(57)【要約】      （修正有）【課題】ユーザとバンキングサービスなどのオンラインサービスとのインタラクション中に新規デバイスを識別するシステムおよび方法を提供する。【解決手段】方法は、ユーザに関連するデバイスのフィンガープリントを収集する工程と、フィンガープリントから、デバイスセキュリティに影響を及ぼすデバイスの１つまたは複数の主要特性を切り離す工程と、ユーザが使用した既知のデバイスを１つまたは複数の主要特性に基づいてクラスタ化する工程と、デバイスの１つまたは複数の主要特性と、クラスタ化された既知のデバイスのうちの１つまたは複数のデバイスであって、オンラインサービスにアクセスするためにユーザが以前に使用した１つまたは複数のデバイスの、１つまたは複数の主要特性との相違を算出する工程と、相違がしきい値を超える場合、デバイスはユーザが使用する新規デバイスであると判定する工程と、を含む。【選択図】図３
2019192197.tif 000002
【特許請求の範囲】
【請求項１】
ユーザとオンラインサービスとのインタラクション中に新規デバイスを識別する方法であって、
前記ユーザに関連するデバイスのフィンガープリントを収集する工程と、
前記フィンガープリントから、デバイスセキュリティに影響を及ぼす前記デバイスの１つまたは複数の主要特性を切り離す工程と、
前記ユーザが使用した既知のデバイスを前記１つまたは複数の主要特性に基づいてクラスタ化する工程と、
前記デバイスの前記１つまたは複数の主要特性と、前記クラスタ化された既知のデバイスのうちの１つまたは複数のデバイスであって、オンラインサービスにアクセスするために前記ユーザが以前に使用した１つまたは複数のデバイスの、１つまたは複数の主要特性との相違を算出する工程と、
前記相違がしきい値を超える場合、前記デバイスは前記ユーザが使用する新規デバイスであると判定する工程と、
を含む、方法。
【請求項２】
前記１つまたは複数の主要特性は、前記デバイスのオペレーティングシステムのバージョン、前記デバイスのファームウェア、前記デバイスにインストールされたアプリケーションと前記アプリケーションのバージョン、デバイス識別子、デバイスシリアルナンバー、デバイス国際移動体装置識別番号（International  Mobile  Equipment  Identity：ＩＭＥＩ）、およびデバイスハードウェア特徴のうち、１つまたは複数を含む、請求項１に記載の方法。
【請求項３】
前記オンラインサービスはバンキングサービスである、請求項１に記載の方法。
【請求項４】
前記相違を算出する工程は、
前記１つまたは複数の主要特性のベクトル間の距離を算出することと、
既知のデバイスの前記クラスタ化によって生成した１つまたは複数のクラスタに対して前記距離の変化率を算出することと、
を含み、
前記変化率がしきい値より大きい場合、前記デバイスは新規デバイスであると判定する、
請求項１に記載の方法。
【請求項５】
前記フィンガープリントを前回収集してから経過した時間を考慮して前記しきい値を設定する、請求項４に記載の方法。
【請求項６】
前記変化率を、他のユーザが使用した前記クラスタ化に対応する複数のすべてのデバイスに関する前記距離の変化率に基づいて算出する、請求項４に記載の方法。
【請求項７】
前記ベクトルの距離の経時変化を正規化することによって、前記距離の変化率を算出する、請求項６に記載の方法。
【請求項８】
前記変化率を算出することは、
前記算出した相違に基づいて、前記デバイスが有する１つまたは複数の危険因子を判定することと、
前記オンラインサービス上での詐欺行為を防止するために、前記オンラインサービスを提供するサーバに前記１つまたは複数の危険因子に関するデータを送信することと、
をさらに含む、請求項４に記載の方法。
【請求項９】
前記フィンガープリントは、
前記デバイスのオペレーティングシステムの識別子、前記デバイスのファームウェア、前記ユーザのアカウント識別子、前記デバイスのエミュレーションデータ、前記デバイスのアクセス情報、前記デバイスにインストールされたブラウザのバージョン情報、前記ブラウザにインストールされたプラグイン、および前記新規デバイスにインストールされた脆弱なアプリケーション
のうち、１つまたは複数を含む、請求項１に記載の方法。
【請求項１０】
スケジュールに応じて、または、一定期間後に、前記フィンガープリントを収集する工程をさらに含む、請求項１に記載の方法。
【請求項１１】
ユーザとオンラインサービスとのインタラクション中に新規デバイスを識別するためのシステムであって、
オンラインサービスを提供するオンラインサーバと、
前記オンラインサーバに接続され、ハードウェアプロセッサで実行される収集モジュールであって、前記オンラインサービスにアクセスする前記ユーザに関連するデバイスのフィンガープリントを収集する収集モジュールと、
前記オンラインサーバと前記収集モジュールに接続され、前記ハードウェアプロセッサで実行される分析モジュールであって、
前記フィンガープリントから、デバイスセキュリティに影響を及ぼす前記デバイスの１つまたは複数の主要特性を切り離し、
前記１つまたは複数の主要特性に基づいて、前記ユーザが使用した既知のデバイスをクラスタ化し、
前記新規デバイスの前記１つまたは複数の主要特性と、前記クラスタ化された既知のデバイスのうちの１つまたは複数のデバイスであって、前記オンラインサービスにアクセスするために前記ユーザが以前に使用した１つまたは複数のデバイスの、１つまたは複数の主要特性との相違を算出し、
前記相違がしきい値を超える場合、前記デバイスは前記オンラインサービスにアクセスするために前記ユーザが使用する新規デバイスであると判定する、分析モジュールと、
を含むシステム。
【請求項１２】
前記分析モジュールは、
前記１つまたは複数の主要特性のベクトル間の距離を算出し、
既知のデバイスの前記クラスタ化によって生成した前記１つまたは複数のクラスタに対して前記距離の変化率を算出すること
によって、相違を算出し、
前記変化率がしきい値より大きい場合、前記デバイスは新規デバイスであると判定する、請求項１１に記載のシステム。
【請求項１３】
前記フィンガープリントを前回収集してから経過した時間を考慮して前記しきい値を設定する、請求項１２に記載のシステム。
【請求項１４】
前記分析モジュールは、他のユーザが使用した前記クラスタ化に対応する複数のすべてのデバイスに関する前記距離の変化率に基づいて、変化率を算出する、請求項１２に記載のシステム。
【請求項１５】
