(57)【要約】【課題】電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールを検出することができる電子メール処理装置を提供する。【解決手段】電子メール処理装置は、電子メールの本文または件名から検出した第１送信者情報と、その電子メールのヘッダから検出した第２送信者情報が不一致の場合、その電子メールが詐称であると判断する。【選択図】図１
2018180871.tif 000002
【特許請求の範囲】
【請求項１】
電子メールの本文または件名から検出した第１送信者情報と、前記電子メールのヘッダから検出した第２送信者情報が不一致の場合、該電子メールが詐称であると判断する、
電子メール処理装置。
【請求項２】
電子メールの本文または件名から検出した第１送信者情報と、前記電子メールのヘッダから検出した第２送信者情報が不一致の場合、該電子メールについての詐称対応処理を行う、
電子メール処理装置。
【請求項３】
電子メールの本文または件名から第１送信者情報を検出する第１検出手段と、
前記電子メールのヘッダから第２送信者情報を検出する第２検出手段と、
前記第１送信者情報と前記第２送信者情報が不一致の場合、前記電子メールが詐称であると判断する詐称判断手段と、
を具備する電子メール処理装置。
【請求項４】
電子メールの本文または件名から第１送信者情報を検出する第１検出手段と、
前記電子メールのヘッダから第２送信者情報を検出する第２検出手段と、
前記第１送信者情報と前記第２送信者情報が不一致の場合、前記電子メールについての詐称対応処理を行う詐称対応処理手段と、
を具備する電子メール処理装置。
【請求項５】
電子メールの本文または件名から送信者の組織名を検出し、前記送信者の組織名から、組織名とドメインの対応表を参照して、第１送信者ドメインを検出する第１検出手段と、
前記電子メールのヘッダから第２送信者ドメインを検出する第２検出手段と、
前記第１送信者ドメインと前記第２送信者ドメインが不一致の場合、前記電子メールが詐称であると判断する詐称判断手段と、
を具備する電子メール処理装置。
【請求項６】
電子メールの本文または件名から送信者の組織名を検出し、前記送信者の組織名から、組織名とドメインの対応表を参照して、第１送信者ドメインを検出する第１検出手段と、
前記電子メールのヘッダから第２送信者ドメインを検出する第２検出手段と、
前記第１送信者ドメインと前記第２送信者ドメインが不一致の場合、前記電子メールについての詐称対応処理を行う詐称対応処理手段と、
を具備する電子メール処理装置。
【請求項７】
電子メールの本文または件名から第１送信者組織名を検出する第１検出手段と、
前記電子メールのヘッダから送信者のドメインを検出し、前記送信者のドメインから、組織名とドメインの対応表を参照して、第２送信者組織名を検出する第２検出手段と、
前記第１組織名と前記第２組織名が不一致の場合、前記電子メールが詐称であると判断する詐称判断手段と、
を具備する電子メール処理装置。
【請求項８】
電子メールの本文または件名から第１送信者組織名を検出する第１検出手段と、
前記電子メールのヘッダから送信者のドメインを検出し、前記送信者のドメインから、組織名とドメインの対応表を参照して、第２送信者組織名を検出する第２検出手段と、
前記第１組織名と前記第２組織名が不一致の場合、前記電子メールについての詐称対応処理を行う詐称対応処理手段と、
を具備する電子メール処理装置。
【請求項９】
電子メールの本文または件名内の第１箇所から検出した第１送信者情報と該本文または件名内の該第１箇所とは異なる第２の箇所から検出した第２送信者情報とが不一致の場合、該電子メールが詐称であると判断する、
電子メール処理装置。
【請求項１０】
電子メールの本文または件名内の第１箇所から検出した第１送信者情報と該本文または件名内の該第１箇所とは異なる第２の箇所から検出した第２送信者情報とが不一致の場合、該電子メールについての詐称対応処理を行う、
電子メール処理装置。
【請求項１１】
前記第１送信者情報と前記第２送信者情報は、送信者ドメインまたは送信者の組織名である、
請求項１から４、９、１０のいずれか一項に記載の電子メール処理装置。
【請求項１２】
前記第２送信者情報は、前記電子メールのＦｒｏｍフィールド、Ｒｅｐｌｙ−Ｔｏフィールド、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド、Ｒｅｃｅｉｖｅｄフィールドのいずれか１つ以上から検出された情報である、
請求項１から４、１１（請求項９または請求項１０に従属する請求項１１を除く）のいずれか一項に記載の電子メール処理装置。
【請求項１３】
前記詐称対応処理として、詐称である旨の警告を提示すること、前記電子メールを開くことができないようにすること、管理者に通知すること、のいずれか１つ、または、これらの組み合わせを行う、
請求項２、４、６、８、１０に記載の電子メール処理装置。
【請求項１４】
前記警告の提示として、詐称であると判断した理由を提示する、
請求項１３に記載の電子メール処理装置。
【請求項１５】
前記第１送信者情報を検出できなかった箇所がある場合であって、その他の箇所から検出された第１送信者情報と第２送信者情報が一致した場合は、前記警告の提示として、詐称である可能性があることを提示する、
請求項１３または１４に記載の電子メール処理装置。
【請求項１６】
コンピュータに、
電子メールの本文または件名から検出した第１送信者情報と、前記電子メールのヘッダから検出した第２送信者情報が不一致の場合、該電子メールが詐称であると判断すること
を実現させるための電子メール処理プログラム。
【請求項１７】
コンピュータに、
電子メールの本文または件名から検出した第１送信者情報と、前記電子メールのヘッダから検出した第２送信者情報が不一致の場合、該電子メールについての詐称対応処理を行うこと
を実現させるための電子メール処理プログラム。
【請求項１８】
コンピュータを、
電子メールの本文または件名から第１送信者情報を検出する第１検出手段と、
前記電子メールのヘッダから第２送信者情報を検出する第２検出手段と、
前記第１送信者情報と前記第２送信者情報が不一致の場合、前記電子メールが詐称であると判断する詐称判断手段
として機能させるための電子メール処理プログラム。
【請求項１９】
コンピュータを、
電子メールの本文または件名から第１送信者情報を検出する第１検出手段と、
前記電子メールのヘッダから第２送信者情報を検出する第２検出手段と、
前記第１送信者情報と前記第２送信者情報が不一致の場合、前記電子メールについての詐称対応処理を行う詐称対応処理手段
として機能させるための電子メール処理プログラム。
【請求項２０】
コンピュータを、
電子メールの本文または件名から送信者の組織名を検出し、前記送信者の組織名から、組織名とドメインの対応表を参照して、第１送信者ドメインを検出する第１検出手段と、
前記電子メールのヘッダから第２送信者ドメインを検出する第２検出手段と、
前記第１送信者ドメインと前記第２送信者ドメインが不一致の場合、前記電子メールが詐称であると判断する詐称判断手段
として機能させるための電子メール処理プログラム。
【請求項２１】
コンピュータを、
電子メールの本文または件名から送信者の組織名を検出し、前記送信者の組織名から、組織名とドメインの対応表を参照して、第１送信者ドメインを検出する第１検出手段と、
前記電子メールのヘッダから第２送信者ドメインを検出する第２検出手段と、
前記第１送信者ドメインと前記第２送信者ドメインが不一致の場合、前記電子メールについての詐称対応処理を行う詐称対応処理手段
として機能させるための電子メール処理プログラム。
【請求項２２】
コンピュータを、
電子メールの本文または件名から第１送信者組織名を検出する第１検出手段と、
前記電子メールのヘッダから送信者のドメインを検出し、前記送信者のドメインから、組織名とドメインの対応表を参照して、第２送信者組織名を検出する第２検出手段と、
前記第１組織名と前記第２組織名が不一致の場合、前記電子メールが詐称であると判断する詐称判断手段
として機能させるための電子メール処理プログラム。
【請求項２３】
コンピュータを、
電子メールの本文または件名から第１送信者組織名を検出する第１検出手段と、
前記電子メールのヘッダから送信者のドメインを検出し、前記送信者のドメインから、組織名とドメインの対応表を参照して、第２送信者組織名を検出する第２検出手段と、
前記第１組織名と前記第２組織名が不一致の場合、前記電子メールについての詐称対応処理を行う詐称対応処理手段
として機能させるための電子メール処理プログラム。
【請求項２４】
コンピュータに、
電子メールの本文または件名内の第１箇所から検出した第１送信者情報と該本文または件名内の該第１箇所とは異なる第２の箇所から検出した第２送信者情報とが不一致の場合、該電子メールが詐称であると判断すること
を実現させるための電子メール処理プログラム。
【請求項２５】
コンピュータに、
電子メールの本文または件名内の第１箇所から検出した第１送信者情報と該本文または件名内の該第１箇所とは異なる第２の箇所から検出した第２送信者情報とが不一致の場合、該電子メールについての詐称対応処理を行うこと
を実現させるための電子メール処理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電子メール処理装置および電子メール処理プログラムに関する。
【背景技術】
【０００２】
特許文献１には、電子メールメッセージの送信元電子メールアドレスの詐称の有無を容易に判断できるようにすることを課題とし、中継装置は、メール転送サーバ装置から端末へ送信される電子メールメッセージのメールヘッダにおける「Ｆｒｏｍ」のヘッダフィールドと「Ｒｅｃｅｉｖｅｄ」のヘッダフィールドから、送信元電子メールアドレスとトレース情報を取得し、送信元電子メールアドレスとトレース情報が同じドメイン名の文字列を含んでいる場合に、送信元が詐称されていないことを示す文字列をメールボディに付加して送信し、同じドメイン名の文字列を含んでいない場合に、送信元が詐称されていることを示す文字列をメールボディに付加して送信することが開示されている。
【０００３】
特許文献２には、有害ＷｅｂサイトのＵＲＬを登録しなくても、リンク部分に有害ＷｅｂサイトのＵＲＬが設定されている電子メールに対して、破棄などの特定の処理を行うことを課題とし、認証サーバは、電子メールのリンク部分に表示される表示内容とそのリンク部分のリンク先となるリンク先ＵＲＬとの組み合わせのうち認証済の組み合わせを予め登録し、メールフィルタは、受信した電子メールから抽出した組み合わせが認証サーバに予め登録された認証済のものでなければ、そのような電子メールに対して、破棄などの特定の処理を行うことが開示されている。
【０００４】
非特許文献１には、support@microsoft-securityprotection-support.comなる電子メールアドレスからのメールについて、「２０１７年１月１１日深夜より、マイクロソフトを装った『ご注意！！ＯＦＦＩＣＥのプロダクトキーが不正コピーされています。』という件名の不審メールが、不特定多数のお客様に断続的に配信されています。このメールはマイクロソフトから配信したものではなく、記載されている内容は事実ではありません。メールの受信を確認した場合は、開かずに、そのまま削除してください。メールを開いてしまった場合でも、本文中に記載のＵＲＬをクリックしないでください。ＵＲＬをクリックすると、クレジットカード情報等の個人情報入力を求められる画面が表示されますが、絶対に情報を入力しないようお願いいたします。」と記載されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１０−０６１４０６号公報
【特許文献２】特開２００７−０１１９６７号公報
【非特許文献】
【０００６】
【非特許文献１】“マイクロソフトを装った不審メールの配信について”、［ｏｎｌｉｎｅ］、２０１７年１月１２日、［平成２９年３月２９日検索］、インターネット（URL:https://news.microsoft.com/ja-jp/2017/01/12/170112_information/）
【発明の概要】
【発明が解決しようとする課題】
【０００７】
送信者を詐称した電子メールを検出することが行われている。電子メールのヘッダ内のＦｒｏｍフィールドとＲｅｃｅｉｖｅｄフィールドの一致で判断した場合、ヘッダ部分は詐称していないが、本文内を詐称している場合に対応することができない。また、電子メールの本文内のリンク部分の表示内容とリンク先ＵＲＬとの組み合わせで判断した場合、本文内にＵＲＬが含まれていない場合は、詐称を検出することができない。
本発明は、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールを検出することができる電子メール処理装置および電子メール処理プログラムを提供することを目的としている。
【課題を解決するための手段】
【０００８】
かかる目的を達成するための本発明の要旨とするところは、次の各項の発明に存する。
請求項１の発明は、電子メールの本文または件名から検出した第１送信者情報と、前記電子メールのヘッダから検出した第２送信者情報が不一致の場合、該電子メールが詐称であると判断する、電子メール処理装置である。
【０００９】
請求項２の発明は、電子メールの本文または件名から検出した第１送信者情報と、前記電子メールのヘッダから検出した第２送信者情報が不一致の場合、該電子メールについての詐称対応処理を行う、電子メール処理装置である。
【００１０】
