日本語キーワードハックは、乗っ取ったサイトの中に、偽ブランド品の通販などへ誘導する日本語のページを自動で大量に作る攻撃です。持ち主には見えにくく、検索結果で初めて気づくことが多くあります。直すときは、知らない所有者の削除 → 設定ファイルとプログラムの掃除 → 侵入口をふさぐ → 検索結果から消す → 審査の順に進めます。
この記事は、自分の会社やお店のサイトの検索結果に、見覚えのない日本語のページが出てきて困っている人と、そうならないよう備えたい人に向けて書いています。
結論：自分のサイトに、知らない日本語のページが大量にできる攻撃
日本語キーワードハックは、Googleが公式の解説で名前を付けて取り上げている攻撃の一つです。攻撃者は、サイトの弱点から入り込み、次のようなことをします。
- ランダムな名前のフォルダの下に、自動で作った日本語のページを大量に置く（例：
example.com/ltjmnjp/341.htmlのようなURL） - ページには、偽ブランド品を売るサイトへのアフィリエイトリンクを貼り、Google検索に表示させて稼ぐ
- Search Consoleに自分を「所有者」として登録し、サイトマップや地域の設定を勝手に変える
- 持ち主には404エラーに見せるなどして、見つかりにくくする
攻撃者のねらいは、あなたのサイトがこれまで積み上げてきた検索での信用を借りて、自分たちのページを上位に出すことです。サイトの見た目は普段どおりのことが多く、「検索結果がおかしい」とお客さまに言われて気づく、という流れが典型です。
攻撃された後に起きることの全体像はWordPressが攻撃されたら何が起きる？で、乗っ取り全般のサインはWordPressの乗っ取りを確認する方法でまとめています。この記事では、日本語キーワードハックに絞って、見分け方と直し方を掘り下げます。
症状：こんな見え方をしたら疑う
Googleの解説と、ハッキングされたコンテンツについてのGoogleのポリシーをもとに、当ラボの見立てを加えて、気づくきっかけになりやすい症状を見える場所ごとに整理しました。
| どこで | 見え方 | 疑う度合い |
|---|---|---|
| Googleの検索結果 | 自分のドメインで、ブランド名・「激安」「通販」などの言葉が並ぶ、意味の通らない日本語のページが出る | 高い |
| 検索結果のURL | 作った覚えのない、ランダムな英数字のフォルダや、数字だけの .html ファイルが並ぶ | 高い |
| Search Console | 「セキュリティの問題」に、ハッキングされたコンテンツの報告が出る。知らない所有者が追加されたという通知が届く | 非常に高い |
| Search Console | 「ページ」のレポートで、登録されたページの数が急に増える。覚えのないサイトマップが送信されている | 高い |
| サイトを直接開く | 問題のURLを開くと404になる、または普通のページに見える | 安心材料にならない（隠されている可能性） |
| 検索結果から開く | 検索結果のリンクを押したときだけ、別の通販サイトへ飛ばされる | 高い |
確かめ方：20分でできる4つの確認
Googleの解説で案内されている確認を、順番に並べました。どれも、サイトのファイルに触らずにできます。
- Search Consoleの「セキュリティの問題」を開く
Googleが見つけた問題と、感染したページの例が出ます。ここに報告があれば、その例をメモしておきます。 - 「site:」で検索する
Googleでsite:自分のドメインと入力し、数ページ分を見ます。結果が多いときは、site:自分のドメイン 激安のように、自分のサイトには無いはずの言葉を足すと見つけやすくなります。Google以外の検索エンジンでも同じように確かめます。 - URL検査ツールで、Googleから見た中身を見る
怪しいURLを、Search ConsoleのURL検査ツールに入れます。ブラウザでは404でも、Googleには日本語のページが見えていることがあります。 - 所有者の一覧を見る
Search Consoleの設定から「ユーザーと権限」を開き、覚えのない所有者がいないか確かめます。
Search Consoleのヘルプは、感染したページをブラウザで直接開かないよう注意しています。中身を見たいときは、URL検査ツールを使うか、技術に詳しい人に、検索エンジンからのアクセスに見せかけて取得する方法（cURLでリファラーとユーザーエージェントを指定する方法）で確かめてもらってください。
なぜ起きるか
この攻撃は、サイトに入り込めてはじめてできるものです。つまり、日本語のページは「結果」で、その前にどこかから侵入されています。WordPressのサイトでよくある入口は次のとおりです。
- 更新されていないプラグインやテーマの脆弱性（くわしくはWordPressのプラグインはなぜ狙われる？）
- WordPress本体やPHPが古いまま
- 管理画面・FTP・サーバーの管理画面のパスワードが弱い、使い回している、漏れている
- パソコンがウイルスに感染し、ログイン情報を盗まれた（WordPress.orgの解説も、手元のパソコンが感染の始まりになる場合があるとしています）
- 同じサーバーの契約に置いた、使っていない古いサイトから入られた
