(57)【要約】【課題】  正規のものと混同させるフィッシングによる情報漏洩を確実に防止する。【解決手段】  本発明は、Ｗｅｂサーバからユーザ端末への転送路上でＨＴＴＰデータを監視する。正規のＷｅｂサーバが提供するＨＴＴＰデータにおけるキーワードを予め登録しておく。そして、受信したＨＴＴＰデータにおいて、他の正規ＷｅｂサーバのＨＴＴＰデータにおけるキーワードの含有率が高いことを１条件として、フィッシング目的データを検知し、検知したフィッシング目的データのユーザ端末への転送を遮断する。【選択図】      図１
2007334759.tif 000002
【特許請求の範囲】
【請求項１】
Ｗｅｂサーバからユーザ端末へのＨＴＴＰデータの転送路上に設けられた情報漏洩防止装置であって、
正規のＷｅｂサーバが提供するＨＴＴＰデータにおけるキーワードを登録している正規ＵＲＬ別キーワード格納手段と、
受信したＨＴＴＰデータにおいて、他の正規ＷｅｂサーバのＨＴＴＰデータにおけるキーワードの含有率が高いことを１条件として、フィッシング目的データを検知するフィッシング目的データ検知手段と、
検知されたフィッシング目的データの上記ユーザ端末への転送を遮断する転送遮断手段と
を有することを特徴とする情報漏洩防止装置。
【請求項２】
上記フィッシング目的データ検知手段は、受信したＨＴＴＰデータのＵＲＬとキーワード格納に係るＵＲＬとの類似度も検知判定に用いていることを特徴とする請求項１に記載の情報漏洩防止装置。
【請求項３】
上記フィッシング目的データ検知手段がフィッシング目的データを検知したときに、そのフィッシング目的データの宛先となっていたユーザ端末に、警告データを送信して表示させる警告表示手段をさらに有することを特徴とする請求項１又は２に記載の情報漏洩防止装置。
【請求項４】
Ｗｅｂサーバからユーザ端末へのＨＴＴＰデータの転送路上に設けられた装置が実行する情報漏洩防止方法であって、
上記装置は、受信したＨＴＴＰデータにおいて、他の正規ＷｅｂサーバのＨＴＴＰデータにおけるキーワードの含有率が高いことを１条件として、フィッシング目的データを検知するフィッシング目的データ検知工程と、
検知されたフィッシング目的データの上記ユーザ端末への転送を遮断する転送遮断工程と
を含むことを特徴とする情報漏洩防止方法。
【請求項５】
上記フィッシング目的データ検知工程は、受信したＨＴＴＰデータのＵＲＬとキーワード格納に係るＵＲＬとの類似度も検知判定に用いていることを特徴とする請求項４に記載の情報漏洩防止方法。
【請求項６】
上記フィッシング目的データ検知工程がフィッシング目的データを検知したときに、そのフィッシング目的データの宛先となっていたユーザ端末に、警告データを送信して表示させる警告表示工程をさらに含むことを特徴とする請求項４又は５に記載の情報漏洩防止方法。
【請求項７】
Ｗｅｂサーバからユーザ端末へのＨＴＴＰデータの転送路上に設けられた情報漏洩防止装置に搭載される情報漏洩防止プログラムであって、
コンピュータを、
正規のＷｅｂサーバが提供するＨＴＴＰデータにおけるキーワードを登録している正規ＵＲＬ別キーワード格納手段と、
受信したＨＴＴＰデータにおいて、他の正規ＷｅｂサーバのＨＴＴＰデータにおけるキーワードの含有率が高いことを１条件として、フィッシング目的データを検知するフィッシング目的データ検知手段と、
検知されたフィッシング目的データの上記ユーザ端末への転送を遮断する転送遮断手段として
機能させることを特徴とする情報漏洩防止プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は情報漏洩防止装置、方法及びプログラムに関し、例えば、正規サイトのＵＲＬと類似したＵＲＬ及び表示画面を利用するフィッシングによる情報漏洩を防止しようとしたものである。
