JPH11259571A - 電子商取引システム不正利用検出方法及び装置 - Google Patents

Abstract

(57)【要約】 【課題】正規ユーザや正規クライアントの通常の行動を
監視した結果に基づいて、不正ユーザや不正クライアン
トによるシステムの不正利用を検出することの可能な電
子商取引システム不正利用検出方法及び装置を提供す
る。 【解決手段】データ蓄積手段２により蓄積された個人別
モデル及び一般モデルに組み込まれた複数のデータを、
新たなアクセスが実行されるごとに、当該アクセスが不
正利用によるものであるか否かを判定するための判定基
準として供与する判定基準供与手段６と、この判定基準
供与手段６により供与される個人別モデル及び一般モデ
ルに組み込まれた複数のデータと、当該アクセスに伴っ
てアクセスデータ抽出手段１により抽出される新たな複
数のデータとを比較して、当該アクセスが不正利用によ
るものであるか否かを判定する不正利用判定手段７とを
有する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、電子商取引システ
ム不正利用検出方法及び装置に関し、詳しくは、電子商
取引による物品販売などを行う任意のクライアント／サ
ーバシステム（以下、単に「電子商取引システム」とい
う）の利用を許可されていない人物が、正規に許可を受
けた人物に成りすまして当該電子商取引システムを不正
に利用するのを検出するための電子商取引システム不正
利用検出方法、及びその実施に直接使用する電子商取引
システム不正利用検出装置に係わる。

【０００２】

【従来の技術】近年、例えば、ＷＷＷ（World Wide We
b）を使ったインターネット上のＷＷＷサイトにおい
て、商品カタログを展示するなどして物品の販売を行う
バーチャルモール、即ち電子的なショッピングアーケー
ドが設営されている。

【０００３】この種のＷＷＷサイトでは、ユーザ（物品
を購入しようとする利用者）がクライアント端末から自
身のクレジットカード情報を入力したり、電子マネーを
使って決済を行う電子商取引が行われるため、不正利用
があった場合には、ショッピングアーケードの運営者に
金銭的な被害が及ぶことになる。これを防止するために
は、サーバの側で、ユーザが電子商取引システムにアク
セスを開始してから決済が行われるまでの短時間のうち
に不正利用を検出して、不正ユーザを排除する必要があ
る。

【０００４】なお、ここにいう「不正利用」とは、ある
人物がサーバ管理者から正規の手順を経て入手したＩＤ
（Identification）やパスワードなどの個人識別子を、
他の人物が正規の手順を経ずに何らかの方法で入手し、
それを行使してサーバの機能を利用することや、或い
は、システムの欠陥を利用して他の人物に成りすまし、
サーバの機能を利用することをいう。また、「不正ユー
ザ」とは、以上のような不正利用を行う人物をいう。

【０００５】ここで、従来の一般的なコンピュータシス
テムにおいて採用されている不正利用検出のための手法
を挙げれば、 （１）コンピュータシステム内に保存されている各種の
ログを解析することで、ユーザが許可されていないコマ
ンドの実行などを行ったことを検出し、これを不正利用
と見做す手法。

【０００６】（２）コンピュータシステムを構成するソ
フトウェアの欠陥、設定ミス、不適切な利用などを検査
することで、不正利用を行おうとする人物からの攻撃対
象になりうる事象を事前にシステム管理者などが調査す
る手法。

【０００７】（３）コンピュータシステム内に常駐のシ
ステムや、ネットワーク上に設置したネットワークパケ
ットのモニタリングを行うシステムにより、コンピュー
タシステムに被害を及ぼすことができる特権ユーザ（シ
ステム管理の権限を有するユーザ、いわゆるスーパーユ
ーザなどを指し、一般ユーザと区別される）の行動（イ
ベントの要求過程）を監視し、これを予めシステムに登
録してある行動パターンと比較して、その行動が不正ユ
ーザのものであるか否かを判断する手法などがある。

【０００８】

【発明が解決しようとする課題】しかしながら、以上に
示した不正利用検出のための手法は、あくまで一般的な
コンピュータシステムに採用されるものであり、（１）
の手法の場合、所要の不正利用の検出を、定期的にログ
を検査するタイミングでしか行うことができないため、
その不正利用の検出にリアルタイム性が求められる電子
商取引システムにおいては、何らの効果も期待すること
ができない。

【０００９】（２）の手法の場合、予め存在が確認され
ている欠陥などを検査することしかできないため、欠陥
などが無い状況において行われる不正利用を検出するこ
とはできず、上述したのと同様な理由により、この手法
の電子商取引システムへの適用には無理あがる。

【００１０】また、（３）の手法の場合、監視する対象
である特権ユーザの行動が存在する状況下についてのみ
しか機能しないため、基本的に、権限が同一のユーザの
中から不正ユーザを検出しようとするときには利用でき
ない。特に、問題とされる電子商取引システムにおいて
は、登録されるユーザの中に特権ユーザは存在せず、ユ
ーザは全て同じ権限を持っており、サーバ内で行えるこ
とも同じである。

【００１１】以上のように、何れの手法も、電子商取引
システムの不正利用の検出には適用することができな
い。ただ、以上のことから、電子商取引システムの不正
利用の検出に際しては、特権ユーザの行動を監視するの
ではなく、正規ユーザの通常の行動に基づいてそれを行
うのが適切であると考えられ、そのためには、やはり、
電子商取引システムへのアクセスに伴ってサーバ内に記
録されるログを利用するのが得策である。

