(57)【要約】【課題】悪意のある情報を効率よく推定する情報判定支援装置、情報判定支援方法、及び情報判定支援プログラムを提供する。【解決手段】受信したメールの本文に基づいて第一の特徴情報を検出する、検出部２と、検出した前記第一の特徴情報と、過去に受信した悪意のある情報を含まないメールの本文又は過去のスケジュールに基づいて検出した第二の特徴情報との類似度に応じて、受信した前記メールに悪意のある情報が含まれている可能性を推定する、推定部３と、情報判定支援装置である。【選択図】図１
2019159417.tif 000002
【特許請求の範囲】
【請求項１】
受信したメールの本文に基づいて第一の特徴情報を検出する、検出部と、
検出した前記第一の特徴情報と、過去に受信した悪意のある情報を含まないメールの本文又は過去のスケジュールに基づいて検出した第二の特徴情報との類似度に応じて、受信した前記メールに悪意のある情報が含まれている可能性を推定する、推定部と、
を有することを特徴とする情報判定支援装置。
【請求項２】
請求項１に記載の情報判定支援装置であって、
過去に受信した悪意のある情報を含まない前記メールが有する送信元を示す送信元情報と、前記第二の特徴情報とを関連付けて、判定基準情報を生成する、判定基準情報生成部を有し、
前記推定部は、
受信したメールの送信元情報を用いて、前記判定基準情報を参照し、当該送信元情報に対応する前記第一の特徴情報と前記第二の特徴情報との類似度に応じて、受信した前記メールが悪意のある情報を含む可能性を推定する
ことを特徴とする情報判定支援装置。
【請求項３】
請求項２に記載の情報判定支援装置であって、
受信した前記メールに悪意のある情報が含まれている可能性がある場合、警告、類似度、過去に受信した悪意のある情報を含まない前記メール、過去のスケジュールのうち、いずれか一つ、又は二つ以上を組み合わせて、出力部に出力する出力情報を生成する、出力情報生成部を有する
ことを特徴とする情報判定支援装置。
【請求項４】
請求項３に記載の情報判定支援装置であって、
前記出力情報生成部は、受信した前記メールに悪意のある情報が含まれる可能性が低い場合、前記メールに悪意のある情報が含まれていない理由を示す表示を、前記出力部に表示するための出力情報を生成する
ことを特徴とする情報判定支援装置。
【請求項５】
請求項１から４のいずれか一つに記載の情報判定支援装置であって、
前記第一の特徴情報及び前記第二の特徴情報は、前記メールの本文の先頭行と後尾行と行のうち最大文字数とを用いて決定される本文領域において、文字の領域と前記本文領域のうち前記文字の領域を含まない領域との割合とする
ことを特徴とする情報判定支援装置。
【請求項６】
（Ａ）受信したメールの本文に基づいて第一の特徴情報を検出する、ステップと、
（Ｂ）検出した前記第一の特徴情報と、過去に受信した悪意のある情報を含まないメールの本文又は過去のスケジュールに基づいて検出した第二の特徴情報との類似度に応じて、受信した前記メールに悪意のある情報が含まれている可能性を推定する、ステップと、
を有することを特徴とする情報判定支援方法。
【請求項７】
請求項６に記載の情報判定支援方法であって、
（Ｃ）過去に受信した悪意のある情報を含まない前記メールが有する送信元を示す送信元情報と、前記第二の特徴情報とを関連付けて、判定基準情報を生成する、ステップを有し、
前記（Ｂ）のステップにおいて、受信したメールの送信元情報を用いて、前記判定基準情報を参照し、当該送信元情報に対応する前記第一の特徴情報と前記第二の特徴情報との類似度に応じて、受信した前記メールが悪意のある情報を含む可能性を推定する
ことを特徴とする情報判定支援方法。
【請求項８】
請求項７に記載の情報判定支援方法であって、
（Ｄ）受信した前記メールに悪意のある情報が含まれている可能性がある場合、警告、類似度、過去に受信した悪意のある情報を含まない前記メール、過去のスケジュールのうち、いずれか一つ、又は二つ以上を組み合わせて、出力部に出力する出力情報を生成する、ステップを有する
ことを特徴とする情報判定支援方法。
【請求項９】
請求項８に記載の情報判定支援方法であって、
前記（Ｄ）のステップにおいて、受信した前記メールに悪意のある情報が含まれる可能性が低い場合、前記メールに悪意のある情報が含まれていない理由を示す表示を、前記出力部に表示するための出力情報を生成する
ことを特徴とする情報判定支援方法。
【請求項１０】
請求項６から９のいずれか一つに記載の情報判定支援方法であって、
前記第一の特徴情報及び前記第二の特徴情報は、前記メールの本文の先頭行と後尾行と行のうち最大文字数とを用いて決定される本文領域において、文字の領域と前記本文領域のうち前記文字の領域を含まない領域との割合とする
ことを特徴とする情報判定支援方法。
【請求項１１】
コンピュータに、
（Ａ）受信したメールの本文に基づいて第一の特徴情報を検出する、ステップと、
（Ｂ）検出した前記第一の特徴情報と、過去に受信した悪意のある情報を含まないメールの本文又は過去のスケジュールに基づいて検出した第二の特徴情報との類似度に応じて、受信した前記メールに悪意のある情報が含まれている可能性を推定する、ステップと、
を実行させることを特徴とする情報判定支援プログラム。
【請求項１２】
請求項１１に記載の情報判定支援プログラムであって、
前記コンピュータに、
（Ｃ）過去に受信した悪意のある情報を含まない前記メールが有する送信元を示す送信元情報と、前記第二の特徴情報とを関連付けて、判定基準情報を生成する、ステップを実行させ、
前記（Ｂ）のステップにおいて、受信したメールの送信元情報を用いて、前記判定基準情報を参照し、当該送信元情報に対応する前記第一の特徴情報と前記第二の特徴情報との類似度に応じて、受信した前記メールが悪意のある情報を含む可能性を推定する
ことを特徴とする情報判定支援プログラム。
【請求項１３】
請求項１２に記載の情報判定支援プログラムであって、
前記コンピュータに、
（Ｄ）受信した前記メールに悪意のある情報が含まれている可能性がある場合、警告、類似度、過去に受信した悪意のある情報を含まない前記メール、過去のスケジュールのうち、いずれか一つ、又は二つ以上を組み合わせて、出力部に出力する出力情報を生成する、ステップ
を実行させることを特徴とする情報判定支援プログラム。
【請求項１４】
請求項１３に記載の情報判定支援プログラムであって、
前記（Ｄ）のステップにおいて、受信した前記メールに悪意のある情報が含まれる可能性が低い場合、前記メールに悪意のある情報が含まれていない理由を示す表示を、前記出力部に表示するための出力情報を生成する
ことを特徴とする情報判定支援プログラム。
【請求項１５】
請求項１１から１４のいずれか一つに記載の情報判定支援プログラムであって、
前記第一の特徴情報及び前記第二の特徴情報は、前記メールの本文の先頭行と後尾行と行のうち最大文字数とを用いて決定される本文領域において、文字の領域と前記本文領域のうち前記文字の領域を含まない領域との割合とする
