JP5668034B2 - 電子メール監視装置、送信メールサーバ、電子メール監視方法およびプログラム - Google Patents

Description

本発明は、送信された電子メールを監視する電子メール監視装置、送信メールサーバ、電子メール監視方法およびプログラムに関する。

近年、悪意を持って他人の電子メールアドレスを使用し、電子メールの送信者（発信者）になりすまし、いわゆる迷惑メールを送信するという行為が問題となっている。迷惑メールは大量に送信されることが多く、それにより、通信回線が逼迫してしまうおそれもある。

このような迷惑メールの送信を減少させるために、同じ電子メールアドレスから１日あたりに送信できるメール数を制限する技術が考えられている（例えば、特許文献１参照。）。これにより、大量に送信される迷惑メールの送信を抑制することができる。

特開２００６−１２８９１７号公報

しかしながら、特許文献１に記載されたような技術においては、大量に送信された電子メールが正当な利用者から送信されたものであっても、その送信が抑制されてしまうという問題点がある。

本発明の目的は、上述した課題を解決する電子メール監視装置、送信メールサーバ、電子メール監視方法およびプログラムを提供することである。

本発明の電子メール監視装置は、
通信端末から送信された電子メールを取得する取得部と、
前記取得部が取得した電子メールから、該電子メールを送信した利用者を示す利用者識別情報と、該電子メールを送信した通信端末に付与された通信端末識別情報とを抽出する抽出部と、
単位時間において前記抽出部が抽出した利用者識別情報ごとに、前記通信端末識別情報のユニーク数を算出する算出部と、
前記算出部が算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が所定の第１の閾値を超えたかどうかを判定する検証部と、
所定の通知をあらかじめ設定された通知先へ行う通知部とを有し、
前記算出部は、前記検証部が、前記算出部が算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が前記第１の閾値を超えたと判定した場合、単位時間において前記抽出部が抽出した利用者識別情報ごとに、前記通信端末識別情報に基づいて、国または地域のユニーク数を算出し、
前記検証部は、前記算出部が算出した前記利用者識別情報ごとの前記国または地域のユニーク数が所定の第２の閾値を超えたかどうかを判定し、
前記通知部は、前記検証部が、前記算出部が算出した前記利用者識別情報ごとの前記国または地域のユニーク数が前記第２の閾値を超えたと判定した場合、前記所定の通知を前記通知先へ行うことを特徴とする。

また、本発明の送信メールサーバは、
利用者を認証する認証部と、
前記認証を行うための認証情報を記憶する記憶部と、
前記認証部が前記記憶部に記憶された認証情報を用いて前記利用者の認証に成功した場合、通信端末から送信された電子メールを取得する取得部と、
前記認証情報から前記電子メールを送信した利用者を示す利用者識別情報を抽出し、前記取得部が取得した電子メールまたは前記通信端末との接続処理から該電子メールを送信した通信端末に付与された通信端末識別情報を抽出する抽出部と、
単位時間において前記抽出部が抽出した利用者識別情報ごとに、前記通信端末識別情報のユニーク数を算出する算出部と、
前記算出部が算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が所定の第１の閾値を超えたかどうかを判定する検証部と、
所定の通知をあらかじめ設定された通知先へ行う通知部とを有し、
前記算出部は、前記検証部が、前記算出部が算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が前記第１の閾値を超えたと判定した場合、単位時間において前記抽出部が抽出した利用者識別情報ごとに、前記通信端末識別情報に基づいて、国または地域のユニーク数を算出し、
前記検証部は、前記算出部が算出した前記利用者識別情報ごとの前記国または地域のユニーク数が所定の第２の閾値を超えたかどうかを判定し、
前記通知部は、前記検証部が、前記算出部が算出した前記利用者識別情報ごとの前記国または地域のユニーク数が前記第２の閾値を超えたと判定した場合、前記所定の通知を前記通知先へ行う
ことを特徴とする。

また、本発明の電子メール監視方法は、
通信端末から送信された電子メールを監視する電子メール監視方法であって、
前記通信端末から送信された電子メールを取得する処理と、
前記取得した電子メールから、該電子メールを送信した利用者を示す利用者識別情報と、該電子メールを送信した通信端末に付与された通信端末識別情報とを抽出する処理と、
単位時間において前記抽出した利用者識別情報ごとに、前記通信端末識別情報のユニーク数を算出する処理と、
前記算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が所定の第１の閾値を超えたかどうかを判定する検証処理と、
所定の通知をあらかじめ設定された通知先へ行う通知処理とを含み、
前記検証処理では、前記算出する処理で算出した前記利用者識別情報ごとの前記国または地域のユニーク数が所定の第２の閾値を超えたかどうかを判定し、
前記算出する処理では、前記検証処理において、前記算出する処理で算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が前記第１の閾値を超えたと判定した場合、単位時間において前記抽出する処理で抽出した利用者識別情報ごとに、前記通信端末識別情報に基づいて、国または地域のユニーク数を算出し、
前記通知処理では、前記検証処理において、前記算出する処理で算出した前記利用者識別情報ごとの前記国または地域のユニーク数が前記第２の閾値を超えたと判定した場合、前記所定の通知を前記通知先へ行う
ことを特徴とする。

また、本発明のプログラムは、
コンピュータに、
通信端末から送信された電子メールを取得する手順と、
前記取得した電子メールから、該電子メールを送信した利用者を示す利用者識別情報と、該電子メールを送信した通信端末に付与された通信端末識別情報とを抽出する手順と、
単位時間において前記抽出した利用者識別情報ごとに、前記通信端末識別情報のユニーク数を算出する手順と、
前記算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が所定の第１の閾値を超えたかどうかを判定する検証手順と、
所定の通知をあらかじめ設定された通知先へ行う通知手順とを実行させるためのプログラムであって、
前記検証手順では、前記算出する手順で算出した前記利用者識別情報ごとの前記国または地域のユニーク数が所定の第２の閾値を超えたかどうかを判定し、
前記算出する手順では、前記検証手順において、前記算出する手順で算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が前記第１の閾値を超えたと判定した場合、単位時間において前記抽出する処理で抽出した利用者識別情報ごとに、前記通信端末識別情報に基づいて、国または地域のユニーク数を算出し、
前記通知手順では、前記検証手順において、前記算出する手順で算出した前記利用者識別情報ごとの前記国または地域のユニーク数が前記第２の閾値を超えたと判定した場合、前記所定の通知を前記通知先へ行う
ことを特徴とする。

