(57)【要約】【課題】標的型メール攻撃に対する組織等における耐性を分析・把握し、訓練・啓蒙することを可能とする標的型メール攻撃シミュレーションシステムを提供する。【解決手段】標的型メール攻撃のシミュレーションを行い、各ユーザの対応結果の集計を行う標的型メール攻撃シミュレーションシステム１であって、標的型メールを模したダミーメールと、ユーザを特定するための情報を含むＵＲＬを埋め込んだ添付ファイルとを作成するメール作成部１０２と、各ユーザに対して対応する添付ファイルを添付したダミーメールを配信するメール配信部１０３と、ユーザが添付ファイルを開封した場合に、埋め込まれたＵＲＬに基づいて発生したＨＴＴＰリクエストを受信して、添付ファイルを開封したユーザを特定し、開封した旨を記録する開封状況検知部１０４と、開封状況検知部１０４により記録された開封状況についての情報を集計して出力する集計部１０５とを有する。【選択図】図１
2013149063.tif 000002
【特許請求の範囲】
【請求項１】
組織に所属するユーザに対して、標的型メール攻撃のシミュレーションを行い、当該シミュレーションにより送信された仮想的な標的型メールに対する各ユーザの対応結果の集計を行う標的型メール攻撃シミュレーションシステムであって、
前記各ユーザに対して配信する標的型メールを模したダミーメールと、前記ダミーメールが配信される前記ユーザ毎に、前記ユーザを特定するための情報を含み、当該標的型メール攻撃シミュレーションシステムに対するＨＴＴＰリクエストを発生させるＵＲＬを埋め込んだ、不正なファイルを模した添付ファイルとを作成するメール作成部と、
前記各ユーザに対して、対応する前記添付ファイルを添付した前記ダミーメールをメール配信システムによって配信するメール配信部と、
前記ダミーメールを受信した前記ユーザが当該ダミーメールに添付された前記添付ファイルを開封した場合に、当該添付ファイルに埋め込まれた前記ＵＲＬに基づいて発生したＨＴＴＰリクエストを受信して、当該ＨＴＴＰリクエストに対応する前記ＵＲＬの情報に基づいて、当該添付ファイルを開封した前記ユーザを特定し、当該ユーザが当該添付ファイルを開封した旨を記録する開封状況検知部と、
前記開封状況検知部により記録された前記ユーザ毎の前記添付ファイルの開封状況についての情報を集計して出力する集計部とを有することを特徴とする標的型メール攻撃シミュレーションシステム。
【請求項２】
請求項１に記載の標的型メール攻撃シミュレーションシステムにおいて、
前記メール作成部は、前記ダミーメールに添付された前記添付ファイルを開封しなかった前記ユーザに対して開封しなかった理由を入力するための手段の指示に係る情報を含む確認メールを作成し、
前記メール配信部は、前記ダミーメールを配信してから所定の期間の経過後に、前記開封状況検知部により記録された前記開封状況についての情報に基づいて、前記添付ファイルを開封していない前記ユーザを特定して、当該ユーザに対して前記確認メールを配信し、
前記開封状況検知部は、前記確認メールにより指示された手段により前記ユーザが入力した前記添付ファイルを開封しなかった理由に係る情報を取得して記録することを特徴とする標的型メール攻撃シミュレーションシステム。
【請求項３】
請求項１または２に記載の標的型メール攻撃シミュレーションシステムにおいて、
前記メール作成部は、前記ダミーメールを作成する際に、標的型メール攻撃のシミュレーション毎および／または前記ユーザ毎に、前記ダミーメールの内容の巧妙さの程度を変更することが可能であることを特徴とする標的型メール攻撃シミュレーションシステム。
【請求項４】
請求項１〜３のいずれか１項に記載の標的型メール攻撃シミュレーションシステムにおいて、
前記添付ファイルの内容は、標的型メール攻撃についての教育に係る内容を含むことを特徴とする標的型メール攻撃シミュレーションシステム。
【請求項５】
請求項１〜４のいずれか１項に記載の標的型メール攻撃シミュレーションシステムにおいて、
前記添付ファイルの内容は、標的型メール攻撃についての研修を提供するＷｅｂサイトへ誘導するＵＲＬリンクを含むことを特徴とする標的型メール攻撃シミュレーションシステム。
【請求項６】
請求項１〜５のいずれか１項に記載の標的型メール攻撃シミュレーションシステムにおいて、
標的型メール攻撃のシミュレーションとして前記メール配信部が前記各ユーザに対して前記ダミーメールを配信してから所定の期間の経過後に、前記各ユーザに対して再度標的型メール攻撃のシミュレーションを行うことを特徴とする標的型メール攻撃シミュレーションシステム。
【請求項７】
組織に所属するユーザに対して、標的型メール攻撃のシミュレーションを行い、当該シミュレーションにより送信された仮想的な標的型メールに対する各ユーザの対応結果の集計を行う標的型メール攻撃シミュレーションシステムとしてコンピュータを動作させる標的型メール攻撃シミュレーションプログラムであって、
前記各ユーザに対して配信する標的型メールを模したダミーメールと、前記ダミーメールが配信される前記ユーザ毎に、前記ユーザを特定するための情報を含み、当該標的型メール攻撃シミュレーションシステムに対するＨＴＴＰリクエストを発生させるＵＲＬを埋め込んだ、不正なファイルを模した添付ファイルとを作成するメール作成処理と、
前記各ユーザに対して、対応する前記添付ファイルを添付した前記ダミーメールをメール配信システムによって配信するメール配信処理と、
