(57)【要約】【課題】  コンピュータ不正行為を検出するための方法及び装置を提供すること。【解決手段】  コンピュータ不正行為を検出するための技術が提供される。この技術は、候補宛先のテキスト・バージョン及び候補宛先のグラフィカル表示を取得することと、候補宛先のテキスト・バージョン及び候補宛先のグラフィカル表示を、それぞれ、格納された宛先の対応するテキスト・バージョン及び格納された宛先の対応するグラフィカル表示と比較することと、候補宛先のグラフィカル表示が格納された宛先のグラフィカル表示と実質的に類似しているが、候補宛先のテキスト・バージョンが格納された宛先の対応するテキスト・バージョンとは実質的に異なる場合に不正警告を生成することとを含む。【選択図】      図１
2010516007.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータ不正行為を検出する方法であって、
候補宛先のテキスト・バージョン及び前記候補宛先のグラフィカル表示を取得するステップと、
前記候補宛先の前記テキスト・バージョン及び前記候補宛先の前記グラフィカル表示を、それぞれ、格納された宛先の対応するテキスト・バージョン及び前記格納された宛先の対応するグラフィカル表示と比較するステップと、
前記候補宛先の前記グラフィカル表示が前記格納された宛先の前記グラフィカル表示と実質的に類似しているが、前記候補宛先の前記テキスト・バージョンが前記格納された宛先の前記対応するテキスト・バージョンとは実質的に異なる場合に不正警告を生成するステップと、
を含む方法。
【請求項２】
前記候補宛先及び前記格納された宛先は、ＵＲＬ（ユニフォーム・リソース・ロケータ）として表される、請求項１に記載の方法。
【請求項３】
前記ステップは、前記候補宛先と関連付けられたウェブページをロードしたときに自動的に実行される、請求項１に記載の方法。
【請求項４】
前記ステップは、前記候補宛先と関連付けられたブラウザ・ウィンドウの外部にあるウィンドウ及びステータス・バーの少なくとも１つにおいてユーザに示されたボタンを用いて実行される、請求項１に記載の方法。
【請求項５】
前記不正警告は、前記候補宛先と関連付けられたブラウザ・ウィンドウの外部にあるウィンドウ及びステータス・バーの少なくとも１つにおいてユーザに表示された視覚的プロンプトを介して生成される、請求項１に記載の方法。
【請求項６】
前記比較するステップは、前記候補宛先及び前記格納された宛先のサブセットに対して実行される、請求項１に記載の方法。
【請求項７】
前記候補宛先の前記テキスト・バージョン及び前記候補宛先の前記グラフィカル表示を、それぞれ、対応する格納されたテキスト・バージョン及び対応する格納されたグラフィカル表示と比較する前記ステップは、
前記候補宛先によってマッピングされる有効ＩＰ（インターネット・プロトコル）アドレスを判断するステップと、
前記有効ＩＰアドレスについての有効所有組織を判断するステップと、
を含む、請求項１に記載の方法。
【請求項８】
候補宛先のテキスト・バージョン及び前記候補宛先のグラフィカル表示を取得する前記ステップは、
前記候補宛先と関連付けられたウェブページのブラウザ・ツールバーの画像マップを読み取るステップと、
光学式文字認識（ＯＣＲ）アルゴリズムを用いて前記画像マップの文字表現を判断するステップと、
を含む、請求項１に記載の方法。
【請求項９】
候補宛先のテキスト・バージョン及び前記候補宛先のグラフィカル表示を取得する前記ステップは、
文字表現を構文解析するステップと、
前記文字表現を正規化するステップと、
文字の置換及び置き換えから前記候補宛先の適切な派生バージョンを生成するステップと、
を含む、請求項１に記載の方法。
【請求項１０】
前記候補宛先の前記テキスト・バージョン及び前記候補宛先の前記グラフィカル表示を、それぞれ、対応する格納されたテキスト・バージョン及び対応する格納されたグラフィカル表示と比較する前記ステップは、
周知の宛先のデータベースを検索するステップと、
前記周知の宛先と前記候補宛先の派生バージョンとの間の合致を記録するステップと、
を含む、請求項１に記載の方法。
【請求項１１】
候補宛先のテキスト・バージョン及び前記候補宛先のグラフィカル表示を取得する前記ステップは、前記候補宛先と関連付けられたウェブページのテキストのみをアレイに読み込むステップを含む、請求項１に記載の方法。
【請求項１２】
候補宛先のテキスト・バージョン及び前記候補宛先のグラフィカル表示を取得する前記ステップは、
前記候補宛先と関連付けられたウェブページのスナップショットをとるステップと、
前記ウェブページの表示された画像全体に対してＯＣＲを実行するステップと、
認識した単語をアレイに格納するステップと、
を含む、請求項１に記載の方法。
【請求項１３】
単語ヒストグラムを抽出することによって、前記ウェブページの単語分布の署名を計算するステップと、
前記単語ヒストグラムを周知の宛先ウェブページのヒストグラムと比較するステップと、
前記単語ヒストグラムと周知の宛先ウェブページのヒストグラムとの間の合致を記録するステップと、
前記単語ヒストグラムにおけるオーバーラップ百分率によって前記合致を分類するステップと、
オーバーラップ百分率が高い前記合致から前記ウェブページについての推定されるソースを抽出するステップと、
の付加的なステップをさらに含む、請求項１２に記載の方法。
【請求項１４】
候補宛先のテキスト・バージョン及び前記候補宛先のグラフィカル表示を取得する前記ステップは、
前記候補宛先と関連付けられたウェブページ内の画像を共通の画像形式に変換するステップと、
前記画像についての画像フィンガープリントを生成するステップと、
前記画像フィンガープリントを周知のロゴの署名と比較するステップと、
前記画像フィンガープリントと前記周知のロゴの署名との間のあらゆる合致を記録するステップと、
を含む、請求項１に記載の方法。
【請求項１５】
前記候補宛先の前記テキスト・バージョン及び前記候補宛先の前記グラフィカル表示を、それぞれ、対応する格納されたテキスト・バージョン及び対応する格納されたグラフィカル表示と比較する前記ステップは、
典型的なフィッシング攻撃の兆候について前記候補宛先をチェックするステップを含む、請求項１に記載の方法。
【請求項１６】
前記候補宛先の前記テキスト・バージョン及び前記候補宛先の前記グラフィカル表示を、それぞれ、対応する格納されたテキスト・バージョン及び対応する格納されたグラフィカル表示と比較する前記ステップは、
前記候補宛先において特定されたＤＮＳ（ドメイン名システム）ドメインの所有者を判断するステップを含む、請求項１に記載の方法。
【請求項１７】
前記候補宛先の前記テキスト・バージョン及び前記候補宛先の前記グラフィカル表示を、それぞれ、対応する格納されたテキスト・バージョン及び対応する格納されたグラフィカル表示と比較する前記ステップは、
前記候補宛先についてのフィッシング・スコアを計算する付加的なステップをさらに含む、請求項１に記載の方法。
【請求項１８】
全ての判断された組織が対応する格納された組織と合致し、かつ、前記格納された組織が、データベースにおいてより一般的なものとしてランク付けされた別の組織と実質的に類似していない場合、前記候補宛先ページをクリーンなものとして特定するステップをさらに含む、請求項１に記載の方法。
【請求項１９】
視覚的キューを組織と合致させることはできないが、それを別にすれば前記候補宛先が視覚的ＵＲＬと一致し、かつ、前記候補宛先がフィッシング宛先である可能性が低い場合、前記候補宛先ページを出所不明なものとして特定するステップをさらに含む、請求項１に記載の方法。
【請求項２０】
前記ステップは、ソフトウェア・エージェントによって実行される、請求項１に記載の方法。
