JP7403565B2 - 不正検出装置、不正検出方法、及び不正検出プログラム - Google Patents

Description

本発明は、不正検出装置、不正検出方法、及び不正検出プログラムに関する。

従来、決済処理等における不正決済を検出する等、インターネット上のユーザのアクションに関して不正なアクションを検出する装置が知られている。
特許文献１に記載のシステムでは、各対象サーバがユーザ端末からアクセストークン報を受信すると、認証装置から当該ユーザ端末に係るアクセストークンを受信し、アクセスが許可されたユーザ端末からのアクセスを受け付ける。そして、認証装置は、ＢＰスコアやＦＰスコア、累計スコアに基づいて設定されるブロックリスト、ユーザ端末から同一の認証情報が複数の異なる対象サーバに送信されたか否か等のルールに基づいてリスク判定を実施する。

特開２００４－３４８５３６号公報

ところで、上記のような従来の不正検出システムでは、不正検出の１つのルールとして、ブロックリストに接続元ＩＰ等が登録されているかを判定し、不正を検知する。しかしながら、不正ユーザがブロックリストを回避するために、例えばブラウザクッキー等の一部の情報を故意に変更する等により、ブロックリストを回避する回避行動をとる場合があり、不正ユーザによりこのような回避行動がとられると、ブロックリストによる不正検出は困難となる。

本発明は、高い精度で不正検出を実施可能な不正検出装置、不正検出方法、及び不正検出プログラムを提供することを目的とする。

本発明に係る一態様の不正検出装置は、所定のアクションの実行を要求するアクション要求情報であって、前記アクションの内容であるアクション内容と、前記アクションを要求する際の複数のパラメータとを含む前記アクション要求情報を受信する要求受信部と、１つの前記アクション要求情報に含まれる前記アクション内容と複数の前記パラメータとを互いに関連付け、かつ、新たに受信した前記アクション要求情報の前記パラメータが、過去に受信した前記アクション要求情報に含まれる前記パラメータと同一である場合に、当該パラメータに関連付けられた前記アクション内容を互いに関連付ける関連付部と、不正と判定すべき前記パラメータである不正パラメータを記録したブロックリストに基づいて、新規に受信した前記アクション内容が不正な不正アクションであるか否かを判定する不正判定部と、過去に受信した前記パラメータに関連付けられる前記不正アクションが所定の条件を満たす場合に、当該パラメータを前記不正パラメータとして前記ブロックリストに登録するリスト登録部と、を備える。

本発明では、パラメータに関連付けられるアクション内容が不正アクションであり、当該パラメータに関連付けられた不正アクションが所定の条件を満たす場合に、そのパラメータを不正パラメータとして検出し、ブロックリストに登録する。これにより、ブロックリストに登録する不正パラメータを拡張でき、例えば接続元ＩＰのみのブロックリストを用いてユーザの不正を検出する場合に比べて、より広い範囲でユーザの不正を検出することができる。よって、不正にサービスを利用するユーザ（不正ユーザ）が、例えばクッキー等の情報の一部を書き換えてアクション要求情報を送信したとしても、他のパラメータがブロックリストに記録されている可能性が高くなり、不正ユーザによるブロックリストの回避行動を抑制でき、より精度の高い不正検出を実施することが可能となる。

本実施形態の不正検出システムの概略を示す図。 本実施形態の不正検出方法におけるＢＬの更新処理を示すフローチャート。 不正パラメータの判定手法を説明するための図。 ネットワークグラフの一例を示す図。 不正判定方法における不正判定処理を示すフローチャート。 本実施形態のパラメータの関連付けを説明するための概略図。 不正パラメータからの距離を説明するための図。

以下、本発明に係る一実施形態の不正検出システムについて説明する。
図１は、本実施形態の不正検出システムを示す概略図である。
不正検出システム１は、サービスサーバ２０と、不正検出装置１０と、ユーザ端末３０と、を含んで構成されている。これらのサービスサーバ２０、不正検出装置１０、及びユーザ端末３０はインターネットを介して通信可能に接続されている。