以上説明したように、本発明においては、迷惑メールの送信をより正確に検出することができる。

本発明の電子メール監視装置を有する通信システムの実施の一形態を示す図である。 図１に示した電子メール監視装置の内部構成の一例を示す図である。 図２に示した記憶部に記憶された対応付けの一例を示す図である。 図２に示した記憶部に記憶された対応付けの他の例を示す図である。 図１に示した電子メール監視装置における電子メール監視方法の一例を説明するためのフローチャートである。 図２に示した記憶部に記憶された国情報の一例を示す図である。 図１に示した電子メール監視装置における国情報を用いた電子メール監視方法の一例を説明するためのフローチャートである。 本発明の送信メールサーバを有する通信システムの実施の一形態を示す図である。 図８に示した送信メールサーバの内部構成の一例を示す図である。 図９に示した記憶部に記憶されている認証情報の一例を示す図である。 図８に示した送信メールサーバにおける電子メール監視方法の一例を説明するためのフローチャートである。 図８に示した送信メールサーバにおける国情報を用いた電子メール監視方法の一例を説明するためのフローチャートである。

以下に、本発明の実施の形態について図面を参照して説明する。
（第１の実施の形態）
図１は、本発明の電子メール監視装置を有する通信システムの実施の一形態を示す図である。

本形態は図１に示すように、本発明の電子メール監視装置１００と、送信メールサーバ２００と、受信メールサーバ３００と、管理者端末４００と、通信端末５００−１〜５００−ｎ（ｎは、整数）とから構成されている。

電子メール監視装置１００は、通信端末５００−１〜５００−ｎから送信された電子メールを監視する。

図２は、図１に示した電子メール監視装置１００の内部構成の一例を示す図である。

図１に示した電子メール監視装置１００には図２に示すように、取得部１０１と、抽出部１０２と、算出部１０３と、検証部１０４と、通知部１０５と、送信制御部１０６と、記憶部１０７とが設けられている。

取得部１０１は、通信端末５００−１〜５００−ｎから送信メールサーバ２００を介して受信メールサーバ３００へ送信された電子メールを取得する。

抽出部１０２は、取得部１０１が取得した電子メールから、その電子メールを送信した利用者を示す送信元の電子メールアドレス等の利用者識別情報と、その電子メールを送信した通信端末に付与されたＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス等の通信端末識別情報とを抽出する。これらの情報は、一般的に取得部１０１が取得した電子メールのヘッダに含まれている。また、抽出部１０２は、抽出した利用者識別情報と通信端末識別情報とを日時情報と対応付けて記憶部１０７に書き込む。

算出部１０３は、抽出部１０２が抽出した電子メールアドレスごとに、ＩＰアドレスのユニーク数（互いに異なるＩＰアドレスの数）を算出する。ここで、算出部１０３は、あらかじめ設定された単位時間（例えば、１分間や１時間等）において、取得部１０１が取得した電子メールのＩＰアドレスのユニーク数を算出する。また、算出部１０３は、算出したＩＰアドレスのユニーク数を検証部１０４へ出力する。

検証部１０４は、算出部１０３から出力されてきたＩＰアドレスのユニーク数と、あらかじめ設定されている閾値（第１の閾値）とを比較し、ＩＰアドレスのユニーク数がその第１の閾値を超えたかどうかを判定する。この第１の閾値は、記憶部１０７に記憶されている。また、検証部１０４は、判定の結果を通知部１０５および送信制御部１０６へ通知する。

通知部１０５は、検証部１０４からの通知が、ＩＰアドレスのユニーク数が第１の閾値を超えたことを示すものである場合、所定の通知（第１の通知）をあらかじめ設定された通知先である管理者端末４００へ行う。この通知には、ＩＰアドレスのユニーク数が第１の閾値を超えた電子メールのメールアドレスが含まれ、さらにそのＩＰアドレスと日時情報とが含まれるものであっても良い。

送信制御部１０６は、検証部１０４からの通知が、ＩＰアドレスのユニーク数が第１の閾値を超えたことを示すものである場合、ＩＰアドレスのユニーク数が第１の閾値を超えた電子メールのメールアドレスを発信元とする電子メールの送信を停止する。また、送信制御部１０６は、検証部１０４からの通知が、ＩＰアドレスのユニーク数が第１の閾値を超えてはいないことを示すものである場合、その電子メールのメールアドレスを発信元とする電子メールを、受信メールサーバ３００へ送信する。

記憶部１０７は、抽出部１０２によって書き込まれた利用者識別情報と通信端末識別情報とを日時情報と対応付けて記憶する。

図３は、図２に示した記憶部１０７に記憶された対応付けの一例を示す図である。

図２に示した記憶部１０７には図３に示すように、電子メールの送信元の利用者識別情報であるメールアドレスと、電子メールの送信元の通信端末識別情報であるＩＰアドレスと、日時情報とが対応付けられて記憶されている。さらに、その電子メールの宛先数もこれらの情報と対応付けられていても良い。図３に示すように、互いに同じメールアドレスから送信されたにもかかわらず、ＩＰアドレスが互いに異なる電子メールが存在する。また、日時情報は、送信メールサーバ２００が電子メールを受信した日時、送信メールサーバ２００が電子メールを送信した日時、取得部１０１が電子メールを取得した日時や、記憶部１０７が対応付けを記憶した日時等を示すものである。

また、取得部１０１が、メールアドレスに対応する会員ＩＤを送信メールサーバ２００から取得して、記憶部１０７が、会員ＩＤとＩＰアドレスと日時情報とを対応付けて記憶するものであっても良い。

図４は、図２に示した記憶部１０７に記憶された対応付けの他の例を示す図である。

図２に示した記憶部１０７には図４に示すように、電子メールの送信元の利用者識別情報である会員ＩＤと、電子メールの送信元の通信端末識別情報であるＩＰアドレスと、日時情報とが対応付けられて記憶されている。さらに、その電子メールの宛先数もこれらの情報と対応付けられていても良い。

なお、この会員ＩＤは、取得部１０１が送信メールサーバ２００から取得するものではなく、メールアドレスに対応する会員ＩＤがあらかじめ登録されており、その会員ＩＤがメールアドレスと対応付けて、記憶部１０７が記憶しているものであっても良い。

送信メールサーバ２００は、接続してきた通信端末５００−１〜５００−ｎを利用する利用者の認証を行う。このとき、送信メールサーバ２００は、あらかじめ設定されている利用者の電子メールアドレスまたは会員ＩＤ（会員識別情報）と、パスワードとの認証情報を用いて、利用者の認証を行う。また、送信メールサーバ２００は、認証に成功した場合、通信端末５００−１〜５００−ｎから送信されてきた電子メールを電子メール監視装置１００へ送信する。なお、図１においては、送信メールサーバ２００が１台である場合を例に挙げて示しているが、複数台設けられていても良い。