ことを特徴とする情報判定支援プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、悪意のある情報の判定に用いる情報判定支援装置、情報判定支援方法、及び情報判定支援プログラムに関する。
【背景技術】
【０００２】
人間の心理的な隙、又は行動のミスにつけ込んで秘密情報を入手する方法としてソーシャル・エンジニアリング（Social Engineering）という攻撃手法がある。ソーシャル・エンジニアリングの手法は、標的型攻撃メール（悪意のある情報を含む電子メール）に利用され、多数の被害が発生している。また、標的型攻撃メールは、利用者が不審感をいだかないように、高度な騙しのテクニックを用いて作成されている。そのため、利用者は、受信した電子メール（以降、単にメールと呼ぶ）が標的型攻撃メールであるか否かを判定しなければならない。
【０００３】
特許文献１には、標的型攻撃メールを効率よく検出するメールチェック装置が開示されている。特許文献１に開示されているメールチェック装置によれば、まず、過去に受信した悪意のある情報を含まないメールのヘッダに含まれる特徴を検出して、ヘッダに含まれる特徴を用いてデータベースを生成する。続いて、メールチェック装置は、メールを受信した場合、受信したメールのヘッダに含まれる特徴を検出し、当該特徴とデータベースの特徴とを比較する。そして、メールチェック装置は、類似度に応じて、受信したメールが標的型攻撃メールの候補であるか否かを判定する。
【０００４】
非特許文献１には、標的型攻撃メールを見分ける方法が提案されている。非特許文献１によれば、メールのテーマ、差出人のメールアドレス、メールの本文、添付ファイルに着目して、利用者自身が目視により、標的型攻撃メールであるか否かを判定する手法が提案されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１３−２３６３０８号公報
【非特許文献】
【０００６】
【非特許文献１】岡野 裕樹 木邑 実 辻 宏郷 青木 眞夫、”ＩＰＡ テクニカルウォッチ「標的型攻撃メールの例と見分け方」”、［ｏｎｌｉｎｅ］、平成27年1月9日、独立行政法人情報処理推進機構 技術本部 セキュリティセンター、［平成29年12月22日検索］、インターネット＜URL：https://www.ipa.go.jp/files/000043331.pdf＞
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１に開示されているメールチェック装置は、ヘッダの特徴により標的型攻撃メールの候補を検出しているので、候補から外れた場合、次に示す（１）から（３）のメールに対して、標的型攻撃メールである可能性を推定できないことがある。（１）初めて受信したメール。（２）盗まれたＩＤを使用して知り合いであるかのように偽装したメール。（３）知り合いが別のメールアドレスから送信したかのように偽装したメール。
【０００８】
また、非特許文献１に開示されている手法によれば、その手法に則り、利用者自身が受信したメールを精査することで、（１）から（３）に示したメールの検出が可能である。
しかし、自動で（１）から（３）に示したメールを推定することについて、非特許文献１には開示されていない。従って、標的型攻撃メールである可能性を効率よく推定できない。
【０００９】
本発明の目的の一例は、悪意のある情報を効率よく推定する情報判定支援装置、情報判定支援方法、及び情報判定支援プログラムを提供することにある。
【課題を解決するための手段】
【００１０】
上記目的を達成するため、本発明の一側面における情報判定支援装置は、
受信したメールの本文に基づいて第一の特徴情報を検出する、検出部と、
検出した前記第一の特徴情報と、過去に受信した悪意のある情報を含まないメールの本文又は過去のスケジュールに基づいて検出した第二の特徴情報との類似度に応じて、受信した前記メールに悪意のある情報が含まれている可能性を推定する、推定部と、
を有することを特徴とする。
【００１１】
また、上記目的を達成するため、本発明の一側面における情報判定支援方法は、
（Ａ）受信したメールの本文に基づいて第一の特徴情報を検出する、ステップと、
（Ｂ）検出した前記第一の特徴情報と、過去に受信した悪意のある情報を含まないメールの本文又は過去のスケジュールに基づいて検出した第二の特徴情報との類似度に応じて、受信した前記メールに悪意のある情報が含まれている可能性を推定する、ステップと、
を有することを特徴とする。
【００１２】
更に、上記目的を達成するため、本発明の一側面における情報判定支援プログラムは、
コンピュータに、
（Ａ）受信したメールの本文に基づいて第一の特徴情報を検出する、ステップと、
（Ｂ）検出した前記第一の特徴情報と、過去に受信した悪意のある情報を含まないメールの本文又は過去のスケジュールに基づいて検出した第二の特徴情報との類似度に応じて、受信した前記メールに悪意のある情報が含まれている可能性を推定する、ステップと、
を実行させることを特徴とする。
【発明の効果】
【００１３】
以上のように本発明によれば、悪意のある情報を効率よく推定することができる。
【図面の簡単な説明】
【００１４】
【図１】図１は、情報判定支援装置の一例を示す図である。
【図２】図２は、情報判定支援装置の構成を具体的に示す図である。
【図３】図３は、過去メールの一例を示す図である。
【図４】図４は、判定基準情報のデータ構造の一例を示す図である。
【図５】図５は、情報判定支援装置の動作の一例を示す図である。
【図６】図６は、受信メールの一例を示す図である。
【図７】図７は、類似度判定情報のデータ構造の一例を示す図である。
【図８】図８は、本発明の実施の形態における情報判定支援装置を実現するコンピュータの一例を示す図である。
【発明を実施するための形態】
【００１５】
（実施の形態）
以下、本発明の実施の形態について、図１から図８を参照しながら説明する。
【００１６】
［装置構成］
最初に、図１を用いて、本実施の形態における情報判定支援装置の構成について説明す
る。図１は、情報判定支援装置の一例を示す図である。
【００１７】
図１に示す情報判定支援装置１は、悪意のある情報を効率よくする推定するための装置である。図１に示すように、情報判定支援装置１は、検出部２と、推定部３とを有する。
【００１８】
このうち、検出部２は、受信したメールの本文に基づいて後述する特徴情報（第一の特徴情報）を検出する。推定部３は、メールを受信した場合、検出した特徴情報と、過去に受信した悪意のある情報を含まないメールの本文又は過去のスケジュールに基づいて検出した特徴情報（第二の特徴情報）との類似度に応じて、受信したメールに悪意のある情報が含まれている可能性を推定する。
【００１９】
