Googleの検索結果がおかしい!?サイト改ざん事例・復旧方法
Webサイトの改ざん。頻繁に起きることではありませんが、今回、弊社クライアントが運営する、とあるホームページにおいてこのようなトラブルがありました。
- Webサイトが改ざんされた
- その影響でGoogle検索結果に表示されるページタイトルや説明文が、まったく関係のないデタラメなものに
- さらに検索キーワードによっては、表示される検索結果をクリックすると、まったく関係のないサイトが表示される
即座に対応し、無事復旧・解決したのですが、まったくもって迷惑極まりない悪質な事案です。
もし同様のトラブルでお困りの方がいらっしゃれば、参考になればと思い、調査の過程から解決方法まで、実例に基づき対処方法をまとめておきます。
（とはいえ対処にはそれなりに専門知識を要するため、わたしたちのような制作会社へご相談いただくのが一番オススメですが‥）
先にお伝えしておきますと、本記事でご紹介するケースと同様の事象であれば、解決は可能ですので、まずその点はご安心ください。
事象
冒頭の説明では状況が少しわかりにくいかと思いますので、あらためて何が起きたのかを具体的に説明します。
なお、ご説明のため、弊社「株式会社アットノエル（attnoel.co.jp）」のホームページが、被害にあったと仮定します。
例えば「会社名」で検索してみると、存在しないページ、扱っていない商品が検索結果に表示され、正常な状態と比較すると、明らかにおかしいのが見てとれると思います。
ページタイトルや説明文に加え、favicon（ページタイトル横のアイコン）まで、まったく関係のない他社のものに‥。
なお、Googleの検索エンジンを導入しているYahooも同じ状況。Microsoft社のbingでは問題ありませんでした。
- Google検索結果に表示されるページタイトルや説明文が、まったく関係のないデタラメなものに
- Google、Yahooともに同様の事象・bingは問題なし
- Webサイトの表示自体に問題は見受けられない
Googleの検索エンジンにおける問題なので、Google Search Consoleを使って詳しい状況を調べてみることにしました。
Google社が提供するウェブサイト管理者向けのツール。管理するウェブサイトのGoogle検索におけるパフォーマンスを監視、管理、改善するために使用する。
平時であれば、ユーザーにどのようなキーワードで検索されているか等の確認のために使用します。
関連記事：Search Consoleとは
調査
Search Consoleにて状況把握
Search Consoleへログインすると、おかしいのが一目瞭然でした。
「インデックス登録済み」や「クロール済み – インデックス未登録」といったコンテンツが異常な量です。
簡単に言うと、実際は200ページ程しかないWebサイトなのに、Googleの検索エンジンには「53,371ページ存在している」とみなされている状態。
しかも、まったく身に覚えのないURLが、大量に登録されています。
これらのURLに実際にアクセスしてみるとリダイレクト（自動転送）され、海外のECサイトと思われるまったく関係のないサイトに遷移させられてしまいます。
なお、Googleの検索エンジンは、そのサイトにどんなページが存在するのかを把握するために「sitemap.xml」という（検索エンジン用の）ファイルを読み込みます。
つまり、この時点で「sitemap.xml」がおかしいのでは？という仮説が立ちます。
「sitemap.xml」を確認
実際にsitemap.xmlを見てみると、こちらもおかしいのが一目瞭然でした。
意図しない、先程Search Consoleで確認されたものと同じようなURLが大量に記述されています。
繰り返しになりますが、このようなURLはサイト内に存在しないのです。
この時点で、検索結果の表記がおかしいのは「sitemap.xml」が改ざんされていることが原因、という可能性がかなり高くなりました。
「sitemap.xml」を修正
そこで「sitemap.xml」を早速修正します。
必要なURLのみの、正しい「sitemap.xml」を用意、サーバーへアップロードし上書きします。
あとはGoogleの検索エンジンがこの正しい「sitemap.xml」に基づいた検索結果にしてくれるのを待つだけ‥ と言いたいところですが、事はそう簡単ではありません。
