JP5978748B2 - 添付情報付き電子メールによる不正メールの検知方法，その検知プログラム及びその検知装置 - Google Patents

Description

本発明は，不正メールの検知方法，その検知プログラム及びその検知装置に関する。

近年，特定企業や個人のコンピュータを狙った標的型攻撃が急増しており，特に，企業や政府機関等，電子メールによる標的型攻撃（以降，標的型攻撃メールと説明）が急増している。標的型攻撃メールとは，機密情報の窃取を目的に，特定の企業や組織を標的として送られてくるウイルスメールのことで，不正コードを仕組んだ添付ファイルを開いてしまうことで感染してしまう。

従来のウイルス対策ソフトでは，問題のあるプログラムをシグネチャとして登録し，合致するものを検出することで感染を防ぐことが可能であるが，シグネチャのないプログラムを使った攻撃には通用しない。更に，ウイルス対策ソフトは，既に多くの企業で導入されているが，完全には防ぎ切れておらず，添付ファイルや本文が巧妙に作成され，一見して怪しいことがわかりにくい。また，電子メールヘッダ，添付ファイル，本文，送信者アドレス等の整合性を各人が厳しくチェックするには限界がある。

従来の対策技術として，サーバ側で所定の方法で認証されなかったファイルがクライアント側で開かれるのを防止する技術（特許文献１），サーバ側で送信経路に応じて危険性解析の実施を判定する技術（特許文献２）等がある。

特開２００２-０４１１７３公報 特開２０１１-００８７３０公報

しかしながら，上記の従来技術ではファイルの解析・検証用サーバを別途設置する必要があるため，運用コストが大きくなる可能性がある。更に，多くのクライアントから解析・検証用サーバへの解析依頼アクセスが頻繁に発生することが予想され，解析・検証用サーバの負荷が大きくなることが課題となっていた。

そこで，本発明は，上述した従来技術による問題点を解消するため，クライアントベースで標的型攻撃メール等の不正メールを検知できる方法，その検知プログラム及びその検知装置を提供することを目的とする。

電子メール端末装置のコンピュータにより実行される不正メールの検知方法の第１の側面は，
電子メールの送信時において，
前記コンピュータが，送信メールを本文情報と添付情報とに分割し，前記本文情報及び前記添付情報それぞれについて，共有情報を使用した所定のアルゴリズムで第１の検証情報を生成する第１の検証情報生成工程と，
前記コンピュータが，前記本文情報を含む電子メールのヘッダに前記第１の検証情報を付加して本文情報メールを生成し，前記添付情報を含む電子メールのヘッダに前記第１の検証情報を付加して添付情報メールを生成する検証情報付加工程と，
前記コンピュータが，前記本文情報メールと前記添付情報メールとを送信する送信工程と，
電子メールの受信時において，
前記コンピュータが，受信した前記本文情報メールに含まれる前記本文情報及び受信した前記添付情報メールに含まれる前記添付情報それぞれについて，前記共有情報を使用した前記所定のアルゴリズムで第２の検証情報を生成する第２の検証情報生成工程と，
前記コンピュータが，受信した前記本文情報メール及び受信した前記添付情報メールが有する前記第１の検証情報をそれぞれ前記第２の検証情報と比較して一致するか否かを判定する判定工程と，
前記コンピュータが，前記判定工程で前記第１の検証情報と前記第２の検証情報とが一致していると判定した場合，受信した前記本文情報メールに含まれる前記本文情報と受信した前記添付情報メールに含まれる前記添付情報とを結合して，受信メールを生成する結合工程とを有する。

不正メールの検知方法の第１の側面によれば，クライアントベースで不正メールを検知することが可能となる。

本実施の形態におけるシステム構成図である。 本実施の形態における電子メール送信端末を示す図である。 本実施の形態におけるメールチェッカーによって実現される電子メール送信時の機能を示す図である。 本実施の形態における電子メール受信端末を示す図である。 本実施の形態におけるメールチェッカーによって実現される電子メール受信時の機能を示す図である。 本実施の形態における電子メール送信端末のメールチェッカーによる共有情報生成・保管処理のフローチャートである。 本実施の形態における電子メール受信端末のメールチェッカーによる共有情報生成・保管処理のフローチャートである。 本実施の形態における電子メール送信端末のメール送信処理のフローチャートである。 本実施の形態における電子メール送信端末の特徴量情報生成処理を示す図である。 本実施の形態における電子メール送信端末の特徴量情報生成・暗号化処理を示す図である。 本実施の形態における電子メール受信端末のメール受信処理の検証情報生成・比較フローチャートである。 本実施の形態における電子メール受信端末の特徴量情報生成処理を示す図である。 本実施の形態における電子メール受信端末の特徴量情報生成・暗号化処理を示す図である。 本実施の形態における電子メール受信端末のメール受信処理の受信履歴比較フローチャートである。 本実施の形態における電子メール受信端末の受信履歴情報の例を示す図である。 本実施の形態における本文情報と添付情報の結合処理の一例を示す図である。 本実施の形態における電子メール受信端末の表示部に表示される検証結果の例を示す図である。

以下，図面を用いて本発明の実施の形態について説明する。

図１は，本実施の形態におけるシステム構成図である。

図１において，ネットワーク１は，イントラネットやインターネット通信回線網に相当する。送信端末２は，送信者が利用する。送信メール（ＳＭＴＰ）サーバ３は，送信者からの電子メールの送信を行う。受信メール（ＰＯＰ）サーバ４は，送信者からの電子メールの受信を行う。受信端末５は，受信者が利用する。

送信端末２及び受信端末５は，同じメールチェッカープログラムを有している。

ＳＭＴＰは，Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌで，インターネットやイントラネットで電子メールを送信するためのプロトコルである。送信メール（ＳＭＴＰ）サーバ３は，本プロトコルを利用することで，電子メールの送信が可能である。

ＰＯＰは，Ｐｏｓｔ Ｏｆｆｉｃｅ Ｐｒｏｔｏｃｏｌで，インターネットやイントラネット上で電子メールを保存しているサーバからメールを受信するためのプロトコルである。受信メール（ＰＯＰ）サーバ４は，本プロトコルを利用すること，電子メールの受信が可能である。

［電子メール送信端末の構成］
図２は，本実施の形態における電子メール送信端末を示す図である。電子メールを送信する送信端末２は，図２に示すように，ＲＯＭ２０と，ＣＰＵ２４と，ネットワーク１と接続する通信部２５と，液晶ディスプレイ等による表示部２６とを有する。

ＲＯＭ２０は，送信者が電子メールの作成・送信指示を出す電子メールソフトウェア２１や，不正メールであるか否かを確認するための情報となる検証情報の生成等を行うメールチェッカー２２，ネットワーク１を介し電子メールを送信するための通信制御プログラム２３等の各種プログラムを記憶する。電子メールソフトウェア２１は，例えば，Ｍｉｃｒｏｓｏｆｔ Ｏｕｔｌｏｏｋ，Ｍｏｚｉｌｌａ Ｔｈｕｎｄｅｒｂｉｒｄ等のメーラーに相当する。

