ウェブサイトをGoogleブラックリストから削除する方法｜警告の確認から復旧・再発防止まで完全ガイド

お客様から「あなたのサイトがGoogleに『安全ではない』と表示されている」という指摘を受けていませんか？

あるいは、自社のページを検索した際に、Googleの検索結果に警告が表示されていませんか？

もしそうなら、残念なお知らせがあります。

• Googleセーフサーチにより、あなたのサイトがGoogleブラックリストに登録されています
• ウェブサイトはハッキングされている可能性が非常に高い
• そして、その警告はお客様の目にも見えています

この中で最も深刻なのは、サイトがハッキングされているという事実です。「このサイトにはマルウェアが含まれています」「偽装サイトの可能性があります」といったGoogleの警告は、より大きな問題のほんの一症状にすぎません。

オンラインでの集客や売上のために費やしてきた努力を思い浮かべてください。今すぐ行動しなければ、フィッシング詐欺によってそれらすべてが数日で失われる恐れがあります。

幸いなことに、状況を挽回することはまだ可能です。本記事では以下の内容を詳しく解説します。

• Googleブラックリストとは何か
• サイトへの被害状況を確認する方法
• Googleブラックリストから外れる方法
• 失った評判を回復する方法
• ハッキングとブラックリスト登録を未然に防ぐ方法

要点： Googleブラックリストに登録されている期間が長くなるほど、ブランドと収益へのダメージは大きくなります。最短で脱出するには、MalCareを導入してマルウェアを駆除し、その後Google Search Consoleから手動審査を申請します。MalCareはサイトのスキャン、マルウェアの除去、強固な防御策の実装まで一括で対応できます。

Googleブラックリストとは？

Googleブラックリスト（URL: blacklist）とは、ハッキングされている、または訪問者にマルウェアを拡散しているとGoogleが判断したウェブサイトのリストです。登録されると、Googleや他の検索エンジン、アンチウイルス各社がそのサイトを「危険」と表示し、ユーザーがアクセスしないように誘導します。

スパムサイトは検索インデックスから削除され、マルウェア感染の拡大が阻止されます。

もちろん、これは恣意的なインデックス削除ではありません。

Googleは最高の検索体験を提供することで利益を得ています。当然ながら、ユーザーがマルウェアをダウンロードしないための措置を講じます。ブラックリスト登録はサイトのオーガニック流入を壊しますが、同時に攻撃者も無力化できるのです。

ただし、Googleセーフサーチが検出できるのは、コンテンツやブラウザ上に現れる部分のマルウェアのみです。マルウェアの正確な種類や出所までは特定できません。そこでGoogleが取るのが最も論理的な対策——そのサイトへのトラフィック送信を止める——ということになります。

良いニュースは、サイトを復旧させてブラックリストから外すことは依然として可能だということです。

悪いニュースは： 私たちの経験上、ブラックリスト登録されたサイトはオーガニックトラフィックの約95%を失います。

ハッキングされた事実にまだ確信が持てない場合は、引き続き読み進めてください。確信があれば、警告解除の手順へスキップしても構いません。

これが売上と収益にどれほどのダメージを与えるか、想像してみてください。

Googleブラックリストから削除される方法

ここからは、以下の順番で問題を解決していきます。

1. サイトが実際にブラックリストに登録されているか確認する
2. サイトへの被害状況を把握する
3. サイトをスキャンしてマルウェアを駆除する
4. 審査リクエストを送信して警告を解除する

1. サイトがブラックリストに登録されていることを確認する

検索結果に「このサイトはコンピュータに損害を与える可能性があります」というメッセージが表示される場合、あなたのサイトはGoogleブラックリストに登録されています。

もちろん、警告はこれだけではありません。次のような曖昧な警告が表示されることもあります。

• 「このサイトにはマルウェア/有害なプログラムが含まれています」
• 「報告された攻撃ページ！」
• 「危険：マルウェアあり」
• 「このウェブサイトは安全ではないと報告されています」

これは本当に厄介な問題です。警告メッセージが曖昧なだけでなく、主要なブラウザのほとんどがGoogleセーフサーチを利用して安全なリンクを表示しているためです。

確実に言えるのは、GoogleがあなたのWordPressサイトをスパムであり悪意のあるコンテンツに満ちていると認識している、ということです。あらゆる検索エンジンで、他の悪意あるドメインと同じ扱いを受けます。

つまり、Googleに登録されると、Chromeユーザーだけでなくすべてのユーザーに波及効果が及ぶのです。

メールを確認する

URL: blacklist の対象になった場合、Google Search Console（旧Googleウェブマスターツール）から通知が届きます。

通常、この通知にはサイトがブラックリストに登録されたことが明確に記載されています。多くの場合、サイト全体ではなく、Googleが悪意があると判断した特定のURLだけが登録されます。該当URLの一覧はメール内に明示されます。

