(57)【要約】  【課題】ばらまき型攻撃メールの検出に好適な不審メールの検出技術を提供する。  【解決手段】不審メール検出サーバ２は、ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報を不審メールリストに登録する。そして、不審メールであるか否かを判定する電子メールである対象メールの判定依頼をメール端末１−１〜１−ｎから受信すると、この対象メールのメール本文中の文面により定まる所定のパターン情報が不審メールリストに登録されているか否かを調べ、登録されているならば、対象メールにばらまき型攻撃メールの可能性があると判定して、その判定結果を判定依頼送信元のメール端末１−１〜１−ｎに送信する。【選択図】図１
2020030700.tif 000002
【特許請求の範囲】
【請求項１】
不審メール検出装置を用いて不審メールを検出する不審メール検出方法であって、
前記不審メール検出装置は、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報を不審メールリストに登録し、
不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる前記所定のパターン情報が前記不審メールリストに登録されているならば、前記対象メールにばらまき型攻撃メールの可能性があると判定して、判定結果を出力する
ことを特徴とする不審メール検出方法。
【請求項２】
請求項１に記載の不審メール検出方法であって、
前記不審メール検出装置は、
前記不審メールリストに登録されている不審メールの前記所定のパターン情報のうち、ばらまき型攻撃メールであると断定された不審メールの前記所定のパターン情報にフラグを付与し、
前記対象メールの前記所定のパターン情報が前記不審メールリストに登録されている場合に、当該所定のパターン情報にフラグが付与されているか否かを前記判定結果に含めて出力する
ことを特徴とする不審メール検出方法。
【請求項３】
請求項１または２に記載の不審メール検出方法であって、
前記所定のパターン情報は、前記メール本文中の文面から半角文字を削除することにより得られる全角文字列情報のハッシュ値である
ことを特徴とする不審メール検出方法。
【請求項４】
請求項１または２に記載の不審メール検出方法であって、
前記不審メールおよび前記対象メールが、ＨＴＭＬ（Ｈｙｐｅｒ  Ｔｅｘｔ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）形式の電子メールである場合、
前記所定のパターン情報は、前記メール本文中の文面を構成するＨＴＭＬ文書から抽出したタグ情報であって、タグ内の属性値が削除されたタグ情報のハッシュ値である
ことを特徴とする不審メール検出方法。
【請求項５】
請求項１ないし４のいずれか一項に記載の不審メール検出方法であって、
前記所定のパターン情報は、前記メール本文中の文面と、メールの件名および添付ファイル名の所定の少なくとも一方との組合せにより定まる情報である
ことを特徴とする不審メール検出方法。
【請求項６】
請求項１ないし５のいずれか一項に記載の不審メール検出方法であって、
前記不審メール検出装置は、
メール端末から前記対象メールの判定依頼を受信した場合に、当該判定依頼に含まれている前記所定のパターン情報あるいは当該判定依頼に含まれている前記対象メールから抽出した前記所定のパターン情報が前記不審メールリストに登録されているならば、前記対象メールにばらまき型攻撃メールの可能性があると判定して、前記メール端末に判定結果を送信し、
前記メール端末は、
電子メールを受信あるいは開封した場合に、当該電子メールを前記対象メールとし、当該対象メールから抽出した前記所定のパターン情報、あるいは当該対象メールを含む前記判定依頼を生成して、前記不審メール検出装置に当該判定依頼を送信し、
前記不審メール検出装置から前記判定結果を受信する
ことを特徴とする不審メール検出方法。
【請求項７】
請求項１ないし５のいずれか一項に記載の不審メール検出方法であって、
前記不審メール検出装置は、
メールサーバであり、
受信した電子メールを前記対象メールとして、当該対象メールから前記所定のパターン情報を抽出し、抽出した前記所定のパターン情報が前記不審メールリストに登録されているならば、当該対象メールにばらまき型攻撃メールの可能性があると判定して、当該対象メールの送信先であるメール端末に、当該対象メールを判定結果とともに送信し、
前記メール端末は、
前記電子メールを、当該電子メールが不審メールであるか否かの判定結果とともに受信する
ことを特徴とする不審メール検出方法。
【請求項８】
請求項１ないし７のいずれか一項に記載の不審メール検出方法であって、
前記不審メール検出装置は、
前記メール端末から不審メール通報を受信した場合に、当該不審メール通報に含まれている電子メールから抽出した前記所定のパターン情報を当該電子メールとともに前記不審メールリストに登録する
ことを特徴とする不審メール検出方法。
【請求項９】
メール端末と、不審メールを検出する不審メール検出装置と、を有する不審メール検出システムであって、
前記不審メール検出装置は、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報が登録された不審メールリストと、
前記メール端末から、不審メールであるか否かを判定する電子メールである対象メールの判定依頼を受信した場合に、当該判定依頼に含まれている前記所定のパターン情報あるいは当該判定依頼に含まれている前記対象メールから抽出した前記所定のパターン情報が前記不審メールリストに登録されているか否かに基づいて、当該対象メールにばらまき型攻撃メールの可能性がある否かを判定する不審メール判定手段と、
前記不審メール判定手段による判定結果を前記メール端末に送信する判定結果送信手段と、を備え、
前記メール端末は、
電子メールを受信あるいは開封した場合に、当該電子メールを前記対象メールとし、当該対象メールから抽出した前記所定のパターン情報、あるいは当該対象メールを含む前記対象メールの判定依頼を生成して、前記不審メール検出装置に当該対象メールの判定依頼を送信する判定依頼送信手段と、
前記不審メール検出装置から前記対象メールが不審メールであるか否かの判定結果を受信する判定結果受信手段と、を備える
ことを特徴とする不審メール検出システム。
【請求項１０】
不審メールを検出する不審メール検出装置であって、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報が登録された不審メールリストと、
不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる前記所定のパターン情報が前記不審メールリストに登録されているか否かに基づいて、当該対象メールにばらまき型攻撃メールの可能性があるか否かを判定する不審メール判定手段と、
前記不審メール判定手段による判定結果を出力する判定結果出力手段と、を備える
ことを特徴とする不審メール検出装置。
【請求項１１】
コンピュータで読み取り可能なプログラムであって、
前記プログラムは、
前記コンピュータを、不審メールを検出する不審メール検出装置として機能させ、
前記不審メール検出装置は、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報が登録された不審メールリストと、
不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる前記所定のパターン情報が前記不審メールリストに登録されているか否かに基づいて、当該対象メールにばらまき型攻撃メールの可能性があるか否かを判定する不審メール判定手段と、
前記不審メール判定手段による判定結果を出力する判定結果出力手段と、を備える
ことを特徴とするコンピュータで読み取り可能なプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不審メールの検出技術に関し、特に、ばらまき型攻撃メールの検出に好適な不審メールの検出技術に関する。
【背景技術】
【０００２】
近年、不特定多数に送信されるばらまき型攻撃メールの脅威が増大している。このようなばらまき型攻撃メールを含む迷惑メールの判定リストの作成における負担を軽減する技術として、特許文献１に記載のメール判定リスト作成装置がある。
【０００３】
このメール判定リスト作成装置は、過去にやり取りされたメール毎に、ヘッダ情報からメール送信元ＩＰアドレスおよびメール送信元ホスト名を抽出する。そして、抽出した各メールのメール送信元ＩＰアドレスおよびメール送信元ホスト名のなかから、複数のメール送信元ホスト名が組み合わされているメール送信元ＩＰアドレスを特定して、この特定されたメール送信元ＩＰアドレスが掲載されたブラックリストを作成する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１６−７１７２８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
