Google Search Consoleに現れる謎のURL 高度なハッキングとネガティブSEOへの対応について実例をご紹介します。比較的最近、弊社ホームページのGoogle Search Consoleに、不可解なURLが大量に出現するという深刻な問題が起こりました。これは単なる技術的なエラーではなく、ホームページ（ウェブサイト）のSEOパフォーマンスとセキュリティ体制の根幹を揺るがす事態であり、ハッキングおよびネガティブSEO攻撃の複合的な兆候であると判断しました。同様の脅威に晒されているウェブサイト管理者の方々への一助となるべく弊社の経験と具体的な対策を詳細に共有いたします。
発端はサイト内に出現したインデックス不要なURL群
Search Consoleの「ページ」（旧「カバレッジ」）レポートを日常的にチェックしていたところ、「https://funfairfanfare.com/お問いくわせフォーム-迷惑-営業メール-対策/」や「https://funfairfanfare.com/ビングコントロールーーング」といった、私のサイトには本来存在しない、意味不明な日本語のURLが大量に検出されていることに気づきました。
意味不明な日本語のURL Search Console
これらのURLは、私のサイトの通常のディレクトリ構造やコンテンツ方針とは全く異なるものであり、その異質さは一見して明らかでした。
当初は、WordPressプラグインやテーマの不具合、あるいは一時的なクロールエラーではないかと推測しましたが、その数の多さと継続的な発生状況から、より悪質な原因が潜んでいると判断せざるを得ませんでした。
脅威の特定 日本語キーワードハックとクローキングの実態
詳細な調査と情報収集の結果、この現象は「日本語キーワードハック」（Japanese Keyword Hack）と呼ばれる典型的なサイバー攻撃である可能性が極めて高いことが判明しました。この種のハックは、攻撃者がターゲットサイトにスパム性の高い日本語のページやコンテンツを密かに挿入し、それらをGoogleにインデックスさせることで、以下のような目的を達成しようとします。
- 対象サイトへのネガティブSEO: 主要ページの評価を分散させたりクロールバジェットを浪費させることによって検索流入に乱れを生じさせる。検索競合など競合他社などからの攻撃。（詳細は後述）
- 不正なアフィリエイト収入の獲得: ギャンブルや医薬品などの違法または疑わしい商品のアフィリエイトリンクを仕込み、検索流入を介して収益を得る。
- スパムサイトへの誘導: 検索ユーザーを、最終的に詐欺サイトやマルウェア配布サイトへリダイレクトさせる。
- SEOスパムの拡散: ターゲットサイトのドメインオーソリティを悪用し、自身のスパムサイトへのリンクを構築する。
このハックの厄介な点は、しばしばクローキング（Cloaking）という高度な技術が用いられることにあります。クローキングとは、ユーザーとGooglebotに対して異なるコンテンツを提供する手法です。
クローキング
クローキング、検索エンジンのロボットと私たち人間とで、サイトの見え方を変えるずるい手口のことです。
例えば、検索エンジンにはSEOのためにキーワードを詰め込んだ見えない文字だらけのページを見せて、私たちには普通にデザインされたページを見せる、なんてことができます。悪質なスパムサイトが、自分たちの本当の姿を隠すためによく使う手法です。
例えば、通常のブラウザでアクセスするとサイトの正規のコンテンツが表示されるにもかかわらず、Googlebot（や特定のUser-Agentを持つボット）でアクセスするとスパム性の高い日本語コンテンツが表示される、といった具合です。
このようなクローキングが存在すると、「セキュリティの問題レポートには警告が出ない」という状況が発生しやすくなります。Googleの自動スキャナーが正規のコンテンツしか見つけられず、悪意あるコンテンツを検出できないためです。
また、Wordfenceのような一般的なセキュリティプラグインでも、特定のクローキングや難読化されたコードを完全に検出できないケースも存在します。これは、攻撃者がセキュリティツールの検出ロジックを巧妙に回避するよう設計しているためです。
クロールバジェット
Googleの検索ロボットは、世界中のウェブサイトを見て回っています。でも、無限に時間があるわけじゃありません。それぞれのサイトに対して「今回はここまで見ておこうかな」と決めている、いわば“巡回予算”のようなものがあります。これがクロールバジェットです。
この予算が少ないと、せっかく更新したのにロボットが気づいてくれなかったり、大事なページをなかなか見つけてもらえなかったりして、サイトが検索結果に表示されにくくなることがあります。無駄なページがたくさんあると、この予算を食いつぶしてしまうことになるので注意が必要です。
ネガティブSEOとの関連性 不審な外部リンクの発見
さらに、弊社ホームページへの不審な外部リンクが確認されたことも、この問題の深刻さを増す要因でした。
