ステガノグラフィとは？攻撃の仕組みと検知・対策のポイントを解説
「画像ファイルを開いただけなのに、なぜマルウェアに感染するのか」そんな疑問を持ったことはないでしょうか。その背後に存在する技術の一つが、ステガノグラフィです。
ステガノグラフィとは、データを別のデータの中に秘密裏に隠し込む技術のことです。一見すると何の変哲もない画像ファイルや音声ファイルの中に、悪意ある命令コードやマルウェアが潜んでいるとしたら。それがステガノグラフィを悪用したサイバー攻撃の実態です。
この記事では、ステガノグラフィの基本的な仕組みから種類、暗号化や電子透かしとの違い、実際のサイバー攻撃への悪用手口、そして企業が取るべき具体的な対策まで、体系的に解説します。セキュリティ担当者はもちろん、ITリテラシーを高めたいビジネスパーソンにも役立つ内容を目指しました。
ステガノグラフィとは
ステガノグラフィ（Steganography）という言葉は、ギリシャ語の「steganos（隠す）」と「graphia（書くこと）」を組み合わせた造語です。直訳すると「隠された書き込み」。つまり、情報の存在そのものを隠す技術です。
暗号化との根本的な違いは、「情報の見えにくさ」にあります。暗号化は、メッセージの内容を解読不能な形式に変換します。しかし情報が存在すること自体は隠せません。一方でステガノグラフィは、情報が埋め込まれているという事実を隠します。一見普通に見えるファイルの中にメッセージが潜んでいるため、第三者には何かが隠されているとすら気づかれません。
歴史をさかのぼると、ステガノグラフィの起源は古代ギリシャにまで達します。奴隷の頭を剃り、頭皮にメッセージを刺青し、髪が伸びたあとで使者として送り込んだという記録が残っています。また第二次世界大戦では、スパイがドットや「マイクロドット」技術を用いて、写真の中に極小化した情報を隠す手法が実際に使用されていました。
現代のデジタル環境では、この概念がソフトウェア的に実装されています。画像、音声、動画、テキストなど、あらゆるデジタルメディアが情報の隠し場所として利用されうるのです。
ステガノグラフィの仕組み
デジタルステガノグラフィが機能するのは、あらゆるデジタルファイルが冗長性（余剰データ）を持っているからです。
最下位ビット（LSB）への埋め込み
画像ファイルを例にとると、1ピクセルの色情報は通常RGBそれぞれ8ビット、合計24ビットで表現されます。このうち最も影響の小さい最下位ビット（LSB：Least Significant Bit）を書き換えても、人間の目には色の変化がほぼ分かりません。
具体的には、元の赤色の値が「11001010」であるとき、最後のビットを「11001011」に変えても、色は数値で1しか変わりません。この差異は肉眼での識別が不可能なレベルです。この仕組みを利用して、1ピクセルに1ビット、全ピクセルを使えば大量の情報を画像内に埋め込めます。
たとえば1000万画素の画像であれば、理論上は約1MBのデータを隠せる計算になります。もちろん実際には検知回避のため、使用するビット数や埋め込み位置をランダム化するなど、さらに高度な手法が用いられています。
なお、近年は単純なLSB操作に加え、DCT（離散コサイン変換）係数を操作する手法も普及しています。JPEGファイルは画像圧縮の過程でDCT処理を行いますが、その係数値をわずかに変更することで情報を埋め込みつつ、圧縮・解凍を繰り返してもデータが失われにくい特性を持たせることができます。この点でLSB手法より堅牢とされ、攻撃者に好まれる傾向があります。
ファイルフォーマットの余白領域
JPEGやPNGのような画像フォーマットには、ファイルのメタデータを格納するための専用領域があります。EXIF情報（撮影機器、日時、GPS座標など）を格納する部分がその代表例で、ここに任意のデータを埋め込むことも可能です。この方法は実装が単純な反面、フォレンジック調査では比較的発見されやすいという特性があります。