請求項３の発明は、電子メールの本文または件名から第１送信者情報を検出する第１検出手段と、前記電子メールのヘッダから第２送信者情報を検出する第２検出手段と、前記第１送信者情報と前記第２送信者情報が不一致の場合、前記電子メールが詐称であると判断する詐称判断手段と、を具備する電子メール処理装置である。
【００１１】
請求項４の発明は、電子メールの本文または件名から第１送信者情報を検出する第１検出手段と、前記電子メールのヘッダから第２送信者情報を検出する第２検出手段と、前記第１送信者情報と前記第２送信者情報が不一致の場合、前記電子メールについての詐称対応処理を行う詐称対応処理手段と、を具備する電子メール処理装置である。
【００１２】
請求項５の発明は、電子メールの本文または件名から送信者の組織名を検出し、前記送信者の組織名から、組織名とドメインの対応表を参照して、第１送信者ドメインを検出する第１検出手段と、前記電子メールのヘッダから第２送信者ドメインを検出する第２検出手段と、前記第１送信者ドメインと前記第２送信者ドメインが不一致の場合、前記電子メールが詐称であると判断する詐称判断手段と、を具備する電子メール処理装置である。
【００１３】
請求項６の発明は、電子メールの本文または件名から送信者の組織名を検出し、前記送信者の組織名から、組織名とドメインの対応表を参照して、第１送信者ドメインを検出する第１検出手段と、前記電子メールのヘッダから第２送信者ドメインを検出する第２検出手段と、前記第１送信者ドメインと前記第２送信者ドメインが不一致の場合、前記電子メールについての詐称対応処理を行う詐称対応処理手段と、を具備する電子メール処理装置である。
【００１４】
請求項７の発明は、電子メールの本文または件名から第１送信者組織名を検出する第１検出手段と、前記電子メールのヘッダから送信者のドメインを検出し、前記送信者のドメインから、組織名とドメインの対応表を参照して、第２送信者組織名を検出する第２検出手段と、前記第１組織名と前記第２組織名が不一致の場合、前記電子メールが詐称であると判断する詐称判断手段と、を具備する電子メール処理装置である。
【００１５】
請求項８の発明は、電子メールの本文または件名から第１送信者組織名を検出する第１検出手段と、前記電子メールのヘッダから送信者のドメインを検出し、前記送信者のドメインから、組織名とドメインの対応表を参照して、第２送信者組織名を検出する第２検出手段と、前記第１組織名と前記第２組織名が不一致の場合、前記電子メールについての詐称対応処理を行う詐称対応処理手段と、を具備する電子メール処理装置である。
【００１６】
請求項９の発明は、電子メールの本文または件名内の第１箇所から検出した第１送信者情報と該本文または件名内の該第１箇所とは異なる第２の箇所から検出した第２送信者情報とが不一致の場合、該電子メールが詐称であると判断する、電子メール処理装置である。
【００１７】
請求項１０の発明は、電子メールの本文または件名内の第１箇所から検出した第１送信者情報と該本文または件名内の該第１箇所とは異なる第２の箇所から検出した第２送信者情報とが不一致の場合、該電子メールについての詐称対応処理を行う、電子メール処理装置である。
【００１８】
請求項１１の発明は、前記第１送信者情報と前記第２送信者情報は、送信者ドメインまたは送信者の組織名である、請求項１から４、９、１０のいずれか一項に記載の電子メール処理装置である。
【００１９】
請求項１２の発明は、前記第２送信者情報は、前記電子メールのＦｒｏｍフィールド、Ｒｅｐｌｙ−Ｔｏフィールド、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド、Ｒｅｃｅｉｖｅｄフィールドのいずれか１つ以上から検出された情報である、請求項１から４、１１（請求項９または請求項１０に従属する請求項１１を除く）のいずれか一項に記載の電子メール処理装置である。
【００２０】
請求項１３の発明は、前記詐称対応処理として、詐称である旨の警告を提示すること、前記電子メールを開くことができないようにすること、管理者に通知すること、のいずれか１つ、または、これらの組み合わせを行う、請求項２、４、６、８、１０に記載の電子メール処理装置である。
【００２１】
請求項１４の発明は、前記警告の提示として、詐称であると判断した理由を提示する、請求項１３に記載の電子メール処理装置である。
【００２２】
請求項１５の発明は、前記第１送信者情報を検出できなかった箇所がある場合であって、その他の箇所から検出された第１送信者情報と第２送信者情報が一致した場合は、前記警告の提示として、詐称である可能性があることを提示する、請求項１３または１４に記載の電子メール処理装置である。
【００２３】
請求項１６の発明は、コンピュータに、電子メールの本文または件名から検出した第１送信者情報と、前記電子メールのヘッダから検出した第２送信者情報が不一致の場合、該電子メールが詐称であると判断することを実現させるための電子メール処理プログラムである。
【００２４】
請求項１７の発明は、コンピュータに、電子メールの本文または件名から検出した第１送信者情報と、前記電子メールのヘッダから検出した第２送信者情報が不一致の場合、該電子メールについての詐称対応処理を行うことを実現させるための電子メール処理プログラムである。
【００２５】
請求項１８の発明は、コンピュータを、電子メールの本文または件名から第１送信者情報を検出する第１検出手段と、前記電子メールのヘッダから第２送信者情報を検出する第２検出手段と、前記第１送信者情報と前記第２送信者情報が不一致の場合、前記電子メールが詐称であると判断する詐称判断手段として機能させるための電子メール処理プログラムである。
【００２６】
請求項１９の発明は、コンピュータを、電子メールの本文または件名から第１送信者情報を検出する第１検出手段と、前記電子メールのヘッダから第２送信者情報を検出する第２検出手段と、前記第１送信者情報と前記第２送信者情報が不一致の場合、前記電子メールについての詐称対応処理を行う詐称対応処理手段として機能させるための電子メール処理プログラムである。
【００２７】
請求項２０の発明は、コンピュータを、電子メールの本文または件名から送信者の組織名を検出し、前記送信者の組織名から、組織名とドメインの対応表を参照して、第１送信者ドメインを検出する第１検出手段と、前記電子メールのヘッダから第２送信者ドメインを検出する第２検出手段と、前記第１送信者ドメインと前記第２送信者ドメインが不一致の場合、前記電子メールが詐称であると判断する詐称判断手段として機能させるための電子メール処理プログラムである。
【００２８】
請求項２１の発明は、コンピュータを、電子メールの本文または件名から送信者の組織名を検出し、前記送信者の組織名から、組織名とドメインの対応表を参照して、第１送信者ドメインを検出する第１検出手段と、前記電子メールのヘッダから第２送信者ドメインを検出する第２検出手段と、前記第１送信者ドメインと前記第２送信者ドメインが不一致の場合、前記電子メールについての詐称対応処理を行う詐称対応処理手段として機能させるための電子メール処理プログラムである。
【００２９】
請求項２２の発明は、コンピュータを、電子メールの本文または件名から第１送信者組織名を検出する第１検出手段と、前記電子メールのヘッダから送信者のドメインを検出し、前記送信者のドメインから、組織名とドメインの対応表を参照して、第２送信者組織名を検出する第２検出手段と、前記第１組織名と前記第２組織名が不一致の場合、前記電子メールが詐称であると判断する詐称判断手段として機能させるための電子メール処理プログラムである。
【００３０】
請求項２３の発明は、コンピュータを、電子メールの本文または件名から第１送信者組織名を検出する第１検出手段と、前記電子メールのヘッダから送信者のドメインを検出し、前記送信者のドメインから、組織名とドメインの対応表を参照して、第２送信者組織名を検出する第２検出手段と、前記第１組織名と前記第２組織名が不一致の場合、前記電子メールについての詐称対応処理を行う詐称対応処理手段として機能させるための電子メール処理プログラムである。
【００３１】
請求項２４の発明は、コンピュータに、電子メールの本文または件名内の第１箇所から検出した第１送信者情報と該本文または件名内の該第１箇所とは異なる第２の箇所から検出した第２送信者情報とが不一致の場合、該電子メールが詐称であると判断することを実現させるための電子メール処理プログラムである。
【００３２】
請求項２５の発明は、コンピュータに、電子メールの本文または件名内の第１箇所から検出した第１送信者情報と該本文または件名内の該第１箇所とは異なる第２の箇所から検出した第２送信者情報とが不一致の場合、該電子メールについての詐称対応処理を行うことを実現させるための電子メール処理プログラムである。
【発明の効果】
【００３３】
請求項１の電子メール処理装置によれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールを検出することができる。
【００３４】
請求項２の電子メール処理装置によれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールについて詐称対応処理を行うことができる。
【００３５】
請求項３の電子メール処理装置によれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールを検出することができる。
【００３６】
請求項４の電子メール処理装置によれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールについて詐称対応処理を行うことができる。
【００３７】
請求項５の電子メール処理装置によれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールを検出することができる。
【００３８】
請求項６の電子メール処理装置によれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールについて詐称対応処理を行うことができる。
【００３９】
請求項７の電子メール処理装置によれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールを検出することができる。
【００４０】
請求項８の電子メール処理装置によれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールについて詐称対応処理を行うことができる。
【００４１】
請求項９の電子メール処理装置によれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールを検出することができる。
【００４２】
請求項１０の電子メール処理装置によれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールについて詐称対応処理を行うことができる。
【００４３】
請求項１１の電子メール処理装置によれば、第１送信者情報と第２送信者情報として、送信者ドメインまたは送信者の組織名を用いることができる。
【００４４】
請求項１２の電子メール処理装置によれば、第２送信者情報として、電子メールのＦｒｏｍフィールド、Ｒｅｐｌｙ−Ｔｏフィールド、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド、Ｒｅｃｅｉｖｅｄフィールドのいずれか１つ以上から検出された情報を用いることができる。
【００４５】
請求項１３の電子メール処理装置によれば、詐称対応処理として、詐称である旨の警告を提示すること、電子メールを開くことができないようにすること、管理者に通知すること、のいずれか１つ、または、これらの組み合わせを行うことができる。
【００４６】
請求項１４の電子メール処理装置によれば、警告の提示内に、詐称であると判断した理由を含めることができる。
【００４７】
請求項１５の電子メール処理装置によれば、第１送信者情報を検出できなかった箇所がある場合であって、その他の箇所から検出された第１送信者情報と第２送信者情報が一致した場合は、詐称である可能性があることを警告することができる。
【００４８】
請求項１６の電子メール処理プログラムによれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールを検出することができる。
【００４９】
請求項１７の電子メール処理プログラムによれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールについて詐称対応処理を行うことができる。
【００５０】
請求項１８の電子メール処理プログラムによれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールを検出することができる。
【００５１】
請求項１９の電子メール処理プログラムによれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールについて詐称対応処理を行うことができる。
【００５２】
請求項２０の電子メール処理プログラムによれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールを検出することができる。
【００５３】
請求項２１の電子メール処理プログラムによれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールについて詐称対応処理を行うことができる。
【００５４】
請求項２２の電子メール処理プログラムによれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールを検出することができる。
【００５５】