2. サイトへの被害状況を把握する

次に、どのページが影響を受け、どれほど深刻なのかを把握しましょう。幸い、簡単な方法があります。

Search Consoleで警告を確認する

Google Search Consoleが決定的な答えをくれる場所です。まだ設定していない場合は、まずプロパティを認証してください。

続いて「セキュリティ」タブへ移動します。

「検出された問題」セクションの「詳細」をクリックすると、感染箇所を把握できます。感染はどこにあるでしょうか？

• 個別のページ？（例：blog.example.com/pages/page1.html）
• ページグループ？（例：blog.example.com/pages/）
• 投稿？（例：blog.example.com/post1/）
• ブログ全体？（例：blog.example.com/）
• ドメインまたはサブドメイン全体？（例：example.com）

マルウェアの発生場所を特定できれば、駆除方法の絞り込みが格段に楽になります。

プロのコツ： Googleが不審なコンテンツを発見した日付を確認しましょう。「検出された問題」セクションのURL横に日付が表示されます。その日以前にプラグインをインストールしていませんか？日付を手がかりにすると、さらに原因を絞り込めます。

感染が少数のページにとどまっている場合は、「公開URLをテスト」機能で汚染状況を調査できます。

最後に、インデックス済みページを確認しましょう。感染ページがインデックスから削除（デインデックス）されていないかどうか。これは後で重要になります。

Googleセーフブラウジングでチェックする

Search Consoleを設定していない場合はどうすればよいのでしょうか？サイトマップのインデックスには時間がかかるため、より簡単な方法としてGoogleセーフブラウジングのステータスページで直接確認できます。

唯一の難点は、手作業が必要な点です。どのURLがブラックリストに載っている可能性があるか、事前に把握しておく必要があります。

ご存知でしたか？ MalCareには24時間ごとに更新されるGoogleブラックリスト監視機能が搭載されています。MalCareユーザーであれば、サイトが登録された瞬間にダッシュボードでアラートを受け取れます。

それでも確信が持てない場合は、サポートチームまでご相談ください。喜んでお手伝いいたします。ブラックリスト登録を確認できたら、次のマルウェア駆除のセクションに進みましょう。

3. サイトのマルウェアをスキャンして駆除する

A. プラグインを使ってスキャン・駆除する（推奨）

ブラックリストから外れるための第一歩は、サイトに感染しているマルウェアを見つけて除去することです。

MalCareはさまざまな業界で25万以上のWordPressサイトを保護していますが、そこでわかったことがあります。ブラックリスト登録の主な原因はマルウェア攻撃です。つまり、ハッカーがあなたのサイトにアクセスし、トラフィック、データ、収益を盗んでいるのです。

ここで注意すべきポイントがあります。

• Googleのクローラーが把握できるのは、マルウェアが何をしているかだけで、実際の場所や駆除方法ではありません。
• 攻撃源を特定するには、PHP、HTML、JavaScript、データベース管理の知識が必要です。
• 熟練した開発者でも、マルウェアは文字通りどこにでも潜めるため、調査には長時間を要します。

つまり： 自力でマルウェアを除去しようとすると、サイトを完全に破壊してしまうリスクが高くなります。MalCareの利用を強くおすすめします。

MalCareは、高度な機械学習アルゴリズムを搭載したWordPress向けセキュリティプラグインで、時間とともに賢くなり続けます。主な実績は以下の通りです。

• ワンクリックで3分以内にマルウェアを即時除去
• 99%のマルウェアを自動検出・自動クリーニング（手作業不要）
• 25万以上のサイトネットワークで誤検出率0.1%未満
• 追加料金なし、隠れたコストなし
• 年額99ドルのシンプルな価格設定

手順は以下の通りです。

ステップ1： MalCareにサインアップする

ステップ2： MalCareスキャナーを実行する

ステップ3： 「クリーン」ボタンを押してサイトを自動クリーニングする

ステップ4： 「ハードニングを適用」で今後の脅威からサイトを防御する

以上で完了です。

B. 手動でスキャン・駆除する（非推奨）

はっきり言って、手動でのクリーニングはおすすめしません。しかし、リスクを理解した上で挑戦したい方のために、知っておくべき内容を紹介します。

ハッキングされたサイトのクリーニングには、主に3つのステップがあります。

• ファイル内の悪意あるコードをサーバーでスキャンする
• データベース内の悪意あるコードをスキャンする
• バックドアと偽管理者アカウントを検出する

#1 WordPressファイルとフォルダ内の悪意あるコードを探す

古いタイプのハッカーの中には、マルウェアを含むファイルやフォルダを直接アップロードする者がいます。ただし、これは稀なケースで、最近のマルウェアははるかに洗練されています。

不審な名前のファイルを探してください。まずはwp-contentやwp-includesなど、WordPressコアファイル以外のフォルダをチェックします。これらのフォルダに実行可能ファイルは存在しないはずです。PHPやJavaScriptファイルがあれば要注意です。

プロのコツ： 特にPHPファイルに注目してください。JavaScriptは通常フロントエンドにコンテンツを注入するもので、最初に排除すべきはそのJavaScriptを実行するPHPコードです。

