特許 7458538 プログラム、情報処理装置、および情報処理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】

(24)【登録日】2024-03-21

(45)【発行日】2024-03-29

(54)【発明の名称】プログラム、情報処理装置、および情報処理方法

(51)【国際特許分類】

   G06F 21/31 20130101AFI20240322BHJP

   G06Q 20/38 20120101ALI20240322BHJP

【ＦＩ】

G06F21/31 360

G06Q20/38 310

【請求項の数】 8

(21)【出願番号】P 2023110470

(22)【出願日】2023-07-05

【審査請求日】2023-07-05

【早期審査対象出願】

(73)【特許権者】

【識別番号】519110124

【氏名又は名称】ＰａｙＰａｙ株式会社

(74)【代理人】

【識別番号】100149548

【弁理士】

【氏名又は名称】松沼 泰史

(74)【代理人】

【識別番号】100154852

【弁理士】

【氏名又は名称】酒井 太一

(74)【代理人】

【識別番号】100181124

【弁理士】

【氏名又は名称】沖田 壮男

(74)【代理人】

【識別番号】100194087

【弁理士】

【氏名又は名称】渡辺 伸一

(72)【発明者】

【氏名】東海林 勝進

【審査官】田上 隆一

(56)【参考文献】

【文献】特開２０２０－１６６３２９（ＪＰ，Ａ）

【文献】特開２０２１－００９５７１（ＪＰ，Ａ）

【文献】特開２０１９－００８３６９（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／３１

Ｇ０６Ｑ １０／００－９９／００

(57)【特許請求の範囲】

【請求項1】

情報処理装置に、
ログインを伴って端末装置を介して提供されるネットワークサービスに対する、第１利用者の操作ログを取得する処理と、
前記ネットワークサービスに対する、複数の第２利用者の操作ログであって、どの第２利用者が操作を行ったかが既知の操作ログに基づくデータを学習データ、前記どの第２利用者が操作を行ったかを示す情報を教師データとして学習された学習済モデルに対して、前記第１利用者の操作ログに基づく入力データを入力することで得られる前記第１利用者の操作特徴ベクトルを取得する処理と、
を繰り返し実行させ、
第１観測期間において前記学習済モデルを用いて取得された前記第１利用者の操作特徴ベクトルに対して統計処理を行った統計処理済ベクトルと、第２観測期間において前記学習済モデルを用いて取得された前記第１利用者の操作特徴ベクトルとを比較することで、前記第２観測期間において前記第１利用者がなりすましによる不正なログインを行っているか否かを表す情報を導出させる、
ためのプログラム。

【請求項2】

前記学習済モデルは、入力層と出力層との間に存在する隠れ層における値を、前記操作特徴ベクトルとして出力するものである、
請求項１記載のプログラム。

【請求項3】

前記隠れ層は、前記出力層の一つ手前の層である、
請求項２記載のプログラム。

【請求項4】

前記情報処理装置に、更に、
前記第１利用者の操作ログを分散表現化することで前記入力データを生成する処理を実行させる、
ための請求項１記載のプログラム。

【請求項5】

前記情報処理装置に、更に、
前記ネットワークサービスに対する、複数の第２利用者の操作ログに基づくデータを学習データ、どの第２利用者が操作を行ったかを示す情報を教師データとして前記学習済モデルを生成する処理を実行させる、
ための請求項１記載のプログラム。

【請求項6】

前記情報処理装置に、更に、
前記複数の第２利用者の操作ログを分散表現化することで前記学習データを生成する処理を実行させる、
ための請求項５記載のプログラム。

【請求項7】

ログインを伴って端末装置を介して提供されるネットワークサービスに対する、第１利用者の操作ログを取得する操作ログ取得部と、
前記ネットワークサービスに対する、複数の第２利用者の操作ログであって、どの第２利用者が操作を行ったかが既知の操作ログに基づくデータを学習データ、前記どの第２利用者が操作を行ったかを示す情報を教師データとして学習された学習済モデルに対して、前記第１利用者の操作ログに基づく入力データを入力することで得られる前記第１利用者の操作特徴ベクトルを取得する操作特徴ベクトル取得部と、
を備え、
前記操作ログ取得部と前記操作特徴ベクトル取得部は繰り返し処理を行い、
第１観測期間において前記学習済モデルを用いて取得された前記第１利用者の操作特徴ベクトルに対して統計処理を行った統計処理済ベクトルと、第２観測期間において前記学習済モデルを用いて取得された前記第１利用者の操作特徴ベクトルとを比較することで、前記第２観測期間において前記第１利用者がなりすましによる不正なログインを行っているか否かを表す情報を導出する導出部を更に備える、
情報処理装置。

