(57)【要約】      （修正有）【課題】ユーザーが使いやすく、悪意のある第三者が不正ログインすることを防げる不正ログイン検出方法を提供する。【解決手段】不正ログイン検出方法を用いたシステムは、不正ログイン検出プログラム１００が実行されるサーバ群、不正ログイン検出対象のＷｅｂサイト２００及びユーザー端末３００を備える。Ｗｅｂサイトは、情報収集用Ｓｃｒｉｐｔを備え、ユーザー端末からＷｅｂサイトへアクセスがあった際に、ユーザー端末においてＳｃｒｉｐｔが実行され、ユーザー端末からアクセス端末情報及び操作情報を第一のサーバ１１０へ送信させる。第一のサーバは、受信したアクセス端末情報及び操作情報を記録し、第二のサーバ１２０は、記録されたアクセス端末情報及び操作情報に基づき不正ログインか否か分析を行う。分析結果として不正ログインの可能性が高い場合、第二のサーバは、不正ログインの疑いをＷｅｂサイトへ通知する。【選択図】図１
2019074893.tif 000002
【特許請求の範囲】
【請求項１】
通信回線を利用したネットワークにおけるＷｅｂサイトに対して行われる不正ログイン検出方法であって、
前記Ｗｅｂサイトに情報収集用のプログラムモジュールを送信する工程と、
前記Ｗｅｂサイトにユーザー端末からアクセスがあった際に、前記ユーザー端末において前記プログラムモジュールが実行される工程と、
前記プログラムモジュールによって、前記ユーザー端末内における前記Ｗｅｂサイトに対する前記ユーザーの操作処理情報、前記ユーザー端末情報を第一サーバに送信する工程と、
前記第一サーバにおいて、前記操作処理情報及び、前記端末情報を記録する工程と、
第二サーバにおいて、前記第一サーバに記録された前記操作処理情報及び、前記端末情報に基づき、不正ログインか否か分析を行う工程と、
前記第二サーバにおいて、前記分析結果として不正ログインの可能性が高い場合には、不正ログインの可能性を前記Ｗｅｂサイトに通知する工程とを備える不正ログイン検出方法。
【請求項２】
請求項１に記載の不正ログイン検出方法であって、
前記不正ログインか否か分析を行う工程において、
第三者が前記ユーザー端末を乗っ取り、当該ユーザー端末を用いてログインする不正ログイン行為か否かの分析、
前記Ｗｅｂサイトに自動的にログインするプログラムを用いてログインする不正ログイン行為か否かの分析、
または、事前に用意された不正行為リストの情報との比較によって不正ログイン行為か否かの分析の少なくとも何らか一つの分析を行う不正ログイン検出方法。
【請求項３】
請求項１または請求項２に記載の不正ログイン検出方法であって、
前記第一サーバにおいて、前記操作処理情報及び、前記端末情報を記録する工程において、前記端末情報の識別用の固有のキーを生成して、操作処理情報及び、端末情報を記録する工程を含む不正ログイン検出方法。
【請求項４】
請求項１及び請求項２に記載の不正ログイン検出方法であって、
前記第一サーバにおいて、前記操作処理情報及び、前記端末情報を記録する工程において、前記端末情報に固有の識別キーを生成して、前記操作処理情報及び、前記端末情報を記録する工程を含み、
前記事前に用意された不正行為リストの情報との比較によって不正ログイン行為か否かの分析を行う工程の分析結果を、前記識別キーを用いて、前記不正行為リストに情報を記録する工程とを含む不正ログイン検出方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正ログイン検出方法に関する。
【背景技術】
【０００２】
近年、インターネット上で不正ログインが行われ、社会問題になっていきている。例えば、警察庁によって発表された不正アクセス行為の発生状況によれば、平成２８年に認知された不正アクセス行為は、１８４０件もあった。
【０００３】