【請求項２１】
前記ステップは、ウェブ・ブラウザにおいて実行される、請求項１に記載の方法。
【請求項２２】
前記ステップは、ｅメール・クライアントにおいて実行される、請求項１に記載の方法。
【請求項２３】
コンピュータ不正行為から保護される宛先のデータベースを自動的に生成する方法であって、
保護される宛先の少なくとも１つのカテゴリを生成するステップと、
前記少なくとも１つのカテゴリに属する宛先の少なくとも１つのリストを取り出すステップと、
を含む方法。
【請求項２４】
前記少なくとも１つのカテゴリに属する宛先の少なくとも１つのリストを取り出す前記ステップは、
宛先の第１のリスト及び宛先の第２のリストを取得するステップと、
前記宛先の第１のリスト及び前記宛先の第２のリストを併合するステップと、
を含む、請求項２３に記載の方法。
【請求項２５】
前記少なくとも１つのカテゴリに属する宛先の少なくとも１つのリストを取り出す前記ステップは、
インターネット検索エンジン及びインターネット索引作成サービスの少なくとも一方にアクセスするステップを含む、請求項２３に記載の方法。
【請求項２６】
コンピュータ不正行為を検出するための装置であって、
メモリと、
前記メモリに結合され、かつ、
候補宛先のテキスト・バージョン及び前記候補宛先のグラフィカル表示を取得し、
前記候補宛先の前記テキスト・バージョン及び前記候補宛先の前記グラフィカル表示を、それぞれ、格納された宛先の対応するテキスト・バージョン及び前記格納された宛先の対応するグラフィカル表示と比較し、
前記候補宛先の前記グラフィカル表示が前記格納された宛先の前記グラフィカル表示と実質的に類似しているが、前記候補宛先の前記テキスト・バージョンは前記格納された宛先の前記対応するテキスト・バージョンとは実質的に異なる場合に不正警告を生成する、
ように作働可能な少なくとも１つのプロセッサと、
を備える装置。
【請求項２７】
前記候補宛先及び前記格納された宛先はＵＲＬとして表される、請求項２６に記載の装置。
【請求項２８】
前記ステップは、前記候補宛先と関連付けられたウェブページをロードしたときに自動的に実行される、請求項２６に記載の装置。
【請求項２９】
前記ステップは、前記候補宛先と関連付けられたブラウザ・ウィンドウの外部にあるウィンドウ及びステータス・バーの少なくとも１つにおいてユーザに示されたボタンを用いて実行される、請求項２６に記載の装置。
【請求項３０】
コンピュータ不正行為を検出するためのコンピュータ使用可能プログラム・コードを有するコンピュータ使用可能媒体を含むコンピュータ・プログラム製品であって、前記コンピュータ・プログラム製品は、
候補宛先のテキスト・バージョン及び前記候補宛先のグラフィカル表示を取得するためのコンピュータ使用可能プログラム・コードと、
前記候補宛先の前記テキスト・バージョン及び前記候補宛先の前記グラフィカル表示を、それぞれ、格納された宛先の対応するテキスト・バージョン及び前記格納された宛先の対応するグラフィカル表示と比較するためのコンピュータ使用可能プログラム・コードと、
前記候補宛先の前記グラフィカル表示が前記格納された宛先の前記グラフィカル表示と実質的に類似しているが、前記候補宛先の前記テキスト・バージョンが前記格納された宛先の前記対応するテキスト・バージョンとは実質的に異なる場合に不正警告を生成するためのコンピュータ使用可能プログラム・コードと、
を含む、コンピュータ・プログラム製品。
【請求項３１】
前記候補宛先及び前記格納された宛先はＵＲＬとして表される、請求項３０に記載のコンピュータ・プログラム製品。
【請求項３２】
前記ステップは、前記候補宛先と関連付けられたウェブページをロードしたときに自動的に実行される、請求項３０に記載のコンピュータ・プログラム製品。
【請求項３３】
前記候補宛先と関連付けられたブラウザ・ウィンドウの外部にあるウィンドウ及びステータス・バーの少なくとも１つにおいてユーザに示されたボタンを用いて前記ステップの実行を可能にするためのコンピュータ使用可能プログラム・コードをさらに含む、請求項３０に記載のコンピュータ・プログラム製品。
【請求項３４】
コンピュータ不正行為から保護される宛先のデータベースを自動的に生成するためのコンピュータ使用可能プログラム・コードを有するコンピュータ使用可能媒体を含むコンピュータ・プログラム製品であって、
保護される宛先の少なくとも１つのカテゴリを生成するためのコンピュータ使用可能プログラム・コードと、
前記少なくとも１つのカテゴリに属する宛先の少なくとも１つリストを取り出すためのコンピュータ使用可能プログラム・コードと、
を含む、コンピュータ・プログラム製品。
【請求項３５】
前記少なくとも１つのカテゴリに属する宛先の少なくとも１つの宛先リストを取り出す前記ステップは、
宛先の第１のリスト及び宛先の第２のリストを取得するステップと、
前記宛先の第１のリスト及び前記宛先の第２のリストを併合するステップと、
を含む、請求項３４に記載のコンピュータ・プログラム製品。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般に、情報技術に関し、より詳細には、コンピュータ不正行為を検出するための方法及び装置に関する。
【背景技術】
【０００２】
ユーザが、ウェブサイト「Ａ」へのリンクを含むように見えるが、ウェブサイト「Ａ」の偽装バージョンにリダイレクトされたｅメール又は他の通信を受け取ったとき、ユーザは、ウェブサイトの「フィッシング（phishing）」攻撃の対象であるといわれる。ユーザは、ユーザが訪れているサイトが、よく知られている合法的なサイトであるか、又は、合法的なサイトであるように見えるが、ウェブサイトの予想される合法的バージョンと同じロケーションに位置していないサイトであるかを知りたいと思う。
【０００３】
ユーザは、ＵＲＬを打ち込み、リンクに従い、ｅメール又はインスタント・メッセージング・セッション内に埋め込まれたリンクに従うことによって、或いは別のページからのリダイレクトを介して、ブラウザへのウェブページの転送を開始することができる。結果として、ブラウザは、宛先ページの検索に用いられるプロトコルを解決し、宛先ホストを解決するためにドメイン名システム（ＤＮＳ）にコンタクトし、ＤＮＳルックアップによって指定されたインターネット・プロトコル（ＩＰ）アドレスに接続し、ページ・コンテンツをダウンロードし、ページを表示し（render）、必要に応じて任意の埋め込まれたスクリプトを同時に実行する。このページのコンテンツは、多くの方法で偽造され得る。
【０００４】
単にウェブ・ブラウザからユニフォーム・リソース・ロケータ（ＵＲＬ）を抽出し、これを正規化して、ユーザが接続する有効なサイトをユーザに提示する、周知のブラウザ・ツールバーが存在する。このブラウザ・ツールバーは、サイト名を縮小することによって、ＵＲＬがブラウザ・ロケーション・ウィンドウを一杯にし過ぎる攻撃を排除することができるが、これは、見た目が非常に似ている２つのドメイン名が用いられる問題を解決するものではない。有効なサイトに関する情報はかなり粗いものであるので、攻撃者が、同じ地理（例えば、合衆国）内の近接して見えるドメイン名を取得し、次にそうしたフィッシング検出機能（phishingdetector）を混乱させようとすることが可能である。さらに、グローバル化が進むにつれて、例えば、米国を拠点とする銀行についての合法的なサイトが、例えば、インド又はブラジルのような別の国に位置する可能性も高く、そのことが幾つかの偽警報をもたらす。周知の技術を用いて、ユーザは、依然として自分が正しいウェブサイトにコンタクトしていると信じ込ませられる。周知の技術は、訪問したウェブサイトごとにドメイン名をチェックすることをユーザに依存している。さらに、周知の技術は、実際のＵＲＬにおいて伝達された情報を抽出するに過ぎず、従って、これらの技術は、実際のドメイン名が、ユーザが名前をブラウザ・ロケーション・バーに打ち込んだときにユーザが意図したターゲットとは異なる覆されたサイトＩＰアドレスに解決させる、ＤＮＳポイズニング攻撃（poisoning attack）の場合に安全ではない。