請求項２３の電子メール処理プログラムによれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールについて詐称対応処理を行うことができる。
【００５６】
請求項２４の電子メール処理プログラムによれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールを検出することができる。
【００５７】
請求項２５の電子メール処理プログラムによれば、電子メール内で詐称している部分と詐称していない部分があった場合、または、本文内のリンク部分が含まれていない場合であっても、送信者を詐称した電子メールについて詐称対応処理を行うことができる。
【図面の簡単な説明】
【００５８】
【図１】本実施の形態の構成例についての概念的なモジュール構成図である。
【図２】本実施の形態を利用したシステム構成例を示す説明図である。
【図３】電子メールのデータ構造例を示す説明図である。
【図４】電子メールの配送経路例を示す説明図である。
【図５】電子メールツールで受信した電子メールを画面に表示した例を示す説明図である。
【図６】対応表のデータ構造例を示す説明図である。
【図７】本実施の形態による処理例を示すフローチャートである。
【図８】本実施の形態による処理例を示すフローチャートである。
【図９】本実施の形態による処理例を示すフローチャートである。
【図１０】本実施の形態による処理例を示すフローチャートである。
【図１１】本実施の形態による処理例を示すフローチャートである。
【図１２】本実施の形態による処理例を示すフローチャートである。
【図１３】本実施の形態による処理例を示すフローチャートである。
【図１４】電子メールのデータ構造例を示す説明図である。
【図１５】電子メールのデータ構造例を示す説明図である。
【図１６】電子メールのデータ構造例を示す説明図である。
【図１７】本実施の形態を実現するコンピュータのハードウェア構成例を示すブロック図である。
【発明を実施するための形態】
【００５９】
以下、図面に基づき本発明を実現するにあたっての好適な一実施の形態の例を説明する。
図１は、本実施の形態の構成例についての概念的なモジュール構成図を示している。
なお、モジュールとは、一般的に論理的に分離可能なソフトウェア（コンピュータ・プログラム）、ハードウェア等の部品を指す。したがって、本実施の形態におけるモジュールはコンピュータ・プログラムにおけるモジュールのことだけでなく、ハードウェア構成におけるモジュールも指す。それゆえ、本実施の形態は、それらのモジュールとして機能させるためのコンピュータ・プログラム（コンピュータにそれぞれの手順を実行させるためのプログラム、コンピュータをそれぞれの手段として機能させるためのプログラム、コンピュータにそれぞれの機能を実現させるためのプログラム）、システムおよび方法の説明をも兼ねている。ただし、説明の都合上、「記憶する」、「記憶させる」、これらと同等の文言を用いるが、これらの文言は、実施の形態がコンピュータ・プログラムの場合は、記憶装置に記憶させる、または記憶装置に記憶させるように制御するという意味である。また、モジュールは機能に一対一に対応していてもよいが、実装においては、１モジュールを１プログラムで構成してもよいし、複数モジュールを１プログラムで構成してもよく、逆に１モジュールを複数プログラムで構成してもよい。また、複数モジュールは１コンピュータによって実行されてもよいし、分散または並列環境におけるコンピュータによって１モジュールが複数コンピュータで実行されてもよい。なお、１つのモジュールに他のモジュールが含まれていてもよい。また、以下、「接続」とは物理的な接続の他、論理的な接続（データの授受、指示、データ間の参照関係等）の場合にも用いる。「予め定められた」とは、対象としている処理の前に定まっていることをいい、本実施の形態による処理が始まる前はもちろんのこと、本実施の形態による処理が始まった後であっても、対象としている処理の前であれば、そのときの状況・状態にしたがって、またはそれまでの状況・状態にしたがって定まることの意を含めて用いる。「予め定められた値」が複数ある場合は、それぞれ異なった値であってもよいし、２以上の値（もちろんのことながら、全ての値も含む）が同じであってもよい。また、「Ａである場合、Ｂをする」という記載は、「Ａであるか否かを判断し、Ａであると判断した場合はＢをする」の意味で用いる。ただし、Ａであるか否かの判断が不要である場合を除く。また、「Ａ、Ｂ、Ｃ」等のように事物を列挙した場合は、断りがない限り例示列挙であり、その１つのみを選んでいる場合（例えば、Ａのみ）を含む。
また、システムまたは装置とは、複数のコンピュータ、ハードウェア、装置等がネットワーク（一対一対応の通信接続を含む）等の通信手段で接続されて構成されるほか、１つのコンピュータ、ハードウェア、装置等によって実現される場合も含まれる。「装置」と「システム」とは、互いに同義の用語として用いる。もちろんのことながら、「システム」には、人為的な取り決めである社会的な「仕組み」（社会システム）にすぎないものは含まない。
また、各モジュールによる処理毎にまたはモジュール内で複数の処理を行う場合はその処理毎に、対象となる情報を記憶装置から読み込み、その処理を行った後に、処理結果を記憶装置に書き出すものである。したがって、処理前の記憶装置からの読み込み、処理後の記憶装置への書き出しについては、説明を省略する場合がある。なお、ここでの記憶装置としては、ハードディスク、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）、外部記憶媒体、通信回線を介した記憶装置、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）内のレジスタ等を含んでいてもよい。
【００６０】
本実施の形態である情報処理装置１００は、電子メールを受信し、送信者を詐称している電子メールを検出するものであって、図１の例に示すように、通信モジュール１０５、メール受信モジュール１１０、詐称検出モジュール１１５を有している。
「送信者を詐称している電子メール」とは、送信者（発信元、差出人等ともいわれる）の情報を偽った電子メールのことをいい、なりすましメール、偽装メール等ともいわれる。例えば、送信者、件名（題名、タイトル、サブジェクト（Ｓｕｂｊｅｃｔ）等ともいわれる）、本文等を本来のものとは違うように偽った電子メールが該当する。
電子メールは、送信者が内容を記載できる項目（例えば、件名、本文、Ｆｒｏｍヘッダフィールド等）を含んでいる。送信者を詐称している電子メールの目的は、例えば、その電子メールの送信者が著名な会社に所属していることを電子メールの受信者に信じさせることである。そのため、送信者を詐称している電子メールは、その著名な会社の会社名やドメインを送信者が内容を記載できる項目（例えば、件名、本文、Ｆｒｏｍヘッダフィールド等）に記載している。また、電子メールは、ヘッダの一部として送信者が内容を記載できない項目（Ｒｅｃｅｉｖｅｄヘッダフィールド等）を含んでいる。たとえば、Ｒｅｃｅｉｖｅｄヘッダフィールドは、電子メールサーバが付加する情報であり、送信者が内容を記載できない情報である。したがって、電子メールの送信者を詐称する場合に、電子メール内で送信者のドメインまたは組織名を全て一致させることは困難である。特に、電子メールのヘッダ部分と本文（または件名）との間、本文（または件名）同士の間には齟齬が生じやすい。本実施の形態は、その点を考慮して、電子メールの詐称を検出するものである。      
【００６１】
非特許文献１で示した例では、送信者アドレスは「support@microsoft-securityprotection-support.com」であり、日本マイクロソフト株式会社の正しいドメイン「microsoft.co.jp」または「microsoft.com」であると送信者アドレスを詐称しているわけではない。したがって、この例は、電子メールのヘッダから得られる情報だけでは、不審メールと判断できない。
例えば、特許文献１に記載の技術では、電子メールのヘッダのＲｅｃｅｉｖｅｄヘッダフィールドとＦｒｏｍヘッダフィールドの情報を元に、電子メールの送信元の詐称を検出している。非特許文献１で示した例のように、ヘッダフィールドを詐称していない場合は、トレース情報と送信元電子メールアドレスは一致するので、詐称でないと判断される。つまり、電子メールのＲｅｃｅｉｖｅｄヘッダフィールドとＦｒｏｍヘッダフィールドの情報が一致している場合、特許文献１に記載の技術では、詐称メールを検出できない。
【００６２】
また、例えば、特許文献２に記載の技術では、電子メール本文のａ−ＴＡＧを用いたリンク部分の表示内容「中尾商会」とリンク先ＵＲＬ「ｈｔｔｐ：／／ｈｉｄｅ.ｃｏｍ」とを抽出し、認証サーバに送り、認証サーバで、リンク部分の表示内容とリンク先ＵＲＬとの組み合わせが、登録された認証情報と一致していれば、その組み合わせが認証済であると判断される。つまり、電子メール本文のリンク部分の表示内容とリンク先ＵＲＬの組み合わせが、認証サーバに登録済みでなければ、非認証メールと判断する。
（１）特許文献２に記載の技術では、リンク部分だけを利用する。
本実施の形態では、リンク部分に限らず本文全体の文字列を解析して、組織名（送信者を表す組織名）から送信者ドメインを推定し、そのドメインとヘッダ部分の送信者ドメインが対応しているか否かを判断する。または、ヘッダ部分内の送信者ドメインから組織名を推定し、そのドメインとヘッダ部分の組織名が対応しているか否かを判断する。したがって、リンク部分のＵＲＬがない電子メールでも、詐称を判断できる。
（２）特許文献２に記載の技術では、電子メールの本文から２つの情報（リンク部分の表示内容とリンク先ＵＲＬ）を抽出し、その組み合わせで詐称を判断する。
本実施の形態は、電子メールの本文から検出した送信者のドメイン（または組織名）とヘッダ部分（Ｒｅｃｅｉｖｅｄフィールド等）から検出した送信者のドメイン（または組織名）で詐称を判断する。
（３）特許文献２に記載の技術では、予め認証サーバで、正規の（詐称でない）リンク部分の表示内容とリンク先ＵＲＬとの組み合わせの登録が必要である。つまり、詐称しているデータを登録してはいけない。正規のデータだけを登録し、詐称のデータを登録しないようにすることは困難である。
【００６３】
本実施の形態では、後述する図６で示す対応表６００のように、組織名とドメインの対応表が必要である。しかし、この対応表だけで、正規と詐称とを判断しているわけではない。つまり、対応表には、正規のデータと詐称しているデータとが含まれていてもよいので、この対応表を作成するのは、特許文献２に記載の技術によるデータ登録より容易である。なお、ここで対応表に含まれてもよい「詐称しているデータ」とは、詐称を行おうとしている組織名とその組織名の組織が用いるドメインの組み合わせのデータであり、それ自体は、詐称しているものではない。具体的には、Ａ社をＢ社が詐称しようとしている場合、組織名：Ａ社とそのＡ社が用いるドメイン：Ａ−ｄｏｍａｉｎの組み合わせの他に、組織名：Ｂ社とそのＢ社が用いるドメイン：Ｂ−ｄｏｍａｉｎが対応表に登録されていてもよいことを示している。組織名：Ａ社とＢ社が用いるドメイン：Ｂ−ｄｏｍａｉｎの組み合わせ、または、組織名：Ｂ社とＡ社が用いるドメイン：Ａ−ｄｏｍａｉｎの組み合わせが対応表に登録されているわけではない。
特に、ドメインを管理しているレジストリ（登録管理組織）が提供しているｗｈｏｉｓサービスを利用すれば、自分で対応表を作成する必要がない。１組織１ドメイン名の原則（ただし、汎用ＪＰドメイン名（．ｊｐ）は複数のドメイン名登録が認められており、１組織にて２つ以上の属性型・地域型ＪＰドメイン名の登録が可能）があり、既に登録されているドメイン名は登録されないことから、前述の組織名：Ａ社とＢ社が用いるドメイン：Ｂ−ｄｏｍａｉｎの組み合わせ、または、組織名：Ｂ社とＡ社が用いるドメイン：Ａ−ｄｏｍａｉｎの組み合わせが登録されることはない。
【００６４】
通信モジュール１０５は、メール受信モジュール１１０と接続されている。通信モジュール１０５は、他の装置との間で通信を行う。その通信として、例えば、電子メールの送信または受信が含まれる。
メール受信モジュール１１０は、通信モジュール１０５、詐称検出モジュール１１５の検出（Ａ）モジュール１２０、検出（Ｂ）モジュール１２５と接続されている。メール受信モジュール１１０は、通信モジュール１０５を介して、他の装置からの電子メールを受信する。なお、メール受信モジュール１１０が受信する電子メールは、情報処理装置１００を使用しているユーザ宛の電子メールの他に、電子メールを中継するメールサーバが受信する電子メールであってもよい。つまり、前者における情報処理装置１００は、そのユーザが利用する端末であり、後者における情報処理装置１００は、メールサーバである。
【００６５】
詐称検出モジュール１１５は、検出（Ａ）モジュール１２０、検出（Ｂ）モジュール１２５、対応表記憶モジュール１３０、詐称判断モジュール１３５、詐称対応処理モジュール１４０を有している。詐称検出モジュール１１５は、メール受信モジュール１１０が受信した電子メールのうち、送信者を詐称している電子メールを検出する。
【００６６】
検出（Ａ）モジュール１２０は、メール受信モジュール１１０、詐称判断モジュール１３５と接続されている。検出（Ａ）モジュール１２０は、電子メールの本文または件名から第１送信者情報を検出する。例えば、第１送信者情報は、送信者ドメインまたは送信者の組織名である。
また、検出（Ａ）モジュール１２０は、電子メールの本文または件名から送信者の組織名を検出し、送信者の組織名から、組織名とドメインの対応表を参照して、第１送信者ドメインを検出するようにしてもよい。対応表は、対応表記憶モジュール１３０に記憶されているものを用いてもよい。