このように、本実施の形態では、受信したメールの特徴情報と、過去に受信した悪意のある情報を含まないメールの特徴情報との類似度を用いて、受信したメールが標的型攻撃メールであるか否かを推定できる。そのため、上述した（１）から（３）に示すメールについても、標的型攻撃メールである可能性を推定できる。更に、本実施の形態では、上述した推定結果を用いることで、標的型攻撃メールを受信した旨を利用者に提示できる。
【００２０】
続いて、図２を用いて、本実施の形態における情報判定支援装置１の構成をより具体的に説明する。図２は、本実施の形態における情報判定支援装置の構成を具体的に示す図である。
【００２１】
図２に示すように、本実施の形態における情報判定支援装置１は、検出部２と、推定部３とに加えて、判定基準情報生成部４と、出力情報生成部５と、出力部６と、記憶部７とを有する。
【００２２】
検出部２は、運用時において受信したメール、及び、過去に受信したメールのうち、悪意のある情報を含まないメールの本文から、特徴情報を検出する。なお、以降において、運用時において受信したメールを、受信メールと呼ぶ。また、過去に受信したメールのうち、悪意のある情報を含まないメールを、過去メールと呼ぶ。
【００２３】
具体的には、検出部２は、次に示す特徴情報（Ａ）から（Ｐ）などを検出する。ただし、検出部２は、上述した特徴情報（Ａ）から（Ｐ）のうち、少なくとも一つ以上の特徴情報を検出すればよい。
【００２４】
（Ａ）メールの本文において使用されている全文字数に対する句読点の割合（句読点割合）。
（Ｂ）本文の先頭行と、本文の後尾行と、行のうち最大文字数とを用いて決定される、本文を含む領域（以降、本文領域と呼ぶ）において、文字の領域と本文領域のうち文字の領域を含まない領域との割合（領域割合）。
（Ｃ）本文において使用されている全行数に対する空行の割合（空行割合）。
（Ｄ）本文を構成する文章において改行が配置されている位置の割合（位置割合）。
（Ｅ）本文を構成する行それぞれにおける文字数の平均などの統計値（行文字数平均）。（Ｆ）本文を構成する行それぞれにおける、行の先頭において使用される空白、タブの割合（空白割合、タブ割合）。
（Ｇ）本文で用いるメールの返信部分（メールの差出人が書いた文章）を示す引用符の種類（引用符種類）。
（Ｈ）アルファベット、数字、記号それぞれにおける全角と半角の割合（全角半角割合）。
（Ｉ）句点「、」にカンマ「，」を使用（句点使用）。
（Ｊ）読点「。」にピリオド「．」を使用（読点使用）。
（Ｋ）本文において使用されている全文字数に対する記号それぞれの割合（記号割合）。（Ｌ）本文における同意語（表現が同じ）の使用方法（同意語使用）。
（Ｍ）本文における自身の紹介方法（紹介方法）。
（Ｎ）本文において使用されている全単語数に対する、本文において多用される単語の割合（単語割合）。
（Ｏ）本文全文字数に対する漢字の割合（漢字割合）。
（Ｐ）過去スケジュールの会議名称、会議開催日、会議開催場所、会議出席者など（信頼度）。過去スケジュールとは、過去に開催した会議などのスケジュール内容を含む情報である。
【００２５】
推定部３は、受信メールの本文の特徴情報（Ａ）から（Ｏ）と、過去メールの本文の特徴情報（Ａ）から（Ｏ）とに基づいて類似度を算出し、受信メールに悪意のある情報が含まれている可能性を推定する。また、推定部３は、受信メールの本文の特徴情報（Ｐ）と、過去スケジュールの特徴情報（Ｐ）とに基づいて類似度を算出し、受信メールに悪意のある情報が含まれている可能性を推定する。ただし、推定部３は、上述した特徴情報（Ａ）から（Ｐ）のうち、少なくとも一つ以上の特徴情報を用いて推定すればよい。
【００２６】
具体的には、推定部３は、まず、受信メールの送信元を示す送信元情報を用いて、判定基準情報を参照し、送信元情報に対応する、受信メールの本文の特徴情報と、過去メールの本文の特徴情報との類似度を算出する。また、推定部３は、受信メールの送信元を示す送信元情報を用いて、過去スケジュールを参照し、送信元情報に対応する、受信メールの本文の特徴情報と、過去スケジュールの本文の特徴情報との類似度を算出する。
【００２７】
判定基準情報は、過去メールの送信元を示す送信元情報と、過去メールの本文から検出した特徴情報とを関連付けた情報である。類似度は、受信メールの本文の特徴情報と、過去メールの本文の特徴情報とが類似しているか否かを判定する情報である。判定基準情報及び類似度の詳細については後述する。
【００２８】
次に、推定部３は、算出した類似度と類似度判定情報とを用いて、受信メールの本文と過去メールの本文とが類似しているかを判定する。推定部３は、受信メールの本文と過去メールの本文とが類似していると判定した場合、受信メールに悪意のある情報が含まれていないと推定する。また、推定部３が、類似していないと判定した場合、受信メールに悪意のある情報が含まれていると推定する。
【００２９】
類似度判定情報は、類似度を判定する値で、実験、シミュレーション、機械学習などにより求める。なお、類似度判定情報は、上述した複数の特徴情報（Ａ）から（Ｐ）それぞれに対して用意されている。
【００３０】
判定基準情報生成部４は、過去メールが有する、送信元を示す送信元情報と、過去メールの本文から検出した特徴情報とを関連付けて、判定基準情報を生成する。
【００３１】
具体的には、判定基準情報生成部４は、過去メールのヘッダ領域を検索して送信元情報を検出し、送信元情報と、検出部２を用いて過去メールの本文から検出した特徴情報とを関連付けて判定基準情報を生成し、記憶する。
【００３２】
図３を用いて過去メールについて具体的に説明する。図３は、過去メールの一例を示す図である。図３に示す過去メールは、例えば、ヘッダ領域３１と、添付ファイル表示領域３２と、本文領域３３とを有する。図３に示す「＿」は全角スペース（空白）を示し、「_」は半角スペース（空白）を示し、「＜ＣＲ＞」などは改行を示している。ヘッダ領域３１は、ヘッダ領域３１を表示するヘッダ領域情報を用いて表示される。添付ファイル表
示領域３２は、添付ファイル表示領域３２を表示する添付ファイル表示領域情報を用いて表示される。本文領域３３は、本文領域３３を表示する本文領域情報を用いて表示される。
【００３３】
図４を用いて判定基準情報について具体的に説明する。図４は、判定基準情報のデータ構造の一例を示す図である。図４に示す判定基準情報４０においては、送信元情報を示す「送信元情報」と、過去メールから検出した特徴情報（Ａ）から（Ｏ）を示す「過去メール特徴情報」とが関連付けられて記憶されている。
【００３４】
図４に示す「送信元情報」には、「△-△△＠○○.com」「◇◇＠××.co.jp」「●●＠□□.com」……「ki2018@brightas.jp」などのメールアドレスが記憶されている。ただし、「送信元情報」に記憶する情報は、送信元を特定できる情報であれば、メールアドレス以外でもよい。
【００３５】
