SEOスパムとは?WordPressサイトからスパムを検出・削除する完全ガイド

SEOスパムの注入攻撃は、サイト運営者にとって悪夢のような存在です。

その最大の特徴は、巧妙に偽装され、一見しただけでは発見できないことにあります。そして、サイトに残っている時間が長いほど、被害は拡大していきます。検出が非常に難しいため、多くのサイト運営者は手遅れになるまで気づかないのが実情です。

しかし、あなたは幸運な部類に入ります。セキュリティスキャナーが検知したのか、あるいはGoogle Search ConsoleやSEOツールが「激安グッチのバッグ」などのキーワードであなたのサイトがランクインしていることを表示したのかもしれません。

とはいえ、SEOスパムの発見と駆除は容易ではありません。だからこそ、削除した後でも多くのサイトが再ハッキングを経験しているのです。

過去10年間、私たちは数千人のクライアントのウェブサイトからSEOスパムの痕跡を完全に除去してきました。この記事では、私たちが実際に行ってきたスパム駆除の手順を詳しくご紹介します。

さらに、二度とSEOスパム攻撃の被害に遭わないための予防策についても解説します。

TL;DR(要点まとめ): サイトからスパムを除去するには、WordPress SEOスパム除去プラグインをインストールしましょう。60秒以内にサイトをクリーンアップでき、毎日の自動スキャンでハッカーやボットからサイトを守り、将来の攻撃を防ぐことができます。

SEOスパムとは?

SEOスパム(スパムデキシングとも呼ばれます)とは、本来なら検索順位がつかないコンテンツを、あなたのウェブサイトを使って上位表示させようとする行為です。これはブラックハットSEO手法の一つであり、ハッカーは収益を生み出すためにこれを利用しますが、その過程であなたのサイトはスパムまみれになり、破壊されてしまいます。

なぜ「SEOスパム」と呼ばれるのでしょうか?

ご存じの通り、SEOはSearch Engine Optimization(検索エンジン最適化)の略です。企業はSEO施策を用いて自社サイトのコンテンツを最適化し、Googleなどの検索エンジンで上位表示を狙います。

SEO自体はスパムではありません。しかし、一部のSEO手法はブラックハット(不正手法)とみなされます。

GoogleがあなたのサイトがブラックハットSEOを行っていると判断すれば、検索エンジンからペナルティを受けることになります。

だからこそ、スパムハッキングは非常に危険なのです。ハッカーはサイトに侵入し、ブラックハットSEO技術を使って自分の商品やサイトを上位表示させます。最終的に彼らは多額の利益を得る一方、あなたのサイトは廃墟と化すのです。

ハッカーはどうやってサイトに侵入するのか?

ハッカーは、古くなったプラグインやテーマの脆弱性、あるいは脆弱な認証情報を利用してサイトに侵入します。

更新されていないプラグインやテーマには脆弱性が含まれており、ハッカーはそれを悪用してサイトに侵入し、favicon.icoマルウェアやwp-feed.phpマルウェアなどのウイルスを注入します。

さらに、ログインページにボットを送り込み、ユーザー名とパスワードを総当たりで推測させることもあります。ボットは数分のうちに数百通りの認証情報を試すことができ、弱いパスワードなら瞬時に破られ、管理ダッシュボードへのアクセスを許してしまいます。

管理ダッシュボードへのアクセスを確保すると、ハッカーは投稿や固定ページへSEOスパムの注入を開始します。

サイトにSEOスパムが存在すると判明したばかりであれば、徹底的にクリーンアップする必要があります。具体的な手順は次のセクションでご紹介します。

WordPressにおけるSEOスパムの詳細、ハッカーがスパムを配布する理由、サイトへの影響についてさらに知りたい方は、該当セクションまでスキップしてください。

WordPressのSEOスパムハッキングを検出・駆除する方法

まず、サイトにSEOスパムが存在することを示す兆候として、以下のようなものに気づいたかもしれません。

• Google Search Consoleでの警告
• Google検索結果に表示される「このサイトは改ざんされている可能性があります」「偽のサイトの可能性があります」といった警告
• アクセス数の急激な増減
• 見覚えのない広告の表示
• 心当たりのない新しいページや投稿の追加
• 「バイアグラ購入」や「激安グッチの靴」などの不自然なアンカーテキスト、あるいは見覚えのない日本語文字列