また、検出（Ａ）モジュール１２０は、電子メールの本文または件名から第１送信者組織名を検出するようにしてもよい。
また、検出（Ａ）モジュール１２０は、電子メールの本文または件名内の第１箇所から第１送信者情報を検出し、その本文または件名内の第１箇所とは異なる第２の箇所から第２Ｂ送信者情報を検出してもよい。もちろんのことながら、この「第２の箇所」は、本文または件名内にあって、第１の箇所とは異なる箇所である。例えば、ここでの第２Ｂ送信者情報は、送信者ドメインまたは送信者の組織名である。もちろんのことながら、第１送信者情報が送信者ドメインである場合は、第２Ｂ送信者情報も送信者ドメインであり、第１送信者情報が送信者の組織名である場合は、第２Ｂ送信者情報も送信者の組織名である。
【００６７】
検出（Ｂ）モジュール１２５は、メール受信モジュール１１０、詐称判断モジュール１３５と接続されている。検出（Ｂ）モジュール１２５は、電子メールのヘッダから第２送信者情報を検出する。なお、ここでの「電子メールのヘッダ」には、件名を含めない。例えば、第２送信者情報は、送信者ドメインまたは送信者の組織名である。もちろんのことながら、第１送信者情報が送信者ドメインである場合は、第２送信者情報も送信者ドメインであり、第１送信者情報が送信者の組織名である場合は、第２送信者情報も送信者の組織名である。具体的には、第２送信者情報は、電子メールのＦｒｏｍフィールド、Ｒｅｐｌｙ−Ｔｏフィールド、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド、Ｒｅｃｅｉｖｅｄフィールドのいずれか１つ以上から検出された情報である。
また、検出（Ｂ）モジュール１２５は、電子メールのヘッダから第２送信者ドメインを検出するようにしてもよい。
また、検出（Ｂ）モジュール１２５は、電子メールのヘッダから送信者のドメインを検出し、その送信者のドメインから、組織名とドメインの対応表を参照して、第２送信者組織名を検出するようにしてもよい。対応表は、対応表記憶モジュール１３０に記憶されているものを用いてもよい。
【００６８】
対応表記憶モジュール１３０は、詐称判断モジュール１３５と接続されている。対応表記憶モジュール１３０は、情報処理装置１００内になくてもよい。例えば、ＷＨＯＩＳサーバ２８０に問い合わせの通信を行い、対応表６００と同等の情報を取得するようにしてもよい。
【００６９】
詐称判断モジュール１３５は、検出（Ａ）モジュール１２０、検出（Ｂ）モジュール１２５、対応表記憶モジュール１３０、詐称対応処理モジュール１４０と接続されている。詐称判断モジュール１３５は、メール受信モジュール１１０が受信した電子メールの本文または件名から検出した第１送信者情報と、その電子メールのヘッダから検出した第２送信者情報が不一致の場合、その電子メールが詐称であると判断する。なお、第１送信者情報は検出（Ａ）モジュール１２０が検出したものを用い、第２送信者情報は検出（Ｂ）モジュール１２５が検出したものを用いればよい。
ここでの「検出」には、決定、仮決定、推測、抽出等の意味を含めてもよい。
また、ここでの「詐称」とは、送信者（組織を含む）を偽ることであり、例えば、送信者は組織Ｂに属しているにもかかわらず、組織Ｂとは関係のない組織Ａに属しているとして（または組織Ａに属していると誤解させるように）電子メールが作成されている場合が該当する。
【００７０】
また、詐称判断モジュール１３５は、第１送信者ドメインと第２送信者ドメインが不一致の場合、電子メールが詐称であると判断するようにしてもよい。なお、第１送信者ドメインは検出（Ａ）モジュール１２０が検出したものを用い、第２送信者ドメインは検出（Ｂ）モジュール１２５が検出したものを用いればよい。
また、詐称判断モジュール１３５は、第１組織名と第２組織名が不一致の場合、電子メールが詐称であると判断するようにしてもよい。なお、第１送信者組織名は検出（Ａ）モジュール１２０が検出したものを用い、第２送信者組織名は検出（Ｂ）モジュール１２５が検出したものを用いればよい。
また、詐称判断モジュール１３５は、電子メールの本文または件名内の第１箇所から検出した第１送信者情報とその本文または件名内の第１箇所とは異なる第２の箇所から検出した第２Ｂ送信者情報とが不一致の場合、その電子メールが詐称であると判断するようにしてもよい。なお、第１送信者情報と第２Ｂ送信者情報は検出（Ａ）モジュール１２０が検出したものを用いればよい。
【００７１】
詐称対応処理モジュール１４０は、詐称判断モジュール１３５と接続されている。詐称対応処理モジュール１４０は、電子メールの本文または件名から検出した第１送信者情報と、その電子メールのヘッダから検出した第２送信者情報が不一致の場合、その電子メールについての詐称対応処理を行う。なお、不一致か否かについては、詐称判断モジュール１３５による判断結果を用いればよい。また、詐称対応処理として、例えば、詐称である旨の警告を提示すること、対象となっている電子メールを開くことができないようにすること、管理者に通知すること、のいずれか１つ、または、これらの組み合わせを行うようにしてもよい。特に、警告の提示として、詐称であると判断した理由を提示するようにしてもよい。
【００７２】
さらに、詐称対応処理モジュール１４０は、第１送信者情報を検出できなかった箇所がある場合であって、その他の箇所から検出された第１送信者情報と第２送信者情報が一致した場合は、警告の提示として、詐称である可能性があることを提示するようにしてもよい。
本来であるならば、電子メールの本文または件名内に第１送信情報が検出できなかった場合、第１送信者情報と第２送信者情報は不一致となるので、詐称と判断される。しかし、例えば、電子メールの本文または件名内に「Ｃ株式会社、Ｄ株式会社」の記載があり、「Ｃ株式会社」については第２送信者情報と一致するが、「Ｄ株式会社」については、対応表にＤに対応する組織名（「Ｄ」、「Ｄ株式会社」等）またはドメインが登録されていないために、第１送信者情報を検出できなかったことが起こり得る。この場合、送信者は、正式な「Ｃ株式会社」である可能性が高いが、「Ｄ株式会社」を詐称している可能性もあるため、「詐称である可能性があること」を提示する。
なお、「第１送信者情報を検出できなかった箇所」として、例えば、前述の電子メールの本文または件名内の「Ｄ株式会社」の記載が該当し、「その他の箇所」として、例えば、前述の「Ｃ株式会社」の記載が該当する。具体的には、図１３の例を用いて後述する。
【００７３】
また、詐称対応処理モジュール１４０は、第１送信者ドメインと第２送信者ドメインが不一致の場合、電子メールについての詐称対応処理を行うようにしてもよい。なお、第１送信者ドメインは検出（Ａ）モジュール１２０が検出したものを用い、第２送信者ドメインは検出（Ｂ）モジュール１２５が検出したものを用いればよいし、不一致か否かについては、詐称判断モジュール１３５による判断結果を用いればよい。
また、詐称対応処理モジュール１４０は、第１組織名と第２組織名が不一致の場合、電子メールについての詐称対応処理を行うようにしてもよい。なお、第１送信者組織名は検出（Ａ）モジュール１２０が検出したものを用い、第２送信者組織名は検出（Ｂ）モジュール１２５が検出したものを用いればよいし、不一致か否かについては、詐称判断モジュール１３５による判断結果を用いればよい。
また、詐称対応処理モジュール１４０は、電子メールの本文または件名内の第１箇所から検出した第１送信者情報とその本文または件名内の第１箇所とは異なる第２の箇所から検出した第２Ｂ送信者情報とが不一致の場合、その電子メールについての詐称対応処理を行うようにしてもよい。なお、第１送信者情報と第２Ｂ送信者情報は検出（Ａ）モジュール１２０が検出したものを用いればよいし、不一致か否かについては、詐称判断モジュール１３５による判断結果を用いればよい。
【００７４】
図２は、本実施の形態を利用したシステム構成例を示す説明図である。
ユーザ端末２１０Ａ、ユーザ端末２１０Ｂ、ユーザ端末２１０Ｃ、電子メールサーバ２２０Ａ、電子メールサーバ２２０Ｂ、電子メールサーバ２２０Ｃ、ＷＨＯＩＳサーバ２８０は、通信回線２９０を介してそれぞれ接続されている。ユーザ端末２１０Ｂは、情報処理装置１００を有している。電子メールサーバ２２０Ｃは、情報処理装置１００を有している。
ユーザ端末２１０として、例えば、ユーザが用いる電子メールを受信する装置であって、例えば、パーソナルコンピュータ（ノートパソコンを含む）の他、携帯情報通信機器（携帯電話、スマートフォン、モバイル機器、ウェアラブルコンピュータ等を含む）等が該当する。
電子メールサーバ２２０として、ユーザが契約しているインターネットサービスプロバイダのメールサーバ、会社等が所有しているメールサーバ、Ｗｅｂメールサーバ等が該当する。
例えば、ユーザ端末２１０Ａのユーザのメールボックスが電子メールサーバ２２０Ａにあり、ユーザ端末２１０Ｂのユーザのメールボックスが電子メールサーバ２２０Ｂにあり、ユーザ端末２１０Ｃのユーザのメールボックスが電子メールサーバ２２０Ｃにあるとする。この場合、ユーザ端末２１０Ａのユーザから電子メールサーバ２２０Ｂのユーザに電子メールが送信された場合、ユーザ端末２１０Ｂ内の情報処理装置１００によって詐称された電子メールであるか否かが判断される。また、ユーザ端末２１０Ａのユーザから電子メールサーバ２２０Ｃのユーザに電子メールが送信された場合、電子メールサーバ２２０Ｃ内の情報処理装置１００によって詐称された電子メールであるか否かが判断され、その結果がユーザ端末２１０Ｃのユーザに送信される。
【００７５】
図３は、電子メール３００のデータ構造例を示す説明図である。
電子メールのデータは大きく分けて「ヘッダ」と「本文または件名（ボディともいわれる）」で構成されている。ヘッダには、送信者（Ｆｒｏｍ）、あて先（Ｔｏ）等の付随情報が含まれている。ボディにはいわゆるメール本文となるテキスト、件名となるテキストがある。なお、一般的には、ヘッダに件名を含めているが、本実施の形態の説明では、ヘッダには件名を含めない。
例えば、電子メール３００は、Ｒｅｃｅｉｖｅｄフィールド３０５Ａ、Ｒｅｃｅｉｖｅｄフィールド３０５Ｂ、Ｆｒｏｍフィールド３１０、Ｔｏフィールド３１５、ＣＣフィールド３２０、Ｓｕｂｊｅｃｔフィールド３２５、Ｄａｔｅフィールド３３０、Ｒｅｐｌｙ−Ｔｏフィールド３３５、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド３４０、本文フィールド３４５、添付ファイルフィールド３５０を有している。
Ｒｅｃｅｉｖｅｄフィールド３０５は、電子メールが配送されたルートを示している。最初に配送されたメールサーバが一番下に記載され、順番に、上に記載されたメールサーバに配送されたことを示す。図３に示す例では、Ｒｅｃｅｉｖｅｄフィールド３０５Ｂに記載された送信者のユーザ端末（パソコン等）のアドレス「ｐｃ１．ｘｘ．ｃｏ．ｊｐ」から送信され、電子メールサーバ「ｍａｉｌ．ｘｘ．ｃｏ．ｊｐ」に転送され、そして、Ｒｅｃｅｉｖｅｄフィールド３０５Ａに記載されているように、電子メールサーバ「ｍａｉｌ．ｘｘ．ｃｏ．ｊｐ」から電子メールサーバ「ｍａｉｌ．ａａ．ｃｏ．ｊｐ」に送信され、受信者のユーザ端末（パソコン等）に電子メール３００が配送されたことを示している。送信者のドメインは、最初に配送されたメールサーバのドメイン「ｘｘ．ｃｏ．ｊｐ」と同じ場合が多い。つまり、Ｒｅｃｅｉｖｅｄフィールド３０５Ｂ（Ｒｅｃｅｉｖｅｄフィールド３０５の最下段）の「ｆｒｏｍ」部分または「ｂｙ」部分に記載された「ｘｘ．ｃｏ．ｊｐ」が送信者のドメインである。ここで「ｆｒｏｍ」部分と「ｂｙ」部分のドメイン部分とが一致することを条件として、送信者のドメインを決定するようにしてもよい。また、Ｒｅｃｅｉｖｅｄフィールド３０５Ｂにおける「ｆｒｏｍ」部分と「ｂｙ」部分のドメイン部分とが一致しない場合は、「ｆｒｏｍ」部分のドメインを送信者のドメインと決定してもよい。また、Ｒｅｃｅｉｖｅｄフィールド３０５Ｂにおける「ｆｒｏｍ」部分と「ｂｙ」部分のドメイン部分が一致しない場合は、詐称であると判断してもよい。なお、Ｒｅｃｅｉｖｅｄフィールド３０５Ａ（Ｒｅｃｅｉｖｅｄフィールド３０５の最上段）の「ｂｙ」部分に記載された「ａａ．ｃｏ．ｊｐ」が受信者（宛先）のドメインである。Ｒｅｃｅｉｖｅｄフィールド３０５は、このような構成になっているため、Ｒｅｃｅｉｖｅｄフィールド３０５Ｂのｂｙ部分と次のＲｅｃｅｉｖｅｄフィールド３０５Ａのｆｒｏｍ部分は一致するはずである。したがって、Ｒｅｃｅｉｖｅｄフィールド３０５Ｂのｂｙ部分と次のＲｅｃｅｉｖｅｄフィールド３０５Ａのｆｒｏｍ部分が一致しない場合は、詐称であると判断してもよい。
なお、図３に示す例では、Ｒｅｃｅｉｖｅｄフィールド３０５は２つであるが、３つ以上であってもよい。
Ｆｒｏｍフィールド３１０は、送信元のメールアドレスが記載されている。図３に示す例では、「ｙ＠ｘｘ．ｃｏ．ｊｐ」である。詐称するために虚偽の場合がある。
Ｔｏフィールド３１５は、宛先のメールアドレスが記載されている。図３に示す例では、「ｂ＠ａａ．ｃｏ．ｊｐ」である。
ＣＣフィールド３２０は、カーボンコピーのメールアドレスが記載されている。図３に示す例では、「ｃ＠ａａ．ｃｏ．ｊｐ」である。
Ｓｕｂｊｅｃｔフィールド３２５は、件名が記載されている。任意の文字列にすることができる。図３に示す例では、「ｔｅｓｔ」である。
Ｄａｔｅフィールド３３０は、メールが送信された日時が記載されている。図３に示す例では、「Ｔｕｅ，  １７  Ｊａｎ  ２０１７  １５：０６：３８＋０９００」である。
Ｒｅｐｌｙ−Ｔｏフィールド３３５は、メールの返信先が記載されている。図３に示す例では、「ｙ＠ｘｘ．ｃｏ．ｊｐ」である。詐称するために虚偽の場合がある。