図４に示す「過去メール特徴情報」には、「送信元情報」の内容に対応する送信元から送信された、過去メールの本文から検出した特徴情報（Ａ）から（Ｏ）に対応する特徴情報が記憶されている。図４の例では、「送信元情報」が「△-△△＠○○.com」であるメールの本文から検出した、特徴情報（Ａ）から（Ｏ）に対応する特徴情報「Ａ１」「Ｂ１」「Ｃ１」「Ｄ１」……「Ｏ１」が記憶されている。同様に、「◇◇＠××.co.jp」「●●＠□□.com」……「ki2018@brightas.jp」についても、特徴情報（Ａ）から（Ｏ）に対応する特徴情報が記憶されている。なお、送信元が同一の過去メールが複数ある場合、「送信元情報」と複数の過去メールから検出した特徴情報とを関連付けて記憶してもよい。
【００３６】
出力情報生成部５は、受信メールに悪意のある情報が含まれている可能性がある場合、警告、類似度、過去に受信した悪意のある情報を含まないメール、過去スケジュールのうち、いずれか一つ、又は二つ以上を組み合わせて、出力部６に出力させる出力情報を生成する。また、出力情報生成部５は、悪意のある情報が含まれている可能性がある場合、利用者に受信メールを削除するか否かを促す出力情報を生成する。
【００３７】
更に、出力情報生成部５は、受信メールに悪意のある情報が含まれる可能性が低い場合（類似している場合）、受信メールに悪意のある情報が含まれていない理由を、表示又は音声により出力する出力情報を生成する。
【００３８】
出力部６は、出力情報を取得して、利用者に対して、受信メールに悪意のある情報が含まれている可能性がある場合、警告、類似度、過去に受信した悪意のある情報を含まないメール、過去スケジュールのうち、いずれか一つ、又は二つ以上を組み合わせて、表示又は音声を出力する。また、出力部６は、悪意のある情報が含まれている可能性がある場合、表示又は音声などにより、利用者に受信メールを削除するか否かを促す。このようにすることで、受信メールに悪意のある情報が含まれているか否かを、利用者に判断させる機会を与えることで、悪意のある情報が含まれているメールを、検出する精度を向上させることができる。なお、出力部６は、例えば、セキュリティ管理者に対して、受信メールに悪意のある情報が含まれている可能性があることを通知してもよい。
【００３９】
更に、出力部６は、受信メールに悪意のある情報が含まれる可能性が低い場合、表示又は音声などにより、受信メールに悪意のある情報が含まれていない理由を出力する。このようにすることで、利用者に判断を支援することで、悪意のある情報が含まれているメールを、検出する精度を向上させることができる。なお、出力部６は、例えば、ＣＲＴ（Cathode Ray Tube）、液晶、有機ＥＬ（Electro Luminescence）を用いたディスプレイ装置、スピーカなどの音声出力装置などである。また、出力部６は、プリンタなどの印刷装置でもよい。
【００４０】
記憶部７は、過去メール及び過去のスケジュールが記憶されている。また、記憶部７は、判定基準情報、類似度判定情報を記憶してもよい。
【００４１】
［装置動作］
次に、本発明の実施の形態における情報判定支援装置１の動作について図５、図６を用いて説明する。また、本実施の形態では、情報判定支援装置１を動作させることによって、情報判定支援方法が実施される。よって、本実施の形態における情報判定支援方法の説明は、以下の情報判定支援装置１の動作説明に代える。
【００４２】
まず、図５を用いて、情報判定支援装置１の動作の概略について説明する。図５は、情報判定支援装置の動作の一例を示す図である。なお、以下の説明においては、適宜図２から図４を参酌する。
【００４３】
図５に示すように、運用時において、情報判定支援装置１が、メールを受信すると（ステップＡ１）、受信メールが有する送信元情報を取得する（ステップＡ２）。続いて、検出部２は、受信メールの本文に基づいて特徴情報を検出する（ステップＡ３）。検出部２は、例えば、上述した（Ａ）から（Ｐ）に示した特徴情報を検出する。
【００４４】
次に、推定部３は、送信元情報に対応する判定基準情報を取得する（ステップＡ４）。続いて、推定部３は、受信メールの本文から検出した特徴情報と、過去メールの本文又は過去スケジュールから検出した特徴情報との類似度に応じて、受信メールに悪意のある情報が含まれている可能性を推定する（ステップＡ５）。
【００４５】
次に、出力情報生成部５は、受信メールに悪意のある情報が含まれている可能性がある場合、受信メールに悪意のある情報が含まれている可能性があることを、出力部６に出力させる出力情報を生成し、出力部６に出力する（ステップＡ６）。
【００４６】
ステップＡ１からＡ６について具体的に説明する。ステップＡ１において、情報判定支援装置１に設けられている不図示の送受信部は、メールを取得し、受信メールを検出部２と、推定部３とへ出力する。ステップＡ２において、推定部３は、受信メールから送信元情報を検出する。
【００４７】
ステップＡ３において、検出部２は、受信メールを取得すると、本文に基づいて特徴情報を検出する。検出部２は、例えば、上述した特徴情報（Ａ）から（Ｐ）のうち少なくとも一つ以上を検出する。
【００４８】
図６を用いて、特徴情報の検出について具体的に説明する。図６は、受信メールの一例を示す図である。
【００４９】
受信メールは、図６に示すように、例えば、ヘッダ領域６１と、添付ファイル表示領域６２と、本文領域６３とが表示される。図６に示す「＿」は全角スペース（空白）を示し、「_」は半角スペース（空白）を示し、「＜ＣＲ＞」などは改行を示し、「→」はタブを示している。また、ヘッダ領域６１は、ヘッダ領域６１を表示するヘッダ領域情報を用いて表示される。添付ファイル表示領域６２は、添付ファイル表示領域６２を表示する添付ファイル表示領域情報を用いて表示される。本文領域６３は、本文領域６３を表示する本文領域情報を用いて表示される。
【００５０】
（Ａ）句読点割合
具体的には、検出部２は、図６に示す受信メールに対して、本文領域６３から全文字数
２２０文字と、句読点数６文字とを検出し、全文字数に対する句読点数の割合を示す句読点割合６／２２０を算出する。
【００５１】
判定基準情報を生成する場合、例えば、図３に示す過去メールに対して、検出部２は、本文領域３３から全文字数２２９文字と、句読点数７文字とを検出し、全文字数に対する句読点数の割合を示す句読点割合７／２２９を算出する（図４のＡ１に対応）。ただし、句読点割合の表し方は上述した表し方に限定されるものではない。また、同一の送信元において、複数の過去メールが存在する場合、複数の句読点割合の平均を用いる。
【００５２】
（Ｂ）領域割合
具体的には、検出部２は、図６に示す受信メールに対して、本文領域６３の先頭行から後尾行までの行数２１行と、行のうち最大文字数３１文字とを用いて、本文領域６３を決定する。続いて、検出部２は、文字の領域と本文領域６３のうち文字の領域を含まない領域との割合を示す領域割合を算出する。例えば、本文領域６３における白色と黒色の割合を算出する。なお、配色は白色、黒色に限定されるものではない。
【００５３】