【請求項8】

情報処理装置が、
ログインを伴って端末装置を介して提供されるネットワークサービスに対する、第１利用者の操作ログを取得する処理と、
前記ネットワークサービスに対する、複数の第２利用者の操作ログであって、どの第２利用者が操作を行ったかが既知の操作ログに基づくデータを学習データ、前記どの第２利用者が操作を行ったかを示す情報を教師データとして学習された学習済モデルに対して、前記第１利用者の操作ログに基づく入力データを入力することで得られる前記第１利用者の操作特徴ベクトルを取得する処理と、
を繰り返し実行し、
第１観測期間において前記学習済モデルを用いて取得された前記第１利用者の操作特徴ベクトルに対して統計処理を行った統計処理済ベクトルと、第２観測期間において前記学習済モデルを用いて取得された前記第１利用者の操作特徴ベクトルとを比較することで、前記第２観測期間において前記第１利用者がなりすましによる不正なログインを行っているか否かを表す情報を導出する、
情報処理方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、プログラム、情報処理装置、および情報処理方法に関する。

【背景技術】

【0002】

従来、ネットワークサービスにおける不正な利用を発見するための種々の試みがなされている。これに関連し、金融取引に関連するリスクの解析及び定量化を容易にするためのコンピュータ化されたリスク管理方法及びリスク管理システムの発明が開示されている（特許文献１）。このシステムは、基準に対して適用された重み付けされたアルゴリズムに基づいて、リスク指標又は他の格付けを生成する。

【先行技術文献】

【特許文献】

【0003】

【文献】特表２００５－５０９１９６号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

従来の技術では、なりすましによってネットワークサービスを利用している利用者を精度よく推定するための処理を行うことができない場合があった。

【0005】

本発明は、このような事情を考慮してなされたものであり、なりすましによってネットワークサービスを利用している利用者を精度よく推定するための処理を行うことができるプログラム、情報処理装置、および情報処理方法を提供することを目的の一つとする。

【課題を解決するための手段】

【0006】

本発明の一態様は、情報処理装置に、ログインを伴って端末装置を介して提供されるネットワークサービスに対する、第１利用者の操作ログを取得する処理と、前記ネットワークサービスに対する、複数の第２利用者の操作ログに基づくデータを学習データ、どの第２利用者が操作を行ったかを示す情報を教師データとして学習された学習済モデルに対して、前記第１利用者の操作ログに基づく入力データを入力することで得られる前記第１利用者の操作特徴ベクトルを取得する処理と、前記第１利用者の操作特徴ベクトルに基づいて、前記第１利用者がなりすましによる不正なログインを行っているか否かを表す情報を導出する処理と、を実行させるためのプログラムである。

【発明の効果】

【0007】

本発明の一態様によれば、なりすましによってネットワークサービスを利用している利用者を精度よく推定するための処理を行うことができるプログラム、情報処理装置、および情報処理方法を提供することができる。

【図面の簡単な説明】

【0008】

【図1】電子決済サービスが実現されるための構成の一例を示す図である。

【図2】電子決済の大まかな流れを例示したシーケンス図（その１）である。

【図3】電子決済の大まかな流れを例示したシーケンス図（その２）である。

【図4】第１実施形態に係る決済サーバ１００の構成図である。

【図5】利用者情報１７２の内容の一例を示す図である。

【図6】加盟店／店舗情報１７６の内容の一例を示す図である。

【図7】情報処理装置２００の構成図である。

【図8】操作ログの内容の一例を示す図である。

【図9】第１前処理部２２０の処理内容の一例を示す図である。

【図10】学習済モデル２７４の一例を示す図である。

【図11】学習部２５０の機能について説明するための図である。

【図12】導出部２４０が入出力装置２６０に表示させる画像の一例を示す図である。

【図13】導出部２４０が自動的に警告表示を行う処理について説明するための図である。

【図14】実験結果を示すヒストグラムである。

【発明を実施するための形態】

【0009】

以下、図面を参照し、本発明のプログラム、情報処理装置、および情報処理方法の実施形態について説明する。以下に登場する「サーバ」、「管理装置」「情報提供装置」などの、利用者にサービスを提供したり内部解析を行ったりするための各種装置は、分散化された装置群によって実現されてよく、それぞれの装置を運用する事業者は異なってもよい。また装置のハードウェアの保有者（クラウドサーバの提供者）と実質的な運用を行う事業者も異なってよい。まず、ネットワークサービスの一例である電子決済サービスについて説明する。なお、本発明は、電子決済サービスに限らず、ログインを伴って提供されるネットワークサービスであれば、如何なるネットワークサービスにも適用可能である。

