「Base64ってよく見るけど何のこと？」「URLエンコードって何をしているの？」「エンコードと暗号化は違うの？」——ITの世界でよく目にするのに意外とわかりにくいのが「エンコード（Encode）」と「デコード（Decode）」という言葉です。

エンコード（Encode）とは、データをある形式から別の形式に変換することです。デコード（Decode）はその逆で、変換されたデータを元の形式に戻すことです。

たとえばメールに画像を添付するとき・URLに日本語を含めるとき・プログラム内でバイナリデータを扱うときなど、「そのままでは扱えない」場面でデータを「扱える形式」に変換するのがエンコードです。

エンコード・デコードとは？

エンコード（Encode）とはデータをある決まったルールに従って別の形式に変換すること、デコード（Decode）とはその逆で変換されたデータを元の形式に戻すことです。

エンコードと暗号化はどう違うの？

よく混同されますが、この2つは目的がまったく異なります。

URLエンコード（パーセントエンコーディング）

URLエンコードとは、URLの中に使えない文字や、特別な意味を持つ文字（日本語・スペース・記号等）を「%」と16進数の組み合わせに変換する仕組みです。「パーセントエンコーディング」とも呼ばれます。

よく見るURLエンコードの例

URLエンコードとセキュリティ

URLエンコードはWebアプリケーションのセキュリティとも関係があります。

• 入力値の扱いに注意：URLエンコードされた文字列は、サーバー側でデコードされた後に処理されます。そのため、URLエンコードされているから安全とは判断できません。SQLインジェクション対策には、プリペアドステートメント、プレースホルダ、入力検証などが必要です
• 攻撃での悪用：攻撃者がURLエンコードを使って「/」や「..」などの危険な文字列を「%2F」や「%2E%2E」に変換して、Webアプリケーションのセキュリティチェックをすり抜けようとするケースがあります。WAF（Webを守るフィルター）はこうしたエンコード後の文字列もチェックします

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

Base64エンコード

Base64エンコードとは、バイナリデータ（画像・音声・プログラムなど、0と1の羅列）を「A〜Z・a〜z・0〜9・+・/」の64種類の文字だけで表現する変換方式です。

Base64の変換例

Base64の特徴

• データが約1.33倍になる：変換すると元のデータより約3分の1大きくなります
• すべての環境で安全に扱える文字だけを使う：英数字と記号2つだけなので、さまざまなシステムで問題なく使えます
• 秘密性はない：Base64は誰でも元に戻せます。秘密にしたいデータは別途暗号化が必要です

Base64とセキュリティ

• マルウェアの隠蔽：マルウェアのコードや不正なコマンドをBase64でエンコードしてセキュリティツールの検知を回避しようとする手口があります。ウイルス対策ソフトや解析ツールはBase64のパターンを検知してデコードして中身を確認します
• フィッシングメールのURL隠蔽：フィッシングメールに含まれる悪意あるURLをBase64でエンコードして人間の目から隠す手口があります

文字コード（UTF-8・Shift-JIS等）

文字コードとは、「あ」「A」「1」などの文字をコンピューターが扱える数値（バイトデータ）に対応させたルール表のことです。エンコードの一種です。

主な文字コードの種類

HTMLエンティティエンコード

HTMLエンティティとは、HTML内で特別な意味を持つ文字（< > & 等）を「&lt;」「&gt;」「&amp;」のような表記に変換する仕組みです。

たとえばHTMLの中に「<script>」とそのまま書くとブラウザがJavaScriptとして実行してしまいますが、「&lt;script&gt;」と変換（エンコード）すれば「文字として表示する」だけになります。これはXSS（クロスサイトスクリプティング）という攻撃を防ぐ基本的な対策のひとつです。

エンコード・デコードを確認するツール

エンコード・デコードを手軽に試せる便利なツールが無料で公開されています。

• CyberChef（サイバーシェフ）：英国情報機関GCHQが公開しているエンコード・デコード・暗号化・解析のオールインワンツール。URLエンコード・Base64・各種変換をブラウザ上で簡単に試せます（https://gchq.github.io/CyberChef/）
• dencode.com：URLエンコード・Base64・HTMLエンティティ・文字コード変換など多数のエンコード・デコードを一度に試せる日本語対応ツール
• ブラウザの開発者ツール：ChromeのConsole（コンソール）で「atob(‘SGVsbG8=’)」と入力するとBase64をデコードできます

被害事例2選

事例①：フィッシングメールやマルウェアでBase64が悪用されるリスク

フィッシングメールやマルウェアでは、PowerShellコマンド、不正なURL、スクリプトなどをBase64でエンコードし、人間の目や単純な検知ルールから隠そうとする手口があります。Base64の文字列自体は無害に見えるため、内容を確認せずに実行すると、マルウェアのダウンロードや不正な通信につながる可能性があります。

過去には、採用担当者を装ったフィッシングメールにより、多数のPCがマルウェアに感染した事例も報じられています。Base64は、このような攻撃で不正なコマンドやURLを目立ちにくくする目的で使われることがあります。