【先行技術文献】
【特許文献】
【０００５】
【非特許文献１】Ｈｒｒｅｎｓｔｅｉｎ著、「Ｉｎｔｅｒｎｅｔ  Ｒｅｑｕｅｓｔ  ｆｏｒ  Ｃｏｍｍｅｎｔｓ  ９５４」、１９８５年
【発明の概要】
【発明が解決しようとする課題】
【０００６】
従って、従前の手法における限界を克服することが望ましい。
【課題を解決するための手段】
【０００７】
本発明の原理は、コンピュータ不正行為を検出するための技術を提供する。本発明の一態様による、コンピュータ不正行為を検出するための例示的な方法（コンピュータで実施することができる）は、候補宛先のテキスト・バージョン及び候補宛先のグラフィカル表示を取得するステップと、候補宛先のテキスト・バージョン及びグラフィカル表示を格納された宛先の対応するテキスト・バージョン及び対応するグラフィカル表示と比較するステップと、候補宛先のグラフィカル表示が格納された宛先のグラフィカル表示と実質的に類似しているが、候補宛先のテキスト・バージョンが格納された宛先の対応するテキスト・バージョンとは実質的に異なる場合に不正警告を生成するステップとを含むことができる。
【０００８】
本発明の一態様において、候補宛先及び格納された宛先は、ＵＲＬとして表される。また、本発明の別の態様において、コンピュータ不正行為を検出するための技術は、候補宛先と関連付けられたウェブページをロードしたときに自動的に実行される。この技術はまた、候補宛先と関連付けられたブラウザ・ウィンドウの外部にあるウィンドウ及びステータス・バーの少なくとも１つにおいてユーザに示されたボタンを用いて実行することができる。さらに、本発明の別の態様において、候補宛先と関連付けられたブラウザ・ウィンドウの外部にあるウィンドウ及びステータス・バーの少なくとも１つにおいてユーザに表示された視覚的プロンプトを介して、不正警告を生成することができる。本発明の更に別の態様において、候補宛先は、全ての判断された組織が対応する格納された組織と合致し、格納された組織が、データベースにおいてより一般的なものとしてランク付けされた別の組織と実質的に類似していない場合、クリーン（clean）なものとして特定される。視覚的キューを組織と合致させることはできないが、それを別にすれば候補宛先が視覚的ＵＲＬと一致し、かつ、宛先がフィッシング宛先である可能性が低い場合、候補宛先を不明なものとして特定する。
【０００９】
本発明の実施形態において、コンピュータ不正行為から保護される宛先のデータベース、又はホワイト・リストを生成する例示的な方法が、保護される宛先の少なくとも１つのカテゴリを生成するステップと、少なくとも１つのカテゴリに属する宛先の少なくとも１つのリストを取り出すステップとを含むことができる。本発明の一態様において、少なくとも１つのカテゴリに属する宛先の少なくとも１つのリストを取り出すステップは、宛先の第１のリスト及び宛先の第２のリストを取得することと、宛先の第１のリスト及び宛先の第２のリストを併合することを含む。また、本発明の別の態様において、取り出すステップは、インターネット検索エンジンにアクセスすること及び／又はインターネット索引作成サービスにアクセスすることを含む。
【００１０】
本発明の少なくとも１つの実施形態は、示される方法ステップを実行するためのコンピュータ使用可能プログラム・コードを備えたコンピュータ使用可能媒体を含むコンピュータ製品の形態で実施することができる。さらに、本発明の少なくとも１つの実施形態は、メモリと、メモリに結合され、かつ、例示的な方法ステップを実行するように動作可能な少なくとも１つのプロセッサとを含む装置の形態で実施することができる。
【００１１】
本発明の少なくとも１つの実施形態は、例えば、候補エンティティ又はフィッシング・エンティティが、意図されるエンティティ又は格納されるエンティティと見た目が非常に似ているドメイン名を含むときにコンピュータ不正行為を検出するといった、１つ又は複数の有利な技術効果を提供することができる。また、本発明の少なくとも１つの実施形態は、意図されるドメイン名が、ユーザが名前をブラウザ・ロケーション・バーに打ち込んだときにユーザが意図したターゲットとは異なる候補宛先又はフィッシング宛先に解決させられる状況において、コンピュータ不正行為を検出する有利な効果を提供することができる。
【００１２】
本発明のこれらの並びに他の目的、特徴及び利点は、添付の図面と併せて読まれる、本発明の例示的な実施形態の以下の詳細な説明から、明らかになるであろう。
【図面の簡単な説明】
【００１３】
【図１】本発明の一態様による、コンピュータ不正行為を検出するための例示的な方法を示す流れ図である。
【図２】本発明の別の態様による、コンピュータ不正行為を検出するための例示的な方法を実行することができる例示的なシステムを示すブロック図である。
【図３】本発明の更に別の態様による、コンピュータ不正行為から保護される宛先のデータベースを生成するための例示的な方法を示す流れ図である。
【図４】本発明の少なくとも１つの実施形態を実施することができる例示的なコンピュータ・システムのシステム図である。
【発明を実施するための形態】
【００１４】
本発明の実施形態は、ユーザが自分のブラウザ・ウィンドウ内で見ることができるものに基づいて、少なくとも１つのサイト署名を構成する。これらの署名を計算するソフトウェア・エージェントもまた、ウェブサイトについての周知のグラフィカルな署名及び他の署名のデータベース又はホワイト・リストを維持する。サイトについて署名が計算されるたびに、それらがデータベース内の署名と比較される。幾つかの署名は周知のウェブサイトのものと合致するが、他の署名は、登録されていないか、又はフィッシング攻撃のソース（例えば特定のドメイン名、ＩＰアドレス所有者）に合致する場合、サイト・フィッシング・スコアは増加し、ブラウザ・ステータス・バーが、フィッシングの危険性を示す記号（例えば、＜＞＜）を提示する。
【００１５】
フィッシング攻撃の一般的な形態は、ウェブサイト「Ａ」からのものであるように見えるが、実際には何らかの他のウェブサイトからのものであるサイトへのリンクを含ませることを含む。ｅメールのリッチテキスト及びハイパーテキスト・マークアップ言語（ＨＴＭＬ）コード化を用いる場合、リンクは、典型的には、次の構文又は同等物を用いて表すことができる。
<ahref=”target link”> Text Displayed to User </a>
【００１６】
殆どの利用者（reader）の場合、ユーザには、「Ｔｅｘｔ  Ｄｉｓｐｌａｙｅｄ  ｔｏ  Ｕｓｅｒ（ユーザに表示されるテキスト）」とマーク付けされた文字列のみが示され、「ｔａｒｇｅｔ  ｌｉｎｋ（ターゲット・リンク）」は示されない。一部のユーザは実際にリンクを調べることができるが、リンクを偽るために何らかの努力がなされるため、「ｔａｒｇｅｔ  ｌｉｎｋ」が、「Ｔｅｘｔ  Ｄｉｓｐｌａｙｅｄ  ｔｏ  Ｕｓｅｒ」として示される真のサイトへのリンクに幾分似ているように見える。この種類の成り済まし（masquerading）の幾つかの例が以下に与えられる。
【００１７】
