「Google アナリティクス 4 プロパティ（GA4）のアクセス数は急増しているのに、なぜかコンバージョンが増えない」
「日本向けサービスなのに、特定の国から通常ではありえないアクセス数が計測されている」
「お問合せフォームを開くと、英語の怪しいスパムメッセージばかりが届いている」
このような悩みを抱えるマーケターやサイト運営者は、今や少なくありません。
実は、現在のインターネット環境は、データ測定の前提を揺るがすほどの構造変化を迎えています。本コラムでは、GA4のデータ精度を守り、Webサイトの安全性を担保するための「マーケターと情報システム部門が連携した多層防御戦略」について詳しく解説します。
（Generated by Gemini：以後の画像も含む）
最新のグローバル調査によると、全ウェブトラフィックの51%が自動化されたプログラム、すなわち「ボット」によるアクセス（※1）であり、人間によるアクセス（49%）を初めて逆転しました。さらに、サイバー攻撃や不正なデータ抽出（スクレイピング）を目的とした「悪意のあるボット（バッドボット）」の割合は37%に達しており、増加の一途をたどっています。
この急増を後押ししているのが、生成AIの急速な普及です。AIモデルの学習データを収集するクローラーなどの巡回により、ネット上の「一般的な無効トラフィック（GIVT）」は事実上の倍増（前年同期比86%増）を記録しています。
こうしたボットアクセスを放置すると、以下のような深刻なデメリットが生じます。
| データの信頼性低下 | 平均滞在時間が極端に短くなったり、直帰率が異常に高くなったり、特定地域からの異常アクセスが発生することでCVRが低下したりなど、意思決定のベースとなるGA4データの信頼性が著しく損なわれます。 |
| 広告成果（CPA）の悪化 | データ汚染が進むと、広告プラットフォーム（Google 広告など）の機械学習アルゴリズム（自動入札など）が「ボットによる誤ったコンバージョンデータ」を学習してしまい、配信ターゲットを誤って広告効果の悪化を招きます。 |
| 顧客データベース（CRM/MA）の汚染 | ボットによるお問い合わせフォームへのスパム自動送信を放置すると、偽のリード情報がCRM（顧客管理システム）やMA（マーケティングオートメーション）ツールに大量に流れ込み、顧客データベースが汚染されます。 |
もはや「アクセス解析データは、100%本物の人間が作ったものである」という前提は成り立ちません。マーケターは自らデータを浄化するゲートキーパーとなる必要があります。
(※1) imperva：2025 Imperva Bad Bot Report: How AI is Supercharging the Bot Threat
効果的な対策を立てるためには、ボットがどのような経路で自社サイトやGA4に干渉してくるのか、その手口を正しく理解しておく必要があります。ボットの侵入経路は、大きく分けて以下の2つのタイプに分類されます。
実際のウェブサイトにプログラム（ヘッドレスブラウザなど）を使って直接アクセスし、ページを読み込むボットです。
特徴：人間のブラウザ環境（Chromeなど）を巧妙に模倣し、JavaScriptを実行してページをレンダリングします。
影響：サイト上でGTM（Google タグマネージャー）の計測タグを通常通り発火させてしまうため、GA4に「人間と同じ1アクセス」として記録されます。
対策：サイトの入り口にあたる「WAF（Web Application Firewall）」や「サーバー側」でのブロックが基本方針となります。
ウェブサイトの画面には一切アクセスせず、Measurement Protocolを利用したり、GA4のデータ送信先（エンドポイント）へ、外部から直接偽のイベントデータを送りつける手法です。
特徴：サイトのソースコードに公開されているGA4の「測定ID（G-XXXXXXX）」を機械的に盗み出し、直接Googleのデータサーバーにリクエスト（ペイロード）を流し込みます。
影響：サイト自体にはアクセスされていないため、サーバーのセキュリティやフォームに頑丈な鍵をかけても完全にスルーされ、GA4のレポートに「偽のセッションやコンバージョン」だけが記録されます。
対策：GA4の「データフィルタ」設定や、測定IDを隠蔽する技術が有効になります。
「そもそも、Google側でボットを自動的に排除する仕組みはないのか？」というお声を、多くの現場からいただきます。
結論を述べれば、GA4にはレポートにデータが反映される前の処理段階で、不正なアクセスを検知・除外するフィルタリング機能が標準実装されています。これは全てのプロパティで常時有効化されており、ユーザー側でのオフ操作はできません。
Googleは主に以下の「2つの関所」によって、流入するデータの純度を保とうとしています。
