【Google検索セントラル解説】マルウェア感染の予防チェックリスト｜site:検索・更新・SFTPまで公式ページを読む

Googleは、サイトのマルウェア感染を防ぐための心得を、短い公式ページにまとめています。題名は「Preventing malware infection」で、日本語版は「マルウェアへの感染を防止する」です。

この記事では、そのページを英語版の原文から読み、Googleが何を勧めているかを整理します。あわせて、英語版と日本語版の差、ページ内容がいつから変わっていないか、従業員数人〜数十人の会社が何から確かめればよいかも書きます。

合同会社謙虚は、3つのドメインを並行して運用し、何を変えると数字が動くかを測り続けています。サイトが乗っ取られると、その測定そのものが崩れるため、予防の公式ページは先に読んでおく価値があります。

結論：3行で言うと

• このページは、感染してしまった後の手当てではなく、感染を防ぐ日常の点検を並べたものです。Search Consoleの確認3つと、チェックリスト11項目（全員向け4、サーバーに触れる人向け7）でできています
• 点検は誰でもできるもの（パスワード、外部サービスの選定、サポート窓口、自分のパソコン）と、サーバーに触れる人向けのもの（更新、ログ、通信方式など）に分かれています
• Google自身が、このページは「決して完全ではない」と書いています。これだけ守れば安全、という保証のページではありません

このページの基本情報

項目	内容
原題（英語）	Preventing malware infection
日本語版の題名	マルウェアへの感染を防止する
英語版の最終更新日	2025-12-10（2026年11月5日に再確認。日付は同じでした）
日本語版の最終更新日	2025-12-18
Google検索セントラルの中の位置（章）	URLは「monitor-debug」の下の「security」です。英語版の左の目次では、「Malware and unwanted software」の次に並んでいます
直近の主な更新	変更履歴に、このページを名指しした項目は見つかりませんでした。2025年12月10日の日付変更に対応する記載もありません

原文は英語版、日本語版で読めます。

Googleがこのページで言っていること

冒頭の一文は、英語で次のように書かれています。

「The price of freedom from malware is eternal vigilance.」（マルウェアに感染しない自由の代価は、絶え間ない警戒です）

続けて、この記事のヒントは決して網羅的ではないので、サイトの所有者はさらに調べてほしい、と断っています。

サイトの状態を監視する（Search Consoleの3つの機能）

ここでは、Search Consoleなどで異変に気づく方法が3つ挙げられています。

方法	原文が言っていること
site: 検索演算子	Googleで「site:自社のドメイン」と検索し、Googleが見つけているページを定期的に見ます。知らないページや、自分が書いていない話題が出てきたら、ハッキングされている可能性があります
セキュリティの問題レポート（Security Issues report）	Googleが見つけたハッキングされたページと、直し方の案内が出ます
メッセージパネルの通知	サイトでマルウェアを見つけたとき、Search Consoleのメッセージパネルに通知が出ます。メールへの転送設定をしておくと、すばやく気づけます

私が開いて確かめたSearch Consoleヘルプによると、セキュリティの問題レポートは、サイトがハッキングされたとGoogleが判断した場合や、訪問者に害を与えうる動きがある場合に、その所見を示します。害の例として、フィッシング攻撃やマルウェアのインストールが挙がっています。

同じヘルプには、影響を受けたページが検索結果で警告つきになったり、ブラウザで警告画面が出たりする場合がある、とも書かれています。

メッセージについては、メール通知の設定画面を説明するヘルプで、メール設定が変えるのは「メールで届くかどうか」だけだと説明されています。パネルのほうには、設定にかかわらず、すべてのメッセージが残ります。