一般に、迷惑メール送信者は、メールサーバに対して任意に設定可能なホスト名を頻繁に変更する。このため、迷惑メールは、メール送信元ホスト名が異なっても、メール送信元ＩＰアドレスが同一である場合が多い。特許文献１に記載のメール判定リスト作成装置は、このことを利用してブラックリストを作成している。しかしながら、最近のばらまき型攻撃メールでは、メール送信元ＩＰアドレスを含むヘッダ情報が偽装されているケースもあり、特許文献１に記載のメール判定リスト作成装置では、このようなケースに対応できない。
【０００６】
本発明は、上記事情に鑑みてなされたものであり、本発明の目的は、ばらまき型攻撃メールの検出に好適な不審メールの検出技術を提供することにある。
【課題を解決するための手段】
【０００７】
上記課題を解決するために、本発明では、不特定多数に送信されるばらまき型攻撃メールが、一般に、メール本文中に記述された電話番号、メールアドレス等の連絡先、および／または、メール本文中の記述に設定されたリンク先はメール毎に変更されるが、メール本文中の文面はそのままであることに着目し、ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報を不審メールリストに登録する。そして、不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる所定のパターン情報が不審メールリストに登録されているならば、この対象メールにばらまき型攻撃メールの可能性があると判定して、その判定結果を出力する。
【０００８】
ここで、不審メールリストに登録されている不審メールのパターン情報のうち、ばらまき型攻撃メールであると断定された不審メールのパターン情報にフラグを付与してもよい。そして、対象メールのパターン情報がフラグとともに不審メールリストに登録されているならば、この対象メールをばらまき型攻撃メールと判定し、その判定結果を出力するようにしてもよい。
【０００９】
例えば、本発明の不審メール検出方法は、
不審メール検出装置を用いて不審メールを検出する不審メール検出方法であって、
前記不審メール検出装置は、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報を不審メールリストに登録し、
不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる前記所定のパターン情報が前記不審メールリストに登録されているならば、前記対象メールにばらまき型攻撃メールの可能性があると判定して、判定結果を出力する。
【発明の効果】
【００１０】
本発明では、不特定多数に送信されるばらまき型攻撃メールが、一般に、メール本文中に記述された電話番号、メールアドレス等の連絡先、および／または、メール本文中の記述に設定されたリンク先はメール毎に変更されるが、メール本文中の文面はそのままであることに着目し、対象メールのメール本文中の文面により定まる所定のパターン情報がばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのそれと一致するか否かにより、対象メールにばらまき型攻撃メールの可能性があるか否かを判定している。したがって、本発明によれば、ヘッダ情報が偽装されている場合でも、ばらまき型攻撃メールを検出できる可能性が高まる。
【図面の簡単な説明】
【００１１】
【図１】図１は、本発明の一実施の形態に係る不審メール検出システムの概略構成図である。
【図２】図２は、本発明の一実施の形態に係る不審メール検出システムの動作例を説明するためのシーケンス図である。
【図３】図３は、本発明の一実施の形態に係る不審メール検出システムの動作例を説明するためのシーケンス図であり、図２の続きである。
【図４】図４は、メール端末１の概略機能構成図である。
【図５】図５は、メール本文中の文面から半角文字を削除することにより得られる文字列情報のハッシュ値を、メール本文中の文面により定まる所定のパターン情報として抽出する場合の原理を説明するための図である。
【図６】図６は、ＨＴＭＬ形式の電子メールのメール本文から、その文面を構成するＨＴＭＬ文書のタグ情報のハッシュ値を、メール本文中の文面により定まる所定のパターン情報として抽出する場合の原理を説明するための図である。
【図７】図７は、ＨＴＭＬ形式の電子メールのメール本文から、その文面を構成するＨＴＭＬ文書のタグ情報のハッシュ値を、メール本文中の文面により定まる所定のパターン情報として抽出する場合の原理を説明するための図であり、図６の続きである。
【図８】図８は、メール端末１の動作を説明するためのフロー図である。
【図９】図９は、不審メール検出サーバ２の概略機能構成図である。
【図１０】図１０は、不審メールリスト記憶部２０２の登録内容例を模式的に表した図である。
【図１１】図１１は、不審メール検出サーバ２の不審メール判定処理の動作を説明するためのフロー図である。
【図１２】図１２は、不審メール検出サーバ２の不審メールリスト更新処理の動作を説明するためのフロー図である。
【発明を実施するための形態】
【００１２】
以下に、本発明の一実施の形態について図面を参照して説明する。
【００１３】
図１は、本実施の形態に係る不審メール検出システムの概略構成図である。
【００１４】
図示するように、本実施の形態に係る不審メール検出システムは、メールサーバ６を介してメールを送受信する複数のメール端末１−１〜１−ｎ（以下、単に、メール端末１とも呼ぶ）と不審メール検出サーバ２とがＬＡＮ３に接続されて構成されている。ＬＡＮ３は、ゲートウェイ４を介してＷＡＮ５に接続されている。
【００１５】
メール端末１は、メールサーバ６を介して電子メールを送受信する。なお、図１では、メールサーバ６をＷＡＮ５に接続しているが、ＬＡＮ３に接続してもよい。
【００１６】
不審メール検出サーバ２は、メール端末１が受信した電子メールのなかから不審メールを検出する。なお、図１では、不審メール検出サーバ２をＬＡＮ３に接続しているが、ＷＡＮ５に接続してもよい。
【００１７】
図２および図３は、本実施の形態に係る不審メール検出システムの動作例を説明するためのシーケンス図である。
【００１８】
まず、攻撃者のメール端末７が、メール本文中の文面はそのままに、メール本文中に記述された電話番号、メールアドレス等の連絡先、および／または、メール本文中の記述に設定されたリンク先をメール毎に変更して、メール端末１−１〜１−ｎのそれぞれを送信先とする複数のばらまき型攻撃メールを作成して送信したものとする（Ｓ１００）。これらのばらまき型攻撃メールは、それぞれ、メールサーバ６を介して、メール端末１−１〜１−ｎに送信される。
【００１９】
つぎに、メール端末１−１が、メールサーバ６経由でメール端末７から受信した電子メール（ばらまき型攻撃メール）の開封操作をユーザより受け付けたものとする（Ｓ１０１）。これを受けて、メール端末１−１は、メール端末７から受信した電子メールを対象メールに設定し、この対象メールのメール本文から、その文面により定まる所定のパターン情報を抽出する（Ｓ１０２）。ここで、所定のパターン情報には、例えば、メール本文中の文面から半角文字（バイト文字）を削除することにより得られる全角文字列情報（マルチバイト文字列情報）のハッシュ値が用いられる。あるいは、電子メールがＨＴＭＬ（Ｈｙｐｅｒ  Ｔｅｘｔ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）形式である場合、メール本文中の文面を構成するＨＴＭＬ文書から抽出したタグ情報であってタグ内の属性値が削除されたタグ情報のハッシュ値が用いられる。
【００２０】
それから、メール端末１−１は、対象メールのメール本文から抽出した所定のパターン情報と、対象メールのヘッダ情報に含まれているメッセージＩＤと、を含む判定依頼を生成して、この判定依頼を不審メール検出サーバ２に送信する（Ｓ１０３）。
【００２１】
不審メール検出サーバ２は、メール端末１−１から判定依頼を受信すると、ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールがこの不審メールのメール本文中の文面により定まる所定のパターン情報とともに登録されている不審メールリストから、判定依頼に含まれているパターン情報を検索する（Ｓ１０４）。ここでは、判定依頼に含まれているパターン情報が不審メールリストに未登録であるとする。この場合、不審メール検出サーバ２は、対象メールがばらまき型攻撃メールである可能性は低いと判定し、判定依頼送信元のメール端末１−１に、判定依頼に含まれているパターン情報が不審メールリストに未登録であることを示す判定結果を、判定依頼に含まれているメッセージＩＤとともに送信する（Ｓ１０５）。これを受けて、メール端末１−１は、対象メールが不審メールリストに未登録であることを確認し、この場合、閲覧中の対象メールに対する付加的な表示は行わない。
【００２２】
つぎに、メール端末１−１が、対象メールを閲覧したユーザから、この対象メールにばらまき型攻撃メールの可能性があるとする通報操作を受け付けたものとする（Ｓ１０６）。これを受けて、メール端末１−１は、不審メールとして対象メールを含む不審メール通報を生成し、この不審メール通報を不審メール検出サーバ２に送信する（Ｓ１０７）。