入口をふさがずにページだけ消しても、また作られます。直し方の最後に「入口をふさぐ」段階を入れているのはこのためです。
直し方：5つの段階
ここからは、Googleの日本語キーワードハックの解説と、WordPress.orgの「サイトがハッキングされた」ときの解説を組み合わせて、WordPressのサイト向けに並べ直した手順です。
段階0：始める前に記録とバックアップを取る
- 気づいた日時、見えている症状、最近入れたプラグインや変更をメモする（WordPress.orgは、これが後の調査報告の土台になるとしています）
- 汚れたままの状態でも、サイトのファイルとデータベースをまるごと保存しておく
- 削除するファイルは、消す前に手元へ保存する（あとで原因を調べたり、間違えて消したものを戻したりするため）
- サーバー会社に連絡し、アクセスの記録（ログ）を残してもらう
段階1：知らない所有者を外す
Search Consoleで覚えのない所有者の権限を取り消します。ただし、それだけでは足りません。Googleは、その所有者の確認用のファイル（トークン）も消すよう案内しています。トークンは、サイトの一番上の階層に置かれた google で始まる .html ファイルか、それを装う .htaccess の書き換えの命令（RewriteRule）として仕込まれていることがあります。消したあと、そのURLを開いて404が返るか確かめます。
段階2：.htaccess を全部確かめる
.htaccess は、サーバーへの命令を書く設定ファイルで、名前が「.」で始まるため、ふだんは見えません。サーバー会社のファイルマネージャーやFTPソフトで、隠しファイルを表示する設定にしてから探します。
- サイトの一番上だけでなく、サブフォルダの中にも置かれていることがあるため、すべての場所を書き出す
- WordPressの標準の内容に戻す。独自の設定を足していないのに見覚えのない命令があれば、保存したうえで標準に置き換える
段階3：不正なファイルとプログラムを取り除く
- WordPress本体を入れ直す
WordPress.orgは、管理画面の「再インストール」ではなく、FTPなどで/wp-adminと/wp-includesを公式の同じ版のファイルで丸ごと置き換えるよう勧めています。上書きだけでは、攻撃者が新しく足したファイルが残るためです。 - テーマとプラグインを入れ直す
公式の配布元から取り直します。使っていないものは、この機会に削除します。自分で手を加えたテーマは、変更点を控えてから作業します。 - サイトマップを確かめる
覚えのないサイトマップや、スパムのURLだけが並ぶサイトマップは削除します。 - 怪しいPHPファイルを絞り込む
Googleの解説では、標準のファイル以外のもの、感染に気づいた時期から数か月以内に更新されたもの、異常に大きいものを見るよう案内しています。index.php、wp-load.php、404.phpなどは特に狙われやすいとされています。 - 読めないように細工されたコードを探す
base64_decode、eval、gzinflate、str_rot13、strrevといった命令と、意味の読み取れない長い文字列の組み合わせが目印です。正規のプログラムが使うこともあるため、公式の配布ファイルと見比べて判断します。
段階4：入口をふさぐ
- WordPress本体・テーマ・プラグインを最新にする。PHPがサポート切れなら、版を上げる（確かめ方はPHPのバージョンとサポート期限の確認方法）
- 管理画面・FTP・サーバーの管理画面・データベースのパスワードを、きれいなパソコンから変える。掃除が終わった後にもう一度変える（WordPress.orgの推奨）
wp-config.phpの秘密鍵（ソルト）を新しくして、ログイン中の人を全員締め出す- WordPressのユーザー一覧から、知らない管理者を消す
- 手元のパソコンのウイルス検査をする
段階5：直ったか確かめる
最初に見つけた怪しいURLを、もう一度URL検査ツールで調べます。日本語のページが出てこなくなっていれば、掃除はおおむね済んでいます。「site:」検索もくり返し、新しいページが増えていないかを数日見守ります。
検索結果から消すには
サイトの中を直しても、検索結果には作られたページがしばらく残ります。消し方は2つあり、役割が違います。
| 方法 | 何が起きるか | 注意点 |
|---|---|---|
| そのURLが404か410を返すようにする | Googleが再びクロールしたときに、検索結果から外れる（恒久的） | ページのファイルや命令を消せば、たいていは自然に404になる。時間はかかる |
| Search Consoleの削除ツール | 検索結果から一時的に見えなくする（約6か月） | ページそのものは消えない。期間が過ぎると、残っていれば再び表示されうる |
削除ツールは、URLを1つずつ指定する方法のほか、同じ文字で始まるURLをまとめて指定する方法（プレフィックス）があります。日本語キーワードハックのページは、ランダムな名前のフォルダの下にまとまっていることが多いため、フォルダ単位で指定すると早く片付きます。なお、Googleのヘルプは、恒久的に消す目的でrobots.txtでブロックする方法は使わないよう案内しています。