ほんの一例として、ｅメールは、埋め込みリンク<ahref=http://www.acme1nvestments.com> Acme Investments </a>を含むことができ、かくして、これは、Ａｃｍｅ  Ｉｎｖｅｓｔｍｅｎｔｓのウェブサイト、http://www.acmeinvestments.comに由来するものであると称することができる。ユーザがブラウザでこのリンクにアクセスすると、ユーザは、サイトwww.acme1nvestments.comに連れて行かれる。ＵＲＬの９番目の文字が「ｉ」でなく１（数字の１）であることに気付くのに十分なほどユーザが熱心でない限り、ユーザは、謝って、自分がＡｃｍｅ  Ｉｎｖｅｓｔｍｅｎｔｓのウェブサイトにいると信じてしまう。
【００１８】
こうした偽装（impersonation）の特に陰湿なケースは、多言語で文字をコード化するための規格に起因して可能になる。この規格、すなわち国際ドメイン名（Internationalized Domain Names）は、英語以外の言語のユニコード文字を用いてドメイン名（ＵＲＬにおけるマシンの名前）を表すことを可能にする。例えば、ユニコード文字Ｕ＋０４３０の、キリル文字の小文字ａ（「ａ」）は、ユニコード文字Ｕ＋００６１の、英語に用いられる小文字「ａ」であるラテン語の小文字ａ（「ａ」）と同一に見える可能性がある。従って、フィッシングｅメールは、ＵＲＬ www.<a>cmeinvestments.comと称する可能性があり、ここで、＜ａ＞はキリル文字の小文字ａを指すが、ウェブサイトのユーザは、これを、www.acmeinvestments.comのＵＲＬと区別することができない。幾つかのブラウザは、こうした成り済ましに対して脆弱である。
【００１９】
ドメイン名システムを脅かすスキーム（例えば、ウィルスを用いて、ホスト・ファイル又はブラウザ・キャッシュを上書きすることができる）を含む、行こうとしているウェブサイトとは異なるウェブサイトに行くよう、ユーザをだます他の方法がある。しかしながら、こうした攻撃は、マシンの安全性を脅かすことを要し、用いられる可能性は低い。完全を期すために、この性質の攻撃の例が、下記の段落に記載される。通常、オペレーティング・システムの安全性に対する高度な攻撃なしにｅメールを誤った方向に導くことによって行なうことができることから、フィッシングのための技術は、異なるＵＲＬにアクセスすることに関してユーザをだますことを基にしている。
【００２０】
例えば、ページを偽造することができる１つの方法は、宛先ページを調べるのに用いられるプロトコルを解決する上述のステップに対する攻撃によるものである。ブラウザを、「file:/」参照に指し示すことによって、ユーザを、ユーザ自身のハードディスク上のページにリダイレクトすることが可能である。この種のリダイレクトは、それが、大部分のブラウザの安全機構を回避することから、特に危険であり得る。攻撃者は、周知のロケーションにおけるユーザのファイル・システム内に（例えば、ブラウザ・キャッシュ内に）コードを植えることができるはずである。
【００２１】
例えば、ページを偽造することができる別の方法は、ＤＮＳにコンタクトして宛先ホストを解決する上述のステップに対する攻撃によるものである。攻撃者は、ＤＮＳサーバを「汚染（poison）」し、ユーザを、ブラウザを要求されたロケーションに転送する代わりに、攻撃者によって制御されたＩＰアドレスにリダイレクトすることができる。例えば、www.acmeinvestments.comに対するＩＰアドレスのマッピングが損なわれた場合、ユーザをＩＰアドレス１０．１．１．１に向けることができる。
【００２２】
別の例として、ページを偽造することができる１つの方法は、ＤＮＳルックアップによって指定されたＩＰアドレスに接続する上述のステップに対する攻撃によるものである。攻撃者がウェブページ・ダウンロードの実際のターゲットへの経路上にマシンを所有する場合、経路のリダイレクト又は中間者攻撃（man-in the -middle attack）によって、ＩＰアドレスの引継ぎを開始することができる。これらの場合、攻撃者は、プロキシとして働き、ユーザのブラウザからの入力及び／又は出力（Ｉ／Ｏ）を制御し、妨害することができる。
【００２３】
例えば、ページを偽造することができる更に別の方法は、ページを表示し、必要に応じて任意の埋め込まれたスクリプトを同時に実行する上述のステップに対する攻撃によるものである。攻撃者が、上述した攻撃のいずれも実行することができず、従って、偽造ウェブサイトの外観を偽装すること、及び、ブラウザ・ウィンドウ内に見られるコンテンツに基づいて自分が閲覧しているつもりであるウェブサイトを、自分が現在閲覧していないことをユーザに示す証拠を隠すことによって、それ（攻撃者）がユーザを攻撃者自身の偽造ウェブサイトにリダイレクトした事実を隠すように強制されることがある。
【００２４】
図１は、本発明の一実施形態による、コンピュータ不正行為を検出するための方法を示す流れ図を示す。ステップ１０２は、候補宛先のテキスト・バージョン及び候補宛先のグラフィカル表示を取得することを含む。候補宛先は、メッセージの一部が向けられるネットワーク・アドレス、又はユニバーサル・リソース識別子（ＵＲＩ）、或いはユニフォーム・リソース・ロケータ（ＵＲＬ）である。候補宛先のテキスト・バージョンは、例えばＡＳＣＩＩ又はユニコードなどのテキスト表現規格を用いた宛先の表示である。グラフィカル表示は、例えば、ｇｉｆ、ｊｐｅｇ、又はｔｉｆｆ形式などの画像形式での候補宛先の表現である。ステップ１０４は、候補宛先のテキスト・バージョン及び候補宛先のグラフィカル表示を、それぞれ、格納された宛先の対応するテキスト・バージョン及び格納された宛先の対応するグラフィカル表示と比較することを含む。格納された宛先は、不正行為から保護されることが意図され、コンピュータのリポジトリ内に維持されるネットワーク・アドレス、ＵＲＩ、又はＵＲＬとすることができる。こうしたリポジトリは、テキスト・ファイル、ローカル・データベース、ＸＭＬファイル等とすることができる。ステップ１０６は、候補宛先のグラフィカル表示が格納された宛先のグラフィカル表示と実質的に類似しているが、候補宛先のテキスト・バージョンが格納された宛先の対応するテキスト・バージョンとは実質的に異なる場合に、不正警告を生成することを含む。随意的に、図１に示される方法はまた、判断された組織の全てが、リポジトリ内の対応する格納された組織のアイデンティティ及び／又は識別（ＩＤ）と合致し、格納された組織が、リポジトリ・データベースにおいてより一般的なものであるとしてランク付けされた別の組織とあまり類似していない場合、候補宛先ページをクリーンなものとして特定するステップ１０８を含むことができる。図１に示される方法はまた、随意的に、視覚的キューを組織と合致させることはできないが、それを別にすれば候補宛先が視覚的ＵＲＬと一致し、その宛先がフィッシング宛先である可能性が低い場合、候補宛先ページを「出所不明（unknown origin）」なものとして特定するステップ１１０を含むことができる。
【００２５】
図２は、本発明の一実施形態による、コンピュータ不正行為を検出するための例示的な方法を実行することができる例示的なシステムを表すブロック図を示す。システム２００は、少なくとも１つの周知の宛先、ＩＰアドレス、ＵＲＬ接頭辞又はパターン、コンテンツのランドマーク（例えば、ロゴ）、及びＩＰアドレスの所有記録を含むことができるデータベース又はリポジトリ２０２を含むコンポーネントを備える。システム２００はまた、アンチフィッシング・プラグイン２２４及びブラウザ２２６も備える。システム２００はまた、下記に説明されるような方法ステップを実行するための、適切なソフトウェア、ハードウェア、又は混合したハードウェア−ソフトウェア・モジュールも備える。
【００２６】
