検索に知らない日本語ページが出る｜改ざんか確かめる5手順

Googleで自社名を検索したら、ブランド品の激安通販のような、身に覚えのない日本語のページが自社のURLで並んでいた。ところが自分のブラウザでそのURLを開くと、何も出ないか、いつものトップページに飛ばされる。こういうときは、サイトが改ざんされてページを勝手に作られている（Googleの用語では「URL インジェクション」）可能性を疑います。

この記事は「本当に改ざんなのか」を確かめるところまでを扱います。サイトを開かずにできる確認を順番に並べ、改ざんだと分かったあとの止め方・戻し方はホームページが改ざんされたときの確認手順と復旧5ステップに分けました。確認はどれも無料で、Googleが公開しているヘルプの手順に沿っています（2026年11月7日時点）。

結論：ブラウザで見えなくても、検索結果に出ているなら疑う

自分で開いて何も出ないことは、改ざんがない証拠になりません。Googleの「セキュリティの問題」レポートのヘルプは、ハッカーがサイト所有者に見つかることを避けるためにクローキングの手法でスパムを隠す場合があること、多くのハッカーはGoogleのマシンでだけ確認できる変更を行うことを挙げています。つまり「Googleには見えて、自分には見えない」こと自体が、この手口のよくある姿です。

手順1：site: 検索で、自社ドメインに何が載っているかを見る

Google検索で site:自社のドメイン と入れると、そのサイトの検索結果だけが表示されます。Googleの検索ヘルプのとおり、「site:」とドメインの間にスペースを入れないのが条件です（site: example.co.jp と空けると通常の検索になります）。

1. site:example.co.jp（自社ドメインに置き換える）で、一覧を数ページめくる。見覚えのないURLの形（意味のない英数字の並び、深い階層、.html が大量に連番）や、自社と無関係の商品名・ブランド名が並んでいないかを見る。
2. 語を足して絞る。例：site:example.co.jp 激安、site:example.co.jp 通販、site:example.co.jp 送料無料。自社が扱っていない語でヒットしたら要注意です。
3. 正常なページを除いて見る。Googleの検索ヘルプにある「-」の除外を使い、site:example.co.jp -会社概要 のように自社の定番語を外すと、残った結果を見やすくなります。

ここで怪しいURLが見つかっても、そのURLを普段のブラウザでクリックして開かないでください。理由は次の手順2で書きます。URLは検索結果の一覧からコピーして控えておけば足ります。

site: で何も出なくても安心はしない

site: 検索は、Googleがインデックスしているページの一部を見る手段です。作られたばかりのページはまだ載っていないことがあり、逆に既存ページの中身だけを書き換える手口は、URLの一覧を見ても気づけません。手順2・3と組み合わせて判断します。

手順2：Search Consoleの「セキュリティの問題」レポートを開く

Search Consoleにサイトを登録しているなら、最初に見るのがこのレポートです。Googleがサイトのハッキングや、訪問者に危害が及ぶ動作を検出した場合に、その結果がここに表示されます。問題がなければ緑色のチェックマークが出ます。

注意点が2つあります。1つ目は、レポートに出るURLは影響を受けたページの「例」で、網羅ではないことです。例が表示されない場合も、影響を受けたページがないとは限らないとGoogleは書いています。2つ目は、ヘルプがブラウザで感染したページを直接開かないようにと注意している点です。マルウェアはブラウザの脆弱性を利用して広がることが多く、開いた側のパソコンに被害が及ぶおそれがあるためです。

レポートに何も出ていないのに site: 検索では怪しいページが見えている、という食い違いはあり得ます。その場合も手順3以降で確かめます。

手順3：URL検査で「Googleが見ているページ」を見る

Search ConsoleのURL検査ツールに、手順1で控えたURLを入れます。Googleのヘルプは、安全に中身を確かめる方法としてこのツールを最初に挙げ、Googleが認識しているページを表示できるため、Googleのマシンだけに見せる改ざんの確認に便利だと説明しています。