GA4は、デジタル広告の国際組織「IAB Tech Lab」が管理する「International Spiders and Bots List」を参照しています。
仕組み：既知のクローラーやボットのリストに基づき、該当するアクセスを自動的に識別します。リストに登録された「公認の自動アクセス」は、レポート集計から事前に除外されます。
リストに載っていないボットに対しても、Googleは動的なアプローチを試みています。
仕組み：具体的な仕組み自体は開示されておりませんが、継続的に排除を行っています。
強力な「関所」があるにもかかわらず、なぜ異常なスパムデータが混入してしまうのでしょうか？そこにはプラットフォーム側だけでは対処しきれない3つの限界が存在します。
IABリストの更新には一定のサイクルがあるため、突発的に発生した未知のスパムや新種のボットは、「リスト化されるまでの空白期間」は防衛網を通り抜けてデータに記録されてしまいます。これは受動的な防衛策ゆえの宿命と言えます。
最新の調査では、検知回避技術を駆使するボットに対し、Googleの標準フィルタでも約18%のすり抜けを許している実態が明らかになっています（※2）。一般ユーザーのIPを悪用し、人間と区別がつかない挙動をシミュレートするボットを完全に判別するのは、現在のAIでも困難です。
第2章で解説した「直接送信型」は、サイトを訪問せずにデータを送りつけるため、Googleの行動検知システムの対象外となります。正常な通信フォーマットを模倣してサーバーに直接リクエストを投げるため、標準的な振る舞い検知だけでは防げないのです。
Googleが提供する自動フィルタは、あくまで最低限の「ベースラインとしての防衛」に過ぎません。低レベルなノイズを間引くには有効ですが、ビジネス上の意思決定を左右する高度な汚染を防ぐには不十分です。
データの精度を死守するためには、以降で紹介するWAFによるエッジ層での遮断や、sGTM等を用いた能動的なフィルタリングといった、自社専用の防衛ラインを構築することが不可欠となるのです。
(※2) Specificity：How to Identify Bot Traffic in Google Analytics: The 2026 Precision Audit
クローラー型ボットの急増要因である「AI用クローラー」に対しては、単純に「すべてをブロックする」ことが必ずしも正解ではないという、マーケター特有のジレンマが存在します。
AIクローラーは、従来の検索エンジン（Googlebotなど）と比べて、自社サイトへの見返り（リファラルトラフィックの還元）が極端に少ないという特徴を持っています。
| クローラー名 | 特徴・送客効率の傾向（※3） |
| Googlebot（従来型） | 約5回のクロールに対して1回のユーザー送客が発生。比較的健全なバランス。 |
| ClaudeBot（Anthropic社） | 1回の送客のために数万回規模の巡回を行うことがあり、サーバー負荷が大きい。 |
| GPTBot / ChatGPT-User（OpenAI社） | 近年アクセス（リクエスト数）が数倍〜数十倍規模で急増しており、自社サイトへの送客に対してクロール頻度が過剰に高くなりやすいため、サーバー負荷の要因として注意が必要です。 |
| PerplexityBot | AI検索エンジンのため、ソースリンク提示を重視するものの、送客比率は従来型より低い。 |
(※3) CLOUDFLARE：From Googlebot to GPTBot: who’s crawling your site in 2025
主要なAIクローラーを無制限に許可し続けると、サーバーの帯域幅コストが膨れ上がる「サーバー負荷リスク」が発生します。
しかし、すべてのAIクローラーを拒絶してしまうと、ChatGPTのウェブ検索やPerplexity、GoogleのAIによる検索体験（SGE/AI Overviews）といった「AI検索の回答ソース」から自社サイトが完全に除外されてしまいます。
AI検索経由の見込み客は課題解決の意欲が極めて高く、通常のユーザーよりもコンバージョン率が高い傾向にあるため、一律ブロックは未来の優良顧客との接点を自ら遮断することを意味します。
したがって、マーケターが取るべき戦略は、有益度に応じた「切り分け」です。
許可：ユーザーに直接回答と自社リンクを提示する「AI検索/回答エンジン（PerplexityBot、ChatGPT-Userなど）」は許可し、未来の流入チャネルを確保します。
遮断： 自社サイトにトラフィックを全く還元せず、オープンデータセットの構築だけを目的にデータを吸い上げるクローラー（CCBotやBytespiderなど）は、WAFやサーバーの設定で厳格にブロックします。
