CyberChefを開くと、英語の画面が4つに分かれています。最初は戸惑いますが、台所の配置だと思えばすぐ覚えられます。

覚えるのはこれだけです。材料（右上）→ レシピ（真ん中）→ お皿（右下）。レシピに並べる道具は、左の棚から名前で探して持ってきます。初期設定ではAuto Bake（自動で焼く）がオンなので、材料やレシピを変えるたびに、お皿の中身がすぐ変わります。

このたとえは、こじつけではありません。CyberChefは画面のボタンや説明そのものが料理の言葉です。対応を表にすると、こうなります。

※厳密には、CyberChefは「データの変換をつなげて実行する道具」です。ここでは最初の理解として「台所」と考えてください。

意味不明な文字列を見ると、全部「暗号」に見えます。でも実際は、性質のまったく違う3種類があります。CyberChefがすぐほどけるのは、主に1つめです。

専門家の道具に見えますが、ふだんの生活にも「包まれた文字列」はあちこちにあります。見かける場所と、使う道具（操作）の対応です。

メールのソースの見方は、ビジネスメール詐欺（BEC）から会社を守るでヘッダーの確認方法と一緒に説明しています。

次の文字列を、CyberChefで日本語に戻してみましょう。

1. 公式サイトを開く
   ブラウザで https://gchq.github.io/CyberChef/ を開きます。登録・ログインは不要です。
2. 道具を探す
   左上の検索欄（Search…）に base64 と入力。「From Base64」が出てきます。
3. レシピに置く
   「From Base64」を真ん中のRecipe欄へドラッグ（ダブルクリックでも追加できます）。
4. 材料を入れる
   右上のInput欄に、上の文字列を貼りつけます。
5. お皿を見る
   Auto Bakeがオンなら、右下のOutput欄にすぐ結果が出ます。出なければ緑の「BAKE!」を押します。

日本語がそのまま出てきました。Base64は「包み紙」なので、手順さえ知っていれば一瞬で開きます。仕組みをもっと知りたい人は、CTF入門 第10話「Base64・文字コードを解読する」も読んでみてください。

※「To Base64」を使えば逆に包むこともできます。「From」はほどく、「To」は包む、と覚えると道具を探しやすくなります。

2026年10月に、公式サイトのCyberChef（v11.5.0）で実際に動かした結果です。例の文字列はすべて練習用に作ったもので、実在のサイトやアカウントとは関係ありません。

文字化けは「分量（文字コード）」の選び間違い

3つめの例で、「From Hex」だけで止めると、お皿には •¿•••• のような記号が出ます。中身はShift_JIS（Windowsで昔よく使われた日本語の文字コード）なのに、別の読み方をしているからです。「Decode text」を足して「Japanese Shift-JIS (932)」を選ぶと「請求書」に戻ります。日本語の文字コードは、ほかにEUCやISO-2022-JPも選べます。

JWTは「読める」けれど「信じてよい」とは限らない

JWTはログイン状態などを運ぶ「通行証」で、前の2つの部分はBase64で包んであるだけです。CyberChefで中身を読めますが、読めることと、本物の通行証であることは別です。本物かどうかは最後の署名で決まります。偽造の手口はCTF実践編 第3話「JWTを偽造する」で扱っています。

※自分の本物のログイン中のJWTは、パスワードと同じくらい大切なものです。人に見せたり、共有リンクに入れたりしないでください（STEP 9）。

攻撃者は、行き先を隠すために包み紙を何枚も重ねることがあります。たとえば、怪しいメールのリンクの中に、こんな部分があったとします（練習用に作った例です）。

末尾の %3D%3D はURLエンコード、その前はBase64に見えます。そこで、レシピに道具を3つ並べます。

1. URL Decode（1枚目の包みをはがす）
   aHR0cHM6Ly9mYWtlLWJhbmsuZXhhbXBsZS9sb2dpbg==
   %3D が「=」に戻り、Base64らしい形になりました。
2. From Base64（2枚目をはがす）
   https://fake-bank.example/login
   隠れていたのは、銀行を名乗るような偽サイトのURLでした。
3. Defang URL（触っても安全な形にする）
   hxxps[://]fake-bank[.]example/login
   クリックできない形に変えておけば、報告や相談でそのまま貼れます。

ポイントは、レシピは上から順番に処理されることです。包みを重ねた順の逆から、1枚ずつはがします。途中の様子を見たいときは、各操作にある一時停止（ブレークポイント）を使うと、その手前で止めて確かめられます。

