JP6614920B2 - 送信制御装置、送信制御方法及び送信制御プログラム - Google Patents

Description

本発明は、電子メールを送信するための送信制御装置、送信制御方法及び送信制御プログラムに関する。

メールサーバから送信された電子メールに対し、予め定めた条件を満たす電子メールを受信拒否するシステムが提案されている。一方で、電子メールを送信するに際し、メールサーバにおいて送信者の認証を行うシステムが提案されている（例えば、特許文献１参照。）。

標的型メールなどを用いて、正規の契約者のアカウントを契約者とは異なる第三者が乗っ取る問題が起きている。悪意の第三者に乗っ取られた場合、悪意の第三者は正規の契約者情報を用いて電子メールをメールサーバに送信することが可能になる。このため、特許文献１のメールサーバは、悪意の第三者から送信された電子メールであっても、正規の契約者から送信された電子メールとして送信してしまうことになる。

悪意の第三者に乗っ取られた場合、メールサーバは、正規の契約者を送信元とする、大量のスパムやウイルスメールを送信することになる。そうすると、メールサーバにおける電子メールの送信処理の負荷が上がってしまい、メールサーバが正常に稼働しなくなる可能性がある。また、一定時間内に大量に電子メールを送信したり、有害サイトへ誘導する電子メールを送信したりした契約者やメールサーバは、ブラックリストに登録され、当電子メールは送信先に受信拒否される可能性がある。

特開２００６−２８７４３７号公報

本発明は、電子メールをメールサーバが送信する前段で、悪意の第三者に乗っ取られる等により正規の契約者が意図せず送信された電子メールであることの可能性を検知することを目的とする。

本願発明に係る送信制御装置は、
電子メールの宛先に記載された受信装置に前記電子メールを送信するサーバと前記電子メールの送信元である送信装置との間に接続される送信制御装置であって、
前記送信装置から送信された認証情報を予め保持している契約者の情報と照合し、契約者の認証を行う認証機能と、
電子メールを前記送信装置から取得すると、電子メールの受信時に取得可能な情報に基づいて複数の評価を行い、前記評価ごとに評価点を算出する評価機能と、
前記評価点を総合した総合評価点に応じた当該電子メールの処理を行う処理機能と、
を備え、
前記評価機能は、
送信先メールアドレスに含まれるドメインについて、送信者毎に各ドメインへの送信数を集計した送信先ドメイン情報に基づく評価点、及び契約者がメール送信を利用する時間帯を集計した送信数集計情報に基づく評価点のうちの少なくともいずれかの評価点と、
電子メールから導出される国情報と前記認証機能で認証した契約者の現在地とが一致するか否かに基づく評価点と、
を算出する。

本願発明に係る送信制御方法は、
電子メールの宛先に記載された受信装置に前記電子メールを送信するサーバと前記電子メールの送信元である送信装置との間に接続される送信制御装置が実行する送信制御方法であって、
前記送信装置から送信された認証情報を予め保持している契約者の情報と照合し、契約者の認証を行う認証ステップと、
電子メールを前記送信装置から取得すると、電子メールの受信時に取得可能な情報に基づいて複数の評価を行い、前記評価ごとに評価点を算出する評価ステップと、
前記評価点を総合した総合評価点に応じた当該電子メールの処理を行う処理ステップと、
を順に有し、
前記評価ステップにおいて、
送信先メールアドレスに含まれるドメインについて、送信者毎に各ドメインへの送信数を集計した送信先ドメイン情報に基づく評価点、及び契約者がメール送信を利用する時間帯を集計した送信数集計情報に基づく評価点のうちの少なくともいずれかの評価点と、
電子メールから導出される国情報と前記認証ステップで認証した契約者の現在地とが一致するか否かに基づく評価点と、
を算出する。

本願発明に係る送信制御プログラムは、本願発明に係る送信制御方法の有する各ステップをコンピュータに実行させるためのプログラムである。

本発明によれば、電子メールをメールサーバが送信する前段で、悪意の第三者に乗っ取られる等により正規の契約者が意図せず送信された電子メールであることの可能性を検知することができる。

実施形態に係る電子メール送信システムの一例を示す。 送信制御装置の実行するフローチャートの一例を示す。 統計データベースに格納される情報の一例を示す。

以下、本発明の実施形態について、図面を参照しながら詳細に説明する。なお、本発明は、以下に示す実施形態に限定されるものではない。これらの実施の例は例示に過ぎず、本発明は当業者の知識に基づいて種々の変更、改良を施した形態で実施することができる。なお、本明細書及び図面において符号が同じ構成要素は、相互に同一のものを示すものとする。