不正アクセスの例としては、インターネットバンキングやクレジットカード情報を保持するＥＣサイトといった会員制Ｗｅｂサイトで、悪意を持った者が、会員の識別子（以下、会員ＩＤ）およびパスワードを不正に入手し、会員本人になりすましてログインし、不正送金や不正な商品購入等を行う犯罪行為が増えている
【０００４】
このように、不正アクセスを受けているのは、ほとんど一般企業である。不正アクセスの主な手口としては、パスワードの不正入手、不正プログラムの導入などがある。これらの不正アクセスを防ぐために、ユーザーＩＤとパスワードとＩＰを紐付けた技術が開発されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開
【発明の概要】
【発明が解決しようとする課題】
【０００６】
一方、近年モバイル端末などを用いてＷｅｂサイトにログインするケースが増えてきている。このため、モバイル端末の特性上、ＩＰアドレスは頻繁に変わることになり、ユーザーＩＤとパスワードとＩＰを紐づける技術のみでは不正アクセスを防ぐことが困難になってきている。また、モバイル機器でなくても、他人のコンピューターへの不正アクセスを経て当該ユーザーが利用しているＷｅｂサイトへの不正ログインする事例が発生している。
【０００７】
不正アクセスを防ぐ方法として、既存のものは、特別な装置等を設置する必要があり高コストとなるものや、ＩＤやパスワード入力以外に加えて更に本人認証の為の操作を行わせる等、Ｗｅｂサイトにおけるユーザービリティを毀損する恐れがあるものがありユーザーにとって必ずしも使いやすいものとは言えない。
【０００８】
このため、ユーザーが使いやすく、悪意のある第三者が不正ログインすることを防げる不正ログイン検出方法が求められている。
【０００９】
本発明は、上述した課題を解決するためにユーザーが使いやすく、悪意のある第三者が不正ログインすることを防げる不正ログイン検出方法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
（１）  通信回線を利用したネットワークにおけるＷｅｂサイトに対して行われる不正ログイン検出方法であって、前記Ｗｅｂサイトに情報収集用のプログラムモジュールを送信する工程と、前記Ｗｅｂサイトにユーザー端末からアクセスがあった際に、前記ユーザー端末において前記プログラムモジュールが実行される工程と、前記プログラムモジュールによって、前記ユーザー端末内における前記Ｗｅｂサイトに対する前記ユーザーの操作処理情報、前記ユーザー端末情報を第一サーバに送信する工程と、前記第一サーバにおいて、前記操作処理情報及び、前記端末情報を記録する工程と、第二サーバにおいて、前記第一サーバに記録された前記操作処理情報及び、前記端末情報に基づき、不正ログインか否か分析を行う工程と、前記第二サーバにおいて、前記分析結果として不正ログインの可能性が高い場合には、不正ログインの可能性を前記Ｗｅｂサイトに通知する工程とを備える不正ログイン検出方法。
【００１１】
Ｗｅｂサイトに情報処理用のプログラムモジュールを送信し、そのプログラムモジュールが実行され、ユーザーの操作処理情報（マウス操作情報やキーボード操作情報、モバイル端末のスワイプ操作の情報など）や端末情報（ハードウェアの情報や、ブラウザの情報など）を第一サーバに送る。第二サーバでは、第一サーバに記録された情報に基づいてこのアクセスが不正アクセスか否かを分析する。分析の結果、不正アクセスの可能性が高い場合には、Ｗｅｂサイト運営者に対して、メールや管理用コンソール通知などの手段を使い不正アクセスの可能性が高いことを通知する。これによって、ユーザーに負担をかけることなく、ユーザーが使いやすく、悪意のある第三者が不正ログインすることを防げる不正ログイン検出方法を提供できる。
【００１２】
（２）  （１）に記載の不正ログイン検出方法であって、前記不正ログインか否か分析を行う工程において、第三者が前記ユーザー端末を乗っ取り、当該ユーザー端末を用いてログインする不正ログイン行為か否かの分析、前記Ｗｅｂサイトに自動的にログインするプログラムを用いてログインする不正ログイン行為か否かの分析、または、事前に用意された不正行為リストの情報との比較によって不正ログイン行為か否かの分析の少なくとも何らか一つの分析を行う不正ログイン検出方法。