前記ダミーメールを受信した前記ユーザが当該ダミーメールに添付された前記添付ファイルを開封した場合に、当該添付ファイルに埋め込まれた前記ＵＲＬに基づいて発生したＨＴＴＰリクエストを受信して、当該ＨＴＴＰリクエストに対応する前記ＵＲＬの情報に基づいて、当該添付ファイルを開封した前記ユーザを特定し、当該ユーザが当該添付ファイルを開封した旨を記録する開封検知処理と、
前記開封検知処理により記録された前記ユーザ毎の前記添付ファイルの開封状況についての情報を集計して出力する集計処理とを実行することを特徴とする標的型メール攻撃シミュレーションプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報セキュリティの技術に関し、特に、標的型メール攻撃に対する組織等における耐性の分析と訓練を行うための標的型メール攻撃シミュレーションシステムおよび標的型メール攻撃シミュレーションプログラムに適用して有効な技術に関するものである。
【背景技術】
【０００２】
近年、サイバー攻撃の一種として、いわゆる標的型メール攻撃が行われるケースが増加しており、被害も発生している。標的型メール攻撃とは、特定の企業やその組織等に所属する担当者などを標的として、マルウェアを添付ファイルとした電子メールを送りつけ、ユーザが当該添付ファイルを開いた場合に、端末をマルウェアに感染させて、リモートからの当該端末のコントロールの確立、調査活動などを経て重要情報の奪取・持ち出しを行うような攻撃である。
【０００３】
マルウェアは、例えば、拡張子を偽装するなどして添付ファイルとして直接送付される場合や、メール本文中に指定されたＵＲＬ（Uniform Resource Locator）へのリンクによって仮装されたＷｅｂサイトに誘導し、画像ファイルなどに偽装したマルウェアをダウンロードさせるなどの手法により端末に送付される。
【０００４】
このような手法により送付されるマルウェアへの感染を防止するための技術として、例えば、特開２０１１−１３８１８９号公報（特許文献１）には、サーバからネットワークを介して受信するファイルについて、そのＨＴＴＰリクエストのリクエスト行から、取得が要求されたファイルの拡張子を取得するファイル種別取得部と、上記のＨＴＴＰリクエストに対応するＨＴＴＰレスポンスのデータを含むパケットを抽出するパケット抽出部と、そのＨＴＴＰレスポンスに含まれるファイルのデータの先頭から、そのファイルのマジックナンバーを取得するファイル種別取得部と、そのファイルの拡張子とマジックナンバーとが同じ種別を表すか否かに応じて、ファイルの危険性の有無を判定する危険性判定部を有することで、ファイルのデータが受信されるときに、そのデータのうちの特定の部分を利用して、拡張子の偽装によるファイルの危険性を早期に診断する通信装置の技術が記載されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１１−１３８１８９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
例えば、上述した特許文献１などの従来技術によれば、ダウンロードされるファイルが拡張子が偽装されたもの、すなわちマルウェア等である危険性が高いものであるか否かを検知し、端末上で実行される前に対応することで感染を防止することを可能とする。しかしながら、例えば、マルウェア自体が直接メールに添付されている場合などでは上記の手法では検知することができない。このような場合も含め、システム的な手法で全てのマルウェアを検知することは困難である。
【０００７】
標的型メール攻撃の場合、送られてくる電子メールは、標的型メールであると分からないように、かつユーザが思わず添付ファイルを開いたり、ＵＲＬリンクをクリックしたりしたくなるように、タイトルや本文の内容、発信元の情報などが巧妙に偽装されている。このような標的型メール攻撃の被害に会うのは、不用意に添付ファイルを開いたり悪意のあるサイトに誘導されてしまうユーザの意識の問題であると言われることが多い。従って、マルウェアが実行されてしまうことを技術的に完全に防ぐことはなかなか難しいことから、例えば、従来技術のようにマルウェアの可能性を検知してその実行を防止するような技術的・システム的な手法と合わせて、ユーザの意識の部分を改善していくような対策を講じることも非常に重要である。
【０００８】
そこで本発明の目的は、標的型メール攻撃に対する組織等における耐性を分析・把握し、また、標的型メール攻撃に対してマルウェアを実行してしまうような行動（添付ファイルを開いたり、ＵＲＬリンクをクリックしたり等）を不用意にとらないよう訓練・啓蒙することを可能とする標的型メール攻撃シミュレーションシステムおよび標的型メール攻撃シミュレーションプログラムを提供することにある。
【０００９】
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。
【課題を解決するための手段】
【００１０】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。
【００１１】
本発明の代表的な実施の形態による標的型メール攻撃シミュレーションシステムは、組織に所属するユーザに対して、標的型メール攻撃のシミュレーションを行い、当該シミュレーションにより送信された仮想的な標的型メールに対する各ユーザの対応結果の集計を行う標的型メール攻撃シミュレーションシステムであって、以下の特徴を有するものである。
【００１２】