【００１２】ここで、上述のサーバ内に記録されるログ
の種類を考えた場合、例えば、ＷＷＷサーバにおいて
は、クライアントから表示要求の為されたファイル名、
要求元クライアントのマシン名、或いは時間などといっ
た、極めて限られた情報のみしかログに記録されない。

【００１３】しかも、ＷＷＷサーバの特徴として、同一
クライアントからの表示要求であるセッションを、１回
ごとに分離して記録することしかできない。このこと
は、あるユーザが一つの目的のために行った複数のペー
ジの表示要求を、サーバ側が、同一のユーザにより為さ
れた一連の行動として捕らえられないことを意味してい
る。

【００１４】ここにおいて、本発明の解決すべき主要な
目的は次のとおりである。即ち、本発明の第１の目的
は、正規ユーザの通常の行動を監視した結果に基づい
て、不正ユーザによるシステムの不正利用を検出するこ
との可能な電子商取引システム不正利用検出方法及び装
置を提供せんとするものである。

【００１５】本発明の第２の目的は、同一ユーザにより
為された一連の行動を把握することの可能な電子商取引
システム不正利用検出方法及び装置を提供せんとするも
のである。

【００１６】本発明の第３の目的は、一般的なユーザの
行動様式に基づいてシステムの不正利用を検出すること
の可能な電子商取引システム不正利用検出方法及び装置
を提供せんとするものである。

【００１７】本発明の他の目的は、明細書、図面、特に
特許請求の範囲の各請求項の記載から自ずと明らかとな
ろう。

【００１８】

【課題を解決するための手段】本発明においては、上記
課題の解決にあたり、クライアントからサーバに対しア
クセスが開始された後に発行される種々の複数のデータ
を取り込み、これら一旦取り込んでおいた複数のデータ
のそれぞれと、以後、新たにアクセスが実行されるごと
に当該アクセス後に得られる複数のデータとを比較し、
この比較結果に基づいて、当該アクセスが不正利用によ
るものであるか否かを判定する、という手法及び手段を
講じる特徴を有する。

【００１９】さらに、具体的詳細に述べると、当該課題
の解決では、本発明が次に列挙する上位概念から下位概
念にわたる新規な特徴的構成手法又は手段を採用するこ
とにより、前記目的を達成するよう為される。

【００２０】即ち、本発明方法の第１の特徴は、電子商
取引の不正利用をアクセス毎に常時監視しリアルタイム
で検出するに当り、正規ユーザや正規クライアントのア
クセス及びイベント等行動における過去の行動履歴傾向
及び習性を参照して判定検出してなる電子商取引システ
ム不正検出方法の構成採用にある。

【００２１】本発明方法の第２の特徴は、上記本発明方
法の第１の特徴における前記行動履歴が、個人別モデル
と一般モデルに区分されてなる電子商取引システム不正
検出方法の構成採用にある。

【００２２】本発明方法の第３の特徴は、上記本発明方
法の第１又は第２の特徴における前記個人別モデルと一
般モデルが、相互に参照優先順位が付与されてなる電子
商取引システム不正検出方法の構成採用にある。

【００２３】本発明方法の第４の特徴は、上記本発明方
法の第２又は第３の特徴における前記個人別モデルと一
般モデルが、アクセスに伴う単独のイベント記録から直
接データが得られるものと、複数のイベント記録から導
き出されるものの両方のデータを利用してなる電子商取
引システム不正検出方法の構成採用にある。

【００２４】本発明方法の第５の特徴は、上記本発明方
法の第１、第２、第３又は第４の特徴における前記過去
の行動履歴が、ユーザやクライアントに個人識別子を持
たせ、初期画面以降のページの移動時にその情報がプロ
バイダやサーバに自動的に送信されるよう、当該プロバ
イダやサーバから前記ユーザやクライアントに送るデー
タにより当該ユーザやクライアントの機能を制御し、前
記個人識別子毎に分けられるデータを当該プロバイダや
サーバ内のファイルやメモリ等に蓄積してなる電子商取
引システム不正検出方法の構成採用にある。

【００２５】本発明方法の第６の特徴は、上記本発明方
法の第２、第３、第４又は第５の特徴における前記個人
モデルと一般モデルが、統計処理を行うデータと状態遷
移を表すデータの両方を含んでなる電子商取引システム
不正検出方法の構成採用にある。

【００２６】本発明方法の第７の特徴は、上記本発明方
法の第６の特徴における前記状態遷移が、アクセス行動
から不正利用を検出する単独アクセス行動状態遷移と、
過去から現在までの状態遷移の比較によって不正利用を
検出する複数アクセス状態遷移とが存在してなる電子商
取引システム不正利用検出方法の構成採用にある。

【００２７】本発明方法の第８の特徴は、電子商取引を
行う任意のクライアント／サーバシステムに対する不正
利用を検出するための電子商取引の不正利用を検出する
に当り、クライアントからサーバに対しアクセスが開始
された後、クライアントから所定のイベントが複数回に
わたって発行されるごとに、サーバにおいて、クライア
ント及びそのユーザに関する情報並びに当該ユーザによ
る電子商取引行為に関する情報を複数のデータとして逐
次取り込んで、当該複数のデータのそれぞれを、ユーザ
に付与される個人識別子を単位とした個人別モデルに組
み込んで蓄積し、以後、新たにアクセスが実行されるご
とに、当該アクセスが開始された後に得られる複数のデ
ータと個人別モデルとを比較し、この比較結果に基づい
て、当該アクセスが不正利用によるものであるか否かを
判定してなる電子商取引システム不正利用検出方法の構
成採用にある。

