[发明专利]使用模板识别网络欺诈通信

说明书

提供了用于确定电子通信是否是网络欺诈尝试的方法、装置、系统和计算机可读介质。在各种实现方式中，潜在欺骗性电子通信可以与数据库中的多个模板中的一个或多个模板相匹配。每个模板可以表示由受信实体发送的电子通信集群之间共享的内容。在各种实现方式中，可以确定与电子通信相关联的地址不附属于与一个或多个匹配模板相关联的一个或多个受信实体。在各种实现方式中，电子通信可以基于确定被分类为网络欺诈尝试。

背景技术

“网络欺诈(Phishing)”是指通过伪装成受信实体来尝试从用户获得敏感和/或个人信息。例如，欺骗性实体可能会生成与金融机构发送的合法电子邮件非常相似的电子邮件，并可能会将此电子邮件发送给金融机构消费者。例如，该电子邮件可以请求收件人点击合法出现的链接，这实际上定向到非法的网页(即，不附属于金融机构)。也可能在外观上模仿合法金融机构网页的非法网页可能会请求诸如消费者的用户名、密码、社会保障号等的个人信息。以这种方式，欺骗性实体“网络欺诈”个人信息。存在各种技术来尝试识别网络欺诈电子邮件。然而，在电子邮件的无处不在(全球每一天超过一千亿次发送和接收)的情况下，分析整个电子邮件内容来识别网络欺诈的尝试已被证明是困难的。

发明内容

本公开总体上涉及用于确定诸如电子邮件的电子通信是否是合法的或网络欺诈尝试的技术特征。在各种实现方式中，由受信实体发送的合法电子通信，并且特别是通常由网络欺诈者模仿的企业对消费者(“B2C”)通信可以由共享内容聚组成集群。可以为每个集群生成所谓的“模板”，其可以是表示由受信实体发送的集群的通信之间共享的内容的简化维度特征集。多个生成的模板可以在各种特征上索引，其中一些特征可以是从模板中提取的短语。基于通信和模板之间的各种相似度度量，潜在欺骗性通信可以和与一个或多个集群相关联的一个或多个模板相匹配。特别地，潜在欺骗性通信的各种特征可以与多个模板的索引特征进行比较。假设至少一个模板具有与潜在欺骗性通信充分匹配的内容、与通信相关联的地址(例如，发件人电子邮件地址、回复电子邮件地址、通过电子邮件链接的URL、包含在链接到登录页中的URL等)可以与已知附属于与匹配模板相关联的受信实体的一个或多个地址(或地址模式)进行比较。如果有匹配，通信可能是合法的。然而，如果没有，则通信可能是网络欺诈尝试，并且可以如此分类和/或作为响应被丢弃。

将通信分类为网络欺诈尝试提供了各种技术优点。例如，这样的分类发生得相距预期收件人的上游越远(例如，在网络跳跃上越接近于源)，则可以越早地丢弃网络欺诈通信而不沿着各种中间网络组件传送并且从而浪费各种中间网络组件的计算资源。聚合上游分类和响应性丢弃欺骗性通信可能会显着降低网络业务，从而可能释放用于合法目的网络资源(例如，带宽)，可能改善所有联网计算系统的操作。作为另一个例子，如果这种分类发生在通信被呈现给预期收件人之前，则可能在收件人没有看到通信的情况下丢弃所述通信、最小化干扰、减少收件箱杂乱、并减轻对于收件人使用来消费通信的计算资源的负担。

将潜在欺骗性通信的所选特征与模板的特征进行比较(特别是在模板特征被索引的情况下)还提供了与用于识别网络欺诈尝试的现有技术相比的各种技术优点。例如，如背景技术所述，分析整个电子邮件内容以识别网络欺诈尝试可能会压倒诸如存储器和处理器周期的计算资源，因为每天交换的电子邮件数量庞大。然而，通过创建模板来表示在合法电子邮件的集群之间共享的内容，并通过在多个特征(特别是通过模板中包含的一个或多个短语)上索引这些模板，可以将大量可能的欺骗性通信快速匹配到模板，同时使用比分析整个通信内容所需更少的计算资源。这种有效的索引和比较技术可以使更多潜在欺骗性通信被分类为网络欺诈尝试。如上所述，响应于通信被分类为网络欺诈尝试的通信丢弃那些通信(特别是在收件人的上游)可以减少网络拥塞并释放网络和计算资源以用于其他目的。