前記ベクトルの距離の経時変化を正規化することによって、前記距離の変化率を算出する、請求項１４に記載のシステム。
【請求項１６】
前記１つまたは複数の主要特性は、前記デバイスのオペレーティングシステムのバージョン、前記デバイスのファームウェア、前記デバイスにインストールされたアプリケーションと前記アプリケーションのバージョン、デバイス識別子、デバイスシリアルナンバー、デバイスＩＭＥＩ、およびデバイスハードウェア特徴のうち、１つまたは複数を含む、請求項１１に記載のシステム。
【請求項１７】
前記フィンガープリントは、
前記デバイスのオペレーティングシステムの識別子、前記デバイスのファームウェア、前記ユーザのアカウント識別子、前記デバイスのエミュレーションデータ、前記デバイスのアクセス情報、前記デバイスにインストールされたブラウザのバージョン情報、前記ブラウザにインストールされたプラグイン、および前記新規デバイスにインストールされた脆弱なアプリケーションのうち、１つまたは複数を含む、
請求項１１に記載のシステム。
【請求項１８】
ハードウェアプロセッサによって実行された場合、ユーザとオンラインサービスとのインタラクション中に新規デバイスを識別する方法であって、
前記ユーザに関連するデバイスのフィンガープリントを収集する工程と、
前記フィンガープリントから、デバイスセキュリティに影響を及ぼす前記デバイスの１つまたは複数の主要特性を切り離す工程と、
前記ユーザが使用した既知のデバイスを前記１つまたは複数の主要特性に基づいてクラスタ化する工程と、
前記新規デバイスの前記１つまたは複数の主要特性と、前記クラスタ化された既知のデバイスのうち１つまたは複数のデバイスであって、オンラインサービスにアクセスするために前記ユーザが以前に使用した１つまたは複数のデバイスの、１つまたは複数の主要特性との相違を算出する工程と、
前記相違がしきい値を超える場合、前記デバイスは前記ユーザが使用する新規デバイスであると判定する工程と、
を含む方法を遂行させる命令を格納する、非一過性のコンピュータ可読媒体。
【請求項１９】
前記相違を算出する工程は、
前記１つまたは複数の主要特性のベクトル間の距離を算出することと、
既知のデバイスの前記クラスタ化によって生成した前記１つまたは複数のクラスタに対して前記距離の変化率を算出することと、
を含み、
前記変化率がしきい値より大きい場合、前記デバイスは新規デバイスであると判定する、請求項１８に記載の媒体。
【請求項２０】
前記フィンガープリントを前回収集してから経過した時間を考慮して前記しきい値を設定する、請求項１９に記載の媒体。
【請求項２１】
前記変化率を、他のユーザが使用した前記クラスタ化に対応する複数のすべてのデバイスに関する前記距離の変化率に基づいて算出する、請求項１９に記載の媒体。
【請求項２２】
前記ベクトルの距離の経時変化を正規化することによって、前記距離の変化率を算出する、請求項２１に記載の媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、一般に、ユーザとバンキングサービスとの安全なインタラクションを確実にする解決手段に関し、より具体的には、ユーザとバンキングサービスとのインタラクション中に新規デバイスを識別するシステムおよび方法に関する。
【背景技術】
【０００２】
近年、バンキングサービスの領域が大幅に拡大している。銀行の顧客（または「ユーザ」とも称する）には、銀行とインタラクションするための新規な方法および支払いや資金の送金のための新規な方法が提供される。支払いシステム、プラスチックカード、および、リモートバンキングなどのバンキングサービスが数多く存在するため、ユーザはコンピューティングデバイスを用いて様々なトランザクションを行うことができる。オンラインバンキングおよびモバイルバンキングによって、プラスチックカードや銀行口座情報を必要とすることなく、金銭操作を実行することができる。
【０００３】
さらに、第三者によるアクセスからユーザの資金を保護するための様々な仕組みがある。ユーザがオンラインバンキングを利用する際には、二重認証などの方法が使用されることが多い。銀行サイトにおいて、ブラウザに認証データ（第三者がアクセスできるようになった可能性がある、ログイン名やパスワードなど）が入力されると、銀行は、例えば、特別なフィールドに入力しなければならない追加の認証コードを含むメッセージをユーザの携帯電話に送信する。
【０００４】
しかし、ユーザとバンキングサービスとのインタラクションにおける脆弱な側面を利用してユーザの資金にアクセスする、犯罪者による攻撃が数多く存在することを心得ておかなければならない。このような攻撃は、詐欺行為としてよく知られている。例えば、フィッシングサイトを利用すれば、オンライン銀行預金口座およびサービスにアクセスするためのユーザのログイン名およびパスワードを入手することが可能である。犯罪者は、モバイルデバイス用の悪意のあるソフトウェアにより、銀行から認証コードにアクセスし、ユーザに気づかれることなく確認を行って、危殆化した銀行預金口座を用いてトランザクションを実行することができる。
【０００５】
現在の解決手段では、「ユーザデバイスプリント」を用いて詐欺行為からユーザを保護する。一般に、ユーザは一貫して同じデバイスを使用して銀行サービスにアクセスする。各デバイスは、銀行が把握している特定のソフトウェア群と特徴を含む。デバイスにおいてソフトウェア群が変更された場合、またはデバイス自体が変更された場合、詐欺行為が行われている可能性が高い。デバイスにおいて詐欺行為が行われた場合、銀行は、そのデバイスを危険であるとみなす。
【０００６】
よって、幾つかの解決手段においては、ユーザトランザクションを認証するためのシステムおよび方法が提供される。認証においては、パラメーター（デバイスの特性、地理的位置、トランザクション自体に関する情報）の様々な組み合わせのベクトルとともに、デバイスの「プリント」が利用される。
【０００７】