【００２３】
不審メール検出サーバ２は、メール端末１−１から不審メール通報を受信すると、Ｓ１０２と同様の要領により、この不審メール通報に含まれている不審メールのメール本文から、その文面により定まる所定のパターン情報を抽出する（Ｓ１０８）。それから、不審メール検出サーバ２は、不審メール通報に含まれている不審メールを、この不審メールのメール本文から抽出したパターン情報とともに、不審メールリストに登録する（Ｓ１０９）。ここでは、不審メール検出サーバ２は、不審メールがばらまき型攻撃メールであることを示すフラグを付与することなく、この不審メールをパターン情報とともに不審メールリストに登録する。
【００２４】
つぎに、メール端末１−２が、メールサーバ６経由でメール端末７から受信した電子メール（ばらまき型攻撃メール）の開封操作をユーザより受け付けたものとする（Ｓ１１０）。これを受けて、メール端末１−２は、メール端末７から受信した電子メールを対象メールに設定し、Ｓ１０２と同様の要領により、この対象メールのメール本文から、その文面により定まる所定のパターン情報を抽出する（Ｓ１１１）。
【００２５】
それから、メール端末１−２は、対象メールのメール本文から抽出した所定のパターン情報と、対象メールのヘッダ情報に含まれているメッセージＩＤと、を含む判定依頼を生成して、この判定依頼を不審メール検出サーバ２に送信する（Ｓ１１２）。
【００２６】
不審メール検出サーバ２は、メール端末１−２から判定依頼を受信すると、この判定依頼に含まれているパターン情報を不審メールリストから検索する（Ｓ１１３）。ここでは、Ｓ１０９により、判定依頼に含まれているパターン情報と同じパターン情報が不審メールとともにフラグなしで不審メールリストに登録されている。このため、不審メール検出サーバ２は、対象メールがばらまき型攻撃メールである可能性が高いと判定し、判定依頼送信元のメール端末１−２に、判定依頼に含まれているパターン情報が不審メールリストに登録済み（フラグなし）であることを示す判定結果を、判定依頼に含まれているメッセージＩＤとともに送信する（Ｓ１１４）。
【００２７】
これを受けて、メール端末１−２は、対象メールが不審メールリストに登録済み（フラグなし）であることを確認し、閲覧中の対象メールに対する付加的な表示として、この対象メールがばらまき型攻撃メールの可能性があることを示す注意喚起メッセージを表示する（Ｓ１１５）。
【００２８】
つぎに、不審メール検出サーバ２が、Ｓ１０９でパターン情報とともに不審メールリストに登録された不審メールを解析した解析者から、この不審メールがばらまき型攻撃メールであるとするフラグ付加操作を受け付けたものとする（Ｓ１１６）。これを受けて、不審メール検出サーバ２は、パターン情報とともに不審メールリストに登録されているこの不審メールに、この不審メールがばらまき型攻撃メールであることを示すフラグを付与する（Ｓ１１７）。
【００２９】
つぎに、メール端末１−３〜１−ｎが、メールサーバ６経由でメール端末７から受信した電子メール（ばらまき型攻撃メール）の開封操作をユーザより受け付けたものとする（Ｓ１１８）。これを受けて、メール端末１−３〜１−ｎは、メール端末７から受信した電子メールを対象メールに設定し、Ｓ１０２と同様の要領により、この対象メールのメール本文から、その文面により定まる所定のパターン情報を抽出する（Ｓ１１９）。
【００３０】
それから、メール端末１−３〜１−ｎは、対象メールのメール本文から抽出した所定のパターン情報と、対象メールのヘッダ情報に含まれているメッセージＩＤと、を含む判定依頼を生成して、この判定依頼を不審メール検出サーバ２に送信する（Ｓ１２０）。
【００３１】
不審メール検出サーバ２は、メール端末１−３〜１−ｎから判定依頼を受信すると、この判定依頼に含まれているパターン情報を不審メールリストから検索する（Ｓ１２１）。ここでは、Ｓ１０９およびＳ１１７により、判定依頼に含まれているパターン情報と同じパターン情報が不審メールとともにフラグ付きで不審メールリストに登録されている。このため、不審メール検出サーバ２は、対象メールがばらまき型攻撃メールであると判定し、判定依頼送信元のメール端末１−３〜１−ｎに、判定依頼に含まれているパターン情報が不審メールリストに登録済み（フラグあり）であることを示す判定結果を、判定依頼に含まれているメッセージＩＤとともに送信する（Ｓ１２２）。
【００３２】
これを受けて、メール端末１−３〜１−ｎは、対象メールが不審メールリストに登録済み（フラグあり）であることを確認し、閲覧中の対象メールに対する付加的な表示として、この対象メールがばらまき型攻撃メールであることを示す警告メッセージを表示する（Ｓ１２３）。
【００３３】
つぎに、本実施の形態に係る不審メール検出システムを構成するメール端末１および不審メール検出サーバ２の詳細を説明する。
【００３４】
まず、メール端末１の詳細を説明する。
【００３５】
図４は、メール端末１の概略機能構成図である。
【００３６】
図示するように、メール端末１は、ネットワークインターフェース部１００と、マンマシンインターフェース部１０１と、メーラ１０２と、対象メール検知部１０３と、パターン情報抽出部１０４と、判定依頼送信部１０５と、判定結果受信部１０６と、付加メッセージ表示部１０７と、不審メール通報部１０８と、を備えている。
【００３７】
ネットワークインターフェース部１００は、ＬＡＮ３に接続するためのインターフェースである。
【００３８】
マンマシンインターフェース部１０１は、ユーザに情報を表示したり、ユーザから各種操作を受け付けたりするためのインターフェースであり、キーボード、マウス等の入力装置と、液晶ディスプレイ等の表示装置と、を有している。
【００３９】
メーラ１０２は、電子メールクライアントとして必要な処理を実行する。例えば、自メール端末１を送信先とする電子メールをメールサーバ６から受信する。また、マンマシンインターフェース部１０１を介してユーザより受け付けた開封操作に従い、メールサーバ６から受信した電子メールのなかから、この開封操作により指定された電子メールをマンマシンインターフェース部１０１において表示する。また、マンマシンインターフェース部１０１と連携して電子メールを作成し、メールサーバ６に送信する。
【００４０】
対象メール検知部１０３は、メーラ１０２がマンマシンインターフェース部１０１を介してユーザから開封操作を受け付けた場合に、この開封操作で指定されている電子メールを対象メールとして検知する。
【００４１】
パターン情報抽出部１０４は、対象メール検知部１０３により検知された対象メールのメール本文から、その文面により定まる所定のパターン情報を抽出する。上述したように、所定のパターン情報には、例えば、メール本文中の文面から半角文字（バイト文字）を削除することにより得られる文字列情報（マルチバイト文字列情報）のハッシュ値が用いられる。あるいは、電子メールがＨＴＭＬ形式である場合、メール本文中の文面を構成するＨＴＭＬ文書から抽出したタグ情報であってタグ内の属性値が削除されたタグ情報のハッシュ値が用いられる。
【００４２】
図５は、メール本文中の文面から半角文字を削除することにより得られる文字列情報のハッシュ値を、メール本文中の文面により定まる所定のパターン情報として抽出する場合の原理を説明するための図である。
【００４３】
図５において、メール本文１１０はばらまき型攻撃メールのメール本文例である。上述したように、ばらまき型攻撃メールは、メール本文１１０中の文面はそのままに、メール本文１１０中に記述された電話番号１１０１、メールアドレス１１０２等の連絡先、および／または、メール本文１１０中の記述に設定されたリンク先１１０３をメール毎に変更して大量に作成されて、不特定多数に個別送信される。ここで、リンク先１１０３には半角文字（バイト文字）が用いられる。また、電話番号１１０１、メールアドレス１１０２にも、半角文字（バイト文字）が用いられる可能性が高い。そこで、メール本文１１０中から半角文字を削除して、大量に作成されるばらまき型攻撃メールにおいて共通する（メール毎に変更されない）可能性の高い全角文字列情報１１１を抽出する。この例では、電話番号１１０１、メールアドレス１１０２、リンク先１１０３の他に、周期的に配列された記号等の半角記号１１０４も削除して、メール本文１１０から全角文字列情報１１１を抽出している。そして、抽出した全角文字列情報１１１のハッシュ値を算出し、このハッシュ値を、メール本文１１０中の文面により定まる所定のパターン情報とする。
【００４４】
図６および図７は、ＨＴＭＬ形式の電子メールのメール本文から、その文面を構成するＨＴＭＬ文書のタグ情報であってタグ内の属性値が削除されたタグ情報のハッシュ値を、メール本文中の文面により定まる所定のパターン情報として抽出する場合の原理を説明するための図である。
【００４５】