ステップ２２８は、視覚的分析段階を含む。ステップ２２８は、ＵＲＬの表示２０４、ＵＲＬ宛先の推定２０６、コンテンツ・ランドマークの抽出２０８、及びコンテンツの出所（origin）推定２１０のステップを含むことができる。ステップ２３０は、物理的分析を含む。ステップ２３０は、ＩＰアドレスの出所試験２１２及びＤＮＳ名の類似性のスコア付け２１４のステップを含むことができる。ステップ２１６は、視覚的なものと物理的なものとの間の不一致スコアを生成することを含む。ステップ２１８は、スコアの視覚化を生成することを含む。ステップ２２０は、ランダムに選ばれた場所で警報ポップアップを生成すること２２２を含むことができる、フィッシング警報生成プロセスを含む。ランダムに選ばれたロケーションは、候補宛先と関連付けられたブラウザ・ウィンドウの外部にあるウィンドウ及びステータス・バーの少なくとも１つにおいてユーザに表示された視覚的プロンプトを介して、不正行為警告又はフィッシング警報ポップアップを生成すること２２２を含むことができ、ウィンドウは、フィッシング攻撃者によるオーバーレイ攻撃を防止するために、ブラウザとは別個のランダムに配置されたウィンドウ内に開かれる。
【００２７】
ブラウザにおいてウェブサイトが完全に表示されると、ソフトウェア・エージェントは、ブラウザ・ウィンドウ内に表示された情報のスナップショットをとる。このスナップショットは、例えば、画像、ロケーションＵＲＬ、及び表示されたテキストを含むソース・コンテンツを含む。ソフトウェア・エージェントはまた、ブラウザ内で表示される画像のスクリーン・ショットもとる。
【００２８】
本発明の一態様は、所定の規則を用いて、フィッシング攻撃のターゲットとされた既存の周知のＵＲＬのデータベースと、それらのＵＲＬのグラフィカル表示とを保持することである。本発明の技術は、ダウンロードされた、又はそれについてユーザがチェックを開始する各々のウェブページ上で以下のステップを実行する。この技術は、候補宛先のテキスト・バージョン及び候補宛先のグラフィカル表示を取得することと、候補宛先のテキスト・バージョン及び候補宛先のグラフィカル表示を、それぞれ格納された宛先の対応するテキスト・バージョン及び格納された宛先の対応するグラフィカル表示と比較することと、候補宛先のグラフィカル表示が格納された宛先のグラフィカル表示と実質的に類似しているが、候補宛先のテキスト・バージョンが格納された宛先の対応するテキスト・バージョンとは実質的に異なる場合に不正警告を生成することと、を含む。
【００２９】
本発明の一実施形態において、候補宛先及び格納された宛先は、ＵＲＬとして表される。本発明の技術は、候補宛先と関連付けられたウェブページをロードしたときに自動的に実行することができる。また、本発明の技術は、フィッシング攻撃者によるオーバーレイ攻撃を防止するために、候補宛先と関連付けられたブラウザ・ウィンドウの外部にあるウィンドウ又はステータス・バーにおいてユーザに示されたテキスト・フィッシング・ボタンを用いて実行することができる。本発明の別の態様において、候補宛先のテキスト・バージョン及びグラフィカル表示を、格納された宛先の対応するテキスト・バージョン及びグラフィカル表示と比較するステップは、候補宛先及び格納された宛先のサブセットに対して実行され、サブセットは、例えば、ＵＲＬの接頭辞及び／又は接尾辞を含むことができる。
【００３０】
本発明の１つの態様において、本発明の技術は、ブラウザを通してウェブページをダウンロードすることを可能にする。ページを成功裏にダウンロードしたが、ページのｏｎＬｏａｄ（）Ｊａｖａ及び他のスクリプトを実行する前に、アンチフィッシング・プラグイン２２４が、ブラウザ・ロケーション・フィールド内に格納されたＵＲＬを抽出する。プラグイン２２４は、ページを完全に表示することを可能にし、ブラウザ・ウィンドウのスナップショット画像をとることによって、視覚的ブラウザのロケーションを抽出する。フィッシング・ウェブサイトがブラウザ・ツールバーを使用不能にし、それぞれのロケーション・フィールド（例えば、ＪａｖａＳｃｒｉｐｔバージョン）をユーザに提示する周知の攻撃が存在することから、スナップショット機能を用いることが好ましい。
【００３１】
プラグイン２２４は、候補宛先と関連付けられたブラウザ・ツールバーの画像マップを読み取り、文字認識のための光学式文字認識（ＯＣＲ）アルゴリズムを用いて画像マップの文字表現を判断する。本発明の一態様において、本発明の技術は、文字表現を構文解析し、同じく全ての文字を小文字に替えることによって文字表現を正規化することを含む。本発明の技術はまた、リポジトリ２０２又はデータベースの検索を介する、周知の宛先ＵＲＬを含むリポジトリ２０２における周知の光学的類似性及び識別に基づく文字の置換（character permutation）及び置き換え（substitution）を通して、候補宛先の種々の派生バージョンを生成することを含むこともできる。本発明の技術は、周知の宛先と候補宛先のバージョンとの間のあらゆる合致を記録する。
【００３２】
プラグイン２２４は、候補宛先と関連付けられたウェブページ・ウィンドウのスナップショットをとり、表示された画像全体に対してＯＣＲを実行し、認識した単語をアレイに格納する。プラグイン２２４は、フィッシング攻撃者が、グラフィカル要素をプレーン・テキストで置き換え、自動化試験による認識を回避することができるため、これらの措置を実行する。
【００３３】
本発明の別の態様において、本発明の技術は、候補宛先と関連付けられたウェブページのテキストのみをアレイに読み込む。また、アルゴリズムは、単語ヒストグラム（word histogram）を抽出することによってウェブページの単語分布の署名を計算する。このような本発明の技術は、抽出された単語ヒストグラムを、データベース又はリポジトリ内に記録された周知の宛先ウェブページのヒストグラムと比較し、抽出された単語ヒストグラムと周知の宛先ウェブページのヒストグラムとの間のあらゆる合致を記録し、単語ヒストグラムにおけるオーバーラップ百分率（overlappercentage）によって合致を分類する。本発明の別の態様において、本発明の技術は、テキスト分析に基づくコンテンツのオーバーラップにおける最も近い合致に基づいて推定されたソースを抽出し、候補宛先についての潜在的な出所としてソースを記録する。
【００３４】
候補ウェブページが画像を含む場合、本発明の技術は、画像を共通の画像形式（例えば、画像交換フォーマット（graphic interchange format、ＧＩＦ）に変換し、画像についての画像フィンガープリントを生成し、画像フィンガープリントを周知のロゴの署名と比較し、画像フィンガープリントと周知のロゴの署名との間のあらゆる合致を記録することができる。データベース又はリポジトリにおけるロゴ・フィンガープリントは、ピクセル化の影響がロゴの識別を妨げるのを防ぐために、種々の異なる解像度で表示された同じ企業ロゴのフィンガープリントを含むことが好ましい。
【００３５】
プラグイン２２４は、候補宛先によってマッピングされた有効なＩＰアドレスを決定する。本発明の技術は、そのリポジトリ２０２から、又は、例えば「ｗｈｏｉｓ」のような二次データベースを用いて、有効ＩＰアドレスについての有効所有組織を判断する。ｗｈｏｉｓサービスは、非特許文献１に記載され、ＵＲＬ  http://www.rfc-archive.org/getrfc.php?rfc=954において利用可能であり、インターネットで広く配布されている。本発明の別の態様において、本発明の技術は、例えば、ロケーション・ウィンドウに入りきらない長い文字列、フィッシングの可能性が高いロケーション、又は周知のＵＲＬ名とのごく僅かな差異などの、典型的なフィッシング攻撃の兆候について、候補宛先をチェックする。また、本発明の技術は、候補宛先において特定されたＤＮＳドメインの所有者を判断する。
【００３６】