図１に、実施形態に係る電子メール送信システムの一例を示す。実施形態に係る電子メール送信システムは、送信制御装置９１、サーバ９２及び外部判定エンジン９３を備える。サーバ９２は、サービスプロバイダなどのシステム運営者の管理するメールサーバであり、送信装置８１から送信された電子メールを宛先の受信装置８２に送信する。本実施形態では、サーバ９２として、ＩＰアドレスの異なる複数のサーバ９２−１，９２−２，……９２−Ｎを備える例を示す。

送信制御装置９１は、送信装置８１から送信された電子メールを受け取り、送信装置８１を使用している電子メールの送信者が契約者以外の悪意の第三者である可能性があるか否かを評価する。具体的には、送信制御装置９１は、認証部１１、アカウント管理ＤＢ１２、判定部１３、統計ＤＢ１４、送信制御部１５、通知部１７を備える。アカウント管理ＤＢ１２には、契約者の情報が格納される。統計ＤＢ１４には、電子メールの送信履歴等が格納される。

送信制御装置９１は、図示しない記憶部に記憶されているプログラムをコンピュータに実行させることで、各機能部を実現してもよい。このプログラムは、コンピュータから取り外し可能な記録媒体に記録されていてもよい。

図２に、実施形態に係る送信制御方法の一例を示す。本実施形態に係る送信制御方法は、送信制御装置９１が実行する送信制御方法であって、認証部１１が契約者を認証する認証ステップＳ１０１と、判定部１３が迷惑メールを判定する悪意判定ステップＳ１２１〜Ｓ１２３と、送信制御部１５が送信者と正規の契約者とが異なる可能性を評価する評価ステップＳ１３１〜Ｓ１３４と、送信制御部１５が総合評価結果に応じて電子メールを処理する処理ステップＳ１３５〜Ｓ１３６と、を順に有する。

認証部１１は、契約者の認証を行う（Ｓ１０１）。認証は、例えば、送信装置８１から送信された認証情報がアカウント管理ＤＢ１２に登録されたものと一致するか否かに基づいて行う。認証情報は、例えば、契約者に割り当てられているＩＤ及びパスワードである。

認証に成功した場合、送信制御装置９１は、電子メールを受信する（Ｓ１１１）。次に、認証部１１は、認証情報または電子メールを受信する際の通信にて、送信装置８１が用いた送信元ＩＰアドレスなどの電子メールに関する情報を取得する（Ｓ１１２）。また、取得したこれらの情報を電子メール情報として統計ＤＢ１４に格納する（Ｓ１１３）。一方、認証に失敗した場合、認証部１１は、電子メールの送信を拒否する旨を決定する（Ｓ１０２）。この場合、送信制御装置９１は電子メールを受け取らない。

図３に、統計ＤＢ１４に格納されている情報の一例を示す。図３では、一例として、特定の契約者の送信元メールアドレスに紐付された電子メールの送信履歴を示す。送信履歴は、電子メールのキューＩＤ及び電子メール情報を含む。電子メールのキューＩＤは、電子メールを受信する際に、電子メールを管理するために、送信制御装置９１によって生成される情報である。電子メール情報は、例えば、メール送信情報及びメール受信情報を含む。メール送信情報は、例えば、送信装置８１の送信時刻、送信元メールアドレス、送信元ＩＰアドレス、送信メールソフトの情報である。メール受信情報は、例えば、送信先メールアドレス、送信先ＩＰアドレスである。

送信元メールアドレスは、電子メールのメールエンベロープ情報に含まれる「ＭＡＩＬ ＦＲＯＭ」の情報である。送信先メールアドレスは、メールエンベロープ情報に含まれる「ＲＣＰＴ ＴＯ」の情報である。受信者が複数存在する場合は、各情報を取得する。送信メールソフトの情報は、電子メールのメールエンベロープ情報等から送信メールソフトの名称を取得する。送信元ＩＰアドレスは、送信装置８１から取得したり、電子メールのメールエンベロープ情報から取得したりするなど、任意の方法を用いることができる。送信先ＩＰアドレスは送信先メールアドレスのドメイン部をＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバに問い合わせて取得する。なお、ＩＰアドレスが取得できない場合は、ＩＰアドレス評価不可となる評価点を統計ＤＢ１４に格納することが好ましい。

判定部１３は、送信制御装置９１の受信した電子メールの本文及び添付ファイルを取得し、受信した電子メールが悪意ある迷惑メールである可能性があるか否かを判定する（Ｓ１２１）。迷惑メールは、例えば、ウイルスメール、スパムメール及びフィッシングメールである。電子メールが迷惑メールである可能性があるか否かは、例えば、外部判定エンジン９３を用いる。外部判定エンジン９３は、予め送信制御装置９１に搭載していてもよい。