判定基準情報を生成する場合、例えば、図３に示す過去メールに対して、検出部２は、本文領域３３の先頭行から後尾行までの行数１８行と、行のうち最大文字数３１文字とを用いて、本文領域３３を決定する。続いて、検出部２は、文字の領域と本文領域３３のうち文字の領域を含まない領域との割合を示す領域割合を算出する。また、同一の送信元において、複数の過去メールが存在する場合、複数の領域割合の平均を用いる。
【００５４】
（Ｃ）空行割合
具体的には、検出部２は、図６に示す受信メールに対して、本文領域６３を検索して、「空行」の数量を求め、全行数に対する空行の割合を示す空行割合を算出する。図６の受信メールにおいては、検出部２は、７行の空行を検出し、空行割合７／２１を算出する。
【００５５】
判定基準情報を生成する場合、例えば、図３に示す過去メールに対して、検出部２は、４行の空行を検出し、空行割合４／１８を算出する。ただし、空行に空白を含んでもよい。また、同一の送信元において、複数の過去メールが存在する場合、複数の空行割合の平均を用いる。
【００５６】
（Ｄ）位置割合
「改行」が配置されている位置は、例えば、単語の後、記号の後、句点の後、読点の後、空行、単語の途中、単語と助詞の間、助詞の後、接続詞の途中、接続詞の前、接続詞の後などが考えられる。また、「改行」が配置されている位置の割合は、例えば、「改行」全体の数量を、「改行」が配置されている位置ごとに振り分けたときの数量の比率である。
【００５７】
具体的には、検出部２は、図６に示す受信メールに対して、本文領域６３から「改行」を検出し、文章に対する「改行」の位置を特定する。図６に示す受信メールにおいて、検出部２は、本文領域６３における「改行」を、単語の後に４個、記号の後に２個、句点の後に０個、読点の後に５個、空行に８個のように特定する。位置割合は、例えば、（単語の後／「改行」全体の数量，記号の後／「改行」全体の数量，句点の後／「改行」全体の数量，読点の後／「改行」全体の数量，空行／「改行」全体の数量，……）＝（４／２１，２／２１，０／２１，５／２１,８／２１）のように表す。
【００５８】
判定基準情報を生成する場合、例えば、図３に示す過去メールに対して、検出部２は、本文領域６３における「改行」を、単語の後に４個、記号の後に２個、句点の後に１個、読点の後に６個、空行に４個のように特定する。位置割合は、例えば、（単語の後／「改
行」全体の数量，記号の後／「改行」全体の数量，句点の後／「改行」全体の数量，読点の後／「改行」全体の数量，空行／「改行」全体の数量，……）＝（４／１８，２／１８，１／１８,６／１８,４／１８）のように表す。ただし、上述した割合の表し方に限定されるものではない。また、同一の送信元において、複数の過去メールが存在する場合、複数の位置割合の平均を用いる。
【００５９】
（Ｅ）行文字数平均
具体的には、検出部２は、図６に示す受信メールに対して、本文領域６３を構成する行それぞれにおける文字数を算出し、算出した行の文字数の総和を行数で除算して平均を算出する。なお、検出部２は、行それぞれにおける文字数の分散を算出して、特徴情報としてもよい。
【００６０】
判定基準情報を生成する場合、例えば、図３に示す過去メールに対しても、検出部２は、本文領域３３を構成する行それぞれにおける文字数を算出し、算出した行の文字数の総和を行数で除算して平均を算出する。また、同一の送信元において、複数の過去メールが存在する場合、複数の文字数の平均を更に平均して用いる。
【００６１】
（Ｆ）空白割合、タブ割合
具体的には、検出部２は、図６に示す受信メールに対して、本文領域６３を検索して「空白」「タブ」それぞれの数量を検出し、全行数に対する「空白」及び「タブ」の割合を示す空白割合とタブ割合とを算出する。図６に示す受信メールにおいて、検出部２は、「空白」０個、「タブ」３個を検出し、空白割合０／２１と、タブ割合３／２１を算出する。
【００６２】
判定基準情報を生成する場合、例えば、図３に示す過去メールに対して、検出部２は、本文領域３３を検索して、「空白」５個、「タブ」０個を検出し、空白割合５／２１と、タブ割合０／２１を算出する。また、同一の送信元において、複数の過去メールが存在する場合、複数の空白割合及びタブ割合それぞれの平均を用いる。
【００６３】
（Ｇ）引用符種類
具体的には、検出部２は、受信メールに対して、本文領域を検索して、返信部分で使用される引用符（「＜」「＠」「＊」など）を検出する。判定基準情報を生成する場合、過去メールに対して、検出部２は、本文領域を検索して、返信部分で使用される引用符（「＜」「＠」「＊」など）を検出する。
【００６４】
（Ｈ）全角半角割合
具体的には、検出部２は、図６に示す受信メールに対して、本文領域６３を検索して、アルファベット、数字、記号それぞれについて検索をし、検索したアルファベット、数字、記号それぞれにおける全角と半角との割合を示す全角半角割合を算出する。図６に示す受信メールにおいて、検出部２は、数字８個、記号５８個を検出し、数字と記号それぞれについて全角であるか半角であるかを判定する。全角半角割合は、例えば、（アルファベット全角／アルファベット半角，数字全角／数字半角，記号全角／記号半角）＝（０／０，０／８，０／５８）のように表す。
【００６５】
判定基準情報を生成する場合、例えば、図３に示す過去メールに対して、検出部２は、数字８個、記号５８個を検出し、数字と記号それぞれについて全角であるか半角であるかを判定する。全角半角割合は、例えば、（アルファベット全角／アルファベット半角，数字全角／数字半角，記号全角／記号半角）＝（０／０，０／８，０／５８）のように表す。ただし、全角半角割合の表し方は上述した表し方に限定されるものではない。また、同一の送信元において、複数の過去メールが存在する場合、複数の全角半角割合の平均を用
いる。
【００６６】
（Ｉ）句点使用
具体的には、検出部２は、本文領域においてカンマ「，」を検索し、カンマ「，」が句点「、」として使用されているか否かを判定する。図６に示す受信メールにおいて、検出部２は、句点「、」を使用していると判定する。判定基準情報を生成する場合、例えば、図３に示す過去メールにおいては、検出部２は、句点「、」を使用していると判定する。
【００６７】
（Ｊ）読点使用
具体的には、検出部２は、本文領域においてピリオド「．」を検出し、ピリオド「．」が読点「。」として使用されているか否かを判定する。図６に示す受信メールにおいて、検出部２は、読点「。」を使用していると判定する。判定基準情報を生成する場合、例えば、図３に示す過去メールにおいて、検出部２は、読点「。」を使用していると判定する。
【００６８】
（Ｋ）記号割合
具体的には、検出部２は、予め登録した記号を用いて、本文領域を検索し、記号を検索し、全文字数に対する記号それぞれの記号割合を求める。なお、記号は、例えば、特殊文字を含んでもよい。図６に示す受信メールにおいて、検出部２は、本文領域６３から全文字数２２０文字と、記号数５８文字とを検出し、全文字数に対する記号の割合を示す記号割合５８／２２０を算出する。
