(57)【要約】      （修正有）【課題】偽装メールを精度良くフィルタリングできる情報処理装置、情報処理方法、及び情報処理プログラムを提供する。【解決手段】内部ネットワーク１１における情報処理装置１０は、受信した電子メールの送信元及びリンク先情報を含むメール情報を抽出するメール情報抽出部１５と、送信元に対応するメールアドレスのドメインとリンク先情報のドメインを比較することにより前記電子メールが適切か否かを判定する判定部１６と、を有する。【選択図】図１
2020086547.tif 000002
【特許請求の範囲】
【請求項１】
受信した電子メールの送信元及びリンク先情報を含むメール情報を抽出するメール情報抽出部と、  前記送信元に対応するメールアドレスのドメインと前記リンク先情報のドメインを比較することにより前記電子メールが適切か否かを判定する判定部と、を備えることを特徴とする情報処理装置。
【請求項２】
前記判定部は、ヘッダＦｒｏｍのドメインと前記リンク先情報から抽出される、実際のアクセス先となるリンク先ＵＲＬのドメインとが一致する場合に、電子メールに含まれる前記リンク先ＵＲＬが無害である適切な電子メールと判定する、ことを特徴とする請求項１に記載の情報処理装置。
【請求項３】
組織それぞれのメールアドレスのドメインと、当該ドメインに対応する組織のＦＱＤＮとの組み合わせを予め保存する照合データ保存部を、さらに備えて、  前記判定部は、受信した前記電子メールのヘッダＦｒｏｍのドメインと前記リンク先情報から抽出される、実際のアクセス先となるリンク先ＵＲＬのＦＱＤＮとの組み合わせを前記照合データ保存部と照合して、前記電子メールが適切か否かを判定する、ことを特徴とする請求項１または請求項２に記載の情報処理装置。
【請求項４】
組織それぞれのメールアドレスのドメインと、当該ドメインに対応する組織の短縮ＵＲＬとの組み合わせを予め保存する照合データ保存部を、さらに備えて、  前記判定部は、受信した前記電子メールのヘッダＦｒｏｍのドメインと前記リンク先情報から抽出される、実際のアクセス先となるリンク先ＵＲＬとの組み合わせを前記照合データ保存部と照合して、前記電子メールが適切か否かを判定する、ことを特徴とする請求項１から請求項３のいずれか一項に記載の情報処理装置。
【請求項５】
受信した電子メールの送信元及びリンク先情報を含むメール情報を抽出するステップと、  前記送信元に対応するメールアドレスのドメインと前記リンク先情報のドメインを比較することにより前記電子メールが適切か否かを判定するステップと、を含むことを特徴とする情報処理方法。
【請求項６】
コンピュータに、  受信した電子メールの送信元及びリンク先情報を含むメール情報を抽出する機能、  前記送信元に対応するメールアドレスのドメインと前記リンク先情報のドメインを比較することにより前記電子メールが適切か否かを判定する機能、として実行させることを特徴とする記載の情報処理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、情報処理装置、情報処理方法、及び情報処理プログラムに関する。
【背景技術】
【０００２】
電子メールの送信元を偽り、あたかも適切なメールかのように偽装して送信する、いわゆる「なりすまし」メールが問題となっている。特に、悪意の第三者が、特定の法人や団体に対して送信元をより巧妙に偽装した電子メールを送信して、メール内に記載されたリンク先情報などを介してユーザの端末をマルウェアなどに感染させて、個人情報などのデータを窃取する標的型のメール攻撃への対策が必要となっている。  
【０００３】
従来では、偽装された電子メールに対して対処するために、ユーザ宛の電子メールを予め記憶しておき、この電子メールに設定されたメールアドレスに基づいて当該電子メールが偽装されたメールであるか否かを判定するメールサーバを利用する技術が開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１２−７８９２２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところで、企業のメールマガジンの送信などで広く利用されているように、当該企業が他の会社に電子メールの送信を委託などすることで、企業のメールサーバとは異なるサーバから電子メールが送信される場合がある。この場合、実際の送信元のメールアドレスがその企業に対応するメールアドレスとは異なる場合があり、従来のように、送信元のメールアドレスを確認することによりメールが偽装されている否か判定する方法では、適切なメールであっても偽装と誤って判定してしまうおそれがある。  