弊社は以前、Web検索で意味不明なURLを二重引用符で囲んで検索することで、特定の品質の低いドメインからのリンクを発見していました。このようなリンクは、単なるサイトのハッキングだけでなく、ネガティブSEO攻撃の一環である可能性を示唆しています。
ネガティブSEOとは、競合他社などが悪意を持って、対象サイトのSEO評価を意図的に引き下げるための戦略です。
これには、以下のような手法が含まれます。
- スパムリンクの大量生成: 関連性のない、または質の低い大量のバックリンクを対象サイトに送りつけることで、Googleのアルゴリズムにスパムと認識させようとします。
- コンテンツのスクレイピング: 他のサイトからコンテンツを盗用し、重複コンテンツとして認識させる。
- 不適切なコンテンツの作成: 対象サイトを装った偽のページを作成し、Googleに誤解を与える。
意味不明なURLがSearch Consoleのインデックスに登録されていなくても（例えば、Search ConsoleのURL検査ツールで「URLがGoogleに登録されていません」と表示されても）、その存在はサイト全体のSEOに複合的な悪影響を及ぼします。
- クロールバジェットの非効率な消費: Googlebotは、たとえインデックスしないURLであっても、それらを継続的にクロールしようと試みます。この「無意味なクロール」は、サイトのクロールバジェットを浪費し、本来インデックスすべき重要ページのクロール頻度や深度を低下させる可能性があります。
- サイト品質シグナルの希薄化: 大量のスパム性または無意味なURLが存在することは、Googleにサイト全体の品質が低いというシグナルを与えかねません。これにより、正規のコンテンツのランキング力や、ドメインオーソリティの評価が間接的に低下する恐れがあります。
- 潜在的な手動ペナルティのリスク: 最も深刻な場合、Googleがスパムコンテンツやクローキングを明確に検出すると、サイトに対して手動ペナルティを課す可能性があります。これにより、検索結果からのサイトの露出が大幅に減少したり、完全に削除されたりする危険性があります。
サイト内検索を利用した攻撃も検討しましたが、サイト内検索結果はnoindex指定をしているため、インデックス登録されるということに整合性がありません。そのため、外部からのリンクによるURLの発見と短期的なインデックス登録を疑いました。
弊社が実施した複合的な対策と継続的な監視体制
この多層的な問題に対処するため、弊社は以下の通り複合的なアプローチで対策を講じました。
今回の事例は、特定の品質の低いドメインからのリンクの抽出と「外部リンクの否認（Disavow）の徹底」が功を奏しました。
特定の「品質の低いドメインからのリンク」が瞬間的に生成され、そのリンク元ページは一定期間経過後に消され痕跡を消すような仕組みになっていました。
明らかに弊社を狙った攻撃です（法的には偽計業務妨害罪に問われると考えます）。
外部リンクの否認（Disavow）の徹底
- 意味不明なURLを二重引用符で囲んで検索し、リンク元を洗い出しました。
- Google Search Consoleの「リンク」レポートから、サイトへの外部リンクを詳細に分析しました。「上位のリンク元サイト」と「上位のリンクテキスト」を定期的にチェックし、不自然なパターンがないか確認しました。
- Ahrefs、Semrush、Moz Link Explorerなどの外部SEOツールも併用し、Search Consoleだけでは見えない広範なリンクプロファイル（例えば、ドメインレーティングの低いサイト、アンカーテキストの不自然さ、リンクの急増など）を把握しました。
- 特定した品質の低い、または関連性のない不審なドメイン（例：無関係な外国語サイト、スパム的な内容のサイト、不自然なアンカーテキストを持つサイト）からのリンクをリストアップし、Googleの否認ツールを通じて否認ファイルを提出しました。否認処理はGoogleのインデックスに反映されるまで時間を要するため、継続的な監視が必要です。
否認ツール
これは、Googleが提供している「このリンクは私とは関係ありません！」と宣言できるツールのことです。
もしあなたのサイトに、怪しいスパムサイトからたくさんの不審なリンクが貼られてしまった場合、それを放っておくと、あなたのサイトの評価まで下がってしまうかもしれません。そんな時にこの否認ツールを使って「これらのリンクは私のサイトの評価には関係ないものとして扱ってください」とGoogleに伝えることで、悪い影響を打ち消すことができるんです。あくまで最終手段として使うものですが、いざという時には役立つツールです。
怪しいリンク元の見つけ方 意味不明なURLを二重引用符で囲んで検索
もし同様の問題が起こっている場合は、まず、Search Consoleの「リンク」レポートを開いてみましょう。ここにある「上位のリンク元サイト」を見れば、あなたのサイトにリンクを張っているドメインがずらりと並んでいます。もし、あなたのサイトの内容とはまるで関係のない、あるいはどう見ても怪しげな名前のドメインがあったらそれは要注意です。