【0010】

［電子決済サービス］
図１は、電子決済サービスが実現されるための構成の一例を示す図である。電子決済サービスは、決済サーバ１００を中心として実現される。決済サーバ１００は、例えば、一以上の利用者端末装置１０、一以上の第１店舗端末装置５０、及び一以上の第２店舗端末装置７０のそれぞれとネットワークＮＷを介して通信する。ネットワークＮＷは、例えば、インターネット、ＬＡＮ（Local Area Network）、無線基地局、プロバイダ装置などを含む。情報処理装置２００は、例えば、決済サーバ１００と通信可能である。これに代えて、情報処理装置２００は、決済サーバ１００の内部機能であってもよい。

【0011】

利用者端末装置１０は、例えば、スマートフォンやタブレット端末等の可搬型端末装置である。利用者端末装置１０は、少なくとも、光学読取機能、通信機能、表示機能、入力受付機能、プログラム実行機能を有するコンピュータ装置である。以下の説明では、これらの機能を実現するための構成をそれぞれカメラ、通信装置、タッチパネル、ＣＰＵ（Central Processing Unit）等と称する。利用者端末装置１０では、ＣＰＵ等のプロセッサにより決済アプリ２０が実行されることで、決済サーバ１００と連携して電子決済サービスを利用者に提供するように動作する。決済アプリ２０は、例えば、アプリケーションストアから利用者端末装置１０にインストールされ、カメラ、通信装置、タッチパネルなどを制御する。決済アプリ２０は、初回の起動時にはアカウントＩＤ（電話番号）、およびパスワードを利用者が入力することで電子決済サービスにログインした状態となり、次回以降は利用者端末装置１０に保持されたアカウントＩＤとパスワードで自動的にログインした状態となる。このため、例えば偽のサイトにアカウントＩＤとパスワードを入力させてそれらの情報を不正に取得する手法（ＡＴＯ（Account Take Over））によって、アカウントＩＤとパスワードが盗み取られた場合、なりすましによる不正なログインがなされることがあり得る。特に電子決済サービスのような金融系のネットワークサービスにおいて、送金や買い物など金銭の授受を伴うアクション（イベント）が多く発生するため、不正なログインは可能な限り早期に発見して対処する必要性が高い。なお、新たな利用者端末装置からログインがあった場合にＳＭＳ（Short Message Service）認証を行うことで、真の利用者が不正なログインに気付ける可能性はあるが、ショートメッセージ内のワンタイムコードを入力させるフィッシングサイトによって回避される可能性は否定できない。

【0012】

第１店舗端末装置５０は、例えば、店舗に設置される。第１店舗端末装置５０は、少なくとも、商品価格取得機能、光学読取機能、プログラム実行機能、通信機能を有するコンピュータ装置である。第１店舗端末装置５０は、いわゆるＰＯＳ（Point of Sale）装置を含み、ＰＯＳ装置によって商品価格取得機能や光学読取機能を実現してもよい。店舗コード画像６０は、店舗に置かれ、ＱＲコード（登録商標）等のコード画像が紙やプラスチックの媒体に印刷されたものである。なお、店舗コード画像６０は、店舗に置かれたディスプレイ（スマートフォンなどの端末装置のディスプレイでもよい）によって表示されてもよい。

【0013】

第２店舗端末装置７０は、加盟店の運営者によって使用される。第２店舗端末装置７０は、スマートフォンやタブレット端末、パーソナルコンピュータ等である。第２店舗端末装置７０では、加盟店向けインターフェース７２が動作する。加盟店向けインターフェース７２は、加盟店向けアプリであってもよいし、ブラウザであってもよい。加盟店向けインターフェース７２は、加盟店の運営者によるクーポンの設定等を受け付け、決済サーバ１００に送信する。スマートフォンである第２店舗端末装置７０は、加盟店向けアプリを実行することで、店舗コード画像に相当するコード画像を表示したり、利用者端末装置１０が表示するコード画像を読み取ったりする機能を有する。