• 自分のブラウザでは正常なのに、URL検査で見えるHTMLや画面に、通販の文言や見知らぬサイトへのリンクがある → クローキングによる改ざんの可能性が高い。
• URL検査で「URLがGoogleに登録されていません」でも、検索結果にそのURLが出ていたなら、別の検出経路（手順4）も試す。

手順4：コマンドで、検索から来た人に見える中身を取る

Googleのヘルプは、もう1つの方法としてcURL や Wget を使ってページを取得することを挙げています。リファラー（どこから来たか）やユーザーエージェント（何で見ているか）を指定できるので、「検索から来た人だけに見せる」仕掛けを、自分が標的のふりをして確かめられます。ブラウザで開くのと違い、ページ内のスクリプトは実行されません。

Mac のターミナルや Windows の PowerShell から、次のように打ちます（URLは自社のものに置き換え）。

curl -sI -e "https://www.google.com/" https://example.co.jp/怪しいURL

Googleのヘルプは、リファラーを付けても何も起きないときは、別のリファラー（大規模なサイトや別の検索エンジン）を試すようにとも書いています。結果が判断しにくいときは、出力をそのまま制作会社やサーバー会社に渡せば、相手が状況をつかむ材料になります。

ホームページの保守を自社だけで抱えるのが不安な場合は、制作から運用までをまとめて相談できる窓口を持っておくと、こうした確認を任せられます。私たちもホームページの制作と保守を行っています。記事の途中で恐縮ですが、よろしければご覧ください。

手順5：Search Consoleの所有者に、知らない人がいないかを見る

Search Consoleの「設定」→「ユーザーと権限」で、所有者の一覧を確認します。Googleの「所有者、ユーザー、権限の管理」のヘルプは、覚えのない所有者を見つけた場合はハッキングされている可能性があると明記しています。

• 確認済み所有者は、サイトに置いた確認用のファイルやタグ（トークン）で所有権を証明した人です。一覧から消すだけでは足りず、そのトークンをサイトから削除しないと、所有権を再確認できてしまいます。未使用のトークンは「ユーザーと権限」の「未使用の所有権トークン」で確認できます。
• ただしヘルプは、トークンを削除してもハッカーがもう一度トークンを追加できる可能性が高いとも書いています。サイトに書き込める入口が塞がっていないからです。所有者の整理は、手順のあとに行う復旧（侵入口を塞ぐ作業）とセットで考えます。

代理店や以前の制作会社が所有者のまま残っているだけ、ということもよくあります。名前に心当たりがあるかを社内で確かめてから判断してください。

改ざんだと分かったら：やってはいけないことと次の一手

止め方と戻し方（パスワードの変更、CMSとプラグインの更新、バックアップからの復元、再審査のリクエスト）はホームページが改ざんされたときの確認手順と復旧5ステップにまとめています。WordPressなら、どの版を使っているかをWordPressとPHPのバージョンの確かめ方で先に控えておくと、制作会社やサーバー会社への相談が早く進みます。サイト側の脆弱性の告知はWordPressの脆弱性・緊急更新の一覧で追っています。

Googleの再審査には数日〜数週間かかる

セキュリティの問題レポートのヘルプによると、再審査のほとんどは数日から数週間かかります。全ページの修正を終えてから、修正した内容・手順・結果を書いて1回だけ申請し、結果のメールが届くまで再送しないのが原則です。

まとめ：見えないことを前提に、Googleの目で確かめる

• 身に覚えのない日本語ページが検索に出たら、自分のブラウザで見えなくても改ざんを疑う。
• 確認の順番は、site: 検索 → セキュリティの問題レポート → URL検査 → cURL でリファラー付き取得 → 所有者の確認。
• 怪しいURLはブラウザで開かない。見つかったページだけ消して終わりにしない。

確認の結果を見ても判断がつかない、社内に詳しい人がいないという場合は、状況をそのまま送っていただければ一緒に整理します。