本実施形態では、サービスサーバ２０は、ユーザ端末３０を操作するユーザに対して所定のサービスを提供する装置であり、ユーザ端末３０から送信されたアクション要求情報に対応したサービスを提供する。例えば、サービスサーバ２０は、クレジットカードや電子マネー等による決済サービスを提供してもよく、インターネットを介して商品を販売するネットショップサービスやオークションサービスを提供してもよく、その他のサービスを提供してもよい。
サービスサーバ２０にユーザ端末３０からアクション要求情報が送信されると、サービスサーバ２０は、不正検出装置１０に当該アクション要求情報を送信する。不正検出装置１０は、ユーザ端末３０からサービスサーバ２０を介して送信されたアクション要求情報を受信すると、そのアクション要求情報が不正なアクション要求であるか否かを判定する。不正が検出されなかった場合は、不正検出装置１０はサービスサーバ２０にアクション要求情報が適正である旨の応答を返し、これにより、サービスサーバ２０はユーザ端末３０にサービスを提供する。一方、不正検出装置１０により不正が検出された場合は、アクション要求が不正である旨をサービスサーバ２０に返し、この場合サービスサーバ２０からユーザ端末３０へのサービス提供は行われない。また、不正検出装置１０は、不正検出の結果に基づいて、サービスの提供を行わないユーザのリストを記録したブロックリストに当該ユーザに関する情報を記録する。
以下、各構成についてより詳細に説明する。

［不正検出装置１０の構成］
不正検出装置１０は、コンピュータにより構成され、通信部１１と、記憶部１２と、制御部１３と、等を含んで構成されている。なお、不正検出装置１０を構成するコンピュータの数は特に限定されない。例えば、１台のコンピュータによって不正検出装置１０が構成されてもよく、複数のコンピュータをネットワークで接続して構築されるクラウドサーバにより不正検出装置１０が構成されてもよい。
通信部１１は、例えばＬＡＮ等を介してネットワーク（インターネット）に接続されており、サービスサーバ２０やユーザ端末３０等の外部機器と通信する。

記憶部１２は、例えばメモリ、ハードディスク等により構成されたデータ記録装置である。この記憶部１２は、アクションデータベース（アクションＤＢ１２１）、関連データベース（関連ＤＢ１２２）、ブロックリスト（ＢＬ１２３）等を有する。
なお、ここでは、不正検出装置１０の記憶部１２に、アクションＤＢ１２１、及びＢＬ１２３等が設けられる例を示すが、不正検出装置１０とネットワークを介して通信可能に接続された他のデータサーバやクラウドストレージに、これらのデータが記録される構成としてもよい。
また、記憶部１２には、不正検出装置１０により不正検出処理を実施するための不正検出プログラム等の各種プログラムが記憶されている。

アクションＤＢ１２１には、サービスサーバ２０から送信されたアクション要求情報が蓄積されている。アクション要求情報には、ユーザがサービスを受ける際に必要となる複数のパラメータと、ユーザが提供を希望するサービスの内容に関するアクション内容とが含まれている。例えば、決済サービスを提供するアクション要求情報である場合、アクション内容は決済処理であり、パラメータとして、接続元ＩＰ、ユーザを識別するアカウント情報、クレジットカード番号、ユーザの居所、ユーザの電話番号、メール等のメッセージ通知先アドレス、電話番号、クッキー情報等が含まれる。
また、アクションＤＢ１２１に蓄積されるアクション要求情報には、不正検出装置１０によって、アクション内容が不正と判定されたか否かを示す不正判定フラグが記録されている。例えば、決済サービスの場合、決済処理が、不正なく適正決済処理を実施した通常決済であるか、不正決済であるかを示す不正判定フラグが記録される。

関連ＤＢ１２２は、アクション要求情報に含まれる各アクション内容及び各パラメータに関し、これらのアクション内容やパラメータ同士の関連性を記録する。例えば、関連ＤＢ１２２には、各アクション内容及び各パラメータをノードとし、アクション内容に対応したノードと各パラメータに対応したノードとをリンクにより接続したネットワークグラフが記録されていてもよい。この場合、複数のアクション内容に対して共通するパラメータが含まれる場合、当該共通するパラメータに対応するノードを介して複数のアクションノードがリンクにより接続される。リンクによって接続されたこれらのアクションノードやノードは互いに関連付けられた（紐付けられた）アクション内容、パラメータを示す。なお、関連ＤＢ１２２に記録される、パラメータ同士の関連性に関しては、上記に限定されず、例えば、アクション要求情報に含まれるアクション内容とパラメータとを１つのレコードとし、当該レコードに共通するパラメータを有する他のアクション内容を関連付けてもよく、データの管理方法については特に限定されるものではない。

