リファラースパムとは？GA4での確認・除外方法と対策【2026年版】

公開日: 2022-06-02 ／ 最終更新日: 2026-06-16

Googleアナリティクスで参照元を確認していると、身に覚えのない海外ドメインからの大量アクセスに気づくことがあります。その多くが「リファラースパム」と呼ばれる迷惑行為です。放置するとアクセス解析の精度が下がるだけでなく、不審なサイトへ誘導されるリスクも伴います。

注意したいのは、対策手順がここ数年で大きく変わった点です。かつて定番だった「ビュー設定のボットフィルタリング」「すべてのフィルタ」は、旧バージョンのGoogleアナリティクス（ユニバーサルアナリティクス／UA）の機能であり、UAは2023年7月に計測を停止、2024年7月にはデータ閲覧も完全終了しました。現在標準となっているGoogleアナリティクス4（GA4）では、これらの操作はそもそも存在しません。

この記事では、GA4を前提にリファラースパムの仕組み・リスクから、見分け方、データ上の除外設定、そしてサーバー側でアクセスそのものを遮断する方法までを、初めて対応するWeb担当者でも手を動かせるように順を追って解説します。

リファラースパムとは？

👉 このパートをまとめると！
参照元の確認行為を逆手に取り、解析ログにURLを残してクリックを誘う迷惑行為です。

リファラースパム（リファラスパムとも表記）とは、アクセス解析のレポートに偽の参照元（リファラー）情報を意図的に残し、Web担当者にそのURLをクリックさせようとする悪質な迷惑行為です。

そもそも「リファラー」とは

「Referrer（リファラー）」を直訳すると「参照元」「紹介者」を意味し、あるページから別のページへリンク経由で移動したときの「リンク元」を指します。たとえばニュースサイトの記事に貼られたリンクから自社サイトへ訪問があった場合、そのニュースサイトがリファラーです。

GA4では、メニューの「レポート」＞「集客」＞「トラフィック獲得」や「ユーザー獲得」レポートで、ユーザーがどこから流入したかを「セッションの参照元/メディア」などのディメンションで確認できます。リファラーの基礎やSEOでの活用についてはリファラーとは？意味や確認方法・SEOへの活用方法などを解説で詳しく扱っています。

Web担当者の「確認したい心理」を突くのが手口

アクセス解析を行う担当者なら、見慣れないドメインからの流入があれば「どんなサイトから来たのだろう」と参照元URLを確認したくなるものです。リファラースパムは、まさにこの確認行為を狙っています。実際に自社サイトを訪問していないにもかかわらず、アクセスログにだけURLを残し、担当者がそのURLをクリックして自分たちのサイトへ誘導されることを狙う仕組みです。

GMO TECHのSEOコンサルティング支援の現場でも、解析データを引き継いだ際に「参照元の上位にロシア語やよく分からない英数字のURLが並んでいる」というご相談は珍しくありません。多くはこのリファラースパムが原因です。完全にゼロにするのは困難ですが、罠にかからないようにする対策は十分に可能です。

リファラースパムを放置する3つのリスク

👉 このパートをまとめると！
分析精度の低下・サーバー負荷・悪質サイトへの誘導という3つの実害があります。

リファラースパムを「ただの迷惑データ」と軽視して放置すると、次の3つのリスクが生じます。

リスク1：アクセス解析の精度が低下する

最も実害が大きいのが分析精度への影響です。リファラースパムは運営サイトの集客とは無関係なアクセスであり、本来カウントすべきでない数字をレポートに紛れ込ませます。

1日に数万アクセスある大規模サイトなら誤差の範囲に収まることもありますが、中小規模のサイトでは参照元レポートに占めるスパムの割合が高くなりがちです。すると「アクセスが増えたのは施策の成果なのか、それともスパムによる水増しなのか」が判別できなくなります。広告やコンテンツ施策の費用対効果を正しく測れず、次の打ち手を誤る原因になります。アクセス解析で何が把握できるかの全体像はHPのアクセス解析でどこまで分かる？Googleの無料ツールで得られる情報もあわせてご確認ください。

リスク2：サーバー負荷で表示速度が低下する

リファラースパムの中には、短時間に大量のアクセスを繰り返すタイプもあります。許容量の大きいサーバーであればダウンには至りにくいものの、共用サーバーなど容量に余裕のない環境では、ページの表示が遅延することがあります。

表示速度の低下はユーザー体験を損なうだけでなく、Googleがランキング評価に用いるCore Web Vitals（LCP・INPなど）の観点からもSEO上のマイナス要因です。アクセス解析の問題にとどまらず、サイトの集客力そのものに影響しかねません。