受信メールサーバ３００は、通信端末５００−１〜５００−ｎから送信メールサーバ２００および電子メール監視装置１００を介して送信されてきた電子メールを、電子メールのヘッダに含まれる宛先情報が示す宛先へ送信する。

管理者端末４００は、電子メール監視装置１００を管理する管理者が操作する通信装置である。管理者端末４００には、ディスプレイやスピーカ等の出力部が具備されており、通知部１０５からの通知を出力部から出力することができる。これにより、管理者が通知部１０５からの通知を認識することができる。

通信端末５００−１〜５００−ｎは、利用者が操作し、電子メールを送信できる通信装置である。また、通信端末５００−１〜５００−ｎは、正当な利用者が操作する場合もあるし、上述したような迷惑メールを送信しようとする悪意を持った利用者が操作する場合もある。

以下に、図１に示した電子メール監視装置１００における電子メール監視方法について説明する。

図５は、図１に示した電子メール監視装置１００における電子メール監視方法の一例を説明するためのフローチャートである。

まず、通信端末５００−１〜５００−ｎから送信された電子メールを、送信メールサーバ２００を介して電子メール監視装置１００が受信すると、受信した電子メールを取得部１０１が取得する（ステップＳ１）。続いて、抽出部１０２が、取得部１０１が取得した電子メールから送信元のメールアドレスと、送信元のＩＰアドレスとを抽出する（ステップＳ２）。抽出部１０２は、抽出したメールアドレスとＩＰアドレスとを、日時情報と対応付けて記憶部１０７に書き込む。

算出部１０３が、単位時間毎に、記憶部１０７を参照し、その単位時間において抽出部１０２が抽出したＩＰアドレスのユニーク数をメールアドレスごとに算出する（ステップＳ３）。続いて、検証部１０４が、算出部１０３が算出したメールアドレスごとのＩＰアドレスのユニーク数が、あらかじめ設定されている第１の閾値を超えたかどうかを判定する（ステップＳ４）。

例えば、抽出部１０２が記憶部１０７に書き込んだ対応付けが図３に示したようなものであり、単位時間を５秒間（ここでは、２０１２年７月１日１０時１分２５秒から３０秒までの５秒間）とした場合、算出部１０３は、メールアドレス「ａａａ＠ｍａｉｌ．＊＊＊．ｊｐ」についてのＩＰアドレスのユニーク数は「４」であると算出する。また、算出部１０３は、メールアドレス「ｂｂｂ＠ｍａｉｌ．＊＊＊．ｊｐ」についてのＩＰアドレスのユニーク数は「２」であると算出する。そして、第１の閾値が「３」である場合、検証部１０４は、メールアドレス「ａａａ＠ｍａｉｌ．＊＊＊．ｊｐ」についてのＩＰアドレスのユニーク数は、第１の閾値を超えていると判定する。また、検証部１０４は、メールアドレス「ｂｂｂ＠ｍａｉｌ．＊＊＊．ｊｐ」についてのＩＰアドレスのユニーク数は、第１の閾値を超えていないと判定する。

検証部１０４が、算出部１０３が算出したメールアドレスごとのＩＰアドレスのユニーク数が第１の閾値を超えたと判定した場合、通知部１０５は、迷惑メール（なりすましメール）が送信されたおそれがある旨を示す通知（第１の通知）を通知先である管理者端末４００へ行う（ステップＳ５）。この通知には、該当する送信元のメールアドレスが含まれる。さらに、この通知に送信元のＩＰアドレスや日時情報が含まれるものであっても良い。

また、検証部１０４が、算出部１０３が算出したメールアドレスごとのＩＰアドレスのユニーク数が第１の閾値を超えたと判定した場合、送信制御部１０６が、該当するメールアドレスから送信されてきた電子メールの送信を停止させるものであっても良い（ステップＳ６）。一方、検証部１０４が、算出部１０３が算出したメールアドレスごとのＩＰアドレスのユニーク数が第１の閾値を超えていないと判定した場合は、送信制御部１０６は、該当するメールアドレスから送信されてきた電子メールの送信を行う（ステップＳ７）。

通信端末５００−１〜５００−ｎが固定のＰＣ（パソコン）等である通信や、通信端末５００−１〜５００−ｎから会員ＩＤおよびパスワードを用いてサーバに接続（ログイン）して行うデータ通信の場合、通信端末５００−１〜５００−ｎに付与されるＩＰアドレスは半固定となる。そのため、複数の電子メールの送信元のメールアドレスが同じであってもＩＰアドレスが互いに異なるものであれば、他人が当該メールアドレスを悪用した可能性が高くなる。さらに、その電子メールの送信頻度（単位時間内の送信数）が高いものであれば、それらの電子メールが迷惑メール（なりすましメール）である可能性が高いと判定できる。これらの性質を用いて、上述したような処理を行うことで、迷惑メール（なりすましメール）の特定を容易に行うことができる。

また、上述したように、迷惑メール（なりすましメール）の判定基準をＩＰアドレスのユニーク数とすることだけではなく、送信元の国を加えるものであっても良い。一般に、ＩＰアドレスは国ごとにその使用可能な範囲が決められている。つまり、ＩＰアドレスの所定のビットを参照すれば、そのＩＰアドレスがどこの国で使用されたものあるかを判定することができる。このＩＰアドレスの範囲と、国を示す情報（国識別子）とを対応付けて国情報として記憶部１０７に記憶しておき、検証部１０４がその国情報に基づいて、送信されてきた電子メールが迷惑メール（なりすましメール）であるおそれがあるかどうかを判定するものであっても良い。

図６は、図２に示した記憶部１０７に記憶された国情報の一例を示す図である。

図２に示した記憶部１０７には図６に示すように、ＩＰアドレスの範囲と国識別子とが対応付けられて記憶されている。この国に対応するＩＰアドレスの範囲は、全世界であらかじめ決められているものである。また、国識別子は、国を識別できるものであれば良く、国ごとにあらかじめ設定された国番号のようなものであっても良い。

以下に、図１に示した電子メール監視装置１００における国情報を用いた電子メール監視方法について説明する。

図７は、図１に示した電子メール監視装置１００における国情報を用いた電子メール監視方法の一例を説明するためのフローチャートである。

まず、通信端末５００−１〜５００−ｎから送信された電子メールを、送信メールサーバ２００を介して電子メール監視装置１００が受信すると、受信した電子メールを取得部１０１が取得する（ステップＳ１１）。続いて、抽出部１０２が、取得部１０１が取得した電子メールから送信元のメールアドレスと、送信元のＩＰアドレスとを抽出する（ステップＳ１２）。抽出部１０２は、抽出したメールアドレスとＩＰアドレスとを、日時情報と対応付けて記憶部１０７に書き込む。