【背景技術】
【０００２】
インターネットを利用して行われる詐欺（フィッシング）の被害が社会問題化しつつあり、各種の対策方法も提案されている。フィッシングでは、詐欺をする者はまず他人の銀行口座番号やクレジットカード番号などの個人情報を入手する。
【０００３】
このような個人情報を不正に入手する方法として、正規サイトのＵＲＬと類似したＵＲＬ及び表示画面を利用する、善意のユーザに正規のＵＲＬ（Ｗｅｂサーバ）と混同させる方法がある。すなわち、正規サイトのＵＲＬと類似したＵＲＬを報知しておき、その類似ＵＲＬにアクセスしてきた善意のユーザに対し、正規サイトと同様な表示画面を提示し、パスワード等の情報を盗用するものである。
【０００４】
このような類似ＵＲＬ及び類似表示画面を利用するフィッシング対策としては、類似ＵＲＬを不正なものとして登録したり正規ＵＲＬを正規のものとして登録したりしておき、ＨＴＴＰリクエストやそれに応答したＨＴＴＰデータに関し、登録ＵＲＬとの照合により、不正な類似ＵＲＬに係るアクセスを検知し、規制する方法が存在する（例えば、特許文献１参照）。
【特許文献１】特開２００４−３４８２０２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来の対策方法では、規制するＵＲＬ（従ってＷｅｂサーバ）と規制しないＵＲＬの双方を全て登録しなければ情報の漏洩防止には機能しないものである。また、規制するＵＲＬや規制しないＵＲＬを多く登録すること自体、インターネットの利便性を損なう恐れがあり、多くのＵＲＬを登録したために照合に長時間がかかることでも、インターネットの利便性を損なう恐れがある。さらに、不正なＵＲＬ（Ｗｅｂサーバ）を事前に特定することは非常に困難であり、ある程度の被害が生じてから、不正なＵＲＬ（Ｗｅｂサーバ）を特定できることが多い。
【０００６】
そのため、正規のものと混同させるフィッシングによる情報漏洩をより確実に防止することができる情報漏洩防止装置、方法及びプログラムが望まれている。
【課題を解決するための手段】
【０００７】
かかる課題を解決するため、第１の本発明は、Ｗｅｂサーバからユーザ端末へのＨＴＴＰデータの転送路上に設けられた情報漏洩防止装置であって、正規のＷｅｂサーバが提供するＨＴＴＰデータにおけるキーワードを登録している正規ＵＲＬ別キーワード格納手段と、受信したＨＴＴＰデータにおいて、他の正規ＷｅｂサーバのＨＴＴＰデータにおけるキーワードの含有率が高いことを１条件として、フィッシング目的データを検知するフィッシング目的データ検知手段と、検知されたフィッシング目的データの上記ユーザ端末への転送を遮断する転送遮断手段とを有することを特徴とする。
【０００８】
第２の本発明は、Ｗｅｂサーバからユーザ端末へのＨＴＴＰデータの転送路上に設けられた装置が実行する情報漏洩防止方法であって、上記装置は、受信したＨＴＴＰデータにおいて、他の正規ＷｅｂサーバのＨＴＴＰデータにおけるキーワードの含有率が高いことを１条件として、フィッシング目的データを検知するフィッシング目的データ検知工程と、検知されたフィッシング目的データの上記ユーザ端末への転送を遮断する転送遮断工程とを含むことを特徴とする。
【０００９】
第３の本発明の情報漏洩防止プログラムは、Ｗｅｂサーバからユーザ端末へのＨＴＴＰデータの転送路上に設けられた情報漏洩防止装置に搭載される情報漏洩防止プログラムであって、コンピュータを、正規のＷｅｂサーバが提供するＨＴＴＰデータにおけるキーワードを登録している正規ＵＲＬ別キーワード格納手段と、受信したＨＴＴＰデータにおいて、他の正規ＷｅｂサーバのＨＴＴＰデータにおけるキーワードの含有率が高いことを１条件として、フィッシング目的データを検知するフィッシング目的データ検知手段と、検知されたフィッシング目的データの上記ユーザ端末への転送を遮断する転送遮断手段として機能させることを特徴とする。