Googleへの審査リクエスト
Search Consoleの「セキュリティの問題」にハッキングの報告が出ていた場合は、直したあとに審査をリクエストします。報告が出ていなければ、この手順は不要です。
- 報告されたすべての問題を、サイト全体で直す
Googleは、一部のページだけ直しても検索結果は変わらないとしています。 - 「審査をリクエスト」を押し、説明を書く
何が起きていたか、何を直したか、その結果どうなったかを具体的に書きます。段階0で取った記録がここで役に立ちます。 - 結果を待つ
多くは数日から数週間で、受付と結果はメールで届きます。結果が出る前に申請をくり返さないでください。
Googleのヘルプは、直し終わる前に申請すると、審査が長引いたり、くり返し違反するサイトとして扱われたりするおそれがあるとしています。急ぎたい気持ちを抑えて、段階5の確認まで終えてから申請するほうが、結果的に早く済みます。
再発を防ぐには
Googleの解説では、ハッキングされたサイトの20%が1日以内に再びハッキングされたという調査が紹介されています。同じ攻撃者が、同じ入口からすぐ戻ってくるということです。
- WordPress本体・テーマ・プラグイン・PHPの更新を、決まった担当者が続けられる体制にする
- 使っていないプラグイン、テーマ、古いサイトを残さない
- パスワードは長く、使い回さず、2段階認証を使う
- Search Consoleを登録したままにし、通知のメールを確実に受け取れる宛先にしておく
- 月に一度は「site:」検索で、知らないページが出ていないか見る
- 複数の時点のバックアップを、数週間以上さかのぼれるように残す
日々の対策の全体はWordPressのセキュリティ対策にまとめています。更新を続ける人手がない、何度も同じ被害にあう、という場合は、PHPやプラグインが動かない仕組みへ移すことも選択肢になります。日本語キーワードハックは、サーバーの上でプログラムが動き、ファイルを書き換えられることが前提の攻撃です。事前に作ったHTMLを配るだけの静的サイトなどへ移すと、攻撃者がページを作る足場そのものが小さくなります。移し方の比べ方はWordPressからの乗り換え先5つを比較で解説しています。
よくある質問
知らないページを開いたら「404」でした。もう消えたと考えてよいですか？
まだ分かりません。Googleの解説によると、攻撃者はページが消えた、直ったと思わせるために、持ち主には404エラーに見せる手口（クローキング）を使うことがあります。Search ConsoleのURL検査ツールで、Googleから見た内容を確かめてください。
WordPressの管理画面の投稿一覧には、知らないページがありません。なぜですか？
この攻撃で作られるページは、WordPressの投稿としてではなく、サーバー上の別のファイルや、書き換えられた設定（.htaccess など）から作られることが多いためです。管理画面に出てこなくても、サーバーのファイルを確かめる必要があります。
削除ツールで消せば、それで終わりですか？
終わりではありません。Search Consoleの削除ツールは、検索結果から約6か月のあいだ一時的に見えなくするものです。恒久的に消すには、そのURLが404か410を返すようにする必要があります。サイトの中の原因を直していなければ、ページはまた作られます。
審査はどれくらいで終わりますか？
Googleのヘルプでは、多くの場合は数日から数週間とされています。結果が出る前に何度も申請しないこと、すべてのページを直してから申請することも案内されています。
バックアップから戻せば直りますか？
戻した時点ですでに不正なファイルが入っていれば、直りません。また、戻しても侵入された原因（古いプラグインや漏れたパスワードなど）が残っていれば、同じ被害がくり返されます。いつ入り込まれたかを確かめ、原因をふさいでから戻してください。
自分で直すのが難しい場合、誰に頼めばよいですか？
まず契約しているサーバー会社に連絡し、同じサーバーの他のサイトへの影響や、ログの保存を確かめてください。そのうえで、改ざんの調査・復旧を扱うセキュリティの専門会社や、サイトの制作会社に相談します。お問い合わせフォームなどで個人情報を扱っていた場合は、法律の専門家にも相談してください。
参照元
- web.dev（Google）：日本語キーワードハックを解決する
- Google検索セントラル：ウェブ検索のスパムに関するポリシー（ハッキングされたコンテンツ、クローキング）
- Search Console ヘルプ：セキュリティの問題レポート
- Search Console ヘルプ：削除ツール
- WordPress.org Documentation：FAQ My site was hacked（2026年7月26日更新）
- 最終確認日：2026年11月3日
URLを送るだけで、外から確認できる範囲で、不審なページや危険度をお返しします。
運営：株式会社イメージ・ジャパン（1997年創立）。WordPressからの乗り換えと乗り換え後の見守りのほか、Web制作・SEO、AI導入支援、自社AIツール（VCT・Symphy・Mapvoice AI）の開発・運営を手がけています。