【００１３】
第一サーバに記録された今までの操作処理情報と、今回のログイン時の操作処理情報を比較し、第三者による操作や、プログラムによる操作か否か分析したり、事前に登録された不正アクセスリストと比較したりすることで不正ログインを検知する。このように、悪意のある第三者が不正ログインすることを防げる不正ログイン検出方法を提供できる。
【００１４】
（３）  （１）または（２）に記載の不正ログイン検出方法であって、前記第一サーバにおいて、前記操作処理情報及び、前記端末情報を記録する工程において、前記端末情報の識別用の固有のキーを生成して、操作処理情報及び、端末情報を記録する工程を含む不正ログイン検出方法。
【００１５】
例えば、電話番号などで特定する場合、キャリアが変わると、電話番号が変化する可能性が考えられる。また、ＩＰで特定する場合、移動中にアクセスするとＩＰが変わり得てしまう。端末情報の識別用の固有のキーを生成し、記録することによって、その端末を特定できるようになり、特定の機器に対する操作情報が記録されていき、精度が向上していく。このように、悪意のある第三者が不正ログインすることを防げる不正ログイン検出方法を提供できる。
【００１６】
（４）  （１）及び（２）に記載の不正ログイン検出方法であって、前記第一サーバにおいて、前記操作処理情報及び、前記端末情報を記録する工程において、前記端末情報に固有の識別キーを生成して、前記操作処理情報及び、前記端末情報を記録する工程を含み、
前記事前に用意された不正行為リストの情報との比較によって不正ログイン行為か否かの分析を行う工程の分析結果を、前記識別キーを用いて、前記不正行為リストに情報を記録する工程とを含む不正ログイン検出方法。
【００１７】
第一サーバに固有の識別キーを用いて記録された今までの操作処理情報と、今回のログイン時の操作処理情報を比較し、第三者による操作や、プログラムによる操作か否か分析したり、事前に登録された不正アクセスリストと比較したりすることで不正ログインを検知する。さらに、分析結果を不正アクセスリストに記憶することで、不正アクセスリストの精度を向上し、不正ログイン検出能力を向上できる。このように、悪意のある第三者が不正ログインすることを防げる不正ログイン検出方法を提供できる。
【図面の簡単な説明】
【００１８】
【図１】本発明の実施形態にかかるシステムの構成を説明する概念図である。
【図２】本発明の実施形態にかかるシステムの処理のシーケンスを説明する概念図である。
【図３】本発明の実施形態にかかるシステムの処理フローを説明するフロー図である。
【発明を実施するための最良の形態】
【００１９】
図１に示すように、不正ログイン検出方法を用いたシステム１は、不正ログイン検出プログラムが実行されるサーバ群１００と、不正ログイン検出対象Ｗｅｂサイト２００と、ユーザー端末３００を含んで構成されている。これらは、インターネットなど電気通信回線でそれぞれ接続されている。不正ログイン検出プログラムが実行されるサーバ群１００は、後述するユーザー端末情報や、操作情報など各種情報が記憶されている第１サーバ１００と、各種アプリケーションが実行されている第２サーバ１２０を含んで構成されている。なお、このサーバの分類は概念上のものであり、実際の物理的な構成はサーバ数が二つ以上いかなる数であってもよい。
【００２０】
ユーザー端末３００は、例えば、スマートフォンや、コンピューターなどである。不正ログイン検出対象Ｗｅｂサイト２００は、ユーザー端末３００を用いてログインされる対象のサイトであり、例えば、銀行などのサイトや、ＥＣサイトなどである。
【００２１】