対策としては、不審なメールの添付ファイルやリンクを開かないことに加え、PowerShellの不審な実行、Base64らしき長い文字列、外部通信、マルウェアのダウンロード挙動をEDRやメールセキュリティ製品で監視することが重要です。

採用担当者装いフィッシングメール送信、6,000台以上のパソコンがマルウェア感染

2018.11.16

韓国で6,000台以上のパソコンをマルウェアに感染させたハッカーグループら5名が、現地当局により逮捕されたことが報じられました。 男性らは採用担当者を装い、求職者らに合計3万2,435通のフィッシングメールを送信。メールにはマイニング

事例②：SQLインジェクション攻撃でエンコードが検知回避に使われるリスク

Webアプリケーションへの攻撃では、攻撃者がSQLインジェクションの文字列をURLエンコードし、見た目を変えて送信することがあります。たとえば、記号や制御文字を「%27」「%3B」「%2D%2D」のように変換することで、単純な文字列チェックをすり抜けようとするケースがあります。

サイバーセキュリティ.comでも、SQLインジェクションにより情報漏えいが懸念された事例や、WAF設定ミスにより不正アクセスを防げなかった事例が報じられています。URLエンコードされているから安全というわけではなく、サーバー側でデコードされた後の値まで含めて検証する必要があります。

対策としては、URLエンコードの有無にかかわらず、プリペアドステートメントやプレースホルダを使ってSQLを安全に実行すること、入力値を適切に検証すること、WAFのルールを最新に保つことが重要です。

SQLインジェクションでユーザー情報漏えい懸念│スマートレクチャーサイト

2025.7.17

画像：株式会社新興出版社啓林館より引用

WAF設定ミスで不正アクセス被害、最大6,119件の個人情報流出か｜MS&consulting

2018.5.15

画像：株式会社MS&Consultingより

よくある質問（FAQ）

Q. Base64でエンコードしたら安全ですか？

いいえ。Base64エンコードは「安全にする（秘密にする）」ものではなく、「扱いやすい形式に変換する」ものです。ルールさえ知っていれば誰でも元のデータに戻せます。データを守りたい場合はAESなどの暗号化が必要です。「Base64でエンコードしてあるから大丈夫」という考え方は危険です。

Q. URLエンコードとHTMLエンティティの使い分けは？

使う場所が違います。URLエンコード（%20等）はURLの中で使う変換です。HTMLエンティティ（&lt;等）はHTMLの中で使う変換です。Webアプリケーション開発では「URLにデータを入れるときはURLエンコード」「HTMLにデータを表示するときはHTMLエンティティエンコード」という使い分けが必要で、間違えるとXSSなどの脆弱性につながることがあります。

Q. 文字化けを防ぐにはどうすれば？

ファイルの作成側と読み込み側で同じ文字コードを使うことが基本です。現代的なシステムでは特別な理由がない限り「UTF-8」に統一することを推奨します。CSVファイルをExcelで開いて文字化けする場合は、ExcelのBOM（Byte Order Mark）付きUTF-8での保存・または「データ」タブから「テキストファイルのインポート」で文字コードを指定して開くことで解決できます。

Q. エンコードとシリアライズはどう違いますか？

シリアライズはオブジェクト（プログラム内のデータ構造）を保存・転送できる形式（バイト列・JSON・XML等）に変換することです。エンコードはデータを別の表現形式に変換する広い概念です。シリアライズはエンコードの一種と考えることもできますが、「オブジェクトの構造を保ちながら変換する」という目的が特定されています。

Q. ハッシュ化はエンコードの一種ですか？

違います。エンコードは「元に戻せる（デコードできる）」変換ですが、ハッシュ化は「元に戻せない（一方向の変換）」という根本的な違いがあります。MD5やSHA-256などのハッシュ関数はパスワードの保存や改ざん検知に使われますが、エンコードとは別の概念です。

まとめ

エンコード（Encode）とはデータをある決まったルールで別の形式に変換すること、デコード（Decode）とはその逆で元の形式に戻すことです。代表的なものはURLエンコード（URLに使えない文字を%XX形式に変換）・Base64（バイナリデータを英数字に変換）・文字コード（文字を数値に対応させるルール）・HTMLエンティティ（HTMLの特殊文字を安全な表記に変換）などがあります。

エンコードと暗号化は混同されがちですが、エンコードは「扱いやすくする変換（ルールを知れば誰でも戻せる）」で秘密性はありません。暗号化は「秘密にする変換（鍵がないと戻せない）」です。「Base64でエンコードしたから安全」は誤りです。

セキュリティの観点では、攻撃者がBase64でマルウェアのコードを隠したり・URLエンコードでWAFのフィルターをすり抜けようとする手口があります。最新のセキュリティツールはエンコードを自動的にデコードして内容を確認しますが、古いツールや設定が不十分な場合には回避されるリスクがあります。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから