(57)【要約】【課題】  利用者が閲覧しようとしているサイトがフィッシング詐欺サイトでないことを高い確率で検証する。【解決手段】  会社名解析部１２とＵＲＬ解析部１３は受信したメール３から会社名とＵＲＬを抽出し、組にして取得メール情報リスト１４に格納する。会社リスト処理部１５は、取得メール情報リスト１４の会社名に該当する会社名が会社リスト１９に存在しない場合、または、会社名は存在するが同一またはＵＲＬ関係ルール辞書１８に記述された内容に一致するＵＲＬが存在しない場合には、インタネット４上に存在する複数の検索サイト５に接続し、取得メール情報リスト１４の会社名による検索を実施し、複数の検索サイト５の検索結果の上位ｎ位以内に入ったＵＲＬと取得メール情報リスト１４ＵＲＬが同一またはＵＲＬ関係ルール辞書１８に記述された内容に一致する場合には、その会社名とＵＲＬの関係は正当であると見なし、会社リスト１９に登録する。【選択図】  図１
2006338494.tif 000002
【特許請求の範囲】
【請求項１】
利用者がアクセスしたＷｅｂサイトが正当なサイトか否かを検証する正当サイト検証方法であって、
利用者が受信したメールから会社名を抽出する会社名抽出ステップと、
前記メールからＵＲＬを抽出するＵＲＬ抽出ステップと、
前記抽出された会社名とＵＲＬを取得メール情報リストとして記憶手段に記憶する取得メール情報リスト記憶ステップと、
前記取得メール情報リスト中の会社名に該当する会社名が所定の会社リストに存在しないか、会社名は存在するが前記取得メール情報リスト中のＵＲＬが前記会社リスト中の該会社名のＵＲＬと同一または、メールから抽出されたＵＲＬがメールから抽出された会社名と関連するＵＲＬかどうかを判断するためのルールを定めたＵＲＬ関係ルール辞書に記述された内容に一致しない場合、検索サイトに接続し、前記取得メール情報リスト中の会社名による検索を行ない、検索結果のＵＲＬと前記取得メール情報リスト中のＵＲＬが同一または前記ＵＲＬ関係ルール辞書に記述された内容に一致した場合、前記取得メール情報リスト中の会社名とＵＲＬの関係が正当であるとみなし、前記会社リストに登録する関連ＵＲＬ抽出ステップと、
利用者がブラウザを起動した場合、開こうとしているＵＲＬが前記会社リスト内のＵＲＬと同一または前記ＵＲＬ関係ルール辞書に記述された内容に一致した場合、前記開こうとしているＵＲＬは正当なサイトのものであると利用者に通知し、開こうとしているＵＲＬが前記会社リスト内のＵＲＬと同一でもなく、前記ＵＲＬ関係ルール辞書に記述された内容とも一致しない場合、前記開こうとしているＵＲＬは不正サイトの可能性があると利用者に通知するＵＲＬ検証ステップと、
を有する正当サイト検証方法。
【請求項２】
前記会社名抽出ステップでは、形態素解析または会社名リストを利用して、メール中より会社名と推測される文字列を抽出する、請求項１に記載の正当サイト検証方法。
【請求項３】
前記会社名抽出ステップでは、正規表現のルールに基づいて、メール中より会社名と推測される文字列を抽出する、請求項１に記載の正当サイト検証方法。
【請求項４】
前記関連ＵＲＬ抽出ステップでは、複数の検索サイトにおいて、当該会社名による検索を行った際に、ランキング上位に出現するＵＲＬのうち、複数の検索サイトに出現するＵＲＬまたは、検索を実施した検索サイトのうち過半数の検索サイトにおいて上位に出現するＵＲＬを、当該会社名に関連したＵＲＬと判断する、請求項１から３のいずれかに記載の正当サイト検証方法。
【請求項５】
前記ＵＲＬ関係ルール辞書のルールが、正規表現を用いて、検索サイトから抽出されたＵＲＬの下位ディレクトリにメールから抽出されたＵＲＬが存在する場合に正当と判断し、また検索サイトから抽出されたＵＲＬの下位ディレクトリであるが、「〜（チルダ）」で表現される、ホームディレクトリ配下にメールから抽出されるＵＲＬが存在する場合に不当と判断する、ものである、請求項１から４のいずれかに記載の正当サイト検証方法。
【請求項６】
利用者がアクセスしたｗｅｂサイトが正当なサイトか否かを検証する正当サイト検証装置であって、
利用者が受信したメールから会社名を抽出する会社名抽出手段と、
前記メールからＵＲＬを抽出するＵＲＬ抽出手段と、
前記抽出された会社名とＵＲＬを取得メール情報リストとして記憶する記憶手段と、