【0014】

決済サーバ１００は、利用者端末装置１０または第１店舗端末装置５０から受信した決済情報に基づいて電子決済を実現する。第１店舗端末装置５０は、ＰＯＳ装置と加盟店サーバを含む場合があり、その場合、ＰＯＳ装置から加盟店サーバを介して決済情報が決済サーバ１００に送信される。以下の説明では、これを特に区別せず、第１店舗端末装置５０から決済情報が送信されるものとする。

【0015】

図２および図３は、電子決済の大まかな流れを例示したシーケンス図である。電子決済には、パターン１とパターン２の二つが存在してよい。

【0016】

図２に示すパターン１（以下、ユーザスキャンと称する）の場合、決済アプリ２０が起動した状態の利用者端末装置１０が、光学読取機能によって店舗コード画像６０をデコードする（Ｓ１）。店舗コード画像６０には、店舗ＵＲＬ（Uniform Resource Locator）の情報が含まれている。この店舗ＵＲＬは、電子決済サービスのドメインに対して店舗を識別可能な情報が付加されたものであり、決済サーバ１００において加盟店ＩＤや店舗ＩＤ等との対応付けがなされている（後述）。決済アプリ２０は、店舗ＵＲＬとアカウントＩＤを含む第１決済情報を決済サーバ１００に送信する（Ｓ２）。決済サーバ１００は、店舗ＵＲＬに対応する加盟店ＩＤ、店舗ＩＤから、店舗情報（後述）を検索して加盟店名と店舗名の情報を取得し（Ｓ３）、決済アプリ２０に送信する（Ｓ４）。利用者は、加盟店名や店舗名が表示された画面において、決済金額を利用者端末装置１０に入力する（Ｓ５）。そして、利用者端末装置１０は、少なくとも決済金額を含む第２決済情報を生成し、決済サーバ１００に送信する（Ｓ６）。決済サーバ１００は、受信した第２決済情報に基づいて電子決済を行う（Ｓ７）。そして、決済サーバ１００は、決済完了通知（決済完了画面を表示するための情報）を決済アプリ２０に送信し（Ｓ８）、決済アプリ２０は決済完了画面を表示する（Ｓ９）。なお、店舗コード画像６０が店舗に置かれたディスプレイによって表示される場合、店舗コード画像６０には、店舗ＵＲＬだけでなく決済金額の情報が含まれる場合がある。この場合、利用者が決済金額を入力する手順が省略され、第１決済情報に決済金額の情報が含められて決済サーバ１００に送信される。加盟店名や店舗名の情報は、決済完了画面に含めて表示されてよい。

【0017】

図３に示すパターン２（以下、ストアスキャンと称する）の場合、決済アプリ２０の起動時、決済アプリ２０において支払う操作が行われたとき、自動更新のタイミング（例えば１分おき）になったとき、およびその他のタイミングで、決済アプリ２０はワンタイムコードの発行要求を決済サーバ１００に送信する（Ｓ１１）。決済サーバ１００はワンタイムコードを生成し（Ｓ１２）、決済アプリ２０に送信する（Ｓ１３）。決済アプリ２０は、ワンタイムコードに基づいて生成した、ＱＲコードやバーコード等のコード画像を表示する（Ｓ１４）。利用者は利用者端末装置１０の表示面を第１店舗端末装置５０に翳し（提示し）、第１店舗端末装置５０は、光学読取機能によってコード画像をデコードし、ワンタイムコード等を取得する（Ｓ１５）。そして、第１店舗端末装置５０は、ワンタイムコード、決済金額、加盟店ＩＤ、店舗ＩＤ等を含む決済情報を生成し、決済サーバ１００に送信する（Ｓ１６）。決済金額の情報は、予めバーコード読み取りや手入力等によって取得されている。決済サーバ１００は、受信した情報に基づいて、ワンタイムコードに対応する利用者を特定し、電子決済を行う（Ｓ１７）。そして、決済サーバ１００は、決済完了通知を決済アプリ２０に送信し（Ｓ１８）、決済アプリ２０は決済完了画面を表示する（Ｓ１９）。

【0018】

なお、上記のいずれか一方のみのパターンで電子決済が行われてもよい。また、図２で説明した「アカウントＩＤ」は、利用者の識別情報として用いられ得る他の情報（例えば電話番号）であってもよい。また、ストアスキャンにおいてワンタイムコードの発行が省略され、決済アプリ２０は、利用者のアカウントＩＤに基づいて生成したコード画像を表示してもよい。その場合、決済サーバ１００は、ワンタイムコードに対応する利用者を特定するのに代えて、アカウントＩＤに対応する利用者を特定する。