ＢＬ１２３は、サービスの利用を提供しないユーザ、つまりブロックすべきユーザに関する情報を記録したリストであり、例えば、ブロック対象のユーザとすべきパラメータが多数記録されている。

制御部１３は、ＣＰＵ（Central Processing Unit）等の演算回路、ＲＡＭ（Random Access Memory）等の記録回路により構成される。制御部１３は、記憶部１２等に記録されている各種プログラムをＲＡＭに展開し、ＲＡＭに展開されたプログラムとの協働により各種処理を実行する。そして、制御部１３は、記憶部１２に記録された不正判定プログラムを含む各種プログラムを読み込み実行することで、図１に示すように、要求受信部１３１、関連付部１３２、不正パラメータ検出部１３３、リスト登録部１３４、グラフ作成部１３５、及び不正判定部１３６等として機能する。

要求受信部１３１は、ユーザ端末３０から送信されたアクション要求情報をサービスサーバ２０を介して受信する。
関連付部１３２は、アクション要求情報に含まれる複数のパラメータを抽出し、抽出したパラメータの関連付けを行い、関連ＤＢ１２２を更新する。
不正パラメータ検出部１３３は、関連ＤＢ１２２とＢＬ１２３に基づいて、不正と判定すべきパラメータ（不正パラメータ）、及び不正である可能性があるパラメータ（不正パラメータ候補）を検出する。

リスト登録部１３４は、不正パラメータをＢＬ１２３に登録する。
グラフ作成部１３５は、各パラメータ及び各アクション内容の関係性を示すネットワークグラフを作成し、関連ＤＢ１２２に記録する。
不正判定部１３６は、ＢＬ１２３に基づいて、アクション要求情報が不正であるか適正であるかの不正判定処理を実施する。例えば、不正判定部１３６は、ＢＬ１２３に記録されたパラメータが含まれるアクション要求情報を不正なアクション要求情報として判定する。

［サービスサーバ２０、及びユーザ端末３０の構成］
サービスサーバ２０はサービス提供者が保有するコンピュータであり、ユーザ端末３０は、ユーザが保有する端末装置（コンピュータ）である。
これらのサービスサーバ２０、及びユーザ端末３０の具体的な構成の図示は省略するが、一般的なコンピュータが有する基本的な構成を有する。すなわち、サービスサーバ２０、及びユーザ端末３０は、入力操作を受け付ける入力操作部、画像情報を表示させるディスプレイ、各種情報を記録する記録装置、各種情報を演算処理する演算回路（ＣＰＵ等）を備えている。

［不正検出システム１の動作］
次に、本実施形態の不正検出システム１による不正検出方法について説明する。
まず、不正判定方法におけるＢＬ１２３の更新処理について説明する。
図２は、本実施形態の不正検出システムによるＢＬ１２３の更新処理を示すフローチャートである。
ＢＬ１２３の更新処理は、過去に受信されてアクションＤＢ１２１に蓄積されているアクション要求情報とＢＬ１２３とを用いて実施される。
不正パラメータ検出部１３３は、アクションＤＢ１２１に蓄積されているアクション要求情報を読み出す（ステップＳ１）。読み出されるアクション要求情報は、全てのアクション要求情報であってもよく、直近の所定期間のアクション要求情報であってもよい。
また、不正パラメータ検出部１３３は、読み出した過去のアクション要求情報に含まれる各パラメータについて、当該パラメータに関連付けられたアクション内容（通常アクション、又は不正アクション）を検出する。
そして、不正パラメータ検出部１３３は、各パラメータに関して、当該パラメータに関連付けられた不正アクションの数が所定の閾値（第一閾値）以上であるか否かを判定する（ステップＳ２）。
ステップＳ２でＹＥＳと判定される場合、さらに、不正パラメータ検出部１３３は、各パラメータに関連付けられたアクション内容において、不正アクションの占める割合が所定の閾値（第二閾値）以上であるか否かを判定する（ステップＳ３）。

