(57)【要約】      （修正有）【課題】未知のメールアドレスを送信元とする標的型攻撃メールの検出を可能とし、標的型攻撃メールに使用される文字列を周知してユーザの警戒意識を高める。【解決手段】メールシステムにおいて、メール端末１−１〜１−ｎは、辞書学習機能により学習辞書に登録される文字列であり基本辞書に登録されていない文字列を、標的型攻撃メールに使用されがちな注意文字列として蓄積し、アドレス帳に未登録のメールアドレスからメールを受信した場合、このメール或いはその添付ファイルに注意文字列が含まれるか否かに基づき標的型攻撃メールを検出する。管理サーバ２は、メール端末から注意文字列情報を受信した場合、この注意文字列情報に含まれる注意文字列に対する注意喚起メールを他のメール端末に送信する。また、受信回数が所定回数に達した注意文字列を禁止文字列に設定し、禁止文字列のメールでの使用禁止を警告する警告メールを全てのメール端末に送信する。【選択図】図１
2019139598.tif 000002
【特許請求の範囲】
【請求項１】
辞書学習機能を有する文字入力フロントエンドプロセッサと、メールアドレスが登録されたアドレス帳と、を備えたメール端末であって、
前記辞書学習機能によって前記文字入力フロントエンドプロセッサの学習辞書に登録されている文字列であって、前記文字入力フロントエンドプロセッサの基本辞書に登録されていない文字列を注意文字列に設定する注意文字列設定手段と、
前記アドレス帳に登録されていないメールアドレスを送信元とするメールを受信した場合に、前記注意文字列設定手段により設定された注意文字列が当該メールあるいはその添付ファイルに含まれているか否かに基づいて標的型攻撃メールを検出する標的型攻撃メール検出手段と、を備えている
ことを特徴とするメール端末。
【請求項２】
請求項１に記載のメール端末であって、
前記標的型攻撃メール検出手段における標的型攻撃メールの検出に使用された注意文字列を管理サーバに送信する注意文字列送信手段と、
前記管理サーバから、当該管理サーバにおける受信回数が所定回数に達した注意文字列である禁止文字列を受信する禁止文字列受信手段と、
前記禁止文字列受信手段により受信された禁止文字列を蓄積する禁止文字列蓄積手段と、をさらに備え、
前記標的型攻撃メール検出手段は、
受信したメールあるいはその添付ファイルに、前記禁止文字列蓄積手段に蓄積されている禁止文字列が含まれているならば、当該メールのメールアドレスが前記アドレス帳に登録されているか否かにかかわらず、当該メールを標的型攻撃メールとして検出する
ことを特徴とするメール端末。
【請求項３】
請求項２に記載のメール端末であって、
送信対象のメールあるいはその添付ファイルに、前記禁止文字列蓄積手段に蓄積されている禁止文字列が含まれているか否かをチェックし、含まれている場合に当該メールの送信を阻止する送信メールチェック手段をさらに備える
ことを特徴とするメール端末。
【請求項４】
複数のメール端末において標的型攻撃メールの検出に使用された注意文字列を管理する管理サーバであって、
前記メール端末から標的型攻撃メールの検出に使用された注意文字列を受信する注意文字列受信手段と、
前記注意文字列受信手段により受信された注意文字列が使用された標的型攻撃メールに対する注意喚起メールを、当該注意文字列の送信元以外の前記メール端末に送信する注意喚起手段と、
前記注意文字列受信手段により受信された注意文字列の受信回数を管理する受信回数管理手段と、
前記受信回数管理手段により管理されている受信回数が所定回数に達した注意文字列を禁止文字列に設定する禁止文字列設定手段と、
前記禁止文字列設定手段により設定された禁止文字列のメールでの使用禁止を警告する警告メールをすべての前記メール端末に送信する警告手段と、を備えている
ことを特徴とする管理サーバ。
【請求項５】
請求項４に記載の管理サーバであって、
前記禁止文字列設定手段により設定された禁止文字列を前記メール端末に送信する禁止文字列送信手段をさらに備える
ことを特徴とする管理サーバ。
【請求項６】
コンピュータで読み取り可能なプログラムであって、
前記プログラムは、
辞書学習機能を有する文字入力フロントエンドプロセッサと、メールアドレスが登録されたアドレス帳と、を備えたメール端末として機能する前記コンピュータを、
前記辞書学習機能によって前記文字入力フロントエンドプロセッサの学習辞書に登録されている文字列であって、前記文字入力フロントエンドプロセッサの基本辞書に登録されていない文字列を注意文字列に設定する注意文字列設定手段、および
前記アドレス帳に登録されていないメールアドレスを送信元とするメールを受信した場合に、前記注意文字列設定手段により設定された注意文字列が当該メールあるいはその添付ファイルに含まれているか否かに基づいて標的型攻撃メールを検出する標的型攻撃メール検出手段として機能させる
ことを特徴とするコンピュータで読み取り可能なプログラム。
【請求項７】
コンピュータで読み取り可能なプログラムであって、
前記プログラムは、
複数のメール端末において標的型攻撃メールの検出に使用された注意文字列を管理する管理サーバとして機能するコンピュータを、
前記メール端末から標的型攻撃メールの検出に使用された注意文字列を受信する注意文字列受信手段、
前記注意文字列受信手段により受信された注意文字列が使用された標的型攻撃メールに対する注意喚起メールを、当該注意文字列の送信元以外の前記メール端末に送信する注意喚起手段、
前記注意文字列受信手段により受信された注意文字列の受信回数を管理する受信回数管理手段、
前記受信回数管理手段により管理されている受信回数が所定回数に達した注意文字列を禁止文字列に設定する禁止文字列設定手段、および
前記禁止文字列設定手段により設定された禁止文字列のメールでの使用禁止を警告する警告メールをすべての前記メール端末に送信する警告手段として機能させる
ことを特徴とするコンピュータで読み取り可能なプログラム。
【請求項８】