何で包まれているのか見当がつかないときは、「Magic」という道具をレシピに置きます。材料を味見して、ほどき方の候補を並べてくれます。

この文字列にMagicを使うと、お皿にこんな候補の一覧が出ました（実測、一部を抜粋）。

正解は「16進数で包んだBase64で包んだURL」、つまり2枚重ねでした。候補のレシピをクリックすると、そのままレシピ欄に読み込まれます。

※Magicの設定欄の「Depth」で、何枚重ねまで試すかを決めます（例では3）。入力が大きいと時間がかかることがあります。

CyberChefは、正しく使えばとても安全な道具です。ただ、知らないと危ない場面が5つあります。危なさの目安ごとに並べました。

• 🟢 安心
  入力はサーバーに送られない：公式の説明には、レシピの設定も入力（文字列もファイルも）もCyberChefのWebサーバーには送られず、すべてあなたのパソコンのブラウザの中で処理される、とあります。実際に、ページを読み込んだあと8回レシピを動かしても、外部への通信は発生しませんでした（2026年10月、筆者が確認）。
• 🟡 注意
  「外と通信する道具」が2つある：「HTTP request」は指定したURLに実際にアクセスし、「DNS over HTTPS」はCloudflareやGoogleなどに問い合わせます。怪しいURLにHTTP requestを使うと、相手のサーバーにあなたのアクセスが届きます。ほどくだけなら、この2つは使わないこと。
• 🟡 注意
  共有リンクには「材料」も入る：CyberChefのURLには、レシピと入力（Base64で包んだもの）が入ります。便利ですが、そのURLを人に送ると、入力した中身も一緒に渡ります。ブラウザの履歴にも残ります。パスワード、ログイン中のトークン、個人情報を入れたまま、URLをコピーして共有しないでください。
• 🔴 危険
  人からもらったCyberChefリンクは、開くとレシピが動く：共有リンクを開くと、レシピと入力が読み込まれ、Auto Bakeで自動的に処理されます。2026年9月18日のv11.5.0では、「手動で焼くべき操作を含むレシピは、読み込んでも自動で焼かない」というセキュリティ修正が入りました。2026年は8月のv11.4.0（XSSの修正）など、セキュリティ修正が続いています。公式サイト（常に最新）を使い、知らない人のリンクは開かないのが安全です。
• 🟡 注意
  暗号の道具を「守るため」に使わない：CyberChefの公式セキュリティ方針には、正しさや安全性の保証はなく、とくに暗号操作の安全性に頼るべきではない、と書かれています。大事なファイルの暗号化には、専用のソフトを使いましょう。

Base64やURLエンコードをほどく方法は、CyberChefのほかにもあります。それぞれの特徴を並べます。

CyberChefのよさは、結果が毎回同じで、どの手順でほどいたかがレシピとして残ることです。「なぜそう言えるのか」を人に説明するときにも、レシピを見せれば済みます。

1. 公式URLをブックマークする。https://gchq.github.io/CyberChef/。似た名前のサイトに入らないように、入口を決めておきます。
2. 基本の3つを一度ずつ試す。「From Base64」「URL Decode」「MIME Decoding」。この記事の材料をそのまま貼れば、お皿の見本と同じ結果になります。気に入ったレシピは「Save recipe」でレシピ帳へ。
3. 怪しいURLは「Defang URL」してから人に見せる。ほどいたURLはクリックせず、hxxps[://]の形にしてから相談・報告に使います。「HTTP request」は使わない。

基本データ（2026年10月2〜3日に確認）

• 開発・公開：英国政府通信本部（GCHQ）。GitHub gchq/CyberChef。READMEによると、ひとりの分析者が勤務時間の10%の自由時間を使って、数年かけて作り上げたもの。
• 最新版：v11.5.0（2026年9月18日公開）。リポジトリの作成は2016年11月。GitHubのスターは約3.6万。
• 操作の数：画面のOperations欄の表示で506。分類はFavouritesを含めて17（Data format、Encryption / Encoding、Public Key、Networking、Extractors、Compression、Hashing、Forensics、Multimedia、Flow control など）。
• ライセンス：Apache 2.0、Crown Copyright。
• 手元で動かす：ダウンロード版（ZIP）、Docker（docker run -it -p 8080:8080 ghcr.io/gchq/cyberchef:latest）、ソースからのビルド（Node.js v24）。Node.jsのライブラリとしても使える（npm cyberchef）。

慣れてきたら使いたい機能

• ブレークポイント：レシピの各操作で一時停止し、1つずつ進めて途中のデータを見られる。
• ハイライト：入力か出力の一部を選ぶと、位置と長さが表示され、対応する部分がもう一方でも強調される（できる場合）。
• ディープリンク：https://gchq.github.io/CyberChef/#recipe=操作()&input=（Base64） の形で、レシピと入力を指定して開ける。# の後ろはふつうサーバーに送られないが、URLを共有すれば中身も共有される。
• フロー制御：「Fork」（1行ずつ同じ処理）、「Register」（入力の一部を後の操作の引数に使う）、「Conditional Jump」「Label」（条件で分岐）など。複雑なマルウェアの設定値の取り出しなどに使われる。
• 抽出：「Extract URLs」「Extract IP addresses」「Extract email addresses」「Extract domains」で、長いログや本文から目印（IOC）を抜き出せる。IOCの活用は脅威インテリジェンス実践ガイドへ。

2026年のセキュリティ修正（CHANGELOGより）

※公式のセキュリティ方針では、修正は最新版にだけ適用され、公式サイトは常に最新とされています。