購入した際にその購入金額に応じて、あるいは店舗への来店回数等に応じて、企業側が定めた条件でユーザに対しポイントを付与し、たまったポイントを次回以降の来店時に商品等と交換したり、商品等の購入時に代金として使用できるようにするサービスである。ポイント管理サーバ２０は、会員ごとに、付与されたポイント、使用されたポイント、およびポイント残高等のポイントデータを管理する。さらにここでは、ポイント管理サーバ２０が複数のサービス間で共通して使用される共通ポイントのサービスを提供するものとして説明するが、これに限定されるものではなく、店舗や企業単位で使用される個別、ないしは独自ポイントを管理するものでもよい。

【0018】

サービス提供サーバ５０は、ポイント管理サーバ２０によって提供されるポイントサービスに加盟する、提携サービスを提供する事業者のサーバである。サービス提供サーバ５０は、オンラインショッピングやインターネットバンキングなど、Ｗｅｂサービスを提供するサーバであってもよいし、コンビニエンスストアやガソリンスタンドなど、実店舗での売上げを管理するサーバであってもよい。例えばオンラインショッピングサイトを提供するサーバである場合、サービス提供サーバ５０は、当該サイトを介してユーザが商品等の購入をすると、その購入金額に応じた付与ポイント数を算出し、算出した付与ポイント数をユーザまたはそのポイント口座の識別情報とともにポイント管理サーバ２０に通知する。あるいは、サービス提供サーバ５０の管理下にある店舗でユーザが商品等の購入をする場合、例えば店舗に設置されたＰＯＳ端末が、購入金額に応じたポイントを算出し、ユーザが提示したポイントカードまたはその機能を有する携帯端末に対してポイント付与処理を行う。そして、サービス提供サーバ５０が、ＰＯＳ端末から決済情報とともにポイント処理情報を受け取り、やはりポイント管理サーバ２０に通知する。

【0019】

ユーザ端末ＵＴは、ユーザによって使用されるスマートフォン、タブレット端末、ノート型またはデスクトップ型のパーソナルコンピュータなど、ネットワークＮＷに接続可能な任意の情報処理端末である。ポイントサービスの会員は、ユーザ端末ＵＴを用いて、例えばポイント管理サーバ２０が提供するＷｅｂサイトや専用のアプリケーションプログラム（以下、「アプリケーション」とも言う）から直接、またはサービス提供サーバ５０が提供するＷｅｂサイトや専用のアプリケーションを介して、自身のポイント口座にアクセスし、残高を確認したり、ポイントの使用／交換処理等を行うことができる。

【0020】

ここで、各会員がポイント口座にアクセスするに際して、ＩＤとパスワードの組合せを用いたパスワード認証が用いられる。例えば、各会員は、ユーザ端末ＵＴを介してポイント管理サーバ２０が提供するＷｅｂサイトにアクセスし、ポイント口座に係るＩＤとパスワードを含む認証リクエストを図示しない認証サーバへ送信した結果、認証に成功することによって、ポイント口座にアクセスすることができる。あるいは、各会員は、まずサービス提供サーバ５０が提供するＷｅｂサイト（例えば、オンラインショッピング用のアカウント）にアクセスするために第１のＩＤと第１のパスワードの組合せを用いた第１の認証に成功し、その後さらに当該Ｗｅｂサイトを介してポイント口座にアクセスするための第２のＩＤと第２のパスワードの組合せを用いた第２の認証に成功することによって、サービス提供サーバ５０が提供するＷｅｂサイトでポイントを使用できるようになる。あるいは、ポイント管理サーバ２０とサービス提供サーバ５０が会員の便宜のために認証連携を利用することも可能である。ここでは、認証連携とは、一度の認証処理によってユーザが複数のサービスにアクセスできるようにする仕組みをいう。認証連携が利用される場合、例えば会員は、サービス提供サーバ５０が提供するＷｅｂサイト上で自身のアカウントにログインすることによって、ポイント管理サーバ２０が管理するポイント口座にもシームレスにアクセスすることができる。しかし、認証連携が使用される場合、万一不正アクセスが発生した場合に、連携サービス間で多重の被害が発生するおそれがある。

【0021】

情報処理装置１０は、その管理下のアカウントに対して不正アクセスが発生した場合に、アカウントごとに適切な対策を選択する処理を行うもので、サーバコンピュータまたはパーソナルコンピュータにより構成される。情報処理装置１０は、ポイント管理サーバ２０と連携して動作することができる。以下では、情報処理装置１０が、ポイント管理サーバ２０と連携して動作するように構成され、ポイント管理サーバ２０によって提供されるポイントサービスのアカウントを管理するものとして説明するが、これに限られない。なお、上述したパスワード認証処理は、図示しない認証サーバによって実行されてもよいし、情報処理装置１０によって実行されてもよいし、ポイント管理サーバ２０によって実行されてもよい。

【0022】

（１－２）情報処理装置
（１－２－１）機能構成
図２は、一実施形態に係る情報処理装置１０の機能構成の一例を示すブロック図である。
情報処理装置１０は、被害者データ取得部１１と、分析部１２と、対策選択部１３と、被害者データ記憶部１４と、グレード情報記憶部１５と、対策方針記憶部１６とを備えている。

【0023】

被害者データ取得部１１は、情報取得部として、ポイント管理サーバ２０またはそのデータベース（図示せず）から、ポイント管理サーバ２０の管理下にある会員のうち、アカウントに不正なアクセスを受けた会員に関する会員情報（以下、「被害者データ」とも言う）を取得し、被害者データ記憶部１４に記憶させる。なお、ここでは「被害者」または「被害会員」という用語は、単に不正アクセスを受けたアカウントの会員を指すために使用され、実際に金銭的被害が発生しているか否かは問わない。

【0024】

分析部１２は、被害者データ記憶部１４に記憶された被害者データを一定量ずつ読み出し、当該被害者データの統計的な偏りを分析する。一実施形態では、分析部１２は、被害者データに含まれる項目の種別ごとに被害会員数を集計し、集計結果をもとに統計量を算出することによって、上記統計的な偏りを分析する。ここでは「統計量」とは、対象とするデータ（例えば被害者データ）を、統計学的なアルゴリズムによって要約した値全般を指す。以下では、統計量の一例として、一定期間に発生した不正アクセスの被害会員数を母集団として算出される項目の種別ごとの偏差値を用いて説明する。算出方法の具体例については後述する。なお、これに限られるものではなく、例えば、平均値、中央値、最大値、最小値など、他の統計量を用いて、被害者データの偏りを算出してもよい。

【0025】

対策選択部１３は、分析部１２による分析の結果に基づいて、ポイント管理サーバ２０の管理下にある会員のアカウントごとに不正アクセスに対する対策を選択する。対策選択部１３は、選択の結果を任意の出力先（例えば、ポイント管理サーバ２０、サービス提供サーバ５０、ユーザ端末ＵＴなど）に出力することができる。対策選択部１３はまた、被害者データを時系列的に分析することにより、選択した対策の有効性（その対策が実行された結果、不正アクセスが減少したかどうかなど）を評価して、その後の対策選択に用いることもできる。