【０００６】
本発明はこのような事情を考慮してなされたもので、偽装メールを精度良くフィルタリングできる情報処理装置、情報処理方法、及び情報処理プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明の実施形態に係る情報処理装置は、受信した電子メールの送信元及びリンク先情報を含むメール情報を抽出するメール情報抽出部と、前記送信元に対応するメールアドレスのドメインと前記リンク先情報のドメインを比較することにより前記電子メールが適切か否かを判定する判定部と、を備える。
【発明の効果】
【０００８】
本発明の実施形態により、偽装メールを精度良くフィルタリングできる情報処理装置、情報処理方法、及び情報処理プログラムが提供される。
【図面の簡単な説明】
【０００９】
【図１】第１実施形態に係る情報処理装置が適用される電子メールシステムの構成の一例を示す構成図。
【図２】電子メール本文に表示される表示ＵＲＬと実際のアクセス先となるリンク先ＵＲＬとが異なる場合において、本実施形態の偽装判定の方法を説明する説明図。
【図３】電子メール本文に表示されたキーワードを介して実際のアクセス先となるリンク先ＵＲＬにアクセスさせる場合において、本実施形態の偽装判定の方法を説明する説明図。
【図４】電子メールに組み込まれたイメージを介して実際のアクセス先となるリンク先ＵＲＬにアクセスさせる場合において、本実施形態の偽装判定の方法を説明する説明図。
【図５】禁止拡張子を含んで記載されたリンク先ＵＲＬにアクセスさせる場合において、本実施形態の偽装判定の方法を説明する説明図。
【図６】本実施形態による情報処理方法の処理手順の一例を示すフローチャート。
【図７】第２実施形態に係る情報処理装置が適用される電子メールシステムの構成の一例を示す構成図。
【図８】（Ａ）送信元のメールアドレスのドメインと、組織のＦＱＤＮとの組み合わせの対応関係の一例を示す表、（Ｂ）送信元のメールアドレスのドメインと、組織の短縮ＵＲＬとの組み合わせの対応関係の一例を示す表。
【発明を実施するための形態】
【００１０】
以下、本発明の実施形態を添付図面に基づいて説明する。
図１は、第１実施形態に係る情報処理装置１０が適用される電子メールシステムの構成の一例を示す構成図である。
【００１１】
情報処理装置１０は、外部メールサーバを介して、外部端末（図示省略）から電子メールを受信して、受信した電子メールを内部端末２０に送信するサーバである。情報処理装置１０は、例えばインターネットからの接続が制限される内部ネットワーク１１に設けられてもよく、内部ネットワーク１１とインターネットと任意に接続可能な外部ネットワークとの境界（DMZ:DeMilitarized Zone）に設けられてもよい。
【００１２】
内部端末２０は、情報処理装置１０から電子メールを受信するクライアント端末である。なお、ここでは、内部端末２０を３つで構成する例を示しているが、内部端末２０の数量、配置は図１に限定されるものでは無い。
【００１３】
通信部１２は、外部端末から送信された電子メールを情報処理装置１０に転送する中継装置である。通信部１２は、内部ネットワーク１１と外部ネットワークとを接続する境界に設けられてもよいし、外部ネットワークに設けられてもよい。通信部１２としては、ＭＴＡ（Message Transfer Agent）が例示される。  
【００１４】
外部名前解決装置１３は、電子メールの送信元が適切か否かを識別するための判別情報を保有するサーバであり、例えばＤＮＳ（Domain Name System）サーバである。判別情報としては、送信元のドメインとＩＰアドレスの組み合わせが例示される。情報処理装置１０は、電子メールを受信したときに、通信部１２を介して外部名前解決装置１３に問い合わせて、受信した電子メールの送信元が外部名前解決装置１３の判別情報と一致するか否かを照合して、当該電子メールの送信元が適切か否かを判定してもよい。
【００１５】
第１実施形態に係る情報処理装置１０は、送受信部１４と、メール情報抽出部１５と、判定部１６と、記憶部１７と、を備えている。