画像解析ツールを使えば、EXIFデータを含む画像の詳細なメタ情報を誰でも確認できます。「exiftool」などの無料ツールで調べてみると、スマートフォンで撮影した写真にどれほど多くの情報が含まれているかが実感でき、ステガノグラフィの概念を身近なものとして理解できるでしょう。
ステガノグラフィの種類
ステガノグラフィはメディアの種類によって、大きく5つに分類できます。
テキストステガノグラフィ
テキストに情報を隠す技術で、歴史的にも古くから使われてきた手法です。現代においては、各行の最初の文字を並べるとメッセージになるアクロスティック（頭字法）や、空白文字（スペース、タブ）の配置パターンに情報を載せる手法があります。後者は「空白ステガノグラフィ」とも呼ばれ、一般的なテキストエディタでは視認不可能という特性を持ちます。
Unicodeには見た目が同一でも異なるコードポイントを持つ文字が存在します。ゼロ幅スペース（U+200B）や方向制御文字（U+202A〜U+202E）などは表示されませんが、文字列の中に埋め込まれます。Webページ上のテキストにこうした文字が潜んでいても、コピー＆ペーストしてみるまで気づかないことがほとんどです。
画像ステガノグラフィ
最も広く研究・悪用されている種類です。前述のLSB技術を核に、DCT係数への埋め込みやパレットインデックスの操作など、多様な実装が存在します。JPEGだけでなく、PNG・BMP・GIFなど主要フォーマットすべてが対象となります。
サイバー攻撃で特によく使われるのが、この画像ステガノグラフィです。後述するように、画像ファイルはセキュリティソフトによるスキャンをすり抜けやすく、ネットワーク上での通信も自然に見えるため、攻撃者から見て非常に都合のよい媒体となっています。
音声ステガノグラフィ
音声ファイル（WAV、MP3など）の中に情報を隠す手法です。人間の聴覚が感知しにくい低振幅部分や、可聴域外の周波数帯域を利用します。「フェーズコーディング」と呼ばれる手法では、音の位相情報に変更を加えますが、聴感上の違いはほぼ生じません。
また「エコーハイディング」という手法では、元の音声に微小なエコー（反響）を加えることで情報を埋め込みます。エコーの遅延時間や振幅に符号化されたデータが乗せられますが、聴感上はノイズや残響とほぼ区別がつきません。
動画ステガノグラフィ
動画ファイルは、大量のフレーム（静止画）と音声データで構成されています。各フレームに画像ステガノグラフィを適用できるだけでなく、フレーム間の差異情報（動き情報）を利用する手法もあります。ファイルサイズが大きい分、膨大な量の隠しデータを持ち込める点が特徴です。
30fpsの5分間動画であれば9,000枚以上のフレームが存在します。各フレームに1KBのデータを隠せれば、動画一本で約9MBの情報を持ち出せます。高品質動画が当たり前になった現代では、この容量は決して無視できません。
ネットワークステガノグラフィ
ファイルではなく、ネットワーク通信のプロトコル自体に情報を隠す技術です。TCPパケットのヘッダーにある未使用フィールドや、HTTP通信のタイミング（パケット送受信間隔）に情報を乗せる手法が代表的です。通信内容ではなく通信の振る舞いに情報が隠されているため、ペイロードを見ても秘密通信の存在が発覚しません。
特にタイミングベースの手法（コバートタイミングチャンネル）は、IPSやファイアウォールが内容をどれだけ精査しても検知が難しく、セキュリティ研究者の間でも対策が難しい脅威として認識されています。
ステガノグラフィと暗号化の違い
両者の違いを一言で表すなら、「何を隠すか」の違いです。
観点 暗号化 ステガノグラフィ 隠すもの 情報の内容 情報の存在 第三者の認識 暗号化データだと分かる データの存在自体に気づかない 目的 情報の秘密性 情報の不可視性 検知 暗号文の存在は見える 隠しデータの存在が見えない
暗号化されたファイルを受け取った第三者は、「何か秘密の情報がある」とは分かります。その解読を試みることもできます。これに対してステガノグラフィは、「秘密の情報がある」という事実自体を知られないように設計されています。
