Google Chromeでサイトが安全でないと警告されたときの対処法

アドレスバーの左端を見てみてください。鍵マークが表示されていれば、そのサイトは安全に閲覧できることを意味します。インターネット上のさまざまなサイトで、この鍵マークを目にする機会は多いはずです。

しかし、ブラウザが「このサイトへの接続は保護されていません」と警告してきたら、どうすればよいのでしょうか?すぐにページを閉じるべきなのでしょうか?そもそもあの鍵マークにはどのような意味があるのでしょうか?そして、安全でないサイトを避けることで、私たちは何を損しているのでしょうか?

URLの鍵マークは何を意味するのか?

Google Chromeは、サイトが安全かどうかをユーザーに知らせる機能を備えています。これは以前から実装されていたものですが、近年Googleは方針を転換し、その結果は概ね良い方向へ向かっています。

かつて主流ブラウザはHTTPをウェブサイトの標準として扱っていました。しかし2018年以降、ChromeはHTTPSを標準として期待するようになり、サイトが安全でない場合には訪問者へ警告が表示される仕組みになりました。

HTTPSは、そのサイトがSSLまたはTLS証明書を保有し、通信が暗号化されていることを示します。ホストサーバーとあなたのデバイス間で送受信される個人情報は、第三者には解読できない形で保護されます。例えば、2つの端末間の通信データを不正に傍受・改ざんする「中間者(MITM)攻撃」からも身を守ることができます。

さらに、本物のサイトへのみ誘導されることも保証されます。サイバー犯罪者がアクセスを横取りし、偽ページを表示させて個人情報を盗み取るといった被害を防げるのです。

約60%の市場シェアを誇るChromeは、世界で最も人気のあるブラウザです。Googleがこの地位を維持し続けるには、ユーザーのデータ保護において信頼できる存在であることを証明する必要があります。

Chromeの警告に従うべき場面は?

Googleができるだけ多くのサイトにセキュリティ対策の導入を促す理由は明白です。検索エンジンにとって有益であり、何よりユーザーにとって有益だからです。暗号化によって、インターネット全体がより安全な場所になります。

では、これは私たちにとって何を意味するのでしょうか?

オンラインバンキングを利用する際に高度なセキュリティが必要なことは、誰もが理解しています。PayPalなどのサービスを利用するときも、暗号化の有無を確認する習慣があるでしょう。しかし重要なのは、個人情報を送信する場面すべてで同じ確認を行うことです。

支払い情報には慎重になる人が多い一方で、ユーザー名やパスワードにはそこまで注意を払っていないケースが少なくありません。サイトへの新規登録やログインを行う際は、必ずURLがHTTPSで始まっていることを確認しましょう。

注意喚起があるにもかかわらず、複数のサービスで同じパスワードを使い回す人は依然として多く存在します。もし一つのサイトが情報漏洩を起こし、ハッカーがあなたの認証情報を入手したらどうなるでしょうか。たとえそのパスワードをSNS専用にしていたとしても、見知らぬ他人にFacebook上の個人情報をすべて見られるのは避けたいはずです。さらに悪いことに、攻撃者はあなたのネット上の行動パターンから、他のサービスのパスワードまで推測しかねません。

個人を特定できる情報(PII)の重要性を、決して過小評価しないでください。

大企業であれば、すでにSSL/TLS証明書を導入しているのが一般的です。しかし、小規模な個人商店の場合はそうとも限りません。GoogleがHTTPS導入への方針を強めたことで、少なくともより多くのオンラインショップが顧客データの保護に取り組むようになっています。

Googleの警告を無視してもよい場合はあるのか?

とはいえ、Chromeの警告がインターネット全体にとって良いことづくめだとは言い切れません。実際、一部の人にとっては大きな足かせとなっています。

インターネットは自由なビジネスの場です。Amazonのような巨大マーケットプレイスが存在する一方で、小規模な事業者のための場所も残されています。商品を販売する人だけでなく、個人のブログで自分の考えを発信したいだけの人も含めてです。長年小さなサイトを運営してきた人は、アクセス数の減少に悩まされるかもしれません。

その原因は、SSL/TLS証明書を持っていない場合、訪問者が目にするのが「このサイトは安全ではありません」という警告ページになってしまうことにあります。

不公平に感じられるのも無理はありません。暗号化にはコストが伴うからです。無料で証明書を発行してくれる団体も存在しますが、この分野に詳しくない運営者は、ホスティングサーバー業者に頼らざるを得ないのが実情です。多くのホスティング会社はHTTPSを有料オプションとして提供しており、無料SSL証明書の導入を必ずしも簡単にはさせてくれません。

もちろん、Chromeの警告を軽視すべきだと言っているわけではありません。ただ、状況によっては警告が表示されていても先へ進む価値があるケースもあるのです。

サイトが個人情報の入力を求める場合は、暗号化が確認できない限り絶対に入力しないでください。一方、単にブログ記事を読むだけであれば、そこまで神経質になる必要はないでしょう。

ただし、知らないサイトからファイルをダウンロードすることだけは厳に慎んでください。これこそが、サンドボックスなどブラウザのセキュリティ機能を回避してマルウェアが侵入する代表的な経路だからです。デバイスに何かをインストールすることは、そのリスクを自ら受け入れる行為にほかなりません。

クリックする前に、自分が何をクリックしようとしているのかを必ず確認する習慣をつけましょう!

サイトの安全性を他の方法で確認するには?

詐欺サイトには、いくつか特徴的な兆候があります。

まず最初の手がかりとなるのは、スペルミスや不自然な表現です。もちろん、文章に難のあるサイトでも成功している例はありますが、プロフェッショナルなサイトであれば、ライターによる品質管理が行き届いているはずです。シンプルな個人ブログであれば文章の質にばらつきがあるのは自然なことですが、そのようなサイトからダウンロードを求められた場合は警戒すべきです。

次に、プライバシーポリシーの有無を確認しましょう。EU、カナダ、オーストラリアなどで成立した法律により、信頼できるサイトにはプライバシーポリシーの掲載が義務付けられています(米国でも連邦法が適用される場合があります)。インターネットは国境を越えるものであるため、ウェブサイトは各国の規制に従う必要があるのです。

お問い合わせページがある場合は、企業の透明性をチェックしてみましょう。多くのサイトは簡易的な問い合わせフォームを設置しており、メールアドレスを公開しているところもあります。実際の所在地を掲載しているサイトもあり、それだけで完全に信用できるわけではありませんが、少なくとも前向きな指標にはなります。

さらに、「Google透明性レポート」を活用する方法もあります。「サイトのステータス」を選択し、調査したいURLを入力欄に貼り付ければ、Googleがそのサイトに危険な要素、特にマルウェアが含まれていないかをスキャンしてくれます。検索エンジンの判定にも過去に誤りはありましたが、それはごくまれなケースです。加えて、リンクの安全性を診断してくれる外部サービスを利用するのも有効です。

それでも確信が持てないのであれば…そのサイトにはアクセスしないことです。本当に、それだけの話です。

SSL証明書を絶対的に信頼できるのか?

答えは「いいえ」です。Google自身も次のように認めています。

「誰でも、任意のウェブサイトであると主張する証明書を作成することが可能です。」

HTTPSはセキュリティへの良い第一歩ではありますが、データが完全に安全であることを保証するものではありません。また、他のセキュリティ対策が不要になるわけでもありません。暗号化はインターネットをより安全にしますが、完璧にするわけではないのです。それは、あなたの個人情報を盗もうと日々巧妙化するサイバー犯罪者に対抗するための、防御手段のほんの第一歩にすぎないのです。