【００１６】
なお、情報処理装置１０を構成する各ユニットの機能は、所定のプログラムコードを、プロセッサを用いて実行することによって実現しても良く、このようなソフトウェア処理に限らず、例えば、ＡＳＩＣ等を用いたハードウェア処理で実現してもよいし、ソフトウェア処理とハードウェア処理とを組み合わせて実現してもよい。
【００１７】
送受信部１４は、通信部１２から転送されて受信した電子メールの受信制御、及び、内部端末２０から発信される電子メールの送信制御を実行する。  
【００１８】
メール情報抽出部１５は、受信した電子メールの送信元及びリンク先情報を含むメール情報を抽出する。抽出される送信元の情報には、メールエンベロープに記載された送信元アドレス（エンベロープＦｒｏｍ）、メールヘッダ内に記載された送信元アドレス（ヘッダＦｒｏｍ）、ヘッダ内に記載された送信元ＩＰアドレス等が含まれる。また、リンク先情報には、メール本文、電子メールに添付された添付ファイル、添付ファイルのマクロ等から取得されるリンク先に関する一切の情報が含まれている。なお、添付ファイル内のリンク先情報とは、例えばファイル内に記載されたＵＲＬやファイルを起動した際に外部のＵＲＬにアクセスを誘導するスクリプト（例えばマクロ）がファイルに組み込まれる場合において、誘導先となるＵＲＬなどを意味する。  
【００１９】
判定部１６は、受信した電子メールの送信元のドメインとリンク先情報のドメインを比較することにより電子メールが適切か否かを判定する。  
【００２０】
具体的には、判定部１６は、電子メールから抽出されたヘッダＦｒｏｍのドメインと、リンク先情報において、ユーザによる実際のアクセス先となるリンク先ＵＲＬのドメインとを比較する。両者のドメインが一致する場合は、受信した電子メールに含まれるリンク先ＵＲＬは無害であり、適切なメールと判断する。一方で、一致しない場合には、受信した電子メールに含まれるリンク先ＵＲＬは有害であり、偽装メールと判断する。具体的な判断方法については後述する。なお、ここで、有害なＵＲＬとは、ユーザがアクセスさせることで、悪意のあるファイルのダウンロードやＷｅｂサイトへの接続に内部端末２０を誘導するＵＲＬを意味する。  
【００２１】
また、判定部１６は、ヘッダＦｒｏｍのドメインとアクセス先ＵＲＬのドメインとを比較するとき、ヘッダＦｒｏｍのドメインが、アクセス先ＵＲＬにおいてサブドメインを除いた親ドメイン（ルートドメイン）の部分で一致した場合に、受信した電子メールに含まれるリンク先ＵＲＬは無害であり、適切なメールと判断してもよい。  
【００２２】
また、判定部１６は、無料メールドメインやプロバイダ管轄のドメインなど、個人用に用いられるプライベート用のメールアドレスのドメイン（以下、プライベートドメインと省略する）を予め保存しておき、判定部１６は、受信した電子メールのヘッダＦｒｏｍのドメインが、予め保存されたプライベートドメインと一致する場合には、受信した電子メールに含まれるリンク先ＵＲＬは有害の可能性があるとして、偽装されたメールと判断してもよい。  
【００２３】
また、判定部１６は、抽出された電子メールの送信元に対応するエンベロープＦｒｏｍ及びヘッダＦｒｏｍのドメインを比較して、両ドメインが一致しない場合において、ヘッダＦｒｏｍのドメインとリンク先ＵＲＬのドメインとを比較判定する構成としてもよい。送信元に対応するエンベロープＦｒｏｍ及びヘッダＦｒｏｍのドメインが一致する場合には、電子メールに含まれるリンク先ＵＲＬは無害である、適切なメールと判断して、ヘッダＦｒｏｍのドメインとリンク先ＵＲＬのドメインとの比較判定は実行しないこととしてもよい。  
【００２４】
また、判定部１６は、外部名前解決装置１３に問い合わせて、受信した電子メールの送信元が外部名前解決装置１３の判別情報と一致するか否かを照合して、当該電子メールの送信元が適切と判定された上で、ヘッダＦｒｏｍのドメインとリンク先ＵＲＬのドメインとの比較判定を行う構成としてもよい。あるいは、記憶部１７において、適切な送信元のドメインとＩＰアドレスの組み合わせを予め保存しておき、受信した電子メールのエンベロープＦｒｏｍのドメインと送信元ＩＰアドレスを保存された組み合わせのデータと照合して、一致を確認した上で、ヘッダＦｒｏｍのドメインとリンク先ＵＲＬのドメインとの比較判定を行う構成としてもよい。  