【0026】

被害者データ記憶部１４は、被害者データ取得部１１によって取得された被害者データを記憶する。

【0027】

グレード情報記憶部１５は、上記被害者データの統計的な偏りを表す統計量（一例として種別の偏差値）と、パスワード認証の危険度との関係について指定する対応表を記憶する。

【0028】

対策方針記憶部１６は、パスワード認証の危険度に応じた対策について指定する対応表を記憶する。

【0029】

（１－２－２）ハードウェア構成
図３は、情報処理装置１０のハードウェア構成の一例を示すブロック図である。
情報処理装置１０は、ＣＰＵ（Central Processing Unit）１０１、ＲＡＭ（Random Access Memory）１０２、ＲＯＭ（Read Only Memory）１０３、補助記憶装置１０４、入力装置１０５、出力装置１０６、および通信インタフェース（Ｉ／Ｆ）１０７を備える。

【0030】

情報処理装置１０の上述した被害者データ取得部１１、分析部１２、および対策選択部１３の処理機能は、ＣＰＵ１０１がＲＯＭ１０３または補助記憶装置１０４に記憶されたプログラムをＲＡＭ１０２に展開し、このプログラムを実行することにより実現される。ＣＰＵ１０１は、情報処理装置１０の全体的な動作を制御するハードウェアプロセッサの一例である。ハードウェアプロセッサは、ＣＰＵ１０１などの汎用プロセッサに限らず、ＡＳＩＣ（Application Specific Integrated Circuit）またはＦＰＧＡ（Field-Programmable Gate Array）などの専用プロセッサであってもよい。またＣＰＵ１０１は、単一のＣＰＵ等であってもよいし、複数のＣＰＵ等であってもよい。

【0031】

補助記憶装置１０４は、データを不揮発的に記憶するコンピュータ読み取り可能な記憶媒体を備えたものであり、例えば、ＨＤＤ（Hard Disk Drive）又はＳＤＤ（Solid State Drive）であり得る。補助記憶装置１０４は、上述した被害者データ記憶部１４、グレード情報記憶部１５、および対策方針記憶部１６を含む記憶部として機能し得る。

【0032】

入力装置１０５は、例えば、キーボードおよびマウスを備える。出力装置１０６は、表示装置を備える。入力装置１０５と出力装置１０６は、例えば、液晶パネル等の表示デバイスとタッチパッド等の入力デバイスとを組み合わせた、一体型のタッチパネル型装置であってもよい。

【0033】

通信インタフェース１０７は、外部装置と通信するためのインタフェースである。通信インタフェース１０７は、例えば、ＬＡＮ（Local Area Network）ポートを備え、例えばＬＡＮケーブルを用いてネットワークＮＷに接続され、ネットワークＮＷを介して外部装置との間でデータを送受信する。通信インタフェース１０７は、無線ＬＡＮモジュールまたはBluetooth（登録商標）モジュールなどの無線モジュールを備えてもよい。

【0034】

情報処理装置１０の具体的なハードウェア構成に関して、実施形態に応じて、適宜、構成要素の省略、置換及び追加が可能である。

【0035】

従来のシステムでは、オンラインサービスに対する不正アクセス（不正ログイン）など、悪意のある第三者攻撃（行為）を検知した際に、その利用登録者とその情報の保護のための第一次保護方式としてＩＤとパスワードを採用している場合に、
１）攻撃者の意図・ターゲットを確率論から論理的・客観的に類推・判定する方法がない、
２）それゆえ、利用者保護の見地からパスワードの変更による自衛を一律で求める必要がある、という課題があった。

【0036】

そのため、攻撃者から見て本来の攻撃対象ではなかった利用者にまでパスワード変更を求めることとなり、
（ａ）利用者が覚えなくてはならないパスワードが（不必要に）増加していく、または
（ｂ）新しく設定するパスワードの構造（つくり）が複雑多岐にわたり、どのサービスの利用のためのどのＩＤのパスワードをどのような構造（つくり）でパスワードを作成したのか判らなくなって、利用者本人もサービスを利用できなくなることが容易に想定され、あるいは
（ｃ）上記２つの問題を避けるために、パスワードの使いまわしを行うことで、別の機会に別のサービスにおいて攻撃者がなりすまし侵入を成功させられる可能性（別途のまたは将来のリスク）を引き上げてしまうことになる。

【0037】

そのため、例えば以下のような点に着目する方式が必要である。
（１）全員一律などといった無用なパスワードの変更を広範囲で求めることなく、必要最小限の利用者に対してのみ変更を求め、
（２）リスクの低いＩＤのパスワードは無暗に変更しないことで却って安全性を維持させ、
（３）パスワードの変更に当たっては、安全性（強度）の高い構造（つくり）に関するアドバイス（支援）を行って利用者個々の考案負担と忘却・混乱リスクを軽減し、
（４）攻撃者の意図・狙いや対象者としてのリスク（危険度）特性に応じた多段的な対処を行い（例えば、最高で全員に対するサービス停止、最低でサービスサイトトップページ（ログイン画面）での注意喚起、など）、
（５）攻撃者の攻撃手法・対象が、当方の防御対応に応じて変移・変遷していってもこれを把握・追随することで
（６）「サービスとその利用者」全体の最も効果的な（耐攻撃強度の高い）安全性確立を図っていく。

【0038】

上記実施形態に係る情報処理装置１０は、不正アクセスが検知されたときに、不正アクセスを受けたアカウントに係る被害会員の会員情報の統計的な偏りを分析し、その分析の結果に基づいて、管理下のアカウントごとに適切な対策を選択する。これにより、全アカウントに対して一律の対策ではなく、実際の不正アクセスの傾向を踏まえた適切な対策をアカウントごとに選択することができ、サービスとその利用者全体にとって、より効果的な安全性の確立を図ることができる。

【0039】

（２）動作
次に、以上のように構成された情報処理装置１０による動作について説明する。
以下では、情報処理装置１０による動作を、第１段階、第２段階、および第３段階に分けて説明するが、後述するようにこれらは必ずしも同じ時間軸上で順番に実行される必要はなく、被害の状況等に応じて、同時並行して、順序を入れ替えて、または組み合わせて実行されてよい。

【0040】

また、以下では、ポイント管理サーバ２０においてポイントサービス会員のアカウントに対する不正アクセスが何らかの方法により検知され、その旨がポイント管理サーバ２０から情報処理装置１０に通知されたことを前提として説明する。不正アクセスの検知は、例えば、上述したようなリスクベースの認証システムからアラートが発せられたことに基づいてもよいし、会員本人から身の覚えのないログイン履歴またはポイント消費が存在する旨の報告があったことや、サービス提供サーバ５０からサイバー攻撃を受けた旨の連絡があったことなどに基づいてもよい。

