URLやファイル名、コピペした文章に潜む不可視文字を検出します。単なる文字チェックではなく、 検出した文字が「なぜ危険なのか」まで解説する診断ツールです。
チェックしたいテキストを貼り付け
サンプルを試す
テキストを入力すると、不可視文字・ホモグリフ・隠しメッセージの診断結果がここに表示されます。
なぜ「見えない文字」がセキュリティリスクになるのか
Unicodeには、画面上には何も表示されない、あるいは他の文字と見分けがつかない特殊な符号位置が数多く存在します。これらは本来、多言語対応やアラビア語・ヘブライ語などの右横書き言語の表示制御、絵文字の字形指定といった正当な目的で設計されたものです。
しかし同じ仕組みは、ファイル名の拡張子を偽装するなりすまし攻撃、フィッシングサイトのURLに使われるホモグリフ、目に見えない形でテキストにメッセージを埋め込む電子透かしとして悪用されるケースが確認されています。特に生成AIの普及以降、AIが出力したテキストであることを示す透かしとして、Unicodeタグ文字や異体字セレクタを使って不可視のメッセージを埋め込む手法が実際に確認されています。
本ツールは、単に不可視文字の有無を調べるだけでなく、検出した一つひとつの文字が具体的に何に悪用されうるのかをあわせて表示する診断ツールです。テキストの整形状態を確認する用途ではなく、セキュリティ上の懸念がないかを確認する目的でご利用ください。
こんなシーンで便利です
受け取ったメールやファイル名の安全性を確認したい時に
添付ファイルの名前や、送信元のメールアドレス・URLに不自然な文字が混入していないかを確認し、なりすましメールを見抜く手がかりにできます。
コピペした文章にAIの透かしが仕込まれていないか調べたい時に
SNSやチャットからコピーしてきた文章に、目に見えない識別情報が埋め込まれていないかを確認したい場合に。埋め込まれたメッセージの復元も試みます。
開発者が外部入力のバリデーションを検討する時に
フォームやAPIで受け取ったテキストデータに、不審な制御文字やなりすまし文字が混入していないかを事前に確認する検査用途として活用できます。
フィッシングが疑われるURLの真偽を確かめたい時に
受け取ったURLをそのまま貼り付けることで、ドメイン名の一部がホモグリフ（見た目そっくりの別文字）に置き換えられていないかをチェックできます。
使い方は簡単 5ステップ
- チェックしたいテキスト（URL・ファイル名・メール本文など）を入力欄に貼り付けます。
- 自動で解析が実行され、リスク判定（安全／注意／危険）が表示されます。
- 検出内訳で、どの文字がどのカテゴリに該当し、何に悪用されうるかを確認します。
- 隠しメッセージが見つかった場合は、復元された内容を確認します。
- 必要であれば、不可視文字を除去した安全なテキストをコピーして利用します。
※入力したテキストはすべてブラウザ内で処理され、サーバーへ送信・保存されることはありません。
ご利用時の注意点
- 本ツールは既知の手法をもとにした検出であり、すべての不正な文字・未知の新しい手法を100%網羅するものではありません。
- ゼロ幅文字や異体字セレクタは、正当な言語処理・絵文字表示のために使われている場合もあります。検出＝即座に悪意があるとは限らない点にご留意ください。
- 重要なセキュリティ判断（不審なメールやファイルの取り扱いなど）は、本ツールの結果のみに頼らず、他のセキュリティ対策やIT管理者への確認とあわせて行ってください。
- 完全無料・安全：入力したテキストは一切送信されない、通信が発生しないブラウザ完結型を採用しています。
検出対象となる不可視・不審文字の一覧
本ツールが検出する6つのカテゴリと、それぞれの主な悪用例です。
| カテゴリ | 危険度 | 代表的な悪用例 |
|---|---|---|
| 方向制御文字（Bidi） | 高 | RTLOによるファイル拡張子の偽装（.exeを.txtに見せかける） |
| ホモグリフ（同形異字） | 高 | フィッシングサイトのドメイン偽装、SNSのなりすましアカウント名 |
| Unicodeタグ文字 | 高 | AI生成物の電子透かし、目に見えないメッセージの埋め込み |
| 異体字セレクタ | 中 | 絵文字を利用したステガノグラフィー的なデータ隠蔽 |
| ゼロ幅文字 | 中 | 不自然な連続によるテキストへの識別情報の埋め込み |
| その他の不可視制御文字 | 中 | テキスト処理システムの誤動作誘発、フィルタ回避 |
※危険度は本ツールにおける一般的な目安です。実際のリスクは、検出された文字数・出現パターン・利用シーンによって異なります。
代表的な不可視文字による攻撃手法の仕組み
それぞれの手法がどのような原理で成立しているのかを解説します。
RTLOスプーフィング：拡張子を偽装するなりすまし攻撃
U+202E（RLO）は、それ以降の文字の表示順序を右から左に強制的に反転させる制御文字です。
例えば「invoice_」の後にRLOを挿入し「txt.exe」と続けると、実際のファイル名は「invoice_txt.exe」のままですが、画面上には「invoice_exe.txt」のように反転して表示されます。
受信者は無害な「.txt」ファイルだと誤認したまま、実際には実行ファイル（.exe）を開いてしまう、という古典的かつ現在も使われるなりすまし手口です。
ホモグリフ攻撃：見分けがつかない別の文字によるドメイン偽装
キリル文字の「а」（U+0430）は、ラテン文字の「a」（U+0061）とフォント上ほぼ区別がつきません。
この性質を利用し、正規のドメイン名の一部の文字をキリル文字やギリシャ文字のホモグリフに置き換えることで、URLバー上は本物そっくりに見えるフィッシングサイトを作成する手口が古くから知られています（IDNホモグラフ攻撃とも呼ばれます）。