現代のサイバー攻撃では、両者を組み合わせるケースもあります。悪意あるコードをまず暗号化し、その暗号化されたデータを画像に埋め込む、という二重の隠蔽策です。こうなるとセキュリティ製品が処理を要するステップが増え、検知はより難しくなります。
セキュリティの観点から見ると、暗号化は「攻撃者が通信を傍受しても内容を読めないようにする」防御的な技術であり、ステガノグラフィは主として「秘密通信の存在を隠す」技術です。本来は補完的な関係ですが、悪用されると一層強力な攻撃手段になります。
ステガノグラフィと電子透かしの違い
電子透かし（デジタルウォーターマーク）とステガノグラフィは、どちらも「データを別のデータに埋め込む技術」ですが、目的と設計思想が根本的に異なります。
電子透かしの目的は、著作権保護や出所の追跡です。画像や音楽ファイルに権利者情報を埋め込み、不正コピーが行われた場合でも出所を特定できるようにします。電子透かしは、ある程度の改ざんや圧縮に対しても消えないように設計する「耐性（ロバスト性）」が重視されます。
一方、ステガノグラフィが最優先するのは「不可視性」です。外部から何も隠されていないように見せることが目標なので、耐性よりも隠蔽性が設計の中心に置かれます。
簡単に言えば、電子透かしは「隠しながらも最終的には見つかるべきもの」であり、ステガノグラフィは「絶対に見つかってはならないもの」という違いがあります。
この違いが実務で重要になる場面の一つが、デジタルコンテンツ流通です。映像コンテンツの不正配信を追跡するためにスタジオが採用する透かし技術は、高圧縮や動画編集後も透かしが残るよう設計されています。仮にこの透かしがステガノグラフィ的な手法（消えやすい設計）で実装されていたとすれば、流出ルート追跡の手がかりを失ってしまいます。技術の適用目的と設計方針の一致が欠かせません。
ステガノグラフィを利用したサイバー攻撃の仕組み
なぜ攻撃者がステガノグラフィを悪用するのか。その理由は、ウイルス対策ソフトやファイアウォールなどのセキュリティ製品の検知を回避しやすいからです。
セキュリティ製品は通常、既知のマルウェアのシグネチャ（特徴的なコードのパターン）と照合することでウイルスを検出します。しかし画像ファイルの最下位ビットに埋め込まれたマルウェアのコードは、通常のシグネチャ検索ではほぼ見つかりません。画像そのものは正常なファイルとして扱われ、システムに取り込まれます。
マルウェアや悪意あるコードの隠ぺい
攻撃者が多用するのは、画像ファイルにバックドアやダウンローダーを埋め込む手法です。ユーザーが添付ファイルを開いたり、Webページを閲覧したりした際に画像が読み込まれると、裏側で別の処理が走るよう仕掛けられています。
画像そのものはウイルスではなく、あくまで「悪意あるコードの容れ物」に過ぎません。画像を表示する処理とは別のプロセスとして、埋め込まれたコードが抽出・実行される仕組みです。
窃取したデータの隠ぺいと持ち出し
組織内に侵入した攻撃者が、窃取した機密情報を外部に送り出すためにも使われます。センシティブなデータを画像ファイルに埋め込み、普通のWebトラフィックに見せかけて外部のサーバーに送信する手口です。
ネットワーク監視ツールがパターンを見ると、普通の画像ファイルのアップロードとしか見えません。データの実際の内容を確認しなければ、情報漏えいが起きているとは分からないのです。実際、企業の機密情報漏えいインシデントを事後分析すると、この手口が使われていたと判明するケースが報告されています。
コマンド＆コントロール（C2）通信の隠ぺい
マルウェアが感染後に攻撃者のサーバーと通信し、次の行動指示を受け取る通信のことをコマンド＆コントロール（C2）通信といいます。ステガノグラフィを使うと、この通信を画像や音声ファイルの中に隠せます。
SNSの公開画像や動画共有サービス上のファイルを経由させることもあり、C2通信をセキュリティ製品が遮断するのを困難にします。企業のファイアウォールがSNSへの通信を許可していれば、その許可された通信経路自体が攻撃インフラとして悪用されます。