【0041】

（２－１）第１段階
第１段階は、主に「初期対応」として想定される動作であり、「点」での対策を行う。
図４は、そのような第１段階の動作の一例を示すフローチャートである。

【0042】

まずステップＳ１０１において、情報処理装置１０は、被害者データ取得部１１により、不正アクセスを受けたアカウントに係る会員の会員情報（被害者データ）を取得し、被害者データ記憶部１４に記憶させる。被害者データ取得部１１は、不正アクセスが発生するたびにポイント管理サーバ２０から送信される被害者データを受信してもよいし、定期的（例えば、１時間ごと、１日ごと）にポイント管理サーバ２０から被害者データを受信してもよい。または同様に、被害者データ取得部１１が、任意のタイミングでポイント管理サーバ２０のデータベースから被害者データを読み出すようにしてもよい。

【0043】

図５は、被害者データ記憶部１４に記憶される被害者データの一例を示す。なお、上述したように、ここでは単なる一実施形態として、ポイント管理サーバ２０が共通ポイントサービスを提供し、ポイント管理サーバ２０とサービス提供サーバ５０が認証連携を利用するものとして説明する。図５の被害者データは、不正アクセスの被害に係る、発生時刻、会員ＩＤ、登録経路、登録メールドメイン、保有ポイント数、構造化パスワード（構造ＰＡＳＳ）更新回数、ＩＤ登録日等を含み得る。

【0044】

発生時刻は、年月日（ＹＹＹＹ／ＭＭ／ＤＤ）、時分秒（ｈｈ：ｍｍ：ｓｓ）などの情報を含み、例えば不正なログインが発生した時刻であってもよいし、会員から被害報告を受けた時刻であってもよい。

【0045】

会員ＩＤは、会員（アカウント）ごとに付与される識別情報であり、ここでは仮に３桁の記号が付されているが、任意の桁数および任意の文字列で管理されてよい。なお、会員ＩＤと、パスワード認証に用いられるＩＤは同じものであってもよいし、異なるものであってもよい。

【0046】

登録経路は、共通ポイントサービスを利用するための会員登録にあたり、ユーザがどのサービスを経由したかを示す。例えば、ユーザは、ポイント管理サーバ２０が提供するＷｅｂサイトを介して会員登録することもできるし、サービス提供サーバ５０が提供するＷｅｂサイトを介して登録することもできる。あるいはユーザは、実店舗等に設置された申込用紙を介して店員等の代行者に入力を依頼することによって、または実店舗に設置された端末を介して自身で情報を入力することによって、いずれかのサーバに会員登録を要求することもできる。登録経路の知識は、例えば、どの経路から登録された情報が漏洩したか、またはどのレベルで攻撃が発生したか（例えば、下位の店舗サーバが攻撃の対象になったのか、より上位の管理サーバが攻撃の対象になったのか、など）を推測するのに役立ち得る。

【0047】

登録メールドメインは、会員が共通ポイントサービスに係る連絡先として指定したメールアドレスのドメイン情報である。登録メールドメインの知識は、当該ドメインを管理するサーバレベルでの対策の要否を判断するのに役立ち得る。

【0048】

保有ポイント数は、各会員が保有するポイントの残高である。ポイントは経済的価値を有するから、保有ポイント数が高い会員のアカウントが不正アクセスを受けた場合、会員個人はもちろん、ポイントサービスの提供事業者や提携事業者にとっても大きな損害になりかねない。また、保有ポイント数が高い会員は、不正アクセスのターゲットとなる確率が高くなることも考えられる。したがって、保有ポイント数は、起こりうる経済的損害の指標となり得る。

【0049】

構造化パスワード（構造ＰＡＳＳ）更新回数は、セキュリティ向上の目的でパスワードを構造化して管理するシステム（図示せず）（以下、「構造化パスワード管理システム」とも言う）に関わるパラメータである。構造ＰＡＳＳ更新回数とは、会員本人が設定したパスワードに対し、システム側が何らかの文字列の追加または削除を指定することにより、会員本人とシステム側との合作パスワードとしてパスワードが更新された回数を指す。すなわち、何らかの理由で会員に対してパスワード変更を要求する際に、会員まかせにするのではなく、システム側から安全性（パスワード強度）の高い構造に関するアドバイスを行う。これにより、新しいパスワードの考案に係る各会員の負担を軽減するとともに、会員全体のセキュリティレベルの向上を図る。

【0050】

ここで、構造ＰＡＳＳ更新回数が「０回」とは、当該会員のパスワードが、会員本人が設定したパスワードのままであることを意味する。仮にパスワードが定期的に変更されていても、上記のようなシステムとの合作でなければ更新回数は「０回」と記録される。例えば、会員が当初設定したパスワードが「ＰＡＳＳＷＯＲＤ」であり、システム側が「“末尾”に“３桁”の文字列“１２３”を“追加”せよ」との指定を行い、会員がこれに従って新たなパスワード「ＰＡＳＳＷＯＲＤ１２３」を登録すると、更新回数は「１回」になる。さらにシステム側が（例えば一定期間経過後に）「“語頭”から“２桁”の文字列を“削除”せよ」との指定を行い、会員がこれに従って新たなパスワード「ＳＳＷＯＲＤ１２３」を登録すると、更新回数は「２回」になる。一方、会員がシステムの指示に応じず、自ら選択したパスワードを登録した場合、更新回数は０回のままか、または０回にリセットされる。構造ＰＡＳＳ更新回数は、「０回」であるか「１回以上」であるかに応じて、上記システムを利用した会員であるか利用しなかった会員であるかを判別することができ、例えば情報漏洩の経路や攻撃手法（例えばリスト攻撃であるのかブルートフォース攻撃であるのか）を推測するのに役立ち得る。あるいは、最新の構造ＰＡＳＳ更新回数だけでなく、その更新履歴を時系列データとして収集することも考えられる。例えば、一定期間にわたって更新回数が「１回」のままであれば、上記システム利用の効果が現れていると推測される。他方、「２回以上」の場合、何度も攻撃を受けているので、当該会員またはその登録ルートが攻撃ターゲットになっていると推測される。「０回」と「１回」を繰り返している場合、システムの指示に従わず自らパスワードを決めて（これにより「０回」となる）、それが攻撃を受けたためシステムの指示に従って変更し（これにより「１回」となる）、その後どうなったか（例えば、「２回」になったか、それが以外か）など、パターンごとに時系列データを集計することによって、上記の構造化パスワード管理システムの効果を考慮した対策を選択することができる。

【0051】

上記のような構造化パスワード管理システムが利用される場合、パスワード更新を会員のみに委ねるリスクを軽減しつつ、システムと会員が共同で実施する作業をとることにより、多様性と安全性の向上を同時に図ることができる。また、構造ＰＡＳＳ回数を統計的偏りの分析において考慮することによって、会員の性格や行動パターンまでも考慮した対策を選択することができる。ただし、上記のような構造化パスワード管理システムの使用は任意であり、構造化パスワード管理システムが利用されない場合には構造ＰＡＳＳ更新回数は被害者データに含まれなくてもよい。