Ｒｅｔｕｒｎ−Ｐａｔｈフィールド３４０は、メール配信エラーの際の差し戻し先のメールアドレスが記載されている。図３に示す例では、「ｙ＠ｘｘ．ｃｏ．ｊｐ」である。詐称するために虚偽の場合がある。
本文フィールド３４５は、本文が記載されている。図３に示す例では、以下のように記載されている。
−−−−−  −−−−−  −−−−−
ＡＡ株式会社  Ｂ様
本文です
ＸＸ株式会社  Ｙ（ｙ＠ｘｘ．ｃｏ．ｊｐ）
−−−−−  −−−−−  −−−−−
添付ファイルフィールド３５０は、添付ファイルが記載されている。具体的には、マルチパートメールと呼ばれ、ヘッダ内のＣｏｎｔｅｎｔ−Ｔｙｐｅフィールドが「ｍｕｌｔｉｐａｒｔ／ｍｉｘｅｄ」となっている。そして、添付ファイルがテキスト化（エンコード）されて、メール本文に埋め込まれる。なお、本文として、添付ファイルを含んでもよい。
【００７６】
図４は、電子メールの配送経路例を示す説明図である。図３の例における配送経路を示したものである。
例えば、図２の説明で示した送信例との対応をとると、送信者４１０はユーザ端末２１０Ａ、電子メールサーバＡ（送信者側）４２０は電子メールサーバ２２０Ａ、電子メールサーバＢ（受信者側）４３０はユーザ端末２１０Ｂまたはユーザ端末２１０Ｃ、宛先４４０は電子メールサーバ２２０Ｂまたは電子メールサーバ２２０Ｃにそれぞれ対応する。
電子メール３００の配送経路として、送信者４１０である「ｙ＠ｘｘ．ｃｏ．ｊｐ」（ユーザ端末としては、Ｆｒｏｍフィールド３１０Ｂのｆｒｏｍ部分の「ｐｃ１．ｘｘ．ｃｏ．ｊｐ」）が送信し、最初に転送する電子メールサーバＡ（送信者側）４２０は「ｍａｉｌ．ｘｘ．ｃｏ．ｊｐ」（Ｒｅｃｅｉｖｅｄフィールド３０５Ｂのｂｙ部分）であり、次に転送する電子メールサーバＢ（受信者側）４３０は「ｍａｉｌ．ａａ．ｃｏ．ｊｐ」（Ｒｅｃｅｉｖｅｄフィールド３０５Ａのｂｙ部分）であり、最終的に宛先４４０である「ｂ＠ａａ．ｃｏ．ｊｐ」（Ｔｏフィールド３１５）が受信する。
【００７７】
図５は、電子メールツールで受信した電子メールを画面に表示した例を示す説明図である。
画面５００には、ヘッダ等表示領域５１０、添付ファイル名表示領域５４０、本文表示領域５５０を表示する。
ヘッダ等表示領域５１０は、Ｆｒｏｍフィールド表示欄５１５、Ｔｏフィールド表示欄５２０、ＣＣフィールド表示欄５２５、Ｓｕｂｊｅｃｔフィールド表示欄５３０、Ｄａｔｅフィールド表示欄５３５を有している。
Ｆｒｏｍフィールド表示欄５１５には、Ｆｒｏｍフィールド３１０の内容を表示する。
Ｔｏフィールド表示欄５２０には、Ｔｏフィールド３１５の内容を表示する。
ＣＣフィールド表示欄５２５には、ＣＣフィールド３２０の内容を表示する。
Ｓｕｂｊｅｃｔフィールド表示欄５３０には、Ｓｕｂｊｅｃｔフィールド３２５の内容を表示する。
Ｄａｔｅフィールド表示欄５３５には、Ｄａｔｅフィールド３３０の内容を表示する。
添付ファイル名表示領域５４０には、添付ファイルフィールド３５０のファイル名を表示する。
本文表示領域５５０には、本文フィールド３４５の内容を表示する。
なお、通常の表示では、Ｆｒｏｍフィールドの内容、Ｔｏフィールドの内容、ＣＣフィールドの内容、Ｓｕｂｊｅｃｔフィールドの内容、Ｄａｔｅフィールドの内容、添付ファイル名、本文フィールドの内容が表示され、Ｒｅｃｅｉｖｅｄフィールドの内容、Ｒｅｐｌｙ−Ｔｏフィールドの内容、Ｒｅｔｕｒｎ−Ｐａｔｈフィールドの内容は、表示されない電子メールツールが多い。したがって、電子メールを受信したユーザ（特に、一般的なユーザ）は、Ｒｅｃｅｉｖｅｄフィールド等を参考にして、詐称であるか否かを判断することも困難である。
【００７８】
図６は、対応表６００のデータ構造例を示す説明図である。対応表６００は、組織名とドメインとの対応表の例である。
対応表６００は、組織名欄６１０、ドメイン欄６２０、電話番号欄６３０を有している。組織名欄６１０は、組織名を記憶している。ドメイン欄６２０は、その組織名の組織が所有しているドメインを記憶している。電話番号欄６３０は、その組織名の組織の電話番号を記憶している。この対応表６００によって、組織名からドメインへの変換、ドメインから組織名への変換、電話番号からドメインへの変換等が可能になる。
詐称されやすい著名会社の組織名とドメインを、対応表６００に登録しておくことが好ましい。
対応表６００は、ユーザによって作成されてもよいし、詐称判断モジュール１３５がＷＨＯＩＳサーバ２８０から抽出して作成してもよい。図７の例に示すフローチャートによる処理前に作成されていればよい。この対応表６００を本情報処理装置１００の対応表記憶モジュール１３０内に記憶してもよいし、外部サーバに記憶しておき本情報処理装置１００からその外部サーバの対応表６００を利用してもよい。また、詐称判断モジュール１３５は、電子メールが詐称であるか否かの判断の都度、対応表記憶モジュール１３０を用いずに、ＷＨＯＩＳサーバ２８０から検索してもよい。
【００７９】
ドメイン名は、レジストリ（登録管理組織）が管理している。ｃｃＴＬＤの「．ｊｐ」なら株式会社日本レジストリサービス（ＪＰＲＳ）、「．ｃｏｍ」なら米国のＶｅｒｉＳｉｇｎ社がこのレジストリに該当する。そこで、この対応表６００を自分で作成する代わりに、レジストリが提供しているｗｈｏｉｓサービス（ドメイン名登録情報検索サービス、ＷＨＯＩＳサーバ２８０）を利用してもよい。以下に、ｗｈｏｉｓサービスのＵＲＬを示す。
http://whois.jprs.jp/
http://registrar.verisign-grs.com/webwhois-ui/index.jsp
【００８０】
前述したように、対応表６００だけで、電子メールについて、正規と詐称とを判断しているわけではないので、この対応表６００には、正規のデータと詐称しているデータとが含まれていてもよい。したがって、この対応表を作成するのは、正規のデータだけを登録するより容易である。
特に、ドメインを管理しているレジストリ（登録管理組織）が提供しているｗｈｏｉｓサービスを利用すれば、自分で対応表を作成する必要がない。
なお、この対応表６００に正規のデータだけを登録するようにしてもよい。そして、組織名とドメインの対応を調べる場合に、この対応表６００に登録されていなければ詐称と判断する。この場合、より正確に詐称を判断できるようになる。
【００８１】
図７は、本実施の形態による処理例を示すフローチャートである。
ステップＳ７０２では、電子メールを受信し記憶する。
ステップＳ７０４では、電子メールのＲｅｃｅｉｖｅｄフィールドから、送信者ドメイン、または、送信者の組織名を検出する。
ステップＳ７０４で、電子メールのＲｅｃｅｉｖｅｄフィールドの一番下に記載されたメールサーバのアドレス（ｂｙ部分）から、送信者のドメインを検出する例を示す。例えば、一番下に記載されたメールサーバのアドレスが「ｍａｉｌ．ｓｕｂ１．ｘｘｘ．ｃｏ．ｊｐ」の場合、送信者ドメインは「ｘｘｘ．ｃｏ．ｊｐ」であると検出する。一番下に記載されたメールサーバは、電子メールを送信した場合に最初に中継するメールサーバであるので、送信者に近いメールサーバであり、その送信者が属しているドメインであると推測されるからである。なお、前述したように、Ｒｅｃｅｉｖｅｄフィールドの一番下に記載されたメールサーバのアドレス（ｆｒｏｍ部分）から、送信者のドメインを検出してもよいし、ｂｙ部分とｆｒｏｍ部分のドメインが一致することを条件として、送信者のドメインを決定してもよい。そして、図６の例に示す対応表６００を用いて、送信者ドメインから送信者の組織名「ＸＸＸ」を検出する。具体的には、ドメイン欄６２０から「ｘｘｘ．ｃｏ．ｊｐ」を検索し、それに対応する組織名欄６１０から組織名「ＸＸＸ」を検出すればよい。
【００８２】
ステップＳ７０６では、電子メールのＦｒｏｍフィールドから、送信者アドレス、送信者ドメイン、または、送信者の組織名を検出する。
ステップＳ７０８では、電子メールのＲｅｐｌｙ−Ｔｏフィールドから、送信者アドレス、送信者ドメイン、または、送信者の組織名を検出する。
ステップＳ７１０では、電子メールのＲｅｔｕｒｎ−Ｐａｔｈフィールドから、送信者アドレス、送信者ドメイン、または、送信者の組織名を検出する。
ステップＳ７０６からステップＳ７１０での処理について、例を用いて説明する。Ｆｒｏｍフィールド、Ｒｅｐｌｙ−Ｔｏフィールド、Ｒｅｔｕｒｎ−Ｐａｔｈフィールドには、それぞれ電子メールアドレスが記載されている。この電子メールアドレスを送信者アドレスとして検出し、例えば、その電子メールアドレスが「ｎｎｎ＠ｓｕｂ１．ｘｘｘ．ｃｏ．ｊｐ」の場合、送信者ドメインは「ｘｘｘ．ｃｏ．ｊｐ」であると検出する。そして、図６の例に示す対応表６００を用いて、送信者ドメインから送信者の組織名「ＸＸＸ」を検出する。
【００８３】
ステップＳ７１２では、電子メールの本文から、送信者ドメインまたは送信者の組織名を検出する。
電子メールのＲｅｃｅｉｖｅｄフィールド、Ｆｒｏｍフィールド、Ｒｅｐｌｙ−Ｔｏフィールド、Ｒｅｔｕｒｎ−Ｐａｔｈフィールドから得られる情報だけでは、詐称している電子メールを見逃してしまう場合がある。そこで、ステップＳ７１２以降の処理では、電子メールの本文やＳｕｂｊｅｃｔフィールドから得られる情報も用いて、電子メールが詐称していることを検出する。
ステップＳ７１２の詳細な処理については、図８または図９の例に示すフローチャートを用いて後述する。図８の例に示すフローチャート、図９の例に示すフローチャートのいずれか一方の処理を行うようにしてもよいし、両方の処理を行うようにしてもよい。
【００８４】
ステップＳ７１４では、電子メールのＳｕｂｊｅｃｔフィールドから、送信者ドメインまたは送信者の組織名を検出する。
電子メールのＳｕｂｊｅｃｔフィールドにも、本文と同様に、任意の文字列を記載することができる。
特に、電子メールを読む人の注意を引くため、送信者の組織名（会社名）またはドメインをＳｕｂｊｅｃｔフィールドに記載することがある。
そこで、本文に対する処理と同様な処理を実施することにより、電子メールのＳｕｂｊｅｃｔフィールドから、送信者ドメインまたは送信者の組織名を検出する。
ステップＳ７１４の詳細な処理については、図８または図９の例に示すフローチャートにおいて、抽出対象である「本文」を「Ｓｕｂｊｅｃｔフィールド」と読み替えればよい。Ｓｕｂｊｅｃｔフィールドを対象とした、図８の例に示すフローチャート、図９の例に示すフローチャートのいずれか一方の処理を行うようにしてもよいし、両方の処理を行うようにしてもよい。
【００８５】
ステップＳ７１６では、ここまでに検出した送信者ドメインまたは送信者の組織名に基づき、送信者ドメインまたは送信者の組織名の一致判断を行う。ステップＳ７１６の詳細な処理については、図１０の例に示すフローチャートを用いて後述する。
ステップＳ７１８では、ステップＳ７１６における全ての条件で一致したか否かを判断し、全ての条件で一致した場合はステップＳ７２０へ進み、それ以外の場合はステップＳ７２４へ進む。なお、この例では、「ステップＳ７１６における全ての条件で一致したか否かを判断」としているが、予め定められた条件（少なくとも「全ての条件」よりも少ない条件）を満たしていること、予め定められた数の条件を満たしていること、予め定められた割合の条件（検証した条件の数に対して、一致した条件の数の割合）を満たしていること等としてもよい。例えば、ヘッダ内から検出した送信者ドメインまたは送信者の組織名同士では全て一致していること（具体的には、ステップＳ１００２、Ｓ１００４）を要し、本文または件名から検出した複数の送信者ドメインまたは送信者の組織名を対象とした場合（具体的には、ステップＳ１００６〜Ｓ１０１４）は、予め定められた条件を満たしていること（具体的には、ステップＳ１００６〜Ｓ１０１４のいずれか１つ以上）、予め定められた数の条件を満たしていること、予め定められた割合の条件を満たしていること等としてもよい。
例えば、「ヘッダ内から検出した送信者ドメインまたは送信者の組織名」が一致していることの条件（具体的には、ステップＳ１００２、または、ステップＳ１００４）、および、「ヘッダ内から検出した送信者ドメインまたは送信者の組織名」と「本文または件名から検出した複数の送信者ドメインまたは送信者の組織名」とが一致していることの条件（具体的には、ステップＳ１０１２、または、ステップＳ１０１４）を少なくとも含むようにしてもよい。
【００８６】
ステップＳ７２０では、詐称されていない電子メールであると判断する。
ステップＳ７２２では、通常の電子メール処理を行う。例えば、以下の処理を行う。ユーザの指示により、電子メールを開いて、画面に表示する。
【００８７】
ステップＳ７２４では、詐称された電子メールであると判断する。
ステップＳ７２６では、詐称された電子メールに対する処理（詐称対応処理）を実施する。例えば、以下の処理を行う。（１）「この電子メールは詐称されています。電子メールの件名または本文から検出されたドメインと、電子メールのヘッダから検出されたドメインが異なります」という警告を表示する。この警告の内容として、詐称であると判断した理由を含めてもよい。具体的には、一致しなかった条件を提示するようにしてもよい。（２）ユーザが電子メールを開けないようにする。例えば、その電子メールを削除すること、他のフォルダに移動すること、詐称メールであることを示すフラグを付して開封処理ができないようにすること等がある。（３）電子メールシステムの管理者に通知する。通知として、例えば、電子メール、チャット、ソーシャルメディアを用いた通知、プッシュ通知、自動音声応答による電話発信等を用いて行えばよい。また、詐称と判断された電子メールを管理者に転送してもよい。
【００８８】
図８は、本実施の形態による処理例を示すフローチャートである。図７の例に示したフローチャートのステップＳ７１２の処理の一例（第１の処理）である。具体的には、本文から送信者の組織名またはドメインを検出する処理である。