しかし、ユーザは、異なるプログラム群、異なるファームウェア、および異なるブラウザを有する全く同一のデバイスを使用して、オンラインバンキングのサービスにアクセスする場合がある。デバイスのプリントを比較する既知のシステムおよび方法では、ユーザが以前に使用したことがあるデバイスかどうかを識別する。以前に使用したことがあるデバイスであり、当該デバイスが信頼できるデバイスであれば、銀行とのインタラクションの手順が簡略化される。例えば、ユーザは、バンクアプリケーションを使用する際に毎回ログイン名およびパスワードを入力してＳＭＳを待つ必要がない。つまり、所定のユーザ用に設定されたアプリケーションのＰＩＮコードを使用して入ればよい。しかし、プログラム群およびファームウェア群が上述したように変更された場合、銀行のセキュリティシステムは、当該デバイスを、バンキングサービスとインタラクションする際にユーザが以前に使用したことがない新規デバイスとして、識別する可能性がある。この場合、全く同一のデバイスを再度識別して認証することが必要となり、当該デバイスの使用が不便になる。あるデバイスをユーザの新規デバイスであるとする上述のような判定は、セキュリティシステムの誤報としても知られている。
【０００８】
本開示は、ユーザとバンキングサービスとのインタラクション中に新規デバイスを識別する課題を効果的に解決する。
【発明の概要】
【発明が解決しようとする課題】
【０００９】
ユーザとバンキングサービスなどのオンラインサービスとのインタラクション中に新規デバイスを識別するためのシステムおよび方法を開示する。
【課題を解決するための手段】
【００１０】
例示的な一態様において、ユーザとオンラインサービスとのインタラクション中に新規デバイスを識別するための方法を提供する。本態様において、当該方法は、ユーザに関連するデバイスのフィンガープリントを収集する工程と、フィンガープリントから、デバイスセキュリティに影響を及ぼすデバイスの１つまたは複数の主要特性を切り離す工程と、ユーザが使用した既知のデバイスを１つまたは複数の主要特性に基づいてクラスタ化する工程と、デバイスの１つまたは複数の主要特性と、クラスタ化された既知のデバイスのうちの１つまたは複数のデバイスであって、オンラインサービスにアクセスするためにユーザが以前に使用した１つまたは複数のデバイスの、１つまたは複数の主要特性との相違を算出する工程と、相違がしきい値を超える場合、デバイスは、ユーザが使用する新規デバイスであると判定する工程と、を含む。
【００１１】
別の例示的な一態様では、当該方法において、１つまたは複数の主要特性は、デバイスのオペレーティングシステムのバージョン、デバイスのファームウェア、デバイスにインストールされたアプリケーションとアプリケーションのバージョン、デバイス識別子、デバイスシリアルナンバー、デバイス国際移動体装置識別番号（International  Mobile  Equipment  Identity：ＩＭＥＩ）、およびデバイスハードウェア特徴のうち、１つまたは複数を含む。
【００１２】
別の例示的な一態様では、相違を算出する工程は、１つまたは複数の主要特性のベクトル間の距離を算出することと、１つまたは複数のクラスタに対して距離の変化率を算出することとを含み、変化率がしきい値より大きい場合、デバイスは新規デバイスであると判定する。
【００１３】
別の例示的な一態様では、変化率を算出する工程は、算出した相違に基づいて、デバイスが有する１つまたは複数の危険因子を判定することと、オンラインサービス上での詐欺行為を防止するために、オンラインサービスを提供するサーバに当該１つまたは複数の危険因子に関するデータを送信することとを含む。
【００１４】
別の例示的な一態様では、ユーザとオンラインサービスとのインタラクション中に新規デバイスを識別するためのシステムを提供する。当該システムは、オンラインサービスを提供するオンラインサーバと、オンラインサーバに接続され、ハードウェアプロセッサで実行される収集モジュールであって、オンラインサービスにアクセスするユーザに関連するデバイスのフィンガープリントを収集する収集モジュールと、オンラインサーバと収集モジュールに接続され、ハードウェアプロセッサで実行される分析モジュールと、を含み、当該分析モジュールは、１）フィンガープリントから、デバイスセキュリティに影響を及ぼすデバイスの１つまたは複数の主要特性を切り離し、２）当該１つまたは複数の主要特性に基づいて、ユーザが使用した既知のデバイスをクラスタ化し、３）新規デバイスの１つまたは複数の主要特性と、クラスタ化された既知のデバイスのうちの１つまたは複数のデバイスであって、オンラインサービスにアクセスするためにユーザが以前に使用した１つまたは複数のデバイスの、１つまたは複数の主要特性との相違を算出し、４）相違がしきい値を超える場合、当該デバイスは、オンラインサービスにアクセスするためにユーザが使用した新規デバイスであると判定する。
【００１５】
別の例示的な一態様では、実行された場合に本開示に記載される方法を遂行する命令を格納するコンピュータ可読媒体を提供する。
【００１６】
例示的な態様についての簡略化した上記概要は、本開示を基本的に理解させる役割を果たす。この概要は、考えられるすべての態様の広範な概観ではなく、かつ、すべての態様の主要または重要な要素を特定することを意図するものでも、本開示の一部またはすべての態様の範囲を画することを意図するものでもない。その唯一の目的は、以下の開示におけるより詳細な説明の前置きとして、１つまたは複数の態様を簡略化した形で提示することである。前述の目的を達成するために、本開示の１つまたは複数の態様は、特許請求の範囲に記載され、例示的に指摘される特徴を含む。
【図面の簡単な説明】
【００１７】
本明細書に組み込まれて本明細書の一部を構成する添付の図面は、本開示の１つまたは複数の例示的な態様を示し、詳細な説明とともにその原理および実施形態を説明する役割を果たす。
【００１８】
【図１】図１は、本開示の例示的な態様において、ユーザの新規デバイスを識別するシステムを示すブロック図である。
【図２Ａ】図２Ａから図２Ｃは、本開示の例示的な態様において、時間の経過とともにデバイスの特性が変化する例を示す図である。
【図２Ｂ】図２Ａから図２Ｃは、本開示の例示的な態様において、時間の経過とともにデバイスの特性が変化する例を示す図である。
【図２Ｃ】図２Ａから図２Ｃは、本開示の例示的な態様において、時間の経過とともにデバイスの特性が変化する例を示す図である。
【図３】図３は、本開示の例示的な態様において、ユーザの新規デバイスを識別する方法を示すフローチャートである。
【図４】図４は、本開示の例示的な態様において、システムの態様を実施する汎用コンピュータシステムの一例を示す図である。
【発明を実施するための形態】
【００１９】