ＣＰＵ２４は，ＲＯＭ２０に記憶された各種プログラムを実行し，送信端末２を制御する。

図３は，本実施の形態におけるメールチェッカーによって実現される電子メール送信時の機能を示す図である。図３に示すように，メールチェッカー２２は，要求受付手段２２１と分割手段２２２と共有情報管理手段２２３と検証情報生成手段２２４とを有する。

要求受付手段２２１は入出力部２２１１を有し，検証情報の生成処理依頼の要求を受け付けて処理結果を返却する。分割手段２２２はメール分割部２２２１を有し，電子メールを本文情報と添付情報とに分割する。共有情報管理手段２２３は共有情報生成部２２３１と共有情報保管部２２３２とを有し，検証情報を生成する際に使用する共有情報の取り扱いを行う。検証情報生成手段２２４は特徴量情報生成部２２４１と検証情報付加部２２４２と暗号化処理部２２４３とを有し，検証情報の生成・付加を行う。なお，各手段の動作内容については後述する。

［電子メール受信端末の構成］
図４は，本実施の形態における電子メール受信端末を示す図である。図４に示すように，電子メールを受信する受信端末５は，ＲＯＭ５０と，ＣＰＵ５４と，ネットワーク１と接続する通信部５５と，液晶ディスプレイ等による表示部５６とを有する。

ＲＯＭ５０は，受信者が電子メールの受信指示を出す電子メールソフトウェア５１や，“検証情報”の検証を行うメールチェッカー５２，ネットワーク１を介し電子メールを送信するための通信制御プログラム５３等の各種プログラムを記憶する。ここで，メールチェッカー５２は，送信端末２のＲＯＭ２０が有するメールチェッカー２２と同じプログラムである。また，電子メールソフトウェア５１は，送信端末２と同様に，例えば，Ｍｉｃｒｏｓｏｆｔ Ｏｕｔｌｏｏｋ，Ｍｏｚｉｌｌａ Ｔｈｕｎｄｅｒｂｉｒｄ等のメーラーに相当する。

ＣＰＵ５４は，ＲＯＭ５０に記憶された各種プログラムを実行し，受信端末５を制御する。

図５は，本実施の形態におけるメールチェッカーによって実現される電子メール受信時の機能を示す図である。検証プログラム５２は，要求受付手段５２１と結合手段５２２と復号キー管理手段５２３と検証手段５２４とを有する。

要求受付手段５２１は入出力部５２１１を有し，検証情報の検証処理依頼の要求を受け付けて処理結果を返却する。結合手段５２２はメール結合部５２２１を有し，本文情報と添付情報に分割された電子メールを結合する。共有情報管理手段５２３は共有情報生成部５２３１と共有情報保管部５２３２とを有し，検証情報の復号を行う際に使用する共有情報の生成及び管理を行う。検証手段５２４は特徴量情報生成部５２４１と検証部５２４２と暗号化処理部５２４３と受信履歴情報保管部５２４４とを有し，本文情報や添付情報からの検証情報生成や検証情報の検証を行う。なお，各手段の動作内容については後述する。

［不正メール検知処理］
以上のように構成されたシステムによる標的型攻撃メール検知処理について，以下にその処理動作について説明する。

具体的な不正メール検知処理の流れを説明する前に，不正メール検知処理の概要について述べる。

まず，送信端末２は，事前に受信端末５と共有情報を共有する（以下，共有情報生成・保管処理と呼ぶ）。この共有情報は，後述するように，送信端末２及び受信端末５それぞれで検証情報を生成するために使用される情報であり，例えば所定の文字列で構成される。なお，検証情報は，受信端末５で受信された電子メールが不正メールか否かを判定するのに使用される情報である。後述するように，本実施の形態では受信端末５で検証情報に基づいて不正メールの判定が行われるため，攻撃者が検証情報を不正に生成しないように，送信端末２と受信端末５とで共有情報を秘密にする必要がある。

次に，送信端末２は，電子メールソフトウェア２１を実行して送信メールを作成する。送信端末２は，作成した送信メールに対して，メールチェッカー２２を実行し，共有情報を使用した所定のアルゴリズムで検証情報を生成して検証情報付き電子メールを作成する。そして，送信端末２は，電子メールソフトウェア２１を実行して検証情報付き電子メールを送信する（以下，メール送信処理と呼ぶ）。

一方，受信端末５は，電子メールソフトウェア５１を実行して検証情報付きメールを受信する。受信端末５は，検証情報付きメールに対して，メールチェッカー５２を実行し，送信端末２と同一のアルゴリズムで検証情報を生成する。そして，受信端末５のメールチェッカー５２は，検証情報付きメールに含まれる検証情報，すなわち送信端末２で生成された検証情報と，受信端末５で生成された検証情報とを比較し，不正メールの検知を行う。受信端末５で生成された検証情報と受信端末５で生成された検証情報とが一致しない場合には，受信した検証情報付きメールは不正メールの可能性があると判定される（以下，メール受信処理と呼ぶ）。

このように， 不正メール検知処理は，共有情報生成・保管処理と，メール送信処理と，メール受信処理とから構成される。

［共有情報生成・保管処理］
図６は，本実施の形態における電子メール送信端末のメールチェッカーによる共有情報生成・保管処理のフローチャートである。図７は，本実施の形態における電子メール受信端末のメールチェッカーによる共有情報生成・保管処理のフローチャートである。

送信端末２では，共有情報管理手段２２３が，共有情報の生成（Ｓ１００１）を行い（Ｓ１００２），共有情報保管部２２３２を介して保管する（Ｓ１００３）。この時，生成した共有情報は外部に漏えいしないよう安全に保管する。

一方，受信端末５では，共有情報管理手段５２３が，送信端末２の共有情報生成処理（Ｓ２００１）と同一アルゴリズムで共有情報を生成し（Ｓ２００１），共有情報保管部５２３２を介して保管する（Ｓ２００２）。この時，生成した共有情報は外部に漏えいしないよう安全に保管する。

このようにして，送信端末２と受信端末５とが，お互いにしか知りえない同一の共有情報を保管することにより，攻撃者は共有情報を知ることができず不正に検証情報を作ることができない。

［メール送信処理］
図８は，本実施の形態における電子メール送信端末のメール送信処理のフローチャートである。

図８の処理が開始される前に，まず，送信端末２は，電子メールソフトウェア２１を実行し，送信メールを作成する。送信メールを作成後，電子メールソフトウェア２１は，メールチェッカー２２に対してメールヘッダ情報，本文情報と添付情報とを含む送信メールを送信し，さらに検証情報の生成依頼を発行する。