判定部１３は、迷惑メールである可能性がある場合、さらに隔離処理を行うか否かの判定を行い、隔離処理を行ってもよい（Ｓ１２３）。隔離処理は、例えば、サーバ９２に迷惑メールである可能性がある電子メールを送信せずに、迷惑メールフォルダにその迷惑メールである可能性がある電子メールを保存しておく。

本実施形態は、迷惑メールである可能性がある場合であっても、この判定のみに基づいて、電子メールの送信停止を行わなくてもよい。例えば、判定部１３は、迷惑メールである可能性に応じた評価点を判定結果として統計ＤＢ１４に格納する（Ｓ１２２）。本実施形態では、迷惑メールである可能性が高い場合は評価点が高く、迷惑メールである可能性が低い場合は評価点が低くなる。

送信制御部１５は、統計ＤＢ１４に格納されている電子メール情報に基づいて、送信装置８１を使用している送信者の評価を行う評価機能を有する（Ｓ１３１）。図３に示すように、送信制御部１５は、評価点を統計ＤＢ１４に格納する（Ｓ１３２）。本実施形態では、送信者が契約者と異なる可能性に応じた評価点とし、送信者が契約者とは異なる悪意の第三者である可能性が高い場合は評価点が高く、送信者が契約者である可能性が高い場合は評価点が低くなることとする。

評価に用いる電子メール情報は、例えば、送信元ＩＰアドレスである。この場合、送信制御部１５は、ＩＰアドレスの信頼性を評価したデータベースを参照する。特に、このデータベースは、ＩＰアドレスの評価を専門とする機関によって作成されたものであることが好ましい。

評価に用いる電子メール情報は、例えば、送信元ＩＰアドレスから取得した国情報（送信元国）である。例えば、ＩＰアドレスと国情報とを紐付けした国情報変換テーブルを参照する。ＩＰアドレスと国情報の紐付け情報は、外部から取得しても、送信制御部１５の内部に持っていても良い。これにより、契約者の意図しない海外からの送信を検知することができる。さらに、評価は、送信先ＩＰアドレスから取得した国情報（送信先国）を用いてもよい。

評価に国情報を用いる場合、送信制御部１５は、国情報と評価点を紐付した国情報評価テーブルを参照する。評価点は、専門の機関が定めた良否情報を用いてもよいし、契約者が設定した良否情報を用いてもよい。例えば、契約者の現在地と一致する可能性が高い場合は評価点を低くし、契約者の現在地とは異なる可能性が高い場合は評価点を高くする。特に、ごく短時間の間に、地理的に遠く離れた国に国情報が変わった場合、評価点を高くすることが好ましい。契約者の現在地は、契約者が設定してもよいし、統計ＤＢ１４に記録されている送信元ＩＰアドレスの位置情報の履歴に基づいて判定してもよい。また、送信元ＩＰアドレスの国から送信先ＩＰアドレスの国までの距離を求め、この距離に基づいて評価点を判定してもよい。

評価に用いる電子メール情報は、例えば、送信元メールアドレス及び送信元ＩＰアドレスの組み合わせである。この場合、送信元ＩＰアドレス毎にどのＩＰアドレスの送信装置８１からメール送信しているかを送信元メールアドレス毎に集計した送信元ＩＰアドレス情報を用いる。例えば、図３に示すように、統計ＤＢ１４に記憶されているキューＩＤがＩＤ１からＩＤＭまでの送信元ＩＰアドレスが「ＩＰＡ」及び「ＩＰＢ」のみであり、キューＩＤがＩＤＮの送信元ＩＰアドレスが「ＩＰＡ」及び「ＩＰＢ」とは異なる「ＩＰＤ」である場合、契約者とは異なる送信者から送信された悪意ある電子メールである可能性があるとして、評価点を高くする。

評価に用いる電子メール情報は、例えば、送信先メールアドレスに含まれるドメインの送信累計数である。この場合、送信者毎に各宛先（集計単位：ドメイン）への送信数を集計した送信先ドメイン情報を用いることができる。例えば、図２に示すように、統計ＤＢ１４に記憶されているキューＩＤがＩＤ１からＩＤＭまでの送信先メールアドレスのドメイン名が「ｂｂｂｂ」及び「ｃｃｃｃ」のみであり、キューＩＤがＩＤＮの送信先メールアドレスのドメイン名が「ｂｂｂｂ」又は「ｃｃｃｃ」とは異なる「１２３４」及び「９９９９」である場合、契約者の意図しない宛先の電子メールである可能性があるとして、評価点を高くする。なお、送信数を集計する集計単位は、送信先メールアドレス毎であってもよい。