本明細書では、ユーザとバンキングサービスなどのオンラインサービスとのインタラクション中に新規デバイスを識別するためのシステム、方法、およびコンピュータプログラム製品について、例示的な態様を説明する。当業者であれば、以下の説明は例示的なものにすぎず、これらに限定されることを意図するものでは決してないことを理解するであろう。他の態様は、本開示の恩恵を受ける当業者には容易に理解されるであろう。添付の図面に示す例示的な態様の実施形態を以下に詳細に参照する。図面および以下の説明では、同一または同様の要素は、可能な限り同じ参照符号を使用する。
【００２０】
図１は、本開示の例示的な態様において、ユーザの新規デバイスを識別するためのシステム１００を示すブロック図である。新規デバイス１９０を識別するためのシステム１００は、ユーザがアカウントを使用してデバイス１９０から遠隔サービスとインタラクションを行う際に、ユーザに遠隔サービスを提供する。一態様において、システム１００は、収集モジュール１１０と分析モジュール１２０とを備え、ユーザと遠隔サービスとのインタラクション中に新規デバイス１９０を識別するよう構成される。例示的な態様において、遠隔サービスは、ユーザがアカウントを使用してインタラクションを行うネットワークサービスまたはオンラインサービスであってもよい。これらのサービスの例として、バンキングサービス、電子メール、およびソーシャルネットワークなどのオンラインサービス（以下、限定することなく、バンキングサービス１９９と称する）が挙げられる。本開示のいくつかの態様において、ネットワークサービスまたはオンラインサービスは、１つまたは複数のリモートサーバ（サーバの分散型システム）で実行されて提供されるか、あるいはクラウドサービスとして提供される。
【００２１】
本開示の一態様において、デバイス１９０は、ソフトウェアの実行環境を提供するコンピュータまたはモバイルデバイスなどのコンピューティングデバイスである。いくつかの態様において、デバイス１９０は、ブラウザまたはバンクアプリケーションを実行するものであってもよい。
【００２２】
一態様において、収集モジュール１１０は、新規デバイス１９０のフィンガープリント（以下、「プリント」という用語を使用する）を収集または採集するよう構成されている。一般に、プリントは、デバイス１９０の特性を含む。本開示の一態様において、デバイス１９０は以下の特性を含む。
・デバイス１９０のオペレーティングシステム（Operating  System：ＯＳ）の識別子
・デバイス１９０の位置（地理的位置）
・デバイス１９０にインストールされたファームウェアのバージョンおよびファームウェアの地域特性（大陸／国／都市など）
・デバイス１９０において使用されるアカウント識別子（例えば、マイクロソフト（ＭＩＣＲＯＳＯＦＴ（登録商標））、グーグル（ＧＯＯＧＬＥ（登録商標））、またはアップル（ＡＰＰＬＥ（登録商標））アカウントの識別子）
・デバイス１９０が仮想マシンまたはエミュレータ内で動作しているかどうか（デバイスをエミュレート可能かどうか）に関するデータ
・デバイス１９０におけるルートアクセスの有無
・デバイス１９０にインストールされたブラウザの型およびバージョン
・デバイス１９０のブラウザにインストールされたプラグイン
・デバイス１９０にインストールされた脆弱なアプリケーションと、そのアプリケーションの既知の脆弱性
・デバイスモデル
・デバイス識別子
・デバイスのハードウェア特性（例えば、プロセッサの型、メモリ容量、ディスク枚数、プロフェッショナルサウンドカードなどの希少なデバイス）
・デバイス１９０のシリアルナンバー
・デバイスＩＭＥＩ
・認められる他のデバイスの特性
【００２３】
一態様において、上述したフィンガープリントの採集は、デバイス１９０のブラウザで実行されるスクリプト（例えばジャバスクリプト（ＪａｖａＳｃｒｉｐｔ（登録商標）））によって行われる。いくつかの態様において、スクリプトは、バンクサーバ上に格納され、デバイス１９０がバンキングサービス１９９にアクセスした際に実行されてもよい。よって、本態様において、収集モジュール１１０はバンクサーバ上に格納され、ユーザのデバイス１９０で実行される。
【００２４】
さらに別の態様において、セキュリティアプリケーション（アンチウイルスアプリケーションなど）によって、デバイス１９０からフィンガープリントを採集する。この場合、収集モジュール１１０は、コンピュータシステムにインストールされたセキュリティアプリケーションのモジュールである。
【００２５】
さらに別の態様において、デバイス１９０で実行されるアプリケーションによって、デバイス１９０からフィンガープリントを採集する。当該アプリケーションは、バンキングサービス１９９（例えば、シティバンク（Ｃｉｔｉｂａｎｋ（登録商標））オンラインアプリケーション）にアクセスするように構成されていてもよい。本態様において、当該アプリケーションはソフトウェア開発キット（Software  Development  Kit：ＳＤＫ）を使用して作成されるものであり、アンチウイルスアプリケーション（例えば、Ｋａｓｐｅｒｓｋｙ(登録商標)Ｍｏｂｉｌｅ  Ｓｅｃｕｒｉｔｙ  ＳＤＫ）の製造業者などによって提供される。本態様において、収集モジュール１１０は上述したアプリケーションのモジュールである。
【００２６】
一態様において、収集モジュール１１０は、デバイス１９０を用いてユーザとバンキングサービスとのインタラクションが行われているときに、デバイス１９０のフィンガープリントを採集する。別の態様において、収集モジュール１１０は、一定の時（例えば、スケジュールに応じて、休日に１日１回、営業日に１日２回など）に、デバイス１９０の上記プリントを採集する。さらに別の態様において、収集モジュール１１０は、一定の間隔（例えば、６時間毎）で、デバイス１９０の上記プリントを採集する。
【００２７】
収集モジュール１１０が採集した、デバイス１９０に関するデータは、分析モジュール１２０に送信される。一態様において、収集モジュール１１０が採集した、デバイス１９０に関する上記フィンガープリントは、収集モジュール１１０によってデータベース１１１に保存される。
【００２８】
分析モジュール１２０は、リモートサーバ（またはサーバの分散型システム）において、またはクラウドサービスとして、実行される（機能する）。一般に、分析モジュール１２０は、収集モジュール１１０またはデータベース１１１から取得したデータに基づいて、デバイス１９０のプリントから、主要特性のベクトルを算出する。
【００２９】