【0052】

ＩＤ登録日は、会員登録をした日を表す。年月日に限らず、時分秒の情報まで含んでもよい。ＩＤ登録日の知識は、情報漏洩の経路や攻撃対象を推測するのに役立ち得る。

【0053】

上述したように、図５に示した被害者データは単なる一例にすぎない。被害者データは、より多くの情報を含むものでもよいし、より少ない情報を含むものでもよい。被害者データは、上述した以外の個人情報やネットワーク上の活動履歴情報を含むことができる。また上述したように、情報処理装置１０は、被害者に関する情報を任意の情報収集元から収集することができる。

【0054】

続いてステップＳ１０２において、分析部１２が、被害者データ記憶部１４から被害者データを読み出し、被害者データの統計的な偏りについて分析を行う。より具体的には、分析部１２は、あらかじめ指定された期間または量の被害者データを読み出し、読み出した被害者データに含まれる項目（例えば、発生時刻、会員ＩＤ、登録経路、登録メールドメイン、保有ポイント数、構造ＰＡＳＳ更新回数、ＩＤ登録日など）の種別ごとに被害会員数を集計し、その統計量を算出する処理を行う。

【0055】

図６～図１０は、それぞれ被害者データの異なる項目に着目した、分析部２１による分析処理の結果の一例を示す。

【0056】

図６は、第１の例として、登録経路に関する、種別に応じた被害者データの統計的な偏りの分析処理の結果の一例である。ここでは、統計的な偏りを表す統計量として、種別の被害会員数をもとに偏差値が算出される。またここでは、登録経路としてサービスＡ～Ｆの６種別があらかじめ指定される。種別の数は６種別に限られない。サービスＡ～Ｆには、共通ポイントサービス自体（例えば、ポイント管理サーバ２０によって提供されるサービス）と、その提携サービス（例えば、サービス提供サーバ５０によって提供されるサービス）が含まれ得る。

【0057】

分析部２１はまず、読み出した被害者データの集合から、第１の評価対象群として、直近４日間（ここでは１０月２８日～１０月３１日）に係る被害者データ（「合計」）を抽出し、種別ごとに被害会員数（「件数」）を集計する。図６では、サービスＡが１８６件、サービスＢが１２６件、サービスＣが５１件、サービスＤが３０件、サービスＥが１０件、サービスＦが０件、合計４０３件と集計された。

【0058】

次に、分析部２１は、上記の合計４０３件を母集団として、以下の式により種別ごとに偏差値を算出する。

【数1】

式中、Ｔ_iは種別ｉの偏差値、ｘ_iは種別ｉの件数の値を表し（ここでは、ｉ＝サービスＡ，サービスＢ，サービスＣ，サービスＤ，サービスＥ，サービスＦ）、μは母集団の平均値であり、次式で表され、

【数2】

ここでＮは種別ｉの個数（ここではＮ＝６）であり、σは母集団の標準偏差であり、次式で表される。

【数3】

【0059】

図６の例では、分析部２１は、第１の評価対象群（「合計」）に関する平均値μ₁および標準偏差σ_１を以下のように算出した。
μ_１＝（１８６＋１２６＋５１＋３０＋１０＋０）／６≒６７．１７
σ_１＝［｛（１８６－６７．１７）^２＋（１２６－６７．１７）^２＋（５１－６７．１７）^２＋（３０－６７．１７）^２＋（１０－６７．１７）^２＋（０－６７．１７）^２｝／６］＾（１／２）≒６７．０９

【0060】

続いて分析部２１は、上記のように算出された平均値μ₁および標準偏差σ_１を用いてサービスＡ～Ｆの偏差値をそれぞれ算出する。例えば、第１の評価対象群において、サービスＡに関する偏差値Ｔ_１Ａ、サービスＢに関する偏差値Ｔ_１Ｂ、サービスＣに関する偏差値Ｔ_１Ｃ、サービスＤに関する偏差値Ｔ_１Ｄ、サービスＥに関する偏差値Ｔ_１Ｅ、サービスＦに関する偏差値Ｔ_１Ｆは、それぞれ以下のように算出された。図６では、評価対象群ごとに最高の偏差値が強調表示されている。
Ｔ_１Ａ＝｛（１８６－６７．１７）／６７．０９｝×１０＋５０≒６７．７１
Ｔ_１Ｂ＝｛（１２６－６７．１７）／６７．０９｝×１０＋５０≒５８．７７
Ｔ_１Ｃ＝｛（５１－６７．１７）／６７．０９｝×１０＋５０≒４７．５９
Ｔ_１Ｄ＝｛（３０－６７．１７）／６７．０９｝×１０＋５０≒４４．４６
Ｔ_１Ｅ＝｛（１０－６７．１７）／６７．０９｝×１０＋５０≒４１．４８
Ｔ_１Ｆ＝｛（０－６７．１７）／６７．０９｝×１０＋５０≒３９．９９

【0061】

分析部２１はまた、直近４日間のデータのうち、日ごとの被害者データについても、それぞれ第２～第５の評価対象群として、上記と同様に各日の被害会員数（件数）の合計値を母集団として、平均値、標準偏差、および偏差値を算出する。例えば、１０月２８日には、合計３件の被害報告があり、平均値は「０．５０」、標準偏差は「０．５０」で、サービスＡ～Ｆそれぞれの偏差値は「６０．００」、「６０．００」、「６０．００」、「４０．００」、「４０．００」、「４０．００」と算出された。同様に、１０月２９日には合計１００件の被害報告があり、サービスＢについて最も高い偏差値「７１．０８」が得られた。１０月３０日および１０月３１日には、偏差値が最も高いのはサービスＡであった。

【0062】

以上のように得られた結果のどの観点に着目すべきかは、情報処理装置１０の管理者等によってあらかじめ指定され得る。例えば、日ごとの偏差値が最大となった登録経路に着目し、日々、その登録経路に係るアカウントに対して対策を講じるようにしてもよい。この場合、図６では、１０月２８日にはサービスＡ～Ｃに、１０月２９日にはサービスＢに、１０月３０日にはサービスＡに、１０月３１日にはサービスＡに着目することになる。同様に、４日間の合計で偏差値が最大となった登録経路に着目し、対策を講じてもよい。図６の例ではサービスＡに着目し、対策を講じることになる。また、日ごとの集計結果と合計の集計結果を組み合わせて判断してもよい。このような判断は、あらかじめ集計期間と偏差値範囲（例えば、４日間の集計で偏差値６０を超える種別があるか否か、日ごとの集計で偏差値７０を超える種別があるか否か、など）を設定することにより実現され得る。

【0063】

図７は、第２の例として、登録メールドメインに関する、種別に応じた被害者データの統計的な偏りの分析処理の結果の一例である。この例では、例えば４日間の合計に着目する場合、２段目の「ｂｂｂ．ｎｅ．ｊｐ」が最高の偏差値「７０．９５」を示しているので、「ｂｂｂ．ｎｅ．ｊｐ」のドメインを登録しているアカウントのリスクが高いと判断するように設定し得る。