【発明の効果】
【００１０】
本発明によれば、正規ＷｅｂサーバのＨＴＴＰデータにおけるキーワードを登録しておき、そのようなキーワードを多数含む他のＨＴＴＰデータをフィッシング目的のデータと判断するようにしたので、正規のものと混同させるフィッシングによる情報漏洩を確実に防止することができるようになる。
【発明を実施するための最良の形態】
【００１１】
（Ａ）実施形態
以下、本発明による情報漏洩防止装置、方法及びプログラムの一実施形態を、図面を参照しながら詳述する。この実施形態は、正規のものと混同させるフィッシングによる情報漏洩を防止するものである。
【００１２】
図２は、この実施形態の情報漏洩防止装置を含めた通信システムの構成を示すブロック図である。
【００１３】
図２において、あるインターネットサービスプロバイダ（ＩＳＰ）１は、その構成要素として、インターネットを介して、種々のＷｅｂサーバ１０−１〜１０−Ｎ、１１と接続可能なＷｅｂサーバ側ルータ２と、インターネットを介して、多数のユーザ端末１２−１〜１２−Ｍと接続可能なユーザ端末側ルータ３と、これらＷｅｂサーバ側ルータ２及びユーザ端末側ルータ３間に設けられているセキュリティゲートウェイ装置（セキュリティＧＷ）４とを備えている。
【００１４】
なお、図２において、Ｗｅｂサーバ１０−１〜１０−Ｎが正規サイトに係るＷｅｂサーバであり、Ｗｅｂサーバ１１が不正サイト（フィッシングを目的としたサイト）に係るＷｅｂサーバとする。
【００１５】
Ｗｅｂサーバ側ルータ２及びユーザ端末側ルータ３はそれぞれ、一般的なルータ機能を担っているものであり、その詳細構成の説明は省略する。
【００１６】
セキュリティゲートウェイ装置４はこの実施形態の情報漏洩防止装置に該当するものである。セキュリティゲートウェイ装置４は、通信機能におけるハードウェア構成部分を除けば、概ね、情報漏洩防止プログラムとそのプログラムを実行する部分というソフトウェア的な構成でなる。
【００１７】
図１は、セキュリティゲートウェイ装置４の機能的な構成を示すブロック図である。セキュリティゲートウェイ装置４は、各種のセキュリティ機能を担っているものであるが、図１では、正規のものと混同させるフィッシングによる情報漏洩を防止する機能に関係する部分を示している。
【００１８】
図１において、セキュリティゲートウェイ装置４は、機能的には、フィッシング対策登録機能部２０、フィッシング検知機能部２１、警告ページ表示機能部２２、転送機能部２３及びフィッシング検知データベース部２４を有する。
【００１９】
フィッシング対策登録機能部２０は、予め、正規のＷｅｂサーバ（Ｗｅｂサイト）に係る正規のＵＲＬ（以下、登録ＵＲＬと呼ぶ）と、その登録ＵＲＬをアクセスすることで提供される表示画面に含まれているキーワードと、不正データと判断するキーワード含有率（キーワード一致割合）の閾値との組をフィッシング検知データベース部２４に登録するものである。
【００２０】
ここで、キーワード含有率とは、規定されているキーワードの語数を分母とし、受信したＨＴＴＰデータに含まれているキーワードの語数を分子とした割合であり、このキーワード含有率が高いことは、受信したＨＴＴＰデータが、正規のＵＲＬのＨＴＴＰデータにかなり近い混同させるものであることを表している。
【００２１】
フィッシング検知機能部２１は、受信したＨＴＴＰデータにおけるＵＲＬやキーワードを、フィッシング検知データベース部２４に登録されている情報と照合し、受信したＨＴＴＰデータがフィッシング目的のものか否かを判定するものである。フィッシング検知機能部２１の検知機能については、動作説明で明らかにする。