複数のメール端末と、管理サーバと、を備えたメールシステムにおける標的型攻撃メールの検出方法であって、
前記メール端末は、
辞書学習機能を有する文字入力フロントエンドプロセッサと、
メールアドレスが登録されたアドレス帳と、を備え、
前記辞書学習機能によって前記文字入力フロントエンドプロセッサの学習辞書に登録されている文字列であって、前記文字入力フロントエンドプロセッサの基本辞書に登録されていない文字列を注意文字列に設定し、
前記アドレス帳に登録されていないメールアドレスを送信元とするメールを受信した場合に、前記注意文字列設定手段により設定された注意文字列が当該メールあるいはその添付ファイルに含まれているか否かに基づいて標的型攻撃メールを検出し、
前記標的型攻撃メールの検出に使用された注意文字列を前記管理サーバに送信し、
前記管理サーバは、
前記メール端末から受信した注意文字列が使用された標的型攻撃メールに対する注意喚起メールを、当該注意文字列の送信元以外の前記メール端末に送信する
ことを特徴とする標的型攻撃メールの検出方法。
【請求項９】
請求項８に記載の標的型攻撃メールの検出方法であって、
前記管理サーバは、
前記メール端末から受信した注意文字列の受信回数を管理し、
受信回数が所定回数に達した注意文字列を禁止文字列に設定し、
設定した禁止文字列をすべての前記メール端末に送信し、
前記メール端末は、
前記管理サーバから受信した禁止文字列を蓄積し、
受信したメールあるいはその添付ファイルに蓄積されている禁止文字列が含まれているならば、当該メールのメールアドレスが前記アドレス帳に登録されているか否かにかかわらず、当該メールを標的型攻撃メールとして検出する
ことを特徴とする標的型攻撃メールの検出方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、標的型攻撃メールの検出技術に関する。
【背景技術】
【０００２】
近年、特定の個人、企業等を狙った情報窃取等を目的とする標的型攻撃メールの脅威が増大している。このような標的型攻撃メールの検出技術として特許文献１に記載のメールチェック装置がある。
【０００３】
このメールチェック装置は、正規に受信したメールから複数の特徴情報を抽出し、抽出した複数の特徴情報を、この正規に受信したメールの送信元のメールアドレスに対応付けて特徴情報データベースに蓄積する（特徴情報ＤＢ生成工程）。また、メールを受信すると、このメールから複数の特徴情報を抽出するとともに、このメールの送信元のメールアドレスに対応付けられて特徴情報データベースに蓄積されている複数の特徴情報を抽出して、両者を比較する。そして、両者の類似度が基準値未満ならば、このメールを警戒候補メールとして検出する（検出工程）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１３−２３６３０８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、特許文献１に記載のメールチェック装置は、特徴情報データベースに登録されていないメールアドレスを送信元とするメールに対応していないという問題がある。例えば、メールに知人、従業員等の特定人しか知らないキーワード、隠語等を使って相手を信頼させる標的型攻撃メールの場合、このメールの受信者は、メール内容から送信者を信頼してしまい、未知のメールアドレスであるにもかかわらず、メールに記述されたリンク先やメールに添付されたファイルを開いてしまう可能性がある。特許文献１に記載のメールチェック装置は、このような標的型攻撃メールを検出することができない。
【０００６】
本発明は、上記事情に鑑みてなされたものであり、本発明の目的は、未知のメールアドレスを送信元とする標的型攻撃メールの検出を可能とすることにある。また、本発明の他の目的は、標的型攻撃メールに使用される文字列を周知して、ユーザの標的型攻撃メールに対する警戒意識を高めることにある。
【課題を解決するための手段】
【０００７】
上記課題を解決するために、本発明において、メール端末は、自端末に搭載された文字入力フロントエンドプロセッサの基本辞書および辞書学習機能を利用して、特定人しか知らないキーワード、隠語等の標的型攻撃メールに使用されがちな注意文字列を蓄積する。具体的には、辞書学習機能により学習辞書に登録されている文字列であって基本辞書に登録されていない文字列を注意文字列として蓄積する。そして、アドレス帳に登録されていない未知のメールアドレスを送信元とするメールを受信した場合に、このメールあるいはその添付ファイルに注意文字列が含まれているか否かを判断し、含まれているならば、このメールを標的型攻撃メールとして検出する。
【０００８】
ここで、メール端末は、標的型攻撃メールの検出に使用した注意文字列を管理サーバに送信してもよい。また、メール端末は、管理サーバでの受信回数が所定回数に達した注意文字列である禁止文字列を管理サーバから受信した場合にこれを蓄積し、メールを受信した場合に、このメールに禁止文字列が含まれているならば、メールアドレスがアドレス帳に登録されているか否かにかかわらず、このメールを標的型攻撃メールとして検出してもよい。
【０００９】
例えば、本発明のメール端末は、
辞書学習機能を有する文字入力フロントエンドプロセッサと、メールアドレスが登録されたアドレス帳と、を備えたメール端末であって、
前記辞書学習機能によって前記文字入力フロントエンドプロセッサの学習辞書に登録されている文字列であって、前記文字入力フロントエンドプロセッサの基本辞書に登録されていない文字列を注意文字列に設定する注意文字列設定手段と、
前記アドレス帳に登録されていないメールアドレスを送信元とするメールを受信した場合に、前記注意文字列設定手段により設定された注意文字列が当該メールあるいはその添付ファイルに含まれているか否かに基づいて標的型攻撃メールを検出する標的型攻撃メール検出手段と、を備えている。
【００１０】