ここで，本文情報とは，送信メールのメッセージ本文に相当するものであり，文中に記載されるＵＲＬ等のリンク情報も含まれる。メールヘッダ情報とは，差出人や宛先，件名，日付等の情報である。また，添付情報とは，例えば，送信メールのメッセージ本文に含まれるＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）等のリンク情報や，本文情報とは別に用意される電子ファイル情報に相当する。電子ファイル情報とは，Ｍｉｃｒｏｓｏｆｔ Ｗｏｒｄで作成されたＤＯＣファイル，Ａｄｏｂｅ Ａｃｒｏｂａｔ等で作成されたＰＤＦファイル，プログラム実行形式のＥＸＥファイル，圧縮されたＺＩＰファイル等がある。

メールチェッカー２２の要求受付手段２２１は，入出力部２２１１を介して電子メールソフトウェア２１からからヘッダ情報付き本文情報と添付情報を含む送信メールと共に検証情報の生成依頼を受信し，検証情報生成手段２２４に対して，検証情報生成依頼を発行する（Ｓ３００１）。

検証情報生成手段２２４は，検証情報生成依頼を受信し（Ｓ３００２），共有情報管理手段２２３に対して，共有情報取得依頼を送信する（Ｓ３００３）。

共有情報管理手段２２３は共有情報取得依頼を受信する（Ｓ３００４）。そして，共有情報管理手段２２３は共有情報保管部２２３２から共有情報を取得し（Ｓ３００５），検証情報生成手段２２４に送信する（Ｓ３００６）。

ステップＳ３００６の後，検証情報生成手段２２４は共有情報管理手段２２３から共有情報を受信し（Ｓ３００７），分割手段２２２に対してメール分割依頼を送信する（Ｓ３００８）。

分割手段２２２は，メール分割依頼を受信し（Ｓ３００９），メール分割部２２２１を介して，要求受付手段２２１が受信した送信メールを本文情報と添付情報とに分割する（Ｓ３０１０）。例えば，送信メールのメッセージ本文にリンク情報が記載されており，電子ファイル情報が添付されている場合には，ステップＳ３０１０の処理により，送信メールは，送信メールのメッセージ本文に相当する本文情報，メッセージ本文中に記載されたリンク情報に相当する添付リンク情報，送信メールに添付された電子ファイル情報に相当する添付ファイル情報の３つに分割される。本文情報，添付リンク情報，添付ファイル情報に，それぞれのソースコード等を用いてもよい。また，送信メールのメッセージ本文にリンク情報が記載されていなく，電子ファイル情報が添付されている場合には，ステップＳ３０１０の処理により，送信メールは本文情報，添付ファイル情報の２つに分割される。ステップＳ３０１０の後，分割手段２２２は，検証情報生成手段２２４に対して，分割した本文情報と添付情報とを送信する（Ｓ３０１１）。

検証情報生成手段２２４は，分割した本文情報と添付情報とを取得後（Ｓ３０１２），本文情報と添付情報それぞれについて，共有情報を使用した所定のアルゴリズムで検証情報（以下，第１の検証情報と呼ぶ。）を生成する。（Ｓ３０１３）。この検証情報の生成方法の具体例については後述する。

第１の検証情報の生成後，検証情報生成手段２２４は，検証情報付加部２２４２を介し，本文情報の検証情報情報及び添付情報の第１の検証情報報を，本文情報の電子メールのヘッダに付加して本文情報メールを生成する。また，検証情報生成手段２２４は，添付情報の電子メールのヘッダに対しても，同様に，本文情報の第１の検証情報及び添付情報の第１の検証情報を付加して添付情報メールを生成する（Ｓ３０１４）。そして，検証情報生成手段２２４は，要求受付手段２２１に対して，本文情報メール及び添付情報メールを送信する（Ｓ３０１５）。

要求受付手段２２１は，本文情報メール及び添付情報メールを受信すると（Ｓ３０１６），電子メールソフトウェア２１に対して，受信した本文情報メール及び添付情報メールを送信する。送信端末２は，電子メールソフトウェア２１を実行し，送信メール（ＳＭＴＰ）サーバ３を介して，受信端末５に対して本文情報メール及び添付情報メールを送信する。

［メール送信処理で生成される検証情報の例］
ここで，図９，図１０を用いて，メール送信処理で生成される第１の検証情報の具体例について説明する。図９は，本実施の形態における電子メール送信端末の特徴量情報生成処理を示す図である。図１０は，本実施の形態における電子メール送信端末の特徴量情報生成・暗号化処理を示す図である。

図９では，本文情報及び添付情報それぞれについて共有情報を使用して生成された特徴量情報が第１の検証情報として用いられている。

具体的には，まず，ステップＳ３０１０でメール分割部２２２１により，本文情報，添付リンク情報，添付ファイル情報が生成される。そして，検証情報生成手段２２４の特徴量情報生成部２２４１は，本文情報，添付リンク情報，添付ファイル情報それぞれの情報の先頭又は末尾に共有情報を付加して，特徴量生成アルゴリズム（第１のアルゴリズム）で第１の特徴量情報を生成する（Ｓ３０１３）。

この第１の特徴量情報は，例えば，一方向性ハッシュ関数を用いて生成したハッシュ情報であり，一方向性ハッシュ関数以外の特徴量生成アルゴリズムを用いて生成してもよい。ただし，後述するように，メール受信処理時に第１の特徴量情報の整合性を確保するため，検証情報生成手段２２４の特徴量情報生成部２２４１は，特徴量情報の生成アルゴリズムを，受信端末５のメールチェッカー５２の特徴量情報生成部５２４１と共有する。

ステップＳ３０１３の結果，本文情報の第１の特徴量情報として“４８２ＤＣＢＡ７２４”，添付リンク情報の第１の特徴量情報として“ＢＡ３１１９ＤＣＡ３”，添付ファイル情報の第１の特徴量情報として“９８２０Ａ７Ｄ１２Ｂ”が生成される。

第１の特徴量情報の生成（Ｓ３０１３）後，本文情報，添付リンク情報，添付ファイル情報の電子メールのヘッダそれぞれに対して，ステップＳ３０１３で生成した３つの第１の特徴量情報が第１の検証情報として付加され，本文情報メール，添付リンク情報メール，添付ファイル情報メールが生成される（Ｓ３０１４）。

図９では，ステップＳ３０1４の具体例として，本文情報の電子メールのヘッダに３つの第１の検証情報が付加されている。すなわち，本文情報の電子メールのヘッダに，“Ｘ-Ｉｎｂｏｕｎｄ-ＶｅｒｉｆｙＦｉｌｅ：添付ファイル情報の第１の特徴量情報”と，“Ｘ-Ｉｎｂｏｕｎｄ-ＶｅｒｉｆｙＬｉｎｋ：添付リンク情報の第１の特徴量情報”と，“Ｘ-Ｉｎｂｏｕｎｄ-ＶｅｒｉｆｙＢｏｄｙ：本文情報の第１の特徴量情報”とが順に付加され，本文情報メールが生成されている。