リスク3：悪質なサイトへ誘導される

セキュリティ面で最も注意すべきリスクです。リファラースパムの誘導先には、フィッシング詐欺サイトや、マルウェア（悪質なソフトウェア）を仕込んだサイトが含まれることがあります。

誘導先で起こり得る被害には、次のようなものがあります。

• 悪質なソフトウェアを気づかないうちにインストールさせられる
• 正規サイトを装ったページで個人情報・企業情報を入力させられる
• 個人情報やクレジットカード情報、顧客情報の漏えいにつながる

近年はURLをクリックしただけで被害が発生するケースもあります。セキュリティ対策ソフトを導入していても、その防御をすり抜ける手口は存在します。「確認のために一度クリックしてみる」という行動が、最も危険な選択になり得る点を強く意識しておきましょう。

リファラースパムの見分け方・有無の確認方法

👉 このパートをまとめると！
GA4の参照元レポートで、突出した数値や不審な国・言語のアクセスを洗い出します。

対策の前に、まず「自社サイトにリファラースパムが来ているか」を確認します。ここではGA4を使った確認手順と、判別のための着眼点を解説します。

GA4で参照元アクセスを確認する手順

• GA4の管理画面にログインする
• 左メニューの「レポート」＞「ライフサイクル」＞「集客」＞「トラフィック獲得」を開く
• 表の先頭ディメンションを「セッションのデフォルトチャネルグループ」から「セッションの参照元/メディア」に変更する
• 一覧から「（ドメイン名）/ referral」と表示されている行に注目する
• 気になる参照元は、検索窓やフィルタで絞り込み、セッション数・エンゲージメント率・平均エンゲージメント時間を確認する

「referral」は外部サイトのリンクをたどって流入したアクセスを表します。この中に紛れているスパムを見つけ出すのが目的です。GA4の参照元ディメンションの読み方はGAの参照元とは？アナリティクス上に出るメディアの意味も解説でも解説しています。

疑わしいアクセスを見分ける着眼点

次のような特徴を持つアクセスは、リファラースパムの可能性が高いと判断できます。

• アクセス数が突出している：他の参照元と比べてセッション数だけが不自然に多い
• 行動指標が極端：直帰率（GA4ではエンゲージメント率の低さ）が異常に高い、平均エンゲージメント時間がほぼ0秒など
• 関連性の低い国のドメイン：国内向けサイトなのに、海外（特にロシア語圏など）のドメインから大量流入している
• 言語が「(not set)」：ユーザーの言語情報が取得できず未設定になっているアクセスが多い
• 意味をなさないURL文字列：ランダムな英数字の羅列に見えるドメイン

ただし、一見まともに見えるURLのスパムや、日本のドメイン（.jp）から行われるケースも存在します。「海外ドメインだけを警戒すればよい」と決めつけないことが大切です。直帰率と離脱率の違いなど、行動指標の正しい読み方は離脱率とは？直帰率との違いや改善方法を細かく解説！で確認できます。

重要な注意：疑わしいURLを「確認のため」にブラウザで開くのは絶対に避けてください。判別がつかない場合は、後述する「対処で注意すべきこと」の手順に従いましょう。

【GA4対応】リファラースパムを除外する方法

👉 このパートをまとめると！
GA4ではデータフィルタとチャネル設定で集計から除外します。UAのビュー機能は使えません。

ここからは、見つけたリファラースパムをGA4のレポートに表示させない（集計から除外する）方法を解説します。

【最重要】UAの「ビュー設定」「すべてのフィルタ」は使えない

旧バージョンのUAでは、「管理＞ビュー設定＞ボットのフィルタリング」にチェックを入れる方法や、「管理＞すべてのフィルタ」でカスタムフィルタ（参照を指定して除外、言語設定の(not set)を除外など）を作る方法が定番でした。

しかし、UAは2023年7月1日に新規データの計測を停止し、2024年7月1日にはデータの閲覧・API経由のアクセスも完全に終了しました。現行のGA4には「ビュー」という概念自体がなく、上記のUA向け手順はそのまま再現できません。他サイトに残る「ビュー設定でボットフィルタリング」という解説を見つけても、GA4では操作できない点に注意してください。

なお、GA4には既知のボット・スパイダーからのトラフィックを自動的に除外する仕組みが標準で組み込まれており、UAのようにチェックボックスを手動でONにする必要はありません。GA4の基本的な構造や用語は【初心者向け】GA4とは？導入のメリットや基本的な使い方・見方を徹底解説で確認できます。