図３は、ステップＳ２及びステップＳ３でのＢＬ１２３に登録する不正パラメータの決定手法を示す図である。
図３は、ネットワークグラフの一部の一例であり、判定対象となるパラメータ（判定パラメータＲ）と、当該判定パラメータＲに関連付けられた複数のアクション内容とが示されている。ここで、黒で示されるアクション内容は、不正と判定された不正アクションＱ_Ｆであり、白で示されるアクション内容は、通常に処理されたアクション内容Ｑ_Ｔである。
ステップＳ２で、不正パラメータ検出部１３３は、判定パラメータＲに関連付けられた不正アクションＱ_Ｆの数Ｎ_１が第一閾値以上であるか否かを判定する。そして、ステップＳ２でＹＥＳと判定される場合、さらに、不正パラメータ検出部１３３は、ステップＳ３により、判定パラメータＲに関連付けられたアクション内容において、不正アクションＱ_Ｆの占める割合Ｎ_２が第二閾値以上であるか否かを判定する。そして、ステップＳ２及びステップＳ３の双方でＹＥＳと判定される場合、判定パラメータＲを不正パラメータとして検出する。
なお、第一閾値及び第二閾値は、不正検出装置１０の管理者またはサービスサーバ２０の管理者が適宜設定することができる。例えば、図３に示す判定パラメータＲは、第一閾値を４とする場合においてステップＳ２においてＹＥＳと判定される。また、図３に示す判定パラメータＲは、第二閾値を０．５とする場合においてステップＳ３においてＹＥＳと判定される。

ステップＳ２及びステップＳ３でＹＥＳと判定され、判定パラメータＲが不正パラメータとして検出された場合、リスト登録部１３４は、検出した不正パラメータをＢＬ１２３に新たに登録する（ステップＳ４）。なお、上記ステップＳ２からステップＳ３の処理は、ステップＳ１で読み出された各アクション要求情報に含まれる各パラメータについて実施される。

また、グラフ作成部１３５は、蓄積された過去のアクション要求情報と、ＢＬ１２３とに基づいて、ネットワークグラフを作成し、記憶部１２の関連ＤＢ１２２に記録してもよい（ステップＳ５）。
図４は、ネットワークグラフの一例である。
グラフ作成部１３５は、各アクション内容に対応するノードＮと、パラメータに対応するノードＮとをグラフ上に配置し、互いに関連するノードＮをリンクＬで接続したネットワークグラフを作成する。この際、不正パラメータや不正アクションと判定されたノードＮの大きさや色等の表示形態を変更する。また、関連する不正パラメータの数に応じて、ノードの大きさや色等の表示形態を変更してもよい。
このネットワークグラフは、管理者により閲覧可能に記憶部１２に記憶されており、管理者が適宜ネットワークグラフを閲覧することで、容易に互いに関連する不正パラメータのまとまりや、不正なアクション要求として頻繁に使用されるパラメータ等を確認でき、不正検出処理におけるＢＬ１２３の見直しや更新に貢献することができる。

次に、更新されたＢＬ１２３を用いた不正判定処理について説明する。
図５は、不正判定方法における不正判定処理を示すフローチャートである。
本実施形態では、ユーザがサービスサーバ２０からサービスの提供を受ける場合、ユーザ端末３０からサービスサーバ２０に所定のサービスの提供を要求するアクション要求情報を送信する。サービスサーバ２０は、アクション要求情報を受信すると、当該アクション要求情報を不正検出装置１０に送信し、アクション要求情報に不正がないか否かを問い合わせる。

不正検出装置１０において、要求受信部１３１がサービスサーバ２０からアクション要求情報を受信すると（ステップＳ６）、関連付部１３２は、アクション要求情報に含まれるパラメータの関連付けを行う（ステップＳ７）。
なお、以降の説明にあたり、ステップＳ６で新規に受信したアクション要求情報に含まれるアクション内容を対象アクションと称し、パラメータを対象パラメータと称する。

図６は、パラメータの関連付けを説明するための概略図であり、各パラメータ及び各アクション内容のネットワークグラフの一例を示している。
ステップＳ７では、過去に受信したアクション要求情報に含まれるアクション内容及びパラメータと、ステップＳ６で受信したアクション要求情報に含まれる対象アクション及び対象パラメータとの関連付けを行う。例えば、図６のＰ１は新規に受信した１つのアクション要求情報を示しており、当該アクション要求情報Ｐ１には、対象アクションＱ１と、複数の対象パラメータＲ１，Ｒ２，Ｒ３とが含まれる。
関連付部１３２は、これらの対象アクションＱ１、及び対象パラメータＲ１，Ｒ２，Ｒ３を互いに関連付ける。
また、過去にアクション内容Ｑ２、パラメータＲ１，Ｒ４，Ｒ５を含むアクション要求情報が受信されている場合、関連ＤＢ１２２には、図６に示すように、アクション内容Ｑ２とパラメータＲ１，Ｒ４，Ｒ５とが関連付けられている旨が記録されている。この場合、関連付部１３２は、図６に示すように、対象アクションＱ１及びアクション内容Ｑ２を、共通のパラメータＲ１を介して関連付ける。つまり、パラメータＲ１を介して対象アクションＱ１とアクション内容Ｑ２とが関連付けられることになる。