【0064】

図８は、第３の例として、保有ポイント数に関する、種別に応じた被害者データの統計的な偏りの分析処理の結果の一例である。例えば４日間の合計に着目する場合、２段目の「１０，００１～３０，０００」が最高の偏差値「６８．５９」を示している。この場合、ポイント残高が「１０，００１～３０，０００」に該当するアカウントのリスクが高いと判断するように設定してもよいし、ポイント残高「１５０，００１」以上の種別の偏差値が４日間を通して低いので経済的損害が低いと判断するように設定することも考えられる。

【0065】

図９は、第４の例として、構造ＰＡＳＳ更新回数に関する、種別に応じた被害者データの統計的な偏りの分析処理の結果の一例である。上記のように、この項目は、ユーザとシステムの合作パスワードが用いられているか否かの指標である。この例では、「０回」の偏差値が有意に高いので、合作パスワードの安全性が高い（合作パスワード以外のパスワードの安全性が低い）と判断し得る。仮に、構造ＰＡＳＳ更新回数が「１回」またはそれ以上の欄の偏差値が高い場合、構造化パスワード管理システム自体からの漏洩が疑われる。

【0066】

図１０は、第５の例として、ＩＤ登録時期に関する、種別に応じた被害者データの統計的な偏りの分析処理の結果の一例である。４日間の合計に着目すると、「３６１日～７２０日以内」の偏差値が他よりも若干高いので、同じ登録時期に該当するアカウントのリスクが高いと判断するように設定することも考えられるし、サービス利用期間が長いほど漏洩リスクが高いと判断するように設定することも考えられる。

【0067】

なお、図６～図１０に関して、直近４日間の合計または日ごとに集計する例を挙げて説明したが、これらは例示にすぎず、例えば１週間や１か月など、評価対象期間として他の任意の期間が設定されてよい。評価対象として、ポイント管理サーバ２０の管理下で発生したすべての不正アクセスに係る被害者データ（過去の全期間のデータ）を用いるようにしてもよい。あるいは、直近の任意の期間から得られた統計量と、過去の全期間の被害者データから得られた統計量が組み合わせて使用されてもよい。

【0068】

ステップＳ１０３において、対策選択部１３は、いずれかの項目に着目し、対策を選択する。例えば、図７の結果に着目する場合、対策選択部１３は、偏差値が最高であった「ｂｂｂ．ｎｅ．ｊｐ」と同じドメインを有するメールアドレスを登録した全アカウントに対し、あらかじめ指定された対策、例えば「ログイン時に注意喚起メッセージを表示」を選択する。どの項目に着目するかは、複数の項目について偏差値を算出し比較することによって判断してもよいし（例えば最大の偏差値が得られた種別を含む項目）、あらかじめ設定された優先度（例えば、登録経路、登録ドメイン、保有ポイント数、構造ＰＡＳＳ更新回数、ＩＤ登録時期、の順に見ていく）を用いてもよい。

【0069】

以上のように、対策選択部１３は、いずれかの項目に着目し、そのうち偏差値が最高の種別に対して対策を選択することができる。あるいは、対策選択部１３は、偏差値に応じて当該種別の危険度を判定し、危険度に応じた対策を選択することもできる。以下、そのような方法の一例として、対策選択部１３が対応表を用いて対策を選択する方法について説明する。

【0070】

図１１は、対策選択部１３により使用され得る、偏差値と危険度の対応を指定する対応表の一例を示す。図１１によれば、偏差値が７０を超える場合、危険度が最も高い「グレード１」と定義され、偏差値が４５未満の場合、危険度が最も低い「グレード６」と定義される。このような対応表は、情報処理装置１０の管理者等により任意に設定され、グレード情報記憶部１５に記憶され得る。

【0071】

図１２は、図１１に示した対応表に基づいて対策選択部１３により決定される危険度（グレード）の一例を示す。図１２は、項目として登録メールドメインに着目したもので、図７とは異なる例を示している。分析部１２により、６種類の登録メールドメイン種別に対し、それぞれ偏差値が算出された。そして、対策選択部１３により上記対応表に基づいてそれぞれの危険度が決定された。例えば、登録メールドメインが「ａｂｃ．ｃｏ．ｊｐ」については、偏差値「６４．００」であるので、図１１の対応表により「グレード２」に該当する。その後、対策選択部１３は、やはり対応表を用いてそれぞれの危険度に応じた対策を選択する。

【0072】

図１３は、対策選択部１３により使用され得る、危険度ととるべき対策の対応関係を指定する対応表の一例を示す。図１３によれば、危険度が最も高い「グレード１」では、対象アカウントに対して「アカウント停止」が選択される。一方、危険度が最も低い「グレード６」では、特に対応をとらないという対策が選択される。このような対応表は、情報処理装置１０の管理者等により任意に設定され、対策方針記憶部１６に記憶され得る。

【0073】

対策選択部１３は、図１３の対応表に基づき、図１２の例でいえば、登録メールドメイン「ａｂｃ．ｃｏ．ｊｐ」をもつアカウントに対して「グレード２＝ログイン停止」を選択する。同様に、対策選択部１３は、「ｄｅｆ．ｃｏｍ」をもつアカウントに対して「グレード１＝アカウント停止」を選択し、「ｇｈｉ．ｎｅ．ｊｐ」をもつアカウントに対して「グレード３＝ポイント利用停止」を選択し、「ｊｋｌ．ｃｏ．ｊｐ」をもつアカウントに対して「グレード６＝対応無し」を選択し、「ｍｎｏ．ｎｅ．ｊｐ」をもつアカウントに対して「グレード５＝サイト警告」を選択し、それ以外のアカウントに対しては「グレード４＝メール警告」を選択する。なお、図１１と図１３の対応表は一体的に設定・格納されてもよい。

【0074】

対策選択部１３は、以上のような選択の結果を任意の出力先に出力することができる。例えば、対策選択部１３は、上記のような選択の結果すべてをポイント管理サーバ２０に送信し、ポイント管理サーバ２０が、選択された対策を実際に実行するように構成してもよい。例えば、図１２の例では、選択結果を受け取ったポイント管理サーバ２０は、登録メールドメイン「ａｂｃ．ｃｏ．ｊｐ」をもつアカウントを抽出し、当該アカウントに対して「ログイン停止」の対策を実行する。ポイント管理サーバ２０は、対策を実行するための必要に応じて、サービス提供サーバ５０に対して適宜通知を行うこともできる。あるいは、対策選択部１３が、選択された対策に応じて選択結果の出力先を変えるようにしてもよい。例えば、対策選択部１３は、「ログイン停止」が選択されたアカウント情報についてはポイント管理サーバ２０に送信し、「サイト警告」が選択されたアカウント情報についてはポイント管理サーバ２０とサービス提供サーバ５０の両方に送信するようにしてもよい。「メール警告」が選択された場合、対策選択部１３が直接ユーザ端末ＵＴにメッセージを送信するように構成されてもよい。あるいは、情報処理装置１０が、対策選択部１３により選択された対策を実行するように構成されてもよい。