攻撃者の視点から見れば、わざわざ独自のC2インフラを構築するよりも、すでに信頼されているSNSプラットフォームを利用するほうがコストが低く、かつ遮断されにくいという合理的な判断があります。
ステガノグラフィを悪用したサイバー攻撃の流れ
標的型攻撃でステガノグラフィが使われる場合、以下のようなステップで感染が進む傾向があります。
① なりすましメールの送付
攻撃者は最初、取引先や社内関係者を装ったフィッシングメールを標的組織の社員に送ります。メールには業務上自然に見える文面が添えられており、添付ファイルを開くよう誘導します。
メールアドレスのドメインを一文字変えた「タイポスクワッティング」や、表示名だけを正規の担当者名にした「なりすまし」など、手口は年々巧妙化しています。外部メールに「外部」ラベルを表示する設定は、なりすまし対策として一定の効果があります。
② 添付ファイルの開封
添付されているのはWordやExcelファイルが多く、一見すると正常なビジネス文書に見えます。このファイルを開くと、次のステップに進む仕掛けが起動します。
③ マクロの有効化
Officeファイルに埋め込まれたマクロが実行されます。多くの場合、ファイルを正常に表示するためにマクロを有効にするよう促すダイアログが表示され、ユーザー自身に実行させます。ここが攻撃の成否を分ける重要なポイントです。
④ PowerShellの起動とステガノグラフィ画像のダウンロード
マクロが起動すると、PowerShellなどのスクリプト実行環境が起動し、インターネット上から特定の画像ファイルをダウンロードします。この画像は、攻撃者が用意した正規に見えるWebサーバーや、場合によってはSNSなどの一般的なサービスに置かれています。
ネットワーク上では「普通の画像ダウンロード」として見えるため、プロキシやファイアウォールのログに不審なアクティビティとして記録されにくいのです。
⑤ 画像内のプログラムの抽出・実行
ダウンロードされた画像の最下位ビット等から、マルウェアやスクリプトが抽出されます。抽出されたコードはそのまま実行されるか、別のプロセスとして起動します。
⑥ マルウェアへの感染
最終的にランサムウェアやリモートアクセスツール（RAT）が端末に展開され、攻撃者が内部ネットワークへの足がかりを掴みます。この段階ではセキュリティ製品が反応する場合もありますが、すでにマクロが実行されている時点で手遅れになるケースも少なくありません。
ここで注目すべきは、感染の連鎖において最初の「マクロ有効化」以外はすべて自動処理で完結する点です。ユーザーが意識して操作したのは一度だけ、にもかかわらず最終的な感染まで進んでしまう流れは、いかにこの攻撃手法が効率的かを示しています。
ステガノグラフィを悪用した攻撃の実例
実際のサイバー攻撃事例をいくつか見てみましょう。
Turlaグループのインスタグラム悪用 ロシアを拠点とするとされるサイバースパイグループ「Turla」は、著名人のInstagramアカウントのコメント欄にC2サーバーのURLをハッシュ化して埋め込み、マルウェアがその投稿を参照して次の行動先を特定する手口を使用していたことが確認されています（2017年、ESETが報告）。公開SNSを攻撃インフラとして活用するこの手法は、ブロックすることが非常に困難という意味で業界に衝撃を与えました。
StegoLoaderマルウェア PNGファイルの最下位ビットに悪意あるコードを埋め込み、Windows端末でバックドアを開く「StegoLoader」と呼ばれるマルウェアは、2013年頃から長期にわたり改良が重ねられてきました。感染後はPINによる認証なしにリモートコントロールを可能にするため、産業スパイを目的とした攻撃者に利用されていた痕跡が残っています。
ファビコンやアプリアイコンを利用した手口 Webサイトのブラウザタブに表示されるアイコン（ファビコン）や、スマートフォンアプリのアイコン画像にマルウェアを埋め込んだ事例も報告されています。ユーザーが当該サイトを訪問しただけで悪意あるコードが読み込まれるよう設計されており、ファイルを意図的に開く操作すら不要な点が危険視されています。