【００２８】本発明方法の第９の特徴は、上記本発明方
法の第８の特徴における複数のデータの蓄積に際し、複
数のデータのそれぞれを、個人別モデルに代え、当該シ
ステムを利用する全てのユーザの平均的データを得るた
めの一般モデルに組み込んで行い、アクセスが不正利用
によるものであるか否かの判定は、複数のデータと当該
一般モデルとを比較した結果に基づいて行ってなる電子
商取引システム不正利用検出方法の構成採用にある。

【００２９】本発明方法の第１０の特徴は、上記本発明
方法の第８又は第９の特徴における複数のデータの蓄積
を、１回のアクセスが終了した時点で得られる全てのデ
ータをその発生順に並べた時系列データによって行って
なる電子商取引システム不正利用検出方法の構成採用に
ある。

【００３０】本発明方法の第１１の特徴は、上記本発明
方法の第１０の特徴における時系列データを得るに際
し、所定のイベントが最後に発行されたと予想される時
から所定の制限時間が経過した時点で、当該最後の所定
のイベントまでを１回のアクセス中に含まれる一連の所
定のイベントと見做してなる電子商取引システム不正利
用検出方法の構成採用にある。

【００３１】本発明方法の第１２の特徴は、上記本発明
方法の第８、第９、第１０又は第１１の特徴におけるア
クセスが不正利用によるものであるか否かの判定を、統
計学的手法を用いて行ってなる電子商取引システム不正
利用検出方法の構成採用にある。

【００３２】本発明方法の第１３の特徴は、上記本発明
方法の第８、第９、第１０、第１１又は第１２の特徴に
おけるアクセスが不正利用によるものであるか否かの判
定を、１回のアクセス中に複数回にわたって発行される
所定のイベントに伴う当該システムの状態遷移の不規則
性を検出することにより行ってなる電子商取引システム
不正利用検出方法の構成採用にある。

【００３３】本発明方法の第１４の特徴は、上記本発明
方法の第８、第９、第１０、第１１又は第１２の特徴に
おけるアクセスが不正利用によるものであるか否かの判
定を、複数のアクセスにおいて取り込まれる同一ユーザ
のものと予想される複数のデータのうち、特定のデータ
の不規則性を検出することにより行ってなる電子商取引
システム不正利用検出方法の構成採用にある。

【００３４】本発明方法の第１５の特徴は、上記本発明
方法の第１４の特徴における特定のデータが、ユーザに
よる電子商取引に関する情報から成るデータである電子
商取引システム不正利用検出方法の構成採用にある。

【００３５】本発明方法の第１６の特徴は、上記本発明
方法の第８、第９、第１０、第１１、第１２、第１３、
第１４又は第１５の特徴における所定のイベントが、次
の画面の表示を要求するための次画面表示要求イベント
である電子商取引システム不正利用検出方法の構成採用
にある。

【００３６】一方、本発明装置の第１の特徴は、電子商
取引を行う任意のクライアント／サーバシステムにおけ
るサーバに、少なくとも、アクセスの開始と共にクライ
アントから送信されるアクセスデータを抽出するアクセ
スデータ抽出手段と、このアクセスデータ抽出手段によ
り抽出されたアクセスデータを蓄積するデータ蓄積手段
とを具備して成る電子商取引システム不正利用検出装置
において、アクセスデータ抽出手段が、アクセスデータ
の抽出に加え、アクセスが開始された後、クライアント
から所定のイベントが複数回にわたって発行されるごと
に、クライアント及びそのユーザに関する情報並びに当
該ユーザによる電子商取引行為に関する情報を包含する
複数のデータを抽出する機能を持たせると共に、データ
蓄積手段が、アクセスデータの蓄積に加え、アクセスデ
ータ抽出手段により抽出された複数のデータのそれぞれ
を、ユーザに付与される個人識別子を単位とした個人別
モデルに組み込んで蓄積する機能を持たせ、その上で、
当該データ蓄積手段により蓄積された個人別モデルに組
み込まれた複数のデータを、新たなアクセスが実行され
るごとに、当該アクセスが不正利用によるものであるか
否かを判定するための判定基準として供与する判定基準
供与手段と、この判定基準供与手段により供与される個
人別モデルに組み込まれた複数のデータと、当該アクセ
スに伴ってアクセスデータ抽出手段により抽出される新
たな複数のデータとを比較して、当該アクセスが不正利
用によるものであるか否かを判定する不正利用判定手段
と、を備えてなる電子商取引システム不正利用検出装置
の構成採用にある。

【００３７】本発明装置の第２の特徴は、上記本発明装
置の第１の特徴におけるデータ蓄積手段が、複数のデー
タのそれぞれを、個人別モデルに代え、当該システムを
利用する全てのユーザの平均的データを得るための一般
モデルに組み込み、判定基準供与手段が、当該データ蓄
積手段により蓄積された一般モデルに組み込まれた複数
のデータを、新たなアクセスが実行されるごとに、当該
アクセスが不正利用によるものであるか否かを判定する
ための判定基準として供与し、不正利用判定手段が、当
該判定基準供与手段により供与される一般モデルに組み
込まれた複数のデータと、当該アクセスに伴ってアクセ
スデータ抽出手段により抽出される新たな複数のデータ
とを比較して、当該アクセスが不正利用によるものであ
るか否かを判定する一連の有機的連係機能をそれぞれ持
たせてなる電子商取引システム不正利用検出装置の構成
採用にある。

【００３８】本発明装置の第３の特徴は、上記本発明装
置の第１又は第２の特徴におけるデータ蓄積手段が、複
数のデータの蓄積を、１回のアクセスが終了した時点で
得られる全てのデータをその発生順に並べた時系列デー
タによって行う機能を有してなる電子商取引システム不
正利用検出装置の構成採用にある。

