不審なURLは、まず開かずに外部から評価を確認します。ただし、マルウェアチェックで検出0件と表示されても、安全が証明されたわけではありません。
実際には、調べたURLが正しいかを最初に見ます。続いて解析結果の新しさと、各エンジンの判定を確認します。どれか一つでも不自然なら、URLを開く前に送信者やサイト管理者へ別の経路で確認した方が良いです。
URLを開く前に確認する
メールや広告で届いたURLに不安があるときは、リンクをクリックせず、文字列としてコピーします。そのうえでマルウェアチェックツールへ貼り付け、外部の評価を確認してください。
このツールは、入力されたURLについてVirusTotalの既存レポートを照合し、レポートがなければ解析を依頼します。VirusTotalはURLを70以上のセキュリティ製品やブロックリストなどで確認しますが、表示されるのは各サービスがその時点で持つ評価です。詳しい対象はVirusTotalのAPI概要で確認できます。
入力するのは、実際に届いたURLそのものです。ドメインだけに短くすると、問題のあるサブドメインやパスを調べ損ねる場合があります。パスワード再設定用URLなど、本人だけが使うトークンを含んだURLは外部サービスへ入力せず、運営元へ確認してください。
最初に対象URLと検査日時を見る
検出数を見る前に、結果欄のURLが調べたいものと一致しているかを確認します。example.com と example-security.com は別のサイトですし、login.example.com と example.com も別のホストです。
次に見るのは最終検査日時です。VirusTotalのURL情報には解析日時が含まれており、既知のURLは再解析も要求できます。古い結果や公開直後のURLでは、現在の状態が十分に反映されていない可能性があります。VirusTotalのURL再解析仕様も、既存URLを改めて解析する仕組みとして用意されています。
リダイレクトがあるURLでは、転送後のページも判断材料になります。短縮URLや計測用URLだけを見て、最終的な移動先を確認しないまま安全と決めない方が良いです。
VirusTotalの判定内訳を読む
VirusTotalは、各エンジンの結果を共通のカテゴリへ整理しています。件数だけでなく、どのカテゴリが何件あるかを確認すると、検出0件の意味を誤解しにくくなります。
| カテゴリ | 結果の意味 | 実務での受け取り方 |
|---|---|---|
| malicious | 悪意があると判定 | URLを開かず、調査または管理者への連絡へ進む |
| suspicious | 疑わしいと判定 | 安全が確認できるまで開かない |
| harmless | 問題なしと判定 | そのエンジンでは問題なし。ただし全体の保証ではない |
| undetected | 判定なし | 安全判定ではなく、そのエンジンが意見を出していない状態 |
この区分はVirusTotalのURLオブジェクト仕様に定義されています。個々のエンジンが返す表現は異なるため、まず共通カテゴリを見た方が判断しやすいです。
検出0件は、最新の解析でmaliciousまたはsuspiciousへ分類したエンジンがなかった、という意味です。私なら、解析日時が古いURLや新しく作られたURLはすぐに開きません。受け取った経路が不自然な場合も同じです。
少数の検出が誤判定になることはありますが、一律に無視する基準はありません。まず、どのエンジンが何を理由に検出したかを見ます。そのうえで、送信者やサイト所有者がURLを説明できるかを確認してください。
結果から次の行動を決める
確認結果は、安全か危険かの二択ではなく、次に何をするかを決める材料として使います。同じ検出0件でも、URLを入手した経路によって判断は変わります。公式サイトから自分でたどった場合と、心当たりのないSMSで届いた場合を同じには扱えません。
| 確認結果 | 次の行動 |
|---|---|
| 検出0件で、URLと入手経路にも不自然さがない | ドメインの綴りと送信者をもう一度確認してから利用する |
| suspiciousまたはmaliciousが1件でもある | 開かず、送信者またはサイト管理者へ別経路で確認する |
| 解析が古い、結果がない、移動先が分からない | 安全と決めず、再解析または管理者による調査を待つ |
ログインや支払い、ファイルのダウンロードを求めるページでは判断を一段厳しくします。メール内のURLを使わず、公式サイトをブックマークや検索から開いて同じ案内があるか確認する方が安全です。
自分のサイトならSearch Consoleも確認する
自分が管理するサイトに検出が出た場合は、外部チェックだけで調査を終えません。Google Search Consoleの「セキュリティの問題」レポートも確認します。Googleがハッキングやマルウェア、ソーシャルエンジニアリングを検出した場合に情報が表示されます。
Search Consoleのセキュリティ問題に関する公式ヘルプでは、表示されるサンプルURLが問題の全件とは限らないと説明されています。警告があるページを通常のブラウザで直接開かず、サーバー上のファイルやログから影響範囲を調べます。
感染や改ざんが疑われる場合は、サイトを一時的に止める判断も必要です。復旧の初動はWordPressが改ざんされたときの対応で扱っているため、管理者側の作業はそちらへ進んでください。
まずは手元のURLをマルウェアチェックツールへ入力します。対象URL、検査日時、判定内訳の順に見てください。少しでも説明できない点が残るなら、開かずに別の経路で確認するところまでが安全性チェックです。