【注意】SEOポイズニングの特徴や手口は？5つの対策を徹底解説！

数あるサイバー攻撃の中でも、対策が難しい攻撃のひとつがSEOポイズニングです。

「上位表示されているサイトをクリックしたら、実は公式サイトではなく巧妙に似せたフィッシングサイトだった」SEOポイズニングにはそんな怖さがあります。

一方のサイト運営者側も、知らないうちにSEOポイズニングの加害者となっているケースがあります。被害を広げないためにも、定期的なセキュリティチェックが必要です。

本記事ではSEOポイズニングについて、概要や手口を詳しく解説します。

ユーザーおよびサイト管理者それぞれがとるべき対策もわかるようになっているので、ぜひご一読ください。

もし、SEOポイズニングへの対応を急いでいる、判断に悩んでいる状況でしたら、お気軽に無料相談へお申し込みください。

SEOポイズニングとは？主な特徴を解説

SEOポイズニングの概要と特徴について解説します。

Googleの対策もしっかり確認してください。

SEOポイズニングの概要

SEOポイズニング（SEO poisoning）とは、検索結果を経由して不正プログラムやマルウェアを仕込んだページにアクセスしたユーザーを攻撃する、サイバー攻撃の1種です。

自身で作った不正ページを検索結果の上位へ表示させる方法や、他者サイトを改ざんする手法もあります。

そのためサイトを運営する以上は、いつSEOポイズニングのターゲットになってもおかしくありません。

普段使用していないディレクトリ配下などを標的に、乗っ取られるケースも散見されます。ブログやサービスページなどの頻繁に更新するディレクトリであれば気がつきやすのですが、ほとんど触る機会がないディレクトリであれば、乗っ取られた事に気が付かないことも多いでしょう。

SEOポイズニングのターゲットとなったWebページにアクセスすると不正ページへリダイレクトされ、さまざまな被害が発生します。

SEOポイズニングの特徴

SEOポイズニングの特徴は、アクセスしないと被害に遭っているのがわからないことです。

知らないうちに不正ページへアクセスしてしまうため、被害を未然に防ぐことが難しいのが問題です。

また、サイト管理者側も自身のサイトが踏み台にされていることに気づきにくいことも、SEOポイズニングの問題点として挙げられます。

第三者から指摘を受けるまで気づかないこともあるため、定期的にセキュリティチェックをしなければなりません。

SEOポイズニングの主な被害内容

SEOポイズニングによる主な被害として挙げられるのは、ハッキングによる個人情報の漏洩やクレジットカード情報の抜き取りなどです。

また、二次被害として不正利用に遭う可能性もあります。

具体的な手順の例については、後述します。

参考：SEOポイズニングに関するGoogleの対策

検索結果を見る限りでは見分けがつかないSEOポイズニングですが、Google側でも検索スパムを検出するシステムを稼働させています。

GoogleがWebページから検索スパムを検出した場合、被害を防ぐために検索順位を下げる、インデックスさせないなどの措置がとられます。

よって、サイト管理者側からすると、SEOポイズニングのターゲットになってしまうと、アクセス数の激減につながるケースもあります。

このGoogleのスパム対策はかなり強固かつ定期的に調整されているため、普通に検索する上ではスパムサイトにたどり着くケースはほとんどないと言っていいでしょう。

しかし、ユーザーがそのページにアクセスするのは何も検索エンジン経由だけではないため、当たり前ですがセキュリティ対策は万全にしておく必要があるでしょう。

加害者にならないために、そして安定したアクセス数を維持するために、サイト管理者はSEOポイズニングの対策をとっておく必要があります。

SEOポイズニングの手口2つ

SEOポイズニングの手口は、以下の2つに分けられます。

順番に見ていきましょう。

【手口1】悪質なサイトへリダイレクトされる

SEOポイズニングの主な手口は、ターゲットとするWebページへ不正プログラムを仕込み、不正ページへリダイレクトさせることです。

不正ページへアクセスしてしまうとハッキングに遭い、さまざまな二次被害を受けます。ターゲットとなるのは通常のWebページだけではなく、PDFページの場合もあります。

厳密にはSEOポイズニングとは異なりますが、過去にはリスティング広告が被害に遭った事例があることも見逃せません。

実際にJR東日本が運営する「えきねっと」とは関係のない偽サイトがリスティング広告に表示され、多くのユーザーが誤ってアクセスしてしまいました。

参考：検索トップに偽サイト　だまされない対策は？　「えきねっと」偽サイトの”真の問題”

Googleのリスティング広告は自然検索結果に比べると、品質などの基準がやや緩い点があり、明らかに偽サイトだとしても表示できてしまうことがあります。

このことからも検索エンジンに表示されるすべてのページが、ターゲットになり得ることを理解し、定期的に自社に関連する検索結果を注視しておく必要があると言えるでしょう。