【００３９】本発明装置の第４の特徴は、上記本発明装
置の第３の特徴におけるデータ蓄積手段が、時系列デー
タを得るに際し、所定のイベントが最後に発行されたと
予想される時から所定の制限時間が経過した時点で、当
該最後の所定のイベントまでを１回のアクセス中に含ま
れる一連の所定のイベントと見做す機能を有してなる電
子商取引システム不正利用検出装置の構成採用にある。

【００４０】本発明装置の第５の特徴は、上記本発明装
置の第１、第２、第３又は第４の特徴における不正利用
判定手段が、アクセスが不正利用によるものであるか否
かの判定を、統計学的手法を用いて行う演算手段を有し
てなる電子商取引システム不正利用検出装置の構成採用
にある。

【００４１】本発明装置の第６の特徴は、上記本発明装
置の第１、第２、第３、第４又は第５の特徴における不
正利用判定手段が、アクセスが不正利用によるものであ
るか否かの判定を、１回のアクセス中に複数回にわたっ
て発行される所定のイベントに伴う当該システムの状態
遷移の不規則性を検出することにより行う演算手段を有
してなる電子商取引システム不正利用検出装置の構成採
用にある。

【００４２】本発明装置の第７の特徴は、上記本発明装
置の第１、第２、第３、第４又は第５の特徴における不
正利用判定手段が、アクセスが不正利用によるものであ
るか否かの判定を、複数のアクセスにおいて取り込まれ
る同一ユーザのものと予想される複数のデータのうち、
特定のデータの不規則性を検出することにより行う演算
手段を有してなる電子商取引システム不正利用検出装置
の構成採用にある。

【００４３】本発明装置の第８の特徴は、上記本発明装
置の第７の特徴における特定のデータが、ユーザによる
電子商取引に関する情報から成るデータである電子商取
引システム不正利用検出装置の構成採用にある。

【００４４】本発明装置の第９の特徴は、上記本発明装
置の第１、第２、第３、第４、第５、第６、第７又は第
８の特徴における所定のイベントが、次の画面の表示を
要求するための次画面表示要求イベントである電子商取
引システム不正利用検出装置の構成採用にある。

【００４５】

【発明の実施の形態】以下、添付図面を参照しつつ、本
発明の実施の形態をその装置例及び方法例につき説明す
る。なお、以降の説明では、理解を容易なものとするた
め、クライアント／サーバシステムの例として、ＷＷＷ
を使ったインターネットのシステムを挙げてあるがユー
ザ／プロバイダシステムでも一向に構わない。

【００４６】（装置例）図１は、本発明の一実施形態に
係る電子商取引システム不正利用検出装置の原理的構成
を示すブロック図である。

【００４７】同図に示すように、この実施形態の係る電
子商取引システム不正利用検出装置αは、まず、その前
提として、電子商取引を行う任意のクライアント／サー
バシステムにおけるサーバ（図示せず）に設置され、少
なくとも、アクセスの開始と共にクライアント（図示せ
ず）から送信されるアクセスデータを抽出するアクセス
データ抽出手段１と、このアクセスデータ抽出手段１に
より抽出されたアクセスデータを蓄積するデータ蓄積手
段２とを具備して構成される。なお、データ蓄積手段２
により蓄積されるアクセスデータは、実際には、ハード
ディスク等から成るアクセスデータ記憶手段３に記憶さ
れる。

【００４８】そして、この電子商取引システム不正利用
検出装置αにおいては、上述のアクセスデータ抽出手段
１が、以上のアクセスデータの抽出に加え、アクセスが
開始された後、クライアントから、例えば、次の画面の
表示を要求するためのイベント（次画面表示要求イベン
ト）が複数回にわたって発行されるごとに、クライアン
トに関する情報並びに当該クライアントによる電子商取
引行為に関する情報を包含する複数のデータを抽出する
よう機能構成される。

【００４９】同時に、データ蓄積手段２が、アクセスデ
ータ記憶手段３へのアクセスデータの蓄積に加え、アク
セスデータ抽出手段１により抽出された複数のデータの
それぞれを、クライアントに付与される個人識別子を単
位とした個人別モデルと、当該システムを利用する全て
のクライアントの平均的データを得るための一般モデル
に組み込んで蓄積するよう機能構成される。なお、デー
タ蓄積手段２により蓄積される複数のデータは、その個
人別モデル及び一般モデルにつき、ハードディスク等か
ら成る個人別モデル記憶手段４及び一般モデル記憶手段
５にそれぞれ記憶される。

【００５０】さらに、この電子商取引システム不正利用
検出装置αは、データ蓄積手段２により個別モデル記憶
手段４及び一般モデル記憶手段５に蓄積された個人別モ
デル及び一般モデルに組み込まれた複数のデータを、新
たなアクセスが実行されるごとに、当該アクセスが不正
利用によるものであるか否かを判定するための判定基準
として供与する判定基準供与手段６と、この判定基準供
与手段６により供与される個人別モデルに組み込まれた
複数のデータと、当該アクセスに伴ってアクセスデータ
抽出手段１により抽出される新たな複数のデータとを比
較して、当該アクセスが不正利用によるものであるか否
かを図示しない論理演算手段等を用いて判定する不正利
用判定手段７とを有して構成される。

【００５１】ここで、データ蓄積手段２による複数のデ
ータの蓄積は、１回のアクセスが終了した時点で得られ
る全てのデータをその発生順に並べた時系列データによ
って行うことも可能である。