また、本発明において、管理サーバは、いずれかのメール端末から標的型攻撃メールの検出に使用された注意文字列を受信すると、この注意文字列が使用された標的型攻撃メールに対する注意喚起メールを他のメール端末に送信する。また、メール端末からの受信回数が所定回数に達した注意文字列を禁止文字列に設定し、禁止文字列のメールでの使用禁止を呼びかける警告メールをすべてのメール端末に送信する。
【００１１】
例えば、本発明の管理サーバは、
複数のメール端末において標的型攻撃メールの検出に使用された注意文字列を管理する管理サーバであって、
前記メール端末から標的型攻撃メールの検出に使用された注意文字列を受信する注意文字列受信手段と、
前記注意文字列受信手段により受信された注意文字列が使用された標的型攻撃メールに対する注意喚起メールを、当該注意文字列の送信元以外の前記メール端末に送信する注意喚起手段と、
前記注意文字列受信手段により受信された注意文字列の受信回数を管理する受信回数管理手段と、
前記受信回数管理手段により管理されている受信回数が所定回数に達した注意文字列を禁止文字列に設定する禁止文字列設定手段と、
前記禁止文字列設定手段により設定された禁止文字列のメールでの使用禁止を警告する警告メールをすべての前記メール端末に送信する警告手段と、を備えている。
【発明の効果】
【００１２】
本発明のメール端末によれば、辞書学習機能により学習辞書に登録される文字列であって基本辞書に登録されていない文字列を、特定人しか知らないキーワード、隠語等の標的型攻撃メールに使用されがちな注意文字列として蓄積し、アドレス帳に登録されていない未知のメールアドレスを送信元とするメールを受信した場合に、このメールあるいはその添付ファイルに注意文字列が含まれているか否かに基づいて、このメールが標的型攻撃メールであるか否かを判断する。したがって、未知のメールアドレスを送信元とする標的型攻撃メールを検出することができる。
【００１３】
また、本発明の管理サーバによれば、いずれかのメール端末から注意文字列を受信した場合に、この注意文字列が使用された標的型攻撃メールに対する注意喚起メールを他のメール端末に送信し、メール端末からの受信回数が所定回数に達した注意文字列を禁止文字列に設定して、禁止文字列のメールでの使用禁止を警告する警告メールをすべてのメール端末に送信する。したがって、標的型攻撃メールに使用される文字列を周知して、ユーザの標的型攻撃メールに対する警戒意識を高めることができる。
【図面の簡単な説明】
【００１４】
【図１】図１は、本発明の一実施の形態に係るメールシステムの概略構成図である。
【図２】図２は、本発明の一実施の形態に係るメールシステムの動作例を説明するためのシーケンス図である。
【図３】図３は、本発明の一実施の形態に係るメールシステムの動作例を説明するためのシーケンス図であり、図２の続きである。
【図４】図４は、メール端末１の概略機能構成図である。
【図５】図５は、メール端末１の注意文字列蓄積処理を説明するためのフロー図である。
【図６】図６は、メール端末１の禁止文字列蓄積処理を説明するためのフロー図である。
【図７】図７は、メール端末１のメール受信処理を説明するためのフロー図である。
【図８】図８は、メール端末１のメール送信処理を説明するためのフロー図である。
【図９】図９は、管理サーバ２の概略機能構成図である。
【図１０】図１０は、管理サーバ２の動作を説明するためのフロー図である。
【発明を実施するための形態】
【００１５】
以下に、本発明の一実施の形態について図面を参照して説明する。
【００１６】
図１は、本実施の形態に係るメールシステムの概略構成図である。
【００１７】
図示するように、本実施の形態に係るメールシステムは、メールサーバ６を介してメールを送受信する複数のメール端末１−１〜１−ｎ（以下、単に、メール端末１とも呼ぶ）と、管理サーバ２とが、ＬＡＮ３に接続されて構成されている。ＬＡＮ３は、ゲートウェイ４を介してＷＡＮ５に接続されている。
【００１８】
メール端末１は、メールサーバ６を介してメールを送受信する。なお、図１では、メールサーバ６をＷＡＮ５に接続しているが、ＬＡＮ３に接続してもよい。
【００１９】
また、メール端末１は、辞書学習機能を有する文字入力フロントエンドプロセッサと、メールアドレスが登録されたアドレス帳と、を備えており、文字入力フロントエンドプロセッサの基本辞書および辞書学習機能を利用して、メール端末１−１〜１−ｎのユーザしか知らないキーワード、隠語等の標的型攻撃メールに使用されがちな注意文字列を蓄積する。そして、アドレス帳に登録されていない未知のメールアドレスを送信元とするメールを受信した場合に、このメールあるいはその添付ファイルに注意文字列が含まれているか否かを判断し、含まれているならば、このメールを標的型攻撃メールとして検出し、標的型攻撃メールの検出に使用した注意文字列を管理サーバ２に送信する。
【００２０】
管理サーバ２は、メール端末１において標的型攻撃メールの検出に使用された注意文字列を管理するものであり、メール端末１から注意文字列を受信すると、この注意文字列が使用された標的型攻撃メールに対する注意喚起メールを、この注意文字列の送信元以外のメール端末１に送信する。
【００２１】
また、管理サーバ２は、メール端末１からの受信回数が所定回数に達した注意文字列を禁止文字列に設定し、メールでの禁止文字列の使用禁止を呼びかける警告メールをすべてのメール端末１に送信する。
【００２２】
図２および図３は、本実施の形態に係るメールシステムの動作例を説明するためのシーケンス図である。
【００２３】
まず、攻撃者のメール端末７が、メール端末１−１を送信先とし、メール端末１−１〜１−ｎのユーザしか知らないキーワード、隠語等を含む標的型攻撃メールを送信したものとする（Ｓ１００）。この標的型攻撃メールは、メールサーバ６を介してメール端末１−１に送信される。
【００２４】