一般的に、宛先の組織名（例えば、会社名等を含む）と人名を本文の前半領域に書き、送信者の組織名（例えば、会社名等を含む）と人名を本文の後半領域に書くことが多い。特に、宛先の組織名と人名を本文の最初の領域に書き、送信者の組織名と人名を本文の最後の領域（電子メールの末尾に記載するいわゆる署名）に書くことが多い。
下記の処理のうちで、全てを実施してもよいし、選択した処理だけを実施してもよい。
【００８９】
ステップＳ８０２では、本文の後半領域（特に最後の領域）に電子メールアドレスが記載されている場合、その電子メールアドレスを送信者の電子メールアドレスとして検出し、その電子メールアドレスから送信者のドメインを検出する。
例えば、検出した電子メールアドレスが「ｎｎｎ＠ｓｓｓ１．ｓｓｓ２．ｘｘｘ．ｃｏ．ｊｐ」とする。「ｎｎｎ」が送信者の名前に相当し、「ｓｓｓ１」と「ｓｓｓ２」が送信者の組織内の下部組織を表している場合が多い。「ｘｘｘ．ｃｏ．ｊｐ」を送信者の組織に対応するドメインとする。そして、対応表６００を用いて、そのドメインに対応する組織名「ＸＸＸ」を送信者の組織名として検出する。
【００９０】
ステップＳ８０４では、本文の後半領域（特に最後の領域）に組織名や会社名を表す標準的な形式、例えば、「（ＸＸＸ）」、「ＸＸＸ株式会社」、「株式会社ＸＸＸ」、「ＸＸＸ（株）」、「（株）ＸＸＸ」、「ＸＸＸ  Ｃｏ．，  Ｌｔｄ．」、「ＸＸＸ  Ｉｎｃ．」、「ＸＸＸ  Ｃｏｒｐ．」、「ＸＸＸ  Ｃｏｒｐｏｒａｔｉｏｎ」、「ＸＸＸ  Ｌｔｄ．」、等の文字列が含まれている場合、送信者の組織名を「ＸＸＸ」として検出する。具体的には、組織名の検出処理として、正規表現を用いたパターンマッチ文字列を定義し、検索処理を行ってもよい。また、自然言語処理を用いて、固有名詞としての組織名を検出してもよい。そして、対応表６００を用いて、その送信者の組織名に対応するドメイン「ｘｘｘ．ｃｏ．ｊｐ」を送信者のドメインとして検出する。
【００９１】
ステップＳ８０６では、本文の後半領域（特に最後の領域）に、図６の例に示す対応表６００の組織名（組織名欄６１０）の文字列が含まれている場合、その文字列を送信者の組織名として検出する。そして、対応表６００を用いて、送信者の組織名と対応するドメインを送信者のドメインとして検出する。
【００９２】
なお、「本文の後半領域」として、例えば、本文の最後から予め定められた行数（例えば、５行等）のテキストとしてもよいし、本文の最後からサーチし、最初に発見した電子メールアドレス、組織名としてもよいし、予め定められた文字列（例えば、署名の区切りとして用いられている「−」、「＊」等が連続している文字列）以降の領域としてもよい。
【００９３】
図９は、本実施の形態による処理例を示すフローチャートである。図７の例に示したフローチャートのステップＳ７１２の処理の一例（第２の処理）である。具体的には、本文から送信者の組織名またはドメインを検出する処理である。
一般的に、本文には、宛先の組織名（会社名）・人名、および、送信者の組織名（会社名）・人名を記載し、第三者の組織名（会社名）・人名を記載しないことが多い。したがって、本文中に記載されている組織名の内、宛先の組織名と異なる組織名を、送信者の組織名とみなすことができる。
下記の処理のうちで、全てを実施してもよいし、選択した処理だけを実施してもよい。
【００９４】
ステップＳ９０２では、電子メールのＴｏフィールドに宛先アドレスが示されているので、この宛先アドレスから宛先ドメインおよび宛先組織名を検出する。例えば、宛先アドレスが「ｎｎｎ＠ｓｓｓ１．ｓｓｓ２．ｘｘｘ．ｃｏ．ｊｐ」とする。「ｎｎｎ」が宛先の名前に相当し、「ｓｓｓ１」と「ｓｓｓ２」が宛先の組織内の下部組織を表している場合が多い。「ｘｘｘ．ｃｏ．ｊｐ」を宛先の組織に対応するドメインとする。そして、対応表６００を用いて、その宛先のドメインに対応する組織名「ＸＸＸ」を宛先の組織名として検出する。
【００９５】
ステップＳ９０４では、本文に電子メールアドレスが記載されている場合で、かつ、その電子メールアドレスが宛先アドレスと異なる場合、その電子メールアドレスを送信者の電子メールアドレスとして検出し、その電子メールアドレスから送信者のドメインを検出する。そして、対応表６００を用いて、そのドメインに対応する組織名を送信者の組織名として検出する。
【００９６】
ステップＳ９０６では、本文に組織名や会社名を表す標準的な形式、例えば、「（ＸＸＸ）」、「ＸＸＸ株式会社」、「株式会社ＸＸＸ」、「ＸＸＸ（株）」、「（株）ＸＸＸ」、「ＸＸＸ  Ｃｏ．，  Ｌｔｄ．」、「ＸＸＸ  Ｉｎｃ．」、「ＸＸＸ  Ｃｏｒｐ．」、「ＸＸＸ  Ｃｏｒｐｏｒａｔｉｏｎ」、「ＸＸＸ  Ｌｔｄ．」、等の文字列が含まれている場合、その組織名「ＸＸＸ」が、ステップＳ９０２で検出した宛先の組織名と異なるなら、その組織名「ＸＸＸ」を送信者の組織名として検出する。具体的には、組織名の検出処理として、正規表現を用いたパターンマッチ文字列を定義し、検索処理を行ってもよい。また、自然言語処理を用いて、固有名詞としての組織名を検出してもよい。そして、対応表６００を用いて、その送信者の組織名に対応するドメイン「ｘｘｘ．ｃｏ．ｊｐ」を送信者ドメインとして検出する。
【００９７】
ステップＳ９０８では、本文に、図６の例に示す対応表６００の組織名（組織名欄６１０）の文字列が含まれており、その組織名が、ステップＳ９０２で検出した宛先の組織名と異なるなら、その文字列を送信者の組織名として検出する。そして、対応表６００を用いて、送信者の組織名と対応するドメインを送信者のドメインとして検出する。
【００９８】
ステップＳ９１０では、本文中（例えば、ａ−ＴＡＧを用いたリンク部分を含む）にインターネット上のアドレス形式の文字列が含まれている場合、その文字列から送信者のドメインを検出する。例えば、本文中に、「ｗｗｗ．ｓｕｂ１．ｘｘｘ．ｃｏ．ｊｐ」という文字列が含まれている場合、「ｘｘｘ．ｃｏ．ｊｐ」を送信者のドメインとして検出する。そして、対応表６００を用いて、送信者のドメインと対応する組織名「ＸＸＸ」を送信者の組織名として検出する。
電子メールを読んだユーザが外部のｗｅｂサーバ等を利用しやすくするために、本文にサーバのアドレスが含まれている場合がある。その場合、一般的に、そのサーバは送信者の組織内のサーバであることが多いからである。
【００９９】
ステップＳ９１２では、本文中に電話番号が含まれている場合、その電話番号から送信者のドメインを検出する。例えば、本文中に、「０１２０−３４５−６７８」という電話番号の文字列が含まれている場合、対応表６００を参照し、「ｘｘｘ．ｃｏ．ｊｐ」を送信者のドメインとして検出する。そして、対応表６００を用いて、送信者のドメインと対応する組織名「ＸＸＸ」を送信者の組織名として検出する。
電子メールを読んだユーザが電話連絡をしやすくするために、本文に電話番号が含まれている場合がある。その場合、一般的に、その電話番号は送信者の電話番号であることが多いからである。
【０１００】
図１０は、本実施の形態による処理例を示すフローチャートである。図７の例に示したフローチャートのステップＳ７１６の処理の一例である。
下記の処理のうちで、全てを実施してもよいし、選択した処理だけ（ステップＳ７１８の判断で用いる条件のステップにおける処理）を実施してもよい。
【０１０１】
ステップＳ１００２では、Ｆｒｏｍフィールド、Ｒｅｐｌｙ−Ｔｏフィールド、Ｒｅｔｕｒｎ−Ｐａｔｈフィールドの各々から検出した送信者アドレスが一致しているか否かを判断する。
ステップＳ１００４では、Ｆｒｏｍフィールド、Ｒｅｐｌｙ−Ｔｏフィールド、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド、Ｒｅｃｅｉｖｅｄフィールドの各々から検出した送信者ドメインが一致しているか否かを判断する。ステップＳ１００２の判断処理に対象として、Ｒｅｃｅｉｖｅｄフィールドを加えている。ここで、前述したように、最下段にあるＲｅｃｅｉｖｅｄフィールドにおける「ｆｒｏｍ」部分と「ｂｙ」部分のドメイン部分が一致しない場合は、送信者ドメインが一致していないと判断してもよい。
【０１０２】
ステップＳ１００６では、本文から検出した送信者ドメインが複数存在する場合、それらが互いに一致しているか否かを判断する。または、本文から検出した送信者の組織名が複数存在する場合、それらが互いに一致しているか否かを判断する。
ステップＳ１００８では、Ｓｕｂｊｅｃｔフィールドから検出した送信者ドメインが複数存在する場合、それらが互いに一致しているか否かを判断する。または、Ｓｕｂｊｅｃｔフィールドから検出した送信者の組織名が複数存在する場合、それらが互いに一致しているか否かを判断する。
ステップＳ１０１０では、本文とＳｕｂｊｅｃｔフィールドの各々から検出した送信者ドメインが一致しているか否かを判断する。または、本文とＳｕｂｊｅｃｔフィールドの各々から検出した送信者の組織名が一致しているか否かを判断する。
【０１０３】
ステップＳ１０１２では、本文から検出した送信者ドメインと、Ｆｒｏｍフィールド、Ｒｅｐｌｙ−Ｔｏフィールド、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド、Ｒｅｃｅｉｖｅｄフィールドの各々から検出した送信者ドメインが一致しているか否かを判断する。または、本文から検出した送信者の組織名と、Ｆｒｏｍフィールド、Ｒｅｐｌｙ−Ｔｏフィールド、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド、Ｒｅｃｅｉｖｅｄフィールドの各々から検出した送信者の組織名が一致しているか否かを判断する。
ステップＳ１０１４では、Ｓｕｂｊｅｃｔフィールドから検出した送信者ドメインと、Ｆｒｏｍフィールド、Ｒｅｐｌｙ−Ｔｏフィールド、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド、Ｒｅｃｅｉｖｅｄフィールドの各々から検出した送信者ドメインが一致しているか否かを判断する。または、Ｓｕｂｊｅｃｔフィールドから検出した送信者の組織名と、Ｆｒｏｍフィールド、Ｒｅｐｌｙ−Ｔｏフィールド、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド、Ｒｅｃｅｉｖｅｄフィールドの各々から検出した送信者の組織名が一致しているか否かを判断する。
【０１０４】
ステップＳ１０１６では、複数の組織名またはドメインの全てを判断したか否かを判断し、全てを判断した場合はステップＳ１０１８へ進み、それ以外の場合はステップＳ１０１２へ戻る。本文またはＳｕｂｊｅｃｔフィールドから、送信者ドメインまたは送信者の組織名を検出する処理（図７の例に示すフローチャートのステップＳ７１２、Ｓ７１４の処理）において、送信者ドメインまたは送信者の組織名が検出される場合がある。その場合、検出された送信者ドメインまたは送信者の組織名の全てを用いて、一致するか否かを判断する。もちろんのことながら、送信者ドメインまたは送信者の組織名が１つだけである場合は、ステップＳ１０１８へ進む。
ステップＳ１０１８では、判断結果を戻す。判断結果として、ステップＳ１００２〜ステップＳ１０１４のそれぞれの判断結果を戻す。
なお、ステップＳ１０１２、ステップＳ１０１４の判断結果は複数あり得るが、対象となっている送信者ドメインまたは送信者の組織名毎に判断結果を戻す。
【０１０５】
本文またはＳｕｂｊｅｃｔフィールドから送信者ドメインまたは送信者の組織名を検出する処理（図７の例に示すフローチャートのステップＳ７１２、Ｓ７１４の処理）をしても、送信者ドメインまたは送信者の組織名を検出できない場合がある。その場合、図１０の例に示すフローチャートにおけるステップＳ１００６〜ステップＳ１０１４でできる判断処理だけを行えばよい。検出された組織名やドメインを用いて、一致するか否かを判断をする。
【０１０６】
図７の例に示すフローチャートのステップＳ７１８以下の処理を、図１１と図１２の例に示すフローチャートまたは図１３の例に示すフローチャートに置き換えてもよい。図１１、図１２は、本実施の形態による処理例を示すフローチャートである。
ステップＳ１１１８では、本文または件名（Ｓｕｂｊｅｃｔフィールド）から検出した送信者ドメインまたは送信者の組織名は複数か否かを判断し、複数の場合はステップＳ１１３０へ進み、それ以外の場合はステップＳ１１２０へ進む。具体的には、「本文から検出した送信者ドメイン」、「本文から検出した送信者の組織名」、「件名から検出した送信者ドメイン」、「件名から検出した送信者の組織名」のいずれか複数である場合はステップＳ１１３０へ進み、それ以外の場合はステップＳ１１２０へ進む。
【０１０７】
ステップＳ１１２０では、ステップＳ７１６の全ての条件で一致したか否かを判断し、全ての条件で一致した場合はステップＳ１１２２へ進み、それ以外の場合はステップＳ１１２６へ進む。ステップＳ７１８と同等の処理である。
ステップＳ１１２２では、詐称されていない電子メールであると判断する。ステップＳ７２０と同等の処理である。
ステップＳ１１２４では、通常の電子メール処理を行う。ステップＳ７２２と同等の処理である。例えば、以下の処理を行う。ユーザの指示により、電子メールを開いて、画面に表示する。
【０１０８】
ステップＳ１１２６では、詐称された電子メールであると判断する。ステップＳ７２４と同等の処理である。
ステップＳ１１２８では、詐称された電子メールに対する処理を実施する。ステップＳ７２６と同等の処理である。例えば、以下の処理を行う。「この電子メールは詐称されています。電子メールの件名または本文から検出されたドメインと、電子メールのヘッダから検出されたドメインが異なります」という警告を表示する。ユーザが電子メールを開けないようにする。電子メールシステムの管理者に通知する。