すると、算出部１０３が、単位時間において抽出部１０２が抽出したＩＰアドレスのユニーク数をメールアドレスごとに算出する（ステップＳ１３）。続いて、検証部１０４が、算出部１０３が算出したメールアドレスごとのＩＰアドレスのユニーク数が、あらかじめ設定されている第１の閾値を超えたかどうかを判定する（ステップＳ１４）。

検証部１０４が、算出部１０３が算出したメールアドレスごとのＩＰアドレスのユニーク数が第１の閾値を超えたと判定した場合、算出部１０３は、単位時間において抽出部１０２が抽出したメールアドレスに対応するＩＰアドレスと記憶部１０７に記憶されている国情報とに基づいて、そのＩＰアドレスに対応する国情報を抽出し、単位時間における送信元の国のユニーク数をメールアドレスごとに算出する（ステップＳ１５）。続いて、検証部１０４が、算出部１０３が算出したメールアドレスごとの国のユニーク数が、あらかじめ設定されている第２の閾値を超えたかどうかを判定する（ステップＳ１６）。

検証部１０４が、算出部１０３が算出したメールアドレスごとの国のユニーク数が第２の閾値を超えたと判定した場合、通知部１０５は、迷惑メール（なりすましメール）が送信されたおそれがある旨を示す通知（第２の通知）を通知先である管理者端末４００へ行う（ステップＳ１７）。この通知には、該当する送信元のメールアドレスが含まれる。さらに、この通知に送信元のＩＰアドレスや日時情報、国名が含まれるものであっても良い。

例えば、第１の閾値が「５」、第２の閾値が「３」とし、メールアドレス「ａａａ＠ｍａｉｌ．＊＊＊．ｊｐ」から単位時間内に送信された電子メールのＩＰアドレスが、「１３３．＊＊＊．＊＊＊．０１０（ＪＰ）」であるものが２件、「１３３．＊＊＊．＊＊＊．０１２（ＪＰ）」であるものが１件、「１３４．＊＊＊．＊＊＊．０２３（ＤＥ）」であるものが１件、「１３４．＊＊＊．＊＊＊．０２４（ＤＥ）」であるものが１件、「１３５．＊＊＊．＊＊＊．００９（ＵＳ）」であるものが２件、「１３９．＊＊＊．＊＊＊．１２３（ＤＥ）」であるものが１件である場合を考える。この場合、ＩＰアドレスのユニーク数は「６」となり、国のユニーク数は「４」となるため、通知部１０５は通知を行う。また、例えば、メールアドレス「ｂｂｂ＠ｍａｉｌ．＊＊＊．ｊｐ」から単位時間内に送信された電子メールのＩＰアドレスが、「１３３．＊＊＊．＊＊＊．０１４（ＪＰ）」であるものが２件、「１３３．＊＊＊．＊＊＊．０１８（ＪＰ）」であるものが１件、「１３３．＊＊＊．＊＊＊．０１５（ＪＰ）」であるものが２件、「１３３．＊＊＊．＊＊＊．０２４（ＪＰ）」であるものが１件、「１３３．＊＊＊．＊＊＊．０３３（ＪＰ）」であるものが２件、「１３３．＊＊＊．＊＊＊．１２３（ＪＰ）」であるものが１件である場合を考える。この場合、ＩＰアドレスのユニーク数は「６」となり、国のユニーク数は「１」となるため、通知部１０５は通知を行わない。

また、検証部１０４が、算出部１０３が算出したメールアドレスごとの国のユニーク数が第２の閾値を超えたと判定した場合、送信制御部１０６が、該当するメールアドレスから送信されてきた電子メールの送信を停止させるものであっても良い（ステップＳ１８）。

一方、検証部１０４が、算出部１０３が算出したメールアドレスごとのＩＰアドレスのユニーク数が第１の閾値を超えていないと判定した場合、または算出部１０３が算出したメールアドレスごとの国のユニーク数が第２の閾値を超えていないと判定した場合は、送信制御部１０６は、該当するメールアドレスから送信されてきた電子メールの送信を行う（ステップＳ１９）。

なお、ステップＳ１２の処理の後、抽出部１０２が、抽出したメールアドレスとＩＰアドレスとを、日時情報と対応付けて記憶部１０７に書き込みした後に、ステップＳ１３およびＳ１４の処理を行わず、ステップＳ１５にて、算出部１０３が、単位時間において抽出部１０２が抽出したメールアドレスに対応するＩＰアドレスと記憶部１０７に記憶されている国情報とに基づいて、そのＩＰアドレスに対応する国情報を抽出し、単位時間における送信元の国のユニーク数をメールアドレスごとに算出するものであっても良い。このようにすることで、検証部１０４が、メールアドレスごとの送信元のＩＰアドレスのユニーク数が第１の閾値を超えていない場合であっても、メールアドレスごとの送信元の国のユニーク数が第２の閾値を超えているか否か判定できる。

このように、ＩＰアドレスのユニーク数に加えて、国のユニーク数を判定基準とすることで、迷惑メール（なりすましメール）の特定精度を向上させることができる。つまり、短時間の間に複数の国から電子メールを送信することは困難であるから、単位時間を短く設定し、ＩＰアドレスの属する範囲に基づいて送信元の国を判定することで、所定の数以上の国から送信された電子メールが迷惑メール（なりすましメール）である可能性が高いと判定できる。

なお、上述した例では、利用者識別情報としてメールアドレスを用いた場合を例に挙げて説明したが、利用者識別情報として取得部１０１がメールアドレスをキーにして送信メールサーバ２００から取得した会員ＩＤを用いるものであっても良い。

また、迷惑メール（なりすましメール）の判定基準として、送信元の国だけではなく、送信元のＩＰアドレスに基づいて送信元の地域（例えば、関東地方やアジア地域等）を特定できる場合は、その地域を用いても良い。
（第２の実施の形態）
上述した電子メール監視装置１００の機能を送信メールサーバ２００が具備するものであっても良い。

図８は、本発明の送信メールサーバを有する通信システムの実施の一形態を示す図である。

本形態は図８に示すように、本発明の送信メールサーバ２１０と、受信メールサーバ３００と、管理者端末４００と、通信端末５００−１〜５００−ｎ（ｎは、整数）とから構成されている。

受信メールサーバ３００、管理者端末４００および通信端末５００−１〜５００−ｎはそれぞれ、図１に示したものと同じである。

送信メールサーバ２１０は、図１に示した送信メールサーバ２００が具備する機能と電子メール監視装置１００が具備する機能とを兼ね備えた通信装置である。

図９は、図８に示した送信メールサーバ２１０の内部構成の一例を示す図である。

図８に示した送信メールサーバ２１０には図９に示すように、取得部２０１と、抽出部２０２と、算出部２０３と、検証部２０４と、通知部２０５と、送信制御部２０６と、記憶部２０７と、認証部２０８とが設けられている。なお、図９には、図８に示した送信メールサーバ２１０に設けられた構成要素のうち、本実施の形態に関わる主要な構成要素の一例を示す。