【００２２】
警告ページ表示機能部２２は、フィッシング検知機能部２１がフィッシング目的と識別した受信ＨＴＴＰデータの転送を遮断（破棄）する場合に、転送データの宛先となるユーザ端末に予め用意している警告ページを表示させる機能を担っているものである。
【００２３】
転送機能部２３は、受信したＨＴＴＰデータをバッファリングしてセキュリティに係る確認処理を行いながら、Ｗｅｂサーバ側ルータ２からユーザ端末側ルータ３へのデータ転送、及び、ユーザ端末側ルータ３からＷｅｂサーバ側ルータ２へのデータ転送に機能するものである。転送機能部２３は、フィッシング検知機能部２１からの通知によって、Ｗｅｂサーバ側ルータ２からユーザ端末側ルータ３へのＨＴＴＰデータ（Ｗｅｂページなど）の転送を遮断するものである。
【００２４】
フィッシング検知データベース部２４は、上述した登録ＵＲＬと、キーワードと、キーワード含有率（キーワード一致割合）の閾値との組情報を格納しているものであり、フィッシング検知機能部２１によって適宜参照される。
【００２５】
図３は、フィッシング検知機能部２１が任意のＷｅｂサーバからのＨＴＭＬ記述のＨＴＴＰデータを受信した際に実行する動作（実施形態の情報漏洩防止プログラムに基づく動作）を示すフローチャートである。
【００２６】
フィッシング検知機能部２１は、任意のＷｅｂサーバ（１０−１〜１０−Ｎ、１１のいずれか）からのＨＴＭＬ記述のＨＴＴＰデータを受信すると、図３に示す処理を開始し、まず、受信データのＵＲＬ（受信データの全体に対して付与されているＵＲＬ）がフィッシング検知データベース部２４に記述されているいずれかの登録ＵＲＬに一致しているか否かを判別する（ステップ１００）。受信データのＵＲＬが登録ＵＲＬであると、フィッシング検知機能部２１は、受信データのユーザ端末（１２−１〜１２−Ｍのいずれか）への転送許可通知を転送機能部２３に与えて（ステップ１０１）、図３に示す一連の処理を終了する。
【００２７】
受信データのＵＲＬが登録ＵＲＬでない場合には、フィッシング検知機能部２１は、受信データのＵＲＬに類似した登録ＵＲＬが存在するか否かを判別する（ステップ１０２）。この判別には、２つのテキスト列の既存の類似判定方法を適用し得る。受信データのＵＲＬに類似した登録ＵＲＬが１個も存在しない場合には、フィッシング検知機能部２１は、受信データのユーザ端末への転送許可通知を転送機能部２３に与えて（ステップ１０１）、図３に示す一連の処理を終了する。
【００２８】
受信データのＵＲＬに類似した登録ＵＲＬが存在する場合には、フィッシング検知機能部２１は、その登録ＵＲＬについて格納されているキーワードに基づいて、受信データにおけるキーワード含有率を計算し（ステップ１０３）、そのキーワード含有率が格納されている閾値以上か否かを判別する（ステップ１０４）。なお、ステップ１０２による処理の結果、受信データのＵＲＬに類似した登録ＵＲＬが複数存在すると判断した場合には、各登録ＵＲＬのそれぞれについて、ステップ１０３及び１０４の処理を行う。
【００２９】
キーワード含有率が閾値未満であると（類似した登録ＵＲＬが複数存在する場合には、全てについて未満であることを要する）、フィッシング検知機能部２１は、受信データのユーザ端末への転送許可通知を転送機能部２３に与えて（ステップ１０１）、図３に示す一連の処理を終了する。
【００３０】
これに対して、キーワード含有率が閾値以上であると（類似した登録ＵＲＬが複数存在する場合には１個でも閾値以上であることを要する）、フィッシング検知機能部２１は、受信データのユーザ端末への遮断通知（廃棄通知）を転送機能部２３に与えて遮断（廃棄）させると共に（ステップ１０５）、受信データの宛先となっているユーザ端末へは、警告ページ表示機能部２２を起動させて、フィッシングの対象となったことを警告する予め用意している警告ページ情報を転送機能部２３を介して送信させ（ステップ１０６）、図３に示す一連の処理を終了する。