本発明の別の態様において、本発明の技術は、候補宛先についてのフィッシング・スコアを計算する。この技術は、判断された組織の全てが、リポジトリ２０２内の対応する格納された組織のアイデンティティ及び／又は識別（ＩＤ）と合致し、格納された組織が、リポジトリ・データベース２０２においてより一般的なものとしてランク付けされた別の組織とあまり類似していない場合、候補宛先ページをクリーンなものとして特定する。
【００３７】
本発明の別の態様において、候補宛先ページが矛盾する視覚的キュー（例えば、組織ＩＤ＝Ｘ）及び物理的組織（ＩＤ＝Ｙ）を有する場合、本発明の技術は、ユーザにフィッシングの可能性を警告し、視覚的キューのチェック結果と、物理的トレースバックの結果を示す、ウィンドウ２２２を生成する。この技術は、候補宛先と関連付けられたブラウザ・ウィンドウの外部にあるウィンドウ及びステータス・バーの少なくとも１つにおいてユーザに表示された視覚的プロンプトを介して、不正行為警告２２２を生成する。ウィンドウ２２２は、フィッシング攻撃者によるオーバーレイ攻撃を防止するためにブラウザとは別個の無作為に配置されたウィンドウ内に開かれる。
【００３８】
本発明の更に別の態様において、本発明の技術は、視覚的キューを組織と合致させることはできないが、それを別にすれば候補宛先が視覚的ＵＲＬと一致し、その宛先がフィッシング宛先である可能性が低い場合、候補宛先ページを「出所不明」として特定する。また、この技術は、ページの視覚的キューが周知のターゲットにマッピングされ、物理的組織の判断が同じ組織ＩＤを得た場合、候補宛先ページを「安全」なものとして特定する。
【００３９】
本発明の別の態様において、本発明の技術は、ブラウザ・ツールバーにおいて候補宛先ＵＲＬのロケーションを判断する。ユーザは、ソフトウェア・エージェントと協働して、ブラウザ・ウィンドウに対するＵＲＬ表示へのロケーションを確立することができる。ソフトウェア・エージェントは、ＡＤＤＲＥＳＳバーのロケーションを突き止めるために、ＯＣＲソフトウェアを含むことができる。また、ソフトウェア・エージェントは、ブラウザを、ブラウザ・ツールバーにおけるロケーション・ウィンドウ全体に書き入れる別個のＵＲＬのリストにリダイレクトする試験項目群（test suite）を含むことができる。これらの別個のＵＲＬにおいて表示されるコンテンツは同一であるので、ブラウザ・ウィンドウ全体においてＵＲＬだけが変わることになる。試験されたＵＲＬのセットにおける全ての文字及び地域文字コードの組み合わせを用いることにより、正確なテキストの高さを判断することが可能である。この試験は、ブラウザの再スタートごとに自動化することができる。エージェントは、現在のブラウザのロケーションを捕捉し、ＵＲＬロケーション・テストを実行し、ブラウザ・ウィンドウのサイズ変更のたびにオリジナルのブラウザ・ロケーションを回復する、ブラウザ・プラグインとしてインストールすることができる。
【００４０】
本発明の他の態様において、本発明の技術は、ソフトウェア・エージェントによって、ウェブ・ブラウザにおいて、又はｅメール・クライアントにおいて実行することができる。
【００４１】
図３は、本発明の一実施形態による、コンピュータの不正行為から保護される宛先のデータベースを生成するための方法を表す流れ図を示す。ステップ３０２は、保護される宛先の少なくとも１つのカテゴリを生成することを含む。ステップ３０４は、少なくとも１つのカテゴリに属する宛先の少なくとも１つのリストを取り出すことを含む。本発明の態様において、少なくとも１つのカテゴリに属する宛先の少なくとも１つのリストを取り出すステップは、宛先の第１のリスト及び宛先の第２のリストを取得することと、宛先の第１のリスト及び宛先の第２のリストを併合させることとを含むことができる。本発明の別の態様において、少なくとも１つのカテゴリに属する宛先の少なくとも１つのリストを取り出すステップは、インターネット検索エンジン及びインターネット索引作成サービスの少なくとも１つにアクセスすることを含むことができる。
【００４２】
専用ハードウェア、汎用プロセッサ、ファームウェア、ソフトウェア、又は上記の組み合わせを用いる種々の技術を用いて、本発明を実施することができる。本発明の少なくとも１つの実施形態は、示される方法ステップを実行するためのコンピュータ使用可能プログラム・コードを用いるコンピュータ使用可能媒体を含むコンピュータ製品の形態で実施することができる。さらに、本発明の少なくとも１つの実施形態は、メモリと、メモリに結合され、かつ、例示的な方法ステップを実行するように動作可能な少なくとも１つのプロセッサとを含む装置の形態で実施することができる。
【００４３】
現在のところ、好ましい実施は、汎用コンピュータ又はワークステーション上で動作しているソフトウェアを実質的に利用する。図４を参照すると、こうした実施は、例えば、プロセッサ４０２、メモリ４０４、並びに、例えばディスプレイ４０６及びキーボード４０８によって形成された入力及び／又は出力インターフェースを用いることができる。ここで用いられる「プロセッサ」という用語は、例えば、ＣＰＵ（中央処理装置）及び／又は他の形態の処理回路を含むものなどの、任意の処理装置を含むことが意図されている。さらに、「プロセッサ」という用語は、１つより多い個々のプロセッサを指すこともできる。「メモリ」という用語は、例えば、ＲＡＭ（ランダム・アクセス・メモリ）、ＲＯＭ（読み取り専用メモリ）、固定メモリ・デバイス（例えば、ハード・ドライブ）、取り外し可能メモリ・デバイス（例えば、ディスケット）、フラッシュ・メモリ等のような、プロセッサ又はＣＰＵと関連付けられたメモリを含むことが意図されている。さらに、ここで用いられる「入力及び／又は出力インターフェース」という句は、例えば、データを処理ユニットに入力するための１つ又は複数の機構（例えば、マウス）、及び、処理ユニットと関連付けられた結果を提供するための１つ又は複数の機構（例えば、プリンタ）を含むことが意図されている。プロセッサ４０２、メモリ４０４、並びに、ディスプレイ４０６及びキーボード４０８のような入力及び／又は出力インターフェースは、例えば、データ処理ユニット４１２の一部としてバス４１０を介して相互接続することができる。バス４１０を介する適切な相互接続を、例えば、コンピュータ・ネットワークと接続するために提供することができるネットワーク・カードのようなネットワーク・インターフェース４１４、及び、媒体４１８と接続するために提供することができるディスケット又はＣＤ−ＲＯＭドライブのような媒体インターフェース４１６にもたらすこともできる。
【００４４】
従って、ここで説明される本発明の方法を実行するための命令又はコードを含むコンピュータ・ソフトウェアは、関連したメモリ・デバイス（例えば、ＲＯＭ、固定メモリ、又は取り外し可能メモリ）に格納することができ、使用の準備ができると、部分的に又は全体的にロードされ（例えば、ＲＡＭに）、ＣＰＵによって実行される。こうしたソフトウェアは、これらに限られるものではないが、ファームウェア、常駐ソフトウェア、マイクロコード等を含むことができる。
【００４５】
さらに、本発明は、コンピュータ又はいずれかの命令実行システムによって又はそれと共に用いるためのプログラム・コードを提供するコンピュータ使用可能媒体又はコンピュータ可読媒体（例えば、媒体４１８）からアクセス可能なコンピュータ・プログラム製品の形態をとることができる。この説明のために、コンピュータ使用可能媒体又はコンピュータ可読媒体は、命令実行システム、装置、又はデバイスによって、或いはそれと共に用いるための任意の装置とすることができる。
【００４６】