【００５２】ただし、例えば、ＷＷＷサーバでは、アク
セスが中断されたことを知るための手段が存在しないの
で、この時系列データを得る際には、イベントが最後に
発行されたと予想される時から所定の制限時間が経過し
た時点で、当該最後のイベントまでを１回のアクセス中
に含まれる一連のイベントと見做し、便宜的にクライア
ントの行動を連続化させる手法を採るとよい（所定の制
限時間が経過した後は、一連のイベントとは見做さな
い）。

【００５３】また、不正利用判定手段７における、アク
セスが不正利用によるものであるか否かの判定に際して
は、演算手段等を駆使した一般の統計学的手法を用いて
行い、さらに、特殊な手法として、１回のアクセス中に
複数回にわたって発行されるイベントに伴う当該システ
ムの状態遷移の不規則性を検出するようにしたり、或い
は、複数のアクセスにおいて取り込まれる同一クライア
ントのものと予想される複数のデータのうち、例えば、
クライアントによる電子商取引に関する情報から成る特
定のデータの不規則性を検出するようにしてもよい（詳
細は後述）。

【００５４】（方法例）次に、以上のように構成された
装置例に適用する方法例を、その概要及び実施手順につ
き説明する。

【００５５】〔概要〕まず、ＷＷＷサーバにアクセスし
てきているクライアントのサーバ内での行動を一連の行
動として捉えるために、ＣＧＩ（Common Gateway Inter
face）やミドルウェアの設置によってＷＷＷサーバ側で
記録できるデータの種類を増やす。

【００５６】また、クライアントにはＩＤなどの個人識
別子を持たせ、初期画面以降のページの移動時にその情
報がサーバに自動的に送信されるよう、サーバからクラ
イアントに送るデータによりクライアントの機能を制御
し、個人識別子ごとに分けられるデータをサーバ内のフ
ァイルやメモリ（アクセスデータ記憶手段３）などに蓄
積できるようにする。

【００５７】このデータによって、標準的なＷＷＷサー
バのログよりも多くの情報を記録でき、複数人物がほぼ
同時刻にＷＷＷサーバにアクセスしてきている状況であ
っても、特定の個人のＷＷＷサーバ内での行動を抽出す
ることができるようになる。

【００５８】ここで、正規クライアントと不正クライア
ントを識別するために利用されるのは、前述した個人別
モデルと一般モデルの２種類のデータ群である。個人別
モデルは、個人識別子ごとに、過去において当該ＷＷＷ
サーバで行われたクライアントの傾向や習性を表す行動
履歴を保存しているデータの集合であり、一般モデル
は、当該ＷＷＷサーバにおける全クライアントから求め
られる傾向や習性を表すデータの集合である。

【００５９】何れのモデルにおいても、単独のイベント
記録から直接データが得られるものと、複数のイベント
記録から導き出されるものの両方のデータを利用する。
なお、複数のイベント記録とは、ＷＷＷサーバにアクセ
スを開始してからの個人識別子ごとに記録される一連の
行動を集約化したものである。

【００６０】ここにおける個人別モデルと一般モデル
は、統計処理を行うデータと状態遷移を表すデータの両
方を含んでいる。統計処理を行うデータとは、数量化で
きるデータのことであり、数量化によって得られた傾向
や習性を表す個人別モデル又は一般モデルと、現在アク
セス中の個人識別子を持つ人物と違いを統計手法の検定
などを用いて検証する。さらに、このデータは、１回の
ＷＷＷサーバヘのアクセス時だけから得られるデータ
と、複数回のＷＷＷサーバへのアクセスから得られるデ
ータの両方を含む。

【００６１】また、状態遷移にも２種類の検出方法を用
い、その一方は、例えば、あるときのＷＷＷサーバへの
アクセス行動から、カタログを閲覧していない商品を購
入しようとしている場合などといった不正利用とみなせ
る行動を検出するという単独アクセス状態遷移であり、
他方は、例えば、過去３回の購入時に購入総額が上昇し
つづけているクライアント、過去の購入金額の平均の５
倍よりも大きな額を購入しようとしているクライアント
などといった過去から現在までの状態遷移の比較によっ
て不正クライアントを検出する複数アクセス状態遷移で
ある。

【００６２】何れの場合も、不正クライアントと見做す
基準となるルールをあらかじめ登録しておき、ルールに
該当する場合に不正クライアントと見做す。ただし、こ
のルールは、クライアントのアクセスが増えるたびに累
計演算し直して改定するため、固定的な値を持つものと
はならない。

【００６３】〔実施手順〕まず、アクセスデータ抽出手
段１において、クライアントが個人識別子を用いてＷＷ
Ｗサーバにアクセスを開始したことが検出されると、デ
ータ蓄積手段２は、アクセスデータ記憶手段３に対し、
その個人識別子に関するアクセスデータの記録を開始す
る。この時点において、接続元の情報として、クライア
ントのＩＰアドレス（ＩＰ： Internet Protocol）、ブ
ラウザの種類などが得られるため、これらの情報を、ア
クセスが不正利用によるものであるか否かを検出する際
の正規クライアントと不正クライアントの識別のための
一情報として用いる。

【００６４】次に、この後にクライアントがサーバ内で
行うページの移動に関する行動、即ち次画面表示要求イ
ベントを、アクセスデータ抽出手段１及びデータ蓄積手
段２を用いて、個人別モデル記憶手段４及び一般モデル
記憶手段５に逐一記録することにより、当該クライアン
トがＷＷＷサーバにアクセスした瞬間から、これを時系
列データとして取り扱うことができるようにする。