不正ログイン検出方法を用いたシステム１は、ユーザー端末３００が不正ログイン検出対象Ｗｅｂサイト２００にログインする際に、不正ログイン検出対象Ｗｅｂサイト２００がユーザー端末３００に対しＪａｖａ  Ｓｃｒｉｐｔ（登録商標）を送信し、ユーザー端末３００からユーザーの端末情報や操作情報を送信させる。さらに、不正ログイン検出対象Ｗｅｂサイト２００は、それらの情報をサーバ群１００に送信し、サーバ群１００の第２サーバ１２０、第１サーバ１１０に記憶された情報などを用いて、ユーザー端末３００上の振る舞いが通常の振る舞いと同じか否かなどの観点から不正ログインか否かを判定し、判定結果を不正ログイン検出対象Ｗｅｂサイト２００に送信するともに、判定結果を第１サーバ１１０に記憶する。
【００２２】
＜処理シーケンス＞
図２は、本発明にかかる不正ログイン検出処理のシーケンスを示す。ユーザー側の端末は、不正検出対象Ｗｅｂサイトに対して、ログイン画面を要求する。次に、不正検出対象Ｗｅｂサイト２００は、ユーザー側の端末に対して、ログイン画面のプログラムを送信する。ユーザー側の端末は、不正ログイン検出プログラム用サーバに対して、Ｊａｖａ  Ｓｃｒｉｐｔを要求する。
【００２３】
不正ログイン検出用プログラム用サーバは、ユーザー側の端末に対して、不正ログイン検出用のＪａｖａ  Ｓｃｒｉｐｔプログラムを送信する。このように、この処理は、Ｗｅｂサイトに情報収集用のプログラムモジュールを送信する工程の一例である。
【００２４】
ユーザー側の端末において、Ｊａｖａ  Ｓｃｒｉｐｔは、ユーザー側の端末情報であるアクセス端末情報を収集する。より具体的には、（ブラウザ設定言語設定情報、画面解像度情報、設定時刻情報をはじめとした端末に設定された情報）などを収集する。このように、この処理は、Ｗｅｂサイトにユーザー端末からアクセスがあった際に、ユーザー端末においてプログラムモジュールが実行される工程の一例である。
【００２５】
ユーザー側の端末において、Ｊａｖａ  Ｓｃｒｉｐｔは、ユーザーがユーザー側の端末をどのような操作を行ったかという情報である操作情報を収集する。より具体的には、不正検出対象Ｗｅｂサイト２００でのキー入力の間隔や、画面スクロールの移動距離や、画面にタッチしている際の画面座標などの情報を収集する。
【００２６】
ユーザー側の端末は、アクセス端末情報や操作情報をハッシュ化し、不正ログイン検出プログラム用第１サーバ１１０に送信する。不正ログイン検出プログラム用第１サーバ１１０は、アクセス端末情報や操作情報を受信後、不正ログイン検出を受け付けた旨の情報をユーザー側の端末に送信する。このように、この処理は、プログラムモジュールによって、ユーザー端末３００内におけるＷｅｂサイトに対するユーザーの操作処理情報、ユーザー端末情報を第一サーバに送信する工程の一例である。
【００２７】
不正ログイン検出プログラム用第２サーバ１２０は、ユーザー端末３００から不正ログイン検出プログラム用第１サーバ１１０に送信された情報に基づいて、当該ユーザー端末３００による不正検出対象Ｗｅｂサイト２００へのログインが不正ログインか否か判定を行う。なお、不正ログインか否かの判定の詳細は後述する。このように、この処理は、第二サーバにおいて、第一サーバに記録された操作処理情報及び、端末情報に基づき、不正ログインか否か分析を行う工程の一例である。
【００２８】
図３に示すように、ステップＳ１０において、不正ログイン検出プログラム用第１サーバ１１０は、ユーザー側の端末から送信されたアクセス情報を登録する。ステップＳ２０において、不正ログイン検出プログラム用第１サーバ１１０は、ユーザー側の端末から送信された操作情報を、ユーザーを特定する一意キーと紐づけ登録する。
【００２９】