一方，図１０では，本文情報及び添付情報それぞれについて生成された特徴量情報に対して共有情報で暗号化した暗号化情報が，第１の検証情報として用いられている。

具体的には，まず，送信メールがメール分割部２２２１により本文情報，添付リンク情報，添付ファイル情報に分割される（Ｓ３０１０）。そして，特徴量情報生成部２２４１は，本文情報，添付リンク情報，添付ファイル情報それぞれについて，前述の特徴量生成アルゴリズムで第１の特徴量情報を生成する（Ｓ３０１３‐１）。ステップＳ３０１３‐１の結果，本文情報の第１の特徴量情報として“３３３２１ＧＪＡ４４”，添付リンク情報の第１の特徴量情報として“ＱＷＥ５７６４１３Ｖ”，添付ファイル情報の第１の特徴量情報として“Ｒ１Ｅ４ＴＹ１７８３”が生成される。

次に，暗号化処理部２２４３は，ステップＳ３００５で取得した共有情報を鍵として使用した暗号化アルゴリズム（第２のアルゴリズム）で各第１の特徴量情報を暗号化し第１の暗号化情報を生成する（Ｓ３０１３‐２）。これにより本文情報の第１の暗号化情報“ＢＣ７３ＤＡ１２５４２３１Ｃ”，添付リンク情報の第１の暗号化情報“１２３ＡＢ３３７１Ｄ９０１Ｃ”，添付ファイル情報の第１の暗号化情報“５Ａ９９０１４８ＣＡ９４１２”が生成される。

検証情報付加部２２４２は，本文情報，添付リンク情報，添付ファイル情報の電子メールのヘッダそれぞれに対して３つの第１の暗号化情報が第１の検証情報として付加され，本文情報メール，添付リンク情報メール，添付ファイル情報メールが生成される（Ｓ３０１４）。

図１０では，具体例として本文情報の電子メールに３つの第１の暗号化情報が付加されている。すなわち本文情報の電子メールのヘッダに，“Ｘ-Ｉｎｂｏｕｎｄ-ＶｅｒｉｆｙＦｉｌｅ：添付ファイル情報の第１の暗号化情報”と，“Ｘ-Ｉｎｂｏｕｎｄ-ＶｅｒｉｆｙＬｉｎｋ：添付リンク情報の第１の暗号化情報”と，“Ｘ-Ｉｎｂｏｕｎｄ-ＶｅｒｉｆｙＢｏｄｙ：本文情報の第１の暗号化情報”とが順に付加され，本文情報メールが生成されている。

このように，送信端末２は，図９の第１の特徴量情報や図１０の第１の暗号化情報等の第１の検証情報を共有情報を使用したアルゴリズムで生成し，本文情報の電子メールに第１の検証情報を付加した本文情報メールと添付情報の電子メールに第１の検証情報を付加した添付情報メールとを受信端末５に送信する。

［メール受信処理（検証情報生成・比較処理）］
図１１は，本実施の形態における電子メール受信端末のメール受信処理の検証情報生成・比較フローチャートである。

受信端末５は，電子メールソフトウェア５１を実行し，受信メール（ＰＯＰ）サーバ４を経由して，本文情報メール及び添付情報メールを受信する。そして，電子メールソフトウェア５１は，メールチェッカー５２に対して，受信した本文情報メール及び添付情報メールを送信し，さらに検証依頼を発行する。

メールチェッカー５２の要求受付手段５２１は，入出力部５２１１を介して，電子メールソフトウェア５１から本文情報メール及び添付情報メールと共に検証依頼を受信し，検証手段５２４に対して検証依頼を発行する（Ｓ４００１）。

検証手段５２４は検証依頼を受信し（Ｓ４００２），共有情報管理手段５２３に対して共有情報取得依頼を送信する（Ｓ４００３）。

共有情報管理手段５２３は共有情報取得依頼を受信する（Ｓ４００４）。そして，共有情報管理手段５２３は共有情報保管部５２３１から共有情報を取得し（Ｓ４００５），検証手段５２４に送信する（Ｓ４００６）。

検証手段５２４は共有情報管理手段５２３から共有情報を受信した後（Ｓ４００７），本文情報メールの本文情報と添付情報メールの添付情報それぞれについて，送信端末２のメールチェッカー２２で行われたメール送信処理のステップＳ３０１３と同一のアルゴリズムで検証情報（以下，第２の検証情報と呼ぶ。）を生成する（Ｓ４００８）。

次に，検証手段５２４は，本文情報メールのヘッダから，本文情報の第１の検証情報及び添付情報の第１の検証情報を取得する。同様に，検証手段５２４は，添付情報メールのヘッダから本文情報の第１の検証情報及び添付情報の第１の検証情報を取得する（Ｓ４００９）。

検証手段５２４は，本文情報メール，添付情報メールそれぞれについて，ステップＳ４００９で取得した各第１の検証情報を，ステップＳ４００８で生成した各第２の検証情報と比較し（Ｓ４０１０），一致するか否か判定する（Ｓ４０１１）。

受信端末５のメールチェッカー５２は，受信した本文情報と添付情報について，送信端末２のメールチェッカー２２と共有し，かつ外部に秘密にした共有情報を使用し同一のアルゴリズムで第２の検証情報を生成している。そのため，送信端末２から正常に電子メールが送信されていれば，第２の検証情報は第１の検証情報と一致する（Ｓ４０１１ＯＫ）。しかし，判定の結果，第２の検証情報と一致しない第１の検証情報が一つでも存在した場合（Ｓ４０１１ＮＧ），受信した本文情報メール及び添付情報メールのうち，第２の検証情報と一致しない第１の検証情報を有する電子メールは不正メールである可能性がある。例えば，第三者が送信端末２の送信者になりすまして不正メールを送信した，又は電子メールの送信途中で第三者が電子メールを改竄した等が挙げられる。そこで，検証手段５２４は，受信した電子メールから不正メールを区別できるようにするため，受信した本文情報メール及び添付情報メールの各ヘッダにステップＳ４０１１の判定結果を付加する（Ｓ４０１２，Ｓ４０９８）。

［メール受信処理（検証情報生成・比較処理）の具体例］
ここで，図１２，図１３を用いて，メール受信処理で生成される第２の検証情報の具体例について説明する。図１２は，本実施の形態における電子メール受信端末の特徴量情報生成処理を示す図である。図１３は，本実施の形態における電子メール受信端末の特徴量情報生成・暗号化処理を示す図である。

図１２は，上述の図９に対応して行われる受信端末５での特徴量情報生成処理である。

具体的には，まず，検証情報生成手段２２４の特徴量情報生成部２２４１は，要求受付手段５２１で受信した本文情報メール，添付リンク情報メール，添付ファイル情報メールから本文情報，添付リンク情報，添付ファイル情報を取得する。

そして，特徴量情報生成部２２４１は，本文情報，添付リンク情報，添付ファイル情報それぞれの情報の先頭又は末尾に共有情報を付加して，図９の送信端末２のメールチェッカー２２と同一の特徴量生成アルゴリズムで第２の特徴量情報を生成する（Ｓ４００８）。