前記取得メール情報リスト中の会社名に該当する会社名が所定の会社リストに存在しないか、会社名は存在するが前記取得メール情報リスト中のＵＲＬが前記会社リスト中の該会社名のＵＲＬと同一または、メールから抽出されたＵＲＬがメールから抽出された会社名と関連するＵＲＬかどうかを判断するためのルールを定めたＵＲＬ関係ルール辞書に記述された内容に一致しない場合、検索サイトに接続し、前記取得メール情報リスト中の会社名による検索を行ない、検索結果のＵＲＬと前記取得メール情報リスト中のＵＲＬが同一または前記ＵＲＬ関係ルール辞書に記述された内容に一致した場合、前記取得メール情報リスト中の会社名とＵＲＬの関係が正当であるとみなし、前記会社リストに登録する会社リスト処理手段と、
利用者がブラウザを起動した場合、開こうとしているＵＲＬが前記会社リスト内のＵＲＬと同一または前記ＵＲＬ関係ルール辞書に記述された内容に一致した場合、前記開こうとしているＵＲＬは正当なサイトのものであると利用者に通知し、開こうとしているＵＲＬが前記会社リスト内のＵＲＬと同一でもなく、前記ＵＲＬ関係ルール辞書に記述された内容とも一致しない場合、前記開こうとしているＵＲＬは不正サイトの可能性があると利用者に通知するＵＲＬ検証手段と、
を有する正当サイト検証装置。
【請求項７】
請求項１から５のいずれかに記載の正当サイト検証方法をコンピュータに実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はネットワークセキュリティに関し、特にフィッシング詐欺対策方法に関する。
【背景技術】
【０００２】
昨今のネットワーク技術の発達に伴い、メールやＷｅｂなどのネットワークツールを利用して、氏名・年齢・住所・電話番号などの個人情報や、クレジットカード番号・ＩＤ・パスワードなどの信用情報を盗むフィッシング詐欺が多発するようになってきた。
【０００３】
フィッシング詐欺は個人情報の確認や修正を要求する内容のメールを始めとすることが多い。同メールは、あたかも有名な銀行やクレジットカード会社が送信したかのように装い、受信者にＷｅｂサイトにおいて個人情報の入力・修正などを要求し、そのＵＲＬ(Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ)が記載されている。当該ＵＲＬは偽のＵＲＬであるが、当該ＵＲＬの画面は正規のサイトに酷似していたり、アドレスバーが詐称されていたりして、利用者にフィッシング詐欺サイトだと気づかれないよう装っている。
【０００４】
このようなフィッシング詐欺への対策として様々な技術が提案されている。
【０００５】
ＣｏｒｅＳｔｒｅｅｔ社のＳｐｏｏｆＳｔｉｃｋは、Ｗｅｂブラウザのツールバーに接続しているサイト名を巨大に表示する手法を取ることで利用者の注意を喚起し、ＩＰアドレスだけといった嫌疑サイトが分かり易いようにしている（非特許文献１）。
【０００６】
Ｄｅｅｐｎｅｔ  Ｔｅｃｈｎｏｌｏｇｉｅｓ社のＤｅｅｐｎｅｔ  Ｅｘｐｌｏｒｅｒは、フィッシングサイトとしてブラックリストに載ったサイトを閲覧しようとした場合や、ＩＰアドレスだけなどのイレギュラーなＵＲＬサイトを閲覧しようとした場合には、ポップアップダイアログにて利用者の注意を喚起する手法を採用している（非特許文献２）。
【０００７】
Ｎｅｔｓｃａｐｅ社のＮｅｔｓｃａｐｅ８．０は、ブラックリストを用いてフィッシング詐欺サイトを排除する手法を採用している（非特許文献３）。
【非特許文献１】HYPERLINK "http://www.corestreet.com/spoofstick/" http://www.corestreet.com/spoofstick/（平成１７年３月１５日検索）
【非特許文献２】http://www.deepnetexplorer.com/（平成１７年３月１５日検索）
【非特許文献３】http://browser.netscape.com/nsb/support/relnotes.jsp（平成１７年３月１５日検索）
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、ブラックリストによる対策では、平均寿命が一週間と言われるフィッシング詐欺サイトをリアルタイムに発見・登録することは非常に困難である。
【０００９】
また、ＩＰアドレスだけのＵＲＬであったとしても必ずしも詐欺サイトであるとは限らず、なんどかＩＰアドレスだけのサイトを閲覧した利用者は、ＩＰアドレスだけのＵＲＬに対する注意喚起を無視して行動するようになってしまう。
【００１０】
本発明の目的は、利用者が閲覧しようとしているサイトがフィッシング詐欺サイトなどの不正なサイトでないことを高い確率で検証可能な正当サイト検証方法、装置、およびプログラムを提供することにある。