ステップＳ３０において、不正ログイン検出プログラム用第２サーバ１２０は、ユーザー側の端末から送信されたアクセス情報から端末一意キーを生成する。ステップＳ４０において、不正ログイン検出プログラム用第２サーバ１２０は、生成された端末一意キーから不正ログイン検出プログラム用第１サーバ１１０に記録された本人過去履歴を参照する。なお、この本人過去履歴には、端末一意キーに紐づけられた当該ユーザー端末３００において行われた操作情報が登録されている。このように、この処理は、第一サーバにおいて、操作処理情報及び、端末情報を記録する工程において、端末情報の識別用の固有のキーを生成して、操作処理情報及び、端末情報を記録する工程を含む不正ログイン検出方法の一例である。
【００３０】
ステップＳ５０において、不正ログイン検出プログラム用第２サーバ１２０は、本人過去履歴と今回の操作情報を照合し、不正ログインを判定する。不正ログインの判例方法の例としては、第三者がユーザー端末３００を乗っ取り、当該ユーザー端末３００を用いてログインする不正ログイン行為か否かの分析するために、記録されていたユーザー端末３００の操作情報と今回の操作情報を比較し差異があるか否かを判定する方法がある。ユーザーごとに、操作する際のキー入力の間隔や、画面スクロールの移動距離や、画面にタッチしている際の画面座標などの癖がある。その癖を分析することで、本来のユーザーか、第三者によるものかを判定することができる。
【００３１】
また、別の不正ログインの判例方法の例としては、Ｗｅｂサイトに自動的にログインするプログラムを用いてログインする不正ログイン行為か否かの分析をするために、記録されていたユーザー端末３００の操作情報と今回の操作情報を比較し差異があるか否かを判定する方法がある。プログラムによってＷｅｂサイトに自動的にログインする場合には、画面などの操作方法の情報が本来のユーザーの操作情報と異なるか、操作情報がそもそもないため、本来のユーザーか、プログラムによるものか判定することができる。
【００３２】
また、事前に用意された不正行為リストの情報との比較によって不正ログイン行為か否かを判定する方法がある。端末が盗難されたり、紛失した、不正に使われたなどの情報が登録された不正行為リストと照合することで、そのリストに登録されている端末によるログインは不正ログインと判定できる。
【００３３】
このように、この処理は、第三者がユーザー端末３００を乗っ取り、当該ユーザー端末３００を用いてログインする不正ログイン行為か否かの分析、Ｗｅｂサイトに自動的にログインするプログラムを用いてログインする不正ログイン行為か否かの分析、または、事前に用意された不正行為リストの情報との比較によって不正ログイン行為か否かの分析の少なくとも何らか一つの分析を行うことの一例である。
【００３４】
不正ログイン検出プログラム用第２サーバ１２０は、不正ログインと判定した場合には、通知要否フラグを立てる。また、不正ログイン検出プログラム用第２サーバ１２０は、不正ログイン検出プログラム用第１サーバ１１０に判定結果を登録する。不正ログイン検出プログラム用第２サーバ１２０は、通知要否フラグが立っている場合には、不正検出対象Ｗｅｂサイト２００に通知を行う。このように、この処理は、事前に用意された不正行為リストの情報との比較によって不正ログイン行為か否かの分析を行う工程の分析結果を、識別キーを用いて、不正行為リストに情報を記録する工程の一例である。
【００３５】
このように、この処理は、第二サーバにおいて、分析結果として不正ログインの可能性が高い場合には、不正ログインの可能性をＷｅｂサイトに通知する工程の一例である。このように、本発明にかかる不正ログイン検出システムは、通信回線を利用したネットワークにおけるＷｅｂサイトに対して行われる不正ログイン検出方法を用いたシステムの一例である。
【符号の説明】
【００３６】
１００  不正ログイン検出用プログラム
１１０  第１サーバ
１２０  第２サーバ
２００  不正ログイン検出対象Ｗｅｂサイト
３００  ユーザー端末
【図１】
2019074893.tif 000003
【図２】
2019074893.tif 000004
【図３】
2019074893.tif 000005