ステガノグラフィを検知する方法（ステガナリシス）
ステガノグラフィの最大の特性は「不可視性」ですが、専門的な解析技術を用いれば検知は不可能ではありません。この解析分野は「ステガナリシス（Steganalysis）」と呼ばれ、研究が進んでいます。
統計的分析
ステガノグラフィで情報が埋め込まれた画像は、ピクセルの統計的分布が微妙に変化します。特にLSB手法では、各ピクセルの最下位ビットが自然画像とは異なる分布を示すことが多く、カイ二乗検定などの統計的手法で異常を検出できる場合があります。
ただし、近年の攻撃者は「適応型ステガノグラフィ」と呼ばれる手法を用いており、統計的特徴が自然画像と区別しにくいよう工夫されています。単純な統計検定のみへの依存は限界があります。
ファイルフォーマットの整合性確認
画像ファイルの仕様上、許容されないはずの余剰データが付加されている場合は疑うべきサインです。ファイルサイズが同種のコンテンツと比較して不自然に大きい場合も、何かが埋め込まれている可能性を示唆します。
たとえばPNGファイルはIENDチャンクでファイルが終了するのが仕様ですが、IEND以降にデータが続いている場合はフォーマット違反であり、何かが付加されている証拠となります。このような確認はファイルのバイナリを直接読むことで可能で、forensic_steganography_toolと呼ばれるオープンソースツールがこうした解析を自動化してくれます。
機械学習を用いた検知
近年では、深層学習モデルによる検知が研究・実用化されつつあります。大量の自然画像と改ざん画像を学習させた分類器が、目視では分からない微細な特徴からステガノグラフィ画像を識別します。ただし攻撃手法も進化しており、GAN（生成的敵対ネットワーク）を用いてより検知困難な埋め込みを実現する手法も登場しているため、検知と回避の技術的競争が続いている状況です。
ステガノグラフィを悪用した攻撃への対策
ステガノグラフィへの対策は、単一の製品や手法で完結するものではありません。多層防御の考え方が基本になります。
OSとソフトウェアを常に最新の状態に保つ
ステガノグラフィを悪用した攻撃の多くは、OSやブラウザ、Officeソフトなどの脆弱性を組み合わせて感染を成立させます。OSやアプリケーションのアップデートを適時適用し、既知の脆弱性を放置しないことが、攻撃の入口を減らす上で依然として重要です。
自動更新を有効にしておくだけでは対応しきれない場合もあり、特に業務利用している専用ソフトウェアは手動での更新確認が必要なケースもあります。
脆弱性診断の定期実施
年に一度、あるいは大規模なシステム変更があった際に、外部の専門機関による脆弱性診断を受けることが推奨されます。内部の視点だけでは見えにくいリスクを、第三者の目で洗い出す機会となります。自動スキャンツールによる診断と、専門家によるペネトレーションテストを組み合わせると、より網羅的な評価が可能です。
ネットワーク監視と異常トラフィックの検出
ステガノグラフィを介したデータ持ち出しやC2通信は、通信内容を見ただけでは検知が難しい一方、通信先のIPアドレスや通信頻度・タイミングには異常が現れることがあります。
ネットワーク監視システム（NDR：Network Detection and Response）や、EDR（Endpoint Detection and Response）を導入し、振る舞い検知を組み合わせることで、ゼロデイ攻撃にも対応できる体制を整えることが重要です。
従業員へのセキュリティ教育
多くのステガノグラフィ攻撃の起点は、フィッシングメールへの対応ミスです。「業務メールだからと油断してマクロを有効にしてしまった」という人的ミスを防ぐためには、定期的なセキュリティ意識向上トレーニングが欠かせません。
特に有効なのが、実際に近い状況を再現した「フィッシングメール訓練」です。架空の標的型メールを社員に送り、クリック率や報告率を計測することで、組織の脆弱点を定量的に把握できます。訓練を重ねると、社員のクリック率が数十%から数%に低下するという事例が多くのセキュリティ企業から報告されています。