【０１０９】
ステップＳ１１３０では、本文または件名から検出した複数の送信者ドメインまたは送信者の組織名のうち、いずれか１つは、ステップＳ７１６の全ての条件で一致するか否かを判断し、一致する場合はステップＳ１１３２へ進み、それ以外の場合はステップＳ１１３６へ進む。ステップＳ１１３６へ進む場合は、本文または件名から検出した複数の送信者ドメインまたは送信者の組織名の全てが、「ステップＳ７１６の全ての条件で一致する」という条件を満たさない場合である。なお、本文または件名から検出した複数の送信者ドメインまたは送信者の組織名の全てが、ステップＳ７１６の全ての条件で一致する場合はあり得ない。本文または件名から送信者ドメインまたは送信者の組織名が複数検出されているが、ヘッダから検出されている送信者ドメインまたは送信者の組織名は１つである。ヘッダから複数の送信者ドメインまたは送信者の組織名が検出された場合は、ステップＳ１００２、Ｓ１００４の条件を満たさないことになるからである。したがって、ステップＳ１０１２、またはステップＳ１０１４で、ヘッダから検出されている送信者ドメインまたは送信者の組織名が１つであるにもかかわらず、その１つの送信者ドメインまたは送信者の組織名が本文または件名から検出された複数の送信者ドメインまたは送信者の組織名と一致することはあり得ない。
【０１１０】
ステップＳ１１３２では、詐称されていない電子メールである可能性が高いと判断する。つまり、詐称されている可能性を否定できないレベルである。
ステップＳ１１３４では、詐称されている可能性がある旨を提示し、通常の電子メール処理（ステップＳ１１２４）を行う。
【０１１１】
ステップＳ１１３６では、詐称された電子メールであると判断する。ステップＳ７２４と同等の処理である。
ステップＳ１１３８では、詐称された電子メールに対する処理を実施する。ステップＳ７２６と同等の処理である。例えば、以下の処理を行う。「この電子メールは詐称されています。電子メールの件名または本文から検出されたドメインと、電子メールのヘッダから検出されたドメインが異なります」という警告を表示する。ユーザが電子メールを開けないようにする。電子メールシステムの管理者に通知する。
【０１１２】
図７の例に示すフローチャートのステップＳ７１８以下の処理を、図１３の例に示すフローチャートに置き換えてもよい。図１３は、本実施の形態による処理例を示すフローチャートである。
また、図１１、１２の例に示すフローチャートと図１３の例に示すフローチャートを組み合わせてもよい。例えば、ステップＳ１１２０でＹｅｓと判断した後に、ステップＳ１３２０以下の処理を加えてもよい。
【０１１３】
ステップＳ１３１８では、ステップＳ７１６の全ての条件で一致したか否かを判断し、全ての条件で一致した場合はステップＳ１３２０へ進み、それ以外の場合はステップＳ１３３０へ進む。ステップＳ７１８と同等の処理である。
ステップＳ１３２０では、ステップＳ７１２、ステップＳ７１４で、本文またはＳｕｂｊｅｃｔフィールドから送信者ドメインまたは送信者の組織名を抽出したが、それが対応表６００にないため、最終的には、組織名を検出できなかったものがあるか否かを判断し、検出できなかったものがある場合はステップＳ１３２２へ進み、それ以外の場合はステップＳ１３２６へ進む。ステップＳ１３２２へ進む場合として、例えば、ヘッダからは組織名「ＡＡ」を検出して、本文内には「ＡＡ株式会社」、「ＢＢ株式会社」の記載があり、対応表６００内に「ＡＡ」はあるが、「ＢＢ」がない場合が該当する。つまり、「ＡＡ株式会社」からの正式な電子メールを受信した可能性は高いが、「ＢＢ株式会社」であるとして詐称した可能性も否定できないので、ステップＳ１３２２へ進むことになる。
【０１１４】
ステップＳ１３２２では、詐称されていない電子メールである可能性が高いと判断する。ステップＳ１１３２と同等の処理である。
ステップＳ１３２４では、詐称されている可能性がある旨を提示し、通常の電子メール処理を行う。ステップＳ１１３４と同等の処理である。
【０１１５】
ステップＳ１３２６では、詐称されていない電子メールであると判断する。ステップＳ７２０と同等の処理である。
ステップＳ１３２８では、通常の電子メール処理を行う。ステップＳ７２２と同等の処理である。例えば、以下の処理を行う。ユーザの指示により、電子メールを開いて、画面に表示する。
【０１１６】
ステップＳ１３３０では、詐称された電子メールであると判断する。ステップＳ７２４と同等の処理である。
ステップＳ１３３２では、詐称された電子メールに対する処理を実施する。ステップＳ７２６と同等の処理である。例えば、以下の処理を行う。「この電子メールは詐称されています。電子メールの件名または本文から検出されたドメインと、電子メールのヘッダから検出されたドメインが異なります」という警告を表示する。ユーザが電子メールを開けないようにする。電子メールシステムの管理者に通知する。
【０１１７】
具体例（１）を用いて説明する。図１４は、電子メール１４００のデータ構造例を示す説明図である。電子メール１４００を受信した場合の処理について説明する。
電子メール１４００は、Ｒｅｃｅｉｖｅｄフィールド１４０５Ａ、Ｒｅｃｅｉｖｅｄフィールド１４０５Ｂ、Ｆｒｏｍフィールド１４１０、Ｔｏフィールド１４１５、ＣＣフィールド１４２０、Ｓｕｂｊｅｃｔフィールド１４２５、Ｒｅｐｌｙ−Ｔｏフィールド１４３５、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド１４４０、本文フィールド１４４５を有している。本文フィールド１４４５は、対象箇所１４５０、対象箇所１４５５、対象箇所１４６０、対象箇所１４６５を有している。本文フィールド１４４５内には、以下のように記載されている。
−−−−−  −−−−−  −−−−−
ＡＡ株式会社  Ｂ様
得する情報です。
ここを開くか、または、クリックしてください。
ｈｔｔｐ：／／ｗｗｗ．ｘｘ．ｃｏ．ｊｐ
ここに電話してください。
電話番号  ０１２０−０００−０００
ＳＳ株式会社  Ｔ
ｔ＠ｓｓ．ｃｏ．ｊｐ
−−−−−  −−−−−  −−−−−
【０１１８】
電子メールの送信者は、本当は「ＸＸ株式会社」のＹ（電子メールアドレスは「ｙ＠ｘｘ．ｃｏ．ｊｐ」、ドメインは「ｘｘ．ｃｏ．ｊｐ」）だが、「ＳＳ株式会社」のＴ（電子メールアドレスは「ｔ＠ｓｓ．ｃｏ．ｊｐ」、ドメインは「ｓｓ．ｃｏ．ｊｐ」）と詐称している。
電子メールの宛先は、「ＡＡ株式会社」のＢ（電子メールアドレスは「ｂ＠ａａ．ｃｏ．ｊｐ」、ドメインは「ａａ．ｃｏ．ｊｐ」）である。
この電子メールは、著名な「ＳＳ株式会社」からの電子メールであり、信用できる電子メールであることを、この電子メールを読む人に信じさせようとするために、Ｓｕｂｊｅｃｔフィールド、または、本文に、著名な会社名（「ＳＳ株式会社」）やドメイン（「ｓｓ．ｃｏ．ｊｐ」）を記載している。
【０１１９】
ステップＳ７０２：
電子メールを受信し記憶する。
ステップＳ７０４：
Ｒｅｃｅｉｖｅｄフィールド１４０５Ｂから、送信者ドメイン名（「ｘｘ．ｃｏ．ｊｐ」）を検出する。図６の例に示す対応表６００を参照して、送信者の組織名（「ＸＸ」）を検出する。
ステップＳ７０６〜ステップＳ７１０：
Ｆｒｏｍフィールド１４１０から、送信者アドレス（「ｙ＠ｘｘ．ｃｏ．ｊｐ」）と送信者ドメイン（「ｘｘ．ｃｏ．ｊｐ」）を検出する。図６の例に示す対応表６００を参照して、送信者の組織名（「ＸＸ」）を検出する。
Ｒｅｐｌｙ−Ｔｏフィールド１４３５から、同様にして、送信者アドレス（「ｙ＠ｘｘ．ｃｏ．ｊｐ」）と送信者ドメイン（「ｘｘ．ｃｏ．ｊｐ」）と送信者の組織名（「ＸＸ」）を検出する。
Ｒｅｔｕｒｎ−Ｐａｔｈフィールド１４４０から、同様にして、送信者アドレス（「ｙ＠ｘｘ．ｃｏ．ｊｐ」）と送信者ドメイン（「ｘｘ．ｃｏ．ｊｐ」）と送信者の組織名（「ＸＸ」）を検出する。
【０１２０】
ステップＳ７１２：
図８の例に示すフローチャートを適用して以下の処理を行う。
（１−１）本文フィールド１４４５の最後の領域に、電子メールアドレス「ｔ＠ｓｓ．ｃｏ．ｊｐ」が記載されている。これを送信者の電子メールアドレスとして検出する。そして、送信者ドメインを「ｓｓ．ｃｏ．ｊｐ」と検出し、送信者の組織を「ＳＳ」として検出する
（１−２）本文フィールド１４４５の最後の領域に、会社名を表す「ＳＳ株式会社 」という記載があるので、送信者の組織名を「ＳＳ」として検出する。そして、対応表６００を用いて、ドメインを「ｓｓ．ｃｏ．ｊｐ」として検出する。
（１−３）本文フィールド１４４５の最後の領域に、図６の例に示す対応表６００の組織名（組織名欄６１０）の文字列のうち、「ＳＳ」が含まれている。「ＳＳ」を送信者の組織名として検出する。そして、対応表６００を用いて、送信者の組織名と対応するドメイン「ｓｓ．ｃｏ．ｊｐ」を送信者のドメインとして検出する。
【０１２１】
図９の例に示すフローチャートを適用して以下の処理を行う。
（２−１）電子メール１４００のＴｏフィールド１４１５の宛先アドレスは「ｂ＠ａａ．ｃｏ．ｊｐ」である。この宛先アドレスから宛先ドメイン「ａａ．ｃｏ．ｊｐ」を検出する。そして、図６の例に示す対応表６００を用いて、宛先ドメインから宛先の組織名「ＡＡ」を検出する。
（２−２）本文フィールド１４４５に電子メールアドレス「ｔ＠ｓｓ．ｃｏ．ｊｐ」が記載されており、かつ、その電子メールアドレス「ｔ＠ｓｓ．ｃｏ．ｊｐ」は、Ｔｏフィールド１４１５内の宛先アドレス「ｂ＠ａａ．ｃｏ．ｊｐ」と異なる。そこで、その電子メールアドレス「ｔ＠ｓｓ．ｃｏ．ｊｐ」を送信者の電子メールアドレスとして検出し、その電子メールアドレスから送信者のドメインを「ｓｓ．ｃｏ．ｊｐ」として検出する。そして、図６の例に示す対応表６００を用いて、「ＳＳ」を送信者の組織名として検出する。
（２−３）本文フィールド１４４５に組織名や会社名を表す標準的な形式として「ＡＡ株式会社」と「ＳＳ株式会社」が含まれている。このうち、「ＡＡ株式会社」は宛先の組織名「ＡＡ」と同じであり、「ＳＳ株式会社」は宛先の組織名「ＡＡ」と異なるので、「ＳＳ」を送信者の組織名として検出する。そして、図６の例に示す対応表６００を用いて、送信者ドメインを「ｓｓ．ｃｏ．ｊｐ」として検出する。
【０１２２】
（２−４）本文フィールド１４４５に図６の例に示す対応表６００の組織名（組織名欄６１０）の文字列の内、「ＡＡ」と「ＳＳ」が含まれている。このうち、「ＡＡ」は宛先の組織名「ＡＡ」と同じであり、「ＳＳ」は宛先の組織名「ＡＡ」と異なるので、「ＳＳ」を送信者の組織名として検出する。そして、図６の例に示す対応表６００を用いて、送信者ドメインを「ｓｓ．ｃｏ．ｊｐ」として検出する。
（２−５）本文フィールド１４４５中の「ｗｗｗ．ｘｘ．ｃｏ．ｊｐ」はインターネット上のアドレス形式であり、本文フィールド１４４５の下部（後半）に記載がある。これから、送信者のドメインを「ｘｘ．ｃｏ．ｊｐ」として検出する。そして、図６の例に示す対応表６００を用いて、送信者の組織名を「ＸＸ」として検出する。
（２−６）本文フィールド１４４５中の「０１２０−０００−０００」は電話番号形式であり、本文フィールド１４４５の下部（後半）に記載がある。これから、送信者の電話番号を「０１２０−０００−０００」と検出する。そして、図６の例に示す対応表６００を用いて、送信者の組織名を「ＸＸ」として検出する。
以上より、ステップＳ７１２では、本文フィールド１４４５から、送信者ドメインは「ｘｘ．ｃｏ．ｊｐ」または「ｓｓ．ｃｏ．ｊｐ」、送信者の組織名は「ＸＸ」または「ＳＳ」として検出する。
【０１２３】
ステップＳ７１４：
電子メール１４００のＳｕｂｊｅｃｔフィールド１４２５の「ＳＳ株式会社」の記載から、送信者ドメインは「ｓｓ．ｃｏ．ｊｐ」、送信者の組織名は「ＳＳ」として検出する。
【０１２４】
ステップＳ７１６：
（８−１）Ｆｒｏｍフィールド１４１０、Ｒｅｐｌｙ−Ｔｏフィールド１４３５、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド１４４０の各々から検出した送信者アドレスは、「ｙ＠ｘｘ．ｃｏ．ｊｐ」であり、一致している。
（８−２）Ｆｒｏｍフィールド１４１０、Ｒｅｐｌｙ−Ｔｏフィールド１４３５、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド１４４０、Ｒｅｃｅｉｖｅｄフィールド１４０５Ｂの各々から検出した送信者ドメインは、「ｘｘ．ｃｏ．ｊｐ」であり、一致している。さらに、Ｒｅｃｅｉｖｅｄフィールド１４０５Ｂにおける「ｆｒｏｍ」部分と「ｂｙ」部分のドメイン部分も一致している。
（８−３）本文フィールド１４４５から検出した送信者ドメインは、「ｘｘ．ｃｏ．ｊｐ」と「ｓｓ．ｃｏ．ｊｐ」であり、不一致である。本文フィールド１４４５から検出した送信者の組織名は、「ＸＸ」と「ＳＳ」であり、不一致である。
【０１２５】
（８−４）Ｓｕｂｊｅｃｔフィールド１４２５から検出した送信者ドメインは「ｓｓ．ｃｏ．ｊｐ」であり、１個だけなので、一致しているか否かの判断をしない。Ｓｕｂｊｅｃｔフィールド１４２５から検出した送信者の組織名は「ＳＳ」であり、１個だけなので、一致しているか否かの判断をしない。
（８−５）本文フィールド１４４５から検出した送信者ドメインは「ｘｘ．ｃｏ．ｊｐ」と「ｓｓ．ｃｏ．ｊｐ」であり、Ｓｕｂｊｅｃｔフィールド１４２５から検出した送信者ドメインは「ｓｓ．ｃｏ．ｊｐ」であり、不一致である。本文フィールド１４４５から決定した送信者の組織名は「ＸＸ」または「ＳＳ」であり、Ｓｕｂｊｅｃｔフィールド１４２５から検出した送信者の組織名は「ＳＳ」であり、不一致である。