制限（レートリミット）：広範な学習用クローラーに対しては、アクセス頻度を低く抑えるよう制限をかけ、サーバー負荷を抑制します。
ボットが自社サイトの仕組み（GTMやGA4）に触れる前のネットワーク段階でトラフィックを浄化するのが、マーケターと情報システム部門（情シス）が連携して構築すべき「第一・第二防衛線」です。
サイトの手前（エッジ層）でボットを自動検知してふるい落とす、最も効率的かつ安全なファーストラインです。単純なIPアドレスのブロックではなく、デバイス仕様（ブラウザフィンガープリント）や行動パターンの整合性をリアルタイムで解析します。アクセスごとに「人間である確率（ボットスコア）」を算出し、怪しい通信を自動的に遮断、またはチャレンジを実行します。
日本国内のエンタープライズ環境においても、ボット対策に特化した以下の主要なWAFソリューションの導入が推奨されます。
F5 Networks（BIG-IP Advanced WAF / Distributed Cloud Bot Defense）:
AIや機械学習を活用し、マウスの動きやキーストロークといった人間の振る舞いを解析することで、人間を装う高度な悪性ボットを高精度に検知します。金融機関など、厳格なセキュリティ要件が求められる環境で強力な支持を集めています。
Akamai（Akamai Bot Manager）:
世界最大規模のエッジネットワークと脅威インテリジェンスを活用し、アクセスの振る舞いをリアルタイムで分析・スコアリングします。大規模トラフィックを安定して処理しつつ、正常なユーザーを巻き込んでしまう「誤検知」を極小化する運用に長けています。
Cloudflare（Cloudflare Bot Management）:
世界中の膨大なWebトラフィックから学習した機械学習モデルを利用し、未知のボット攻撃も瞬時に特定します。画像パズル（CAPTCHA）の代替となる、ユーザーに負担をかけない「Turnstile」を標準で備えるなど、UX（ユーザー体験）を損なわない防御アーキテクチャが強みです。
WAFを迂回してオリジンサーバーに直接アクセスしてくるクローラーや、検知の隙間をすり抜けてくるボットから、システム資源とデータ品質を保護するセカンドラインです。情シス部門が中心となり、Webサーバーの設定（nginx.conf や .htaccess など）で直接制御を行います。
【具体策】: Nginxのマップ機能などを活用し、Bytespider（TikTok系）や CCBot（Common Crawl）、ClaudeBot などの特定の文字列がUAに含まれるアクセスを正規表現でマッチングさせ、一括で「403 Forbidden」を返す設定が一般的です。
【具体策】: Accept-Language や User-Agent が空欄のリクエストや、一般的なブラウザとは異なる不審なリクエストメソッドを機械的なアクセスとみなし、サーバー側で処理を拒否します。
※ 本章で解説するWAFおよびWebサーバー側での各種防御設定は、インフラストラクチャおよびセキュリティの専門的な領域となります。実際の導入や設定変更にあたっては、必ず貴社の情報システム部門やインフラ・セキュリティの専門家にご相談のうえ、自社環境に応じた適切な検証を実施してください。
ボットが自社サイトの仕組み（GA4やその他マーケティングツール）に触れる前のネットワーク段階でトラフィックを浄化するのが、マーケターと情報システム部門が連携して構築すべき「第一・第二防衛線」です。
前章までのインフラ防衛網（WAF）をすり抜けてしまう高度なボットや、ウェブサイトを一切経由せずにデータを直接送りつけてくるスパムに対しては、マーケティング基盤側（アプリケーション層）での根本対策が不可欠です。本章では、最新のスパムの手口と、データをクリーンに保つための次世代アーキテクチャを解説します。
ボットの中には、ウェブサイトのソースコードに書かれている「測定ID（G-XXXX）」を取得し、Googleのデータ収集サーバーへ直接、偽のアクセス履歴を送りつけるものが存在します。
対策（sGTMによる隠蔽）: サイト上には「ダミーの測定ID」を置いておき、データの送信先を自社専用のサーバー（sGTM）に変更します。sGTMの安全な内部でのみ、ダミーを「本物の測定ID」に書き換えてGA4へ送る仕組みを構築します。
効果: 攻撃者がダミーID宛てにどれだけ偽データを送っても、ゴミ箱用のGA4プロパティに溜まるだけとなり、本物の分析データは保護されます。
しかし、上記の手法や前段のWAF（ファイアウォール）だけでは、高度化するボット攻撃を完全に防ぐことはできません。以下の2つの死角が存在します。