【0019】

［決済サーバ］
図４は、決済サーバ１００の構成図である。決済サーバ１００は、例えば、通信部１１０と、決済コンテンツ提供部１２０と、決済処理部１３０と、情報管理部１４０と、記憶部１７０とを備える。通信部１１０および記憶部１７０以外の構成要素は、例えば、ＣＰＵなどのハードウェアプロセッサがプログラム（ソフトウェア）を実行することにより実現される。これらの構成要素のうち一部または全部は、ＬＳＩ（Large Scale Integration）やＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field-Programmable Gate Array）、ＧＰＵ（Graphics Processing Unit）などのハードウェア（回路部；circuitryを含む）によって実現されてもよいし、ソフトウェアとハードウェアの協働によって実現されてもよい。プログラムは、予めＨＤＤ（Hard Disk Drive）やフラッシュメモリなどの記憶装置（非一過性の記憶媒体を備える記憶装置）に格納されていてもよいし、ＤＶＤやＣＤ－ＲＯＭなどの着脱可能な記憶媒体（非一過性の記憶媒体）に格納されており、記憶媒体がドライブ装置に装着されることで記憶装置にインストールされてもよい。

【0020】

記憶部１７０は、ＨＤＤやフラッシュメモリ、ＲＡＭ（Random Access Memory）などである。記憶部１７０は、決済サーバ１００がネットワークを介してアクセス可能なＮＡＳ（Network Attached Storage）装置であってもよい。記憶部１７０には、利用者情報１７２、決済コンテンツ情報１７４、加盟店／店舗情報１７６などの情報が格納される。

【0021】

通信部１１０は、ネットワークＮＷに接続するための通信インターフェースである。通信部１１０は、例えばネットワークインターフェースカードである。

【0022】

決済コンテンツ提供部１２０は、例えば、Ｗｅｂサーバの機能を有し、電子決済サービスの各種画面を表示するための情報（コンテンツ）を利用者端末装置１０に提供する。決済コンテンツ提供部１２０は、決済コンテンツ情報１７４から適宜、必要なコンテンツを読み出して利用者端末装置１０に提供する。利用者端末装置１０は、決済アプリ２０によってコンテンツが再生された状態で利用者による各種入力を受け付け、前述した決済情報などを決済サーバ１００に送信する。

【0023】

決済処理部１３０は、利用者端末装置１０または第１店舗端末装置５０により送信された決済情報に基づいて、決済処理を行う。決済処理部１３０は、利用者情報１７２を参照しながら決済処理を行う。

【0024】

図５は、利用者情報１７２の内容の一例を示す図である。利用者情報１７２は、利用者の登録情報の一例である。利用者情報１７２は、例えば、利用者ＵＲＬ、アカウントＩＤ、電話番号、パスワードの他、メールアドレス、利用者ＩＤ、氏名・住所・生年月日、登録日、チャージ残高、後払い設定、後払い枠、後払い利用額、後払い利用可能額、決済方法設定、銀行口座、クレジットカード番号、チャージ履歴情報、決済履歴情報などの情報が対応付けられたものである。利用者ＵＲＬは、利用者間の送金処理に使用される。電子決済サービスへの新規登録時には、電話番号およびパスワードの登録が必須となる。アカウントＩＤは、決済サーバ１００によって利用者に発行されるものであり、利用者ＩＤは、利用者が任意に設定できる（設定しなくてもよい）ＩＤである。メールアドレス、および氏名・住所・生年月日も同様に、利用者が任意に設定できる（設定しなくてもよい）情報である。登録日とは利用者が電子決済サービスに登録した日（アカウントを作成した日）である。以下、これらの情報が対応付けられた利用者のインスタンス（電子決済口座）のことをアカウントと称する。

【0025】

チャージ残高は、利用者が予めアカウントに送金することで設定された電子マネーの残高を示す情報である。送金の手段としては、指定業者（銀行）のＡＴＭ（Automatic Teller Machine）からの送金、登録された銀行口座からの送金などがある。後払い設定は、後払いによる電子決済を可能とするための設定が済んでいるか否かを示す情報であり、「済」と「未」のいずれかに設定される。決済方法設定は、その時点において利用者がチャージ残高による電子決済を行うのか、後払いによる決済を行うのかを示す設定情報である。銀行口座とクレジットカード番号のそれぞれは、電子決済サービスに入金可能な銀行口座またはクレジットカード番号の情報（口座番号、カード番号）である。チャージ履歴情報は、利用者が予め電子決済サービスに送金してチャージ残高を増加させた履歴である。決済履歴情報は、利用者が行った決済の内訳（日時、購買行動が行われた店舗の店舗ＩＤ、決済金額、決済方法など）を、決済ごとに示す情報である。