【００６９】
判定基準情報を生成する場合、例えば、図３に示す過去メールにおいて、検出部２は、本文領域３３から全文字数２２９文字と、記号数５８文字とを検出し、全文字数に対する記号の割合５８／２２９を算出する。ただし、記号割合の表し方は上述した表し方に限定されるものではない。また、同一の送信元において、複数の過去メールが存在する場合、複数の記号割合の平均を用いる。
【００７０】
（Ｌ）同意語使用
同意語とは、例えば、「弊社」と「当社」、「御社」と「貴社」と「ｘｘｘ会社様」、「お願いします」と「お願いいたします」、「了解しました」と「わかりました」と「承知しました」と「かしこまりました」、「ｘｘ課長」と「ｘｘ様」と「ｘｘさま」と「ｘｘさん」、「等」と「など」、「及び」と「および」、「である」と「です」などである。なお、「ｘｘｘ」とは、例えば、会社名称などである。また、「ｘｘ」とは、例えば、名前などである。
【００７１】
具体的には、検出部２は、上述した文、文節、単語などを用いて、本文領域を検索し、上述した文、文節、単語などを検出する。図６に示す受信メールにおいて、検出部２は、例えば、「××_××先生」「○○出版△△です。」「お忙しいところ申し訳御座いませんが、宜しくお願い致します。」を検出する。
【００７２】
判定基準情報を生成する場合、例えば、図３に示す過去メールにおいて、検出部２は、「××_××先生」「○○出版△△です。」「お忙しいところすみませんが、何卒宜しくお願い致します。」を検出する。
【００７３】
（Ｍ）紹介方法
自身の紹介方法とは、例えば、「ｘｘｘ会社の○○です。」「○○＠ｘｘｘ会社です」などの文章である。「○○」とは、例えば、名前などである。
【００７４】
具体的には、検出部２は、本文領域を検索し、上述したような文、文節などを検出する
。図６に示す受信メールにおいて、検出部２は、例えば、「○○出版の△△で御座います。」を検出する。判定基準情報を生成する場合、例えば、図３に示す過去メールにおいて、検出部２は、「○○出版△△です。」を検出する。
【００７５】
（Ｎ）単語割合
具体的には、検出部２は、本文領域を検索し、本文において多用される単語を検出し、本文において多用される単語それぞれの割合を算出する。図６に示す受信メールにおいて、検出部２は、例えば、「お願いします。」を検出し、本文において使用されている全単語数に対する、本文において多用される単語「お願いします。」の割合を算出する。
【００７６】
判定基準情報を生成する場合、例えば、図３に示す過去メールに対して、検出部２は、例えば、「お願い致します。」を検出し、本文において使用されている全単語数に対する、本文において多用される単語「お願い致します。」の割合を算出する。また、同一の送信元において、複数の過去メールが存在する場合、複数の単語割合の平均を用いる。
【００７７】
（Ｏ）漢字割合
具体的には、検出部２は、本文領域を検索し、漢字を検出し、本文全文字数に対する漢字の割合を示す漢字割合を算出する。図６に示す受信メールにおいて、検出部２は、本文領域６３から全文字数文字と漢字数とを検出し、漢字割合として漢字数／全文字数を算出する。
【００７８】
判定基準情報を生成する場合、例えば、図３に示す過去メールにおいて、検出部２は、本文領域３３から全文字数と漢字数とを検出し、漢字割合として漢字数／全文字数を算出する。ただし、上述した割合の表し方に限定されるものではない。また、同一の送信元において、複数の過去メールが存在する場合、複数の漢字割合の平均を用いる。
【００７９】
（Ｐ）信頼度
具体的には、検出部２は、本文領域を検索し、会議名称、会議開催日、会議開催場所、会議出席者などを検出する。図６に示す受信メールにおいて、検出部２は、本文領域６３から「2017年01月12日の編集会議」を検出する。
【００８０】
ステップＡ４において、推定部３は、送信元情報に対応する判定基準情報を取得する。例えば、図６に示した送信元情報「△-△△＠○○.com」を用いて、図４に示した判定基準情報４０を参照した場合、判定基準情報４０から過去メールから検出した特徴情報「Ａ１」「Ｂ１」「Ｃ１」「Ｄ１」……「Ｏ１」「Ｐ１」に対応する特徴情報を取得する。
【００８１】
なお、ステップＡ４において、送信元情報に対応する判定基準情報が取得できない場合、例えば、初めての受信したメールである場合、利用者に対して、出力部６を用いて、初めて受信したメールであること、更に、受信したメールに悪意のある情報が含まれている可能性があることを、提示する。
【００８２】
ステップＡ５において、推定部３は、送信元情報に対応する、受信メールの本文の特徴情報と、過去メールの本文又は過去スケジュールの特徴情報との類似度を算出する。例えば、推定部３は、受信メールの本文の特徴情報（Ａ）から（Ｐ）のうち、少なくとも一つ以上について類似度を算出する。
【００８３】
（Ａ）に対する類似度
受信メールの句読点割合と、過去メールの句読点割合との差を類似度とする。
【００８４】
（Ｂ）に対する類似度
受信メールの領域割合と、過去メールの領域割合との差を類似度とする。
【００８５】
（Ｃ）に対する類似度
受信メールの空行割合と、過去メールの空行割合との差を類似度とする。
【００８６】
（Ｄ）に対する類似度
受信メールの位置割合と、過去メールの位置割合との位置それぞれの差を算出し、位置ごとの差を類似度とする。
【００８７】
（Ｅ）に対する類似度
受信メールの本文における文字数の平均と、過去メールにおける文字数の平均との差を類似度とする。
【００８８】
（Ｆ）に対する類似度
受信メールの空白、タブ割合と、過去メールの空白、タブ割合との差を類似度とする。
【００８９】
（Ｇ）に対する類似度
受信メールの本文で用いる返信部分を示す引用符の種類と、過去メールの本文で用いる返信部分を示す引用符の種類とが同じである場合、同じであることを示す値などを類似度とする。異なる場合、類似度がないことを示す値などを設定する。
【００９０】
（Ｈ）に対する類似度
受信メールの全角半角割合と、過去メールの全角半角割合との項目それぞれの差を算出し、項目ごとの差を類似度とする。
【００９１】
（Ｉ）に対する類似度
受信メールの本文で句点「、」が用いられ、過去メールの本文でも句点「、」が用いられている場合、同じであることを示す値などを類似度とする。なお、受信メールの本文で句点「、」が用いられ、過去メールの本文でカンマ「，」が用いられている場合、類似度がないことを示す値などを設定する。逆に、受信メールの本文でカンマ「，」が用いられ、過去メールの本文でもカンマ「，」が用いられている場合、同じであることを示す値などを類似度とする。また、受信メールの本文でカンマ「，」が用いられ、過去メールの本文で句点「、」が用いられている場合、類似度がないことを示す値などを設定する。
【００９２】
（Ｊ）に対する類似度