さて、メール端末１−１は、メールサーバ６からメールを受信すると、このメールの送信元（メール端末７）のメールアドレスがアドレス帳に登録されていないことを確認し、このメールあるいはその添付ファイルに注意文字列が含まれているか否かを判断する。そして、このメールあるいはその添付ファイルから注意文字列を検出すると（Ｓ１０１）、このメールが標的型攻撃メールの可能性があると判断し、このメールに記述されたリンク先や添付されたファイルをむやみに開かないようユーザに注意を喚起するための注意喚起表示を行う（Ｓ１０２）。それから、メール端末１−１は、受信したメールあるいはその添付ファイルから検出した注意文字列を含む注意文字列情報を管理サーバ２に送信する（Ｓ１０３）。
【００２５】
つぎに、管理サーバ２は、メール端末１−１から注意文字列情報を受信すると、この注意文字列情報に含まれている注意文字列に対応付けられて登録されている受信回数を１つインクリメントして更新する（Ｓ１０４）。ここで、受信した注意文字列情報に含まれている注意文字列が登録されていないならば、この注意文字列を受信回数「１」に対応付けて登録する。それから、管理サーバ２は、注意文字列情報の送信元であるメール端末１−１以外のメール端末１−２〜１−ｎを送信先とし、この注意文字列情報に含まれている注意文字列が使用された標的型攻撃メールに対する注意喚起メールをメールサーバ６に送信する（Ｓ１０５）。この注意喚起メールは、メールサーバ６を介して、注意文字列情報の送信元であるメール端末１−１以外のメール端末１−２〜１−ｎに送信される。これにより、メール端末１−２〜１−ｎのユーザは、注意喚起メールに示された注意文字列が使用されたメールに対して警戒を高めることができる。
【００２６】
つぎに、攻撃者のメール端末７が、Ｓ１００にてメール端末１−１に送信した標的型攻撃メールと同じものを、送信先をメール端末１−２に変更して、再度送信したものとする（Ｓ１０６）。この標的型攻撃メールは、メールサーバ６を介してメール端末１−２に送信される。
【００２７】
さて、メール端末１−２は、メールサーバ６からメールを受信すると、このメールの送信元（メール端末７）のメールアドレスがアドレス帳に登録されていないことを確認し、このメールあるいはその添付ファイルに注意文字列が含まれているか否かを判断する。そして、このメールあるいはその添付ファイルから注意文字列を検出すると（Ｓ１０７）、このメールが標的型攻撃メールの可能性があると判断し、このメールに記述されたリンク先や添付されたファイルをむやみに開かないようユーザに注意を喚起するための注意喚起表示を行う（Ｓ１０８）。それから、メール端末１−２は、受信したメールあるいはその添付ファイルから検出した注意文字列を含む注意文字列情報を管理サーバ２に送信する（Ｓ１０９）。
【００２８】
つぎに、管理サーバ２は、メール端末１−２から注意文字列情報を新たに受信する。この注意文字列情報に含まれている注意文字列は、Ｓ１０３にて他のメール端末１−１から受信した注意文字列情報に含まれている注意文字列と同じであり、管理サーバ２に登録済みである。そこで、管理サーバ２は、この注意文字列に対応付けられて登録されている受信回数を１つインクリメントして更新する（Ｓ１１０）。それから、管理サーバ２は、新たな注意文字列情報の送信元であるメール端末１−２以外のメール端末１−１、１−３〜１−ｎを送信先とし、この注意文字列情報に含まれている注意文字列が使用された標的型攻撃メールに対する注意喚起メールをメールサーバ６に送信する（Ｓ１１１）。この注意喚起メールは、メールサーバ６を介して、新たな注意文字列情報の送信元であるメール端末１−２以外のメール端末１−１、１−３〜１−ｎに送信される。これにより、メール端末１−１、１−３〜１−ｎのユーザは、注意喚起メールに示された注意文字列が使用されたメールに対して警戒を高めることができる。
【００２９】
ここで、Ｓ１１０で更新された受信回数が所定回数に到達したものとする（Ｓ１１２）。これを受けて、管理サーバ２は、所定回数に到達した受信回数に対応付けられて登録されている注意文字列を禁止文字列に設定する（Ｓ１１３）。それから、管理サーバ２は、すべてのメール端末１−１〜１−ｎを送信先とし、Ｓ１１３で設定された禁止文字列のメールでの使用禁止を呼びかける警告メールを送信する（Ｓ１１４）。この警告メールは、メールサーバ６を介してすべてのメール端末１−１〜１−ｎに送信される。これにより、すべてのメール端末１−１〜１−ｎのユーザは、警告メールに示された禁止文字列のメールで使用を控えるように意識することができる。
【００３０】
つぎに、管理サーバ２は、Ｓ１１３で設定された禁止文字列を含む禁止文字列情報をすべてのメール端末１−１〜１−ｎに送信する（Ｓ１１５）。これを受けて、メール端末１−１〜１−ｎは、管理サーバ２から受信した禁止文字列情報に含まれている禁止文字列を蓄積し（Ｓ１１６〜Ｓ１１８）、この蓄積された禁止文字列の使用を禁止する（Ｓ１１９〜Ｓ１２１）。すなわち、メール端末１−１〜１−ｎは、本文、件名等に禁止文字列を含むメールあるいはその添付ファイルに禁止文字列を含むメールを受信した場合、このメールの送信元のメールアドレスがアドレス帳に登録されているか否かにかかわらず、このメールを標的型攻撃メールとして検出する。また、メール端末１−１〜１−ｎは、ユーザが本文、件名等に禁止文字列を含むメールあるいはその添付ファイルに禁止文字列を含むメールを作成して送信しようとした場合、禁止文字列を含むことを理由にこのメールの送信を阻止する。
【００３１】
つぎに、本実施の形態に係るメールシステムを構成するメール端末１および管理サーバ２の詳細を説明する。なお、メールサーバ６には、既存のメールサーバを利用できるので、その詳細な説明を省略する。
【００３２】
まず、メール端末１の詳細を説明する。
【００３３】
図４は、メール端末１の概略機能構成図である。
【００３４】
図示するように、メール端末１は、ネットワークインターフェース部１００と、マンマシンインターフェース部１０１と、文字入力フロントエンドプロセッサ１０２と、メーラ１０３と、注意文字列設定部１０４と、注意文字列蓄積部１０５と、禁止文字列情報受信部１０６と、禁止文字列蓄積部１０７と、標的型攻撃メール検出部１０８と、注意文字列情報送信部１０９と、送信メールチェック部１１０と、を備えている。
