日本語キーワードハック：自分のサイトに現れた身に覚えのない日本語ページを見つける

Googleの検索結果に、自分では作った覚えのない日本語のページが並んでいます。それなのに、自分でサイトを開いても何も見当たりません。この組み合わせには名前があります。

この改ざんで何が起きるのか

Googleはこの手口を次のように説明しています。自動生成された日本語のテキストを詰め込んだページが大量に作られ、無作為に見える名前のフォルダーに置かれます。Googleが例として挙げているのは、example.com/ltjmnjp/341.htmlという形のアドレスです。これらのページは、偽ブランド品を扱うショップへのアフィリエイトリンクで収益を生みます。検索順位を稼ぐのはあなたのドメイン、その収益を受け取るのは別の誰かです。

Joomlaとどう関係するのか

この手口は特定のシステムに限ったものではありません。Sucuriは、どのサイトでも起こりうるとしたうえで、WordPress、Drupal、Joomla、Magentoの名前を挙げています。GoogleはSearch Consoleのヘルプでさらに踏み込んでいます。ハッキング: コンテンツ インジェクション（Hacked: Content injection）の項目で、サイトで動いているソフトウェアの脆弱性を突くことが典型的な侵入経路のひとつとして挙げられており、その例としてDrupal、Joomla!、WordPressの以前の安全でないバージョンが名指しされています。2026年4月には、SucuriがJoomlaでの事例を詳しく公開しました。サイトのindex.phpのいちばん上に強く難読化されたPHPコードが置かれ、遠隔操作の窓口として動いていたというものです。このコードは外部のサーバーに接続してサイトの情報を送り、返ってきた応答によって訪問者に何を見せるかを決めていました。攻撃者は、ファイルにもう一度手を触れることなく、いつでもその挙動を変えられる状態でした。

ご自身でできる6つの確認

1. site:検索でご自身のドメインを調べる

   通常のGoogle検索の入力欄に、ご自身のドメインを当てはめてsite:example.comのように入力します。Googleがあなたのサイトについてインデックスに登録している内容が並びます。勝手に作られたページも、そこに現れます。

2. Search Consoleでセキュリティの問題レポートを開く

   このレポートが扱うのはハッキングされたコンテンツ、つまりあなたの許可なくサイトに置かれたものすべてです。

3. プロパティの所有者を確かめる

   Googleはこれを典型的な兆候として挙げています。この改ざんでは、攻撃者が自分自身をあなたのSearch Consoleプロパティの所有者として登録することがよくあります。Googleによれば、ジオターゲティングやサイトマップといった設定を書き換えて自分の利益を増やすためです。この点についてのGoogleの説明は明快です。身に覚えのない人物がSearch Consoleであなたのサイトの所有権を確認したという通知が届いたなら、サイトがハッキングされている可能性が高いということです。

4. ページインデックス登録レポートを確認する

   何も公開していないのにインデックスに登録されたページ数がはっきり増えているなら、この手口に当てはまります。この改ざんでは、ページが大量に作られるからです。

5. 検索パフォーマンスレポートをクエリで絞り込む

   日本語のものであれ他の言語のものであれ、ご自身の事業と何の関係もない検索クエリが並んでいれば、他人のコンテンツで自分のサイトが見つけられているという明らかな証拠です。

6. サイトマップとrobots.txtを確認する

   下のセクションをご覧ください。なお、サイトマップの記述があること自体は、それだけでは何の証拠にもなりません。

知っておきたいJoomlaならではのポイント

Joomlaに同梱されているrobots.txtには、一行もSitemap:の記述がありません。コメントブロックと、User-agentの行が1行、そしてDisallowの行が15行という構成です。ですから、お使いのrobots.txtにサイトマップの記述があるなら、それは拡張機能が書き込んだものか、ご自身で加えた変更か、あるいは別の誰かによるものです。この手がかりの扱いには注意してください。サイトマップの行があること自体はごく普通のことで、害もありません。多くのSEO拡張機能がこの行を追加します。気に留めるべきなのは、その行がどこから来たのか誰にも説明できない場合だけです。確認は10秒で終わります。ブラウザでexample.com/robots.txtのように、ご自身のドメインのrobots.txtを開いてください。

元の状態に戻すには

大事なのは速さよりも順番です。まず侵入口をふさいでください。そうしないと、ページはすぐにまた現れます。次に、勝手に置かれたものを取り除きます。Googleに向き合うのは、そのあとです。セキュリティの問題レポートでは、駆除が終わったあとに再審査をリクエストできます。あわせてサイトマップも見直してください。Googleは、攻撃者が既存のサイトマップを書き換えたり、新しいサイトマップを追加したりして、自分たちのアドレスを早くインデックスに載せようとすることが多いと指摘しています。

出典と参考リンク

• Google – Fixing the Japanese keyword hack手口の全体像、サイトマップ、プロパティの所有者
• Google – セキュリティの問題レポートハッキングされたコンテンツ。Joomlaが例として明記されています
• Sucuri – Joomla SEO spam injector（2026年4月）記録に残っているJoomlaの事例
• Sucuri – How to find & fix Japanese SEO spamどのCMSでも起こりうるもので、Joomlaも例外ではありません
• Joomla – 同梱されているrobots.txtオリジナルにはSitemapの行がありません

最終的には、各開発元の公式発表が優先されます。本ページは、一般に公開されている情報を中立的な立場でまとめたものです。