【0026】

図６は、加盟店／店舗情報１７６の内容の一例を示す図である。加盟店／店舗情報１７６は、例えば、店舗ＵＲＬに対して加盟店ＩＤと店舗ＩＤが対応付けられた第１テーブル１７６Ａと、加盟店ＩＤに対して加盟店名と売上金（前述）が対応付けられた第２テーブル１７６Ｂと、店舗ＩＤに対して店舗名が対応付けられた第３テーブル１７６Ｃとを含む。加盟店／店舗情報１７６には、これらの情報の他、加盟店または店舗のカテゴリ、店舗の所在地、決済パターン等の情報が含まれてもよい。

【0027】

情報管理部１４０は、利用者端末装置１０や第２店舗端末装置７０から取得した情報に基づいて、利用者情報１７２および加盟店／店舗情報１７６を管理する。情報管理部１４０は、利用者情報１７２および加盟店／店舗情報１７６について新規レコードの追加、編集、削除などを行う。

【0028】

［電子決済］
決済処理部１３０は、利用者端末装置１０または第１店舗端末装置５０から決済情報が取得されると、利用者情報１７２を参照して当該利用者の「決済方法設定」を取得する。決済処理部１３０は、「決済方法設定」が「チャージ残高」に設定されている利用者に関して、以下のように電子決済を行う。決済処理部１３０は、例えば、利用者ＩＤに対応付けて管理しているチャージ残高を減少させ、加盟店の売上金の項目値を増加させることで、電子決済を行う。加盟店の売上金の項目値は、例えば、それ自体が電子マネーとして使用されるものでは無く、加盟店と電子決済サービスとの取り決めに応じたサイクルで、売上金の項目値に対応する金額が銀行口座に送金される。

【0029】

決済処理部１３０は、「設定情報」が「後払い」に設定されている利用者に関して、以下のように電子決済を行う。後払いとは、電子決済サービスの運営者とは別主体であるクレジットカード会社との連携による「クレジット払い」とは別枠で設定されるものであり、電子決済サービスの運営者が与信者となって、後払い枠の範囲内でチャージ残高に依存しない電子決済を許容するものである。なお後払いサービスを受けるために、電子決済サービスの運営者が提供するクレジットカードの取得が要求されてよい。この場合、決済処理部１３０は、クレジットカード会社の運営者に当該処理を依頼する。

【0030】

［情報処理装置］
以下、情報処理装置２００について説明する。情報処理装置２００は、決済サーバ１００と同様にＣＰＵなどのプロセッサと、プロセッサが実行するプログラムを記憶した記憶装置を備えるものである。図７は、情報処理装置２００の構成図である。情報処理装置２００は、例えば、操作ログ取得部２１０と、第１前処理部２２０と、操作特徴ベクトル取得部２３０と、導出部２４０と、学習部２５０とを備える。学習部２５０は、第２前処理部２５２を備える。これらの構成要素は、例えば、ＣＰＵなどのハードウェアプロセッサがプログラム（ソフトウェア）を実行することにより実現される。また、これらの構成要素は、ＬＳＩなどのハードウェアで置換されてもよい。また、情報処理装置２００は、入出力装置２６０と、記憶部２７０とを備える。入出力装置２６０は、表示装置、スピーカ、マウス、キーボード、タッチパネルなどである。入出力装置２６０は、情報処理装置２００と通信可能な他のコンピュータ装置であってもよい。記憶部２７０には、プログラム２７２、学習済モデル２７４などの情報が格納される。プログラム２７２は、情報処理装置２００をそれぞれの機能部として機能させるためのものである。

【0031】

操作ログ取得部２１０は、電子決済サービスに対する利用者の操作ログを取得する。以下、推論段階での利用者を第１利用者、学習段階での利用者を第２利用者と称する。図８は、操作ログの内容の一例を示す図である。図中、user_idは利用者の識別情報、event_datte_jstは操作が行われた日付、event_time_jstは時刻、screenは操作が行われたアプリ画面、event_nameは操作の大枠、event_categoryは操作のカテゴリ、event_actionは操作内容、action_timeは直前の操作からの経過時間、action_time_logは経過時間の対数値である。