すなわち、標的型メール攻撃シミュレーションシステムは、前記各ユーザに対して配信する標的型メールを模したダミーメールと、前記ダミーメールが配信される前記ユーザ毎に、前記ユーザを特定するための情報を含み、当該標的型メール攻撃シミュレーションシステムに対するＨＴＴＰリクエストを発生させるＵＲＬを埋め込んだ、不正なファイルを模した添付ファイルとを作成するメール作成部と、前記各ユーザに対して、対応する前記添付ファイルを添付した前記ダミーメールをメール配信システムによって配信するメール配信部とを有する。
【００１３】
さらに、前記ダミーメールを受信した前記ユーザが当該ダミーメールに添付された前記添付ファイルを開封した場合に、当該添付ファイルに埋め込まれた前記ＵＲＬに基づいて発生したＨＴＴＰリクエストを受信して、当該ＨＴＴＰリクエストに対応する前記ＵＲＬの情報に基づいて、当該添付ファイルを開封した前記ユーザを特定し、当該ユーザが当該添付ファイルを開封した旨を記録する開封状況検知部と、前記開封状況検知部により記録された前記ユーザ毎の前記添付ファイルの開封状況についての情報を集計して出力する集計部とを有することを特徴とするものである。
【００１４】
また、本発明は、コンピュータを上記のような標的型メール攻撃シミュレーションシステムとして動作させるプログラムにも適用することができる。
【発明の効果】
【００１５】
本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。
【００１６】
すなわち、本発明の代表的な実施の形態によれば、標的型メール攻撃に対する組織等における耐性を分析・把握し、また、標的型メール攻撃に対してマルウェアを実行してしまうような行動（添付ファイルを開いたり、ＵＲＬリンクをクリックしたり等）を不用意にとらないよう訓練・啓蒙することが可能となる。
【図面の簡単な説明】
【００１７】
【図１】本発明の一実施の形態である標的型メール攻撃シミュレーションシステムの構成例について概要を示した図である。
【図２】本発明の一実施の形態における標的型メール攻撃のシミュレーションの例について概要を示した図である。
【図３】本発明の一実施の形態における本実施の形態におけるユーザＤＢのデータ構成の例について示した図である。
【図４】本発明の一実施の形態における集計ＤＢのデータ構成の例について示した図である。
【図５】本発明の一実施の形態における標的型メール攻撃のシミュレーション処理の流れの例について概要を示したフローチャートである。
【発明を実施するための形態】
【００１８】
以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一部には原則として同一の符号を付し、その繰り返しの説明は省略する。
【００１９】
本発明の一実施の形態である標的型メール攻撃シミュレーションシステムは、対象の組織等に所属するユーザに対して、標的型メール攻撃のシミュレーションとして、標的型メールを模したダミーメールを配信し、ユーザがダミーメールに添付されているマルウェアを模した添付ファイルを開封した場合にこれを検知する。また、添付ファイルを開封しなかったユーザに対しては、その理由を問い合せて集計することで、管理者等が、当該組織における標的型メール攻撃に対する耐性を分析・把握することを可能とするシステムである。
【００２０】
また、添付ファイルを実際のマルウェアとするのではなく、その内容として、標的型メール攻撃についての教育的な情報を記載することで、開封してしまったユーザに学習させたり、ＵＲＬリンクによりｅ−Ｌｅａｒｎｉｎｇでの研修を行うＷｅｂサイトへ誘導して研修を受講させたりするとともに、所定の冷却期間の経過後に再度同様のシミュレーションを行う。これにより、標的型メール攻撃に対してユーザに対する訓練や、教育・啓蒙を行うとともに、管理者等が組織における学習効果や耐性の向上状況を把握することを可能とする。
【００２１】
＜システム構成＞
図１は、本発明の一実施の形態である標的型メール攻撃シミュレーションシステムの構成例について概要を示した図である。標的型メール攻撃シミュレーションシステム１（以下では単に「システム」と記載する場合がある）は、例えば、シミュレーションサーバ１０、メール配信システム２０、および研修システム３０の各サーバシステムが、インターネットやイントラネット等からなるネットワーク５０に接続され、さらに、ユーザが利用する情報処理端末であるユーザ端末４０がネットワーク５０に複数接続される構成を有する。
【００２２】
シミュレーションサーバ１０は、仮想的な標的型メール攻撃のシミュレーションと、これに対する各ユーザの対応結果の集計を行うサーバシステムであり、例えば、ソフトウェアプログラムにより実装される制御部１０１、メール作成部１０２、メール配信部１０３、開封状況検知部１０４、および集計部１０５などの各部を有する。また、データベースやファイルテーブルなどにより実装されるユーザデータベース（ＤＢ）１１１、および集計データベース（ＤＢ）１１２を有する。
【００２３】
また、テキストファイルや各種電子メールクライアントプログラムに対応したファイル形式で作成されたダミーメール雛形１２１および確認メール雛形１２３と、各種表計算ソフトウェアやワープロソフトウェアなどのアプリケーションプログラムに対応したファイル形式で作成された添付ファイル雛形１２２を有する。なお、ここでのアプリケーションプログラムは、対応する形式のデータファイル（例えばワープロソフトウェアの文書ファイル）中にＵＲＬを記載した場合に、当該データファイルを読み込んで表示する際に、ＵＲＬで指定されたＷｅｂサーバに対してＨＴＴＰ（HyperText Transfer Protocol）リクエストを発生させる機能を有するものとする。