【００６５】以上の状態において、アクセスデータ抽出
手段１において新たなアクセスが検出され、このときの
アクセスが不正利用によるものであるか否かを判定しよ
うとする場合、判定基準供与手段６は、個人別モデル記
憶手段４及び一般モデル記憶手段５に記憶された対応す
る個人別モデル及び一般モデルを読み出して、これを判
定基準として不正利用判定手段７に供与する。

【００６６】そして、この不正利用判定手段７におい
て、その供与された個人別モデル及び一般モデルを用い
て（又は選択的に用いて）、統計処理と状態遷移のルー
ルとの比較により、アクセスが不正利用によるものであ
るか否かを判定し、これを不正利用判定結果としてサー
バのプロセッサ（図示せず）に転送する。なお、ここで
不正クライアントを検出するための基準は、電子商取引
システムの目的、取り扱う商品の内容、ＷＷＷのページ
構成などによって変化するため、固定的な基準にはなら
ない。

【００６７】なお、電子商取引システムにおいては、前
述もしたように、所要の不正利用の検出をリアルタイム
で行う必要があり、しかも、その検出は通常、複数のデ
ータを用いて行われるため、その際のデータ解析が、サ
ーバ処理に負荷をかけてしまう結果となる。

【００６８】このための方策としては、例えば、個人別
モデル及び一般モデルにおける各々のデータに対し、実
際の判定に用いる際の優先順位を与えておき、その順位
が高いデータから不正利用の検出に利用するようにし、
これにより、できるだけ少ないデータの検証で不正クラ
イアントの検出ができるようにして、サーバへの負荷を
減らすようにするとよい。

【００６９】また、アクセスが不正利用によるものであ
るか否かを判定すべき状況においても、それが不正利用
であるか否かによらず、クライアントのアクセス状態を
表すデータについては一様に保存し、これをクライアン
トのアクセス履歴情報として蓄積するようにする。この
とき、必要があれば、統計処理時に不正利用とみなすた
めの基準と状態遷移ルールに、クライアントアクセスの
状態を反映させるようにするとよい。

【００７０】

【実施例】最後に、実施例として、以上に説明した装置
例及び方法例の実際の電子商取引システムへの応用につ
き説明する。

【００７１】（第１実施例） ○物品販売を行う電子商取引システムの事例 この例は、インターネット上のＷＷＷサーバで商品カタ
ログを提示し、クライアントがそれらの商品を選択、購
入し、必要な場合には決済もできるものである。この場
合、商品の閲覧だけでは金銭的な被害は発生しないた
め、決済が行われる前に不正利用を検出すれば良い。

【００７２】従って、クライアントがサーバにアクセス
を開始した時点から決済を行う直前までに集めた多くの
データを用いて、不正クライアントの検出を行うことが
でき、不正クライアントの検出の誤りを少なくすること
ができる。なお、ここでの検出の誤りとは、正規クライ
アントのアクセスを不正クライアントのアクセスと見做
してしまうことと、不正クライアントのアクセスを正規
クライアントのアクセスと見做してしまうことの両方が
含まれる。

【００７３】（第２実施例） ○会員に情報を提供する電子商取引システムの事例 この例は、あらかじめ登録されたクライアントだけに情
報を提供する電子商取引システムである。この例と先の
物品販売を行う電子商取引サーバの事例との違いは、決
済するまでに不正利用を検出すれば良いのではなく、ク
ライアントが情報を閲覧し始めた時点から出来るだけ早
く不正利用を検出して、これを排除する必要があるとい
うことである。

【００７４】その理由は、この種の電子商取引システム
の場合は、提供される情報自体に価値があるため、情報
の漏洩という被害を少なくするために不正利用の早期検
出が不可欠であること、また、情報にアクセスするたび
に決済が行われるわけではないので、決済の期間が長い
ということなどが挙げられる。

【００７５】なお、本例の場合、物品販売を行う電子商
取引システムの事例と違い、物品販売による金銭の授受
が無いため、ＷＷＷサーバ内でのクライアントの行動デ
ータだけから不正クライアントを識別する必要がある
が、装置の基本構成については何ら変わりはない。あく
まで、不正クライアントの判定データと基準が異なるだ
けである。

【００７６】以上、本発明の実施の形態並びに第１及び
第２の実施例につき、クライアント／サーバシステムの
例として、ＷＷＷを使ったインターネットのシステムを
挙げて説明したが、無論、本発明は、電子商取引を行う
ことの可能な任意の形態を成すクライアント／サーバシ
ステム及びユーザ／プロバイダシステム全般につき適用
しうるものである。また、本発明は、必ずしも上述した
手段及び手法にのみ限定されるものではなく、本発明に
いう目的を達成し、後述する効果を有する範囲内におい
て、適宜、変更実施することが可能なものである。

【００７７】

【発明の効果】以上説明したように、本発明によれば、
クライアントからサーバに対しアクセスが開始された後
に発行される種々の複数のデータを取り込み、これら一
旦取り込んでおいた複数のデータのそれぞれと、以後、
新たにアクセスが実行されるごとに当該アクセス後に得
られる複数のデータとを比較し、この比較結果に基づい
て、当該アクセスが不正利用によるものであるか否かを
判定するようにした。

【００７８】それ故、正規ユーザや正規クライアントの
通常の行動を監視した結果に基づいて不正ユーザや不正
クライアントによるシステムの不正利用を検出すること
が可能になると共に、同一ユーザやクライアントにより
為された一連の行動を把握することが可能となり、さら
に、一般的なユーザやクライアントの行動様式に基づい
てシステムの不正利用を検出することも可能となる。こ
の結果、物品販売などを行う電子商取引システムの運用
者に金銭的な被害などの及ぶ可能性が非常に低くなる。