【0032】

第１前処理部２２０は、第１利用者の操作ログを分散表現化することで、学習済モデル２７４に入力する入力データを生成する。図９は、第１前処理部２２０の処理内容の一例を示す図である。第１前処理部２２０は、例えば、第１前処理部２２０からevent_actionとaction_time_logの項目を抜き出し、文章化する。そして、event_action（操作内容）を分散表現化した数百次元のベクトルと、統計値をコンカチネット（結合）したものを入力データとして生成する。操作内容は意味情報が包含されたテキストで記述されているため、既存の分散表現化エンジンを利用することで係る処理を実現可能である。操作内容とaction_time_logの組から導出された分散表現ベクトルが、入力データとなる。

【0033】

操作特徴ベクトル取得部２３０は、学習済モデル２７４に対して、第１利用者の操作ログに基づく入力データを入力することで得られる第１利用者の操作特徴ベクトルを取得する。図１０は、学習済モデル２７４の一例を示す図である。図１０では全結合の形態で学習済モデル２７４を表しているが、学習済モデル２７４の形態はこれに限らず、Transformerなどの他の形態であってもよい。また、隠れ層が３つの層を含むように示しているが、あくまで一例であり、隠れ層は任意の数の層を有してよい。

【0034】

学習済モデル２７４は、入力層ＩＬと、学習段階における出力層ＯＬとの間に存在する隠れ層ＨＬ３における値を、操作特徴ベクトルとして出力するものである。隠れ層ＨＬ３は、例えば、出力層ＯＬの一つ手前（入力層ＩＬ側）の層である。推論段階においては、この隠れ層ＨＬ３が出力層として機能し、学習段階における出力層ＯＬは、本来的に各利用者の操作であったか否かを示す確率を出力する筈であったものだが、学習済モデル２７４の構成からは除外される。

【0035】

ここで、学習部２５０について説明する。本実施形態では学習部２５０が情報処理装置２００の機能であるものとするが、学習部２５０は他の装置（学習装置）の機能であってもよい。学習部２５０は、例えば第１利用者の数（例えば数百～数千万人）に対して少ない人数（例えば数百人）の第２利用者の操作ログに基づいて学習を行う。余り第２利用者の数が多いと、却って操作特徴ベクトルを好適に抽出できない場合があり得るからである。

【0036】

学習部２５０の第２前処理部２５２は、複数の第２利用者の操作ログを分散表現化することで学習データを生成する。第２前処理部２５２の機能は、対象とする利用者が異なるだけで、内容的には第１前処理部２２０の機能と同様である。

【0037】

図１１は、学習部２５０の機能について説明するための図である。学習部２５０は、学習済モデル２７４の元になる機械学習モデル２７６の入力層ＩＬに、第２前処理部２５２の処理結果（複数の第２利用者の操作ログに基づくデータ）を学習データとして入力すると共に、機械学習モデル２７６の出力層ＯＬに、それぞれの学習データに対応して、どの第２利用者が操作を行ったかを示す情報を教師データとして入力してバックプロパゲーションを行い、最後に出力層ＯＬを削除することで、学習済モデル２７４を生成する。隠れ層ＨＬ３は、出力層ＯＬの一つ手前にある層であるため、利用者の操作の特徴（クセ）を最も顕著に表した層であることが期待される。操作特徴ベクトルは、例えば数百次元のベクトルであり、ベクトルの各要素は、例えばマイナス１からプラス１までの値をとり得る。

【0038】

導出部２４０は、第１利用者の操作特徴ベクトル（第１利用者の操作ログから得られる入力データを学習済モデル２７４に入力して得られるもの）に基づいて、第１利用者がなりすましによる不正なログインを行っているか否かを表す情報を導出する。導出部２４０は、第１観測期間において、操作ログ取得部２１０、第１前処理部２２０、および操作特徴ベクトル取得部２３０に第１利用者の操作特徴ベクトルを取得する処理を繰り返し実行させ、第１観測期間（例えば１年間）における操作特徴ベクトル（以下、比較元ベクトル）に対して統計処理を行い、統計処理済ベクトルを算出する。統計処理は、例えばベクトルの各要素の平均を求めて平均ベクトルを算出する処理である。以下では、平均ベクトルと称して説明する。

【0039】

そして、導出部２４０は、第２観測期間（例えば第１観測期間の直後の所望の期間）において取得された第１利用者の操作特徴ベクトル（以下、比較対象ベクトル）と平均ベクトルを比較することで、第２観測期間において第１利用者がなりすましによる不正なログインを行っているか否かを表す情報を導出する。