【００２５】
判定部１６において、電子メールに含まれるリンク先ＵＲＬは無害であり適切なメールと判断されたメールについては、送受信部１４を介して内部端末２０（電子メールで設定された送信先に対応する端末）に転送される。一方で、電子メールに含まれるリンク先ＵＲＬは有害であり偽装メールと判断されたメールについては、内部端末２０に送信されること無く隔離されて、例えば記憶部１７に保存されてもよい。  
【００２６】
なお、電子メールに添付される添付ファイルに関連付けられたリンク先ＵＲＬについても上述と同様の偽装判定の処理を実行する。なお、偽装判定処理において、電子メールに添付されている添付ファイルが、階層的に構成されたフォルダにより内に保存されている場合について、当該電子メールを、偽装された疑いのある偽装メールとして判定してもよい。
【００２７】
続けて、電子メールから抽出されたヘッダＦｒｏｍのドメインと、ユーザによる実際のアクセス先となるリンク先ＵＲＬのドメインとに基づいて、電子メールが適切か否かを判断する処理方法について、具体例を挙げて説明する。なお、図２〜５に示す電子メールは、電子メールに含まれるリンク先ＵＲＬは無害である場合について検討する。
【００２８】
図２は、電子メールにリンクアンカーが設定されて、メール本文に表示される表示ＵＲＬとユーザによる実際のアクセス先となるリンク先ＵＲＬとが異なる場合に、本実施形態における偽装判定の方法を説明する図である。
【００２９】
ここで、リンクアンカーとは、ｈｔｍｌメールにおいて、メール本文にリンク先となるＵＲＬが表示されており、ユーザがクリックすると、このＵＲＬに対応付けられたＵＲＬ（実際のアクセス先となるリンク先ＵＲＬ）にユーザの端末を接続させる方法を意味する。
【００３０】
図２の例では、電子メールのエンベロープＦｒｏｍのドメインとヘッダＦｒｏｍのドメインが一致せず、メール本文には「http://abc.com」とのＵＲＬが表示されており、このＵＲＬに対応付けられた実際のリンク先ＵＲＬは「http://abc.com/xx」となっている。  
【００３１】
電子メールに含まれるリンク先ＵＲＬは有害であり適切なメールであっても、例えばメール本文の表示を簡潔にするために、メール本文に表示されたＵＲＬと実際のアクセス先となるＵＲＬとが異なる場合がある。加えて、企業が送るメールマガジンなどでは、他社の配信メールサービスを利用する場合があるため、電子メールの実際の送信元を示すエンベロープＦｒｏｍのドメインはその配信サービス元のドメインとなり、ヘッダＦｒｏｍはその企業のドメインとなる場合がある。  
【００３２】
通常の偽装判定方法では、メール本文に表示されたＵＲＬと実際のアクセス先となるＵＲＬとが異なる場合に、電子メールに含まれるリンク先ＵＲＬが有害な偽装メールと判断しており、図２で示すように偽装の疑いの無い適切なメールであっても誤検知してしまうおそれがある。
【００３３】
電子メールに含まれるリンク先ＵＲＬが無害である適切な電子メールの場合、例えば電子メールの送信者が自社のＵＲＬへ誘導したい場合、電子メールのヘッダＦｒｏｍには自社のドメインを使用したメールアドレスが記載され、また、その電子メールの本文中のＵＲＬには自社のＵＲＬドメインが記載されるため、そのメールアドレスのドメインは、ユーザによって実際にアクセスされるリンク先ＵＲＬのドメインと一致する。
【００３４】
本実施形態ではこの性質を利用して、電子メールから抽出されたヘッダＦｒｏｍのドメインと、ユーザによる実際のアクセス先となるリンク先ＵＲＬのドメインとが一致する場合に、電子メールに含まれるリンク先ＵＲＬは無害である、適切なメールと判断する。図２の例では、ヘッダＦｒｏｍのドメインとリンク先ＵＲＬのドメインは、「ａｂｃ．ｃｏｍ」で一致している。一方で、ドメインが一致しない場合には、電子メールに含まれるリンク先ＵＲＬが有害な偽装メールと判断される。このようにすることで、偽装メールの判定における誤検知を低減できる。
【００３５】
図３は、電子メールにリンクキーワードが設定されて、電子メール本文に表示されたキーワードを介してリンク先ＵＲＬにアクセスさせる場合において、本実施形態の偽装判定の方法を説明する図である。
【００３６】
ここで、リンクキーワードとは、ｈｔｍｌメールにおいて、メール本文にキーワードが表示されて、そのキーワードをユーザがクリックすると、キーワードに対応付けられたＵＲＬ（実際のアクセス先となるリンク先ＵＲＬ）に接続させる方法を意味する。