Sucuri SiteCheckのようなオンラインスキャナーがSEOスパムの痕跡を検出したかもしれません。しかし今必要なのは、サイト内のあらゆるスパムスクリプトを見つけ出せる専用のスキャナーです。

その用途に最適なのがMalCareセキュリティスキャナーです。

このプラグインの主目的は、サイト上のマルウェアの痕跡をすべて検出することです。そのために以下の機能を備えています。

• サイトの隅々まで深く掘り下げてSEOスパムスクリプトを探し出す
• サイトに潜む高度に偽装されたマルウェアや未知の種類のマルウェアを特定する

それでは、マルウェアを根絶やしにしていきましょう。

SEOスパムの検出手順

ステップ1: WordPressサイトにMalCare Securityをダウンロードしてインストールします。

ステップ2: WordPressダッシュボードでMalCareを開き、メールアドレスを入力して「Secure Site Now」をクリックします。

ステップ3: 次に新しいパスワードを入力し、サイトをMalCareのダッシュボードに追加します。

プラグインが直ちにサイトのスキャンを開始します。処理完了まで数分かかります。MalCareがサイト上でマルウェアを発見すると、通知してくれます。

マルウェアが検出されたら、直ちにサイトのクリーンアップを行いましょう。待機時間が長いほど、被害は大きくなります。

SEOスパムの駆除手順

ステップ1: ダッシュボード上で、MalCareがサイトへのハッキングを通知します。

ハッキング(SEOスパム)を除去するには、「Auto-Clean」をクリックします。

MalCareが直ちにサイトのクリーンアップを開始します。

※Auto-Cleanはプレミアム機能であり、利用にはアップグレードが必要です。1サイトあたり99ドルでライセンスは1年間有効で、期間中は何度でもサイトをクリーンアップできます。ただし、MalCareをサイトに導入しておけば、ハッカーやボットから保護されるため、そもそも再度クリーンアップが必要になることはほぼありません。

他のセキュリティプラグインでサイトをクリーンアップ・保護したい場合は、おすすめのWordPressセキュリティプラグイン一覧をご確認ください。

SEOスパムからサイトを守る方法

SEOスパムを除去しても、将来の安全が保証されるわけではありません。

もちろん、セキュリティプラグインを導入すれば多くの面でサイトを保護できます。しかし、セキュリティは共有の責任です。あなた自身も果たすべき役割があります。

ここでは、どのセキュリティ対策をプラグインに任せ、どれを自分で担うべきかを解説します。

1. ファイアウォールの活用

ファイアウォールは、サイトとアクセスしようとするトラフィックの間に立ちはだかる防壁です。

誰かがサイトにアクセスする前に、ファイアウォールはそのトラフィックが過去に悪質な活動に関与していないかを調査します。関与が確認されれば、その国やデバイスからのトラフィックを即座にブロックします。

MalCareでサイトをクリーンアップした場合、別途ファイアウォールプラグインを導入する必要はありません。MalCareには内蔵ファイアウォールが搭載されており、プラグインをインストールした時点で自動的に有効になります。

2. ログインページの保護

ログインページは、WordPressサイトの中で最も脆弱なページです。

サイトへの玄関口であるため、ハッカーは他のどのページよりもこのページを狙います。

ハッカーは正しいユーザー名とパスワードの組み合わせを見つけようとします。この種の攻撃はブルートフォース攻撃(総当たり攻撃)と呼ばれます。

さらに、数分で数百通りもの組み合わせを試すボットを作成することさえあります。

単純なユーザー名とパスワードのアカウントは簡単に破られてしまいます。

こうした悲劇を防ぐために、以下の対策を講じましょう。

• すべてのユーザーが固有のユーザー名と強力なパスワードを使用していることを確認する
• ログイン失敗回数に上限を設ける

これは「セキュリティは共有の責任である」ことの好例です。

強力な認証情報を使うようユーザーに働きかける必要がある一方で、CAPTCHA保護を有効にするにはセキュリティプラグインも必要です。

MalCareがサイトに導入されていれば、CAPTCHAベースのログイン保護はすでに有効になっています。3回ログインに失敗すると、それ以上の試行はブロックされます。