ステップＳ４００８の結果，本文情報の第２の特徴量情報として“４８２ＤＣＢＡ７２４”，添付リンク情報の第２の特徴量情報として“ＢＡ３１１９ＤＣＡ３”，添付ファイル情報の第２の特徴量情報として“９８２０Ａ７Ｄ１２Ｂ”が生成される。

第２の特徴量情報の生成（Ｓ４００８）後，検証部５２４２は，本文情報メール，添付リンク情報メール，添付ファイル情報メールそれぞれのヘッダから第１の特徴量情報を取得し（Ｓ４００９），第２の特徴量情報と比較する（Ｓ４０１０）。

図１２では，本文情報メールのヘッダから，添付ファイル情報の第１の特徴量情報“９８２０Ａ７Ｄ１２Ｂ”，添付リンク情報の第１の特徴量情報“ＢＡ３１１９ＤＣＡ３”，本文情報の第１の特徴量情報“４８２ＤＣＢＡ７２４”が取得されている。そして，各第１の特徴量情報が，対応する第２の特徴量情報と一致しているため（Ｓ４０１１ＯＫ），本文情報メールのヘッダに比較結果“Ｘ-Ｉｎｂｏｕｎｄ-Ｖｅｒｉｆｙ：ＯＫ”が付加されている。なお，ステップＳ４０１０の結果，第２の検証情報と一致しない第１の検証情報が一つでも存在すると（Ｓ４０１１ＮＧ），“Ｘ-Ｉｎｂｏｕｎｄ-Ｖｅｒｉｆｙ：ＮＧ”が付加される。

添付リンク情報メール，添付ファイル情報メールについても，本文情報メールと同様にステップＳ４００９，Ｓ４０１０が行われ，それぞれのヘッダに比較結果が付加される。

一方，図１３は，上述の図１０に対応して行われる受信端末５での特徴量情報生成・暗号化処理である。

具体的には，まず，検証情報生成手段２２４の特徴量情報生成部２２４１は，要求受付手段５２１で受信した本文情報メール，添付リンク情報メール，添付ファイル情報メールから本文情報，添付リンク情報，添付ファイル情報を取得する。

そして，特徴量情報生成部５２４１は，本文情報，添付リンク情報，添付ファイル情報について，図１０の送信端末２のメールチェッカー２２と同一の特徴量生成アルゴリズムで第２の特徴量情報を生成する（Ｓ４００８‐１）。図１３では，ステップＳ４００８‐１の結果，本文情報の第２の特徴量情報として“３３３２１ＧＪＡ４４”，添付リンク情報の第２の特徴量情報として“ＱＷＥ５７６４１３Ｖ”，添付ファイル情報の第２の特徴量情報として“Ｒ１Ｅ４ＴＹ１７８３”が生成される。

次に，暗号化処理部５２４３は，ステップＳ４００５で取得した共有情報を鍵として使用した暗号化アルゴリズム（第２のアルゴリズム）で各第２の特徴量情報を暗号化し，第２の暗号化情報を生成する（Ｓ３０１３‐２）。これにより本文情報の第２の暗号化情報“ＢＣ７３ＤＡ１２５４２３１Ｃ”，添付リンク情報の第２の暗号化情報“１２３ＡＢ３３７１Ｄ９０１Ｃ”，添付ファイル情報の第２の暗号化情報“５Ａ９９０１４８ＣＡ９４１２”が生成される。

検証部５２４２は，本文情報メール，添付リンク情報メール，添付ファイル情報メールそれぞれから第１の暗号化情報を取得し（Ｓ４００９），第２の暗号化情報と比較する（Ｓ４０１０）。図１３では，添付ファイル情報の第１の暗号化情報“ＢＣ７３ＤＡ１２５４２３１Ｃ”，添付リンク情報の第１の暗号化情報“１２３ＡＢ３３７１Ｄ９０１Ｃ”，本文情報の第１の暗号化情報“４８２ＤＣＢＡ７２４”が取得されている。そして，各第１の暗号化情報が，対応する第２の暗号化情報と一致しているため（Ｓ４０１１ＯＫ），本文情報メールのヘッダに比較結果“Ｘ-Ｉｎｂｏｕｎｄ-Ｖｅｒｉｆｙ：ＯＫ”が付加されている。なお，ステップＳ４０１０の結果，第２の検証情報と一致しない第１の検証情報が一つでも存在すると（Ｓ４０１１ＮＧ），“Ｘ-Ｉｎｂｏｕｎｄ-Ｖｅｒｉｆｙ：ＮＧ”が付加される。

このように，受信端末５は，受信した本文情報及び受信した添付情報それぞれについて第２の検証情報を生成し，受信した本文情報メール及び添付情報メールの第１の検証情報と生成した第２の検証情報とを比較する。これにより，受信した電子メールが不正メールであるか否かを判定することができる。

［メール受信処理（受信履歴比較処理）］
図１４は，本実施の形態における電子メール受信端末のメール受信処理の受信履歴比較フローチャートである。

図１２で示すようにステップＳ４０１１で第２の検証情報と一致しない第１の検証情報が一つでも存在すると（Ｓ４０１１ＮＧ），検証手段５２４は，比較結果を本文情報メール及び添付情報メールの各ヘッダに付加する（Ｓ４０９８）。そして，検証手段５２４は要求受付手段５２１に対し検証異常結果を送信する（Ｓ４０９９）。

一方，各第１の検証情報が対応する第２の検証情報と一致した場合（Ｓ４０１１ＯＫ），検証手段５２４の検証部５２４２は，比較結果をヘッダに付加する（Ｓ４０１２）。そして，検証部５２４２は，本文情報メール及び添付情報メールを，受信履歴情報保管部５２４４の受信履歴情報と比較し（Ｓ４０１３），不正メールの可能性があるか否かを判定する（Ｓ４０１４）。

ここで，図１５は，本実施の形態における電子メール受信端末の受信履歴情報の例を示す図である。図１５に示すように，受信履歴情報は，受信端末５がこれまで正常に受信した，不正メールではないメールの記録であり，第１の検証情報を含むヘッダ情報や本文情報，添付情報等を差出人毎に管理する。つまり，受信した本文情報メール及び添付情報メールが受信履歴情報と一致すれば，受信した各電子メールは不正メールではないと判定される。

ステップＳ４０１３では，まず，検証手段５２４の検証部５２４２は，受信した本文情報メール及び添付情報メールの差出人が受信履歴情報に存在するか確認する。

差出人が受信履歴情報に存在しない場合（Ｓ４０１４ＮＧ），受信した電子メールは不正メールである可能性があるため，要求受付手段５２１に対し検証異常結果を送信する（Ｓ４０９９）。

差出人が受信履歴情報に存在した場合，検証部５２４２は受信した本文情報の第１の検証情報，添付リンク情報の第１の検証情報及び添付ファイル情報の第１の検証情報が全て一致する履歴が受信履歴情報に存在するか確認する。