受信メールの本文で読点「。」が用いられ、過去メールの本文でも読点「。」が用いられている場合、同じであることを示す値などを類似度とする。また、受信メールの本文で読点「。」が用いられ、過去メールの本文でピリオド「．」が用いられている場合、類似度がないことを示す値などを設定する。逆に、受信メールの本文でピリオド「．」が用いられ、過去メールの本文でもピリオド「．」が用いられている場合、同じであることを示す値などを類似度とする。また、受信メールの本文でピリオド「．」が用いられ、過去メールの本文で読点「。」が用いられている場合、類似度がないことを示す値などを設定する。
【００９３】
（Ｋ）に対する類似度
受信メールの記号割合と、過去メールの記号割合との差を類似度とする。
【００９４】
（Ｌ）に対する類似度
受信メールの本文で用いる表現と、過去メールの本文で用いる表現とが同じである場合、同じであることを示す値などを類似度とする。表現が異なる場合には類似度がないこと
を示す値などを設定する。
【００９５】
（Ｍ）に対する類似度
受信メールの本文で用いる自身の紹介方法と、過去メールの本文で用いる自身の紹介方法とが同じである場合、同じであることを示す値などを類似度とする。紹介方法が異なる場合には類似度がないことを示す値などを設定する。
【００９６】
（Ｎ）に対する類似度
受信メールの単語割合と、過去メールの単語割合との差を類似度とする。
【００９７】
（Ｏ）に対する類似度
受信メールの漢字割合と、過去メールの漢字割合との差を類似度とする。
【００９８】
（Ｐ）に対する類似度
受信メールの本文で用いられている会議名称、会議開催日、会議開催場所、会議出席者などが、一つ以上検出された過去スケジュールがある場合、過去スケジュールがあることを示す値などを類似度とする。過去スケジュールにない場合、類似度がないことを示す値を設定する。
【００９９】
続いて、ステップＡ５において、推定部３は、算出した受信メールの特徴情報に対応する類似度と、特徴情報に対応する類似度判定情報とを比較、比較結果に基づいて、受信メールに悪意のある情報が含まれている可能性を推定する。
【０１００】
具体的に説明する。図７は、判定情報のデータ構造の一例を示す図である。図７に示す判定情報７０は、「過去メール特徴情報」と「類似度判定情報」とが関連付けられている。「過去メール特徴情報」は、例えば、過去メールに対する特徴情報（Ａ）から（Ｐ）を示す。「類似度判定情報」は、受信メールの特徴情報（Ａ）から（Ｐ）それぞれに対して、類似度を判定するための類似度判定情報を示す。
【０１０１】
類似度判定情報について具体的に説明する。類似度判定情報は、例えば、実験、シミュレーション、機械学習などにより求める。また、図７の例では、類似度判定情報「ｓｉｍＡ」「ｓｉｍＢ」「ｓｉｍＣ」「ｓｉｍＤ」……「ｓｉｍＯ」「ｓｉｍＰ」は、特徴情報（Ａ）から（Ｐ）ごとに設定される。
【０１０２】
（Ａ）に対する類似度判定情報ｓｉｍＡ
類似度判定情報ｓｉｍＡは、受信メールの句読点割合と過去メールの句読点割合との差を判定する値である。
【０１０３】
（Ｂ）に対する類似度判定情報ｓｉｍＢ
類似度判定情報ｓｉｍＢは、受信メールの領域割合と過去メールの領域割合との差を判定する値である。
【０１０４】
（Ｃ）に対する類似度判定情報ｓｉｍＣ
類似度判定情報ｓｉｍＣは、受信メールの空行割合と過去メールの空行割合との差を判定する値である。
【０１０５】
（Ｄ）に対する類似度判定情報ｓｉｍＤ
類似度判定情報ｓｉｍＤは、受信メールの位置割合と過去メールの位置割合との差を判定する値である。なお、項目ごとに類似度判定情報が用意されている。
【０１０６】
（Ｅ）に対する類似度判定情報ｓｉｍＥ
類似度判定情報ｓｉｍＥは、受信メールの平均と過去メールの平均との差を判定する値である。
【０１０７】
（Ｆ）に対する類似度判定情報ｓｉｍＦ
類似度判定情報ｓｉｍＦは、受信メールの空白、タブ割合と過去メールの空白、タブ割合との差を判定する値である。
【０１０８】
（Ｇ）に対する類似度判定情報ｓｉｍＧ
類似度判定情報ｓｉｍＧは、受信メールの本文で用いた返信部分を示す引用符の種類と、過去メールの本文で用いた返信部分を示す引用符の種類とが同一であるかを判定する値である。
【０１０９】
（Ｈ）に対する類似度判定情報ｓｉｍＨ
類似度判定情報ｓｉｍＨは、受信メールの全角半角割合と過去メールの全角半角割合との差を判定する値である。なお、項目ごとに類似度判定情報が用意されている。
【０１１０】
（Ｉ）に対する類似度判定情報ｓｉｍＩ
類似度判定情報ｓｉｍＩは、受信メールの本文と過去メールの本文とで用いた句点「、」が同一、又は受信メールの本文と過去メールの本文とで用いたカンマ「，」が同一であるかを判定する値である。特徴情報（Ｊ）に対する類似度判定情報ｓｉｍＪは、受信メールの本文と過去メールの本文とで用いた読点「。」が同一、又は受信メールの本文と過去メールの本文とで用いたピリオド「．」が同一であるかを判定する値である。
【０１１１】
（Ｋ）に対する類似度判定情報ｓｉｍＫ
類似度判定情報ｓｉｍＫは、受信メールの記号割合と過去メールの記号割合との差を判定する値である。特徴情報（Ｌ）に対する類似度判定情報ｓｉｍＬは、受信メールの本文で用いた表現と、過去メールの本文で用いた表現とが同じであるかを判定する値である。特徴情報（Ｍ）に対する類似度判定情報ｓｉｍＭは、受信メールの本文で用いた自身の紹介と、過去メールの本文で用いた自身の紹介とが同じであるかを判定する値である。
【０１１２】
（Ｎ）に対する類似度判定情報ｓｉｍＮ
類似度判定情報ｓｉｍＮは、受信メールの単語割合と過去メールの記号割合との差を判定する値である。
【０１１３】
（Ｏ）に対する類似度判定情報ｓｉｍＯ
類似度判定情報ｓｉｍＯは、受信メールの漢字割合と過去メールの記号割合との差を判定する値である。
【０１１４】
（Ｐ）に対する類似度判定情報ｓｉｍＰ
類似度判定情報ｓｉｍＰは、受信メールの本文で用いられている会議名称、会議開催日、会議開催場所、会議出席者などが、一つ以上検出された過去スケジュールがあることを判定する値である。
【０１１５】
ステップＡ５において、例えば、推定部３は、受信メールから検出した特徴情報（Ａ）から（Ｐ）に対応する全ての類似度が、対応する全ての類似度判定情報に類似している場合、受信メールに悪意のある情報が含まれていないと推定する。
【０１１６】
又は、ステップＡ５において、推定部３は、受信メールから検出した特徴情報（Ａ）から（Ｐ）に対応する類似度のうち、一つ以上の類似度が、対応する類似度判定情報と類似
している場合、受信メールに悪意のある情報が含まれていないと推定してもよい。例えば、類似度に優先度を設け、優先度の高い類似度が、対応する類似度判定情報と類似する場合、受信メールに悪意のある情報が含まれていないと推定してもよい。
【０１１７】
又は、ステップＡ５において、推定部３は、受信メールから検出した特徴情報（Ａ）から（Ｐ）に対応する類似度のうちのいずれかを選択し、予め選択した類似度が、対応する類似度判定情報と類似している場合、受信メールに悪意のある情報が含まれていないと推定してもよい。