方法1：データフィルタ（内部トラフィック）の応用

GA4の「管理＞データの収集と修正＞データフィルタ」は、本来は社内アクセスなどの内部トラフィックをIPアドレス単位で除外する機能です。GA4のデータフィルタで設定できるのは「デベロッパートラフィック」「内部トラフィック」「ウェブホスト名のトラフィック」の3種類に限られ、参照元ドメインを条件に指定して除外することはできません。そのため、IPアドレスが特定できるスパム（同一IPから大量アクセスが来ているケース）に対しては有効ですが、参照元ドメイン単位でリファラースパムを除外したい場合は、後述の「方法2：探索レポート」を用います。

• GA4の「管理」（左下の歯車アイコン）を開く
• 「データの収集と修正」＞「データフィルタ」を選択する
• 「内部トラフィック」フィルタで、除外したいIPアドレスを条件に設定する
• フィルタの状態をまず「テスト」にして、意図しないアクセスまで除外していないか検証する
• 問題がなければ「有効」に切り替える

データフィルタは一度「有効」にすると過去データには遡及せず、それ以降のデータに適用されます。誤った除外を防ぐため、必ず「テスト」状態で挙動を確認してから有効化してください。

方法2：探索レポートやセグメントで除外して分析する

特定の参照元を恒久的に除外設定するのではなく、分析時にその都度フィルタリングしたい場合は、GA4の「探索」レポートが有効です。

探索レポートで「セッションの参照元/メディア」をディメンションに設定し、スパムドメインを「完全一致しない」条件のフィルタで除外すれば、クリーンな状態の数値を確認できます。レポートそのものを汚さずに正しい数値を把握したいときに役立つ方法です。GA4のフィルタ機能全般の考え方はGoogleアナリティクスのフィルタとは？3つの機能と設定方法を解説もあわせてご覧ください。

方法3：自分のアクセスもあわせて除外しておく

リファラースパム対策と同時に、社内や自分自身のアクセスも除外しておくとデータの精度がさらに高まります。具体的な手順はGoogleアナリティクスで自分のアクセスを除外する方法をわかりやすく解説！で解説しています。

必ず押さえておくべき前提：ここで紹介したGA4の設定はいずれも「集計データからの除外」であり、スパムによるアクセスそのものを止める機能ではありません。レポート上は見えなくなっても、サーバーへのアクセスは引き続き発生しています。サーバー負荷を根本から減らすには、次章のアクセス遮断が必要です。

アクセス自体を遮断する対策

👉 このパートをまとめると！
.htaccessやWAF、セキュリティプラグインで、サーバーへの到達自体を止めます。

GA4の除外設定が「データ上の対処」であるのに対し、ここで解説するのは「アクセスそのものを物理的に拒否する」サーバー側の対処です。アクセス量が膨大でサーバー負荷が気になる場合や、より根本的に遮断したい場合に有効です。

方法1：.htaccessで特定ドメイン・IPを拒否する

Apacheサーバーでは、サイトのルートディレクトリに置く.htaccessファイルで、特定の参照元やIPアドレスからのアクセスを拒否できます。以下は記述例です。

# 特定の参照元ドメインからのアクセスを拒否（例: example-spam.com）
RewriteEngine On
RewriteCond %{HTTP_REFERER} example-spam\.com [NC,OR]
RewriteCond %{HTTP_REFERER} another-spam\.net [NC]
RewriteRule .* - [F]

# 特定のIPアドレスからのアクセスを拒否
<RequireAll>
  Require all granted
  Require not ip 192.0.2.0
  Require not ip 198.51.100.0
</RequireAll>

[F]は「403 Forbidden（アクセス拒否）」を返す指定です。複数ドメインを並べる場合は[NC,OR]（大文字小文字を区別せず、かつ次の条件とOR結合）でつなぎ、最後の条件だけ[NC]とします。

注意：.htaccessは記述を1か所誤るだけで「500 Internal Server Error」が発生し、管理者自身を含む全員がサイトへアクセスできなくなる恐れがあります。編集前に必ずバックアップを取り、可能なら検証環境で動作確認してから本番に反映してください。

方法2：サーバー管理画面（コントロールパネル）で拒否する

.htaccessを直接編集するのが不安な場合は、レンタルサーバーの管理画面に用意された「アクセス制限」「IPアドレス拒否」機能を使う方法があります。エックスサーバーやさくらのレンタルサーバーなど主要サービスの多くに同等の機能があり、GUI上でIPやドメインを指定して拒否できるため、ファイル編集よりも安全に設定できます。

方法3：WAF（Web Application Firewall）を有効化する

WAFは、不正なアクセスや攻撃パターンを検知してブロックするセキュリティの仕組みです。多くのレンタルサーバーが標準機能または有料オプションとして提供しており、管理画面からON/OFFを切り替えるだけで、リファラースパムを含む不審なトラフィックの遮断に役立ちます。