【００２４】
制御部１０１は、各部の処理を全体として制御して、標的型メール攻撃のシミュレーションや、結果の集計・分析に係る一連の処理を適宜実行する機能を有する。メール作成部１０２は、シミュレーションの際に各ユーザに配信する仮想的な標的型メールを作成する機能を有する。ここでは、管理者等により予め作成・定義されたダミーメール雛形１２１および添付ファイル雛形１２２を読み込んで、ダミーメール雛形１２１に基づいてメール本文を作成するとともに、添付ファイル雛形１２２に基づいて、マルウェア等の不正なファイルを模した添付ファイルを作成して、これらを標的型メール（ダミーメール）とする。なお、後述するように、添付ファイルは、これを開封したユーザを特定することができるよう、ユーザＤＢ１１１を参照してユーザ毎に異なるものを作成する。
【００２５】
また、メール作成部１０２は、管理者等により予め作成・定義された確認メール雛形１２３を読み込んで、これに基づいて確認メールを作成する。この確認メールは、本システムによる標的型メール攻撃のシミュレーションに対して添付ファイルを開封しなかったユーザ（マルウェアに感染するような行動をとらなかったユーザ）に対して、添付ファイルを開封しなかった理由を問い合わせるためのものであり、これらのユーザに対して理由を入力するための手段の指示に係る情報を含む。例えば、当該確認メールに対して直接返信させるものであってもよいし、後述する開封状況検知部１０４により提供されるアンケート用のＷｅｂサイトへ誘導するＵＲＬリンクを含むものであってもよい。
【００２６】
メール配信部１０３は、ユーザＤＢ１１１を参照して対象の組織等に所属するユーザを特定し、これらのユーザ宛に、メール作成部１０２により作成されたダミーメールの内容をメール配信システム２０により配信する機能を有する。また、ユーザＤＢ１１１および集計ＤＢ１１２を参照してダミーメールの添付ファイルを開封しなかったユーザを特定し、これらのユーザ宛に、メール作成部１０２により作成された確認メールの内容をメール配信システム２０により配信する機能を有する。
【００２７】
開封状況検知部１０４は、メール配信部１０３およびメール配信システム２０によって各ユーザに対して配信されたダミーメールについて、ユーザがユーザ端末４０上で当該ダミーメールを閲覧し、添付ファイルを開封した場合に、これにより発生するメッセージを受信・検知して、ユーザ毎に集計ＤＢ１１２に記録する機能を有する。
【００２８】
後述するように、添付ファイルには、例えば、ユーザ毎に異なる（ダミーの）リソースを指定したＵＲＬが埋め込まれており、当該添付ファイルが開封された際に、その内容を表示しようとしたアプリケーションプログラムが当該ＵＲＬに対応するＨＴＴＰリクエストを発生させる。当該ＵＲＬは、シミュレーションサーバ１０上の図示しないＷｅｂサーバプログラムによって提供されるドメイン上のリソースを指示するものであり、開封状況検知部１０４は、当該ＵＲＬに対応するＨＴＴＰリクエストを検知して、指定されたＵＲＬの内容を確認することで、どのユーザが添付ファイルを開封・実行したかを検知することができる。
【００２９】
一方、添付ファイルを開封・実行したユーザを把握することで、添付ファイルを開封しなかったユーザについても把握することができるが、これらのユーザの全てが標的型メール攻撃に対する耐性を有しているかというと、必ずしもそうではないと考えられる。すなわち、これらのユーザの中には、ダミーメールが何らかの悪意のあるものと感づいて開封しなかったユーザ（耐性を有するユーザ）もいれば、たまたま開封しない結果となっただけのユーザ（耐性を有さない、もしくは不明のユーザ）もいる可能性がある。
【００３０】
そこで、本実施の形態では、添付ファイルを開封しなかった理由を問い合わせるアンケート用のＷｅｂページを提供し、添付ファイルを開封しなかったユーザ宛に配信される確認メールに当該ＷｅｂページへのＵＲＬリンクを記載する。確認メールを受信したユーザは、ユーザ端末４０上の図示しないＷｅｂブラウザを利用してアンケート用のＷｅｂページにアクセスし、添付ファイルを開封しなかった理由を入力する。開封状況検知部１０４は、ここで入力された内容を取得して集計ＤＢ１１２に記録する機能を有する。
【００３１】
集計部１０５は、集計ＤＢ１１２に記録された、シミュレーション毎の各ユーザの対応状況（添付ファイルの開封の有無、開封していない場合はその理由）を集計し、これに基づいて、対象の組織等における標的型メール攻撃に対する耐性に係る情報を求め、グラフ等により視覚化して出力する。
【００３２】
メール配信システム２０は、一般的な電子メールサーバを利用することができる。メール配信システム２０として個別に運用管理する構成の他に、例えば、他のプロバイダ等が運営するメールサービスを利用してもよいし、シミュレーションサーバ１０と同一の筐体上に実装する構成としてもよい。
【００３３】