【００３５】
ネットワークインターフェース部１００は、ＬＡＮ３に接続するためのインターフェースである。
【００３６】
マンマシンインターフェース部１０１は、ユーザに情報を表示したり、ユーザから各種操作を受け付けたりするためのインターフェースであり、キーボード、マウス等の入力装置と、液晶ディスプレイ等の表示装置と、を有している。
【００３７】
文字入力フロントエンドプロセッサ１０２は、基本的な単語、フレーズ等の文字列が予め登録された基本辞書１１１と、ユーザが使用する単語、フレーズ等の文字列を登録する学習辞書１１２と、を有しており、マンマシンインターフェース部１０１に入力されたローマ字、かな等の文字列を、これらの基本辞書１１１および学習辞書１１２を参照して、単語、フレーズ等の文字列に変換する（かな漢字変換処理）。また、文字入力フロントエンドプロセッサ１０２は、辞書学習機能を有しており、マンマシンインターフェース部１０１に入力されたローマ字、かなの文字列から変換された単語、フレーズ等の文字列を学習辞書１１２に登録する。
【００３８】
メーラ１０３は、自メール端末１を送信先とするメールをメールサーバ６から受信して、マンマシンインターフェース部１０１に表示する。また、メーラ１０３は、マンマシンインターフェース部１０１および文字入力フロントエンドプロセッサ１０２と連携してメールを作成し、メールサーバ６に送信する。また、メーラ１０３は、メールアドレス、ユーザ名を含むアドレス情報が登録されたアドレス帳１１３を有しており、受信したメールの送信元アドレスを含むアドレス情報がアドレス帳１１３に登録されている場合に、このアドレス情報に含まれているユーザ名を送信元アドレスとともにマンマシンインターフェース部１０１に表示する。また、アドレス帳１１３は、作成したメールの送信先アドレスの決定に利用することができる。
【００３９】
注意文字列設定部１０４は、辞書学習機能によって文字入力フロントエンドプロセッサ１０２の学習辞書１１２に登録されている文字列であって、文字入力フロントエンドプロセッサ１０２の基本辞書１１１に登録されていない文字列を、特定人（メール端末１−１〜１−ｎのユーザ）しか知らないキーワード、隠語等の注意文字列に設定する。
【００４０】
注意文字列蓄積部１０５は、注意文字列設定部１０４により設定された注意文字列を蓄積する。
【００４１】
禁止文字列情報受信部１０６は、ネットワークインターフェース部１００を介して管理サーバ２から禁止文字列情報を受信する。
【００４２】
禁止文字列蓄積部１０７は、禁止文字列情報受信部１０６により受信された禁止文字列情報に含まれている禁止文字列を蓄積する。
【００４３】
標的型攻撃メール検出部１０８は、メーラ１０３がネットワークインターフェース部１００を介してメールサーバ６から受信するメールあるいはその添付ファイルに、注意文字列蓄積部１０５に蓄積されている注意文字列、あるいは禁止文字列蓄積部１０７に蓄積されている禁止文字列が含まれているか否かに基づいて、標的型攻撃メールを検出する。
【００４４】
具体的には、メールあるいはその添付ファイルに、注意文字列蓄積部１０５に蓄積されている注意文字列が含まれている場合、このメールの送信元アドレスがメーラ１０３のアドレス帳１１３に登録されていないならば、このメールを標的型攻撃メールとして検出する。また、メールあるいはその添付ファイルに、禁止文字列蓄積部１０７に蓄積されている禁止文字列が含まれている場合、このメールの送信元アドレスがメーラ１０３のアドレス帳１１３に登録されているか否かにかかわらず、このメールを標的型攻撃メールとして検出する。
【００４５】
注意文字列情報送信部１０９は、標的型攻撃メール検出部１０８において、メーラ１０３がメールサーバ６から受信するメールあるいはその添付ファイルに注意文字列が含まれていることを理由に、このメールが標的型攻撃メールとして検出された場合に、この注意文字列を含む注意文字列情報を、ネットワークインターフェース部１００を介して管理サーバ２に送信する。
【００４６】
送信メールチェック部１１０は、メーラ１０３がネットワークインターフェース部１００を介してメールサーバ６へ送信しようとしているメールあるいはその添付ファイルに、禁止文字列蓄積部１０７に蓄積されている禁止文字列が含まれている場合に、このメールの送信を拒否する。
【００４７】
図５は、メール端末１の注意文字列蓄積処理を説明するためのフロー図である。
【００４８】
まず、注意文字列設定部１０４は、文字入力フロントエンドプロセッサ１０２の学習辞書１１２のモニタを開始して（Ｓ２００）、文字入力フロントエンドプロセッサ１０２の辞書学習機能により学習辞書１１２に文字列が新たに登録されるのを待つ（Ｓ２０１）。
【００４９】
つぎに、注意文字列設定部１０４は、学習辞書１１２に文字列が新たに登録されると（Ｓ２０１でＹＥＳ）、この学習辞書１１２に新たに登録された文字列が文字入力フロントエンドプロセッサ１０２の基本辞書１１１に登録されているか否かを判断する（Ｓ２０２）。そして、学習辞書１１２に新たに登録された文字列が基本辞書１１１に登録されていない場合（Ｓ２０２でＮＯ）、注意文字列設定部１０４は、この文字列を、特定人（メール端末１−１〜１−ｎのユーザ）しか知らないキーワード、隠語等の注意文字列に設定し、この注意文字列を注意文字列蓄積部１０５に蓄積する（Ｓ２０３）。それから、Ｓ２０１に戻る。
【００５０】
一方、学習辞書１１２に新たに登録された文字列が基本辞書１１１に登録されている場合（Ｓ２０２でＹＥＳ）、直ちにＳ２０１に戻る。
【００５１】
図６は、メール端末１の禁止文字列蓄積処理を説明するためのフロー図である。
【００５２】
禁止文字列情報受信部１０６は、ネットワークインターフェース部１００を介して管理サーバ２から禁止文字列情報を受信すると（Ｓ２１０でＹＥＳ）、この禁止文字列情報から禁止文字列を抽出して禁止文字列蓄積部１０７に蓄積する（Ｓ２１１）。
【００５３】