媒体は、電子、磁気、光学、電磁気、赤外線、又は半導体システム（又は装置若しくはデバイス）、或いは伝搬媒体とすることができる。コンピュータ可読媒体の例は、半導体又はソリッド・ステート・メモリ（例えば、メモリ４０４）、磁気テープ、取り外し可能コンピュータ・ディスケット（例えば、メディア４１８）、ランダム・アクセス・メモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、剛性磁気ディスク及び光ディスクを含む。光ディスクの現在の例は、コンパクト・ディスク−読み取り専用メモリ（ＣＤ−ＲＯＭ）、コンパクト・ディスク−読み取り／書き込み（ＣＤ−Ｒ／Ｗ）及びＤＶＤを含む。
【００４７】
プログラム・コードを格納し及び／又は実行するのに適したデータ処理システムは、システム・バスを通してメモリ素子に直接的に又は間接的に結合した少なくとも１つのプロセッサ４０２を含む。メモリ素子は、プログラム・コードの実際の実行中に用いられるローカル・メモリと、バルク・ストレージと、少なくとも幾つかのプログラム・コードの一時的ストレージを提供して、実行中にバルク・ストレージからコードが取得されなければならない回数を減らすようにするキャッシュ・メモリとを含むことができる。
【００４８】
入力及び／又は出力すなわちＩ／Ｏデバイス（これらに限られるものではないが、キーボード４０８、ディスプレイ４０６、ポインティング・デバイス等を含む）は、直接的に（バス４１０等を介して）、又は介在するＩ／Ｏコントローラ（明確にするために省略される）を通して、システムに結合することができる。
【００４９】
ネットワーク・インターフェース４１４のようなネットワーク・アダプタをシステムに結合し、データ処理システムが、介在する私設ネットワーク又は公衆ネットワークを通して、他のデータ処理システム又は遠隔プリンタ若しくは記憶装置に結合できるようにすることが可能である。モデム、ケーブル・モデム、及びイーサネット・カードは、現在利用可能なタイプのネットワーク・アダプタのうちのほんの幾つかの例である。
【００５０】
いずれにしても、ここで示されるコンポーネントは、例えば、特定用途向け集積回路（ＡＳＩＣＳ）、機能回路、関連するメモリを備えた、１つ又は複数の適切にプログラムされた汎用デジタル・コンピュータ等の種々の形態のハードウェア、ソフトウェア、又はそれらの組み合わせにおいて実装できることを理解すべきである。ここで提供される本発明の教示が与えられれば、当業者は、本発明のコンポーネントの他の実装を考えることができるであろう。
【００５１】
本明細書では添付の図面を参照して本発明の例示的な実施形態を説明したが、本発明はそれらの正確な実施形態に限定されるものではなく、当業者であれば、本発明の範囲又は精神から逸脱せずに種々の他の変更及び修正をなし得ることを理解すべきである。
【符号の説明】
【００５２】
２００：システム
２０２：リポジトリ
２２４：アンチフィッシング・プラグイン
２２６：ブラウザ
４０２：プロセッサ
４０４：メモリ
４０６：ディスプレイ
４０８：キーボード
４１０：バス
４１２：データ処理ユニット
４１４：ネットワーク
４１６、４１８：媒体
【図１】
2010516007.tif 000003
【図２】
2010516007.tif 000004
【図３】
2010516007.tif 000005
【図４】
2010516007.tif 000006
【手続補正書】
【提出日】平成21年10月2日(2009.10.2)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
コンピュータ不正行為を検出する方法であって、
候補宛先のテキスト・バージョン及び前記候補宛先のグラフィカル表示を取得するステップと、
前記候補宛先の前記テキスト・バージョン及び前記候補宛先の前記グラフィカル表示を、それぞれ、格納された宛先の対応するテキスト・バージョン及び前記格納された宛先の対応するグラフィカル表示と比較するステップと、
前記候補宛先の前記グラフィカル表示が前記格納された宛先の前記グラフィカル表示と実質的に類似しているが、前記候補宛先の前記テキスト・バージョンが前記格納された宛先の前記対応するテキスト・バージョンとは実質的に異なる場合に不正警告を生成するステップと、
を含む方法。
【請求項２】
前記候補宛先及び前記格納された宛先は、ＵＲＬ（ユニフォーム・リソース・ロケータ）として表される、請求項１に記載の方法。
【請求項３】
前記ステップは、前記候補宛先と関連付けられたウェブページをロードしたときに自動的に実行される、請求項１に記載の方法。
【請求項４】
前記ステップは、前記候補宛先と関連付けられたブラウザ・ウィンドウの外部にあるウィンドウ及びステータス・バーの少なくとも１つにおいてユーザに示されたボタンを用いて実行される、請求項１に記載の方法。
【請求項５】
前記不正警告は、前記候補宛先と関連付けられたブラウザ・ウィンドウの外部にあるウィンドウ及びステータス・バーの少なくとも１つにおいてユーザに表示された視覚的プロンプトを介して生成される、請求項１に記載の方法。
【請求項６】
前記比較するステップは、前記候補宛先及び前記格納された宛先のサブセットに対して実行される、請求項１に記載の方法。
【請求項７】
前記候補宛先の前記テキスト・バージョン及び前記候補宛先の前記グラフィカル表示を、それぞれ、対応する格納されたテキスト・バージョン及び対応する格納されたグラフィカル表示と比較する前記ステップは、
前記候補宛先によってマッピングされる有効ＩＰ（インターネット・プロトコル）アドレスを判断するステップと、
前記有効ＩＰアドレスについての有効所有組織を判断するステップと、
を含む、請求項１に記載の方法。
【請求項８】
候補宛先のテキスト・バージョン及び前記候補宛先のグラフィカル表示を取得する前記ステップは、
前記候補宛先と関連付けられたウェブページのブラウザ・ツールバーの画像マップを読み取るステップと、
光学式文字認識（ＯＣＲ）アルゴリズムを用いて前記画像マップの文字表現を判断するステップと、
を含む、請求項１に記載の方法。
【請求項９】
候補宛先のテキスト・バージョン及び前記候補宛先のグラフィカル表示を取得する前記ステップは、
文字表現を構文解析するステップと、
前記文字表現を正規化するステップと、
文字の置換及び置き換えから前記候補宛先の適切な派生バージョンを生成するステップと、
を含む、請求項１に記載の方法。
【請求項１０】
前記候補宛先の前記テキスト・バージョン及び前記候補宛先の前記グラフィカル表示を、それぞれ、対応する格納されたテキスト・バージョン及び対応する格納されたグラフィカル表示と比較する前記ステップは、
周知の宛先のデータベースを検索するステップと、
前記周知の宛先と前記候補宛先の派生バージョンとの間の合致を記録するステップと、
を含む、請求項１に記載の方法。
【請求項１１】
候補宛先のテキスト・バージョン及び前記候補宛先のグラフィカル表示を取得する前記ステップは、前記候補宛先と関連付けられたウェブページのテキストのみをアレイに読み込むステップを含む、請求項１に記載の方法。
【請求項１２】
候補宛先のテキスト・バージョン及び前記候補宛先のグラフィカル表示を取得する前記ステップは、
前記候補宛先と関連付けられたウェブページのスナップショットをとるステップと、
前記ウェブページの表示された画像全体に対してＯＣＲを実行するステップと、
認識した単語をアレイに格納するステップと、
を含む、請求項１に記載の方法。
【請求項１３】
単語ヒストグラムを抽出することによって、前記ウェブページの単語分布の署名を計算するステップと、
前記単語ヒストグラムを周知の宛先ウェブページのヒストグラムと比較するステップと、
前記単語ヒストグラムと周知の宛先ウェブページのヒストグラムとの間の合致を記録するステップと、
前記単語ヒストグラムにおけるオーバーラップ百分率によって前記合致を分類するステップと、