マクロの無効化と実行制限
Officeドキュメントのマクロは、多くの組織で攻撃の起点となっています。業務上マクロが必要な場面が限定的な組織であれば、グループポリシーでマクロを原則無効化することが有効な防御策になります。
Microsoft 365では、インターネットからダウンロードされたOfficeファイルのマクロをデフォルトでブロックする設定が標準化されてきており、こうしたプラットフォームレベルの制御も積極的に活用してください。
次世代アンチウイルスとEDRの組み合わせ
従来のシグネチャベースのアンチウイルスだけでは、ステガノグラフィを用いた攻撃の検知は困難です。機械学習や振る舞い分析を組み込んだNGAV（次世代アンチウイルス）と、エンドポイントでの詳細な行動ログを取得・分析するEDRを組み合わせることで、既知・未知の脅威双方への対応力が高まります。
たとえば「画像ダウンロード後に異常なプロセスが起動した」といった挙動は、シグネチャでは検知できなくても、EDRの振る舞い検知では異常として検出される可能性があります。
画像・メディアファイルの無害化処理（CDR）
CDR（Content Disarm and Reconstruction）と呼ばれる技術は、受信したファイルを一旦分解・再構築して潜在的に危険な要素を除去したうえでユーザーに届けます。画像に埋め込まれたステガノグラフィデータも、適切なCDRを実施すれば無効化される可能性があります。
すべての用途に適用できる万能策ではありませんが、機密性の高い環境への外部ファイル持ち込みを制御する場面では、CDRは有効な追加の防御層となります。
ステガノグラフィとNFT・AIの今後
ステガノグラフィは攻撃者だけでなく、正当なユースケースでも進化しています。
NFT（非代替性トークン）の世界では、アーティストが自分の作品に権利情報や真正性証明をステガノグラフィ的な手法で埋め込む動きがあります。電子透かしとステガノグラフィを組み合わせることで、デジタル作品の出所証明と著作権保護を両立させようという試みです。
また生成AI技術の台頭により、AIが生成した画像とステガノグラフィを組み合わせた攻撃手法への懸念も高まっています。大量に生成した自然な画像の中に悪意あるコードを分散させ、パターン検知を困難にする手法が今後登場する可能性は否定できません。
さらにディープフェイクと組み合わせる手法も研究段階で検討されており、映像そのものが偽物であることに加え、その映像に秘密の情報が隠されているという二重の問題が生じるシナリオも現実味を帯びてきています。AIと攻撃手法の進化は相互に影響しており、防御側もAIを活用した検知技術の向上が一層求められています。
まとめ
ステガノグラフィは、情報の存在そのものを隠す技術です。暗号化が「内容を守る」ものであるとすれば、ステガノグラフィは「存在を隠す」ものと理解できます。
現代のサイバー攻撃において、ステガノグラフィはマルウェアの隠ぺい、情報の持ち出し、C2通信の隠匿といった目的で悪用されており、従来のセキュリティ製品では検知が難しい点が問題視されています。
対策の要点を改めて整理すると、次の通りです。
OSやソフトウェアを最新状態に保ち、脆弱性を潰す
マクロの実行制限やOfficeファイルの取り扱いルールを徹底する
NGAV＋EDRの組み合わせで振る舞い検知を強化する
ネットワーク監視で異常な通信パターンを早期検出する
従業員へのフィッシング訓練を含むセキュリティ教育を継続する
CDRによるファイルの無害化処理を検討する
「画像を開いただけで感染する」攻撃が現実に存在する以上、技術的対策と人的対策の両輪で防御を構築することが求められます。自社のセキュリティ体制に不安がある場合や、対策の優先順位の判断に迷っている場合は、専門のセキュリティベンダーへの相談を検討してください。現状のリスク評価から対策の優先順位付けまで、組織の実態に合った支援が受けられます。