研修システム３０は、対象の組織等に所属するユーザに対して、標的型メール攻撃について教育・啓蒙を行う研修コンテンツを、例えば、ＳａａＳ（Software as a Service）型の基盤によりｅ−Ｌｅａｒｎｉｎｇの形式で提供するシステムである。研修コンテンツの具体的な内容や形式は特に制限されない。また、標的型メール攻撃についての研修以外に、セキュリティ関係の研修コンテンツや他の一般的な研修コンテンツを提供するものであってもよい。研修システム３０についても、メール配信システム２０と同様に、他の運営会社等により提供されるｅ−Ｌｅａｒｎｉｎｇサービスを利用してもよいし、シミュレーションサーバ１０と同一の筐体上に実装する構成としてもよい。
【００３４】
ユーザ端末４０は、対象の組織等に所属するユーザが利用するＰＣ（Personal Computer）等の情報処理端末であり、図示しない電子メールクライアントやＷｅｂブラウザを有し、ネットワーク５０を介してシミュレーションサーバ１０や研修システム３０にアクセス可能であるとともに、メール配信システム２０からのダミーメールや確認メールを含む電子メールを受信することが可能であるものとする。
【００３５】
＜標的型メール攻撃のシミュレーションの概要＞
図２は、本実施の形態における標的型メール攻撃のシミュレーションの例について概要を示した図である。上述したように、シミュレーションサーバ１０は、ダミーメール雛形１２１および添付ファイル雛形１２２に基づいて、対象組織に所属するユーザ毎に異なるＵＲＬが埋め込まれた添付ファイル１２２’を有するダミーメール１２１’を作成して、これを仮装の標的型メールとして、メール配信システム２０を介して対象組織に所属する各ユーザに対して配信する。
【００３６】
ダミーメール１２１’の内容は、図の左下部に示したように、送信者や件名、本文、添付ファイル名などについて、標的型メールを模したものとなっている。なお、本システムにおける標的型メール攻撃のシミュレーションは、ユーザを騙すことが目的ではなく、このようなメールに対して「違和感」を感じ取る力を養成することが目的であるため、例えば、メール本文や件名等のヘッダ情報などに、あえて不自然な箇所を含ませておくことが望ましい。不自然さ（内容の巧妙さ）の程度に応じて難易度を設け、難易度毎にダミーメール雛形１２１を定義しておき、ユーザの状況やレベル等に応じて使い分ける（例えば、シミュレーションを繰り返す毎に段階的に難易度の高いダミーメール１２１’が配信されるようにするなど）ようにしてもよい。
【００３７】
ここで、例えば“ユーザＡ”のように、ダミーメール１２１’の内容を閲覧したユーザが何らかの「違和感」を感じ、添付ファイル１２２’を開封しなければ問題は生じない。一方で、“ユーザＢ”のように、ユーザが添付ファイル１２２’を開封してしまった場合、本実施の形態では、シミュレーションサーバ１０においてこれを検知することができるようにするため、上述したように、添付ファイル１２２’に、シミュレーションサーバ１０に対してＨＴＴＰリクエストを発生させるようなＵＲＬ１２４を埋め込んで特殊なものとしている。
【００３８】
これにより、ユーザが当該添付ファイル１２２’を開封した際に、ユーザ端末４０上において、これに対応するアプリケーションプログラム（例えばワープロソフトなど）が、ＵＲＬ１２４に係るコンテンツを表示するために、ＵＲＬ１２４で特定されるＷｅｂサーバ（シミュレーションサーバ１０）に対してＨＴＴＰリクエストを発生させる。シミュレーションサーバ１０では、当該ＨＴＴＰリクエストを受信することで、添付ファイル１２２’が開封されたことを検知することができる。
【００３９】
なお、どのユーザが添付ファイル１２２’を開封したかを識別可能とするため、各ユーザに配信されるダミーメール１２１’に添付される添付ファイル１２２’には、図２に示したように、ユーザ毎に異なる内容を指定したＵＲＬ１２４をそれぞれ埋め込むものとする。例えば、図２の例では、“ユーザＢ”に送付された添付ファイル１２２’に埋め込まれたＵＲＬ１２４では（ダミーの）画像ファイル“ｕｓｅｒＢ．ｊｐｇ”を指定しているが、“ユーザＡ”については（ダミーの）画像ファイル“ｕｓｅｒＡ．ｊｐｇ”を指定したＵＲＬ１２４を埋め込むようにする。
【００４０】
シミュレーションサーバ１０のメール作成部１０２が、ユーザ毎に異なるＵＲＬ１２４を埋め込んで添付ファイル１２２’を作成する際に、例えば、予め各ユーザに対して指定したＵＲＬ１２４の内容を集計ＤＢ１１２に保持しておく。これにより、開封状況検知部１０４は、ＨＴＴＰリクエストにおいて指定されたＵＲＬ１２４の情報と、集計ＤＢ１１２に保持されているＵＲＬの情報とを突合することにより、どのユーザが添付ファイル１２２’を開封したのかを判別することができる。すなわち、標的型メール攻撃に対して耐性を有さないユーザを把握することができる。なお、ＵＲＬ１２４の内容から直接ユーザが特定できる（例えば、上記の例のように画像ファイルのファイル名から直接特定できる）場合は、集計ＤＢ１１２に内容を記録しておいて突合するという処理は不要である。
【００４１】
上記の例では、ＵＲＬ１２４により要求するリソースとして画像ファイルを指定しているが、ここではＨＴＴＰリクエストを発生させることができればよいため、ユーザの数に相当する画像ファイルを実際に用意して表示させる必要はない。また、画像ファイル以外のリソースを指定するものであってもよい。
【００４２】
また、本実施の形態では、上述したように、ユーザ毎に異なる内容が指定されたＵＲＬ１２４を添付ファイル１２２’に埋め込むことで、添付ファイル１２２’を開封したユーザをシミュレーションサーバ１０において検知・識別することを可能としているが、ダミーメール１２１’の本文にシミュレーションサーバ１０の開封状況検知部１０４等が提供する仮装のＷｅｂサイトに誘導するＵＲＬリンクを指定する形式とすることも可能である。この場合、例えば、ユーザ毎にダミーメール１２１’の本文に指定するＵＲＬリンクの内容を上記と同様に異ならせる等により、当該ＵＲＬリンクをクリックしたユーザをシミュレーションサーバ１０において検知・識別することが可能である。