ログインページを保護するためにできることはまだあります。詳細は「WordPressログインセキュリティガイド」にまとめていますので、ぜひご覧ください。

3. サイトを常に最新の状態に保つ

プラグイン、テーマ、WordPressコアは、定期的にアップデートが必要です。

「時間があるときに」とアップデートを先延ばしにしてしまうのは大きな間違いです。

アップデートには新機能だけでなく、セキュリティパッチも含まれています。適用しなければ、プラグインやテーマ、さらにはコア自体が脆弱なまま放置されることになります。ハッカーはこの脆弱性を突いてサイトに侵入してくるのです。

要するに、サイトを常に最新の状態に保つことが重要です。定期的にアップデートの有無を確認しましょう。

毎回手動で確認するのは煩わしいため、自動アップデートを設定する管理者も多いですが、自動アップデートはサイトを壊す原因にもなり得るため、注意が必要です。

WordPressサイトを安全にアップデートする方法については、こちらのガイドを参考にしてください。

4. 最小権限の原則を適用する

WordPressサイトでは、ユーザーに以下のいずれかのロール(権限グループ)が割り当てられます。

• 特権管理者(マルチサイト環境のみ)
• 管理者
• 編集者
• 投稿者
• 寄稿者
• 購読者

すべてのユーザーがサイト内のすべてにアクセスできるわけではありません。各ロールにはそれぞれ権限の範囲が定められています。

特権管理者と管理者が最も高い権限を持ち、購読者が最も低い権限となります。

管理者ロールは悪用されやすいため、ユーザーロールは慎重に割り当てましょう。どのロールにどんな権限があるかについては、「WordPressのロールと責任」の記事が参考になります。

以上の対策を実践することで、サイトセキュリティの基盤が築けます。そこからさらに強化していくことも可能です。実践できるWordPressセキュリティ対策の網羅的なリストもぜひ参照してください。

ハッカーはなぜSEOスパムを配布するのか?

WordPressにおけるSEOスパムの主な動機は、人々を騙してお金を稼ぐことです。より正確に言えば、あなたのサイト訪問者を騙すことです。

ハッカーは、脆弱なパスワードや古いプラグインといった脆弱性を突いてサイトに侵入します。

侵入後、上位表示されているページを見つけ出し、以下のような活動を行います。

• 既存ページに自分のサイトへのリンクを挿入する
• 投稿や固定ページにスパムコメントを追加する
• ページを他のサイトへリダイレクトさせる
• リンクやスパムコンテンツを含む新しい投稿・ページを作成する

彼らの目的は、あなたのサイトのトラフィックを詐欺サイトへ誘導することです。

Googleで上位表示を獲得するには多大な労力が必要です。その努力を惜しむハッカーたちは、代わりにあなたのサイトの検索順位に便乗しようとするのです。

ハッカーは規模を問わずあらゆるWordPressサイトを標的にします。必ずしも大規模サイトだけではありません。最も多い被害者は、セキュリティを軽視しがちな小規模サイト、NGO、WordPressブログです。

WordPressのSEOスパム攻撃の種類

ハッカーがハッキング済みサイトで仕掛けるWordPressのSEOスパムには、5つの異なるタイプがあります。

1. スパムキーワードの挿入
2. スパムリンクの注入
3. スパムページの作成
4. スパム広告・バナーの表示
5. スパムメールの送信

ハッカーはこれらの手法を組み合わせて使うこともあります。それぞれの手法を詳しく見ていきましょう。

1. スパムキーワードの挿入

ハッカーは「激安グッチの靴」や「バイアグラ購入」といったキーワードを、サイトの既存コンテンツに挿入します。検索エンジンはそのコンテンツが「激安グッチの靴」や「バイアグラ購入」に関するものだと判断し、それらのキーワードであなたのコンテンツをランク付けし始めます。

2. スパムリンクの注入

「激安グッチの靴」や「バイアグラ購入」を検索して訪れたユーザーは、ハッカーが仕込んだリンクをクリックし、それらの商品を販売すると称する詐欺サイトへ誘導されます。

3. スパムページの作成

投稿数の多いサイトでは、ハッカーがスパムコンテンツを含む新しいページを作成することがあります。これらのページには詐欺サイトへのキーワードリンクが大量に詰め込まれています。サイト自体がすでに良好な検索順位を持っているため、こうしたページは短期間で上位表示されます。