【手口2】メモリ上のみで存在できる不正プログラムを設置する

SEOポイズニングで用いられる手口の中には、メモリ上のみで存在できる不正プログラムもあります。

従来の不正プログラムは、ファイル形式で存在します。メモリ上だけで存在できるプログラムの特徴は、セキュリティソフトによる検出やスキャンが難しいことです。

メモリ上だけで存在するプログラムに引っ掛かると対処が遅れ、気づいた頃には被害が大きくなってしまうこともあります。

【ユーザー向け】SEOポイズニングの被害者にならない対策3選

SEOポイズニングの被害に遭わないために、ユーザーとサイト管理者でそれぞれ対策が異なります。

ここからは、ユーザー向けの対策を3つ解説します。順番に見ていきましょう。

【対策1】異なるサイトが表示されたらブラウザバックする

アクセスしようとしたサイトと異なる表示が出たら、すぐにブラウザバックしてください。

そのまま操作を続けてしまうと、SEOポイズニングの被害に遭う恐れがあります。

SEOポイズニングによるリダイレクト先サイトの大半は、ターゲットにされたWebサイトとまったく異なるジャンルです。

アクセスした時点ですぐにわかるはずなので、求めている情報とまったく異なるサイトが表示されたら、閲覧せずにすぐにブラウザバックしましょう。

【対策2】よく見るサイトはブックマークからアクセスする

よく見るサイトへアクセスする際は、ブックマーク経由で行うこともSEOポイズニングへの有効な対策です。

SEOポイズニングは検索エンジン経由でアクセスしたユーザーに対して、不正プログラムが発動するようになっています。

つまり、ブックマーク経由のアクセスであればSEOポイズニングのプログラムは発動しないので被害を未然に防げます。

【対策3】セキュリティソフトを万全にする

SEOポイズニングによってマルウェアやウィルスに感染した場合に備えて、セキュリティソフトを万全にしておくことも大切です。

セキュリティソフトを導入しておけば、不正プログラムによる攻撃から端末を守れます。

また、近年のセキュリティソフトではスキャンが難しい「メモリ上だけで存在できるプログラム」も、活動を開始した時点で検知し、駆除できるようになっています。

SEOポイズニングに限らず不正プログラムは年々進化しているので、セキュリティソフトを常にアップデートしておくことが大切です。

ご質問は、以下のバナーよりお気軽にご連絡ください。

＼本記事に関するどんなことでもお答えします！／

【管理者向け】SEOポイズニングの加害者にならない対策3選

管理者が取り組むべきSEOポイズニング対策3つを紹介します。

対策を怠ると知らないうちに加害者になっている場合があるので、ぜひ取り入れましょう。

【対策1】改ざんされた箇所がないか確認する

Webサイトに改ざんされた箇所がないか確認してみると、SEOポイズニングの被害状況がわかります。

SEOポイズニングのターゲットにされたWebサイトの多くは、改ざんの被害に遭っています。改ざんされた箇所が見つかった場合は、早急に修正しましょう。

また、改ざんが見られた場合には不正アクセスを受けている恐れがあります。不正アクセス対策については後述しているので、忘れずにご確認ください。

【対策2】管理者ID・パスワードを変更する

改ざんされた原因のひとつに、管理者ページへ不正にアクセスされたことが考えられます。

ID・パスワードが漏出している可能性があるので、関係者しか入れないようになるべく複雑なものに変更しておきましょう。

【対策3】二要素認証を導入する

ID・パスワードの変更に加えて、二要素認証の導入もおすすめです。

二要素認証とは、通常のID・パスワードに加えて性質の異なる本人確認認証を取り入れることです。例えるなら二重ロックをかける状態になるため、通常よりもセキュリティが強固になります。

IDやパスワードが万が一漏出してしまったとしても、二要素認証を取り入れていれば不正アクセスを未然に防げる可能性が高まります。

認証方法によっては、スマホや生体など手軽に行えるので、ほんの少しの手間でセキュリティを強固にできるはずです。

補足：SEOポイズニングではないが気をつけたい事象

SEOポイズニングとは少し異なりますが、似たような手口としてドメイン配下に勝手にページを作る手法もあります。

例えば「https://www.seohacks.net/」のサイト内に「https://www.seohacks.net/poisoning/aku」のページを管理者の知らないところで作られてしまうイメージです。

所有者の知らないところで第三者がサイトを運営し、アクセスしたユーザーへ攻撃を仕掛けます。

勝手にページを作ったとしても管理者にはバレにくい上に、対策しない人が多いことから、古い手法ながら今でも悪用されている手口です。

Googleサーチコンソールのインデックス状況を定期的に確認するなど、見覚えのないページが生成されていないかチェックしておきましょう。

この記事もチェック

【使い方解説】Googleサーチコンソールとは？9つの機能と活用方法

Google サーチコンソール（以後サーチコンソールもしくはSearch Console）とは、Googleが提供するサイトの管理者、SEO・マーケティングの担当者、...

SEOポイズニングは日ごろからの対策が重要

SEOポイズニングはターゲットにされたWebページが検索結果上では判別できないため、未然に防ぎづらいサイバー攻撃です。

また、こうしたセキュリティの問題にありがちな点としては、「問題が起きないと対策に動かない」という点です。ユーザーに被害が出てからでは遅いので、問題が起きていないことを確認する意味でも定期的にセキュリティを見直す時間を作ってみてください。

もし、SEOポイズニングを含めたセキュリティの相談をしたい、記事を読んでも判断が難しいといった状況でしたら、お気軽に無料相談へお申し込みください。