すべてのウェブサイトの所有者向け（4項目）

• 良いパスワードを選ぶ。Googleアカウントのガイドラインが参考になるとしています
• 外部のコンテンツ提供元を慎重に選ぶ。サイトに載せる外部のアプリや広告は、信頼できる正規の提供元のものにします。そうした提供元は、自社サイトにサポート情報と連絡先を載せている、という目安が示されています
• ホスティング会社や公開プラットフォームのサポートを使う。多くの会社にサポート窓口やセキュリティのページがあります。そのページにRSSフィードがあれば、登録して最新情報を受け取るよう勧めています
• 手元のパソコンを安全に保つ。とくにサイトの作業に使うパソコンは、ソフトを最新にし、ウイルスなどに感染しておらず、最近更新したウイルス対策ソフトを入れておく、という内容です

サーバーに触れる所有者向け（7項目）

項目	原文の要点
サーバーの設定を確認する	ウェブサーバーソフトの開発元が、安全な設定のヒントを公開しています。ディレクトリの権限、サーバー側の埋め込み機能、認証、暗号化などが含まれます
.htaccess のバックアップを取る	設定の変更に失敗したときの復旧用です。作業が終わったらバックアップは消します
ソフトの更新とパッチを欠かさない	サイトを作る道具が増えるほど、悪用されるリスクも増えます。フォーラムやブログを入れて放置するのが、ありがちな落とし穴です。使っているソフトとプラグインを一覧にして、バージョンと更新を記録します。自分で更新していても、ホスティング側のOSの更新が遅れていれば、弱点は残ります
ログファイルを見る	見慣れないURLパラメータ（=http: や =// など）や、リダイレクト用URLへのアクセスの急増は、オープンリダイレクトを悪用されているしるしかもしれません。ハッカーはログを書き換えようとするので、保存場所を変えるなどの対策も挙がっています
よくある脆弱性を点検する	権限が開きっぱなしのディレクトリを作りません。XSS（クロスサイトスクリプティング）とSQLインジェクションの有無も確かめます
安全なプロトコルを使う	データ転送には、暗号化されるSSHやSFTPを勧めています。telnetやFTPのような平文の方式は避けます
最新のセキュリティ情報を追う	Googleのセキュリティブログと、米国政府機関の技術的な警告・ヒントが紹介されています

ページの末尾には、Search Consoleの利用者向けに、解決できない問題が続くときの報告フォームへの案内があります。

英語版と日本語版の違い

確認した日付（2026年11月5日）の時点で、内容を変える差は見つかりませんでした。日本語版のほうが8日新しい日付です。

節の構成、3つの監視機能、チェックリストの全項目、リンク先の数は一致していました。

箇所	英語版	日本語版	読み取り
パスワード	Choose good passwords	強力なパスワードを選択します	英語は「良い」、日本語は「強力な」。方向は同じですが、日本語のほうが具体的な印象です
サイトの規模の話	銀行やスポーツチームなどのサイトで警告が出たことがある、という書き方	それらのサイトでも注意が必要、という書き方	事実の報告か注意喚起かの違いです。趣旨は小規模サイトだけの問題ではない、という点で一致します
パソコン	local workstation（手元の作業用機）	パソコン／ローカルのワークステーション	実質的な差はありません

更新の経緯も調べました。Internet Archiveの保存版（2022年9月、2023年7月、2024年6月）の本文と、今の英語版を比べると、本文の文章とリンク先は同じでした。

2024年6月の版は「最終更新 2024-03-18」、今の版は「2025-12-10」でした。日付は進んでいますが、私が比べた範囲では本文は変わっていません。

日付だけが動いた理由は、原文から分かりません。

なお、変更履歴の2022年10月13日の項目には、スパムポリシーの整理で、マルウェアとハッキングの情報を旧「セキュリティ」の節から集約した、という記載があります。このページ自体の更新とは別の話です。

このページから、言えること・言えないこと

言えること	言えないこと
Googleは、site: 検索、セキュリティの問題レポート、メッセージ通知の3つで異変に気づけると説明している	この3つを見ていれば、感染を防げる、あるいは必ず気づけるとは書かれていない
更新の放置、弱いパスワード、平文での転送が、リスクとして挙げられている	ここに書かれた項目を全部やれば安全、という保証はない。ページ自身が網羅的でないと断っている
サーバーに触れる人向けの項目は、WordPressのような部品の多いサイトにも当てはまる考え方である	特定のCMSやプラグイン、ホスティング会社の名前を挙げて推奨している箇所はない
感染の疑いがあれば、Search Consoleで警告が見られる	感染の有無とGoogleでの順位の関係は、このページでは扱われていない