図６において、メール本文（ＨＴＭＬ文書）１１２は、ＨＴＭＬ形式のばらまき型攻撃メールのメール本文例である。上述したように、大量に作成されるばらまき型攻撃メール間において、メール本文１１２中に記述された電話番号、メールアドレス等の連絡先、および／または、メール本文中の記述に設定されたリンク先はメール毎に変更されるが、メール本文１１２中の文面は同じである。そこで、メール本文１１２を構成するＨＴＭＬ文書からタグ情報（属性値あり）１１３を抽出し、さらに、このタグ情報（属性値あり）１１３から、タグ内のアドレス等の属性値１１３０、１１３１を削除する。これにより、図７に示すように、タグ情報（属性値なし）１１４を抽出する。そして、抽出したタグ情報（属性値なし）１１４のハッシュ値を算出し、このハッシュ値を、メール本文（ＨＴＭＬ文書）１１２中の文面により定まる所定のパターン情報とする。
【００４６】
図４に戻って説明を続ける。
【００４７】
判定依頼送信部１０５は、パターン情報抽出部１０４によって対象メールのメール本文から抽出されたパターン情報と、対象メールのヘッダ情報に含まれているメッセージＩＤと、を含む判定依頼を作成し、この判定依頼を、ネットワークインターフェース部１００を介して不審メール検出サーバ２に送信する。
【００４８】
判定結果受信部１０６は、ネットワークインターフェース部１００を介して不審メール検出サーバ２から、判定依頼送信部１０５により送信された判定依頼に対する応答である判定結果を受信する。
【００４９】
付加メッセージ表示部１０７は、判定結果受信部１０６により受信された判定結果が、不審メールリストに登録済みであることを示す場合、すなわち、対象メールにばらまき型攻撃メールの可能性がある場合、この判定結果に含まれているメッセージＩＤにより特定される対象メールがメーラ１０２によってマンマシンインターフェース部１０１に表示されて、ユーザが閲覧中であるならば、この表示中の対象メールに関連付けて、注意喚起あるいは警告のための付加メッセージを表示する。具体的には、判定結果が不審メールリストに登録済み（フラグなし）であることを示している場合、対象メールにばらまき型攻撃メールの可能性があり、閲覧中の対象メールがばらまき型攻撃メールの可能性があることを示す注意喚起メッセージを付加メッセージとして表示する。また、判定結果が不審メールリストに登録済み（フラグあり）であることを示している場合、閲覧中の対象メールがばらまき型攻撃メールであることを示す警告メッセージを付加メッセージとして表示する。
【００５０】
不審メール通報部１０８は、メーラ１０２によってマンマシンインターフェース部１０１に表示され、ユーザが閲覧中の電子メールについて、マンマシンインターフェース部１０１を介してユーザから、ばらまき型攻撃メールの可能性があるとする通報操作を受け付けた場合に、この電子メールを含む不審メール通報を作成し、この不審メール通報を、ネットワークインターフェース部１００を介して不審メール検出サーバ２に送信する。
【００５１】
図８は、メール端末１の動作を説明するためのフロー図である。
【００５２】
このフローは、メーラ１０２がマンマシンインターフェース部１０１を介してユーザから開封操作を受け付けることにより開始される。
【００５３】
まず、対象メール検知部１０３は、メーラ１０２がマンマシンインターフェース部１０１を介してユーザから受け付けた開封操作で指定されている電子メールを対象メールとして検知する（Ｓ２０１）。
【００５４】
つぎに、パターン情報抽出部１０４は、上述した要領により、対象メール検知部１０３によって検知された対象メールのメール本文から、その文面により定まる所定のパターン情報を抽出する（Ｓ２０２）。
【００５５】
それから、判定依頼送信部１０５は、パターン情報抽出部１０４によって対象メールのメール本文から抽出されたパターン情報と、対象メールのヘッダ情報に含まれているメッセージＩＤと、を含む判定依頼を作成し、この判定依頼を、ネットワークインターフェース部１００を介して不審メール検出サーバ２に送信する（Ｓ２０３）。
【００５６】
その後、判定結果受信部１０６は、ネットワークインターフェース部１００を介して不審メール検出サーバ２から判定結果を受信して（Ｓ２０４）、この判定結果を付加メッセージ表示部１０７に渡す。
【００５７】
これを受けて、付加メッセージ表示部１０７は、判定結果が「不審メールリストに登録済み」であるか否かを調べる（Ｓ２０５）。判定結果が「不審メールリストに登録済み」であるならば（Ｓ２０５でＹＥＳ）、この判定結果が「フラグあり」であるか否かをさらに調べる（Ｓ２０６）。
【００５８】
そして、判定結果が「フラグあり」である場合（Ｓ２０６でＹＥＳ）、メーラ１０２によってマンマシンインターフェース部１０１に表示中の対象メールがばらまき型攻撃メールであると警告メッセージを対象メールへの付加メッセージとしてマンマシンインターフェース部１０１に表示する（Ｓ２０７）。一方、判定結果が「フラグなし」である場合（Ｓ２０６でＮＯ）、メーラ１０２によってマンマシンインターフェース部１０１に表示中の対象メールにばらまき型攻撃メールの可能性があるとする注意喚起メッセージを、対象メールへの付加メッセージとしてマンマシンインターフェース部１０１に表示する（Ｓ２０８）。その後、メーラ１０２がマンマシンインターフェース部１０１を介してユーザから対象メールの閲覧終了操作を受け付けると（Ｓ２０９でＹＥＳ）、本フローを終了する。
【００５９】
一方、判定結果が「不審メールリストに未登録」である場合において（Ｓ２０５でＮＯ）、不審メール通報部１０８は、メーラ１０２によってマンマシンインターフェース部１０１に表示中の対象メールにばらまき型攻撃メールの可能性があるとする通報操作を、マンマシンインターフェース部１０１を介してユーザから受け付けたならば（Ｓ２１０でＹＥＳ）、この対象メール（不審メール）およびユーザ名（通報者名）を含む不審メール通報を作成し、この不審メール通報を、ネットワークインターフェース部１００を介して不審メール検出サーバ２に送信する（Ｓ２１１）。その後、メーラ１０２がマンマシンインターフェース部１０１を介してユーザから対象メールの閲覧終了操作を受け付けると（Ｓ２０９でＹＥＳ）、本フローを終了する。
【００６０】
また、判定結果が「不審メールリストに未登録」である場合において（Ｓ２０５でＮＯ）、不審メール通報部１０８がユーザから通報操作を受け付けることなく（Ｓ２１０でＮＯ）、メーラ１０２がマンマシンインターフェース部１０１を介してユーザから対象メールの閲覧終了操作を受け付けると（Ｓ２１２でＹＥＳ）、本フローを終了する。
【００６１】
つぎに、不審メール検出サーバ２の詳細を説明する。
【００６２】
図９は、不審メール検出サーバ２の概略機能構成図である。
【００６３】
図示するように、不審メール検出サーバ２は、ネットワークインターフェース部２００と、マンマシンインターフェース部２０１と、不審メールリスト記憶部２０２と、判定依頼受信部２０３と、不審メール判定部２０４と、判定結果送信部２０５と、不審メール通報受信部２０６と、不審メールリスト更新部２０７と、を備えている。
【００６４】
ネットワークインターフェース部２００は、ＬＡＮ３に接続するためのインターフェースである。
【００６５】
マンマシンインターフェース部２０１は、管理者（不審メールの解析者）に情報を表示したり、管理者から各種操作を受け付けたりするためのインターフェースであり、キーボード、マウス等の入力装置と、液晶ディスプレイ等の表示装置と、を有している。
【００６６】
不審メールリスト記憶部２０２には不審メールリストが記憶されている。
【００６７】
図１０は、不審メールリスト記憶部２０２の登録内容例を模式的に表した図である。
【００６８】
図示するように、不審メールリスト記憶部２０２には、ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メール毎に、不審メールのレコード２０２０が登録されている。不審メールのレコード２０２０は、不審メールの通報日時を登録するフィールド２０２１と、不審メールの通報者を登録するフィールド２０２２と、不審メールの件名を登録するフィールド２０２３と、不審メールあるいはその格納先を登録するフィールド２０２４と、不審メールのメール本文中の文面により定まる所定のパターン情報を登録するフィールド２０２５と、不審メールがばらまき型攻撃メールであることを示すフラグを登録するフィールド２０２６と、フラグの更新日時を登録するフィールド２０２７と、を有する。
【００６９】
図９に戻って説明を続ける。
【００７０】
判定依頼受信部２０３は、ネットワークインターフェース部２００を介してメール端末１から判定依頼を受信する。
【００７１】
不審メール判定部２０４は、判定依頼受信部２０３により受信された判定依頼に含まれているメッセージＩＤにより特定される対象メールにばらまき型攻撃メールの可能性があるか否かを判定する。具体的には、判定依頼に含まれているパターン情報を有する不審メールのレコード２０２０が不審メールリスト記憶部２０２に登録されているか否かを調べる。判定依頼に含まれているパターン情報を有する不審メールのレコード２０２０が不審メールリスト記憶部２０２に登録されている場合には、対象メールにばらまき型攻撃メールの可能性があると判定し、このレコード２０２０にフラグが登録されている否かをさらに調べ、フラグが登録されている場合には、対象メールがばらまき型攻撃メールであると判定する。そして、不審メールリストへの登録の有無、および不審メールリストに登録済みの場合はフラグの有無を判定結果とする。
【００７２】