【００３７】
図３の例では、電子メールのエンベロープＦｒｏｍのドメインとヘッダＦｒｏｍのドメインが一致せず、メール本文内にリンクキーワードが表示されている。  
【００３８】
通常の偽装判定方法では、禁止ワードを予め設定しておき、メール本文内にリンクキーワードとして禁止ワードが設定されている場合に、電子メールに含まれるリンク先ＵＲＬが有害である偽装メールと判断する。しかし、リンク先ＵＲＬが無害な適切なメールであっても、リンクキーワードを介してリンク先ＵＲＬにアクセスさせる場合があり、図３で示すように偽装の疑いの無い適切なメールであっても誤検知してしまうおそれがある。
【００３９】
本実施形態では、リンクキーワードの有無に基づき偽装判定するだけでは無く、さらに電子メールから抽出されたヘッダＦｒｏｍのドメインと、ユーザによる実際のアクセス先となるリンク先ＵＲＬのドメインとが一致するか否かに基づいて電子メールに含まれるリンク先ＵＲＬが有害であるか否かを判定する。このようにすることで、偽装メールの判定における誤検知を低減できる。
【００４０】
図４は、電子メールにイメージリンクが設定されて、メールに組み込まれたイメージを介してリンク先ＵＲＬにアクセスさせる場合において、本実施形態の偽装判定の方法を説明する図である。
【００４１】
ここで、イメージリンクとは、ｈｔｍｌメールにおいて、メール本文にイメージを表示させて、イメージが設定された部分にユーザがクリックした場合に、イメージに対応付けられた（実際のアクセス先となるリンク先ＵＲＬ）に接続させる方法である。
【００４２】
図４の例では、電子メールのエンベロープＦｒｏｍのドメインとヘッダＦｒｏｍのドメインが一致せず、メール本文内にイメージリンクが設定されている。  
【００４３】
偽装メールのフィルタリングを掻い潜るため、文字を画像化して視覚的に偽装する傾向にあることから、通常の偽装チェックでは、イメージリンクが設定記載されている場合、電子メールに含まれるリンク先ＵＲＬが有害である偽装メールと判断する。しかし、電子メールに含まれるリンク先ＵＲＬが無害な適切なメールであっても、イメージリンクを介してリンク先ＵＲＬにアクセスさせる場合があり、誤検知してしまうおそれがある。
【００４４】
本実施形態では、イメージリンクの有無に基づき偽装判定するだけでは無く、さらに電子メールから抽出されたヘッダＦｒｏｍのドメインと、ユーザによる実際のアクセス先となるリンク先ＵＲＬのドメインとが一致するか否かに基づいて電子メールに含まれるリンク先ＵＲＬが有害であるか否かを判定する。これにより、偽装メールの判定における誤検知を低減できる。
【００４５】
図５は、禁止拡張子を含んで記載されたリンク先ＵＲＬにアクセスさせる場合において、本実施形態における偽装判定の方法を説明する図である。なお、ここで、禁止拡張子とは、電子メールに記載されたリンクファイルの拡張子において、ユーザがアクセスした場合に、マルウェアをダウンロードさせたり、実行したりするなどの可能性がある、潜在的に「危険な」拡張子を意味する。禁止拡張子として、ｅｘｅ、ｚｉｐが例示され、情報処理装置１０の管理者により予め設定される。  
【００４６】
通常の偽装判定方法では、アクセスを禁止するための禁止拡張子を設定しておき、リンク先ＵＲＬに禁止拡張子が設定されている場合には、電子メールに含まれるリンク先ＵＲＬが有害である偽装されたメールと判断する。しかし、偽装されていない適切なメールであっても、禁止拡張子を含んで記載されたリンク先ＵＲＬにアクセスさせる場合があり、誤検知してしまうおそれがある。
【００４７】
本実施形態では、禁止拡張子を含むリンク先ＵＲＬの有無に基づき偽装判定するだけでは無く、さらに電子メールから抽出されたヘッダＦｒｏｍのドメインと、ユーザによる実際のアクセス先となるリンク先ＵＲＬのドメインとが一致するか否かに基づいて電子メールに含まれるリンク先ＵＲＬが有害であるか否かを判定する。これにより、偽装メールの判定における誤検知を低減できる。
【００４８】
図６は、本実施形態による情報処理方法の処理手順の一例を示すフローチャートである（適宜、図１参照）。
【００４９】
メール情報抽出部１５は、受信した電子メールの送信元及びリンク先情報を含むメール情報を抽出する（Ｓ１０）。