Unicodeタグ文字による不可視メッセージの埋め込み
U+E0000〜U+E007Fの範囲にある「タグ文字」は、ASCIIの各文字（0x20〜0x7E）に対応する符号位置を持ちますが、ほとんどのフォント・表示系では完全に不可視として扱われます。
この特性を利用し、通常の文章の末尾などに任意のASCIIメッセージをタグ文字として連結することで、見た目には何の変哲もない文章の中に、目に見えない別のメッセージを埋め込むことができます。AIが生成したテキストであることを示す電子透かしの実装例としても知られています。
異体字セレクタ・スマグリング：絵文字に隠されたデータ
異体字セレクタ（U+FE00〜U+FE0F、拡張領域のU+E0100〜U+E01EF）は、それぞれが0〜255のバイト値に対応させられる特性を持ちます。
絵文字などの基底文字の直後にこれらを大量に連結することで、UTF-8でエンコードされた任意のバイト列＝任意のテキストデータを、見た目には1つの絵文字にしか見えない形で埋め込む「異体字セレクタ・スマグリング」という手法が確認されています。
よくある失敗と対策
反転して見えるファイル名を、拡張子通りだと信じて開いてしまう
RTLOによって「.txt」に見えるファイル名を、疑いなく開いてしまい、実際には実行ファイル（.exe）だったためにマルウェアに感染するケースです。
💡 対策・解決策を見る▼
URLバーの見た目だけを信じてフィッシングサイトにログイン情報を入力してしまう
ホモグリフによって本物そっくりに見えるドメイン名のサイトを、正規サイトだと信じてログイン情報やクレジットカード情報を入力してしまう失敗です。
💡 対策・解決策を見る▼
コピペしたテキストに隠しメッセージが含まれていることに気づかず利用してしまう
SNSやチャットボットの出力からコピーした文章に、目に見えない識別情報や指示文が埋め込まれていることに気づかないまま、そのまま別の場所に転載・入力してしまうケースです。
💡 対策・解決策を見る▼
ゼロ幅文字を全て「異常」と判断し、正当な用途のテキストまで過剰に警戒してしまう
ゼロ幅接合子（ZWJ）などはペルシャ語やアラビア語、絵文字の合成表現などで正当に使われることがあるにもかかわらず、検出＝悪意ある文字と早合点してしまう失敗です。
💡 対策・解決策を見る▼
よくある質問（FAQ）
Q.このツールは「space-visualizer（空白の可視化ツール）」と何が違いますか
A. space-visualizerが文章整形のための半角・全角スペースや改行コードのチェックを目的としているのに対し、本ツールは「なりすまし攻撃」や「隠しメッセージの埋め込み」に悪用される不可視文字を検出するセキュリティ診断ツールです。方向制御文字・ホモグリフ・Unicodeタグ文字・異体字セレクタなど、通常の文章整形では登場しない特殊な符号位置を対象にしています。
Q.RTLO（方向制御文字）を使ったなりすましとは何ですか
A. U+202E（RLO）などの方向制御文字をファイル名に埋め込むことで、実際は「.exe」で終わる実行ファイルを、画面上では「.txt」で終わるファイルのように見せかける手口です。メールの添付ファイル名や、ダウンロードファイル名を偽装するマルウェア配布の手口として知られています。
Q.ホモグリフとは何ですか、どのように悪用されますか
A. ホモグリフとは、見た目がラテン文字（a, e, o など）とほとんど区別できない、キリル文字やギリシャ文字などの別の文字のことです。「аpple.com」のようにドメイン名の一部をホモグリフに置き換えることで、正規サイトそっくりのフィッシングサイトのURLを作成したり、SNSでなりすましアカウント名を作成したりする手口に使われます。
Q.Unicodeタグ文字や異体字セレクタによる「隠しメッセージ」とはどのようなものですか
A. Unicodeタグ文字（U+E0000〜U+E007F）や異体字セレクタ（U+FE00〜U+FE0F、U+E0100〜U+E01EF）は、1文字ごとに特定のASCII文字やバイト値を対応させられる特殊な符号位置です。これらを文章や絵文字の後ろに目に見えない形で連結することで、通常の表示では気づけない任意のテキストやデータを埋め込むことができます。AI生成コンテンツの識別用の電子透かしや、ステガノグラフィーによる情報の隠蔽に使われる手法として知られています。
Q.隠しメッセージが見つかった場合、内容を確認できますか
A. はい。本ツールはUnicodeタグ文字および異体字セレクタで埋め込まれたメッセージについて、判読可能な文字列として復元できた場合にその内容を画面に表示します。「隠しメッセージを検出しました」というパネルが表示された場合は、復元された内容をあわせてご確認いただけます。
Q.検出された不可視文字を除去して安全なテキストにできますか
A. はい。診断結果の下部にある「安全なテキストに補正」セクションで、不可視文字の除去とホモグリフのラテン文字への置き換えをそれぞれオン・オフしたうえで、補正後のテキストをワンクリックでコピーできます。
Q.入力したテキストが外部に送信されることはありませんか
A. ありません。本ツールはすべての検出・復元処理をブラウザ内で完結させる設計になっており、入力したテキストが外部サーバーへ送信されることは一切ありません。機密性の高いメール本文やファイル名でも安心してチェックできます。
あなたの声で、
このツールをより鋭く。
「こんな機能が欲しい」「ここを直してほしい」といったご意見や、新しいツールのリクエストを募集しています。エンジニアが直接目を通し、開発の参考にさせていただきます。