【0075】

図１２では、登録メールドメインに関して説明したが、対策選択部１３は、登録メールドメイン以外の項目についても、以上と同様の危険度の判定および対策の選択を行うことができる。ただし、「構造化ＰＡＳＳ更新回数」の項目については例外的に次のような判定を行ってもよい。上述したように、「更新回数＝０回」は、構造化パスワード管理システムを利用しなかった会員のパスワードであることを意味する。よって、「０回」の偏差値が高い場合には、不正アクセスの原因が上記システムを使用していない提携サービスからの情報漏洩である可能性が高い。したがって、そのような提携サービスに対して注意、または攻撃や被害の有無調査を促すメッセージを送信するとともに、対策選択部１３は、「０回」に該当する全アカウントに対して図１３で指定される対策を選択することができる。これに対し、「１回以上」のいずれかの偏差値が高い場合、構造化パスワード管理システムからの情報漏洩のおそれがあるため異常事態として扱うこともできる。これは、図１３に「グレード０」で示した状況に該当し、「グレード０」が発生したときには、対策選択部１３は、特定のアカウントに限らずすべてのサービスを停止するという対策を選択することができる。

【0076】

以上のように、第１段階として、項目別の偏差値結果に基づき、「点」での対策をとることができる。第１段階は、「初期対応」として発生時の即時対応を行うための処理を想定している。第１段階で収束が見込めない場合、第２段階に進み得る。一例として、上記対策を実行した後に、当該項目の偏差値が下がれば収束とみなすことができる。例えば、偏差値の変化の推移が下向きであれば収束（または見守る段階）と判断し、水平や上向きであれば追加の対策が必要と判断することができる。

【0077】

（２－２）第２段階
第２段階では、選択した項目のうち偏差値の高いレベルの組合せの対象者を判定し、「面」での対策を行う。
図１４は、そのような第２段階の動作の一例を示すフローチャートである。なお、図４と同様の処理については図４と同じ符号を付し、詳細な説明は省略する。

【0078】

まずステップＳ１０１において、情報処理装置１０は、被害者データ取得部１１により、被害者データを取得し、被害者データ記憶部１４に記憶させる。

【0079】

次いでステップＳ１０２において、分析部１２により、被害者データ記憶部１４から被害者データを読み出し、項目別に集計して、種別の偏差値を算出する。

【0080】

そして、ステップＳ２０３において、対策選択部１３により、任意の複数の項目についてクロス集計を行い、対策を選択する。

【0081】

図１５は、そのようなクロス集計の一例を示す図である。第１段階に関して説明したように、被害者データに含まれる項目ごとに種別の被害会員数を集計し、偏差値を算出する。そして、任意の２つ（３つ以上でもよい）の項目を選択する。図１５の例では、項目として登録経路と登録メールドメインが選択され、グレードごとにクロス集計が行われる。図１５の「対象者数」は、クロス集計の結果の一例であり、各項目の同じグレードの対象者数の合計値を表す。例えば、グレード１については、登録経路が「サービスＸ」のアカウント（対象者）の数と、メールドメインが「ｄｅｆ．ｃｏｍ」のアカウント（対象者）の数の和が「３００，０００」と計算される。対象者数は、被攻撃リスク範囲を表すことになる。

【0082】

第２段階では、対策選択部１３は、上記対象者「３００，０００」に対してグレード１の対応、すなわち、アカウント停止という対策を選択し得る。あるいは対策選択部１３は、上記で得られた対象者数をもとに再び偏差値を算出し、クロス集計後の偏差値に応じた対策を選択し得る。ここで、対策選択部１３は、第２段階についても、危険度のグレードに応じた対策として上記図１３の対応表に基づく対策を選択することができる。

【0083】

図１６は、危険度ととるべき対策の対応表の他の例を示す図である。図１６の対応表は、各グレードがさらに細分化され、対策内容の上下を選択可能とする。一例として、対策内容の上下は、対象者数の規模（影響範囲）に応じて選択され、上下判定は、しきい値を設けることによって自動的に判定され得る。あるいは図１６の対応表は、不正アクセスの発生から日数が経過し、ある程度不正アクセスの傾向が見えてきた段階での評価に用いることが想定され得る。例えば、一定の監視サイクル（例えば３日ごとの平均）の偏差値推移が水平だった場合はそのまま、上昇したら一段階上、下降したら一段階下、などの対策を選択してもよい。

【0084】

例えば、グレード１に関し、基準となる対策は「１Ｂ」の「対象アカウントのみアカウント停止」であるが、一段階上の対策を選択する場合、「１Ａ」の「すべてのサービス停止」が選択され、一段階下の対策を選択する場合、「１Ｃ」の「対象アカウントのみログイン停止」が選択される。

【0085】

同様に、グレード２に関し、基準となる対策「２Ｂ」の「ログイン停止」を実施している状況で、例えば１週間経過しても被害状況が変わらない場合には「２Ａ」の「アカウント停止」を行い、１週間経過後に被害状況が減った場合には、「２Ｃ」の「ポイント利用停止」に移行することができる。あるいは、被害状況がさらに減った場合には、対策自体を解除するようにしてもよい。

【0086】

図１６の対応表を用いてグレードをまたぐ調整を行うことも可能である。例えば、対策選択部１３は、各グレード内に他の選択肢があればその範囲でアップまたはダウンさせ、各グレードの最上位または最下位の対策を実施中にさらにアップまたはダウンすべき条件が整えば、上下のグレードにおける同じ対策の上位または下位対策を選択することが可能である。例えば、図１６の例で言えば、グレード「２Ａ」の対策を実施中に不正アクセスの被害がエスカレートした場合、グレード「２」内には上位の選択肢がないので、グレード「１」にアップグレードされる。ここで、この例では、実施中のグレード「２Ａ」の対策とグレード「１Ｂ」の対策がいずれも「アカウント停止（対象アカウントのみ）」で同一であるので、対策選択部１３は、グレード「１Ｂ」の１つ上の「１Ａ」を選択することができる。反対に、グレード「１Ｃ」の対策を選択していた状況で不正アクセスの被害が軽減した場合、グレード「１Ｃ」と同じ対策（ログイン停止）であるグレード「２Ｂ」の１つ下、グレード「２Ｃ」へと遷移することができる。このようなグレードをまたぐロジックは、例えば、全被害件数、当該項目の被害件数、当該項目の全対象者数など、注目対象の値とあらかじめ設定したしきい値との比較により構築されてよい。なお、上記の例に限らず、単に「１Ｃ」から１つダウングレードして「２Ａ」の対策を選択するようにしてもよいし、反対に「２Ａ」の対策からアップグレードして「１Ｃ」の対策を選択するようにしてもよい。不正アクセスの被害がエスカレートすれば、最終的にはグレード「０」の「全サービス停止」が選択されることになる。