次に、Search Consoleの「検索パフォーマンス」レポートを確認します。ここで「ページ」タブをクリックし、問題となっている意味不明なURLを探してみてください。もし、そのURLの横に「検索回数1」などのごくわずかな数値が表示されていたら、それはGoogleがそのスパムURLをクロールし、検索結果に表示してしまっている可能性を示唆しています。たとえ検索回数が少なくてもこれは問題のサインです。
その意味不明なURLを「”（二重引用符）”で囲んでGoogleで検索してみるのも有効な手です。例えば、「https://funfairfanfare.com/あ問い合わせ“」といった具合です。この検索結果に、もしその怪しいURLへのリンクを張っているサイトが出てきたら、それがあなたのサイトにネガティブな影響を与えているかもしれない「リンク元」です。
表示されるサイトが、普段見慣れないアフィリエイトサイトや海外の怪しげなフォーラムなどであれば、かなり疑わしいと判断してよいでしょう。
さらに深く掘り下げるなら、AhrefsやSEMrushのような外部のSEOツールが力を貸してくれます。これらのツールを使えば、あなたのサイトへ向けられた外部リンクをより広範囲に洗い出せるだけでなく、リンク元のドメインの質やスパムスコアなども教えてくれるので、否認すべきリンクを特定するのに役立ちます。
リンクの否認リストを作成し、Googleへ伝える
不審なリンク元が見つかったら、それらをリストアップしてGoogleの「否認ツール」に提出する準備をしましょう。
否認リストの作り方
まず、否認したいドメインやURLをテキストファイルに一つずつ書き出します。
- もし、そのドメインからのリンクを全て否認したい場合は、「
domain:example.com」のように記述します。 - 特定のページからのリンクだけを否認したいなら、「
http://www.example.com/bad-page.html」といったように、そのURLを直接書き込みます。
この時、1行に1つずつ正確に記述することが大切です。
否認ツールの使い方
テキストファイルができあがったら、Google Search Consoleの否認ツールページにアクセスし、該当するあなたのプロパティを選んで、作成したテキストファイルをアップロードします。
このツールにファイルを受け渡すことで、「これらのリンクは私の意図するところではなく、サイトの評価には含めないでください」とGoogleに正式に伝えることができます。効果がすぐに現れるわけではありませんが、スパムリンクによる悪影響を軽減するために、これはとても重要な作業です。
ただ、この否認ツールは強力な力を持っています。もし間違った使い方をしてしまうと、かえってサイトの評価を下げてしまう危険性もあります。だからこそ、本当に悪影響を与えていると確信できるリンクだけを、慎重に選んで否認するように心がけてください。もし少しでも不安を感じたら信頼できるSEOの専門家に相談してみるのが一番安心な方法です。
サイト内部の厳格なフォレンジックとクリーンアップ
基本的な対応は、怪しいリンク元の発見とリンクの人ですが、さらに根本的なサイトセキュリティをより一層強化することにしました。
セキュリティプラグイン（例えばWordfence）の自動スキャンに頼るだけでなく、手動での詳細なファイル検査を実施しました。FTPクライアントやホスティングのファイルマネージャーを通じて、ウェブサイトの公開ディレクトリ内のすべてのファイルを、更新日時順でソートして確認。特に.php、.js、.cssファイル、そして.htaccessファイルに不審な改変や追加がないかを厳しくチェックしました。難読化されたコードがないかも注意深く見ました。
WordPressのチェック
CMS（WordPressなど）を使用している場合、コアファイル、テーマファイル、プラグインファイルを、公式サイトからダウンロードしたクリーンなバージョンと一つ一つ比較し、改ざんがないか検証しました。差異が見つかった場合は、安全な方法で置き換えを行いました。
phpMyAdminによるデータベースチェック
phpMyAdminでデータベースに直接アクセスし、wp_posts、wp_options、wp_usersなどの主要なテーブルに、身に覚えのないスパムコンテンツ、不審な設定値、あるいは不正な管理者アカウントが追加されていないかを確認し、発見次第削除しました。
パスワードの変更
サイトに関連するすべてのパスワード（CMS管理者、FTP、SSH、ホスティングコントロールパネル、データベースユーザーなど）を、複雑で推測されにくいものに即座に変更しました。二段階認証（2FA）の設定も推奨されます。
もしこうした対処が通じない場合は、可能であれば、ハッキングされる前のクリーンな状態のバックアップからサイトを復元することも視野に入ります。これは、既知のマルウェアを最も確実かつ迅速に排除する方法です。
Google Search Consoleとサーバーログの継続的な監視