【0040】

例えば、導出部２４０は、平均ベクトルと、複数の比較元ベクトルのそれぞれとのコサイン類似度を求め、コサイン類似度の分布を可視化したグラフを生成して入出力装置２６０に表示させる。なお、導出部２４０は、コサイン類似度に代えて、類似度を示す他の指標値を求めてもよい。更に、導出部２４０は、平均ベクトルと、比較対象ベクトルとのコサイン類似度を求め、上記のグラフに重畳してコサイン類似度の位置をプロットする。図１２は、導出部２４０が入出力装置２６０に表示させる画像の一例を示す図である。図示するように、比較元ベクトルは通常、平均ベクトルと同じ傾向を示すため平均ベクトルとのコサイン類似度が１に近いところに多く分布するが、なりすましによって本来の利用者以外の利用者が操作を行った場合、比較対象ベクトルと平均ベクトルとのコサイン類似度は１から遠いところに分布することになる。このようなグラフを視認した監視者は、なりすましによる不正なログインがなされた可能性があることを認識することができる。

【0041】

図１２に示したように比較元ベクトル、平均ベクトル、比較対象ベクトルの関係をグラフなどで表示するのに代えて（または、加えて）、導出部２４０は、なりすましによる不正なログインがなされた可能性が高いことを自動的に検知して警告表示などを行ってもよい。図１３は、導出部２４０が自動的に警告表示を行う処理について説明するための図である。例えば、導出部２４０は、１から順に頻度を積算した結果が全体の所定割合（例えば８０～９０％）になるコサイン類似度の閾値Ｔｈを計算し、比較対象ベクトルと平均ベクトルとの類似度が閾値未満であった場合に、警告表示などを行ってもよい。係る手法に限らず、導出部２４０は、なりすましによる不正なログインがなされた可能性が高いことを粗く検知し、検知した場合に図１２に例示したグラフを表示して最終的には監視者の判断に任せるといった処理を行ってよい。

【0042】

上記説明した平均ベクトルは、利用者の操作のクセを適切に示すものである。本発明の発明者は、利用者の組み合わせを総当たりで変えながら、平均ベクトル同士のコサイン類似度の分布を求める実験（シミュレーション）を行った。図１４は、実験結果を示すヒストグラムである。このように殆どの利用者間で平均ベクトルは類似せず、平均ベクトルのコサイン類似度が０．６以上の利用者の組み合わせは全体の１［％］未満であることが分かった。従って、平均ベクトル同士のコサイン類似度の分布をみることで、なりすましによってネットワークサービスを利用している利用者を精度よく推定することができる。平均ベクトルと比較対象のコサイン類似度も同様に利用者間での相違を有意に示すものであるため、これをみることで、なりすましによってネットワークサービスを利用している利用者を精度よく推定することができる。

【0043】

以上説明した実施形態によれば、なりすましによってネットワークサービスを利用している利用者を精度よく推定するための処理を行うことができる。

【0044】

以上、本発明を実施するための形態について実施形態を用いて説明したが、本発明はこうした実施形態に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。

【符号の説明】

【0045】

１０ 利用者端末装置
２０ 決済アプリ
１００ 決済サーバ
１２０ 決済コンテンツ提供部
１３０ 決済処理部
１４０ 情報管理部
２００ 情報処理装置
２１０ 操作ログ取得部
２２０ 第１前処理部
２３０ 操作特徴ベクトル取得部
２４０ 導出部
２５０ 学習部
２５２ 第２前処理部
２６０ 入出力装置
２７０ 記憶部
２７２ プログラム
２７４ 学習済モデル

【要約】

【課題】なりすましによってネットワークサービスを利用している利用者を精度よく推定するための処理を行うことができるプログラム、情報処理装置、および情報処理方法を提供すること。
【解決手段】情報処理装置に、ログインを伴って端末装置を介して提供されるネットワークサービスに対する、第１利用者の操作ログを取得する処理と、前記ネットワークサービスに対する、複数の第２利用者の操作ログに基づくデータを学習データ、どの第２利用者が操作を行ったかを示す情報を教師データとして学習された学習済モデルに対して、前記第１利用者の操作ログに基づく入力データを入力することで得られる前記第１利用者の操作特徴ベクトルを取得する処理と、前記第１利用者の操作特徴ベクトルに基づいて、前記第１利用者がなりすましによる不正なログインを行っているか否かを表す情報を導出する処理と、を実行させるためのプログラム。
【選択図】図７

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】