【００４３】
一方で、ダミーメール１２１’を受け取ったユーザがこれに添付されている添付ファイル１２２’を開封しなかった場合、上述したように、その理由としては、例えば、メールのタイトルや本文等を見て「違和感」を感じたために開封しなかったという場合もあれば、たまたまメールの内容に興味がないために開封しなかったという場合も考えられる。また、膨大な受信メールの中に埋もれて、ダミーメール１２１’の内容すら見ていないという場合もあり得る。
【００４４】
従って、添付ファイル１２２’を開封しなかったユーザの中には、標的型メール攻撃に対して耐性を有するユーザもいれば、耐性を有さない（もしくは不明の）ユーザもいることが想定される。そこで、本実施の形態では、例えば、これらのユーザに対して添付ファイル１２２’を開封しなかった理由を問い合わせるアンケートを行い、その結果によって潜在的に耐性を有さないユーザについても識別することを可能とする。
【００４５】
本実施の形態では、ユーザが添付ファイル１２２’を開封した場合でも、当該添付ファイル１２２’はマルウェア等の不正なファイルではなく単にこれらを模したものであることから、当該ユーザのユーザ端末４０がマルウェア等に感染することはない。しかしながら、当該ユーザは、実際に標的型メール攻撃が行われた場合にマルウェア等の感染を許してしまう危険性を有していることになる。
【００４６】
このようなユーザに対しては、標的型メール攻撃（を含む情報セキュリティ一般）について教育や啓蒙を行う必要がある。そこで、例えば、図２の右下部に示したように、開封したユーザが閲覧する添付ファイル１２２’の内容として、標的型メール攻撃について教育や啓蒙を行う内容を記載しておく。また、これと合わせて、もしくはこれに代えて、研修システム３０において提供するｅ−Ｌｅａｒｎｉｎｇの研修コンテンツにアクセスするためのＵＲＬリンクを設定しておき、実際に研修を受講させるようにしてもよい。
【００４７】
このように、シミュレーションサーバ１０において、各ユーザの添付ファイル１２２’の開封状況を集計することで、対象組織における標的型メール攻撃に対する耐性の現状を把握することができるとともに、上記のようなシミュレーションを、例えば、所定の冷却期間をおいて複数回繰り返し実行することで、教育・学習効果を確認しながら耐性を向上させることができる。
【００４８】
＜データ構成＞
図３は、本実施の形態におけるユーザＤＢ１１１のデータ構成の例について示した図である。ユーザＤＢ１１１は、組織等に所属するユーザについてのマスタ情報を保持するテーブルであり、例えば、ユーザＩＤ、ユーザ名、所属、役割、およびメールアドレスなどの項目を有する。キー項目はユーザＩＤである。
【００４９】
ユーザＩＤの項目は、各ユーザを一意に識別するためのＩＤ情報を保持する。ユーザ名の項目は、対象のユーザの氏名等の表示情報を保持する。所属および役割の項目は、それぞれ、対象のユーザが所属する組織や部署、グループなどの情報、および役職や担当などの対象のユーザの役割に係る情報を保持する。メールアドレスの項目は、対象のユーザの電子メールアドレスの情報を保持する。当該メールアドレスに対して標的型メール攻撃のシミュレーションを行うことになる。
【００５０】
図４は、本実施の形態における集計ＤＢ１１２のデータ構成の例について示した図である。集計ＤＢ１１２は、標的型メール攻撃のシミュレーションに対する各ユーザの添付ファイル１２２’の開封状況（開封の有無、開封しなかった場合の理由）に関する情報を保持するテーブルであり、例えば、ユーザＩＤ、シミュレーションＩＤ、ダミーメール送信日時、埋め込みＵＲＬ、添付ファイル開封日時、および不開封理由などの項目を有する。キー項目は、ユーザＩＤとシミュレーションＩＤの複合キーである。
【００５１】
ユーザＩＤは、開封状況の対象であるユーザを特定するユーザＩＤの情報であり、ユーザＤＢ１１１のユーザＩＤの項目と同じである。シミュレーションＩＤの項目は、各シミュレーションを一意に識別するためのＩＤの情報を保持する。当該ＩＤは、例えば制御部１０１等によって、シミュレーションの実施、すなわちダミーメール１２１’を作成して各ユーザに配信する毎に採番する。ダミーメール送信日時の項目は、対象のシミュレーションにおいて対象のユーザに対してダミーメール１２１’を送信した際の日時の情報を保持する。
【００５２】
埋め込みＵＲＬの項目は、当該ダミーメール１２１’に添付した添付ファイル１２２’に埋め込んだＵＲＬ１２４の情報を保持する。ＵＲＬ１２４の文字列全体ではなく、対象のユーザに固有の部分の文字列（例えば、画像ファイルのファイル名など）のみを保持するようにしてもよい。添付ファイル開封日時の項目は、対象のユーザが当該添付ファイル１２２’を開封した際の日時、すなわち開封状況検知部１０４が、埋め込みＵＲＬの項目に指定されたＵＲＬ１２４に対するＨＴＴＰリクエストを受信した日時の情報を保持する。
【００５３】
不開封理由の項目は、対象のユーザが当該ダミーメール１２１’を一定期間以上開封しなかった場合の理由に係る情報を保持する。この情報は、上述したように、当該ダミーメール１２１’を一定期間以上開封しなかったユーザに対して、シミュレーションサーバ１０が理由を問い合わせる確認メールを送信し、例えば、アンケート用のＷｅｂページ等に誘導して回答を入力させることで取得する。