中小企業の視点で、どう受け取るか

ここからはGoogleの説明とは別の、私の読み取りです。

1. まず、自社のドメインで site: 検索をする

Googleの検索窓に「site:自社のドメイン」と入れます。表示されたページに、自分が書いていないもの、見覚えのない商品名や海外の言葉が混じっていないかを見ます。

月に1回、同じ日に見る習慣にすると、変化に気づきやすくなります。ページ数のおおまかな目安として、自社サイトのサイトマップに載っているURL数を控えておくと、比べやすくなります。

2. Search Consoleのメール転送を確かめる

Search Consoleの画面上部のベルのマークがメッセージパネルです。そこにセキュリティ関連の通知が来ていないかを開いて見ます。

次に、通知メールの宛先が、いま実際に見ている人のアドレスになっているかを確認します。担当者が退職した後の宛先が放置されていると、通知が誰にも届きません。

3. WordPressなら、更新の棚卸しをする

公式ページの「使っているソフトとプラグインを一覧にする」は、WordPressでは管理画面の「プラグイン」「テーマ」の一覧と対応します。使っていないプラグインとテーマが残っていないか、更新の通知が溜まっていないかを見ます。

実務の手順は、WordPressの保守とセキュリティの記事にまとめています。この記事は公式ページの解説、あちらは実務の手順という役割です。

4. 外部サービスと管理者のパスワードを一覧にする

サイトに入れている外部の計測タグ、チャット、広告、予約フォームなどを、一覧にします。提供元の公式サイトに、サポート情報と連絡先があるかを確かめます。

あわせて、管理画面にログインできる人を数えます。退職した人や、取引の終わった制作会社のアカウントが残っていれば、削除します。

5. 毎月の点検に組み込む

1から4は、毎月の点検に組み込むと続けやすくなります。月次の見方は、Search Consoleの月次チェックの記事で扱っています。

弊社のサイトで確かめたこと

2026年11月5日に、kenkyo.ai に対して、次の確認を行いました。外から見られる範囲のものです。

• サイトマップのURL数を数える：投稿用のサイトマップ2つで合計1,307件、固定ページ18件でした。site: 検索の結果と比べるときの、手元の目安にできます

また、私は Search Console の画面を見ていないため、セキュリティの問題レポートの状態については、何も言えません。

よくある質問

マルウェアへの感染を防ぐために、Googleが勧めるSearch Consoleの機能は何ですか？

公式ページは、site: 検索演算子、セキュリティの問題レポート、メッセージパネルの通知の3つを挙げています。メッセージをメールに転送する設定を勧めています。

site: 検索で知らないページが出てきたら、どうすればよいですか？

原文は、知らないページや書いた覚えのない話題があれば、ハッキングされている可能性がある、と説明しています。具体的な復旧手順は、このページには書かれていません。

まず、ホスティング会社のサポートと、サイトを管理している人に連絡し、Search Consoleのセキュリティの問題レポートも確認するのが、現実的な第一歩です。この手順は私の読み取りです。

マルウェア感染の予防でSFTPやSSHを使うのはなぜですか？

原文は、telnetやFTPのような平文のプロトコルより、暗号化されるSSHとSFTPのほうがずっと安全だから、という理由を挙げています。ホスティング会社のファイル転送の方式を、一度確かめてみてください。

まとめ：今日できる1つのこと

今日、Googleで「site:自社のドメイン」と検索し、知らないページが無いかを2分で見てください。

そのうえで、Search Consoleのメッセージの通知先が、いま見ている人のメールアドレスになっているかを確認します。

この記事は、Google検索セントラル解説の一覧の一本です。ほかのページの解説も、順次公開しています。

ページを増やしても問い合わせが来ないなら、原因はページの外にあります。その場合は、下の入口からご相談ください。