【００５０】
判定部１６は、実際のユーザによるアクセス先となるリンク先ＵＲＬのドメインが、ヘッダＦｒｏｍのドメインとが一致する場合、電子メールに含まれるリンク先ＵＲＬが無害である適切なメールであるとして、Ｓ１３に進む（Ｓ１１：ＹＥＳ）。一方で、リンク先ＵＲＬのドメインが、ヘッダＦｒｏｍのドメインと一致しない場合、電子メールに含まれるリンク先ＵＲＬが有害である偽装メールであるとして隔離する（Ｓ１１：ＮＯ、Ｓ１２）。なお、判定部１６は、偽装メールであるとして隔離された場合、隔離した旨を内部端末２０（電子メールで設定された送信先に対応する端末）に通知してもよい。
【００５１】
さらに、判定部１６は、リンク先ＵＲＬのドメインが、ヘッダＦｒｏｍのドメインと一致する場合、ヘッダＦｒｏｍのドメインがプライベートドメインと一致するかを判定する（Ｓ１３）。ヘッダＦｒｏｍのドメインがプライベートドメインと一致する場合、送信元が偽装された偽装メールであるとして隔離する（Ｓ１３：ＹＥＳ、Ｓ１２）。
【００５２】
一方で、ヘッダＦｒｏｍのドメインがプライベートドメインと一致しない場合には、送信元が偽装されていない適切なメールであると判定して、内部端末２０に電子メールを転送する（Ｓ１３：ＮＯ、Ｓ１４）。
【００５３】
このように、第１実施形態では、受信した電子メールの送信元のドメインとリンク先情報のドメインを比較することにより電子メールに含まれるリンク先ＵＲＬが有害であるか否かを判定することで、偽装メールの判定における誤検知を低減でき、偽装メールを精度良くフィルタリングできる。
【００５４】
また、電子メールの送信者が法人とは限らず、プライベートドメインを用いる場合には、ヘッダＦｒｏｍのドメインとリンク先ＵＲＬのドメインとが一致していたとしても、安全なＵＲＬとは断定できない場合がある。このため、ヘッダＦｒｏｍのドメインがプライベートドメインと一致するときには、電子メールのリンク先ＵＲＬは有害の可能性があるとして、偽装されたメールと判断する。これにより、電子メールが偽装か否かをより正確に判定できる。
【００５５】
（第２実施形態）
図７は、第２実施形態に係る情報処理装置１０が適用される電子メールシステムの構成の一例を示す図である。なお、図７において第１実施形態（図１）と共通の構成又は機能を有する部分は、同一符号で示し、重複する説明を省略する。
【００５６】
第２実施形態に係る情報処理装置１０では、組織（法人や団体など）それぞれのメールアドレスのドメインと、当該ドメインに対応する組織のＦＱＤＮ（Fully Qulified Domain Name）との組み合わせを予め保存する照合データ保存部１８をさらに備えている。なお、ＦＱＤＮとは、ＤＮＳなどのホスト名、ドメイン名などすべてを省略せずに指定した記述形式を意味する。
【００５７】
判定部１６は、受信した電子メールのヘッダＦｒｏｍのドメインと実際のアクセス先となるリンク先ＵＲＬのＦＱＤＮとの組み合わせを照合データ保存部１８のデータと照合して、電子メールが偽装されているかを判定する。具体的には、受信した電子メールのヘッダＦｒｏｍのドメインと実際のアクセス先となるリンク先ＵＲＬのＦＱＤＮとの組み合わせが、照合データ保存部１８に保存されている組み合わせと一致する場合には、電子メールに含まれるリンク先ＵＲＬが無害である適切なメールと判定する。
【００５８】
図８（Ａ）は、組織のメールアドレスとして正当性の確認がとれているメールアドレスのドメインと、このドメインに対応する組織のＦＱＤＮとの対応関係の一例を示す表である。図８（Ａ）に示すように、組織のそれぞれのＦＱＤＮに対応付けてメールアドレスのドメインが予め登録されており、例えばＡＢＣ社について、メールアドレスのドメインとこのＡＢＣ社のＦＱＤＮとが対応付けて保存されている。  
【００５９】
企業のＵＲＬのＦＱＤＮは、当該企業に対応するメールアドレスのドメインと異なる親ドメインを利用することが増えている。組織それぞれのメールアドレスのドメインと、当該ドメインに対応する組織のＦＱＤＮの組み合わせを照合データ保存部１８に登録しておき、この登録データに基づいて偽装判定することで、適切なメールを簡易かつ正確に判定でき、偽装メールの判定における誤検知を低減できる。  
【００６０】