（８−６）本文フィールド１４４５から検出した送信者ドメインは「ｘｘ．ｃｏ．ｊｐ」と「ｓｓ．ｃｏ．ｊｐ」であり、Ｆｒｏｍフィールド１４１０、Ｒｅｐｌｙ−Ｔｏフィールド１４３５、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド１４４０、Ｒｅｃｅｉｖｅｄフィールド１４０５Ｂの各々から検出した送信者ドメインは「ｘｘ．ｃｏ．ｊｐ」であり、不一致である。本文フィールド１４４５から検出した送信者の組織名は「ＸＸ」と「ＳＳ」であり、Ｆｒｏｍフィールド１４１０、Ｒｅｐｌｙ−Ｔｏフィールド１４３５、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド１４４０、Ｒｅｃｅｉｖｅｄフィールド１４０５Ｂの各々から検出した送信者の組織名は「ＸＸ」であり、不一致である。
【０１２６】
（８−７）Ｓｕｂｊｅｃｔフィールドから検出した送信者ドメインは「ｓｓ．ｃｏ．ｊｐ」であり、Ｆｒｏｍフィールド、Ｒｅｐｌｙ−Ｔｏフィールド、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド、Ｒｅｃｅｉｖｅｄフィールドの各々から検出した送信者ドメインは「ｘｘ．ｃｏ．ｊｐ」であり、不一致である。Ｓｕｂｊｅｃｔフィールドから検出した送信者の組織名は「ＳＳ」であり、Ｆｒｏｍフィールド、Ｒｅｐｌｙ−Ｔｏフィールド、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド、Ｒｅｃｅｉｖｅｄフィールドの各々から検出した送信者の組織名は「ＸＸ」であり、不一致である。
【０１２７】
ステップＳ７１８：
前述の（８−１）から（８−７）の中で不一致のものがあるので、ステップＳ７１６として不一致である。したがって、ステップＳ７２４に進む。
ステップＳ７２４：
この電子メール１４００は詐称された電子メールであると判断する。
ステップＳ７２６：
詐称された電子メールに対する処理を実施する。
ステップＳ７９９：
終了。
【０１２８】
特許文献１に記載の技術を用いた場合、Ｒｅｃｅｉｖｅｄフィールド１４０５ＢとＦｒｏｍフィールド１４１０から得られる情報だけを用いて、詐称されたか否かを判断するので、この例では、Ｒｅｃｅｉｖｅｄフィールド１４０５Ｂから得られる情報とＦｒｏｍフィールド１４１０から得られる情報は一致するので、詐称された電子メールと判断できない。
本実施の形態では、電子メール１４００の本文フィールド１４４５やＳｕｂｊｅｃｔフィールド１４２５から得られる情報も用いているため、この電子メールが詐称していることを判断できる。
【０１２９】
具体例（２）を用いて説明する。図１５は、電子メール１５００のデータ構造例を示す説明図である。電子メール１５００を受信した場合の処理について説明する。
電子メール１５００は、Ｒｅｃｅｉｖｅｄフィールド１５０５Ａ、Ｒｅｃｅｉｖｅｄフィールド１５０５Ｂ、Ｆｒｏｍフィールド１５１０、Ｔｏフィールド１５１５、ＣＣフィールド１５２０、Ｓｕｂｊｅｃｔフィールド１５２５、Ｒｅｐｌｙ−Ｔｏフィールド１５３５、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド１５４０、本文フィールド１５４５を有している。本文フィールド１５４５は、対象箇所１５５５、対象箇所１５６０、対象箇所１５６５を有している。本文フィールド１５４５内には、以下のように記載されている。
−−−−−  −−−−−  −−−−−
ＡＡ株式会社  Ｂ様
得する情報です。
ここに電話してください。
電話番号  ０１２０−０００−０００
ＳＳ株式会社  Ｔ
ｔ＠ｓｓ．ｃｏ．ｊｐ
−−−−−  −−−−−  −−−−−
【０１３０】
電子メール１５００は、図１４の例に示した電子メール１４００から、本文フィールド１４４５中のＵＲＬを削除した例である。判断処理は、図１４の例と同等である。
電子メール１５００に対して、本文フィールド１５４５にＵＲＬの記載がないので、特許文献２に記載の技術を用いた場合、詐称を判断できない。
本実施の形態では、ＵＲＬ以外の記載も利用するので、詐称を判断できる。
【０１３１】
具体例（３）を用いて説明する。図１６は、電子メール１６００のデータ構造例を示す説明図である。電子メール１６００を受信した場合の処理について説明する。
電子メール１６００は、Ｒｅｃｅｉｖｅｄフィールド１６０５Ａ、Ｒｅｃｅｉｖｅｄフィールド１６０５Ｂ、Ｆｒｏｍフィールド１６１０、Ｔｏフィールド１６１６、ＣＣフィールド１６２０、Ｓｕｂｊｅｃｔフィールド１６２５、Ｒｅｐｌｙ−Ｔｏフィールド１６３５、Ｒｅｔｕｒｎ−Ｐａｔｈフィールド１６４０、本文フィールド１６４５を有している。本文フィールド１６４５内には、以下のように記載されている。
−−−−−  −−−−−  −−−−−
ＡＡ株式会社  Ｂ様
ＳＳ株式会社  Ｔ
ｔ＠ｓｓ．ｃｏ．ｊｐ
宛先へのメッセージ。
−−−−−  −−−−−  −−−−−
【０１３２】
電子メール１６００は、図１４の例に示した電子メール１４００の、本文フィールド１４４５を変更した例である。ヘッダ部分の判断処理は、図１４の例と同等である。
本文フィールド１６４５は、最初に宛先「ＡＡ株式会社のＢ」が左領域に記載されている。その下の中央領域または右領域に、送信者の組織名「ＳＳ」と送信者名「Ｔ」と送信者アドレス「ｔ＠ｓｓ．ｃｏ．ｊｐ」が記載されている。
本文フィールド１６４５での組織名、ドメインの検出処理として、次のいずれかを採用するようにしてもよい。
（１）本文フィールド１６４５内での記載順序に応じて、組織名、ドメインを検出する。
具体的には、電子メール１６００の本文フィールド１４４５の最初に検出された組織名「ＡＡ」を宛先と検出する。
そして、その次に検出された組織名「ＳＳ」を送信者の組織名と検出し、ドメイン「ｓｓ．ｃｏ．ｊｐ」を送信者のドメインと検出する。
（２）本文フィールド１６４５内での記載位置（表示位置の概念を含む）に応じて、組織名、ドメインを検出する。
具体的には、電子メール１６００の本文フィールド１４４５の左上部の領域で検出された組織名「ＡＡ」を宛先と検出する。
そして、電子メール１６００の本文フィールド１４４５の上部であって中央領域または右領域で検出された組織名「ＳＳ」を送信者の組織名と検出し、「ｓｓ．ｃｏ．ｊｐ」を送信者のドメインと検出する。
（３）本文フィールド１６４５内での記載順序および記載位置に応じて、組織名、ドメインを検出する。
具体的には、電子メール１６００の本文フィールド１４４５の左上部の領域で最初に検出された組織名「ＡＡ」を宛先と検出する。
そして、宛先の組織名の次にあって、電子メール１６００の本文フィールド１４４５の中央領域または右領域で検出された組織名「ＳＳ」を送信者の組織名と検出し、「ｓｓ．ｃｏ．ｊｐ」を送信者のドメインと検出する。
【０１３３】
なお、本実施の形態としてのプログラムが実行されるコンピュータのハードウェア構成は、図１７に例示するように、一般的なコンピュータであり、具体的にはパーソナルコンピュータ、サーバとなり得るコンピュータ等である。つまり、具体例として、処理部（演算部）としてＣＰＵ１７０１を用い、記憶装置としてＲＡＭ１７０２、ＲＯＭ１７０３、ＨＤ１７０４を用いている。ＨＤ１７０４として、例えばハードディスク、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）を用いてもよい。通信モジュール１０５、メール受信モジュール１１０、詐称検出モジュール１１５、検出（Ａ）モジュール１２０、検出（Ｂ）モジュール１２５、詐称判断モジュール１３５、詐称対応処理モジュール１４０等のプログラムを実行するＣＰＵ１７０１と、そのプログラムやデータを記憶するＲＡＭ１７０２と、本コンピュータを起動するためのプログラム等が格納されているＲＯＭ１７０３と、対応表記憶モジュール１３０としての機能を有し、電子メール等を記憶する補助記憶装置（フラッシュ・メモリ等であってもよい）であるＨＤ１７０４と、キーボード、マウス、タッチスクリーン、マイク、カメラ（視線検知カメラ等を含む）等に対する利用者の操作（動作、音声、視線等を含む）に基づいてデータを受け付ける受付装置１７０６と、ＣＲＴ、液晶ディスプレイ、スピーカー等の出力装置１７０５と、ネットワークインタフェースカード等の通信ネットワークと接続するための通信回線インタフェース１７０７、そして、それらをつないでデータのやりとりをするためのバス１７０８により構成されている。これらのコンピュータが複数台互いにネットワークによって接続されていてもよい。
【０１３４】
前述の実施の形態のうち、コンピュータ・プログラムによるものについては、本ハードウェア構成のシステムにソフトウェアであるコンピュータ・プログラムを読み込ませ、ソフトウェアとハードウェア資源とが協働して、前述の実施の形態が実現される。
なお、図１７に示すハードウェア構成は、１つの構成例を示すものであり、本実施の形態は、図１７に示す構成に限らず、本実施の形態において説明したモジュールを実行可能な構成であればよい。例えば、一部のモジュールを専用のハードウェア（例えば特定用途向け集積回路（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ：ＡＳＩＣ）等）で構成してもよく、一部のモジュールは外部のシステム内にあり通信回線で接続している形態でもよく、さらに図１７に示すシステムが複数互いに通信回線によって接続されていて互いに協調動作するようにしてもよい。また、特に、パーソナルコンピュータの他、サーバ、携帯情報通信機器、情報家電、ロボット、複写機、ファックス、スキャナ、プリンタ、複合機（スキャナ、プリンタ、複写機、ファックス等のいずれか２つ以上の機能を有している画像処理装置）などに組み込まれていてもよい。
【０１３５】
Ｒｅｃｅｉｖｅｄフィールド（１）のｂｙ部分を主に用いる例を示したが、次のＲｅｃｅｉｖｅｄフィールド（２）のｆｒｏｍ部分を用いるようにしてもよい。なお、「次のＲｅｃｅｉｖｅｄフィールド（２）」とは、電子メールのヘッダにおいて、前者のＲｅｃｅｉｖｅｄフィールド（１）の直上に記載されたＲｅｃｅｉｖｅｄフィールドのことである。
【０１３６】
なお、説明したプログラムについては、記録媒体に格納して提供してもよく、また、そのプログラムを通信手段によって提供してもよい。その場合、例えば、前記説明したプログラムについて、「プログラムを記録したコンピュータ読み取り可能な記録媒体」の発明として捉えてもよい。
「プログラムを記録したコンピュータ読み取り可能な記録媒体」とは、プログラムのインストール、実行、プログラムの流通等のために用いられる、プログラムが記録されたコンピュータで読み取り可能な記録媒体をいう。
なお、記録媒体としては、例えば、デジタル・バーサタイル・ディスク（ＤＶＤ）であって、ＤＶＤフォーラムで策定された規格である「ＤＶＤ−Ｒ、ＤＶＤ−ＲＷ、ＤＶＤ−ＲＡＭ等」、ＤＶＤ＋ＲＷで策定された規格である「ＤＶＤ＋Ｒ、ＤＶＤ＋ＲＷ等」、コンパクトディスク（ＣＤ）であって、読出し専用メモリ（ＣＤ−ＲＯＭ）、ＣＤレコーダブル（ＣＤ−Ｒ）、ＣＤリライタブル（ＣＤ−ＲＷ）等、ブルーレイ・ディスク（Ｂｌｕ−ｒａｙ（登録商標）  Ｄｉｓｃ）、光磁気ディスク（ＭＯ）、フレキシブルディスク（ＦＤ）、磁気テープ、ハードディスク、読出し専用メモリ（ＲＯＭ）、電気的消去および書換可能な読出し専用メモリ（ＥＥＰＲＯＭ（登録商標））、フラッシュ・メモリ、ランダム・アクセス・メモリ（ＲＡＭ）、ＳＤ（Ｓｅｃｕｒｅ  Ｄｉｇｉｔａｌ）メモリーカード等が含まれる。
そして、前記のプログラムの全体またはその一部は、前記記録媒体に記録して保存や流通等させてもよい。また、通信によって、例えば、ローカル・エリア・ネットワーク（ＬＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネット、イントラネット、エクストラネット等に用いられる有線ネットワーク、または無線通信ネットワーク、さらにこれらの組み合わせ等の伝送媒体を用いて伝送させてもよく、また、搬送波に乗せて搬送させてもよい。
さらに、前記のプログラムは、他のプログラムの一部分若しくは全部であってもよく、または別個のプログラムと共に記録媒体に記録されていてもよい。また、複数の記録媒体に分割して記録されていてもよい。また、圧縮や暗号化等、復元可能であればどのような態様で記録されていてもよい。
【符号の説明】
【０１３７】
１００…情報処理装置
１０５…通信モジュール
１１０…メール受信モジュール
１１５…詐称検出モジュール
１２０…検出（Ａ）モジュール
１２５…検出（Ｂ）モジュール
１３０…対応表記憶モジュール
１３５…詐称判断モジュール
１４０…詐称対応処理モジュール
２１０…ユーザ端末
２２０…電子メールサーバ
２８０…ＷＨＯＩＳサーバ
２９０…通信回線
【図１】
2018180871.tif 000003
【図２】
2018180871.tif 000004
【図３】
2018180871.tif 000005
【図４】
2018180871.tif 000006
【図５】
2018180871.tif 000007
【図６】
2018180871.tif 000008
【図７】
2018180871.tif 000009
【図８】
2018180871.tif 000010
【図９】
2018180871.tif 000011
【図１０】
2018180871.tif 000012
【図１１】
2018180871.tif 000013
【図１２】
2018180871.tif 000014
【図１３】
2018180871.tif 000015
【図１４】
2018180871.tif 000016
【図１５】
2018180871.tif 000017
【図１６】
2018180871.tif 000018
【図１７】
2018180871.tif 000019