判定結果送信部２０５は、判定依頼受信部２０３により受信された判定依頼に対する不審メール判定部２０４の判定結果を、この判定依頼に含まれている対象メールのメッセージＩＤとともに、ネットワークインターフェース部２００を介してこの判定依頼の送信元であるメール端末１に送信する。
【００７３】
不審メール通報受信部２０６は、ネットワークインターフェース部２００を介してメール端末１から不審メール通報を受信する。
【００７４】
不審メールリスト更新部２０７は、不審メール通報受信部２０６により受信された不審メール通報、あるいはマンマシンインターフェース部２０１を介して管理者より受け付けた指示に従い、不審メールリスト記憶部２０２を更新する。
【００７５】
図１１は、不審メール検出サーバ２の不審メール判定処理の動作を説明するためのフロー図である。
【００７６】
このフローは、判定依頼受信部２０３が、ネットワークインターフェース部２００を介してメール端末１から判定依頼を受信することにより開始される。
【００７７】
まず、判定依頼受信部２０３は、メール端末１から受信した判定依頼を不審メール判定部２０４に渡す。これを受けて、不審メール判定部２０４は、判定依頼受信部２０３により受け取った判定依頼に含まれている対象メールのパターン情報を取得する（Ｓ３０１）。それから、不審メール判定部２０４は、不審メールリスト記憶部２０２から、取得したパターン情報がフィールド２０２５に登録されている不審メールのレコード２０２０を検索する（Ｓ３０２）。
【００７８】
取得した対象メールのパターン情報がフィールド２０２５に登録されている不審メールのレコード２０２０が不審メールリスト記憶部２０２に登録されていない場合（Ｓ３０３でＮＯ）、不審メール判定部２０４は、対象メールが不審メールリストに未登録であることを示す判定結果を、判定依頼受信部２０３により受け取った判定依頼の送信元アドレス、およびこの判定依頼に含まれている対象メールのメッセージＩＤとともに、判定結果送信部２０５に通知する。これを受けて、判定結果送信部２０５は、ネットワークインターフェース部２００を介して、判定依頼の送信元アドレスにより特定されるメール端末１に、対象メールが不審メールリストに未登録であることを示す判定結果を、この対象メールのメッセージＩＤとともに送信する（Ｓ３０４）。
【００７９】
一方、取得した対象メールのパターン情報がフィールド２０２５に登録されている不審メールのレコード２０２０が不審メールリスト記憶部２０２に登録されている場合（Ｓ３０３でＹＥＳ）、不審メール判定部２０４は、このレコード２０２０のフィールド２０２６にフラグが登録されているか否かをさらに調べる（Ｓ３０５）。
【００８０】
そして、フラグが登録されているならば（Ｓ３０５でＹＥＳ）、不審メール判定部２０４は、対象メールが不審メールリストにフラグありで登録済みであることを示す判定結果を、判定依頼受信部２０３により受け取った判定依頼の送信元アドレス、およびこの判定依頼に含まれている対象メールのメッセージＩＤとともに、判定結果送信部２０５に通知する。これを受けて、判定結果送信部２０５は、ネットワークインターフェース部２００を介して、判定依頼の送信元アドレスにより特定されるメール端末１に、対象メールが不審メールリストに登録済み（フラグあり）であることを示す判定結果を、この対象メールのメッセージＩＤとともに送信する（Ｓ３０６）。
【００８１】
一方、フラグが登録されていないならば（Ｓ３０５でＮＯ）、不審メール判定部２０４は、対象メールが不審メールリストにフラグなしで登録済みであることを示す判定結果を、判定依頼受信部２０３により受け取った判定依頼の送信元アドレス、およびこの判定依頼に含まれている対象メールのメッセージＩＤとともに、判定結果送信部２０５に通知する。これを受けて、判定結果送信部２０５は、ネットワークインターフェース部２００を介して、判定依頼の送信元アドレスにより特定されるメール端末１に、対象メールが不審メールリストに登録済み（フラグなし）であることを示す判定結果を、この対象メールのメッセージＩＤとともに送信する（Ｓ３０７）。
【００８２】
図１２は、不審メール検出サーバ２の不審メールリスト更新処理の動作を説明するためのフロー図である。
【００８３】
不審メール通報受信部２０６は、ネットワークインターフェース部２００を介してメール端末１から不審メール通報を受信すると（Ｓ４０１でＹＥＳ）、不審メールリスト更新部２０７に、この不審メール通報に含まれている不審メールおよび通報者名を渡して不審メールリストへの登録を指示する。
【００８４】
これを受けて、不審メールリスト更新部２０７は、メール端末１のパターン情報抽出部１０４と同様の要領により、不審メール通報受信部２０６から受け取った不審メールのメール本文から、その文面により定まる所定のパターン情報を抽出する（Ｓ４０２）。それから、不審メールリスト更新部２０７は、不審メールリスト記憶部２０２に新たな不審メールのレコード２０２０を追加して、このレコード２０２０のフィールド２０２１に現在日時を登録し、フィールド２０２２に、不審メール通報受信部２０６から受け取った通報者名を登録し、フィールド２０２３に、不審メール通報受信部２０６から受け取った不審メールの件名を登録し、フィールド２０２４にこの不審メールあるいはその格納先を登録し、フィールド２０２５に、この不審メールから抽出したパターン情報を登録し、フィールド２０２６にフラグ「なし」を登録する。また、フィールド２０２７は空欄（ヌル）とする（Ｓ４０３）。
【００８５】
また、不審メールリスト更新部２０７は、マンマシンインターフェース部２０１を介して管理者から、ばらまき型攻撃メールの入力を受け付けると（Ｓ４０４でＹＥＳ）、メール端末１のパターン情報抽出部１０４と同様の要領により、入力されたばらまき型攻撃メールのメール本文から、その文面により定まる所定のパターン情報を抽出する（Ｓ４０５）。それから、不審メールリスト更新部２０７は、不審メールリスト記憶部２０２に新たな不審メールのレコード２０２０を追加して、このレコード２０２０のフィールド２０２１に現在日時を登録し、フィールド２０２２に管理者名を登録し、フィールド２０２３に、入力されたばらまき型攻撃メールの件名を登録し、フィールド２０２４にこのばらまき型攻撃メールあるいはその格納先を登録し、フィールド２０２５に、このばらまき型攻撃メールから抽出したパターン情報を登録し、フィールド２０２６にフラグ「あり」を登録する。また、フィールド２０２７は空欄（ヌル）とする（Ｓ４０６）。
【００８６】
また、不審メールリスト更新部２０７は、マンマシンインターフェース部２０１を介して管理者から、不審メールのレコード２０２０の指定を伴うフラグ付与指示を受け付けると（Ｓ４０７でＹＥＳ）、指定された不審メールのレコード２０２０を不審メールリスト記憶部２０２から検索し、検索したレコード２０２０のフィールド２０２６をフラグ「あり」に変更し、フィールド２０２７に現在日時を登録する（Ｓ４０８）。
【００８７】
また、不審メールリスト更新部２０７は、マンマシンインターフェース部２０１を介して管理者から、不審メールのレコード２０２０の指定を伴う削除指示を受け付けると（Ｓ４０９でＹＥＳ）、指定された不審メールのレコード２０２０を不審メールリスト記憶部２０２から削除する（Ｓ４１０）。
【００８８】
以上、本発明の一実施の形態について説明した。
【００８９】
本実施の形態では、不特定多数に送信されるばらまき型攻撃メールが、一般に、メール本文中に記述された電話番号、メールアドレス等の連絡先、および／または、メール本文中の記述に設定されたリンク先はメール毎に変更されるが、メール本文中の文面はそのままであることに着目し、対象メールのメール本文中の文面により定まる所定のパターン情報（例えば、メール本文中の文面から半角文字を削除することにより得られる全角文字列情報のハッシュ値、あるいは、ＨＴＭＬ形式の電子メールの場合、メール本文中の文面を構成するＨＴＭＬ文書から抽出したタグ情報であってタグ内の属性値が削除されたタグ情報のハッシュ値）が、ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのそれと一致するか否かにより、対象メールにばらまき型攻撃メールの可能性があるか否かを判定している。したがって、本実施の形態によれば、ヘッダ情報が偽装されている場合でも、ばらまき型攻撃メールを検出できる可能性が高まるため、ばらまき型攻撃メールの検出精度が向上する。
【００９０】
また、本実施の形態では、不審メールリストに登録されている所定のパターン情報のうち、ばらまき型攻撃メールであると断定された不審メールのパターン情報にフラグを付与している。そして、対象メールから抽出した所定のパターン情報が不審メールリストに登録されている場合、そのパターン情報にフラグが付与されているか否かを判定結果に含めて出力している。このため、対象メールが不審メールであると判定された場合に、フラグが付与されているか否かにより、対象メールに対する注意喚起あるいは警告のレベルを変えることができる。
【００９１】
なお、本発明は上記の各実施の形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。
【００９２】