一致する履歴が存在しない場合（Ｓ４０１４ＮＧ），受信した電子メールは不正メールである可能性があるため，要求受付手段５２１に対し検証異常結果を送信する（Ｓ４０９９）。

一致する履歴が存在した場合，受信した電子メールは過去に受信したことがある可能性が高い。しかしながら，第１の検証情報を生成するアルゴリズムを知った第三者が，第１の検証情報が受信履歴情報と一致するように不正メールを作成したかもしれない。そこで，検証部５２４２は，受信履歴情報の管理項目について，受信した本文情報，添付リンク情報及び添付ファイル情報を当該履歴と比較する。例えば，検証部５２４２は，本文情報をハッシュ関数で変換したハッシュ値や，添付リンク情報のリンク情報，添付ファイル情報のファイルサイズを比較する。

そして，各管理項目のうち一つでも項目内容が一致しない項目が存在する場合（Ｓ４０１４ＮＧ），受信した電子メールは不正メールである可能性があるため，要求受付手段５２１に対し検証異常結果を送信する（Ｓ４０９９）。

各管理項目の内容が全て一致した場（Ｓ４０１４ＯＫ）合には，受信した電子メールは過去にも受信したことがあり不正メールではないと判定され，検証手段５２４は，結合手段５２２に対してメール結合処理依頼を送信する（Ｓ４０１５）。

一方，ステップＳ４０９９で送信された検証異常結果を受信（Ｓ４１００）した要求受付手段５２１は，電子メールソフトウェア５１に対して検証結果を送信し，検証異常結果が表示装置５４を介して受信端末５を操作する受信者に通知される。

受信者は，検証異常結果を基に差出人へ確認する等対応を行い，受信した電子メールが不正メールではないと判断した場合，電子メールソフトウェア５１を介して要求受付手段５２１にメール結合処理依頼をする。メール結合処理依頼を受信した要求受付手段５２１は，結合手段５２２に対してメール結合処理依頼を送信する（Ｓ４１０１）。また，検証手段５２４は，受信した電子メールを，受信履歴情報保管部５２４４を介し保管する。（Ｓ４１０２）
結合手段５２２は，メール受信依頼を受信し（Ｓ４０１６），メール結合部５２２１を介して，本文情報と添付情報から結合する（Ｓ４０１７）。結合手段５２２は，検証手段５２４に対して，結合した受信メールを送信する（Ｓ４０１８）。図1６にステップＳ４０１７の結合処理の具体例を示す。

図１６は，本実施の形態における本文情報と添付情報の結合処理の一例を示す図である。図１６では，結合処理の前提として，受信端末５が送信端末２から本文情報メール，及び添付リンク情報メール及び添付ファイル情報メールを受信し，ステップＳ４０１４で各メールが不正メールではないと判定されている。上述のように本実施の形態では，本文情報メールの本文情報は，添付リンク情報メールに含まれるＵＲＬ等のリンク情報も有する。そのため，図１６では，結合手段５２２のメール結合部５２２１は，本文情報メールと添付ファイル情報メールから，本文情報と添付ファイル情報とを取得し結合して，ヘッダに検証情報を付加した受信メールを生成している（Ｓ４０１７）。

図１４に戻り，検証手段５２４は結合された受信メールを取得し（Ｓ４０１９），検証正常結果と共に要求受付手段５２１へ送信される（Ｓ４０１９）。要求受付手段５２１は，検証結果を受信すると（Ｓ４０２０），電子メールソフトウェア５１に対して検証結果を送信し，表示装置５４を介して，受信端末５を操作する受信者に対して検証結果が通知される。

図１７は，本実施の形態における電子メール受信端末の表示部に表示される検証結果の例を示す図である。図１７（ａ），（ｂ），（ｃ）に表示される検証結果の通知と，本文情報メールの具体例を示す。

図１７（ａ）は，ステップＳ４０１４で過去にも受信したことがあり不正メールではないと判定された場合（Ｓ４０１４ＯＫ）の検証結果の表示例である。すなわち，第１の検証情報が同一の電子メールを受信した履歴が受信履歴情報にあり，受信履歴情報の管理項目について，受信した電子メールと当該履歴とが一致する場合である。

図１７（ｂ）は，ステップＳ４０１１で不正メールの可能性がある（Ｓ４０１１ＮＧ）と判定された場合の検証結果の表示例である。すなわち，本文情報メール，添付リンク情報メール及び添付ファイル情報メールそれぞれのヘッダに付加されている第１の検証情報のうち少なくとも一つが，対応する第２の検証情報と一致しない場合である。

図１７（ｃ）は，ステップＳ４０１４で不正メールの可能性がある（Ｓ４０１４ＮＧ）と判定された場合の検証結果の表示例である。すなわち，受信した本文情報，添付リンク情報，添付ファイル情報それぞれの第１の検証情報が全て一致する履歴が受信履歴情報にあるが，添付ファイル情報のサイズが異なる場合である。

このように，図１７（ｂ），（ｃ）のような通知が表示されることで，受信端末５を操作する受信者は，受信した電子メールが不正メールの可能性があると確認でき，添付ファイルを開かない等対応することができる。

以上のように，本実施の形態では，送信端末２と受信端末５とが，メールチェッカー２２及び５２の各機能を有する同一のメールチェッカープログラムを備えることで，クライアントベースで不正メールを検知することが可能となる。

具体的には，本実施の形態では，本文情報メールと添付情報メールとが送受信され，本文情報メールと添付情報メールそれぞれのヘッダには，不正メールの判定を行うための第１の検証情報が，送信端末２のメールチェッカー２２によって付加される。この第１の検証情報は，秘密の共有情報を使用した所定のアルゴリズムにより生成される情報である。これにより，第三者は，本文情報メール及び添付情報メールそれぞれについて共有情報やアルゴリズムを解析する必要があるため，不正メールの生成が困難になる。

また，受信端末５のメールチェッカー５２は，受信した本文情報メール及び添付情報メール第１の検証情報を，受信した本文情報メール及び添付情報メールについてメールチェッカー２２と同一のアルゴリズムで生成した第２の検証情報と比較する。これにより，メールチェッカー５２は受信した本文情報メール及び添付情報メールが不正メールか否かを判定でき，受信端末５を操作する受信者は不正メールを開かずにすむ。

また，受信端末５が不正メールを受信したにもかかわらず第１の検証情報と第２の検証情報とが一致しても，メールチェッカー５２は，受信した本文情報メール及び添付情報メールを受信履歴情報と比較することで，不正メールを検知することができる。