オーバーラップ百分率が高い前記合致から前記ウェブページについての推定されるソースを抽出するステップと、
の付加的なステップをさらに含む、請求項１２に記載の方法。
【請求項１４】
候補宛先のテキスト・バージョン及び前記候補宛先のグラフィカル表示を取得する前記ステップは、
前記候補宛先と関連付けられたウェブページ内の画像を共通の画像形式に変換するステップと、
前記画像についての画像フィンガープリントを生成するステップと、
前記画像フィンガープリントを周知のロゴの署名と比較するステップと、
前記画像フィンガープリントと前記周知のロゴの署名との間のあらゆる合致を記録するステップと、
を含む、請求項１に記載の方法。
【請求項１５】
前記候補宛先の前記テキスト・バージョン及び前記候補宛先の前記グラフィカル表示を、それぞれ、対応する格納されたテキスト・バージョン及び対応する格納されたグラフィカル表示と比較する前記ステップは、
典型的なフィッシング攻撃の兆候について前記候補宛先をチェックするステップを含む、請求項１に記載の方法。
【請求項１６】
前記候補宛先の前記テキスト・バージョン及び前記候補宛先の前記グラフィカル表示を、それぞれ、対応する格納されたテキスト・バージョン及び対応する格納されたグラフィカル表示と比較する前記ステップは、
前記候補宛先において特定されたＤＮＳ（ドメイン名システム）ドメインの所有者を判断するステップを含む、請求項１に記載の方法。
【請求項１７】
前記候補宛先の前記テキスト・バージョン及び前記候補宛先の前記グラフィカル表示を、それぞれ、対応する格納されたテキスト・バージョン及び対応する格納されたグラフィカル表示と比較する前記ステップは、
前記候補宛先についてのフィッシング・スコアを計算する付加的なステップをさらに含む、請求項１に記載の方法。
【請求項１８】
全ての判断された組織が対応する格納された組織と合致し、かつ、前記格納された組織が、データベースにおいてより一般的なものとしてランク付けされた別の組織と実質的に類似していない場合、前記候補宛先のページをクリーンなものとして特定するステップをさらに含む、請求項１に記載の方法。
【請求項１９】
視覚的キューを組織と合致させることはできないが、それを別にすれば前記候補宛先が視覚的ＵＲＬと一致し、かつ、前記候補宛先がフィッシング宛先である可能性が低い場合、前記候補宛先のページを出所不明なものとして特定するステップをさらに含む、請求項１に記載の方法。
【請求項２０】
前記ステップは、ソフトウェア・エージェントによって実行される、請求項１に記載の方法。
【請求項２１】
前記ステップは、ウェブ・ブラウザにおいて実行される、請求項１に記載の方法。
【請求項２２】
前記ステップは、ｅメール・クライアントにおいて実行される、請求項１に記載の方法。
【請求項２３】
コンピュータ不正行為から保護される宛先のデータベースを自動的に生成する方法であって、
保護される宛先の少なくとも１つのカテゴリを生成するステップと、
前記少なくとも１つのカテゴリに属する宛先の少なくとも１つのリストを取り出すステップと、
を含む方法。
【請求項２４】
前記少なくとも１つのカテゴリに属する宛先の少なくとも１つのリストを取り出す前記ステップは、
宛先の第１のリスト及び宛先の第２のリストを取得するステップと、
前記宛先の第１のリスト及び前記宛先の第２のリストを併合するステップと、
を含む、請求項２３に記載の方法。
【請求項２５】
前記少なくとも１つのカテゴリに属する宛先の少なくとも１つのリストを取り出す前記ステップは、
インターネット検索エンジン及びインターネット索引作成サービスの少なくとも一方にアクセスするステップを含む、請求項２３に記載の方法。
【請求項２６】
コンピュータ不正行為を検出するための装置であって、
メモリと、
前記メモリに結合され、かつ、
候補宛先のテキスト・バージョン及び前記候補宛先のグラフィカル表示を取得し、
前記候補宛先の前記テキスト・バージョン及び前記候補宛先の前記グラフィカル表示を、それぞれ、格納された宛先の対応するテキスト・バージョン及び前記格納された宛先の対応するグラフィカル表示と比較し、
前記候補宛先の前記グラフィカル表示が前記格納された宛先の前記グラフィカル表示と実質的に類似しているが、前記候補宛先の前記テキスト・バージョンは前記格納された宛先の前記対応するテキスト・バージョンとは実質的に異なる場合に不正警告を生成する、
ように作働可能な少なくとも１つのプロセッサと、
を備える装置。
【請求項２７】
前記候補宛先及び前記格納された宛先はＵＲＬとして表される、請求項２６に記載の装置。
【請求項２８】
前記候補宛先と関連付けられたウェブページをロードしたときに自動的に実行される、請求項２６に記載の装置。
【請求項２９】
前記候補宛先と関連付けられたブラウザ・ウィンドウの外部にあるウィンドウ及びステータス・バーの少なくとも１つにおいてユーザに示されたボタンを用いて実行される、請求項２６に記載の装置。
【請求項３０】
コンピュータ不正行為を検出するためのコンピュータ使用可能プログラム・コードを有するコンピュータ・プログラムであって、前記コンピュータ・プログラムは、
候補宛先のテキスト・バージョン及び前記候補宛先のグラフィカル表示を取得するためのコンピュータ使用可能プログラム・コードと、
前記候補宛先の前記テキスト・バージョン及び前記候補宛先の前記グラフィカル表示を、それぞれ、格納された宛先の対応するテキスト・バージョン及び前記格納された宛先の対応するグラフィカル表示と比較するためのコンピュータ使用可能プログラム・コードと、
前記候補宛先の前記グラフィカル表示が前記格納された宛先の前記グラフィカル表示と実質的に類似しているが、前記候補宛先の前記テキスト・バージョンが前記格納された宛先の前記対応するテキスト・バージョンとは実質的に異なる場合に不正警告を生成するためのコンピュータ使用可能プログラム・コードと、
を含む、コンピュータ・プログラム。
【請求項３１】
前記候補宛先及び前記格納された宛先はＵＲＬとして表される、請求項３０に記載のコンピュータ・プログラム。
【請求項３２】
前記候補宛先と関連付けられたウェブページをロードしたときに自動的に実行される、請求項３０に記載のコンピュータ・プログラム。
【請求項３３】
前記候補宛先と関連付けられたブラウザ・ウィンドウの外部にあるウィンドウ及びステータス・バーの少なくとも１つにおいてユーザに示されたボタンを用いて実行を可能にするためのコンピュータ使用可能プログラム・コードをさらに含む、請求項３０に記載のコンピュータ・プログラム。
【請求項３４】
コンピュータ不正行為から保護される宛先のデータベースを自動的に生成するためのコンピュータ使用可能プログラム・コードを有するコンピュータ・プログラムであって、
保護される宛先の少なくとも１つのカテゴリを生成するためのコンピュータ使用可能プログラム・コードと、
前記少なくとも１つのカテゴリに属する宛先の少なくとも１つリストを取り出すためのコンピュータ使用可能プログラム・コードと、
を含む、コンピュータ・プログラム。
【請求項３５】
前記少なくとも１つのカテゴリに属する宛先の少なくとも１つの宛先リストを取り出すためのコンピュータ使用可能プログラム・コードは、
宛先の第１のリスト及び宛先の第２のリストを取得するためのコンピュータ使用可能プログラム・コードと、
前記宛先の第１のリスト及び前記宛先の第２のリストを併合するためのコンピュータ使用可能プログラム・コードと、
を含む、請求項３４に記載のコンピュータ・プログラム。
【国際調査報告】
2010516007.tif 000007
2010516007.tif 000008
2010516007.tif 000009
2010516007.tif 000010
2010516007.tif 000011