【図面の簡単な説明】

【図１】本発明の実施形態に関わる不正利用検出装置の
構成を示すブロック図である。

【符号の説明】

α…電子商取引システム不正利用検出装置 １…アクセスデータ抽出手段 ２…データ蓄積手段 ３…アクセスデータ記憶手段 ４…個人別モデル記憶手段 ５…一般モデル記憶手段 ６…判定基準供与手段 ７…不正利用判定手段

Claims (25)

【特許請求の範囲】
1. 【請求項１】電子商取引の不正利用をアクセス毎に常時
   監視しリアルタイムで検出するに当り、 正規ユーザや正規クライアントのアクセス及びイベント
   等行動における過去の行動履歴傾向及び習性を参照して
   判定検出する、 ことを特徴とする電子商取引システム不正検出方法。
2. 【請求項２】前記行動履歴は、 個人別モデルと一般モデルに区分される、 ことを特徴とする請求項１に記載の電子商取引システム
   不正検出方法。
3. 【請求項３】前記個人別モデルと一般モデルは、 相互に参照優先順位が付与される、 ことを特徴とする請求項１又は２に記載の電子商取引シ
   ステム不正検出方法。
4. 【請求項４】前記個人別モデルと一般モデルは、 アクセスに伴う単独のイベント記録から直接データが得
   られるものと、 複数のイベント記録から導き出されるものの両方のデー
   タを利用する、 ことを特徴とする請求項２又は３に記載の電子商取引シ
   ステム不正検出方法。
5. 【請求項５】前記過去の行動履歴は、 ユーザやクライアントに個人識別子を持たせ、初期画面
   以降のページの移動時にその情報がプロバイダやサーバ
   に自動的に送信されるよう、当該プロバイダやサーバか
   ら前記ユーザやクライアントに送るデータにより当該ユ
   ーザやクライアントの機能を制御し、前記個人識別子毎
   に分けられるデータを当該プロバイダやサーバ内のファ
   イルやメモリ等に蓄積する、 ことを特徴とする請求項１、２、３又は４に記載の電子
   商取引システム不正検出方法。
6. 【請求項６】前記個人モデルと一般モデルは、 統計処理を行うデータと状態遷移を表すデータの両方を
   含んでなる、 ことを特徴とする請求項２、３、４又は５に記載の電子
   商取引システム不正検出方法。
7. 【請求項７】前記状態遷移は、 アクセス行動から不正利用を検出する単独アクセス行動
   状態遷移と、 過去から現在までの状態遷移の比較によって不正利用を
   検出する複数アクセス状態遷移とが存在する、 ことを特徴とする請求項６に記載の電子商取引システム
   不正利用検出方法。
8. 【請求項８】電子商取引を行う任意のクライアント／サ
   ーバシステムに対する不正利用を検出するための電子商
   取引の不正利用を検出するに当り、 クライアントからサーバに対しアクセスが開始された
   後、前記クライアントから所定のイベントが複数回にわ
   たって発行されるごとに、前記サーバにおいて、前記ク
   ライアント及びそのユーザに関する情報並びに当該ユー
   ザによる電子商取引行為に関する情報を複数のデータと
   して逐次取り込んで、当該複数のデータのそれぞれを、
   前記ユーザに付与される個人識別子を単位とした個人別
   モデルに組み込んで蓄積し、 以後、新たにアクセスが実行されるごとに、当該アクセ
   スが開始された後に得られる複数のデータと前記個人別
   モデルとを比較し、この比較結果に基づいて、当該アク
   セスが不正利用によるものであるか否かを判定する、 ことを特徴とする電子商取引システム不正利用検出方
   法。
9. 【請求項９】前記複数のデータの蓄積に際しては、 前記複数のデータのそれぞれを、前記個人別モデルに代
   え、当該システムを利用する全てのユーザの平均的デー
   タを得るための一般モデルに組み込んで行い、 前記アクセスが不正利用によるものであるか否かの判定
   は、 前記複数のデータと当該一般モデルとを比較した結果に
   基づいて行う、 ことを特徴とする請求項８に記載の電子商取引システム
   不正利用検出方法。
10. 【請求項１０】前記複数のデータの蓄積は、 １回のアクセスが終了した時点で得られる全てのデータ
    をその発生順に並べた時系列データによって行う、 ことを特徴とする請求項８又は９に記載の電子商取引シ
    ステム不正利用検出方法。
11. 【請求項１１】前記時系列データを得るに際しては、 前記所定のイベントが最後に発行されたと予想される時
    から所定の制限時間が経過した時点で、当該最後の所定
    のイベントまでを１回のアクセス中に含まれる一連の所
    定のイベントと見做す、 ことを特徴とする請求項１０に記載の電子商取引システ
    ム不正利用検出方法。
12. 【請求項１２】前記アクセスが不正利用によるものであ
    るか否かの判定は、 統計学的手法を用いて行う、 ことを特徴とする請求項８、９、１０又は１１に記載の
    電子商取引システム不正利用検出方法。
13. 【請求項１３】前記アクセスが不正利用によるものであ
    るか否かの判定は、 １回のアクセス中に複数回にわたって発行される前記所
    定のイベントに伴う当該システムの状態遷移の不規則性
    を検出することにより行う、 ことを特徴とする請求項８、９、１０、１１又は１２に
    記載の電子商取引システム不正利用検出方法。
14. 【請求項１４】前記アクセスが不正利用によるものであ
    るか否かの判定は、 複数のアクセスにおいて取り込まれる同一ユーザのもの
    と予想される前記複数のデータのうち、特定のデータの
    不規則性を検出することにより行う、 ことを特徴とする請求項８、９、１０、１１又は１２に
    記載の電子商取引システム不正利用検出方法。