【００３１】
ここで、仮に、図４に示すようなサービス提供環境を考える。すなわち、正規Ｗｅｂサーバ１０−１はＵＲＬとして「ｗｗｗ．ａａａ．ｃｏｍ」が付与されたＨＴＴＰデータを提供可能であり、このＵＲＬ「ｗｗｗ．ａａａ．ｃｏｍ」は、フィッシング検知データベース部２４に登録されている。この登録ＵＲＬに関連し、キーワードとして、「ＡＡＡサービス、ユーザＩＤ、パスワード」が登録され、キーワード含有率閾値として「９０％」が登録されている。また、不正Ｗｅｂサーバ１１はＵＲＬとして「ｗｗｗ．ａａｘ．ｃｏｍ」が付与されたＨＴＴＰデータを提供可能であり、このＨＴＴＰデータ内には、「ＡＡＡサービス」、「ユーザＩＤ」、「パスワード」が含まれている。
【００３２】
このような状況において、あるユーザ端末（ここでは１２−１とする）から、ＨＴＴＰリクエストによって、ＵＲＬが「ｗｗｗ．ａａｘ．ｃｏｍ」のデータが要求されたとする。
【００３３】
これにより、不正Ｗｅｂサーバ１１からＵＲＬが「ｗｗｗ．ａａｘ．ｃｏｍ」のＨＴＴＰデータが送信され、サーバ側ルータ２を介してセキュリティゲートウェイ装置４にそのデータが到達する。セキュリティゲートウェイ装置４のフィッシング検知機能部２１は、このデータ受信により、図３に示す一連の処理を開始する。
【００３４】
まず、受信データのＵＲＬ「ｗｗｗ．ａａｘ．ｃｏｍ」が登録ＵＲＬか確認する。しかし、登録ＵＲＬではないので、このＵＲＬ「ｗｗｗ．ａａｘ．ｃｏｍ」に類似した登録ＵＲＬの存在が確認される。ここで、登録ＵＲＬ「ｗｗｗ．ａａａ．ｃｏｍ」が受信データのＵＲＬ「ｗｗｗ．ａａｘ．ｃｏｍ」に類似していると判断されたとする。
【００３５】
登録ＵＲＬ「ｗｗｗ．ａａａ．ｃｏｍ」に関連してキーワード「ＡＡＡサービス、ユーザＩＤ、パスワード」が登録されているので、これらキーワードが、受信データに含まれているか否かが確認され、キーワード含有率が計算される。受信データには全てのキーワードが含まれているので、キーワード含有率として１００％が得られる。この計算されたキーワード含有率１００％が、格納されているキーワード含有率閾値９０％と比較される。
【００３６】
計算されたキーワード含有率がキーワード含有率閾値以上であるので、フィッシング検知機能部２１は、今回の受信データはフィッシング目的のデータであると判断し、受信データの転送を遮断し、ＵＲＬが「ｗｗｗ．ａａｘ．ｃｏｍ」のデータを要求したユーザ端末１２−１に対し、フィッシング目的のＵＲＬにアクセスしたことを表す警告ページの情報を送信させて表示させる。
【００３７】
上記実施形態によれば、ＩＳＰのセキュリティゲートウェイ装置に、正規のＷｅｂサーバに係る情報を登録しているだけで、正規のものと混同させるフィッシングによる情報漏洩を防止するものである。言い換えると、正規のものと混同させるフィッシング目的のＵＲＬの情報なしに、そのようなフィッシングによる情報漏洩を防止することができる。
【００３８】
また、受信ＵＲＬが登録ＵＲＬに類似していることを確認後、キーワードの一致割合を確認するという動作により、フィッシング目的のデータを検出でき、処理対象を徐々に絞っていっているので、検出に要する時間が徒に長くなることを防止でき、インターネットなどの利便性を損なうことも防ぐことができる。
【００３９】
（Ｂ）他の実施形態