次に、不正パラメータ検出部１３３は、対象パラメータが、ＢＬ１２３に含まれるか否かを判定する（ステップＳ８）。

ステップＳ８でＮＯと判定される場合、既にＢＬ１２３に記録されている不正パラメータから対象アクション及び対象パラメータまでの距離が予め設定された閾値（第三閾値）以内であるか否かを判定する（ステップＳ９）。
図７は、不正パラメータからの距離を説明するための図であり、ネットワークグラフの一部の例を示している。図７において、不正アクションＱ_ＢＬ、及び不正パラメータＲ_ＢＬは、既にＢＬ１２３に記録されている情報である。
ここで、既にＢＬ１２３に登録されている不正パラメータＲ_ＢＬに紐づけられたアクション内容（不正アクションＱ_ＢＬを含まない）を距離が１のアクション内容（不正アクション候補Ｑ_Ｆ１）とし、当該不正アクション候補Ｑ_Ｆ１に紐づく不正パラメータ候補を距離が１の不正パラメータ候補Ｒ_Ｆ1とする。また、不正パラメータ候補Ｒ_Ｆ１に紐づけられたアクション内容（不正アクション候補Ｑ_Ｆ１を含めない）を距離が２の不正アクション候補Ｑ_Ｆ２とし、当該不正アクション候補Ｑ_Ｆ２に紐づく不正パラメータ候補を距離が２の不正パラメータ候補Ｒ_Ｆ２とする。以降、距離がｉの不正パラメータ候補Ｒ_Ｆｉに紐づけられたアクション内容（不正アクション候補Ｑ_Ｆｉを含めない）を距離がｉ＋１の不正アクション候補Ｑ_Ｆｉ＋１とし、当該不正アクション候補Ｑ_Ｆｉ＋１に紐づく不正パラメータ候補Ｒ_Ｆを距離がｉ＋１の不正パラメータ候補Ｒ_Ｆｉ＋１とする。

ステップＳ８でＹＥＳと判定された場合（対象パラメータがＢＬ１２３に登録されている場合）、及びステップＳ９でＹＥＳと判定された場合（対象パラメータの不正パラメータからの距離が第三閾値以内である場合）、不正判定部１３６は、ＢＬ１２３に基づく不正判定処理により、対象パラメータを含むアクション要求情報が不正であると判定する（ステップＳ１０）。また、ステップＳ９でＮＯと判定される場合（対象パラメータの不正パラメータからの距離が第三閾値より大きい場合）、他の対象パラメータが不正と判定されていない限り、アクション要求情報が正常であると判定する（ステップＳ１１）。

［本実施形態の作用効果］
本実施形態の不正検出装置１０では、制御部１３が、記憶部１２に記憶された不正検出プログラムを読み込み実行することで、要求受信部１３１、関連付部１３２、リスト登録部１３４、及び不正判定部１３６として機能する。
要求受信部１３１は、ユーザ端末３０から送信されたアクション要求情報を受信する。このアクション要求情報には、アクション内容とパラメータとを含み、例えば決済処理を要求する場合では、決済処理を示すアクション内容と、接続元ＩＰやクレジットカード番号等のパラメータとが含まれる。
関連付部１３２は、同一のアクション要求情報に含まれる前記アクション内容と複数の前記パラメータとを互いに関連付ける。また、新たに受信したアクション要求情報に含まれる対象パラメータが、過去に受信したアクション要求情報に含まれるパラメータと同一である場合に、当該対象パラメータ（パラメータ）に関連付けられるアクション内容を関連付ける。つまり、対象属性を介して２つのアクション要求情報が関連付けられる。
不正判定部１３６は、ＢＬ１２３に基づいて、アクション要求情報が不正であるか否かを判定する。
リスト登録部１３４は、過去に受信したアクション要求情報に基づいて、過去のアクション要求情報に含まれる判定パラメータに関連付けられる前記不正アクションが所定の条件を満たす場合に、当該判定パラメータを不正パラメータとしてＢＬ１２３に登録する。