抽出部２０２は、図２に示した抽出部１０２と同じ機能を具備する。

算出部２０３は、図２に示した算出部１０３と同じ機能を具備する。

検証部２０４は、図２に示した検証部１０４と同じ機能を具備する。

通知部２０５は、図２に示した通知部１０５と同じ機能を具備する。

送信制御部２０６は、図２に示した送信制御部１０６と同じ機能を具備する。

認証部２０８は、通信端末５００−１〜５００−ｎを操作している利用者を認証する。このとき、認証部２０８は、通信端末５００−１〜５００−ｎから送信されてきた認証情報と記憶部２０７に記憶されている認証情報とを照合して、利用者の認証を行う。この認証情報は、利用者のメールアドレスや会員ＩＤといった利用者識別情報およびパスワードである。また、具体的な認証方法は、一般的なものと同じで良い。

記憶部２０７は、図２に示した記憶部１０７が記憶している情報に加えて、通信端末５００−１〜５００−ｎを操作している利用者を認証するための認証情報を記憶する。

図１０は、図９に示した記憶部２０７に記憶されている認証情報の一例を示す図である。

図９に示した記憶部２０７には図１０に示すように、認証情報として、メールアドレスと会員ＩＤとパスワードとが記憶されている。これらは、あらかじめ記憶されているものである。

取得部２０１は、認証部２０８が記憶部２０７に記憶された認証情報を用いて利用者の認証に成功した場合、通信端末５００−１〜５００−ｎから送信された電子メールを取得する。

以下に、図８に示した送信メールサーバ２１０における電子メール監視方法について説明する。

図１１は、図８に示した送信メールサーバ２１０における電子メール監視方法の一例を説明するためのフローチャートである。

まず、通信端末５００−１〜５００−ｎから認証情報（会員ＩＤまたはメールアドレスおよびパスワード）が送信されてくると、認証部２０８は、送信されてきた認証情報と記憶部２０７にあらかじめ記憶されている認証情報とを照合することで、利用者の認証を行う（ステップＳ２１）。

認証部２０８が認証に成功した場合、通信端末５００−１〜５００−ｎから送信された電子メールを、送信メールサーバ２１０が受信する。受信した電子メールを取得部２０１が取得する（ステップＳ２２）。続いて、抽出部２０２が、取得部２０１が取得した電子メール、または、通信端末５００−１〜５００−ｎとの接続処理（例えば、ＳＭＴＰセッション）から、送信元のＩＰアドレスを抽出する（ステップＳ２３）。抽出部２０２は、抽出したＩＰアドレスと、認証部２０８が認証に用いたメールアドレスまたは会員ＩＤ（以下、会員ＩＤを例に挙げて記載）とを、日時情報と対応付けて記憶部２０７に書き込む（例えば、図４に示した対応付け）。この日時情報は、送信メールサーバ２１０が電子メールを受信した日時、送信メールサーバ２１０が電子メールを送信した日時、取得部２０１が電子メールを取得した日時や、記憶部２０７が対応付けを記憶した日時等を示すものである。

すると、算出部２０３が、単位時間において抽出部２０２が抽出したＩＰアドレスのユニーク数を会員ＩＤごとに算出する（ステップＳ２４）。続いて、検証部２０４が、算出部２０３が算出した会員ＩＤごとのＩＰアドレスのユニーク数が、あらかじめ設定されている第１の閾値を超えたかどうかを判定する（ステップＳ２５）。

検証部２０４が、算出部２０３が算出した会員ＩＤごとのＩＰアドレスのユニーク数が第１の閾値を超えたと判定した場合、通知部２０５は、迷惑メール（なりすましメール）が送信されたおそれがある旨を示す通知（第１の通知）を通知先である管理者端末４００へ行う（ステップＳ２６）。この通知には、該当する送信元のメールアドレスが含まれる。さらに、この通知に送信元のＩＰアドレスや日時情報が含まれるものであっても良い。

また、検証部２０４が、算出部２０３が算出した会員ＩＤごとのＩＰアドレスのユニーク数が第１の閾値を超えたと判定した場合、送信制御部２０６が、該当する会員ＩＤに対応するメールアドレスから送信されてきた電子メールの送信を停止させるものであっても良い（ステップＳ２７）。一方、検証部２０４が、算出部２０３が算出した会員ＩＤごとのＩＰアドレスのユニーク数が第１の閾値を超えていないと判定した場合は、送信制御部２０６は、該当する会員ＩＤに対応するメールアドレスから送信されてきた電子メールの送信を行う（ステップＳ２８）。

また、第１の実施の形態と同様に、迷惑メール（なりすましメール）の判定基準をＩＰアドレスのユニーク数とすることだけではなく、送信元の国を加えるものであっても良い。

以下に、図８に示した送信メールサーバ２１０における国情報を用いた電子メール監視方法について説明する。

図１２は、図８に示した送信メールサーバ２１０における国情報を用いた電子メール監視方法の一例を説明するためのフローチャートである。

まず、通信端末５００−１〜５００−ｎから認証情報（会員ＩＤまたはメールアドレスおよびパスワード）が送信されてくると、認証部２０８は、送信されてきた認証情報と記憶部２０７にあらかじめ記憶されている認証情報とを照合することで、利用者の認証を行う（ステップＳ３１）。

認証部２０８が認証に成功した場合、通信端末５００−１〜５００−ｎから送信された電子メールを、送信メールサーバ２１０が受信する。受信した電子メールを取得部２０１が取得する（ステップＳ３２）。続いて、抽出部２０２が、取得部２０１が取得した電子メールから送信元のＩＰアドレスを抽出する（ステップＳ３３）。抽出部２０２は、抽出したＩＰアドレスと、認証部２０８が認証に用いたメールアドレスまたは会員ＩＤとを、日時情報と対応付けて記憶部２０７に書き込む。この日時情報は、ステップＳ２３の後に抽出部２０２が記憶部２０７に書き込むものと同じである。

すると、算出部２０３が、単位時間において抽出部２０２が抽出したＩＰアドレスのユニーク数を会員ＩＤごとに算出する（ステップＳ３４）。続いて、検証部２０４が、算出部２０３が算出した会員ＩＤごとのＩＰアドレスのユニーク数が、あらかじめ設定されている第１の閾値を超えたかどうかを判定する（ステップＳ３５）。