電子メールにドメインの異なる複数の送信先メールアドレスが含まれている場合、送信制御部１５は、ドメインごとに評価を行う。例えば、「Ｔｏ：ａａａ＠１２３４，ｂｂｂ＠１２３４，ｃｃｃ＠１２３４，ｄｄｄ＠９９９９」であるとする。この場合、送信制御部１５は、「１２３４」及び「９９９９」の両方のドメインを評価し、これらを用いて評価点を決定する。

電子メールにドメインの共通する複数の送信先メールアドレスが含まれている場合、送信制御部１５は、電子メールの送信先メールアドレスに含まれるドメインのうち、最も少ない送信先メールアドレスに含まれるドメインの評価を採用することが好ましい。例えば、ドメイン「１２３４」の評価点が１０であり、ドメイン「９９９９」の評価点が４０の場合、ドメイン「９９９９」の評価点「４０」を採用する。

評価に用いる電子メール情報は、例えば、送信数集計情報である。これにより、契約者の通常の振る舞いとは異なる振る舞いを検知する。送信数集計情報は、例えば、統計ＤＢに格納されている各メールの送信時刻より、契約者がよくメール送信を利用する時間帯を集計し、当該時間帯以外の時間であれば評価点を高くする。また、送信数集計情報は、例えば、送信元メールアドレスごとの送信時間帯別の送信数と全送信数の割合を求め、この割合を送信者の評価に用いる。評価点は任意であるが、割合が低いほど評価点が高くなる。集計は、異なる任意の複数の集計期間について行うことが好ましい。

評価に用いる電子メール情報は、例えば、電子メールを送信したソフトウェアである送信メールソフトの情報である。悪意あるメールの場合、一般的なソフトウェアとは異なるソフトウェアを用いる場合がある。そこで、送信装置８１の使用した送信メールソフトの情報に基づいて、契約者か否かを判定することができる。一般的なソフトウェアであれば評価点は低く、特殊なソフトウェアであれば評価点は高くなる。

評価に用いる電子メール情報は、判定部１３の判定結果である。判定部１３の判定結果のみでは、正常な電子メールを誤って悪意ある電子メールであると判定する可能性がある。そこで、送信制御部１５は、判定部１３の判定結果を送信者の評価点に加えることで、正常な電子メールか悪意ある電子メールかをより正確に判定することができる。評価点は任意であるが、悪意あるメールである可能性が高いほど評価点は高くなる。

送信制御部１５は、電子メール情報の各評価点を取得し（Ｓ１３３）、評価点を総合した総合評価点を総合評価結果として導出する（Ｓ１３４）。総合評価点が低ければ、送信者が契約者である可能性が高いという総合評価結果が得られる。一方、総合評価点が高ければ、送信者が契約者以外の悪意の第三者である可能性が高いという総合評価結果が得られる。これにより、悪意の第三者から送信された電子メールである可能性が高いか否かを判定することができる。

ここで、総合評価結果の導出に用いる電子メール情報の組み合わせは任意である。例えば、評価に用いる電子メール情報は、システム運営者が選択可能であることが好ましい。また、評価に用いる各電子メール情報の評価点や重み付けは、システム運営者及び契約者が選択可能であることが好ましい。

送信制御部１５は、送信者の総合評価結果に応じた処理を行う処理機能を有する。例えば、送信制御部１５は、送信者の総合評価結果に応じて、電子メールを異なるサーバ９２に出力する（Ｓ１３５）。この場合、送信者が契約者である可能性の高い総合評価結果の場合、送信制御部１５は、この送信者の電子メールをサーバ９２−１に出力する。一方、送信者が契約者以外の悪意の第三者である可能性が高い総合評価結果の場合、送信制御部１５は、この送信者の電子メールをサーバ９２−２に出力する。

このように、送信者の総合評価結果に応じて、ＩＰアドレスの異なるサーバ９２から電子メールを送信することが好ましい。送信者が契約者である可能性の高い総合評価結果の電子メールについては、サーバ９２−１を用いる。これにより、サーバ９２−１が外部で拒否等される可能性の低いサーバとなる。この場合、契約者である可能性の高い総合評価結果が得られた電子メールは予め定めたサーバ９２−１からスムーズに送信されるため、大量スパムメールの送信処理による正常メールの送信遅延を回避することができる。どのサーバ９２に出力するかは、例えば、総合評価結果の閾値を予め設定することで決定する。