【００５４】
アンケートに対するユーザの回答方法については特に限定されず、例えば、自由に文書として入力させるようにしてもよいし、集計上の便宜を考慮して、予め定義された理由（例えば、「違和感を感じた」「たまたま興味がなかった」「メールの存在自体を把握していない」等）の中から選択するようにしてもよい。例えば、前者の場合は不開封理由をテキストデータとして把握し、後者の場合はコード値等により把握することになる。
【００５５】
なお、不開封理由の項目を問い合わせる確認メールを配信する対象となるユーザは、例えば、集計ＤＢ１１２のダミーメール送信日時の項目の値から所定の期間が経過しており、かつ、添付ファイル開封日時の項目の値に何も設定されていないユーザ（未だ添付ファイル１２２’を開封していないユーザ）を選択する。
【００５６】
上述の図３、図４で示した各テーブルのデータ構成（項目）はあくまで一例であり、同様のデータを保持・管理することが可能な構成であれば、他のテーブル構成やデータ構成であってもよい。
【００５７】
＜処理の流れ＞
図５は、本実施の形態における標的型メール攻撃のシミュレーション処理の流れの例について概要を示したフローチャートである。まず、管理者等により、シミュレーション（今回だけでなく次回以降のものを含んでいてもよい）に用いる仮装の標的型メールについて本文および添付ファイルの雛形（ダミーメール雛形１２１、添付ファイル雛形１２２）を予め作成してシミュレーションサーバ１０に保持しておく（Ｓ０１）。ここでは、添付ファイル１２２’を開かなかったユーザに対して不開封の理由を問い合わせるための確認メールの雛形（確認メール雛形１２３）についても作成しておく。
【００５８】
その後、管理者等からの指示や、指定した日時等をトリガとして、シミュレーション処理を開始する。まず、シミュレーションサーバ１０のメール作成部１０２により、ダミーメール雛形１２１および添付ファイル雛形１２２に基づいて、対象組織の各ユーザに送付するダミーメール１２１’および添付ファイル１２２’を作成する（Ｓ０２）。上述したように、添付ファイル１２２’には、ユーザ毎に異なるＵＲＬ１２４が埋め込まれており、埋め込まれたＵＲＬ１２４の情報を、採番されたシミュレーションＩＤとともに集計ＤＢ１１２にユーザ毎に記録しておく。
【００５９】
なお、ダミーメール１２１’の内容は、今回のシミュレーションが何回目であるか、ユーザ毎の耐性の状況（過去のシミュレーションで添付ファイル１２２’を開封しているか否かなど）等に応じて、難易度（巧妙さの程度）がシミュレーション毎、ユーザ毎にそれぞれ異なるようにしてもよい。
【００６０】
その後、メール配信部１０３により、添付ファイル１２２’を含むダミーメール１２１’をメール配信システム２０によって各ユーザに一斉に配信する（Ｓ０３）。このとき、各ユーザについて、ダミーメール１２１’を送信した際の日時の情報を集計ＤＢ１１２の該当レコードのダミーメール送信日時の項目に記録しておく。その後、開封状況検知部１０４により、ダミーメール１２１’を受信した各ユーザが添付ファイル１２２’を開封したことにより発生するＨＴＴＰリクエストを受信するのを所定の期間待ち受ける（Ｓ０４、Ｓ０５）。
【００６１】
開封状況検知部１０４は、ＨＴＴＰリクエストを受信した場合、ユーザが添付ファイル１２２’を開封したことを検知したものとして、この情報を集計ＤＢ１１２に記録する（Ｓ０４）。具体的には、集計ＤＢ１１２内の今回のシミュレーションＩＤに該当するレコードの中から、埋め込みＵＲＬの項目が当該ＨＴＴＰリクエストにおいて指定されたＵＲＬ１２４の内容と一致するものを検索し、一致したレコード（ユーザ）における添付ファイル開封日時の項目を、当該ＨＴＴＰリクエストを受信した日時（もしくは当該ＨＴＴＰリクエストが発生した日時）によって更新する。
【００６２】
添付ファイル１２２’を開封したユーザは、上述したように、当該添付ファイル１２２’に記載された教育・学習内容もしくは研修システム３０により提供されるｅ−Ｌｅａｒｎｉｎｇ等により、標的型メール攻撃に対する学習や研修の実施を行う（Ｓ０６）。
【００６３】
一方、ステップＳ０５において、ダミーメール１２１’の配信開始から所定の期間（例えば１週間など）が経過した場合、開封状況検知部１０４によるＨＴＴＰリクエストの待ち受けを終了するとともに、メール作成部１０２により、確認メール雛形１２３に基づいて、添付ファイル１２２’を開封しなかったユーザに対して不開封の理由を問い合わせるための確認メールを作成し、これをメール配信部１０３により対象のユーザに一斉に配信する（Ｓ０７）。このとき、確認メールの送信対象のユーザは、集計ＤＢ１１２内の今回のシミュレーションＩＤに該当するレコードの中から、添付ファイル開封日時の項目に値が設定されておらず（もしくは初期値のまま）、かつ、ダミーメール送信日時の項目の値から上記所定の期間が経過しているレコードのユーザを抽出して得る。
【００６４】
その後、ステップＳ０６で送信された確認メールを受信した各ユーザにより、開封状況検知部１０４等により提供されるアンケート用のＷｅｂページから入力された、添付ファイル１２２’を開封しなかった理由に係る情報を取得して、集計ＤＢ１１２に記録する（Ｓ０８）。具体的には、集計ＤＢ１１２内の今回のシミュレーションＩＤに該当する対象のユーザのレコードについて、不開封理由の項目の値を、取得した理由に係る情報によって更新する。