例えば、上記の実施の形態では、対象メールのメール本文中の文面により定まる所定のパターン情報が、ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのそれと一致するか否かにより、対象メールにばらまき型攻撃メールの可能性があるか否かを判定している。しかしながら、本発明はこれに限定されない。対象メールのメール本文中の文面に、対象メールの件名および添付ファイル名の所定の少なくとも一方を組合せ、この組合せにより定まる所定のパターン情報（例えば、この組合せから半角文字を削除することにより得られる全角文字列情報のハッシュ値）が、ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのそれと一致するか否かにより、対象メールにばらまき型攻撃メールの可能性があるか否かを判定してもよい。
【００９３】
また、上記の実施の形態では、メール端末１が対象メールから所定のパターン情報を抽出して、この抽出した所定のパターン情報を含む判定依頼を不審メール検出サーバ２に送信している。しかしながら、本発明はこれに限定されない。メール端末１は、対象メールを含む判定依頼を不審メール検出サーバ２に送信し、不審メール検出サーバ２が、判定依頼に含まれている対象メールから所定のパターン情報を抽出するようにしてもよい。
【００９４】
また、上記の実施の形態では、メール端末１が不審メールを含む不審メール通報を不審メール検出サーバ２に送信し、不審メール検出サーバ２が、不審メール通報に含まれている不審メールから所定のパターン情報を抽出している。しかしながら、本発明はこれに限定されない。メール端末１が、不審メールから所定のパターン情報を抽出して、この抽出した所定のパターン情報と不審メールとを含む不審メール通報を不審メール検出サーバ２に送信するようにしてもよい。
【００９５】
また、上記の実施の形態において、メール端末１は、メールサーバ６から受信した電子メールに対してユーザから開封操作を受け付けたタイミングで、この電子メールを対象メールとする判定依頼を不審メール検出サーバ２に送信している。しかしながら、本発明はこれに限定されない。メール端末１は、メールサーバ６から電子メールを受信したタイミングで、この電子メールを対象メールとする判定依頼を不審メール検出サーバ２に送信してもよい。
【００９６】
また、上記の実施の形態において、不審メール検出サーバ２をメールサーバ６に内蔵させてもよい。この場合、不審メール検出サーバ２の動作をつぎのように修正してもよい。すなわち、不審メール検出サーバ２は、メールサーバ６が受信した電子メールを対象メールとして、この対象メールから所定のパターン情報を抽出し、抽出した所定のパターン情報が不審メールリストに登録されているならば、この対象メールを不審メールと判定し、メールサーバ６が対象メールをメール端末１に送信するタイミングに合わせて、判定結果をこのメール端末１に送信する。そして、メール端末１は、電子メールを、この電子メールにばらまき型攻撃メールの可能性があるか否かの判定結果とともに受信し、例えばこの電子メールを開封する際に、その判定結果に応じて注意喚起表示あるいは警告表示する。
【００９７】
また、上記の実施の形態において、メール端末１に、不審メール検出サーバ２の不審メールリスト記憶部２０２および不審メール判定部２０４を追加してもよい。この場合、メール端末１において、判定依頼送信部１０５は、メール端末１内の不審メール判定部２０４に対象メールの判定依頼を送信し、これを受けて、メール端末１内の不審メール判定部２０４は、判定依頼に含まれている所定のパターン情報をメール端末１内の不審メールリスト記憶部２０２から検索し、その検索結果を判定結果として判定結果受信部１０６に送信する。ここで、メール端末１内の不審メールリスト記憶部２０２に記憶される不審メールリストは、例えば定期的に不審メール検出サーバ２からダウンロードして最新のものに更新しておくことが好ましい。
【００９８】
また、注意喚起メッセージにレベルを設けてもよい。例えば、不審メールリスト記憶部２０２に登録されているレコード２０２０に対象メールとの合致回数を登録し、その回数が所定値を超えた場合には、より厳重な警戒を促す注意喚起メッセージを付加メッセージとして表示してもよい。
【００９９】
また、上記の実施の形態では、メール端末１がＬＡＮ３に接続された有線端末である場合を例にとり説明したが、本発明はこれに限定されない。メール端末１は、無線を介してＬＡＮ３に接続された無線端末であってもよい。
【０１００】
また、上記の実施の形態において、図４に示すメール端末１および図９に示す不審メール検出サーバ２の機能構成は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）などの集積ロジックＩＣによりハード的に実現されるか、ＤＳＰ（Ｄｉｇｉｔａｌ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｏｒ）等の計算機によりソフトウエア的に実現される。あるいは、ＣＰＵと、メモリと、ハードディスク、フラッシュメモリ等の補助記憶装置と、ＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）、無線アダプタ等の通信インターフェースと、を備えたＰＣ、タブレットＰＣ、スマートフォン等の汎用コンピュータにおいて、ＣＰＵが、所定のプログラムを、補助記憶装置からメモリ上にロードして実行することにより実現される。
【符号の説明】
【０１０１】
１、１−１〜１−ｎ：メール端末    ２：不審メール検出サーバ    ３：ＬＡＮ    ４：ゲートウェイ    ５：ＷＡＮ    ６：メールサーバ    ７：メール端末（攻撃者）    １００：ネットワークインターフェース部    １０１：マンマシンインターフェース部    １０２：メーラ    １０３：対象メール検知部    １０４：パターン情報抽出部    １０５：判定依頼送信部    １０６：判定結果受信部    １０７：付加メッセージ表示部    １０８：不審メール通報部    ２００：ネットワークインターフェース部    ２０１：マンマシンインターフェース部    ２０２：不審メールリスト記憶部    ２０３：判定依頼受信部    ２０４：不審メール判定部、    ２０５：判定結果送信部    ２０６：不審メール通報受信部    ２０７：不審メールリスト更新部
【図１】
2020030700.tif 000003
【図２】
2020030700.tif 000004
【図３】
2020030700.tif 000005
【図４】
2020030700.tif 000006
【図５】
2020030700.tif 000007
【図６】
2020030700.tif 000008
【図７】
2020030700.tif 000009
【図８】
2020030700.tif 000010
【図９】
2020030700.tif 000011
【図１０】
2020030700.tif 000012
【図１１】
2020030700.tif 000013
【図１２】
2020030700.tif 000014
【手続補正書】
【提出日】平成31年1月7日(2019.1.7)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
不審メール検出装置を用いて不審メールを検出する不審メール検出方法であって、
前記不審メール検出装置は、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報を不審メールリストに登録し、
前記不審メールリストに登録されている不審メールの前記所定のパターン情報のうち、ばらまき型攻撃メールであると断定された不審メールの前記所定のパターン情報にフラグを付与し、
不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる前記所定のパターン情報が前記不審メールリストに登録されているならば、前記対象メールにばらまき型攻撃メールの可能性があると判定して、判定結果を出力するとともに、当該所定のパターン情報にフラグが付与されているか否かを前記判定結果に含めて出力する
ことを特徴とする不審メール検出方法。
【請求項２】
請求項１に記載の不審メール検出方法であって、
前記所定のパターン情報は、前記メール本文中の文面から半角文字を削除することにより得られる全角文字列情報のハッシュ値である
ことを特徴とする不審メール検出方法。
【請求項３】
請求項１に記載の不審メール検出方法であって、
前記不審メールおよび前記対象メールが、ＨＴＭＬ（Ｈｙｐｅｒ  Ｔｅｘｔ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）形式の電子メールである場合、
前記所定のパターン情報は、前記メール本文中の文面を構成するＨＴＭＬ文書から抽出したタグ情報であって、タグ内の属性値が削除されたタグ情報のハッシュ値である
ことを特徴とする不審メール検出方法。
【請求項４】
不審メール検出装置を用いて不審メールを検出する不審メール検出方法であって、