検証部２０４が、算出部２０３が算出した会員ＩＤごとのＩＰアドレスのユニーク数が第１の閾値を超えたと判定した場合、算出部２０３は、単位時間において抽出部２０２が抽出したＩＰアドレスと記憶部２０７に記憶されている国情報とに基づいて、そのＩＰアドレスに対応する国情報を抽出し、単位時間における送信元の国のユニーク数を会員ＩＤごとに算出する（ステップＳ３６）。続いて、検証部２０４が、算出部２０３が算出した会員ＩＤごとの国のユニーク数が、あらかじめ設定されている第２の閾値を超えたかどうかを判定する（ステップＳ３７）。

検証部２０４が、算出部２０３が算出した会員ＩＤごとの国のユニーク数が第２の閾値を超えたと判定した場合、通知部２０５は、迷惑メール（なりすましメール）が送信されたおそれがある旨を示す通知（第２の通知）を通知先である管理者端末４００へ行う（ステップＳ３８）。この通知には、該当する会員ＩＤに対応する送信元のメールアドレスが含まれる。さらに、この通知に送信元のＩＰアドレスや日時情報、国名が含まれるものであっても良い。

また、検証部２０４が、算出部２０３が算出した会員ＩＤごとの国のユニーク数が第２の閾値を超えたと判定した場合、送信制御部２０６が、該当する会員ＩＤに対応するメールアドレスから送信されてきた電子メールの送信を停止させるものであっても良い（ステップＳ３９）。一方、検証部２０４が、算出部２０３が算出した会員ＩＤごとの国のユニーク数が第２の閾値を超えていないと判定した場合は、送信制御部２０６は、該当する会員ＩＤに対応するメールアドレスから送信されてきた電子メールの送信を行う（ステップＳ４０）。

なお、ステップＳ３３の処理の後、抽出部２０２が、抽出したＩＰアドレスと認証に用いた会員ＩＤとを、日時情報と対応付けて記憶部２０７に書き込みした後に、ステップＳ３４およびＳ３５の処理を行わず、ステップＳ３６にて、算出部２０３が、単位時間において抽出部２０２が抽出したＩＰアドレスと記憶部２０７に記憶されている国情報とに基づいて、そのＩＰアドレスに対応する国情報を抽出し、単位時間における送信元の国のユニーク数を会員ＩＤごとに算出するものであっても良い。このようにすることで、検証部２０４が、会員ＩＤごとの送信元のＩＰアドレスのユニーク数が第１の閾値を超えていない場合であっても、会員ＩＤごとの送信元の国のユニーク数が第２の閾値を超えているか否か判定できる。

また、第１の実施の形態と同様に、迷惑メール（なりすましメール）の判定基準として、送信元の国だけではなく、送信元のＩＰアドレスに基づいて送信元の地域（例えば、関東地方やアジア地域等）を特定できる場合は、その地域を用いても良い。

このように、第１の実施の形態における電子メール監視装置１００の機能を、第２の実施の形態における送信メールサーバ２１０に持たせることで、第２の実施の形態においても、第１の実施の形態における効果と同様の効果を奏することができる。

なお、上述した実施の形態において、ＩＰアドレスのユニーク数をメールアドレスまたは会員ＩＤごとに算出する処理や、国または地域のユニーク数をメールアドレスまたは会員ＩＤごとに算出する処理は、所定の単位時間ごと（定期的）に行っても良いし、取得部１０１，２０１が電子メールを取得し、抽出部１０２，２０２がＩＰアドレスを抽出したタイミングごと（電子メールを受信した都度）に行っても良い。電子メールを受信した都度にこれらの処理を行う場合は、電子メールを受信した日時から所定の時間前（例えば、５秒前）までにすでに受信した、当該電子メールのメールアドレス（会員ＩＤ）について、ＩＰアドレスや国または地域のユニーク数を算出する。

上述した電子メール監視装置１００、送信メールサーバ２１０それぞれに設けられた各構成要素が行う処理は、目的に応じてそれぞれ作製された論理回路で行うようにしても良い。また、処理内容を手順として記述したコンピュータプログラム（以下、プログラムと称する）を電子メール監視装置１００、送信メールサーバ２１０それぞれにて読取可能な記録媒体に記録し、この記録媒体に記録されたプログラムを電子メール監視装置１００、送信メールサーバ２１０それぞれに読み込ませ、実行するものであっても良い。電子メール監視装置１００、送信メールサーバ２１０それぞれにて読取可能な記録媒体とは、フロッピー（登録商標）ディスク、光磁気ディスク、ＤＶＤ、ＣＤなどの移設可能な記録媒体の他、電子メール監視装置１００、送信メールサーバ２１０それぞれに内蔵されたＲＯＭ、ＲＡＭ等のメモリやＨＤＤ等を指す。この記録媒体に記録されたプログラムは、電子メール監視装置１００、送信メールサーバ２１０それぞれに設けられたＣＰＵ（不図示）にて読み込まれ、ＣＰＵの制御によって、上述したものと同様の処理が行われる。ここで、ＣＰＵは、プログラムが記録された記録媒体から読み込まれたプログラムを実行するコンピュータとして動作するものである。