一般に、分析モジュール１２０は、主要特性を判別する。当該主要特性は、バンキングサービス１９９とインタラクションを行うためにユーザが使用するデバイス１９０のセキュリティに影響を及ぼす特性である。一般に、主要特性は、システムの動作過程で統計的に判別される。例えば、「電卓アプリケーションのバージョン」特性は、主要特性にはなり得ない。何故なら、その特性は、バンキングサービス１９９とインタラクションを行うためにユーザが使用しているデバイス１９０のセキュリティに影響を及ぼさないからである。いくつかの態様において、主要特性は、デバイスのセキュリティに影響を及ぼす特性である。主要特性は、デバイス自体のソフトウェアや、インターネットなどと頻繁にインタラクションを行わないアプリケーションのバージョンを含んでいてもよい。一態様において、分析モジュール１２０は、デバイスセキュリティに影響を及ぼさないデバイス特性については考慮しない。本態様において、考慮すべき特性は、システムの管理者によってあらかじめ指定されるか、またはデバイス１９０に基づいて動的に決定される。さらに、主要特性は、デバイスの「ライフサイクル」中、すなわちデバイス使用中に変化する特性である。例えば、デバイスのシリアルナンバーまたはＩＭＥＩは変化しないが、電話の公式ファームウェアおよび非公式ファームウェアは、同一のＩＭＥＩを示す。しかし、システム１００は、このデバイスが物理的に同一デバイスであるにもかかわらず、異なるデバイスとして認識する。
【００３０】
一態様において、分析モジュール１２０は、デバイス１９０のプリントから判別されたデバイス１９０の少なくとも１つの主要特性に基づいて、デバイス１９０のクラスタを生成する（クラスタ化する）。一態様において、クラスタ化は、システムの学習プロセスである。本態様において、デバイス１９０の判別された幾つかの上記主要特性に基づいて、クラスタ化が行われ、これらの主要特性は、デバイス１９０の主要特性のベクトルとなる。したがって、主要特性のベクトルは、デバイスの、判別された主要特性のうちの少なくともいくつかを含む。その結果、分析モジュール１２０は、各ユーザに対して、既知のデバイス１９０で構成されたクラスタ群を形成する。このクラスタ群は、特定のユーザ用のデバイスのみならず、主要特性を備えたデバイス用のデバイスも含む。異なる各ユーザに対して、既知のデバイスを含むクラスタ群を形成する。
【００３１】
次に、距離計算モジュール１２２は、バンキングサービス１９９とインタラクションを行うためにユーザが使用しているデバイス１９０の主要特性のベクトルと、バンキングサービス１９９などのオンラインサービスとインタラクションを行うのにユーザが以前に使用したことがある少なくとも１つのデバイス１９０の主要特性のベクトルとの距離を算出する。本態様において、ユーザが以前にインタラクションを行ったことがあるデバイスは、分析モジュール１２０によって以前に生成されたクラスタの一部を形成する。算出した距離がしきい値を超える場合、デバイス１９０は新規デバイスであるとみなされる。本態様において、「新規」とは、ユーザが、当該デバイスによってバンキングサービス１９９などのオンラインサービスと以前にインタラクションを行ったことがないということを意味する。
【００３２】
概して、二要素認証などの基本的なセキュリティポリシを新規デバイス１９０に対して使用してもよい。新規デバイス１９０の識別は重要な処理であるが、すべてのデバイス１９０を新規であるとみなすことはできない。何故なら、同じセキュリティポリシを適用し続けることが必要であり、これはユーザにとって非常に不便であるからである。例えば、バンキングサービス１９９とインタラクションを行うためにユーザが以前に使用したデバイスに対しては、追加のパスワードの要求（二要素認証）も行わず、また、データ入力チェック（例えばＣＡＰＴＣＨＡ）も行わない。ユーザが、異なるブラウザまたは新規の携帯電話から、初めてオンライン銀行に入った場合、当該デバイスは新規となる。しかし、デバイス１９０のブラウザのバージョンが更新されている場合、または、ユーザが電話ファームウェアを新しいバージョンに更新した場合、デバイス１９０は新規ではない。
【００３３】
しかし、いくつかの態様において、距離関数では不十分である。何故なら、距離関数は、デバイス１９０の主要特性のベクトルの考えられ得る変動の性質を完全には反映しないからである。例えば、ユーザはかなり長い期間にわたって、自身のデバイス１９０を何度も更新する場合がある。このプロセスにおいて、ファームウェアバージョンが変更され（例えば、Ａｎｄｒｏｉｄがバージョン６から７に更新される）、同様に、ファームウェアにおけるアプリケーション群、ユーザのアプリケーション群、およびインストールされたアプリケーションバージョン群も変更される。その結果、（デバイス１９０のファームウェアとインストールされたいくつかのアプリケーションが更新される）期間の始点と終点における同一デバイスの主要特性のベクトル間の距離がしきい値より大きくなる。これはつまり、現システムは、実際には同じデバイス１９０であっても、ユーザが新規デバイス１９０を得たとみなしてしまうことを意味する。このようにして、システムの誤報が生じる。誤報を低減するという課題を解決するため、デバイス１９０のそれぞれの特性採集にかかった時間に応じて距離を算出してもよい。
【００３４】
したがって、一態様において、分析モジュール１２０は、デバイス１９０の特性のベクトル間の距離の変化率を計算する。一般に、距離の変化率は、生成したクラスタに相当する他のユーザのすべての既知のデバイス１９０における距離の変化率に関する情報に基づいて、分析モジュール１２０が算出する。すべてのデバイス（すべてのユーザのデバイス）に対してクラスタを生成し、特定のユーザのデバイスを、そのデバイスに割り当てられたクラスタと比較する。すべてのデバイスのクラスタと割り当てられたクラスタとの間に変化がある場合、他のユーザと比較して、その２種のクラスタが、どの程度変化に対応しているかに従って、変化率を計算する。例えば、デバイス（必ずしも携帯電話でなくともよい）がクラスタから著しく逸脱している場合（例えば、ユーザが、旧バージョンのＩｎｔｅｒｎｅｔ  Ｅｘｐｌｏｒｅｒを備えたＷＩＮＤＯＷＳ（登録商標）  １０のデバイスを有する場合）、このデバイスは新規である。新規デバイスの認証処理において分析が実施され、デバイスクラスタの正常な挙動は、ブラウザのバージョンアップであって、「旧」バージョンへのロールバックではない。
【００３５】
