Googleのフィッシング警告を削除する方法|審査リクエスト用テンプレート付き

サイトが乗っ取られると、検索結果ページ(SERP)にも警告が表示されます。あなたのサイトにもこのような警告が出ている場合、Googleのブラックリストに登録されています。潜在的な顧客がフィッシング警告によって遠ざけられている状態なので、迅速に対処することが重要です。

フィッシングとは?

フィッシングは、オンラインユーザーを騙して個人情報を入力させるソーシャルエンジニアリング攻撃の一種です。攻撃者は信頼できる企業や組織になりすまし、情報の入力を求めてきます。例えば、銀行を装ったメールで「口座番号の確認」を求められるケースなどが典型的です。

あなたのサイトがフィッシング攻撃の踏み台にされる可能性もあります。ハッカーはWebサイトのスクリプトの脆弱性を悪用し、クロスサイトスクリプティング(XSS)攻撃を実行します。ユーザーは一見正規のページへ誘導されますが、リンク自体が細工されているため気づきにくいのが特徴です。実際に2006年にはPayPalもこの手口の被害を受けました。

また、一部のフィッシング詐欺ではアドレスバーが改ざんされます。正規のURLの画像をアドレスバーに重ねて表示したり、リンク先のバーを閉じて新たに正規風のバーを開いたりする手法が使われます。

Googleのフィッシング警告を解除する方法

サイトにフラグが立っている間、Googleは訪問者トラフィックを制限します。SEOランキングへの影響を最小限に抑えるため、できるだけ早く問題に対処しましょう。

Google Search Consoleで原因を特定する

被害を抑える最初のステップは、感染原因の特定です。まずGoogle Search Consoleで異常や脆弱性を確認してください。サイトがGoogleのブラックリストに登録されると、Search Consoleアカウントに通知メッセージが届きます。

1. まだ設定していない場合は、Google Search Consoleにサイトを登録します。
2. サイト所有権の認証を行います。不正なユーザーとその認証タグはすべて削除してください。
3. 左パネルの「セキュリティの問題」を開きます。ここにはGoogleにインデックスされたページの一覧が表示されます。

感染の除去

感染を取り除くには、ファイルの削除が必要になる場合があります。以下の手順に沿って作業を進めましょう。

1. サイト上の見覚えのない変更点を見直し、手動で削除します。
2. 正常なバックアップがある場合は、それと比較しながら感染ファイルを削除し、コードをゼロから書き直します。
3. 使用頻度が低い、または更新されていないプラグインを無効化します。
4. 感染したデータベースのテーブルを手動でクリーンアップします。
5. 未承認のユーザーが追加されていないか確認し、見つけたら削除します。
6. ハッカーは攻撃したサイトにバックドアを残すことが多いため、すべてのバックドアを塞ぎ、クリーンアップ後のサイトで脆弱性診断を実施しましょう。
7. 最後に、サイトが意図したとおりに動作しているかを確認します。

審査をリクエストする

1. Google Search Consoleにアクセスします。
2. 左パネルの「セキュリティの問題」をクリックします。
3. 「これらの問題を修正しました」にチェックを入れます。
4. 審査をリクエストします。

審査を申請する際には、ポリシー違反を解消するために実施した対策に関する情報の提出が求められます。専門家が作成した審査リクエスト用テンプレートを活用すれば、スムーズに申請できます。

Googleによる審査では、サイトが再公開される前にすべてのセキュリティ上の懸念事項が解決されたかどうかが確認されます。審査には72時間以内程度かかります。感染が見つからなければ、サイトはまもなくSEOランキングを回復します。

審査が承認されなかった場合は、感染やハッカーによる改ざんが残っていないかサイトを再確認してください。必要であれば、セキュリティ専門家への相談も検討しましょう。

その他のブラックリストにも注意

インターネット上で安全なブラウジングを守る存在はGoogleだけではありません。ただし、多くの機関はGoogleのAPIを利用して不審なサイトを独自のブラックリストに追加しています。そのため、Googleにフラグが立てられたサイトは、他のブラックリストにも登録されている可能性が高いのです。

こうしたリストをまとめてチェックできるサービスもあります。例えばAstraのブラックリストチェッカーを使えば、複数のリストに対してサイトを照合し、整理された結果を一度に確認できます。フラグが付いたリストごとに、それぞれの削除手順に従って除外申請を行いましょう。

将来の被害を防ぐために

今後同じ被害を繰り返さないためにも、サイトの強化と保護のための追加対策を講じましょう。以下のステップでサイトの安全性を最大化できます。

CMSとプラグインを常に最新に保つ

CMSソフトウェアとプラグインは常に最新の状態に保ちましょう。開発者は発見された脆弱性に対して、定期的にセキュリティパッチを公開しています。不要な拡張機能やプラグインを削除することも優れたセキュリティ習慣です。古い拡張機能は攻撃者にとって格好の侵入経路になります。

使用頻度が低く更新もされていない拡張機能は、すべて削除することをおすすめします。拡張機能の数が増えるほど、悪意ある攻撃者にとっての侵入経路も増えてしまうからです。

マルウェアスキャンを定期実行する

マルウェアスキャンを定期的に実行し、攻撃者が残したコンテンツがサイトに残っていないかを確認しましょう。感染ファイルをすべて削除し、脆弱性を修正します。Astraは360°のWebセキュリティサービスを提供しており、定期スキャン、アクセスログレポート、脆弱性分析などの機能を備えています。スキャンをスケジュール化すれば、悪意ある攻撃者に気づかれる前に脆弱性を排除できます。

Webアプリケーションファイアウォール(WAF)を有効化する

Webアプリケーションファイアウォール(WAF)は、サーバーへのトラフィックを監視し、悪意ある攻撃からサイトを守るための適切な対応を行う、アプリケーション層のセキュリティソリューションです。簡単に言えば、WAFはサイトへのすべてのトラフィックをフィルタリングします。Astraのファイアウォールを利用すれば、セキュリティ運用の手間から解放され、本来のビジネスに集中できます。

この記事が役に立ったら、Facebook、X(Twitter)、LinkedInでぜひシェアしてください。ご意見があれば、下のコメント欄でお聞かせください。