【0087】

言うまでもなく、「登録経路」と「メールドメイン」以外の組合せを用いたクロス集計も可能である。どの項目をクロス集計に選択するかは、例えばあらかじめ指定されてもよいし、最高偏差値が最も高い２項目が選択されるようにしてもよい。

【0088】

第２段階に関しても、対策選択部１３は、任意の出力先に選択結果を出力することができる。

【0089】

以上のように、第２段階として、項目別の偏差値結果からクロス集計を用いることで、「面」での対策をとることができる。第２段階は、特に、「継続対応」として、日数経過とともにどのようなユーザの被攻撃リスクが高いかを評価し、対象者数の規模（影響範囲）に応じた対策のアップ・ダウングレードを可能とする。一例として、上記のように対応した項目以外に偏差値の高い項目が別途発生した場合は、継続対応の影響が広範囲に及ぶとみなし、第３段階に進むようにしてもよい。または第１段階における収束判断と同様に、偏差値の変化の推移に応じて判断を行ってもよい。

【0090】

（２－３）第３段階
第３段階では、第２段階のクロス集計に、さらに対象ユーザの合計保有ポイントまたは平均保有ポイントを加味してインパクト（影響度）を判定する、「奥行」での対策を行う。
図１７は、そのような第３段階の動作の一例を示すフローチャートである。なお、図４と同様の処理については図４と同じ符号を付し、詳細な説明は省略する。

【0091】

まずステップＳ１０１において、情報処理装置１０は、被害者データ取得部１１により、被害者データを取得し、被害者データ記憶部１４に記憶させる。

【0092】

次いでステップＳ１０２において、分析部１２により、被害者データ記憶部１４から被害者データを読み出し、項目別に集計し、種別の偏差値を算出する。

【0093】

次いでステップＳ３０３において、対策選択部１３により、任意の複数の項目についてクロス集計を行う。この処理は、第２段階でステップＳ２０３として説明したのと同様の処理である。

【0094】

次いで、ステップＳ３０４において、対策選択部１３により、さらに別の指標を追加して、インパクトを判定し、対策を選択する。

【0095】

図１８は、そのような指標追加の一例を示す。ここでは、メールドメインと登録経路によりクロス集計を行った後、さらに、対象者が保有する合計ポイント（合計Ｐ）数と平均ポイント（平均Ｐ）数を算出する。対象者数は、被攻撃リスク範囲を表し、合計ポイント数は事業インパクトを表し、平均ポイント数は個人インパクトを表す。ここでは、対策選択部１３は、この事業インパクトおよび個人インパクトの対象者数を判断基準として、対策を選択するように構成される。

【0096】

例えば、グレード６は低リスクであるが、合計ポイント数および平均ポイント数が多いので、対策を一段階上げることが考えられる。例えば、ポイント数に関するしきい値を設けておき、しきい値を超える場合にはグレード内の対応を一段階上げる（図１６と同様に、グレード６Ｂからグレード６Ａに上げる）ように設定することができる。同様に、グレード３は中リスクであるが、合計ポイントや平均ポイントが少ないので、グレード内の対応を一段階下げるなどの対策を選択するように設定することができる。対策の上下判定については、やはりしきい値を設けることにより、対策選択部１３によって自動的に行われ得る。例えば、ある項目内にグレード１（偏差値７０超）の種別が２つあった場合、その種別の個数に応じたしきい値を設けて自動的に判定を行ってもよい。一例として、グレード１に該当する種別の個数で対象者数を割り、その数値でのしきい値を設け、それにより対策の昇降判定を行ってもよい。図１８の例では、クロス集計に選んだ項目「登録経路」と「メールドメイン」に関し、グレード３には「サービスＹ」「サービスＷ」および「ｇｈｉ．ｎｅ．ｊｐ」の３つあるので、対象者数を３で割り、その結果をしきい値で判定して、昇降判定を行うことができる。

【0097】

上記例では、クロス集計に追加する「指標」として保有ポイント数に着目したが、他の指標を用いてもよい。図９、図１０に関して項目として例示した「構造ＰＡＳＳ更新回数」や「登録時期」を用いてもよいし、それ以外の情報を用いてもよい。一例として、各会員のポイント発生に寄与した購買データが蓄積されている場合、その累積購入金額を指標として用いてもよい。または、会員情報に各サービスや購買店、各社ブランドごとの購買データが含まれる場合、サービスや購買店、各社ブランドごとの購買金額（売上金額）を指標として用いてもよい。

【0098】

以上のように、第３段階として、クロス集計の結果に、さらに保有ポイントの情報を考慮することで、「奥行」での対策をとることができる。言い換えれば、この例では、横軸に属性別の対象者数をとり、縦軸に任意の指標（例えば上記のように、ポイント被害、個人情報漏洩、またはそれらの組み合わせ）を考慮した重みを付けた場合に、その縦×横の面積が大きくなるものを優先すべき事象として素早く判断し、対策を講じることができる。これにより、詳細を評価してサービスの停止までも含めた判断を行い、被害拡大を防ぐ。被害は、言うまでもなく経済的被害に限られず、個人情報の漏洩や、個人情報の漏洩に起因する論理的被害も含む。すなわち、「奥行」としてどのような指標をクロス集計に追加するかに応じて、多様な視点に基づく対策を選択することができる。

【0099】

第３段階に関しても、対策選択部１３は、任意の出力先に選択結果を出力することができる。

【0100】

なお、第１段階としての初期対応で収束が見られない場合に第２段階に進むものとして説明したが、被害の規模感等によっては、第１段階と第２段階を同時に実施することも可能である。例えば、第１段階の処理については初期対応で早く実施し（対処療法）、第２段階の処理は、第１段階の結果を見たうえで不正アクセスの傾向を見ながら対応し（対策実施）、第３段階の処理については、第１段階と第２段階の結果から影響（経営への影響、たとえば被害金額や被害会員数が著しく増大したなど）を見て対応するなど、判断のレイヤーが想定され得る。したがって、必ずしも、まず第１段階、次に第２段階、最後に第３段階という進み方に限定されるわけではなく、異なる判断軸に応じて、前段階の対応も同時に考慮しつつ同時並列に実施されてよい。言い換えれば、情報処理装置１０は、被害者データの蓄積に応じて、すなわち判定材料が集まるのに応じて、上記で説明した各処理を並行して実行することができる。

【0101】

（３）効果
以上詳述したように、この発明の一実施形態に係る情報処理装置１０は、パスワード認証によりアカウントを管理するサービスの会員のうち、アカウントに不正なアクセスを受けた被害会員の会員情報を取得する被害者データ取得部１１と、会員情報の統計的な偏りを分析する分析部１２と、分析の結果に基づいて上記サービスが管理するアカウントごとに不正なアクセスに対する対策を選択する対策選択部１３とを備える。これにより、管理下にある全アカウントに対して一律の対策ではなく、実際の不正アクセスの傾向を踏まえた、より適切な対策をアカウントごとに選択することができ、サービスとその利用者全体にとって、より効果的な安全性の確立を図ることができる。