方法4：WordPressのセキュリティプラグインを使う

WordPressでサイトを運用している場合は、SiteGuard WP PluginやWordfenceなどのセキュリティプラグインで、特定IPの遮断や不正アクセス対策を行えます。プラグインの設定画面から操作でき、サーバー設定に不慣れな方でも導入しやすいのが利点です。WordPressの基本的な設定はWordPressのSEO対策で初心者がやることリスト｜投稿・設定方法も解説もあわせてご確認ください。

いずれの方法も、設定を誤ると正規ユーザーまで遮断してしまう可能性があります。社内にサーバー・セキュリティの担当者がいる場合は相談のうえで進めましょう。

リファラースパムへの対処で注意すべきこと

👉 このパートをまとめると！
不審URLは絶対にクリックせず、誤って開いたら速やかに安全対応を取ります。

最後に、リファラースパムに対処するうえで必ず守ってほしい安全面の心得をまとめます。

不審なURLは絶対にクリックしない

繰り返しになりますが、リファラースパムの最大の目的は「Web担当者にURLをクリックさせること」です。したがって、最も重要な対策は疑わしいURLを開かないことに尽きます。

• 参照元レポートに並ぶ見慣れないドメインを、興味本位でブラウザに入力しない
• リンクが本物のように見えても、まずは正体不明として扱う
• ドメインの安全性を調べたい場合は、URLを直接開かずに、安全性チェック用のWebサービス（マルウェア有無やブラックリストとの照合を行うもの）を利用する

万が一クリックしてしまった場合の対応

うっかり不審なURLを開いてしまった場合は、慌てず次の対応を取りましょう。

• すぐにそのページを閉じ、何も入力・ダウンロードしない
• ID・パスワードやクレジットカード情報など、個人・企業情報を入力していないか確認する
• セキュリティ対策ソフトでウイルススキャンを実行する
• 社内にセキュリティ担当者がいる場合は速やかに状況を報告・相談する
• 業務アカウントの情報を入力してしまった疑いがあれば、該当パスワードを変更する

早期に気づいて適切に対応すれば、被害を最小限に抑えられます。「クリックしてしまった」こと自体を隠さず、すぐに報告・相談する体制を整えておくことが組織としての防御につながります。

よくある質問（FAQ）

👉 このパートをまとめると！
GA4移行後の疑問や、除外と遮断の違いをQ&Aで整理します。

Q1. UA時代の「ボットフィルタリング」はGA4でどう設定しますか？

GA4では手動設定は不要です。既知のボットやスパイダーからのトラフィックを自動的に除外する仕組みが標準で組み込まれているため、UAのようにチェックボックスをONにする操作はありません。それでも残るスパムは、データフィルタや探索レポートで個別に除外します。

Q2. GA4の除外設定をすればサーバー負荷も減りますか？

減りません。GA4の除外はあくまで集計データ上の処理であり、サーバーへのアクセス自体は発生し続けます。サーバー負荷を減らすには、.htaccessやWAF、セキュリティプラグインによるアクセス遮断が必要です。

Q3. リファラースパムは完全に防げますか？

完全な根絶は困難です。新たな手口が次々に登場するためですが、本記事で紹介したGA4での除外とサーバー側の遮断を組み合わせれば、解析への影響もセキュリティリスクも十分に抑えられます。定期的にレポートを確認し、こまめに対処していくことが現実的な対策です。

Q4. 日本語のドメインなら安全と考えてよいですか？

いいえ。リファラースパムは海外ドメインから行われるケースが多いものの、日本のドメイン（.jp）から行われる例も存在します。ドメインの国だけで判断せず、アクセス数や行動指標の異常さもあわせて総合的に見極めてください。

まとめ

👉 このパートをまとめると！
GA4での確認・除外とサーバー遮断を組み合わせ、不審URLは開かないのが鉄則です。

リファラースパムは、参照元を確認するWeb担当者の心理を突いて悪質サイトへ誘導しようとする迷惑行為です。放置すれば、アクセス解析の精度低下・サーバー負荷による表示速度低下・悪質サイトへの誘導という3つのリスクを招きます。

対策は、UA廃止後の現在に合わせてアップデートする必要があります。本記事のポイントを整理すると次の通りです。

• かつての定番だったUAの「ビュー設定」「すべてのフィルタ」は2024年7月で完全終了し使用不可
• GA4では、参照元レポートで疑わしいアクセスを見分け、データフィルタや探索レポートで集計から除外する
• GA4の除外は「データ上の処理」であり、アクセス自体は止まらない。サーバー負荷を減らすには.htaccess・WAF・セキュリティプラグインによる遮断が必要
• 何よりも、不審なURLは絶対にクリックしない。誤って開いたら速やかに安全対応を取る

正確なデータでサイト改善を進めるためにも、自社サイトの参照元レポートを一度確認し、必要な除外・遮断を整えておきましょう。