前記不審メール検出装置は、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報を不審メールリストに登録し、
不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる前記所定のパターン情報が前記不審メールリストに登録されているならば、前記対象メールにばらまき型攻撃メールの可能性があると判定して、判定結果を出力し、
前記所定のパターン情報は、前記メール本文中の文面から半角文字を削除することにより得られる全角文字列情報のハッシュ値である
ことを特徴とする不審メール検出方法。
【請求項５】
不審メール検出装置を用いて不審メールを検出する不審メール検出方法であって、
前記不審メール検出装置は、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報を不審メールリストに登録し、
不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる前記所定のパターン情報が前記不審メールリストに登録されているならば、前記対象メールにばらまき型攻撃メールの可能性があると判定して、判定結果を出力し、
前記不審メールおよび前記対象メールが、ＨＴＭＬ（Ｈｙｐｅｒ  Ｔｅｘｔ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）形式の電子メールである場合、
前記所定のパターン情報は、前記メール本文中の文面を構成するＨＴＭＬ文書から抽出したタグ情報であって、タグ内の属性値が削除されたタグ情報のハッシュ値である
ことを特徴とする不審メール検出方法。
【請求項６】
請求項１ないし５のいずれか一項に記載の不審メール検出方法であって、
前記所定のパターン情報は、前記メール本文中の文面と、メールの件名および添付ファイル名の所定の少なくとも一方との組合せにより定まる情報である
ことを特徴とする不審メール検出方法。
【請求項７】
請求項１ないし６のいずれか一項に記載の不審メール検出方法であって、
前記不審メール検出装置は、
メール端末から前記対象メールの判定依頼を受信した場合に、当該判定依頼に含まれている前記所定のパターン情報あるいは当該判定依頼に含まれている前記対象メールから抽出した前記所定のパターン情報が前記不審メールリストに登録されているならば、前記対象メールにばらまき型攻撃メールの可能性があると判定して、前記メール端末に判定結果を送信し、
前記メール端末は、
電子メールを受信あるいは開封した場合に、当該電子メールを前記対象メールとし、当該対象メールから抽出した前記所定のパターン情報、あるいは当該対象メールを含む前記判定依頼を生成して、前記不審メール検出装置に当該判定依頼を送信し、
前記不審メール検出装置から前記判定結果を受信する
ことを特徴とする不審メール検出方法。
【請求項８】
請求項１ないし６のいずれか一項に記載の不審メール検出方法であって、
前記不審メール検出装置は、
メールサーバであり、
受信した電子メールを前記対象メールとして、当該対象メールから前記所定のパターン情報を抽出し、抽出した前記所定のパターン情報が前記不審メールリストに登録されているならば、当該対象メールにばらまき型攻撃メールの可能性があると判定して、当該対象メールの送信先であるメール端末に、当該対象メールを判定結果とともに送信し、
前記メール端末は、
前記電子メールを、当該電子メールが不審メールであるか否かの判定結果とともに受信する
ことを特徴とする不審メール検出方法。
【請求項９】
請求項７または８に記載の不審メール検出方法であって、
前記不審メール検出装置は、
前記メール端末から不審メール通報を受信した場合に、当該不審メール通報に含まれている電子メールから抽出した前記所定のパターン情報を当該電子メールとともに前記不審メールリストに登録する
ことを特徴とする不審メール検出方法。
【請求項１０】
メール端末と、不審メールを検出する不審メール検出装置と、を有する不審メール検出システムであって、
前記不審メール検出装置は、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報が登録された不審メールリストと、
操作者の指示に従い、前記不審メールリストに登録されている不審メールの前記所定のパターン情報のうち、ばらまき型攻撃メールであると断定された不審メールの前記所定のパターン情報にフラグを付与する不審メールリスト更新手段と、
前記メール端末から、不審メールであるか否かを判定する電子メールである対象メールの判定依頼を受信した場合に、当該判定依頼に含まれている前記所定のパターン情報あるいは当該判定依頼に含まれている前記対象メールから抽出した前記所定のパターン情報が前記不審メールリストに登録されているか否かに基づいて、当該対象メールにばらまき型攻撃メールの可能性がある否かを判定するとともに、当該対象メールにばらまき型攻撃メールの可能性がある場合に、前記不審メールリストに登録されている当該所定のパターン情報にフラグが付与されているか否か判定する不審メール判定手段と、
前記不審メール判定手段による判定結果を前記メール端末に送信する判定結果送信手段と、を備え、
前記メール端末は、
電子メールを受信あるいは開封した場合に、当該電子メールを前記対象メールとし、当該対象メールから抽出した前記所定のパターン情報、あるいは当該対象メールを含む前記対象メールの判定依頼を生成して、前記不審メール検出装置に当該対象メールの判定依頼を送信する判定依頼送信手段と、
前記不審メール検出装置から前記対象メールが不審メールであるか否かの判定結果を受信する判定結果受信手段と、を備える
ことを特徴とする不審メール検出システム。
【請求項１１】
メール端末と、不審メールを検出する不審メール検出装置と、を有する不審メール検出システムであって、
前記不審メール検出装置は、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報が登録された不審メールリストと、
前記メール端末から、不審メールであるか否かを判定する電子メールである対象メールの判定依頼を受信した場合に、当該判定依頼に含まれている前記所定のパターン情報あるいは当該判定依頼に含まれている前記対象メールから抽出した前記所定のパターン情報が前記不審メールリストに登録されているか否かに基づいて、当該対象メールにばらまき型攻撃メールの可能性がある否かを判定する不審メール判定手段と、
前記不審メール判定手段による判定結果を前記メール端末に送信する判定結果送信手段と、を備え、
前記メール端末は、
電子メールを受信あるいは開封した場合に、当該電子メールを前記対象メールとし、当該対象メールから抽出した前記所定のパターン情報、あるいは当該対象メールを含む前記対象メールの判定依頼を生成して、前記不審メール検出装置に当該対象メールの判定依頼を送信する判定依頼送信手段と、
前記不審メール検出装置から前記対象メールが不審メールであるか否かの判定結果を受信する判定結果受信手段と、を備え、
前記所定のパターン情報は、前記メール本文中の文面から半角文字を削除することにより得られる全角文字列情報のハッシュ値である
ことを特徴とする不審メール検出システム。
【請求項１２】
メール端末と、不審メールを検出する不審メール検出装置と、を有する不審メール検出システムであって、
前記不審メール検出装置は、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報が登録された不審メールリストと、
前記メール端末から、不審メールであるか否かを判定する電子メールである対象メールの判定依頼を受信した場合に、当該判定依頼に含まれている前記所定のパターン情報あるいは当該判定依頼に含まれている前記対象メールから抽出した前記所定のパターン情報が前記不審メールリストに登録されているか否かに基づいて、当該対象メールにばらまき型攻撃メールの可能性がある否かを判定する不審メール判定手段と、
前記不審メール判定手段による判定結果を前記メール端末に送信する判定結果送信手段と、を備え、
前記メール端末は、
電子メールを受信あるいは開封した場合に、当該電子メールを前記対象メールとし、当該対象メールから抽出した前記所定のパターン情報、あるいは当該対象メールを含む前記対象メールの判定依頼を生成して、前記不審メール検出装置に当該対象メールの判定依頼を送信する判定依頼送信手段と、
前記不審メール検出装置から前記対象メールが不審メールであるか否かの判定結果を受信する判定結果受信手段と、を備え、
前記不審メールおよび前記対象メールが、ＨＴＭＬ（Ｈｙｐｅｒ  Ｔｅｘｔ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）形式の電子メールである場合、
前記所定のパターン情報は、前記メール本文中の文面を構成するＨＴＭＬ文書から抽出したタグ情報であって、タグ内の属性値が削除されたタグ情報のハッシュ値である
ことを特徴とする不審メール検出システム。
【請求項１３】
不審メールを検出する不審メール検出装置であって、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報が登録された不審メールリストと、