【課題を解決するための手段】
【００１１】
本発明の正当サイト検証方法は、
利用者が受信したメールから会社名を抽出するステップと、
メールからＵＲＬを抽出するステップと、
前記抽出された会社名とＵＲＬを取得メール情報リストとして記憶手段に記憶するステップと、
前記取得メール情報リスト中の会社名に該当する会社名が所定の会社リストに存在しないか、会社名は存在するが前記取得メール情報リスト中のＵＲＬが前記会社リスト中の該会社名のＵＲＬと同一または、メールから抽出されたＵＲＬがメールから抽出された会社名と関連するＵＲＬかどうかを判断するためのルールを定めたＵＲＬ関係ルール辞書に記述された内容に一致しない場合、検索サイトに接続し、前記取得メール情報リスト中の会社名による検索を行ない、検索結果のＵＲＬと前記取得メール情報リスト中のＵＲＬが同一または前記ＵＲＬ関係ルール辞書に記述された内容に一致した場合、前記取得メール情報リスト中の会社名とＵＲＬの関係が正当であるとみなし、前記会社リストに登録する関連ＵＲＬ抽出ステップと、
利用者がブラウザを起動した場合、開こうとしているＵＲＬが前記会社リスト内のＵＲＬと同一または前記ＵＲＬ関係ルール辞書に記述された内容に一致した場合、前記開こうとしているＵＲＬは正当なサイトのものであると利用者に通知し、開こうとしているＵＲＬが前記会社リスト内のＵＲＬと同一でもなく、前記ＵＲＬ関係ルール辞書に記述された内容とも一致しない場合、前記開こうとしているＵＲＬは不正サイトの可能性があると利用者に通知するＵＲＬ検証ステップと、
を有する。
【００１２】
本発明は、ホワイトリストとして検索サイトを利用する検証を行うことで、サイトの正当性を確認するものである。
【００１３】
メールを受信した段階で、メール文中の会社名と推測される文字列と、メール中に記載のＵＲＬとの組み合わせを取得する。検索サイトにおいて上記取得した会社名による検索を行い、その結果得られるサイトのＵＲＬと上記取得したＵＲＬとをルールに基づいて比較する。ルールに合致した場合は、そのＵＲＬはその会社と関係ある正当なＵＲＬであると検証する。
【発明の効果】
【００１４】
平均寿命の短いフィッシング詐欺サイトが検索サイトにおいて上位のランキングを得ることは事実上不可能であるため、利用者が閲覧しようとしているサイトがフィッシング詐欺サイトでないことを高確率で検証可能である。
【００１５】
ＩＰアドレス直打ちの正当なＵＲＬであったとしても、当該会社のサイトとして検索サイトの上位に存在する限り検証可能である。
【発明を実施するための最良の形態】
【００１６】
次に、本発明の実施の形態について図面を参照して説明する。
【００１７】
図１は本発明の一実施形態による正当サイト検証装置のブロック図である。
【００１８】
本正当サイト検証装置はメール解析部１とブラウザ部２で構成されている。
【００１９】
メール解析部１はメールの受信（ｐｏｐ３やｉｍａｐ４などの取得を含む）を検知し、受信したメールの解析を行なうもので、形態素解析部１１と会社名解析部１２とＵＲＬ解析部１３と取得メール情報リスト１４と会社リスト処理部１５と会社名ルール辞書１６とＵＲＬルール辞書１７とＵＲＬ関係ルール辞書１８と会社リスト１９とを有している。ここでは、メールはＨＴＭＬメールの場合を処理の対象としている。
【００２０】
形態素解析部１１は、メール３を形態素解析し、その出力結果を会社名解析部１２に送る。
【００２１】
会社名解析部１２は、メール３の形態素解析結果およびメール３に対し、会社名ルール辞書１６の内容に従って会社名と類推される名詞を抽出する。会社名ルール辞書１６の例として正規表現を用いた表記例を表１に示す。
【００２２】
【表１】
2006338494.tif 000003
【００２３】
ＵＲＬ解析部１３は、メール３に対し、ＵＲＬルール辞書１７の内容に従ってＵＲＬと類推される部分を抽出する。ＵＲＬルール辞書１７は例えば正規表現で記述されており、例としては「ｓ？ｈｔｔｐｓ？：／／［−＿．！~＊’（）ａ−ｚＡ−Ｚ０−９；／？：＠＆＝＋＄，％＃］＋」などの表記が可能である。抽出された会社名およびＵＲＬの組は、取得メール情報リスト１４に格納される。取得メール情報リスト１４の表記例を表２に示す。
【００２４】
【表２】
2006338494.tif 000004
【００２５】