#2 WordPressコアファイル内の悪意ある文字列パターンを探す

マルウェアもコードの一種であり、特定のイベント時に実行される命令には「文字列パターン」と呼ばれる特徴があります。wp-config.php、.htaccess、xmlrpc.phpなどのコアファイルを開いて、次のような文字列がないか検索してみてください。

• tmpcontentx
• function wp_temp_setupx
• wp-tmp.php
• derna.top/code.php
• stripos($tmpcontent, $wp_auth_key)

注意： PHPとApacheを深く理解していない限り、この作業は絶対に行わないでください。これらのファイルの多くはサイトの動作を制御しており、コードをいじるとサイトが完全に壊れる可能性があります。

#3 ハッキングされたデータベーステーブルをクリーニングする

cPanelなどでphpMyAdminにログインし、以下の手順を試します。

1. phpMyAdminにログインする
2. データベース全体をバックアップする
3. スパムコメントに見られるような怪しいキーワードやリンクを検索する
4. 不審なコンテンツを含むテーブルを開く
5. 不審なコンテンツを手動で削除する
6. 変更後にサイトが正常に動作するかテストする

もし変更によってサイトが壊れたら、すぐにバックアップから復元し、代わりにセキュリティプラグインでクリーニングしてください。

#4 サイトに埋め込まれたバックドアを除去する

バックドアは、ハッカーがいつでも好きなときにサイトへ侵入できる入り口です。これを除去しないと、すぐに再感染し、再びブラックリストに登録される可能性が高いでしょう。

バックドアは正規のファイル名を装って、わざと誤ったディレクトリに配置されることが多いです。次のようなPHP関数を探してみてください。

• base64
• str_rot13
• gzuncompress
• eval
• exec
• create_function
• system
• assert
• stripslashes
• preg_replace（/e/修飾子付き）
• move_uploaded_file

あまりに技術的で負担が大きいと感じたら、MalCareの導入をおすすめします。迅速、簡単、そして手頃な解決策です。

4. 審査リクエストを送信してGoogleブラックリスト警告を解除する

サイトのクリーニングが完了したら、Googleに対して「問題を解決したので警告を解除してほしい」と伝える必要があります。Google Search Consoleアカウントにログインし、以下の手順に従ってください。

ステップ1： 「セキュリティの問題」タブを開き、Googleが検出した問題を確認します。

ステップ2： 「これらの問題を修正しました」を選択します。

ステップ3： 「審査をリクエスト」をクリックします。

ステップ4： マルウェア除去のために実施した具体的な対策を入力します。これは手動審査の対象となるため、できるだけ詳細かつ具体的に記述しましょう。

ステップ5： 最後に「手動による対策」セクションを確認します。

ステップ6： 複数の問題がある場合は、すべて解決するまでステップ1〜4を繰り返します。

通常、Googleが審査リクエストに応答してインデックスを更新するまでには1〜3日かかります。手順どおりに進めれば、1〜3日後にはサイトがブラックリストから外れ、本来あるべき検索結果に戻ります。

失った信頼と評判を回復する方法

サイトのクリーニングと審査申請が完了したら、次は評判の回復です。意外と見落とされがちですが、日常業務に戻る前に、オーディエンスの信頼を取り戻す必要があります。ブラックリストによって、重要な顧客が離れてしまった可能性もあります。

評判回復のために、経験則として次の3つのアクションを実行しましょう。

• 問題を公表し、正面から向き合う： 失敗を公にすることは弱さの表れではありません。被害の範囲、現在行っている対応、今後の防止策について率直に伝えましょう。
  
  
• ウィンバックキャンペーンのメールを配信する： メールリストの全員に向けて、事案の説明と感謝、そしてサイトがすぐに復旧することを伝えます。
  
  
• 問題解決まで新規受注を行わないと公表する： 大胆な一手ですが、顧客がお金より大切であることを示せば、多くの支持を集められます。

これらの施策は予防的・先制的・個人的なアプローチであるため効果的です。それ以下の対応では、ブラックリスト解除後に既存顧客が安心して再購入することは難しくなるでしょう。

ハッキングとブラックリスト登録を未然に防ぐ方法

最後のステップは、二度とGoogleブラックリストに登録されないようにすることです。

評判管理会社、WordPressメンテナンス業者、セキュリティアナリストを雇うのも一つの方法ですが、管理が非常に難しく、コストも膨大になります。もっと賢い選択肢があります。

私たちのおすすめはMalCareの導入です。

• 組み込みのマルウェアスキャナーで、常にハッカーの一歩先を行く
• 未知のマルウェアでもワンクリックで即時除去
• 数クリックでWordPressハードニングを設定し、日本語キーワード改ざんやCSS攻撃などから保護
• 強力なWordPressファイアウォールで悪意あるトラフィックを防御
• Googleブラックリスト監視機能を無料特典として提供

MalCareの包括的なWordPressセキュリティ機能が、定期的にサイトを保護・スキャン・クリーニングし、二度とGoogleブラックリストに入らない体制を築きます。

ご質問があれば、高評価をいただいているサポートチームが昼夜を問わずお手伝いします。それでは次回お会いしましょう。