15. 【請求項１５】前記特定のデータは、 前記ユーザによる前記電子商取引に関する情報から成る
    データである、 ことを特徴とする請求項１４に記載の電子商取引システ
    ム不正利用検出方法。
16. 【請求項１６】前記所定のイベントは、 次の画面の表示を要求するための次画面表示要求イベン
    トである、 ことを特徴とする請求項８、９、１０、１１、１２、１
    ３、１４又は１５に記載の電子商取引システム不正利用
    検出方法。
17. 【請求項１７】電子商取引を行う任意のクライアント／
    サーバシステムにおけるサーバに、少なくとも、アクセ
    スの開始と共にクライアントから送信されるアクセスデ
    ータを抽出するアクセスデータ抽出手段と、このアクセ
    スデータ抽出手段により抽出された前記アクセスデータ
    を蓄積するデータ蓄積手段とを具備して成る電子商取引
    システム不正利用検出装置において、 前記アクセスデータ抽出手段は、 前記アクセスデータの抽出に加え、前記アクセスが開始
    された後、前記クライアントから所定のイベントが複数
    回にわたって発行されるごとに、前記クライアント及び
    そのユーザに関する情報並びに当該ユーザによる電子商
    取引行為に関する情報を包含する複数のデータを抽出す
    る機能を持たせると共に、 前記データ蓄積手段は、 前記アクセスデータの蓄積に加え、前記アクセスデータ
    抽出手段により抽出された前記複数のデータのそれぞれ
    を、前記ユーザに付与される個人識別子を単位とした個
    人別モデルに組み込んで蓄積する機能をも持たせ、 その上で、 当該データ蓄積手段により蓄積された前記個人別モデル
    に組み込まれた複数のデータを、新たなアクセスが実行
    されるごとに、当該アクセスが不正利用によるものであ
    るか否かを判定するための判定基準として供与する判定
    基準供与手段と、 この判定基準供与手段により供与される前記個人別モデ
    ルに組み込まれた複数のデータと、当該アクセスに伴っ
    て前記アクセスデータ抽出手段により抽出される新たな
    複数のデータとを比較して、当該アクセスが不正利用に
    よるものであるか否かを判定する不正利用判定手段と、 を備える、 ことを特徴とする電子商取引システム不正利用検出装
    置。
18. 【請求項１８】前記データ蓄積手段は、 前記複数のデータのそれぞれを、前記個人別モデルに代
    え、当該システムを利用する全てのユーザの平均的デー
    タを得るための一般モデルに組み込み、 前記判定基準供与手段は、 当該データ蓄積手段により蓄積された前記一般モデルに
    組み込まれた複数のデータを、新たなアクセスが実行さ
    れるごとに、当該アクセスが不正利用によるものである
    か否かを判定するための判定基準として供与し、 前記不正利用判定手段は、 当該判定基準供与手段により供与される前記一般モデル
    に組み込まれた複数のデータと、当該アクセスに伴って
    前記アクセスデータ抽出手段により抽出される新たな複
    数のデータとを比較して、当該アクセスが不正利用によ
    るものであるか否かを判定する、 一連の有機的連係機能をそれぞれ持たせる、 ことを特徴とする請求項１７に記載の電子商取引システ
    ム不正利用検出装置。
19. 【請求項１９】前記データ蓄積手段は、 前記複数のデータの蓄積を、１回のアクセスが終了した
    時点で得られる全てのデータをその発生順に並べた時系
    列データによって行う機能を有する、 ことを特徴とする請求項１７又は１８に記載の電子商取
    引システム不正利用検出装置。
20. 【請求項２０】前記データ蓄積手段は、 前記時系列データを得るに際し、前記所定のイベントが
    最後に発行されたと予想される時から所定の制限時間が
    経過した時点で、当該最後の所定のイベントまでを１回
    のアクセス中に含まれる一連の所定のイベントと見做す
    機能を有する、 ことを特徴とする請求項１８に記載の電子商取引システ
    ム不正利用検出装置。
21. 【請求項２１】前記不正利用判定手段は、 前記アクセスが不正利用によるものであるか否かの判定
    を、統計学的手法を用いて行う演算手段を有する、 ことを特徴とする請求項１７、１８、１９又は２０に記
    載の電子商取引システム不正利用検出装置。
22. 【請求項２２】前記不正利用判定手段は、 前記アクセスが不正利用によるものであるか否かの判定
    を、１回のアクセス中に複数回にわたって発行される前
    記所定のイベントに伴う当該システムの状態遷移の不規
    則性を検出することにより行う演算手段を有する、 ことを特徴とする請求項１７、１８、１９、２０又は２
    １に記載の電子商取引システム不正利用検出装置。
23. 【請求項２３】前記不正利用判定手段は、 前記アクセスが不正利用によるものであるか否かの判定
    を、複数のアクセスにおいて取り込まれる同一ユーザの
    ものと予想される前記複数のデータのうち、特定のデー
    タの不規則性を検出することにより行う演算手段を有す
    る、 ことを特徴とする請求項１７、１８、１９、２０又は２
    １に記載の電子商取引システム不正利用検出装置。
24. 【請求項２４】前記特定のデータは、 前記ユーザによる前記電子商取引に関する情報から成る
    データである、 ことを特徴とする請求項２３に記載の電子商取引システ
    ム不正利用検出装置。
25. 【請求項２５】前記所定のイベントは、 次の画面の表示を要求するための次画面表示要求イベン
    トである、 ことを特徴とする請求項１７、１８、１９、２０、２
    １、２２、２３又は２４に記載の電子商取引システム不
    正利用検出装置。