以上のような本実施形態では、不正と判断すべきパラメータを好適に拡張することができ、不正ユーザによるＢＬ１２３の回避行動を抑制して、精度よく不正を検出することができる。
アクション内容として決済処理を具体例として説明する。従来の不正検出方法では、不正決済が見つかった場合に、その不正決済に関連付けられる単一のパラメータのみ（例えば、接続元ＩＰ）をブロックリストとして登録する。この場合、例えば、不正ユーザが他のｐｒｏｘｙサーバを経由する、クッキー情報の一部を変更するなどの回避行動をとった場合に、不正を検出することができない。
これに対して、本実施形態では、不正決済に関連付けられた複数のパラメータが不正パラメータ候補となり、これらの不正パラメータ候補において、所定の条件を満たすパラメータが、ＢＬ１２３に登録される。したがって、従来のように、不正決済に基づく接続元ＩＰのみといったブロックリストによる不正検出に比べて、不正決済に紐づく多数のパラメータがＢＬ１２３に登録される。これにより、不正ユーザが、他のｐｒｏｘｙサーバを経由するように決済処理を実施した場合でも、クッキーの一部の情報を書き換えた場合でも、他のパラメータが不正パラメータとして登録されている可能性が高く、不正ユーザによる不正決済を好適に検出することができる。

本実施形態では、リスト登録部１３４は、判定パラメータに対して、第一閾値以上の数の不正アクションが関連付けられた場合に、その判定パラメータを不正パラメータとして登録する。
上述したように、不正パラメータに関連するパラメータをＢＬ１２３に登録することで、不正ユーザによるＢＬ１２３の回避行動を抑制することが可能となる。しかしながら、不正パラメータに関連するパラメータの全てをＢＬ１２３に登録すると、不正なアクションではないにもかかわらず、不正と判定される誤検出の発生率が高くなる。例えば、ｐｒｏｘｙサーバを経由する等により多くのユーザで、接続元ＩＰが同一と判定される場合がある。この場合、当該接続元ＩＰをＢＬ１２３に登録すると、誤検知が大量に発生する。これに対して、本実施形態では、ステップＳ２において、上記のように、判定パラメータに関連付けられている不正アクションの数が第一閾値以上である場合に、不正パラメータとして検出する。したがって、判定パラメータに対して第一閾値未満の不正アクションが関連付けられていても、不正パラメータとはみなされず、ＢＬ１２３に登録されない。これにより、誤検出の発生を抑制することができる。

本実施形態では、リスト登録部１３４は、判定パラメータに対して関連付けられた複数のアクション内容のうち、第二閾値以上の割合のアクション内容が不正アクションである場合に、判定パラメータを不正パラメータとして検出する。
つまり、判定パラメータに対して第二閾値未満の割合で不正アクションが関連付けられていても、不正パラメータとはみなされず、ＢＬ１２３に登録されない。これにより、上記と同様に、誤検出の発生を抑制することができる。

また、判定パラメータに関連付けられた不正アクションの数のみでＢＬ１２３に登録するか否かを判定する場合、判定パラメータに関連付けられるアクション内容の数によって誤検出が増大することがある。例えば、判定パラメータに対して関連付けられたアクション内容の数が非常に多く、不正アクションの数が第一閾値以上ではあるものの、大半のアクションが適正である場合、ＢＬ１２３に当該判定パラメータを不正パラメータとして登録すると、多くの適正なアクション内容が不正として検出される。一方、判定パラメータに関連付けられた不正アクションの割合のみでＢＬ１２３に登録するか否かを判定する場合、判定パラメータに関連付けられるアクション内容が少数である場合に誤検出が増大することがある。例えば、判定パラメータに対して関連付けられたアクション内容が２～３程度である場合では、不正アクションの数が１個程度でも、不正アクションの割合が第二閾値以上としてＢＬ１２３に登録されることがある。このような場合、データ数が少なく十分な精度で不正を検出することができない。
これに対して、本実施形態では、ステップＳ２及びステップＳ３の双方を実施することで、両者のデメリットを補うことができ、適正に不正ユーザを検出可能なＢＬ１２３を作成できる。

本実施形態では、新規に受信したアクション要求情報に含まれる対象パラメータの不正パラメータからの距離が第三閾値以内となる場合に、当該対象パラメータを含むアクション要求情報を不正と判定する。
これにより、不正パラメータからの距離が１である対象パラメータのみならず、より広い範囲に不正と判定すべき不正判定範囲を広げることができ、不正ユーザがＢＬ１２３を回避してサービスを利用するとする不正行為を抑制できる。