さらに、照合データ保存部１８は、組織それぞれのメールアドレスのドメインと、当該ドメインに対応する組織の短縮ＵＲＬとの組み合わせを予め保存してもよい。なお、短縮ＵＲＬとは、長い文字列のＵＲＬを短くしたものであり、リダイレクトを利用して本来の長いＵＲＬに接続するために利用されものである。リダイレクトとは、コンテンツの保存されたサーバに直接接続せずに、別のサーバを経由することを意味する。  
【００６１】
この場合、判定部１６は、受信した電子メールのヘッダＦｒｏｍのドメインと実際のアクセス先となるリンク先ＵＲＬの組み合わせを、照合データ保存部１８に保存されたデータと照合して、電子メールに含まれるリンク先ＵＲＬが有害であるか否かを判定する。具体的には、受信した電子メールのヘッダＦｒｏｍのドメインと実際のアクセス先となるリンク先ＵＲＬ組み合わせが、照合データ保存部１８のデータに保存されている組み合わせと一致する場合には、偽装の疑いのない適切なメールと判定する。  
【００６２】
図８（Ｂ）は、組織のメールアドレスとして正当性の確認がとれているメールアドレスのドメインと、このドメインに対応する組織が有する短縮ＵＲＬとの対応関係の一例を示す表である。図８（Ｂ）に示すように、組織のそれぞれの短縮ＵＲＬに対応付けてメールアドレスのドメインが予め登録されており、例えばＡＢＣ社について、メールアドレスのドメインとこのＡＢＣ社の短縮ＵＲＬが対応付けて保存されている。
【００６３】
短縮ＵＲＬは短縮ＵＲＬかメール内に記載されているか否かにより偽装判定をする場合では、メール偽装判定において誤検知が増えるおそれがあるが、送信元ドメインとその短縮ＵＲＬとの組み合わせを予め保存しておき、送信元ドメインと短縮ＵＲＬとの組み合わせにより偽装を判定することで、適切なメールを簡易に判定でき、偽装メールの判定における誤検知を低減できる。
【００６４】
なお、第２実施形態における偽装判定と第１実施形態で示した偽装判定とを組み合わせることで、偽装メールの判定における誤検知を低減でき、偽装メールをより精度良くフィルタリングできる。
【００６５】
以上述べた各実施形態の情報処理装置によれば、電子メールから抽出されたヘッダＦｒｏｍのドメインと、ユーザによる実際のアクセス先となるリンク先ＵＲＬのドメインとに基づいて電子メールが偽装されているか否かを判定することで、偽装メールの判定における誤検知を低減でき、偽装メールを精度良くフィルタリングできる。
【００６６】
なお、情報処理装置１０で実行されるプログラムは、ＲＯＭ等から構成されるハードディスクに予め組み込んで提供される。もしくは、このプログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ−ＲＯＭ、ＣＤ−Ｒ、メモリカード、ＤＶＤ、フレキシブルディスク等のコンピュータで読み取り可能な記憶媒体に記憶されて提供するようにしてもよい。また、情報処理装置１０で実行されるプログラムは、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせて提供するようにしてもよい。
【００６７】
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【００６８】
１０…情報処理装置、１１…内部ネットワーク、１２…通信部、１３…外部名前解決装置、１４…送受信部、１５…メール情報抽出部、１６…判定部、１７…記憶部、１８…照合データ保存部、２０…内部端末。
【図１】
2020086547.tif 000003
【図２】
2020086547.tif 000004
【図３】
2020086547.tif 000005
【図４】
2020086547.tif 000006
【図５】
2020086547.tif 000007
【図６】
2020086547.tif 000008
【図７】
2020086547.tif 000009
【図８】
2020086547.tif 000010
【手続補正書】
【提出日】令和1年12月12日(2019.12.12)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