4. スパム広告・バナーの表示

バナーやポップアップ広告は注目を集め、クリックを促します。ハッカーは自分たちが作成したページにこれらを設置します。広告をクリックすれば、訪問者は必然的に詐欺サイトへと誘導されます。

5. スパムメールの送信

ハッカーがサイトのデータベースにアクセスできれば、顧客のメールアドレスも入手できてしまいます。彼らは商品を宣伝するメールの送信を開始するかもしれません。メールはあなたの正当なメールアドレスから送られるため、顧客はそれを信頼してしまうでしょう。その結果、顧客は決して届かない商品を購入することになります。

顧客はビジネスへの信頼を失い、あなたのメールをスパムとして報告し始めます。メールサーバーがあなたをスパム送信者としてマークすれば、回復は非常に困難で、貴重な顧客を永久に失いかねません。

SEOスパムがサイトに与える影響

スパム攻撃を受けたときにサイトに何が起こるのかを説明するため、実際の事例をもとに解説します。

このケースでは、ハッカーが「Canada Drugs」というサイトを通じて、バイアグラやシアリスといった違法・規制対象の医薬品をオンラインで販売しようとしていました。

彼らはハッキングしたサイトの上位表示ページに「バイアグラ」「シアリス」というキーワードを挿入しました。これはブラックハットSEO手法の一つで、特に「ファーマハック(pharma hack)」とも呼ばれます。誰かがこれらの薬をオンラインで購入しようと検索すると、ハッキングされたサイトが表示される仕組みです。

Googleの検索バーに「buy Viagra Cialis online」と入力したところ、以下のような結果が表示されました。

このキーワードで表示されたサイトは、製薬関連のサイトではなく、以下のようなものでした。

1. エコフレンドリー企業の「会社概要」ページ
2. フランスの音楽祭サイトの「料金詳細」ページ
3. メキシコ料理レストランのメニューにある飲み物のページ

いかになんらかわりのある結果かお分かりでしょうか?ハッカーは攻撃しやすいサイトであれば何でも標的にするのです。

前述の通り、SEOスパムは最も検出が難しい攻撃の一つです。それは、サイト所有者からは隠しつつ、検索エンジンのボットにだけ見えるように仕組まれているからです。

最初のサイトにアドレスバーから直接ドメイン名を入力してアクセスすると、ページは正常に見えます。

しかし、Googleで検索してからそのサイトのリンクをクリックすると、ハッカーの製薬サイト「Canada Drugs」を宣伝するスパムページが表示されます。通常の閲覧では所有者が気づけないため、ハッキングは長期間発見されずに済んでしまうのです。

WordPressへのSEOスパム攻撃の結果、サイトには以下のような影響が及びます。

• ページが乗っ取られ、無関係なキーワードで表示されるようになるため、誰もあなたの商品やサービスを購入しなくなり、売上が減少します。
• 無関係なキーワードでランクインするため、これまでのSEOの取り組みがすべて無駄になります。
• 訪問者が詐欺サイトへリダイレクトされ、届かない商品に支払わされることで、評判と信頼が損なわれます。次に検索結果であなたのサイトを見つけても、誰もリンクをクリックしなくなるでしょう。
• ホスティング業者や検索エンジンがハッキングを検知すると、サイトやAdWordsアカウントが停止・ブラックリスト登録されます。
• 顧客情報の漏洩は信頼の喪失につながり、ビジネスそのものが崩壊しかねません。

次にすべきこと

WordPressサイトからSEOスパムを除去できたこと、おめでとうございます。

残念ながら、それで終わりではありません。一度ハッキングされると、再ハッキングに遭う可能性があります。だからこそ、予防策を講じることが非常に重要なのです。

• MalCareのような効果的なWordPressセキュリティプラグインをサイトに導入・有効化しましょう。このプラグインには、スパム、悪意あるボット、ハッカーをブロックするファイアウォールが備わっています。
• WordPressバックアッププラグインを使ってサイトの完全バックアップを取得しましょう。サイトがダウンしても、すぐに元の状態へ復元できます。
• さらに、サイトをハードニング(強化)し、今後のハッキングの試みから確実に守りましょう。

MalCareセキュリティプラグインで、サイトを24時間365日守りましょう。