なお、送信制御部１５は、送信者の総合評価結果に応じて、電子メールの送信を停止してもよい。停止は、完全に停止させてもよいが、一定時間の停止であることが好ましい。例えば、電子メールの送信を遅らせたり、同時に送信する電子メールの数を一定数に制限したりする。これにより、スパムメールやウイルスメールなどの悪意ある電子メールがサーバ９２から一斉送信される事態を抑止することができる。この結果、悪意ある大量の電子メールによって電子メール送信システムに負荷がかかり、電子メール送信システムが正常に稼働しなくなる事態を防止することができる。

送信者が契約者以外の悪意の第三者である可能性が高い総合評価結果の場合、通知部１７は、送信制御部１５における総合評価結果及び電子メールを、予め定められた管理者の使用する管理端末８３に通知することが好ましい（Ｓ１３６）。管理者は、例えば、システム運営者及び契約者である。これにより、正規の契約者のアカウントが悪意の第三者に乗っ取られている状態を早期に解消することができる。通知には、送信制御部１５が評価に用いた電子メール情報ごとの評価点や、認証部１１における認証結果及び判定部１３における判定結果が含まれていてもよい。

送信者が契約者以外の悪意の第三者である可能性のある総合評価結果の場合、通知部１７は、電子メールのコピーを、記憶部又は外部の保存サーバに保存することが好ましい。

本発明は情報通信産業に適用することができる。

１１：認証部
１２：アカウント管理ＤＢ
１３：判定部
１４：統計ＤＢ
１５：送信制御部
１７：通知部
８１：送信装置
８２：受信装置
８３：管理端末
９１：送信制御装置
９２−１、９２−２、９２−Ｎ：サーバ
９３：外部判定エンジン
９５：通信ネットワーク

Claims (5)

1. 電子メールの宛先に記載された受信装置に前記電子メールを送信するサーバと前記電子メールの送信元である送信装置との間に接続される送信制御装置であって、
   前記送信装置から送信された認証情報を予め保持している契約者の情報と照合し、契約者の認証を行う認証機能と、
   電子メールを前記送信装置から取得すると、電子メールの受信時に取得可能な情報に基づいて複数の評価を行い、前記評価ごとに評価点を算出する評価機能と、
   前記評価点を総合した総合評価点に応じた当該電子メールの処理を行う処理機能と、
   を備え、
   前記評価機能は、
   送信先メールアドレスに含まれるドメインについて、送信者毎に各ドメインへの送信数を集計した送信先ドメイン情報に基づく評価点、及び契約者がメール送信を利用する時間帯を集計した送信数集計情報に基づく評価点のうちの少なくともいずれかの評価点と、
   電子メールから導出される国情報と前記認証機能で認証した契約者の現在地とが一致するか否かに基づく評価点と、
   を算出する、送信制御装置。
2. 前記送信制御装置は、複数の前記サーバと接続されており、
   前記処理機能は、
   前記電子メールを前記複数のサーバのうちの前記総合評価点に応じて予め定められたサーバに出力し、
   前記総合評価点に応じて前記電子メールの送信を一定時間停止する、
   請求項１に記載の送信制御装置。
3. 前記処理機能は、重み付けされた評価点を用いて前記総合評価点を導出し、
   前記評価点及び前記重み付けは選択可能である、
   請求項１又は２に記載の送信制御装置。
4. 電子メールの宛先に記載された受信装置に前記電子メールを送信するサーバと前記電子メールの送信元である送信装置との間に接続される送信制御装置が実行する送信制御方法であって、
   前記送信装置から送信された認証情報を予め保持している契約者の情報と照合し、契約者の認証を行う認証ステップと、
   電子メールを前記送信装置から取得すると、電子メールの受信時に取得可能な情報に基づいて複数の評価を行い、前記評価ごとに評価点を算出する評価ステップと、
   前記評価点を総合した総合評価点に応じた当該電子メールの処理を行う処理ステップと、
   を順に有し、
   前記評価ステップにおいて、
   送信先メールアドレスに含まれるドメインについて、送信者毎に各ドメインへの送信数を集計した送信先ドメイン情報に基づく評価点、及び契約者がメール送信を利用する時間帯を集計した送信数集計情報に基づく評価点のうちの少なくともいずれかの評価点と、
   電子メールから導出される国情報と前記認証ステップで認証した契約者の現在地とが一致するか否かに基づく評価点と、
   を算出する、送信制御方法。
5. 請求項４に記載の各ステップをコンピュータに実行させるための送信制御プログラム。

Images