図７は、メール端末１のメール受信処理を説明するためのフロー図である。
【００５４】
まず、標的型攻撃メール検出部１０８は、ネットワークインターフェース部１００がＬＡＮ３を介してメールサーバ６からメールを受信すると（Ｓ２２０でＹＥＳ）、このメールをメーラ１０３に先立ってネットワークインターフェース部１００から取得する。そして、このメールが管理サーバ２のメールアドレスを送信元のメールアドレスとする注意喚起メールあるいは警告メールであるならば（Ｓ２２１でＹＥＳ）、標的型攻撃メール検出部１０８は、このメールをメーラ１０３に渡す。これを受けて、メーラ１０３は、標的型攻撃メール検出部１０８から受け取ったメール（注意喚起メールあるいは警告メール）をマンマシンインターフェース部１０１に表示する（Ｓ２２２）。
【００５５】
一方、ネットワークインターフェース部１００から取得したメールが管理サーバ２のメールアドレスを送信元のメールアドレスとする注意喚起メールあるいは警告メールでないならば（Ｓ２２１でＮＯ）、標的型攻撃メール検出部１０８は、このメールあるいはその添付ファイルが、禁止文字列蓄積部１０７に蓄積されている禁止文字列を含んでいるか否かを判断する（Ｓ２２３）。そして、禁止文字列を含んでいる場合（Ｓ２２３でＹＥＳ）、標的型攻撃メール検出部１０８は、このメールをメーラ１０３に渡すことなく破棄するとともに（Ｓ２２４）、このメールの送信元のメールアドレスおよびこのメールあるいはその添付ファイルから検出された禁止文字列をメーラ１０３に通知する。これを受けて、メーラ１０３は、マンマシンインターフェース部１０１に、標的型攻撃メール検出部１０８から受け取った送信元のメールアドレスおよび禁止文字列を含み、この送信元のメールアドレスから受信したメールが標的型攻撃メールである可能性が高いため破棄した旨をユーザに知らせるための警告表示を行う（Ｓ２２５）。
【００５６】
一方、ネットワークインターフェース部１００から取得したメールあるいはその添付ファイルが禁止文字列を含んでいない場合（Ｓ２２３でＮＯ）、標的型攻撃メール検出部１０８は、このメールの送信元のメールアドレスがメーラ１０３のアドレス帳１１３に登録されているか否かを判断する（Ｓ２２６）。そして、登録されていない場合は（Ｓ２２６でＮＯ）、このメールあるいはその添付ファイルが、注意文字列蓄積部１０５に蓄積されている注意文字列を含んでいるか否かをさらに判断する（Ｓ２２７）。
【００５７】
ネットワークインターフェース部１００から取得したメールの送信元のメールアドレスがメーラ１０３のアドレス帳１１３に登録されている場合（Ｓ２２６でＹＥＳ）、あるいは、このメールあるいはその添付ファイルに注意文字列が含まれていない場合（Ｓ２２７でＮＯ）、標的型攻撃メール検出部１０８は、このメールが標的型攻撃メールである可能性は低いと判断し、このメールをメーラ１０３に渡す。これを受けて、メーラ１０３は、標的型攻撃メール検出部１０８から受け取ったメールをマンマシンインターフェース部１０１に表示する（Ｓ２２８）。
【００５８】
一方、ネットワークインターフェース部１００から取得したメールの送信元のメールアドレスがメーラ１０３のアドレス帳１１３に登録されておらず（Ｓ２２６でＮＯ）、かつ、このメールあるいはその添付ファイルに注意文字列が含まれている場合（Ｓ２２７でＹＥＳ）、標的型攻撃メール検出部１０８は、このメールを、このメールあるいはその添付ファイルから検出された注意文字列とともにメーラ１０３に渡す。これを受けて、メーラ１０３は、マンマシンインターフェース部１０１に、標的型攻撃メール検出部１０８から受け取ったメールを、このメールが標的型攻撃メール検出部１０８から受け取った注意文字列を含む標的型攻撃メールである可能性があり、メール中のＵＲＬや添付ファイルを開かないように注意すべき旨のメッセージとともに表示する（Ｓ２２９）。それから、標的型攻撃メール検出部１０８は、ネットワークインターフェース部１００を介して管理サーバ２に、検出された注意文字列を含む注意文字列情報を送信する（Ｓ２３０）。
【００５９】
図８は、メール端末１のメール送信処理を説明するためのフロー図である。
【００６０】
まず、送信メールチェック部１１０は、メーラ１０３がマンマシンインターフェース部１０１を介してユーザからメールの送信操作を受け付けると（Ｓ２４０でＹＥＳ）、メーラ１０３から送信対象のメールを取得して、このメールあるいはその添付ファイルが、禁止文字列蓄積部１０７に蓄積されている禁止文字列を含んでいるか否かを判断する（Ｓ２４１）。そして、禁止文字列を含んでいる場合（Ｓ２４１でＹＥＳ）、送信メールチェック部１１０は、このメールのメールサーバ６への送信を阻止するとともに（Ｓ２４２）、その旨をこのメールあるいはその添付ファイルから検出した禁止文字列とともにメーラ１０３に通知する。これを受けて、メーラ１０３は、送信対象のメールが送信メールチェック部１１０より通知された禁止文字列を含むため、このメールの送信が阻止された旨の警告をマンマシンインターフェース部１０１に表示する（Ｓ２４３）。
【００６１】
一方、送信対象のメールあるいはその添付ファイルが禁止文字列を含んでいない場合（Ｓ２４１でＮＯ）、送信メールチェック部１１０は、ネットワークインターフェース部１００を介してメールサーバ６にこのメールを送信する（Ｓ２４４）。
【００６２】
つぎに、管理サーバ２の詳細を説明する。
【００６３】
図９は、管理サーバ２の概略機能構成図である。
【００６４】
図示するように、管理サーバ２は、ネットワークインターフェース部２００と、注意文字列情報受信部２０１と、受信回数記憶部２０２と、受信回数管理部２０３と、注意喚起メール送信部２０４と、禁止文字列設定部２０５と、禁止文字列記憶部２０６と、警告メール送信部２０７と、禁止文字列情報送信部２０８と、を備えている。
【００６５】
ネットワークインターフェース部２００は、ＬＡＮ３に接続するためのインターフェースである。
【００６６】