「ページ」レポートで、意味不明なURLの数が減っているか、新たなものが生成されていないかを日々監視し、ステータスの変化（例：インデックス済みから除外へ）を追跡しています。
「URL検査ツール」
「URL検査ツール」は、特に重要な診断ツールです。疑わしいURLを個別に検査し、「公開URLをテスト」を実行することで、GooglebotがそのURLにアクセスした際にどのようなコンテンツを見ているか（クローキングの有無）をリアルタイムで確認します。HTTPステータスコードが200 OKなのにコンテンツがスパムである場合は、クローキングの有力な証拠となります。
サーバーアクセスログの監視
ホスティングプロバイダーから定期的にサーバーアクセスログを取得し、不審なIPアドレスからのアクセス、異常なリクエストパターン、通常アクセスされないディレクトリへのリクエストなどを詳細に分析しています。これにより、ハッキングの侵入経路やボットの活動を特定する手がかりが得られることがあります。
セキュリティは継続的な戦い
ホームページへのハッキングやネガティブSEO攻撃は、その手口が日々巧妙化しており、見た目には気づきにくい形で進行し、ジワジワとSEOに悪影響を及ぼすことがあります。Google Search Consoleに「意味不明なURL」が表示されている場合、それは決して放置できない、サイトの健全性に対する明確な警告です。
私の経験が示すように、「セキュリティの問題」レポートがクリーンであっても、自動スキャンで問題が見つからなくても、水面下で深刻な問題が進行している可能性があります。
これらの問題は、最終的に検索ランキングの低下、トラフィックの減少、そしてブランドイメージの損傷に繋がります。
もし、この記事を読んでいるあなたが弊社と同じような問題に直面しているのであれば、今回詳述した複合的な対策を一つずつ実行していくことを強くお勧めします。
そして、もしこれらの対応が難しいと感じる場合や、ご自身での解決が困難な場合は、ウェブセキュリティの専門家やマルウェア除去サービスの協力を得ることも、早期解決のための賢明な選択肢です。
ホームページのセキュリティと健全性の維持は、一度行えば終わりというものではなく、継続的な監視と対策が必要です。
サイトを守るための予防策と日常的な監視
サイトが攻撃される前にできることはたくさんあります。まず、使っているWordPressのプラグインやテーマは常に最新の状態に保つようにしましょう。これらはセキュリティの穴になりがちですから、更新を怠らないことが大切です。もちろん、サイトへの入り口となるパスワードは複雑なものに設定し、できることなら二段階認証も導入しておくと安心です。ホスティングサービスを選ぶ際も、信頼できてセキュリティ対策がしっかりしているところを選ぶのが賢明です。
Google Search Consoleを使った日々のチェックも欠かせません。インデックス数が急に増えたり、クロールエラーが頻発したり、普段見慣れない外部リンクが増えていないか、定期的に確認する習慣をつけましょう。こうした小さな変化が、大きな問題のサインになることがあります。
多様なネガティブSEOとその影響
今回ご紹介した日本語キーワードハックだけでなく、サイトを狙うネガティブSEOの手口は他にもあります。たとえば、誰かにコンテンツをそっくり盗用されたり、質の低い怪しげなサイト群（PBN）から不自然なリンクを大量に送られたりするケースもあります。さらには、サイトに大量のアクセスを送りつけて機能を停止させるDDos攻撃といういうものも存在します。
これらの攻撃は、単にサイトの表示がおかしくなるだけではありません。検索順位が急落したり、Googleからのサイト評価が大きく下がったり、最悪の場合、サイトそのものが検索結果から消されてしまうこともあります。企業の信用の毀損や、事業への影響も計り知れません。
専門家へ助けを求めるタイミングと選び方
もし、ご自身での対応が難しいと感じたら、専門家の手を借りることも考えてみてください。サイトの状況が複雑で原因が特定できない、あるいは対策を講じても改善が見られないといった場合は、プロの助けが必要です。
相談相手を選ぶ際には、SEOに特化した専門家が良いのか、それともWebセキュリティに詳しい専門家が良いのか、あるいはWeb制作会社に相談すべきなのか、サイトが抱える問題に応じて見極めることが大切です。実績があり、信頼できるパートナーを見つけることがサイトの早期回復につながります。
復旧後の継続的なモニタリング Search Consoleの「手動対策」レポートや検索順位等の確認
サイトが完全に元の状態に戻ったかを確認したあとも再発を防ぐための継続的なモニタリングが大切です。Search Consoleの「手動対策」レポートに何もないかを確認し、以前の検索順位やサイトへのアクセス数が回復しているかを注意深く見守りましょう。定期的にこれらの数値を確認することで、もしもの異変にもいち早く気づくことができます。サイトは生きていますから、日々の健康チェックを怠らないようにしたいですね。
この情報があなたのサイトを守る一助となれば幸いです。