以上の実施の形態をまとめると，次の付記のとおりである。

（付記１）
電子メール端末装置のコンピュータにより実行される不正メールの検知方法であって，
電子メールの送信時において，
前記コンピュータが，送信メールを本文情報と添付情報とに分割し，前記本文情報及び前記添付情報それぞれについて，共有情報を使用した所定のアルゴリズムで第１の検証情報を生成する第１の検証情報生成工程と，
前記コンピュータが，前記本文情報を含む電子メールのヘッダに前記第１の検証情報を付加して本文情報メールを生成し，前記添付情報を含む電子メールのヘッダに前記第１の検証情報を付加して添付情報メールを生成する検証情報付加工程と，
前記コンピュータが，前記本文情報メールと前記添付情報メールとを送信する送信工程と，
電子メールの受信時において，
前記コンピュータが，受信した前記本文情報メールに含まれる前記本文情報及び受信した前記添付情報メールに含まれる前記添付情報それぞれについて，前記共有情報を使用した前記所定のアルゴリズムで第２の検証情報を生成する第２の検証情報生成工程と，
前記コンピュータが，受信した前記本文情報メール及び受信した前記添付情報メールが有する前記第１の検証情報をそれぞれ前記第２の検証情報と比較して一致するか否かを判定する判定工程と，
前記コンピュータが，前記判定工程で前記第１の検証情報と前記第２の検証情報とが一致していると判定した場合，受信した前記本文情報メールに含まれる前記本文情報と受信した前記添付情報メールに含まれる前記添付情報とを結合して，受信メールを生成する結合工程とを有する不正メールの検知方法。

（付記２）
付記１において，
前記第１の検証情報生成工程にて，前記コンピュータは，前記共有情報を付加した本文情報，前記共有情報を付加した添付情報それぞれについて第１のアルゴリズムで生成した第１の特徴量情報を前記第１の検証情報とし，
前記第２の検証情報生成工程にて，前記コンピュータは，受信した前記本文情報メールに含まれる前記本文情報及び受信した前記添付情報メールに含まれる前記添付情報それぞれに前記共有情報を付加して前記第１のアルゴリズムで生成した第２の特徴量情報を前記第２の検証情報とする不正メールの検知方法。

（付記３）
付記２において，
前記判定工程にて，前記コンピュータは，前記本文情報及び前記添付ファイル情報それぞれの前記第１の特徴量情報と前記第２の特徴量情報とを比較し，一致しているか否かを判定する不正メールの検知方法。

（付記４）
付記１において，
前記第１の検証情報生成工程にて，前記コンピュータは，前記本文情報及び前記添付ファイル情報それぞれについて第１のアルゴリズムで生成した第１の特徴量情報を，前記共有情報で暗号化する第２のアルゴリズムで生成した第１の暗号化情報を第１の検証情報とし，
前記第２の検証情報生成工程にて，前記コンピュータは，受信した前記本文情報メールに含まれる前記本文情報及び受信した前記添付情報メールに含まれる前記添付情報それぞれについて前記第１のアルゴリズム生成した第２の特徴量情報を前記共有情報で暗号化する第２のアルゴリズムで生成した第２の暗号化情報を第２の検証情報とする不正メールの検知方法。

（付記５）
付記１，２，３又は４のいずれかにおいて，
前記添付情報は，前記電子メールに添付されたリンク情報を有する添付リンク情報又は前記電子メールに添付されたファイルデータを有する添付ファイル情報のいずれか，又は両方である不正メールの検知方法。

（付記６）
付記５において，
前記コンピュータは，前記結合工程において，前記判定工程で比較した結果一致していると判定した場合，前記添付リンク情報を使用せずに，前記本文情報と前記添付ファイル情報とを結合して前記受信メールを生成する不正メールの検知方法。

（付記７）
付記１において，
検証情報付加工程にて，前記コンピュータは，前記本文情報及び前記添付情報それぞれについて第１の検証情報を全て，本文情報メールを前記本文情報を含む電子メールのヘッダ及び前記添付情報を含む電子メールのヘッダに付加する不正メールの検知方法。

（付記８）
付記２又は４において，
前記第１の特徴量情報及び前記第２の特徴量情報を生成する前記第１のアルゴリズムは，一方向性ハッシュ関数である不正メールの検知方法。

（付記９）
付記１において，
前記比較工程は，前記前記コンピュータが，前記第１の検証情報と前記第２の検証情報とが一致した場合，受信した前記本文情報メール及び前記添付情報メールのそれぞれのヘッダに比較結果を付加する比較結果付加工程を有する不正メールの検知方法。

（付記１０）
付記１において，
前記判定工程は，前記コンピュータが，受信した前記本文情報メール及び受信した前記添付情報メールが有する前記第１の検証情報と受信履歴情報の前記第１の検証情報とを比較する受信履歴比較工程を有する不正メールの検知方法。

（付記１１）
不正メール検知処理を電子メールの端末装置のコンピュータに実行させる不正メール検知プログラムであって，
前記コンピュータが，送信メールを本文情報と添付情報とに分割し，前記本文情報及び前記添付情報それぞれについて，共有情報を使用した所定のアルゴリズムで第１の検証情報を生成する第１の検証情報生成工程と，
前記コンピュータが，前記本文情報を含む電子メールのヘッダに前記第１の検証情報を付加して本文情報メールを生成し，前記添付情報を含む電子メールのヘッダに前記第１の検証情報を付加して添付情報メールを生成する検証情報付加工程と，
前記コンピュータが，前記本文情報メールと前記添付情報メールとを送信する送信工程と，
電子メールの受信時において，
前記コンピュータが，受信した前記本文情報メールに含まれる前記本文情報及び受信した前記添付情報メールに含まれる前記添付情報それぞれについて，前記共有情報を使用した前記所定のアルゴリズムで第２の検証情報を生成する第２の検証情報生成工程と，
前記コンピュータが，受信した前記本文情報メール及び受信した前記添付情報メールが有する前記第１の検証情報をそれぞれ前記第２の検証情報と比較して一致するか否かを判定する判定工程と，
前記コンピュータが，前記判定工程で前記第１の検証情報と前記第２の検証情報とが共に一致していると判定した場合，受信した前記本文情報メールに含まれる前記本文情報と受信した前記添付情報メールに含まれる前記添付情報とを結合して，受信メールを生成する結合工程とを有する不正メール検知プログラム。

（付記１２）
不正メール検知装置であって，
第１及び第２の検証情報を生成するために使用される共有情報を記憶する記憶手段と，
前記電子メールの送受信を制御する制御手段とを有し，
電子メールの送信時において，
送信メールを本文情報と添付情報とに分割し，前記本文情報及び前記添付情報それぞれについて，前記共有情報を使用した所定のアルゴリズムで前記第１の検証情報を生成し，
前記本文情報を含む電子メールのヘッダに前記第１の検証情報を付加して本文情報メールを生成し，前記添付情報を含む電子メールのヘッダに前記第１の検証情報を付加して添付情報メールを生成し，
前記本文情報メールと前記添付情報メールとを送信し，
電子メールの受信時において，
受信した前記本文情報メールに含まれる前記本文情報及び受信した前記添付情報メールに含まれる前記添付情報それぞれについて，前記共有情報を使用した前記所定のアルゴリズムで前記第２の検証情報を生成し，
受信した前記本文情報メール及び受信した前記添付情報メールが有する前記第１の検証情報をそれぞれ前記第２の検証情報と比較して一致するか否かを判定し，
前記第１の検証情報と前記第２の検証情報とが共に一致していると判定した場合，受信した前記本文情報メールに含まれる前記本文情報と受信した前記添付情報メールに含まれる前記添付情報とを結合して，受信メールを生成する不正メール検知装置。