注意文字列情報受信部２０１は、ネットワークインターフェース部２００を介してメール端末１から注意文字列情報を受信する。
【００６７】
受信回数記憶部２０２には、注意文字列各々について、メール端末１からの受信回数が記憶される。
【００６８】
受信回数管理部２０３は、注意文字列情報受信部２０１が受信した注意文字列情報に含まれている注意文字列の受信回数を受信回数記憶部２０２に記憶する。
【００６９】
注意喚起メール送信部２０４は、注意文字列情報受信部２０１が受信した注意文字列情報に含まれている注意文字列に対する注意喚起メールを生成し、この注意喚起メールを、ネットワークインターフェース部２００を介して注意文字列情報の送信元以外のメール端末１に送信する。
【００７０】
禁止文字列設定部２０５は、受信回数記憶部２０２に記憶されている受信回数が所定回数に達した注意文字列を、メールでの使用を禁止する禁止文字列に設定する。
【００７１】
禁止文字列記憶部２０６は、禁止文字列設定部２０５により設定された禁止文字列を記憶する。
【００７２】
警告メール送信部２０７は、禁止文字列設定部２０５により設定された禁止文字列に対する警告メールを生成し、この警告メールを、ネットワークインターフェース部２００を介してすべてのメール端末１に送信する。
【００７３】
禁止文字列情報送信部２０８は、ネットワークインターフェース部２００を介してすべてのメール端末１に、禁止文字列設定部２０５により設定された禁止文字列を含む禁止文字列情報を送信する。
【００７４】
図１０は、管理サーバ２の動作を説明するためのフロー図である。
【００７５】
まず、注意文字列情報受信部２０１は、ネットワークインターフェース部２００を介してメール端末１から注意文字列情報を受信すると（Ｓ３００でＹＥＳ）、この注意文字列情報に含まれている注意文字列を受信回数管理部２０３に通知するとともに、この注意文字列および注意文字列情報の送信元であるメール端末１のメールアドレスを注意喚起メール送信部２０４に通知する。
【００７６】
これを受けて、受信回数管理部２０３は、注意文字列情報受信部２０１から受け取った注意文字列の受信回数を更新する（Ｓ３０１）。具体的には、注意文字列情報受信部２０１から受け取った注意文字列が受信回数記憶部２０２に記憶されている場合、この注意文字列に対応付けられている受信回数を一つインクリメントする。一方、注意文字列情報受信部２０１から受け取った注意文字列が受信回数記憶部２０２に記憶されていない場合、この注意文字列を、受信回数「１」に対応付けて受信回数記憶部２０２に記憶する。
【００７７】
また、注意喚起メール送信部２０４は、注意文字列情報受信部２０１から受け取った注意文字列情報に含まれている注意文字列をメールあるいはその添付ファイルに含むメールが標的型攻撃メールである可能性があるため、該当するメールに記述されたリンク先や添付されたファイルをむやみに開かないようユーザに注意を喚起させるための注意喚起メールを生成する。そして、ネットワークインターフェース部２００を介して注意文字列情報の送信元以外のメール端末１に、この注意喚起メールを送信する（Ｓ３０２）。
【００７８】
つぎに、禁止文字列設定部２０５は、Ｓ３０１により受信回数が更新された注意文字列について、更新後の受信回数が所定回数に到達したか否かを判断する（Ｓ３０３）。所定回数に到達していない場合は（Ｓ３０３でＮＯ）、Ｓ３００に戻って注意文字列情報を新たに受信するのを待つ。一方、所定回数に到達している場合（Ｓ３０３でＹＥＳ）、禁止文字列設定部２０５は、この受信回数が所定回数に到達した注意文字列を禁止文字列に設定して禁止文字列記憶部２０６に記憶する（Ｓ３０４）。それから、禁止文字列設定部２０５は、この禁止文字列を警告メール送信部２０７および禁止文字列情報送信部２０８に通知する。
【００７９】
これを受けて、警告メール送信部２０７は、禁止文字列設定部２０５より受け取った禁止文字列をメールあるいはその添付ファイルに含むメールは標的型攻撃メールである可能性が高いため、自動的に破棄するように設定したこと、および新たな禁止文字列を周知させ、この禁止文字列のメールでの使用禁止を警告するための警告メールを生成する。そして、ネットワークインターフェース部２００を介してすべてのメール端末１にこの警告メールを送信する（Ｓ３０５）。
【００８０】
また、禁止文字列情報送信部２０８は、禁止文字列設定部２０５より受け取った禁止文字列を含む禁止文字列情報を生成し、この禁止文字列情報を、ネットワークインターフェース部２００を介してすべてのメール端末１に送信する（Ｓ３０６）。
【００８１】
以上、本発明の一実施の形態について説明した。
【００８２】
本実施の形態において、メール端末１は、文字入力フロントエンドプロセッサ１０２の辞書学習機能により学習辞書１１２に登録される文字列であって基本辞書１１１に登録されていない文字列を、特定人しか知らないキーワード、隠語等の標的型攻撃メールに使用されがちな注意文字列として蓄積する。そして、メーラ１０３のアドレス帳１１３に登録されていないメールアドレスを送信元とするメールを受信した場合に、このメールあるいはその添付ファイルに注意文字列が含まれているか否かに基づいて、このメールが標的型攻撃メールであるか否かを判断する。したがって、本実施の形態によれば、未知のメールアドレスを送信元とする標的型攻撃メールを検出することができる。
【００８３】
また、本実施の形態において、管理サーバ２は、いずれかのメール端末１から注意文字列情報を受信した場合に、この注意文字列情報に含まれている注意文字列が使用された標的型攻撃メールに対する注意を喚起する注意喚起メールを他のメール端末１に送信する。また、メール端末１からの受信回数が所定回数に達した注意文字列を禁止文字列に設定して、禁止文字列のメールでの使用禁止を警告する警告メールをすべてのメール端末１に送信する。したがって、本実施の形態によれば、標的型攻撃メールに使用される文字列を周知して、ユーザの標的型攻撃メールに対する警戒意識を高めることができる。
【００８４】