受信した電子メールの送信元及びリンク先情報を含むメール情報を抽出するメール情報抽出部と、  前記送信元に対応するメールアドレスのドメインと前記リンク先情報のドメインを比較することにより前記電子メールが適切か否かを判定する判定部と、  組織それぞれのメールアドレスのドメインと、当該ドメインに対応する組織のＦＱＤＮとの組み合わせを予め保存する照合データ保存部と、を備えて、 前記判定部は、受信した前記電子メールのヘッダＦｒｏｍのドメインと前記リンク先情報から抽出される、実際のアクセス先となるリンク先ＵＲＬのＦＱＤＮとの組み合わせを前記照合データ保存部と照合して、前記電子メールが適切か否かを判定する、ことを特徴とする情報処理装置。
【請求項２】
前記判定部は、ヘッダＦｒｏｍのドメインと前記リンク先情報から抽出される、実際のアクセス先となるリンク先ＵＲＬのドメインとが一致する場合に、電子メールに含まれる前記リンク先ＵＲＬが無害である適切な電子メールと判定する、ことを特徴とする請求項１に記載の情報処理装置。
【請求項３】
組織それぞれのメールアドレスのドメインと、当該ドメインに対応する組織の短縮ＵＲＬとの組み合わせを予め保存する照合データ保存部を、さらに備えて、  前記判定部は、受信した前記電子メールのヘッダＦｒｏｍのドメインと前記リンク先情報から抽出される、実際のアクセス先となるリンク先ＵＲＬとの組み合わせを前記照合データ保存部と照合して、前記電子メールが適切か否かを判定する、ことを特徴とする請求項１または請求項２に記載の情報処理装置。
【請求項４】
受信した電子メールの送信元及びリンク先情報を含むメール情報を抽出するメール情報抽出部と、 前記送信元に対応するメールアドレスのドメインと前記リンク先情報のドメインを比較することにより前記電子メールが適切か否かを判定する判定部と、 組織それぞれのメールアドレスのドメインと、当該ドメインに対応する組織の短縮ＵＲＬとの組み合わせを予め保存する照合データ保存部と、を備えて、 前記判定部は、受信した前記電子メールのヘッダＦｒｏｍのドメインと前記リンク先情報から抽出される、実際のアクセス先となるリンク先ＵＲＬとの組み合わせを前記照合データ保存部と照合して、前記電子メールが適切か否かを判定する、ことを特徴とする情報処理装置。
【請求項５】
受信した電子メールの送信元及びリンク先情報を含むメール情報を抽出するステップと、  前記送信元に対応するメールアドレスのドメインと前記リンク先情報のドメインを比較することにより前記電子メールが適切か否かを判定するステップと、  組織それぞれのメールアドレスのドメインと、当該ドメインに対応する組織のＦＱＤＮとの組み合わせを照合データ保存部に予め保存するステップと、を含み、 受信した前記電子メールのヘッダＦｒｏｍのドメインと前記リンク先情報から抽出される、実際のアクセス先となるリンク先ＵＲＬのＦＱＤＮとの組み合わせを前記照合データ保存部と照合して、前記電子メールが適切か否かを判定する、ことを特徴とする情報処理方法。
【請求項６】
コンピュータに、  受信した電子メールの送信元及びリンク先情報を含むメール情報を抽出する機能、  前記送信元に対応するメールアドレスのドメインと前記リンク先情報のドメインを比較することにより前記電子メールが適切か否かを判定する機能、  組織それぞれのメールアドレスのドメインと、当該ドメインに対応する組織のＦＱＤＮとの組み合わせを照合データ保存部に予め保存する機能、を有して、 受信した前記電子メールのヘッダＦｒｏｍのドメインと前記リンク先情報から抽出される、実際のアクセス先となるリンク先ＵＲＬのＦＱＤＮとの組み合わせを前記照合データ保存部と照合して、前記電子メールが適切か否かを判定する、ことを特徴とする記載の情報処理プログラム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００７
【補正方法】変更
【補正の内容】
【０００７】
本発明の実施形態に係る情報処理装置は、受信した電子メールの送信元及びリンク先情報を含むメール情報を抽出するメール情報抽出部と、前記送信元に対応するメールアドレスのドメインと前記リンク先情報のドメインを比較することにより前記電子メールが適切か否かを判定する判定部と、組織それぞれのメールアドレスのドメインと、当該ドメインに対応する組織のＦＱＤＮとの組み合わせを予め保存する照合データ保存部と、を備えて、前記判定部は、受信した前記電子メールのヘッダＦｒｏｍのドメインと前記リンク先情報から抽出される、実際のアクセス先となるリンク先ＵＲＬのＦＱＤＮとの組み合わせを前記照合データ保存部と照合して、前記電子メールが適切か否かを判定する、ことを特徴とする。