上記の実施の形態の一部または全部は、以下の付記のようにも記載され得るが、以下には限られない。
（付記１）通信端末から送信された電子メールを取得する取得部と、
前記取得部が取得した電子メールから、該電子メールを送信した利用者を示す利用者識別情報と、該電子メールを送信した通信端末に付与された通信端末識別情報とを抽出する抽出部と、
単位時間において前記抽出部が抽出した利用者識別情報ごとに、前記通信端末識別情報のユニーク数を算出する算出部と、
前記算出部が算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が所定の第１の閾値を超えたかどうかを判定する検証部と、
前記検証部が、前記算出部が算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が前記第１の閾値を超えたと判定した場合、所定の第１の通知をあらかじめ設定された通知先へ行う通知部とを有する電子メール監視装置。
（付記２）前記算出部は、前記検証部が、前記算出部が算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が前記第１の閾値を超えたと判定した場合、単位時間において前記抽出部が抽出した利用者識別情報ごとに、前記通信端末識別情報に基づいて、国または地域のユニーク数を算出し、
前記検証部は、前記算出部が算出した前記利用者識別情報ごとの前記国または地域のユニーク数が所定の第２の閾値を超えたかどうかを判定し、
前記通知部は、前記第１の通知を行わず、前記検証部が、前記算出部が算出した前記利用者識別情報ごとの前記国または地域のユニーク数が前記第２の閾値を超えたと判定した場合、所定の第２の通知を前記通知先へ行うことを特徴とする、付記１に記載の電子メール監視装置。
（付記３）前記検証部が、前記通信端末識別情報のユニーク数が前記第１の閾値を超えたと判定した利用者識別情報、または、前記国または地域のユニーク数が前記第２の閾値を超えたと判定した利用者識別情報を発信元とする電子メールの送信を停止する送信制御部を有することを特徴とする、付記２に記載の電子メール監視装置。
（付記４）前記取得部は、当該電子メール監視装置と接続された送信メールサーバから、前記電子メールを送信した利用者の会員識別情報を取得し、
前記算出部は、前記会員識別情報ごとに、前記通信端末識別情報のユニーク数、または、前記国または地域のユニーク数を算出することを特徴とする、付記２または付記３に記載の電子メール監視装置。
（付記５）通信端末から送信された電子メールを取得する取得部と、
前記取得部が取得した電子メールから、該電子メールを送信した利用者を示す利用者識別情報と、該電子メールを送信した通信端末に付与された通信端末識別情報とを抽出する抽出部と、
単位時間において前記抽出部が抽出した利用者識別情報ごとに、前記通信端末識別情報に対応する国または地域のユニーク数を算出する算出部と、
前記算出部が算出した前記利用者識別情報ごとの前記国または地域のユニーク数が所定の第２の閾値を超えたかどうかを判定する検証部と、
前記検証部が、前記算出部が算出した前記利用者識別情報ごとの前記国または地域のユニーク数が前記第２の閾値を超えたと判定した場合、所定の第２の通知をあらかじめ設定された通知先へ行う通知部とを有する電子メール監視装置。
（付記６）前記抽出部は、前記利用者識別情報として電子メールアドレスまたは会員識別情報を抽出し、前記通信端末識別情報としてＩＰアドレスを抽出することを特徴とする、付記１から５のいずれか１項に記載の電子メール監視装置。
（付記７）利用者を認証する認証部と、
前記認証を行うための認証情報を記憶する記憶部と、
前記認証部が前記記憶部に記憶された認証情報を用いて前記利用者の認証に成功した場合、通信端末から送信された電子メールを取得する取得部と、
前記認証情報から前記電子メールを送信した利用者を示す利用者識別情報を抽出し、前記取得部が取得した電子メールまたは前記通信端末との接続処理から該電子メールを送信した通信端末に付与された通信端末識別情報を抽出する抽出部と、
単位時間において前記抽出部が抽出した利用者識別情報ごとに、前記通信端末識別情報のユニーク数を算出する算出部と、
前記算出部が算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が所定の第１の閾値を超えたかどうかを判定する検証部と、
前記検証部が、前記算出部が算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が前記第１の閾値を超えたと判定した場合、所定の第１の通知をあらかじめ設定された通知先へ行う通知部とを有する送信メールサーバ。
（付記８）利用者を認証する認証部と、
前記認証を行うための認証情報を記憶する記憶部と、
前記認証部が前記記憶部に記憶された認証情報を用いて前記利用者の認証に成功した場合、通信端末から送信された電子メールを取得する取得部と、
前記認証情報から前記電子メールを送信した利用者を示す利用者識別情報を抽出し、前記取得部が取得した電子メールまたは前記通信端末との接続処理から該電子メールを送信した通信端末に付与された通信端末識別情報を抽出する抽出部と、
単位時間において前記抽出部が抽出した利用者識別情報ごとに、前記通信端末識別情報に対応する国または地域のユニーク数を算出する算出部と、
前記算出部が算出した前記利用者識別情報ごとの前記国または地域のユニーク数が所定の第２の閾値を超えたかどうかを判定する検証部と、
前記検証部が、前記算出部が算出した前記利用者識別情報ごとの前記国または地域のユニーク数が前記第２の閾値を超えたと判定した場合、所定の第２の通知をあらかじめ設定された通知先へ行う通知部とを有する送信メールサーバ。
（付記９）通信端末から送信された電子メールを監視する電子メール監視方法であって、
前記通信端末から送信された電子メールを取得する処理と、
前記取得した電子メールから、該電子メールを送信した利用者を示す利用者識別情報と、該電子メールを送信した通信端末に付与された通信端末識別情報とを抽出する処理と、
単位時間において前記抽出した利用者識別情報ごとに、前記通信端末識別情報のユニーク数を算出する処理と、
前記算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が所定の第１の閾値を超えたかどうかを判定する処理と、
前記算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が前記第１の閾値を超えたと判定した場合、所定の第１の通知をあらかじめ設定された通知先へ行う処理とを行う電子メール監視方法。
（付記１０）通信端末から送信された電子メールを監視する電子メール監視方法であって、
前記通信端末から送信された電子メールを取得する処理と、
前記取得した電子メールから、該電子メールを送信した利用者を示す利用者識別情報と、該電子メールを送信した通信端末に付与された通信端末識別情報とを抽出する処理と、
単位時間において前記抽出した利用者識別情報ごとに、前記通信端末識別情報に対応する国または地域のユニーク数を算出する処理と、
前記算出した前記利用者識別情報ごとの前記国または地域のユニーク数が所定の第２の閾値を超えたかどうかを判定する処理と、
前記算出した前記利用者識別情報ごとの前記国または地域のユニーク数が前記第２の閾値を超えたと判定した場合、所定の第２の通知をあらかじめ設定された通知先へ行う処理とを行う電子メール監視方法。
（付記１１）コンピュータに、
通信端末から送信された電子メールを取得する手順と、
前記取得した電子メールから、該電子メールを送信した利用者を示す利用者識別情報と、該電子メールを送信した通信端末に付与された通信端末識別情報とを抽出する手順と、
単位時間において前記抽出した利用者識別情報ごとに、前記通信端末識別情報のユニーク数を算出する手順と、
前記算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が所定の第１の閾値を超えたかどうかを判定する手順と、
前記算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が前記第１の閾値を超えたと判定した場合、所定の第１の通知をあらかじめ設定された通知先へ行う手順とを実行させるためのプログラム。
（付記１２）コンピュータに、
通信端末から送信された電子メールを取得する手順と、
前記取得した電子メールから、該電子メールを送信した利用者を示す利用者識別情報と、該電子メールを送信した通信端末に付与された通信端末識別情報とを抽出する手順と、
単位時間において前記抽出した利用者識別情報ごとに、前記通信端末識別情報に対応する国または地域のユニーク数を算出する手順と、
前記算出した前記利用者識別情報ごとの前記国または地域のユニーク数が所定の第２の閾値を超えたかどうかを判定する手順と、
前記算出した前記利用者識別情報ごとの前記国または地域のユニーク数が前記第２の閾値を超えたと判定した場合、所定の第２の通知をあらかじめ設定された通知先へ行う手順とを実行させるためのプログラム。

１００ 電子メール監視装置
１０１，２０１ 取得部
１０２，２０２ 抽出部
１０３，２０３ 算出部
１０４，２０４ 検証部
１０５，２０５ 通知部
１０６，２０６ 送信制御部
１０７，２０７ 記憶部
２００，２１０ 送信メールサーバ
２０８ 認証部
３００ 受信メールサーバ
４００ 管理者端末
５００−１〜５００−ｎ 通信端末