なぜsitemap.xmlが改ざんされているのか、という根本的な部分が解決していないからです。
サイト全体をスキャニング
今回、被害に合ったWebサイトは、WordPressで構築されています。
改ざんされているのは「sitemap.xml」だけではない可能性も考え、サイト全体をスキャニングします。
すると案の上、怪しいファイルやコードがそこかしこに見受けられました。
sitemap.xmlの設置場所を示す「robots.txt」も改ざんされています。
つまり、何者かがサイトをハッキングし、サイトを改ざんしたことになります。
ここまでの状況をいったんまとめます。
- Google検索結果に表示されるページタイトルや説明文が、まったく関係のないデタラメなものに
- Google、Yahooともに同様の事象、bingは問題なし
- Webサイトの表示自体に問題は見受けられない
- サイト及びsitemap.xmlが改ざんされ、まったく身に覚えのないURLが、Googleのデータベースに大量に登録されている
- それらのURLへアクセスすると、まったく関係のない別のサイトへ遷移される
- データベース内に改ざんの形跡はなし
原因や影響範囲、その目的が見えてきました。
つまりこういうことです。
悪意のある第三者が、
自身が運営するサイトA（あるいは関係のあるサイト）のアクセスを増やすことを目的とし、
関係のないサイトBへ侵入し、sitemap.xmlに、自身のサイトAのURLを大量に記述するよう、サイトを改ざん。
その結果、サイトAのページがサイトBのページだと、Googleに誤認され、検索結果も改ざんされたsitemap.xmlに準じたものに。
修正対応
WordPressの再インストール
まずは改ざんされたWebサイトを正常な状態にします。しらみつぶしにファイルを修正するのでは埒があかないため、また、改ざんファイルを徹底的にクリーンアップするためにも、WordPressの構成ファイルをすべて削除し、まっさらな状態でインストールし直します。
1.事前準備
事前準備として、「wp-content」ディレクトリ内のファイルは、念の為ダウンロードしておきます。改ざんはされていますが、念の為のバックアップです。
なお、ダウンロードした「wp-content」内の「uploads」に含まれるファイル（WordPreassの管理画面上からアップロードしたファイル）は再インストール後も使用します。
テーマファイルがオリジナルで制作されたものであれば、こちらも再インストール後に使用します。
また、再インストールの際に必要な、データベースの情報が記載されている「wp-config.php」のダウンロードもしておきましょう。
WordPressの管理画面から、現状のWordPressのバージョンも確認し、同バージョンのWordPressを公式サイトからダウンロードしておきましょう。
事前準備まとめ
- wp-content ディレクトリをダウンロードしておく
- wp-config.phpをダウンロードしておく
- WordPressのバージョンを控えておく
- 同バージョンのWordPressを公式からダウンロードしておく
2.不審なファイルの確認 及び 削除
「1」でダウンロードした「/wp-content/uploads/」内に、不審なファイルがないか目視で確認します。身の覚えのないファイル、怪しいファイルがあるようであれば、削除しましょう。
また、テーマファイルがオリジナルで制作されたものであれば、こちらも目視でチェックのうえ修正します。
3.WordPressのファイルの入れ替え
WordPressがインストールされていたディレクトリをすべて削除します。この時点で当然Webサイトは見れなくなります。
そのうえで、「1」でダウンロードしておいた今までと同じバージョンのWordPress構成ファイルを一式アップロードします。
サイトURLへアクセスし、WordPressをインストールし直します。
この際、「1」でDLしておいた、再インストール前の「wp-config.php」を確認し、同じデータベース情報を使ってインストール。
これで、WordPressの管理画面へ、今までと同じアカウント情報でログインできるようになります。
4.テーマ・プラグインの再インストール