１：ネットワーク
２：送信端末
３：送信メールサーバ
４：受信メールサーバ
５：受信端末
２０，５０：ＲＯＭ
２１，５１：電子メールソフトウェア
２２，５２：メールチェッカー
２３，５３：通信制御プログラム
２４，５４：ＣＰＵ
２５，５５：通信部
２６，５６：表示部

Claims (6)

1. 電子メール端末装置のコンピュータにより実行される不正メールの検知方法であって，
   電子メールの送信時において，
   前記コンピュータが，送信メールを本文情報とリンク情報を有する添付情報とに分割し，前記本文情報及び前記添付情報それぞれについて，共有情報を使用した所定のアルゴリズムで第１の検証情報を生成する第１の検証情報生成工程と，
   前記コンピュータが，前記本文情報を含む電子メールのヘッダに前記第１の検証情報を付加して本文情報メールを生成し，前記添付情報を含む電子メールのヘッダに前記第１の検証情報を付加して添付情報メールを生成する検証情報付加工程と，
   前記コンピュータが，前記本文情報メールと前記添付情報メールとを送信する送信工程と，
   電子メールの受信時において，
   前記コンピュータが，受信した前記本文情報メールに含まれる前記本文情報及び受信した前記添付情報メールに含まれる前記添付情報それぞれについて，前記共有情報を使用した前記所定のアルゴリズムで第２の検証情報を生成する第２の検証情報生成工程と，
   前記コンピュータが，受信した前記本文情報メール及び受信した前記添付情報メールが有する前記第１の検証情報をそれぞれ前記第２の検証情報と比較して一致するか否かを判定する判定工程と，
   前記コンピュータが，前記判定工程で前記第１の検証情報と前記第２の検証情報とが一致していると判定した場合，受信した前記本文情報メールに含まれる前記本文情報と受信した前記添付情報メールに含まれる前記添付情報とを結合して，受信メールを生成する結合工程とを有する不正メールの検知方法。
2. 請求項１において，
   前記第１の検証情報生成工程にて，前記コンピュータは，前記共有情報を付加した本文情報，前記共有情報を付加した添付情報それぞれについて第１のアルゴリズムで生成した第１の特徴量情報を前記第１の検証情報とし，
   前記第２の検証情報生成工程にて，前記コンピュータは，受信した前記本文情報メールに含まれる前記本文情報及び受信した前記添付情報メールに含まれる前記添付情報それぞれに前記共有情報を付加して前記第１のアルゴリズムで生成した第２の特徴量情報を前記第２の検証情報とする不正メールの検知方法。
3. 請求項２において，
   前記判定工程にて，前記コンピュータは，前記本文情報及び前記添付情報それぞれの前記第１の特徴量情報と前記第２の特徴量情報とを比較し，一致しているか否かを判定する不正メールの検知方法。
4. 請求項１において，
   前記第１の検証情報生成工程にて，前記コンピュータは，前記本文情報及び前記添付情報それぞれについて第１のアルゴリズムで生成した第１の特徴量情報を，前記共有情報で暗号化する第２のアルゴリズムで生成した第１の暗号化情報を第１の検証情報とし，
   前記第２の検証情報生成工程にて，前記コンピュータは，受信した前記本文情報メールに含まれる前記本文情報及び受信した前記添付情報メールに含まれる前記添付情報それぞれについて前記第１のアルゴリズムで生成した第２の特徴量情報を前記共有情報で暗号化する第２のアルゴリズムで生成した第２の暗号化情報を第２の検証情報とする不正メールの検知方法。
5. 不正メール検知処理を電子メールの端末装置のコンピュータに実行させる不正メール検知プログラムであって，
   電子メールの送信時において，
   前記コンピュータが，送信メールを本文情報とリンク情報を有する添付情報とに分割し，前記本文情報及び前記添付情報それぞれについて，共有情報を使用した所定のアルゴリズムで第１の検証情報を生成する第１の検証情報生成工程と，
   前記コンピュータが，前記本文情報を含む電子メールのヘッダに前記第１の検証情報を付加して本文情報メールを生成し，前記添付情報を含む電子メールのヘッダに前記第１の検証情報を付加して添付情報メールを生成する検証情報付加工程と，
   前記コンピュータが，前記本文情報メールと前記添付情報メールとを送信する送信工程と，
   電子メールの受信時において，
   前記コンピュータが，受信した前記本文情報メールに含まれる前記本文情報及び受信した前記添付情報メールに含まれる前記添付情報それぞれについて，前記共有情報を使用した前記所定のアルゴリズムで第２の検証情報を生成する第２の検証情報生成工程と，
   前記コンピュータが，受信した前記本文情報メール及び受信した前記添付情報メールが有する前記第１の検証情報をそれぞれ前記第２の検証情報と比較して一致するか否かを判定する判定工程と，
   前記コンピュータが，前記判定工程で前記第１の検証情報と前記第２の検証情報とが共に一致していると判定した場合，受信した前記本文情報メールに含まれる前記本文情報と受信した前記添付情報メールに含まれる前記添付情報とを結合して，受信メールを生成する結合工程とを有する不正メール検知プログラム。
6. 不正メール検知装置であって，
   第１の検証情報及び第２の検証情報を生成するために使用される共有情報を記憶する記憶手段と，
   電子メールの送受信を制御する制御手段とを有し，
   電子メールの送信時において，
   送信メールを本文情報とリンク情報を有する添付情報とに分割し，前記本文情報及び前記添付情報それぞれについて，前記共有情報を使用した所定のアルゴリズムで前記第１の検証情報を生成し，
   前記本文情報を含む電子メールのヘッダに前記第１の検証情報を付加して本文情報メールを生成し，前記添付情報を含む電子メールのヘッダに前記第１の検証情報を付加して添付情報メールを生成し，
   前記本文情報メールと前記添付情報メールとを送信し，
   電子メールの受信時において，
   受信した前記本文情報メールに含まれる前記本文情報及び受信した前記添付情報メールに含まれる前記添付情報それぞれについて，前記共有情報を使用した前記所定のアルゴリズムで前記第２の検証情報を生成し，
   受信した前記本文情報メール及び受信した前記添付情報メールが有する前記第１の検証情報をそれぞれ前記第２の検証情報と比較して一致するか否かを判定し，
   前記第１の検証情報と前記第２の検証情報とが共に一致していると判定した場合，受信した前記本文情報メールに含まれる前記本文情報と受信した前記添付情報メールに含まれる前記添付情報とを結合して，受信メールを生成する不正メール検知装置。