本実施形態では、グラフ作成部１３５が、アクション内容及びパラメータをノードＮとして、互いに関連付けられたアクション内容及びパラメータに対応する一対のノードＮをリンクＬにより接続し、不正パラメータ及び不正パラメータ候補に対応するノードＮを、他の通常のパラメータのノードＮとは異なる表示形態で表示したネットワークグラフを作成する。
これにより、不正検出装置１０の管理者は、当該ネットワークグラフを確認することで、ＢＬ１２３の更新等を容易に行える。また、本実施形態では、上述した第一閾値、第二閾値、第三閾値は、不正検出装置１０の管理者によって適宜調整することが可能であり、管理者が、ネットワークグラフを確認することで、これらの閾値を適正な値に容易に調整することができる。

本実施形態では、各サービスサーバ２０と別体として不正検出装置１０が設けられ、各サービスサーバ２０を介してユーザ端末３０から送信されるアクション要求情報を受信する。この場合、各サービスサーバ２０のサービス内容に応じた様々なパラメータを受信することがで、これらのパラメータの関連付けを行うことができる。したがって、あるサービスにおいて、不正なサービスの利用として判定されたユーザのパラメータがＢＬ１２３に登録されると、そのパラメータに関連する他のパラメータも不正パラメータとしてＢＬ１２３に登録される可能性が高くなる。このため、当該ユーザが他のサービスを利用する場合に不正ユーザとして判定される可能性が高くなり、ユーザのサービスの不正利用に対する抑止力としてすることができる。

［変形例］
なお、本発明は、上述した実施形態に限定されるものではなく、本発明の目的を達成できる範囲で、以下に示される変形をも含むものである。

［変形例１］
上記実施形態では、ステップＳ９において、不正パラメータからの距離が第三閾値以内の対象パラメータを含むアクション要求情報を不正と判定した。これに対して、他の不正パラメータからの距離をさらに考慮してもよい。
例えば、対象パラメータからの距離が第三閾値以内の範囲に、第一閾値以上の不正パラメータが存在する場合に、対象パラメータを含むアクション要求情報を不正と判定してもよい。また、対象パラメータからの距離が第三閾値以内の範囲に存在するアクション内容のうち、第二閾値以上の割合で不正パラメータが存在する場合に、対象パラメータを含むアクション要求情報を不正と判定してもよい。

［変形例２］
上記実施形態では、ステップＳ２によりＹＥＳと判定された場合に、ステップＳ３の処理を実施したが、ステップＳ３を先に実施し、ステップＳ３でＹＥＳと判定される場合にステップＳ２の処理を実施してもよい。この場合でも、上記実施形態と同様に、ステップＳ２及びステップＳ３の双方でＹＥＳと判定されることで、対象パラメータを不正パラメータとして検出する。
さらに、上記実施形態では、ステップＳ２及びステップＳ３の双方を実施する例を示しているが、ステップＳ２及びステップＳ３のいずれかのみが実施されてもよい。

［変形例３］
上記実施形態では、不正検出装置１０と、サービスサーバ２０とが別体として設けられ、不正検出装置１０は、ユーザ端末３０から送信されアクション要求情報がサービスサーバ２０を介して受信する構成であるが、これに限定されない。
例えば、各サービスサーバ２０を不正検出装置１０として機能させてもよい。この場合、各サービスサーバ２０の制御部（プロセッサー）が記憶部に記憶された不正検出プログラムを読み出し実行することで、要求受信部１３１、関連付部１３２、不正パラメータ検出部１３３、リスト登録部１３４、グラフ作成部１３５、及び不正判定部１３６として機能する。

１…不正検出システム、１０…不正検出装置、１１…通信部、１２…記憶部、１３…制御部、２０…サービスサーバ、３０…ユーザ端末、１３１…要求受信部、１３２…関連付部、１３３…不正パラメータ検出部、１３４…リスト登録部、１３５…グラフ作成部、１３６…不正判定部、１２１…アクションデータベース、１２２…関連データベース、１２３…ブロックリスト、Ｌ…リンク、Ｎ…ノード。

Claims (7)