「2」でチェックした「/wp-content/uploads/」ディレクトリ、及び、テーマファイルをアップロードします。
市販されているもの、無料テーマ等のテーマファイルであれば、再度公式サイトからダウンロードし直したうえ、まっさらな状態のファイルをインストールしなおしましょう。
プラグインについても、バックアップで取得したものではなく、ダウンロード＆インストールし直すことをオススメします。
5.サイトの表示・挙動確認
これでひととおりサイトはもとに戻ったはずです。
念の為、サイトの表示や挙動の確認をします。
6.sitemap.xmlの確認
最後に、本来の目的である、sitemap.xmlが正しい状態か確認をします。
サイトの仕様にもよりますが、WordPressであれば、下記の名称で生成されることが多いです。
- /sitemap.xml
- /Wp-sitemap.xml
- /Sitemap-index.xml
sitemap.xmlが正しく出力され、関係のないURLからリダイレクトされることもなくなり、404エラーが表示されるようになれば、サイトの復旧は完了です。
補足：試してだめだったこと
ちなみに使用していたサーバーには「WordPressリカバリー」という機能がありました。この機能は、上記一連の復旧作業を簡単に行えるというもの。
ただ、今回のケースでは改ざんファイルを除去しきれなかったため、手動での削除・チェック・インストールし直した、という経緯があります。
もう少し被害が軽ければ、こういったサーバーに備わっているリカバリー機能も有効なのかもしれません。
合わせて対応しておきたいこと：robots.txtによるクロールの制御
万が一、第三者の手によって同様のURLが生成されたとしても、クロールするな、という指示をしておきます。
今回のケースの記述例 User-agent: *
Disallow: /*_gl=*
Disallow: /shopdetail/
修正した状態で、Search Consoleから申請
ここまでで、サイトの修正・復旧は完了しました。
ただし、このサイトの正常な状態を、Googleの検索エンジンにあらためて認識してもらわなければ、検索結果はもとに戻りません。
関連記事：検索エンジンの仕組み
サイトマップの送信
最新の正しいサイトマップを参照してくれるよう送信しておきましょう。
「このサイトに存在するURLはこれらです」と、Googleのプログラムに伝えます。
関係のないURLの一時削除
関係のないURLには一定の規則性があったため、Search Console内「削除ツール」から削除の申請をしておきます。
この削除ツールは、一時的にGoogleの検索結果から特定のURLをブロックするものですが、コンテンツそのものがなくなれば、そのまま検索結果から消えていきます。
削除ツールに関しては、Google公式のヘルプ「削除ツールとセーフサーチ レポートツール」がわかりやすいです。
URLの検査
削除申請や、サイトマップの再送信をしてもすぐに検索結果が変わるわけではありません。
インターネット上を巡回し、あらゆるサイトの情報を収集しているGoogleのプログラムがサイトへ訪問してくれないことには、検索結果は変わりません。
そのため、よく検索されるキーワードで表示されるページや、トップページ等の重要なページは、この「URLの検査」から個別に申請しておきます。
結果
これらの対処をした結果、数日で検索結果は正しい表示に概ね変わりました。
faviconのみ少し時間がかかりましたが、1か月程でもとにもどりました。
今後のための対策
今後のためにも、できることはすべてやっておきましょう。
これらの基本対策を組み合わせることで、サイトのセキュリティレベルが大幅に向上します。
不要なアカウントの削除
WordPressの使用していないアカウントがあれば削除しておきましょう。Webサイトをハッキングされた場合、知らないアカウントが作成されている可能性もあります。怪しいアカウントは迷わず削除しておきまよう。
各種パスワード変更・二段階認証の導入
データベース、サーバー、WordPressアカウント等、念の為、パスワードもすべて強固なものに変えておきましょう。データベースのパスワードを変えた場合、wp-config.phpの修正も必要ですので、ご注意を。
不要なテーマやプラグインの削除