【００６５】
その後、集計部１０５により、集計ＤＢ１１２の内容に基づいて、シミュレーションに対する各ユーザの添付ファイル１２２’の開封状況を集計し、対象組織における標的型メール攻撃に対する耐性に係る情報を求め、グラフ等により視覚化して出力する（Ｓ０９）。具体的には、例えば、集計ＤＢ１１２内の今回のシミュレーションＩＤに該当するレコードから、添付ファイル１２２’を開封したユーザ、およびたまたまダミーメール１２１’の内容に興味がなかったために開封しなかったにすぎないユーザ（標的型メール攻撃に対する耐性がないと推定されるユーザ）の数を求める。
【００６６】
この数を、シミュレーションの対象の全ユーザ数から引くことで、耐性があると推定されるユーザの数を求め、全ユーザ数に対する比を求めることで、標的型メール攻撃に対する組織としての耐性をパーセンテージ等の数値により把握することができる。耐性がないと推定されるユーザに、ダミーメール１２１’の存在にすら気づいていなかったユーザを加えてもよい（すなわち、明確に「違和感」を感じたために開封しなかったユーザのみ耐性があると推定する）。
【００６７】
なお、ステップＳ０７、Ｓ０８による、添付ファイル１２２’を開封しなかったユーザに対する確認メールの配信と理由の取得の処理を省略し、添付ファイル１２２’を開封してしまったユーザの数から、明確に耐性がないとされるユーザの数のみを集計することで、対象組織における耐性についての簡易的な目安とするようにしてもよい。
【００６８】
また、対象組織全体としての集計だけではなく、例えば、管理者等の指示などに基づいて、チームやグループなどのより細分化された組織や、各ユーザの属性などに基づいてグルーピングされる母集団を対象とした集計、およびこれらの集計単位間での相互比較、シミュレーションを繰り返して実施した場合の、過去の集計・分析結果との時系列での比較など、種々の集計・分析を行うことができる。集計・分析における具体的な計算手法などは、特に限定されず、一般的な統計的手法などを適宜用いることができる。集計・分析した結果は別途記録して保持しておくとともに、管理者等に対して出力することができる。
【００６９】
その後、管理者等などからシミュレーションを終了する旨の指示を受けているか否かを判定する（Ｓ１０）。シミュレーションを終了する指示を受けている場合（管理者等による指示や、予め定められたシミュレーションの回数を完了した場合など）には、シミュレーション処理を終了する一方、終了する旨の指示を受けていない場合は、ステップＳ０３でのダミーメール１２１’の配信開始から所定の冷却期間（例えば１ヶ月など）が経過するのを待つ（Ｓ１１）。その後、冷却期間が経過すると、ステップＳ０２に戻り、再度ダミーメール１２１’の作成、配信以降の処理を繰り返し実行する。これにより、対象組織において、シミュレーションにより標的型メール攻撃に対する教育や啓蒙を実施してその学習効果等を確認しながら、標的型メール攻撃に対する耐性を向上させることができる。
【００７０】
以上に説明したように、本発明の一実施の形態である標的型メール攻撃シミュレーションシステム１によれば、対象組織等に所属するユーザに対して、標的型メールを模したダミーメール１２１’を配信し、ユーザがダミーメール１２１’に添付されているマルウェア等を模した添付ファイル１２２’を開封した場合にこれを検知する。また、添付ファイル１２２’を開封しなかったユーザに対してその理由を問い合せて集計することで、管理者等が、当該組織における標的型メール攻撃に対する耐性を分析・把握することが可能となる。
【００７１】
また、添付ファイル１２２’を実際のマルウェア等とするのではなく、その内容として、標的型メール攻撃についての教育的な情報を記載することで、開封してしまったユーザに学習させたり、ＵＲＬリンクによりｅ−Ｌｅａｒｎｉｎｇでの研修を行うＷｅｂサイトへ誘導して研修を受講させたりするとともに、所定の冷却期間の経過後に再度同様のシミュレーションを行う。これにより、標的型メール攻撃に対してユーザに対する訓練や、教育・啓蒙を行うとともに、管理者等が組織における学習効果や耐性の向上状況を把握することが可能となる。
【００７２】
以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。
【産業上の利用可能性】
【００７３】
本発明は、標的型メール攻撃に対する組織等における耐性の分析と訓練を行うための標的型メール攻撃シミュレーションシステムおよび標的型メール攻撃シミュレーションプログラムに利用可能である。
【符号の説明】
【００７４】
１…標的型メール攻撃シミュレーションシステム、
１０…シミュレーションサーバ、２０…メール配信システム、３０…研修システム、４０…ユーザ端末、５０…ネットワーク、
１０１…制御部、１０２…メール作成部、１０３…メール配信部、１０４…開封状況検知部、１０５…集計部、１１１…ユーザデータベース（ＤＢ）、１１２…集計データベース（ＤＢ）、１２１…ダミーメール雛形、１２１’…ダミーメール、１２２…添付ファイル雛形、１２２’…添付ファイル、１２３…確認メール雛形、１２４…ＵＲＬリンク。
【図１】
2013149063.tif 000003
【図２】
2013149063.tif 000004
【図３】
2013149063.tif 000005
【図４】
2013149063.tif 000006
【図５】
2013149063.tif 000007