距離が計算され、当該距離の変化率がしきい値より大きいと計算された場合、デバイス１９０は、ユーザにとって新規であるとみなされる。一態様において、デバイス１９０の前回のプリント採集から経過した時間を考慮に入れて、しきい値を設定する。
【００３６】
距離の変化率は、例えば、デバイス１９０の主要特性のベクトル間の距離における経時変化を正規化することによって、算出してもよい。例えば、主要特性の許容可能な標準値を、デバイス１９０が属するクラスタに対応するすべてのユーザのデバイス１９０に対して算出する。一態様では、許容可能な標準値を、算術平均として計算する。別の態様では、許容可能な標準値を、正規分布（ガウス分布）に基づいて統計的に計算する。
【００３７】
図２Ａ〜２Ｃに、経時変化率の一例を示す。図２Аは、ファームウェアのバージョンの経時変化のグラフを示す図である。一例において、デバイスには最初に、オペレーティングシステムとしてＡｎｄｒｏｉｄ６をインストールしている。ｔ１時に、ユーザはバンキングサービス１９９とインタラクションを行っている。その後、ユーザは、ｔ２時およびｔ３時にバンキングサービス１９９とインタラクションを行ったが、デバイスのオペレーティングシステムのバージョンが、ｔ２時にはＡｎｄｒｏｉｄ７．０に、ｔ３時にはＡｎｄｒｏｉｄ７．１．１にすでに更新されていた。よって、ｔ４時に、デバイス１９０がＡｎｄｒｏｉｄ８バージョンにすでに更新されていた場合、ユーザが第三者のファームウェア（ＣｙａｎｏｇｅｎＭｏｄ（登録商標）など）で電話を更新している可能性がある。したがって、ファームウェアとその欠陥および脆弱性が不明であるため、デバイスは新規デバイス１９０であるとみなされる可能性がある。詳しく言うと、製造業者がそのファームウェアを公式リリースしていないがゆえに、所与の主要特性の値が以前に生成したクラスタに対応しないことから、デバイスが新規であるとみなされる可能性がある。網掛けによって示されている部分は、距離の変化率の許容偏差を表す。例えば、ユーザがＳａｍｓｕｎｇ製の電話Ｇａｌａｘｙ  Ｓ６を有している場合、Ａｎｄｒｏｉｄ５およびＡｎｄｒｏｉｄ８からの公式ファームウェアはない。これらのファームウェアがデバイスにおいて検出された（かつ、そのデバイスが同一のＩＭＥＩおよびＳＮを有する）場合、ユーザは恐らくカスタムファームウェアをインストールしている。したがって、このようなデバイスのセキュリティは変更されており、ユーザはこのデバイスを認証する必要がある。システム１００は、当該デバイスは新規であるとみなす。
【００３８】
図２Ｂは、ブラウザのバージョンの経時変化を示す図である。ｔ１時に、ユーザはバージョン２５．６のブラウザを使用して、オンライン銀行にアクセスしている。その後、ｔ２時にユーザはバージョン２８．３を使用しているが、この時、類似の主要特性を備えたデバイス１９０の他のクラスタが存在する。しかし、ｔ３時にブラウザのバージョンが１６．３になった場合、デバイス１９０が侵害されたか、または変更された可能性がある。よって、分析モジュールは、実質上デバイス１９０を新規デバイスとみなすよう決定する。図２Ｃは、デバイス１９０のシリアルナンバーの経時変化を示す図である。一般に、シリアルナンバーは変わらないものである。
【００３９】
本開示の例示的な態様において、他のユーザの既知のデバイス１９０すべての主要特性のベクトル間の距離の算出した変化率を、分析モジュール１２０によってデータベース１１１に保存してもよい。
【００４０】
本開示の一態様において、デバイス１９０の主要特性のベクトルのシーケンスは、イベントチェーンの形態で分析モジュール１２０によって提供され、当該チェーンのノードは、デバイス１９０の主要特性のベクトルとなり、チェーンリンク自体が時間に直接的に依存する。
【００４１】
一態様において、分析モジュール１２０は、ユーザまたはユーザグループのデバイス１９０のクラスタに基づいて、デバイス１９０の主要特性のベクトルが経時変化する確率を（例えば統計的に）判別する。確率が僅かであっても、主要特性のベクトルが変化した場合、分析モジュール１２０は、変化イベントを危険要因であると判定する。
【００４２】
一般に、距離の変化率による、主要特性の変化確率は、データベース１１１から分析モジュール１２０によって選択される。主要特性の変化確率を、（例えば、分析モジュール１２０による）統計データに基づいて、またはコンピュータセキュリティの専門家によって、データベース１１１に自動的に追加してもよい。
【００４３】
一態様において、分析モジュール１２０は、変化率の変動性を、チェーン全体に沿って、セグメントごとに分析する。変化率の急激な変化や急上昇は、分析モジュール１２０によって危険要因であると判定される。
【００４４】
さらに別の態様において、分析モジュール１２０は、デバイス１９０の特性の経時変化パターンおよび許容偏差を判定する。したがって、例えば、更新の結果、デバイス１９０のある特性は、常に同じ方向に変化する（例えば、バージョン番号は、通常、常に増加する）。しかし、この方向性のイベントチェーンにおける主要特性の変化が、ノードのうちの１つについてでも予測される方向とは反対の方向に向いている場合、分析モジュール１２０は、これを危険要因であると判定する。
【００４５】
さらに別の態様において、分析モジュール１２０は、デバイス１９０の特性に生じた変化の信頼性を判定する。このために、予想される変化の性質に関して外部ソースからの知識（例えば、Ｋａｓｐｅｒｓｋｙ  Ｓｅｃｕｒｉｔｙ  Ｎｅｔｗｏｒｋ（ＫＳＮ）からのデータ）が必要となり得る。例えば、一定期間にわたってデバイス１９０の新規バージョンがリリースされなかったことが分かっている場合、対応する変化が観察されるイベントチェーンに現れることはない。そのような変化を検出すると、分析モジュール１２０は、詐欺行為の危険要因があると判定する。
【００４６】
一般に、危険要因の出現は、危険要因が現れたデバイス１９０から詐欺行為が行われた確率が高いことを証明する。一態様において、危険要因が出現した場合、分析モジュール１２０は、詐欺行為を防ぐことを決定（例えば、トランザクションをブロックすることを決定）するために、危険要因に関するデータをバンキングサービス１９９のセキュリティシステムに送信する。
【００４７】
図３は、ユーザの新規デバイスを識別する方法３００を示す図である。
【００４８】
方法３００は、図４に示したコンピュータシステム２０などのコンピュータシステムにおいて実行される、収集モジュール１１０および分析モジュール１２０などのシステム１００の一部の実施例である。