【0102】

（４）他の実施形態
なお、この発明は上記実施形態に限定されるものではない。例えば、上記実施形態の一例では、主に情報処理装置１０が共通ポイントサービスに係るアカウントを管理するものとして説明したが、同じポイントでも独自ポイントのような汎用的、総体的ではない限定的な範囲に限られるサービスに係るアカウントを管理するものであってもよい。この場合、図５に関して例示した被害者データに含まれる情報のいくつかが省略されてもよい。あるいは被害者データには、他の会員情報（例えば、居住地、性別、年齢等の属性情報）が含まれてもよい。この場合にも同様に統計上の偏りを分析することが可能である。例えば、住所として登録された都道府県または市町村別に偏差値を算出し、特定の居住地の会員に被害の偏りがあるか否かを判定してもよい。被害会員の性別と年齢に基づくクロス集計を行い、さらにネットワーク上のサービスに係る活動履歴（特定のＷｅｂサイトの閲覧履歴やＳＮＳ上の投稿頻度など）に応じた奥行集計を行うことによって、不正アクセスの目的やターゲットを考慮した対策をとることができる可能性がある。なお、被害者データが少なくとも３種類の情報を含めば、上記第１段階、第２段階、および第３段階と同様の処理を実行することができる。

【0103】

また上記実施形態では、情報処理装置１０が、ポイント管理サーバ２０と連携して動作するものとして説明したが、やはりこれに限られるものではない。情報処理装置１０は、個人情報を管理する何らかの装置から被害者データを収集し、被害者データに含まれる任意の項目の種別に基づいて上記実施形態で説明したのと同様の処理を行うことができる。例えば、情報処理装置１０は、金融機関（銀行、証券会社、保険会社など）、クレジットカード会社、実店舗もしくはオンラインショップ、会員制コミュニティサービス、情報管理サービス、その他のオンラインサービス、交通機関、行政機関、医療機関、教育機関など、個人情報を管理するあらゆる機関から、情報を収集することができる。また情報処理装置１０は、被害者本人から個人情報の入力を受け付けてもよい。

【0104】

情報処理装置１０が備える各機能部を、複数の装置に分散配置し、これらの装置が互いに連携することにより処理を行うようにしてもよい。また各機能部は、回路を用いることで実現されてもよい。回路は、特定の機能を実現する専用回路であってもよいし、プロセッサのような汎用回路であってもよい。

【0105】

さらに、以上で説明した各処理の流れは、説明した手順に限定されるものではなく、いくつかのステップの順序が入れ替えられてもよいし、いくつかのステップが同時並行で実施されてもよい。また、以上で説明した一連の処理は、時間的に連続して実行される必要はなく、各ステップは任意のタイミングで実行されてもよい。

【0106】

以上で記載した手法は、計算機（コンピュータ）に実行させることができるプログラム（ソフトウェア手段）として、例えば磁気ディスク（フロッピー（登録商標）ディスク、ハードディスク等）、光ディスク（ＣＤ－ＲＯＭ、ＤＶＤ、ＭＯ等）、半導体メモリ（ＲＯＭ、ＲＡＭ、フラッシュメモリ等）等の記録媒体（記憶媒体）に格納し、また通信媒体により伝送して頒布することもできる。なお、媒体側に格納されるプログラムには、計算機に実行させるソフトウェア手段（実行プログラムのみならずテーブル、データ構造も含む）を計算機内に構成させる設定プログラムをも含む。上記装置を実現する計算機は、記録媒体に記録されたプログラムを読み込み、また場合により設定プログラムによりソフトウェア手段を構築し、このソフトウェア手段によって動作が制御されることにより上述した処理を実行する。なお、本明細書でいう記録媒体は、頒布用に限らず、計算機内部あるいはネットワークを介して接続される機器に設けられた磁気ディスク、半導体メモリ等の記憶媒体を含むものである。

【0107】

その他、各データの収集タイミングや収集方法、分析方法等についても、この発明の要旨を逸脱しない範囲で種々変形して実施可能である。

【0108】

なお、この発明は、上記実施形態に限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は適宜組み合わせて実施してもよく、その場合組み合わせた効果が得られる。更に、上記実施形態には種々の発明が含まれており、開示される複数の構成要件から選択された組み合わせにより種々の発明が抽出され得る。例えば、実施形態に示される全構成要件からいくつかの構成要件が削除されても、課題が解決でき、効果が得られる場合には、この構成要件が削除された構成が発明として抽出され得る。

【符号の説明】

【0109】

１…システム、１０…情報処理装置、１１…被害者データ取得部、１２…分析部、１３…対策選択部、１４…被害者データ記憶部、１５…グレード情報記憶部、１６…対策方針記憶部、２０…ポイント管理サーバ、５０…サービス提供サーバ。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【手続補正書】

【提出日】2023-11-29

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

パスワード認証によりアカウントを管理するサービスの会員のうち、アカウントに不正なアクセスを受けた被害会員に関する会員情報を取得し、記憶する会員情報取得部と、
前記会員情報に含まれる項目に関して被害会員数の統計量を算出することにより、前記会員情報の統計的な偏りを分析する分析部と、
を備える情報処理装置。

【請求項2】

前記会員情報に含まれる項目は、少なくとも、攻撃対象、経済的損害、情報漏洩の経路または攻撃手法を推測するための指標である、請求項１に記載の情報処理装置。

【請求項3】

前記統計量と前記パスワード認証の危険度との対応関係に基づき、前記会員情報の統計的な偏りに対応する危険度を決定し、前記危険度に応じた対策を選択する対策選択部をさらに備える、請求項１または２に記載の情報処理装置。

【請求項4】

前記分析部は、前記会員情報に含まれる少なくとも２つの項目の各々について前記会員情報の統計的な偏りを分析し、
前記対策選択部は、前記少なくとも２つの項目の各々について前記会員情報の統計的な偏りに対応する危険度を組み合わせることによって前記対策を選択する、
請求項３に記載の情報処理装置。

【請求項5】

前記対策選択部は、前記被害会員に関する経済的価値に基づいて前記対策を選択する、
請求項３または４に記載の情報処理装置。

【請求項6】

前記対策選択部は、前記会員情報を時系列的に分析することにより、選択した対策の有効性を評価する、請求項３乃至５のいずれか一項に記載の情報処理装置。

【請求項7】

情報処理装置が実行する情報処理方法であって、
情報処理装置が、パスワード認証によりアカウントを管理するサービスの会員のうち、アカウントに不正なアクセスを受けた被害会員に関する会員情報を取得し、記憶する過程と、
情報処理装置が、前記会員情報に含まれる項目に関して被害会員数の統計量を算出することにより、前記会員情報の統計的な偏りを分析する過程と、
を備える情報処理方法。

【請求項8】

請求項１乃至６のいずれか一項に記載の装置の各部による処理をコンピュータに実行させるプログラム。