1. 所定のアクションの実行を要求するアクション要求情報であって、前記アクションの内容であるアクション内容と、前記アクションを要求する際の複数のパラメータとを含む前記アクション要求情報を受信する要求受信部と、
   １つの前記アクション要求情報に含まれる前記アクション内容と複数の前記パラメータとを互いに関連付け、かつ、新たに受信した前記アクション要求情報の前記パラメータが、過去に受信した前記アクション要求情報に含まれる前記パラメータと同一である場合に、当該パラメータに関連付けられた前記アクション内容を互いに関連付ける関連付部と、
   不正と判定すべき前記パラメータである不正パラメータを記録したブロックリストに基づいて、新規に受信した前記アクション内容が不正な不正アクションであるか否かを判定する不正判定部と、
   過去に受信した前記パラメータに関連付けられる前記不正アクションが所定の条件を満たす場合に、当該パラメータを前記不正パラメータとして前記ブロックリストに登録するリスト登録部と、を備える、不正検出装置。
2. 前記リスト登録部は、過去に受信した前記パラメータに対して、第一閾値以上の数の前記不正アクションが関連付けられた場合に、当該パラメータを不正パラメータとして登録する、
   請求項１に記載の不正検出装置。
3. 前記リスト登録部は、過去に受信した前記アクション要求情報に含まれる前記パラメータに対して関連付けられた複数の前記アクション内容のうち、第二閾値以上の割合の前記アクション内容が前記不正アクションである場合に、当該パラメータを前記不正パラメータとして登録する、
   請求項１に記載の不正検出装置。
4. 前記不正パラメータに関連付けられた前記アクション内容であって前記不正アクションを含まない前記アクション内容を距離が１の不正アクション候補とし、前記距離が１の不正アクション候補に関連付けられた前記パラメータであって前記不正パラメータを含まない前記パラメータを距離が１の不正パラメータ候補とし、距離がｉの不正パラメータ候補に関連付けられた前記アクション内容であって前記距離がｉの不正アクション候補を含まない前記アクション内容を距離がｉ＋１の不正アクション候補とし、前記距離がｉ＋１の不正アクション候補に関連付けられた前記パラメータであって前記距離がｉの不正パラメータ候補を含まない前記パラメータを距離がｉ＋１の不正パラメータ候補とした場合に、
   前記不正判定部は、新規に受信した前記アクション要求情報に含まれるパラメータの前記不正パラメータからの距離が第三閾値以内となる場合に、当該アクション要求情報を不正と判定する、
   請求項１から請求項３のいずれか１項に記載の不正検出装置。
5. 前記アクション内容及び前記パラメータをノードとして、互いに関連付けられた前記アクション内容及び前記パラメータに対応する一対の前記ノードをリンクにより接続し、前記不正パラメータに対応する前記ノードを、他の前記パラメータの前記ノードとは異なる表示形態で表示したネットワークグラフを作成するグラフ作成部をさらに備える、
   請求項１から請求項４のいずれか１項に記載の不正検出装置。
6. コンピュータによりユーザ端末から送信された所定のアクションの実行を要求するアクション要求情報の不正を検出する不正検出方法であって、
   前記アクション要求情報は、前記アクションの内容であるアクション内容と、前記アクションを要求する際の複数のパラメータとを含み、
   前記コンピュータは、要求受信部、関連付部、不正判定部、及びリスト登録部を備え、
   前記要求受信部が、前記アクション要求情報を受信する要求受信ステップと、
   前記関連付部が、１つの前記アクション要求情報に含まれる前記アクション内容と複数の前記パラメータとを互いに関連付け、かつ、新たに受信した前記アクション要求情報の前記パラメータが、過去に受信した前記アクション要求情報に含まれる前記パラメータと同一である場合に、当該パラメータに関連付けられた前記アクション内容を互いに関連付ける関連付ステップと、
   前記不正判定部が、不正と判定すべき前記パラメータである不正パラメータを記録したブロックリストに基づいて、新規に受信した前記アクション内容が不正な不正アクションであるか否かを判定する不正判定ステップと、
   前記リスト登録部が、過去に受信した前記パラメータに関連付けられる前記不正アクションが所定の条件を満たす場合に、当該パラメータを前記不正パラメータとして前記ブロックリストに登録するリスト登録ステップと、
   を実施する、不正検出方法。
7. コンピュータにより読み取り実行可能な不正検出プログラムであって、
   前記コンピュータを請求項１から請求項５のいずれか１項に記載の不正検出装置として機能させる、不正検出プログラム。

Images