また、本実施の形態において、管理サーバ２は、禁止文字列が新たに設定された場合に、この禁止文字列を含む禁止文字列情報をすべてのメール端末１に送信する。また、メール端末１は、標的型攻撃メールの検出に使用された注意文字列を含む注意文字列情報を管理サーバ２に送信するとともに、管理サーバ２から禁止文字列情報を受信して、この禁止文字列情報に含まれている禁止文字列を蓄積する。そして、受信したメールあるいはその添付ファイルに、自身に蓄積されている禁止文字列が含まれているならば、このメールのメールアドレスがメーラ１０３のアドレス帳１１３に登録されているか否かにかかわらず、このメールを標的型攻撃メールとして検出する。したがって、本実施の形態によれば、標的型攻撃メールに対するセキュリティをさらに向上させることができる。
【００８５】
また、本実施の形態において、メール端末１は、送信対象のメールあるいはその添付ファイルに、自身に蓄積されている禁止文字列が含まれているか否かをチェックし、含まれているならば、このメールの送信を阻止している。したがって、本実施の形態によれば、標的型攻撃メールと誤解されるようなメールの送信を防止して、ユーザの標的型攻撃メールに対する警戒意識をさらに高めることができる。
【００８６】
なお、本発明は上記の各実施の形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。
【００８７】
例えば、上記の実施の形態において、メール端末１の注意文字列設定部１０４は、文字入力フロントエンドプロセッサ１０２の学習辞書１１２をモニタし、学習辞書１１２に文字列が登録される毎に、この文字列が基本辞書１１１に登録されていない場合に、この文字列を注意文字列に設定している（図５参照）。しかし、本発明はこれに限定されない。定期的に、あるいは、メーラ１０３の起動等の所定のイベント発生時に、学習辞書１１２に登録されている文字列であって、基本辞書１１１に登録されていない文字列を抽出し、抽出した文字列のうち、注意文字列蓄積部１０５に蓄積されていない文字列を一括して注意文字列に設定してもよい。
【００８８】
また、上記の実施の形態において、管理サーバ２の禁止文字列設定部２０５は、受信回数記憶部２０２に記憶されている受信回数が更新される毎に、更新後の受信回数が所定回数に到達した場合、この受信回数に対応付けられた注意文字列を禁止文字列に設定している（図１０参照）。しかし、本発明は、これに限定されない。定期的に、受信回数記憶部２０２を参照し、所定回数に到達した受信回数に対応付けられている注意文字列であって、禁止文字列記憶部２０６に禁止文字列として記憶されていない注意文字列を一括して禁止文字列に設定するようにしてもよい。
【００８９】
また、上記の実施の形態では、メール端末１がＬＡＮ３に接続された有線端末である場合を例にとり説明したが、本発明はこれに限定されない。メール端末１は、無線を介してＬＡＮ３に接続された無線端末であってもよい。
【００９０】
また、上記の実施の形態において、図４に示すメール端末１の機能構成は、ＣＰＵと、メモリと、ハードディスク、フラッシュメモリ等の補助記憶装置と、ＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）、無線アダプタ等の通信インターフェースと、を備えたＰＣ、タブレットＰＣ、スマートフォン等の汎用コンピュータにおいて、ＣＰＵが、所定のプログラムを、文字入力フロントエンドプロセッサ１０２を実現するためのプログラムおよびメーラ１０３を実現するためのプログラムとともに補助記憶装置からメモリ上にロードして実行することにより実現される。
【００９１】
また、上記の実施の形態において、図９に示す管理サーバ２の機能構成は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）などの集積ロジックＩＣによりハード的に実現されるものでもよいし、あるいはＤＳＰ（Ｄｉｇｉｔａｌ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｏｒ）等の計算機によりソフトウエア的に実現される。あるいは、ＣＰＵと、メモリと、補助記憶装置と、通信インターフェースと、を備えたＰＣ等の汎用コンピュータにおいて、ＣＰＵが所定のプログラムを補助記憶装置からメモリ上にロードして実行することにより実現される。
【符号の説明】
【００９２】
１、１−１〜１−ｎ：メール端末    ２：管理サーバ    ３：ＬＡＮ    ４：ゲートウェイ    ５：ＷＡＮ    ６：メールサーバ    ７：メール端末（攻撃者）    １００：ネットワークインターフェース部    １０１：マンマシンインターフェース部    １０２：文字入力フロントエンドプロセッサ    １０３：メーラ    １０４：注意文字列設定部    １０５：注意文字列蓄積部    １０６：禁止文字列情報受信部    １０７：禁止文字列蓄積部    １０８：標的型攻撃メール検出部    １０９：注意文字列情報送信部    １１０：送信メールチェック部    ２００：ネットワークインターフェース部    ２０１：注意文字列情報受信部    ２０２：受信回数記憶部    ２０３：受信回数管理部    ２０４：注意喚起メール送信部    ２０５：禁止文字列設定部    ２０６：禁止文字列記憶部    ２０７：警告メール送信部  ２０８：禁止文字列情報送信部
【図１】
2019139598.tif 000003
【図２】
2019139598.tif 000004
【図３】
2019139598.tif 000005
【図４】
2019139598.tif 000006
【図５】
2019139598.tif 000007
【図６】
2019139598.tif 000008
【図７】
2019139598.tif 000009
【図８】
2019139598.tif 000010
【図９】
2019139598.tif 000011
【図１０】
2019139598.tif 000012