Claims (7)

1. 通信端末から送信された電子メールを取得する取得部と、
   前記取得部が取得した電子メールから、該電子メールを送信した利用者を示す利用者識別情報と、該電子メールを送信した通信端末に付与された通信端末識別情報とを抽出する抽出部と、
   単位時間において前記抽出部が抽出した利用者識別情報ごとに、前記通信端末識別情報のユニーク数を算出する算出部と、
   前記算出部が算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が所定の第１の閾値を超えたかどうかを判定する検証部と、
   所定の通知をあらかじめ設定された通知先へ行う通知部とを有し、
   前記算出部は、前記検証部が、前記算出部が算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が前記第１の閾値を超えたと判定した場合、単位時間において前記抽出部が抽出した利用者識別情報ごとに、前記通信端末識別情報に基づいて、国または地域のユニーク数を算出し、
   前記検証部は、前記算出部が算出した前記利用者識別情報ごとの前記国または地域のユニーク数が所定の第２の閾値を超えたかどうかを判定し、
   前記通知部は、前記検証部が、前記算出部が算出した前記利用者識別情報ごとの前記国または地域のユニーク数が前記第２の閾値を超えたと判定した場合、前記所定の通知を前記通知先へ行うことを特徴とする電子メール監視装置。
2. 請求項１に記載の電子メール監視装置において、
   前記検証部が、前記通信端末識別情報のユニーク数が前記第１の閾値を超えたと判定した利用者識別情報、または、前記国または地域のユニーク数が前記第２の閾値を超えたと判定した利用者識別情報を発信元とする電子メールの送信を停止する送信制御部を有することを特徴とする電子メール監視装置。
3. 請求項１又は２に記載の電子メール監視装置において、
   前記取得部は、当該電子メール監視装置と接続された送信メールサーバから、前記電子メールを送信した利用者の会員識別情報を取得し、
   前記算出部は、前記会員識別情報ごとに、前記通信端末識別情報のユニーク数、または、前記国または地域のユニーク数を算出することを特徴とする電子メール監視装置。
4. 請求項１から３のいずれか１項に記載の電子メール監視装置において、
   前記抽出部は、前記利用者識別情報として電子メールアドレスまたは会員識別情報を抽出し、前記通信端末識別情報としてＩＰアドレスを抽出することを特徴とする電子メール監視装置。
5. 利用者を認証する認証部と、
   前記認証を行うための認証情報を記憶する記憶部と、
   前記認証部が前記記憶部に記憶された認証情報を用いて前記利用者の認証に成功した場合、通信端末から送信された電子メールを取得する取得部と、
   前記認証情報から前記電子メールを送信した利用者を示す利用者識別情報を抽出し、前記取得部が取得した電子メールまたは前記通信端末との接続処理から該電子メールを送信した通信端末に付与された通信端末識別情報を抽出する抽出部と、
   単位時間において前記抽出部が抽出した利用者識別情報ごとに、前記通信端末識別情報のユニーク数を算出する算出部と、
   前記算出部が算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が所定の第１の閾値を超えたかどうかを判定する検証部と、
   所定の通知をあらかじめ設定された通知先へ行う通知部とを有し、
   前記算出部は、前記検証部が、前記算出部が算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が前記第１の閾値を超えたと判定した場合、単位時間において前記抽出部が抽出した利用者識別情報ごとに、前記通信端末識別情報に基づいて、国または地域のユニーク数を算出し、
   前記検証部は、前記算出部が算出した前記利用者識別情報ごとの前記国または地域のユニーク数が所定の第２の閾値を超えたかどうかを判定し、
   前記通知部は、前記検証部が、前記算出部が算出した前記利用者識別情報ごとの前記国または地域のユニーク数が前記第２の閾値を超えたと判定した場合、前記所定の通知を前記通知先へ行う
   ことを特徴とする送信メールサーバ。
6. 通信端末から送信された電子メールを監視する電子メール監視方法であって、
   前記通信端末から送信された電子メールを取得する処理と、
   前記取得した電子メールから、該電子メールを送信した利用者を示す利用者識別情報と、該電子メールを送信した通信端末に付与された通信端末識別情報とを抽出する処理と、
   単位時間において前記抽出した利用者識別情報ごとに、前記通信端末識別情報のユニーク数を算出する処理と、
   前記算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が所定の第１の閾値を超えたかどうかを判定する検証処理と、
   所定の通知をあらかじめ設定された通知先へ行う通知処理とを含み、
   前記検証処理では、前記算出する処理で算出した前記利用者識別情報ごとの前記国または地域のユニーク数が所定の第２の閾値を超えたかどうかを判定し、
   前記算出する処理では、前記検証処理において、前記算出する処理で算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が前記第１の閾値を超えたと判定した場合、単位時間において前記抽出する処理で抽出した利用者識別情報ごとに、前記通信端末識別情報に基づいて、国または地域のユニーク数を算出し、
   前記通知処理では、前記検証処理において、前記算出する処理で算出した前記利用者識別情報ごとの前記国または地域のユニーク数が前記第２の閾値を超えたと判定した場合、前記所定の通知を前記通知先へ行う
   ことを特徴とする電子メール監視方法。
7. コンピュータに、
   通信端末から送信された電子メールを取得する手順と、
   前記取得した電子メールから、該電子メールを送信した利用者を示す利用者識別情報と、該電子メールを送信した通信端末に付与された通信端末識別情報とを抽出する手順と、
   単位時間において前記抽出した利用者識別情報ごとに、前記通信端末識別情報のユニーク数を算出する手順と、
   前記算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が所定の第１の閾値を超えたかどうかを判定する検証手順と、
   所定の通知をあらかじめ設定された通知先へ行う通知手順とを実行させるためのプログラムであって、
   前記検証手順では、前記算出する手順で算出した前記利用者識別情報ごとの前記国または地域のユニーク数が所定の第２の閾値を超えたかどうかを判定し、
   前記算出する手順では、前記検証手順において、前記算出する手順で算出した前記利用者識別情報ごとの前記通信端末識別情報のユニーク数が前記第１の閾値を超えたと判定した場合、単位時間において前記抽出する処理で抽出した利用者識別情報ごとに、前記通信端末識別情報に基づいて、国または地域のユニーク数を算出し、
   前記通知手順では、前記検証手順において、前記算出する手順で算出した前記利用者識別情報ごとの前記国または地域のユニーク数が前記第２の閾値を超えたと判定した場合、前記所定の通知を前記通知先へ行う
   ことを特徴とするプログラム。

Images