【００４９】
ステップ３１０において、収集モジュール１１０は、ユーザのデバイスのフィンガープリントを収集または採集してもよい。例示的な態様において、ユーザがバンキングサービス１９９とインタラクションを行う時点で、フィンガープリントは、デバイス１９０の特性を少なくとも１つは含む。
【００５０】
ステップ３２０において、分析モジュール１２０は、収集した特性から、デバイス１９０のセキュリティに影響を及ぼす主要特性を判別してもよい。
【００５１】
ステップ３３０において、分析モジュール１２０は、ユーザの既知のデバイス１９０で構成されたクラスタ群を形成してもよい。本開示の一態様において、クラスタ化は、デバイス１９０の主要特性のベクトルに基づいて行われる。当該ベクトルは、デバイス１９０の、判別された主要特性のうち少なくともいくつかを含む。
【００５２】
ステップ３４０において、分析モジュール１２０は、デバイスの主要特性のベクトルと、以前にバンキングサービス１９９をユーザに提供し、かつ、ステップ３３０にて生成したクラスタの一部を形成する少なくとも１つのデバイス１９０の主要特性のベクトルとの距離を算出してもよい。
【００５３】
ステップ３５０において、分析モジュール１２０は、形成したクラスタ群に対してステップ３４０にて算出した距離の変化率を算出してもよい。一態様において、クラスタ群に対して、他のユーザのすべての既知のデバイス１９０における距離の変化率に関する情報に基づいて、変化率を算出する。
【００５４】
ステップ３６０において、算出した距離変化率がしきい値より大きい場合、分析モジュール１２０は、デバイス１９０がユーザの新規デバイス１９０であると判定してもよい。
【００５５】
一般に、偏差としきい値とを比較するためにどのようなルールを使用してもよい。いくつかの特性については上述したが、他にも多くの特性が考えられる。例えば、ＯＳバージョンは３つの値（Ａｎｄｒｏｉｄ６、７、および７．１）を有するのに対し、ブラウザのバージョンはさらに多くの値を有してもよい。例えば、クローム（Ｃｈｒｏｍｅ）には３００種のバージョン（６２．０．３２８２〜６４．１．３１３２）がある。バージョンの数は、システム１００の実装内容に応じて決定される。デバイスのＯＳがＡｎｄｒｏｉｄ５．１まで逸脱している場合、これは過度である。クロームのバージョンが６１．０．１０００まで逸脱している場合、これは「比較的」新しいブラウザであり、その偏差がしきい値を超えない場合もある。しかし、クロームのバージョンが「２５．００．０００１」になった場合、そのバージョンは現行システムにとっては疑わしく、偏差はしきい値を超える。
【００５６】
一態様において、ステップ３７０で、分析モジュール１２０は、算出した距離変化率と主要特性の変化の確率とに基づいて、デバイス１９０の危険要因をさらに判定してもよい。
【００５７】
一態様において、ステップ３８０で、危険要因が現れた場合は、詐欺行為を防ぐ処置を講ずるために、判定された危険要因に関する分析モジュール１２０データをバンキングサービス１９９のセキュリティシステムに送信する。
【００５８】
図４は、汎用コンピュータシステムを示す図である。当該コンピュータシステムでは、本開示の例示的な態様に基づき、ユーザとオンラインサービスとのインタラクション中に新規デバイスを識別するシステムおよび方法の態様が実現される。
【００５９】
図に示すとおり、コンピュータシステム２０（パーソナルコンピュータであっても、サーバであってもよい）は、中央処理装置２１、システムメモリ２２、および、中央処理装置２１に対応するメモリを含む様々なシステムコンポーネントを接続するシステムバス２３を含む。当業者には理解されるように、システムバス２３は、バスメモリまたはバスメモリーコントローラと、周辺バスと、他のバスアーキテクチャとインタラクションを行うことができるローカルバスとを含む。システムメモリは、永久メモリ（Read-Only  Memory：ＲＯＭ）２４とランダムアクセスメモリ（Random  Access  Memory：ＲＡＭ）２５とを含む。基本入出力システム（Basic  Input/Output  System：ＢＩＯＳ）２６は、ＲＯＭ２４を使用してオペレーティングシステムをロードするときなどにおいて、コンピュータシステム２０の構成要素間で情報を送信するための基本手順を格納する。
【００６０】
コンピュータシステム２０はまた、データを読み書きするためのハードディスク２７と、取り外し可能な磁気ディスク２９上で読み書きするための磁気ディスクドライブ２８と、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、その他の光学メディアなどの取り外し可能な光学ディスク３１の読み書きのための光学ドライブ３０とを含む。ハードディスク２７、磁気ディスクドライブ２８、および光学ドライブ３０はそれぞれ、ハードディスクインターフェース３２、磁気ディスクインターフェース３３、および光学ドライブインターフェース３４を介して、システムバス２３に接続される。ドライブおよびそれに対応するコンピュータ情報メディアは、コンピュータ命令、データ構造体、プログラムモジュール、およびコンピュータシステム２０の他のデータを格納するための独立電源型モジュールである。
【００６１】
コンピュータシステム２０は、ハードディスク２７と、取り外し可能な磁気ディスク２９と、取り外し可能な光学ディスク３１を含み、これらのディスクは、コントローラ５５を介してシステムバス２３に接続している。当業者は、コンピュータにより読み取り可能な形式でデータを格納することができる任意の種類の媒体５６（ソリッドステートドライブ（Solid  State  Drive：ＳＳＤ）、フラッシュメモリカード、デジタルディスク、ランダムアクセスメモリ（ＲＡＭ））を利用できることを理解するであろう。
【００６２】
コンピュータシステム２０は、オペレーティングシステム３５が格納され得るファイルシステム３６、ならびに、追加のプログラムアプリケーション３７、その他のプログラムモジュール３８およびプログラムデータ３９も含む。コンピュータシステム２０のユーザは、キーボード４０、マウス４２、または当業者に知られている任意の他の入力デバイスを使用してコマンドおよび情報を入力することができる。例えば、入力デバイスとして、マイクロホン、ジョイスティック、ゲームコントローラ、スキャナなどが挙げられるが、これらに限定されない。このような入力デバイスは、通常、シリアルポート４６を介してコンピュータシステム２０に接続され、シリアルポート４６はシステムバスに接続される。ここで、当業者であれば、限定はしないが、パラレルポート、ゲームポート、またはユニバーサルシリアルバス（Universal  Serial  Bus：ＵＳＢ）を介する他の方法で接続することもできる点を理解するであろう。モニタ４７または他のタイプの表示デバイスもまた、ビデオアダプタ４８などのインターフェースを介してシステムバス２３に接続されうる。モニタ４７に加えて、パーソナルコンピュータは、ラウドスピーカやプリンタなどの他の周辺出力デバイス（図示せず）を備えていてもよい。