【０１１８】
又は、ステップＡ５において、推定部３は、受信メールから検出した特徴情報（Ａ）から（Ｐ）に対応する類似度のうちのいずれかを用いて組み合わせを設定し、設定した組み合わせた類似度と、それらに対応する類似度判定情報とが類似している場合、受信メールに悪意のある情報が含まれていないと推定してもよい。
【０１１９】
ステップＡ６において、出力情報生成部５は、受信メールに悪意のある情報が含まれている可能性がある場合、警告、類似度、過去メールのうち、いずれか一つ、又は二つ以上を組み合わせて、出力部６に出力する出力情報を生成する。その後、出力部６は、出力情報を取得して、利用者に対して、受信メールに悪意のある情報が含まれている可能性がある場合、警告、類似度、過去メールのうち、いずれか一つ、又は二つ以上を組み合わせて、表示又は音声を出力する。
【０１２０】
また、ステップＡ６において、出力情報生成部５は、悪意のある情報が含まれている可能性がある場合、利用者に受信メールを削除するか否かを促す表示又は音声により出力する出力情報を生成する。その後、出力部６は、悪意のある情報が含まれている可能性がある場合、利用者に受信メールを削除するか否かを促す表示又は音声を出力する。
【０１２１】
更に、ステップＡ６において、出力情報生成部５は、受信メールに悪意のある情報が含まれる可能性が低い場合、受信メールに悪意のある情報が含まれていない理由を、表示又は音声により出力する出力情報を生成する。出力部６は、受信メールに悪意のある情報が含まれる可能性が低い場合、受信メールに悪意のある情報が含まれていない理由を、表示又は音声により出力する。出力部６は、理由として、例えば、「上述した特徴情報（Ａ）から（Ｏ）が過去メールと一致しています」を出力する。
【０１２２】
［本実施の形態の効果］
以上のように本実施の形態によれば、標的型攻撃メールなどの悪意のある情報を含むメールを効率よく推定することができる。また、受信したメールの本文の特徴情報と、過去メールの本文の特徴情報との類似度を用いて、受信したメールが標的型攻撃メールであるか否かを推定できるので、上述した（１）から（３）に示すメールについても、標的型攻撃メールである可能性を推定できる。また、標的型攻撃メールを受信した旨を利用者に提示できる。
【０１２３】
すなわち、（１）初めてメールを受信した場合（判定基準情報が送信元情報にない場合）、利用者に対して、初めて受信したメールであること（標的型攻撃メールの可能性があること）を提示できるので、標的型攻撃メールによる被害を抑止できる。
【０１２４】
また、受信メールの本文と、過去メール又は過去スケジュールから検出した特徴情報とを用いて、送信元を特定しているので、（２）盗まれたＩＤを使用して知り合いであるかのように偽装したメール、又は（３）知り合いが別のメールアドレスから送信したかのように偽装したメールを受信しても、標的型攻撃メールである可能性を推定できる。従って、標的型攻撃メールによる被害を抑止できる。
【０１２５】
更に、本発明に係る実施の形態は、日本語以外の言語を用いたメールにも適用することができる。
【０１２６】
［プログラム］
本発明の実施の形態におけるプログラムは、コンピュータに、図５に示すステップＡ１からＡ６を実行させるプログラムであればよい。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における情報判定支援装置と情報判定支援方法とを実現することができる。この場合、コンピュータのプロセッサは、検出部２、推定部３、判定基準情報生成部４、出力情報生成部５として機能し、処理を行なう。
【０１２７】
また、本実施の形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されてもよい。この場合は、例えば、各コンピュータが、それぞれ、検出部２、推定部３、判定基準情報生成部４、出力情報生成部５のいずれかとして機能してもよい。
【０１２８】
［物理構成］
ここで、本実施の形態におけるプログラムを実行することによって、情報判定支援装置１を実現するコンピュータについて図８を用いて説明する。図８は、本発明の実施の形態における情報判定支援装置を実現するコンピュータの一例を示すブロック図である。
【０１２９】
図８に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを有する。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ（Graphics Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を設けていてもよい。
【０１３０】
ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであってもよい。
【０１３１】
また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置があげられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。
【０１３２】
データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
【０１３３】
また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記録媒体、又はＣＤ−ＲＯＭ（Compact Disk Read Only Memory）など
の光学記録媒体があげられる。
【産業上の利用可能性】
【０１３４】
以上のように本発明によれば、悪意のある情報を効率よく推定することができる。本発明は、悪意のある情報に対する推定が必要な分野において有用である。
【符号の説明】
【０１３５】
１  情報判定支援装置
２  検出部
３  推定部
４  判定基準情報生成部
５  出力情報生成部
６  出力部
７  記憶部
３１、６１  ヘッダ領域
３２、６２  添付ファイル表示領域
３３、６３  本文領域
４０  判定基準情報
７０  判定情報
１１０  コンピュータ
１１１  ＣＰＵ
１１２  メインメモリ
１１３  記憶装置
１１４  入力インターフェイス
１１５  表示コントローラ
１１６  データリーダ／ライタ
１１７  通信インターフェイス
１１８  入力機器
１１９  ディスプレイ装置
１２０  記録媒体
１２１  バス
【図１】
2019159417.tif 000003
【図２】
2019159417.tif 000004
【図３】
2019159417.tif 000005
【図４】
2019159417.tif 000006
【図５】
2019159417.tif 000007
【図６】
2019159417.tif 000008
【図７】
2019159417.tif 000009
【図８】
2019159417.tif 000010