操作者の指示に従い、前記不審メールリストに登録されている不審メールの前記所定のパターン情報のうち、ばらまき型攻撃メールであると断定された不審メールの前記所定のパターン情報にフラグを付与する不審メールリスト更新手段と、
不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる前記所定のパターン情報が前記不審メールリストに登録されているか否かに基づいて、当該対象メールにばらまき型攻撃メールの可能性があるか否かを判定するとともに、当該対象メールにばらまき型攻撃メールの可能性がある場合に、前記不審メールリストに登録されている当該所定のパターン情報にフラグが付与されているか否か判定する不審メール判定手段と、
前記不審メール判定手段による判定結果を出力する判定結果出力手段と、を備える
ことを特徴とする不審メール検出装置。
【請求項１４】
不審メールを検出する不審メール検出装置であって、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報が登録された不審メールリストと、
不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる前記所定のパターン情報が前記不審メールリストに登録されているか否かに基づいて、当該対象メールにばらまき型攻撃メールの可能性があるか否かを判定する不審メール判定手段と、
前記不審メール判定手段による判定結果を出力する判定結果出力手段と、を備え、
前記所定のパターン情報は、前記メール本文中の文面から半角文字を削除することにより得られる全角文字列情報のハッシュ値である
ことを特徴とする不審メール検出装置。
【請求項１５】
不審メールを検出する不審メール検出装置であって、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報が登録された不審メールリストと、
不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる前記所定のパターン情報が前記不審メールリストに登録されているか否かに基づいて、当該対象メールにばらまき型攻撃メールの可能性があるか否かを判定する不審メール判定手段と、
前記不審メール判定手段による判定結果を出力する判定結果出力手段と、を備え、
前記不審メールおよび前記対象メールが、ＨＴＭＬ（Ｈｙｐｅｒ  Ｔｅｘｔ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）形式の電子メールである場合、
前記所定のパターン情報は、前記メール本文中の文面を構成するＨＴＭＬ文書から抽出したタグ情報であって、タグ内の属性値が削除されたタグ情報のハッシュ値である
ことを特徴とする不審メール検出装置。
【請求項１６】
コンピュータで読み取り可能なプログラムであって、
前記プログラムは、
前記コンピュータを、不審メールを検出する不審メール検出装置として機能させ、
前記不審メール検出装置は、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報が登録された不審メールリストと、
操作者の指示に従い、前記不審メールリストに登録されている不審メールの前記所定のパターン情報のうち、ばらまき型攻撃メールであると断定された不審メールの前記所定のパターン情報にフラグを付与する不審メールリスト更新手段と、
不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる前記所定のパターン情報が前記不審メールリストに登録されているか否かに基づいて、当該対象メールにばらまき型攻撃メールの可能性があるか否かを判定するとともに、当該対象メールにばらまき型攻撃メールの可能性がある場合に、前記不審メールリストに登録されている当該所定のパターン情報にフラグが付与されているか否か判定する不審メール判定手段と、
前記不審メール判定手段による判定結果を出力する判定結果出力手段と、を備える
ことを特徴とするコンピュータで読み取り可能なプログラム。
【請求項１７】
コンピュータで読み取り可能なプログラムであって、
前記プログラムは、
前記コンピュータを、不審メールを検出する不審メール検出装置として機能させ、
前記不審メール検出装置は、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報が登録された不審メールリストと、
不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる前記所定のパターン情報が前記不審メールリストに登録されているか否かに基づいて、当該対象メールにばらまき型攻撃メールの可能性があるか否かを判定する不審メール判定手段と、
前記不審メール判定手段による判定結果を出力する判定結果出力手段と、を備え、
前記所定のパターン情報は、前記メール本文中の文面から半角文字を削除することにより得られる全角文字列情報のハッシュ値である
ことを特徴とするコンピュータで読み取り可能なプログラム。
【請求項１８】
コンピュータで読み取り可能なプログラムであって、
前記プログラムは、
前記コンピュータを、不審メールを検出する不審メール検出装置として機能させ、
前記不審メール検出装置は、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報が登録された不審メールリストと、
不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる前記所定のパターン情報が前記不審メールリストに登録されているか否かに基づいて、当該対象メールにばらまき型攻撃メールの可能性があるか否かを判定する不審メール判定手段と、
前記不審メール判定手段による判定結果を出力する判定結果出力手段と、を備え、
前記不審メールおよび前記対象メールが、ＨＴＭＬ（Ｈｙｐｅｒ  Ｔｅｘｔ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）形式の電子メールである場合、
前記所定のパターン情報は、前記メール本文中の文面を構成するＨＴＭＬ文書から抽出したタグ情報であって、タグ内の属性値が削除されたタグ情報のハッシュ値である
ことを特徴とするコンピュータで読み取り可能なプログラム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００９
【補正方法】変更
【補正の内容】
【０００９】
例えば、本発明の不審メール検出方法の第一の態様は、
不審メール検出装置を用いて不審メールを検出する不審メール検出方法であって、
前記不審メール検出装置は、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報を不審メールリストに登録し、
前記不審メールリストに登録されている不審メールの前記所定のパターン情報のうち、ばらまき型攻撃メールであると断定された不審メールの前記所定のパターン情報にフラグを付与し、
不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる前記所定のパターン情報が前記不審メールリストに登録されているならば、前記対象メールにばらまき型攻撃メールの可能性があると判定して、判定結果を出力するとともに、当該所定のパターン情報にフラグが付与されているか否かを前記判定結果に含めて出力する。
また、本発明の不審メール検出方法の第二の態様は、
不審メール検出装置を用いて不審メールを検出する不審メール検出方法であって、
前記不審メール検出装置は、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報を不審メールリストに登録し、
不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる前記所定のパターン情報が前記不審メールリストに登録されているならば、前記対象メールにばらまき型攻撃メールの可能性があると判定して、判定結果を出力し、
前記所定のパターン情報は、前記メール本文中の文面から半角文字を削除することにより得られる全角文字列情報のハッシュ値である。
また、本発明の不審メール検出方法の第三の態様は、
不審メール検出装置を用いて不審メールを検出する不審メール検出方法であって、
前記不審メール検出装置は、
ばらまき型攻撃メールの可能性があると人為的に判断された電子メールである不審メールのメール本文中の文面により定まる所定のパターン情報を不審メールリストに登録し、
不審メールであるか否かを判定する電子メールである対象メールのメール本文中の文面により定まる前記所定のパターン情報が前記不審メールリストに登録されているならば、前記対象メールにばらまき型攻撃メールの可能性があると判定して、判定結果を出力し、
前記不審メールおよび前記対象メールが、ＨＴＭＬ（Ｈｙｐｅｒ  Ｔｅｘｔ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）形式の電子メールである場合、
前記所定のパターン情報は、前記メール本文中の文面を構成するＨＴＭＬ文書から抽出したタグ情報であって、タグ内の属性値が削除されたタグ情報のハッシュ値である。