【００６３】
コンピュータシステム２０を、１つまたは複数のリモートコンピュータ４９とのネットワーク接続を利用して、ネットワーク環境で操作してもよい。一台（または複数）のリモートコンピュータ４９は、コンピュータシステム２０の性質として説明した上記の構成要素のほとんどまたはすべてを含むローカルコンピュータワークステーションまたはサーバであってもよい。ルータ、ネットワークステーション、ピアデバイス、または他のネットワークノードなどの他のデバイスもまた、コンピュータネットワークに存在しうるが、これらに限定されない。
【００６４】
ネットワーク接続は、ローカルエリアコンピュータネットワーク（Local-Area  Computer  Network：ＬＡＮ）５０およびワイドエリアコンピュータネットワーク（Wide-Area  Computer  Network：ＷＡＮ）を形成することができる。これらのネットワークは、企業のコンピュータネットワークおよび社内ネットワークで利用され、一般にインターネットにアクセスすることができる。ＬＡＮまたはＷＡＮにおいて、パーソナルコンピュータ２０は、ネットワークアダプタまたはネットワークインターフェース５１を介してローカルエリアネットワーク５０に接続されている。ネットワークが利用される際には、コンピュータシステム２０は、インターネットなどのワイドエリアコンピュータネットワークとの通信を実現するために、モデム５４また当業者に知られているその他のモジュールを使用する。内部または外部デバイスであるモデム５４を、シリアルポート４６によりシステムバス２３と接続してもよい。当業者は、ネットワーク接続は、通信モジュールを使用して１つのコンピュータを別のコンピュータに接続する多くの周知の方法の非限定的な例であることを理解するであろう。
【００６５】
様々な態様において、本明細書で説明したシステムおよび方法は、ハードウェア、ソフトウェア、ファームウェア、またはこれらの任意の組み合わせにおいて実施しうる。当該方法は、ソフトウェアにおいて実施される場合、１つまたは複数の命令またはコードとして非一過性のコンピュータ可読媒体に格納されうる。コンピュータ可読媒体は、データストレージを含む。あくまでも例であり限定するものではないが、そのようなコンピュータ可読媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ＣＤ−ＲＯＭ、フラッシュメモリ、または、その他の電気、磁気、光学記憶媒体、もしくは、その他の媒体であってもよい。その他の媒体は、命令またはデータ構造体の形で、所望のプログラムコードを伝達または格納するために用いることができ、汎用コンピュータのプロセッサによってアクセスすることができる。
【００６６】
様々な態様において、本開示により説明したシステムおよび方法を、モジュールによって処理することができる。本明細書において使用される「モジュール」という用語は、例えば、特定用途向け集積回路（Application  Specific  Integrated  Circuit：ＡＳＩＣ）またはフィールドプログラマブルゲートアレイ（Field-programmable  Gate  Array：ＦＰＧＡ）などのハードウェア、もしくはモジュールの機能を実現するためのマイクロプロセッサシステムおよび１命令セットなどのハードウェアとソフトウェアの組み合わせによって実行される、実装置、コンポーネントまたは一組のコンポーネントのことを指しており、これらは（実行中に）マイクロプロセッサシステムを専用装置に変換する。モジュールは、ハードウェア単体により促進される一定の機能とハードウェアおよびソフトウェアの組み合わせによって促進される他の機能という２つの組み合わせとして実施されてもよい。一定の実装においては、モジュールの少なくとも一部、場合によって全部を汎用コンピュータのプロセッサにおいて実行できる（上記の図４において、より詳述したものなど）。したがって、各モジュールは様々な好適な構成で実現することができ、本明細書に例示した特定の実装に限定されない。
【００６７】
明瞭化のために、態様の通常の特徴のすべてが本明細書に開示されているわけではない。本開示のいずれの実際の実装の開発において、開発者の具体的な目標を達成するために多くの実装特有の決定を行わなければならず、これらの具体的な目標は実装および開発者ごとに異なることは理解されるべきである。そのような開発努力は、複雑で時間を要するものであるが、本開示の利益を享受し得る当業者にとっては技術者の職務の日常的な課題であると理解される。
【００６８】
さらに、本明細書で使用される表現または用語は、説明のためのものであって、限定するものではない。本明細書の用語または表現は、関連技術の熟練者の知識と組み合わせて、本明細書に示される教示および指針に照らして当業者によって解釈されるべきであることを理解されたい。さらに、明示的な記載がない限り、本明細書または特許請求の範囲における任意の用語はいずれも、一般的ではない意味または特別な意味を有することは意図していない。
【００６９】
本明細書において開示した様々な態様は、例示によって本明細書で言及した既知のモジュールの現在および将来知られる均等物を包含する。さらに、態様および応用例を示し説明してきたが、本開示の利益を享受する当業者には、本明細書に開示した発明概念から逸脱することなく、上記より多くの改変が可能であることは明らかであろう。
【図１】
2019192197.tif 000003
【図２Ａ】
2019192197.tif 000004
【図２Ｂ】
2019192197.tif 000005
【図２Ｃ】
2019192197.tif 000006
【図３】
2019192197.tif 000007
【図４】
2019192197.tif 000008
【外国語明細書】
2019192197000001.pdf