会社リスト処理部１５は、取得メール情報リスト１４の会社名に該当する会社名が会社リスト１９に存在するかどうか検索し、有効期間内の会社名が会社リスト１９に存在する場合には会社リスト１９のＵＲＬと取得メール情報リスト１４のＵＲＬとを比較する。この二つのＵＲＬが同一またはＵＲＬ関係ルール辞書１８に記述される内容に一致する場合には、当該ＵＲＬは当該会社のＵＲＬとして正当なものであると判断し、取得メール情報リスト１４から当該会社名およびＵＲＬを消去する。会社リスト１９の記述例を表３に示す。
【００２６】
【表３】
2006338494.tif 000005
【００２７】
また、ＵＲＬ関係ルール辞書１８は、メールから抽出されたＵＲＬがメールから抽出された会社名と関連するＵＲＬかどうかを判断するためのルール、たとえば、検索サイトから抽出されたＵＲＬの下位ディレクトリにメールから抽出されたＵＲＬが存在する場合に正当と判断し、また検索サイトから抽出されたＵＲＬの下位ディレクトリであるが、「〜（チルダ）」で表現される、ホームディレクトリ配下にメールから抽出されるＵＲＬが存在する場合に不当と判断する、ルールを定めたもので、例えば正規表現で記述されており、その例を表４に示す。
【００２８】
【表４】
2006338494.tif 000006
【００２９】
一方、取得メール情報リスト１４の会社名に該当する会社名が会社リスト１９に存在しない場合、または、会社名は存在するが同一またはＵＲＬ関係ルール辞書１８に記述される内容に一致するＵＲＬが存在しない場合には、会社リスト処理部１５はインタネット４上に存在する複数の検索サイト５に接続し、取得メール情報リスト１４の会社名による検索を実施する。複数の検索サイト５の検索結果の上位ｎ位（例えば上位５位）以内に入ったＵＲＬと取得メール情報リスト１４の当該会社名にむすびづけられたＵＲＬを比較する。過半数の検索サイト５にて検索結果の上位ｎ位に入ったＵＲＬとメール情報リスト１４のＵＲＬが同一またはＵＲＬ関係ルール辞書１８に記述される内容に一致する場合には、その会社名とＵＲＬの関係は正当であると見なし、会社リスト１９に登録する。なお、検索サイト５のロボットによる解析が比較的長期間（フィッシングサイトの寿命の平均である一週間よりは遥かに長期間）をかけて反映されるため、フィッシングサイトが検索サイト５の上位に食い込むことは非常に困難と思われる。
【００３０】
利用者がメール３内のＵＲＬをダブルクリックするなどしてブラウザを起動した場合、ブラウザ部２のＵＲＬ検証部２１は、利用者からの指示に従って開こうとしているＵＲＬと会社リスト１９内のＵＲＬを比較する。開こうとしているＵＲＬが会社リスト１９内のＵＲＬと同一またはＵＲＬ関係ルール辞書１８に記述される内容に合致する場合であれば、利用者から指示されたＵＲＬは正当であるとして、当該会社リスト内の会社名として正当である旨利用者に通知する。
【００３１】
一方、利用者からの指示に従って開こうとしているＵＲＬが会社リスト１９内のＵＲＬと同一でもなくＵＲＬ関係ルール辞書１８に記述される内容とも合致しない場合であれば、利用者から指示されたＵＲＬは不正の可能性があるとして、利用者にその旨通知する。
【００３２】
なお、以上説明した正当サイト検証装置の機能は、その機能を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行するものであってもよい。コンピュータ読み取り可能な記録媒体とは、フレキシブルディスク、光磁気ディスク、ＣＤ−ＲＯＭ等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等の記憶装置を指す。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプログラムを送信する場合のように、短時間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータ内の揮発性メモリのように、一定時間プログラムを保持しているものを含む。
【図面の簡単な説明】
【００３３】
【図１】本発明の一実施形態による正当サイト検証装置のブロック図である。
【符号の説明】
【００３４】
１    メール解析部
２    ブラウザ部
３    メール
４    インタネット
５    検索サイト
１１    形態素解析部
１２    会社名解析部
１３    ＵＲＬ解析部
１４    取得メール情報リスト
１５    会社リスト処理部
１６    会社名ルール辞書
１７    ＵＲＬルール辞書
１８    ＵＲＬ関係ルール辞書
１９    会社リスト
２１    ＵＲＬ検証部
【図１】
2006338494.tif 000007