上記実施形態では、フィッシングに係るデータと判断した場合には、そのデータのユーザ端末への転送を遮断すると共に警告ページをユーザ端末に表示させるものを示したが、他の措置を講じるようにしても良い。例えば、フィッシング検知機能部２１によってフィッシングに係るデータのＵＲＬとして判断されたＵＲＬを拒否ＵＲＬとして登録（格納）し、いずれかのユーザ端末から、アクセス対象のＵＲＬとして拒否ＵＲＬが与えられたときに、そのタイミングでユーザ端末に警告ページを表示させるべく警告ページ情報を送信させるようにしても良い。また、他のＩＳＰのセキュリティゲートウェイ装置に、フィッシングに係るＵＲＬの情報をブロードキャストするようにしても良い。
【００４０】
また、上記実施形態においては、フィッシング検知で各キーワードを同一に扱うものを示したが、キーワードに重みを付けて評価値（上記実施形態のキーワード含有率に対応する）を算出するようにしても良い。図４の例であれば、他社のサービス名を無断で使用しているＨＴＴＰデータは、フィッシング目的である可能性が高いので、「ＡＡＡサービス」の重みを「ユーザＩＤ」や「パスワード」の重みの倍にして、評価値（キーワード含有率）を計算するようにしても良い。
【００４１】
さらに、上記実施形態においては、ＵＲＬの類似度と、キーワード含有率とを別個の処理で利用するものを示したが、ＵＲＬの類似度とキーワード含有率とを統合（例えば重み付け加算）した評価値を算出した上で、フィッシング目的であるか否かを判断するようにしても良い。
【００４２】
さらにまた、上記実施形態においては、受信ＵＲＬと類似している登録ＵＲＬについて、キーワード含有率を計算するものを示したが、受信ＵＲＬと登録ＵＲＬと類似していることを条件とすることなく、キーワード含有率に基づいて、フィッシング目的であるか否かを判断するようにしても良い。
【００４３】
また、上記実施形態においては、登録ＵＲＬ毎に、キーワード含有率閾値を設定して格納するものを示したが、セキュリティゲートウェイ装置が、登録ＵＲＬの種類に共通にキーワード含有率閾値を保持し、登録ＵＲＬ毎の設定を不要なものとするようにしても良い。
【００４４】
さらに、上記実施形態においては、セキュリティゲートウェイ装置が善意ユーザの混同を利用するフィッシングによる情報漏洩を防止する機能を有するものであったが、さらに、他の情報漏洩防止機能を併用しているものであっても良いことが勿論である。
【００４５】
さらにまた、上記実施形態においては、セキュリティゲートウェイ装置に情報漏洩防止機能を設けたものを示したが、セキュリティゲートウェイ装置に代え、ユーザ端末を含めた他の装置に、本発明による情報漏洩防止機能を設けるようにしても良い。ユーザ端末に設ける場合であっても、ＩＳＰ（の装置）が主導権をとって、各種情報（登録ＵＲＬ、キーワード、閾値）をユーザ端末に格納させることが好ましい。
【図面の簡単な説明】
【００４６】
【図１】実施形態のセキュリティゲートウェイ装置の機能的構成を示すブロック図である。
【図２】実施形態の情報漏洩防止装置を含めた通信システムの構成を示すブロック図である。
【図３】実施形態のフィッシング検知機能部の動作を示すフローチャートである。
【図４】実施形態のフィッシング検知機能部の動作を具体的に説明する説明図である。
【符号の説明】
【００４７】
１…インターネットサービスプロバイダ（ＩＳＰ）、２…Ｗｅｂサーバ側ルータ、３…ユーザ端末側ルータ、４…セキュリティゲートウェイ装置（セキュリティＧＷ）、２０…フィッシング対策登録機能部、２１…フィッシング検知機能部、２２…警告ページ表示機能部、２３…転送機能部、２４…フィッシング検知データベース部。
【図１】
2007334759.tif 000003
【図２】
2007334759.tif 000004
【図３】
2007334759.tif 000005
【図４】
2007334759.tif 000006