プログラムが多ければ多いほど、脆弱性等のリスクが増えます。不要なプログラムは、できるだけ削除しておきましょう。
phpやWordPressのアップデート
phpやWordPress本体、各種プラグイン等、できるだけ最新版にアップデートしておきましょう。
海外からのアクセス遮断
サービス・事業・運用体制等のご事情によっては難しい場合もありますが、そうでないのであれば海外からのアクセス、とりわけWordPressの管理画面へのアクセスは遮断しておきましょう。
可能であれば、特定のIP以外はアクセスできないよう制御しておくことが望ましいですね。
あなたのホームページは大丈夫？Webサイト改ざん確認方法
Search Consoleは使い方がわからない、そもそも導入していない、という場合は、下記の方法でもチェックが可能です。
新たな攻撃が日々生まれている以上、いずれの方法やサービスで安全性が確認できたからといって100%問題ないとは限りませんが、簡易的に調べるには充分かと思います。
「site:（ドメイン名）」でGoogle検索
Googleの検索窓に、「site:（ドメイン名）」と入力して検索してみましょう。こうするとGoogleが認識しているそのドメイン内のページが検索結果に表示されます。
その検索結果画面のページタイトルや説明文が、不自然なもの、意図しないものに変わっている場合、今回のケース同様の改ざんが行われている可能性がかなり高いです。
Google セーフブラウジング
https://transparencyreport.google.com/safe-browsing/search
Webサイトの安全性を調べるためのサービスとして、Google社の「セーフブラウジング」があります。調べたいサイトのURLを入力するだけで、悪意のあるコードやフィッシング等、危険性を判定します。
Sucuri SiteCheck
セキュリティ企業Sucuri社が提供しているサービス。URLを入力するだけでセキュリティ診断をすることが出来ます。 MinimalからCriticalの5段階でサイトの危険性の評価を表示し、マルウェアやブラックリストへの登録状況等もリストとして表示されます。
VirusTotal URL Scan
Googleが呼びかけて世界の有識者やセキュリティ企業を集めたサービス。ファイルのアップロードや、URLを入力することで、複数のウイルス対策エンジンを使ってWebページの安全性を検査できます。「提供したデータは研究目的(検体)に提供される｣ため、ファイルのアップロードをする際にはご留意ください。
改ざんされたWebサイトの復旧・対策・保守もおまかせください
今回のケースは、言ってみればGoogleの検索エンジンの仕組みを悪用し、誤認させ、第三者のサイトをつかってアクセスを稼ぐという、極めて悪質なもの。
Webサイトで集客している事業、企業においては、仮に数日のことであっても、本来のコンテンツを見てくれるユーザーが激減してしまうため、影響は甚大です。
こういった被害を被らないよう、普段からできる手は打っておきたいところ。
保守関連もしっかりサポートしますので、お気軽にご相談いただければ幸いです。
関連記事
私たちが御社のWeb事業部として伴走します。
わたしたち、アットノエルは、まるで社内の事業部のように気軽に相談できるウェブ制作会社。愛知県名古屋市を拠点に日本全国対応しています。
「あなたの会社のWeb事業部」として、Webサイトのポテンシャルを最大限に発揮できるよう、制作・リニューアルから、保守・運用のサポートまで、全力で支援いたします。
なにかと気軽に相談できるパートナーが欲しい方、会社の事業展開に合わせWeb活用に取り組みたい方、ぜひアットノエルへご相談ください。
2006年よりWebサイト制作・運用に携わる。2012年アットノエル創業。 個人事業主から上場企業まであらゆる業種のWeb活用を支援し、主にWebサイトの企画や運用サポート、お客さまの相談役を担っています。 「最適化」と「情報整理」が得意。
お問い合わせ CONTACT
数あるWebサイト制作会社からアットノエルを見つけてくれた方へ。
Webサイト制作会社・パートナーを変える必要はもうありません。
「もっと早く出逢いたかった」そうおっしゃっていただけるのがわたしたちの誇り。
「御社のWeb事業部」として、企画から制作、改善、運用まで、総合的にサポートいたします。