sGTMへの直接攻撃：攻撃者がサイトの裏側を解析し、「自社専用のsGTMサーバーのURL」と「ダミーID」の両方を見つけ出した場合、この対策は無意味になります。sGTMに対して直接偽データを送ると、システムは指示通りにダミーを本物へ書き換えて転送してしまうためです。
WAFをすり抜けるボット：一般の家庭用回線（レジデンシャルIP）を利用し、人間のブラウザ操作を巧妙に偽装するボットは、WAFでは「正常なユーザー」として扱われます。また、監視網の制限に引っかからないよう、ゆっくりと少量データを直接送信する攻撃も存在します。これらのボットは正規の通信ルートを通るため、ダミーIDの仕組みもすり抜けてしまいます。
WAFをすり抜けてsGTMに到達した高度なボットを排除するためには、「本当に自社のウェブサイト上で正規の操作を行ったユーザーからの通信なのか」をシステム間で厳格に照合する仕組みが必要です。
具体的には、ウェブサイト側で「動的な通行証（トークン）」を発行し、データを受け取るsGTM側でその有効性を検証します。自社のセキュリティ要件やインフラ予算に合わせて、以下のような実装アプローチが検討可能です。
アプローチ①：時間制限付きチケット（動的トークン生成） ウェブサイトにアクセスした瞬間に、数分間のみ有効な暗号化された通行証を裏側で発行する方式です。ボットが後から偽データを送ろうとしても、通行証が「期限切れ」となっているためsGTMで破棄されます。比較的低コストで導入でき、実害のあるスパムを効率的に弾くことができます。
アプローチ②：クラウドDBを活用した「完全使い捨て」認証（ワンタイムキー） Google Cloudの高速データベース（Firestoreなど）とsGTMを連携させ、1度でも使用された通行証のIDを記録して即座に無効化する方式です。ボットが正規の通信を傍受し、同じ通行証を何度も使い回して大量の偽データを送りつける「リプレイ攻撃」を100%確実に遮断する、極めて強固な構成です。
外部データベースやオフライン上の成果地点をGA4へ統合する際、従来のメジャメントプロトコル（MP）と固定の「APIシークレット」を用いた連携手法は、攻撃者にとって格好の標的となります。
静的キー運用の脆弱性：実装ミスや管理不備によって認証用のAPIシークレットが外部へ露呈すると、第三者が偽のコンバージョンデータを自在に流し込める状態に陥ります。こうした事態を招くたびに、キーの無効化や再発行といった煩雑なローテーション対応を余儀なくされます。
ボットによるお問合せフォームへのスパム自動送信は、営業やサポート窓口の業務効率を著しく低下させるだけでなく、顧客データベース（CRMやMAツール）を汚染する深刻な実害を伴います。ユーザーの快適な体験（UX）を損なわずにスパムを水際で撃退するには、「reCAPTCHA」の適切な選定と導入が不可欠です。
現在のフォーム防御において推奨されるのは、ユーザーに煩わしいパズルを一切要求しない次世代のソリューションです。
reCAPTCHA v3：ユーザーのサイト内での行動をバックグラウンドで解析し、アクセスごとに「スコア（人間らしさの確率）」を自動算出します。ユーザーは何も意識することなく、システム側でボットを判定してサイレントに遮断できるため、CVRを全く損ないません。
reCAPTCHA Enterprise（Google Cloud連携）：さらに高度なデータ基盤を守るためには、Google Cloud上で提供される「reCAPTCHA Enterprise」が強力な選択肢となります。より詳細なリスクスコアの分析や、自社の環境に合わせた機械学習モデルのチューニングが可能です。弊社が構築支援を行うCDP（顧客データ基盤）においても、このEnterprise版をデータパイプラインの最前線（入り口）に組み込むことで、一切のゴミデータを許容しない強固な水際対策が実現します。
ボット対策は、「一度ツールを設定して完了」となるような静的な壁ではありません。ボット開発者とセキュリティ側の「いたちごっこ」が続く現代において、マーケティングデータの信頼性を維持するためには、ログから継続的に変化を読み解き、自社のインフラ構成やコストに応じて設定を最適化し続ける「動的なセキュリティプロセス」としての運用が求められます。
ここまでの章で見てきた通り、高度化するボットやスパムに対して、もはや「GA4の管理画面でのIP・ホスト名除外」や「GTMのトリガー調整」といった表面的な対症療法だけでは、データ品質を守り抜くことは不可能です。
信頼できる分析環境とマーケティング成果を守るために、まずは明日から以下のステップで自社のデータ基盤を見直してみましょう。
株式会社イー・エージェンシーは、Google アナリティクス 360（GA360）の販売をはじめ、GA・GTM・Firebaseの正確なデータ収集基盤構築、分析ダッシュボードの作成・改善支援までをトータルでご提供しています。
「GA4データにスパムが混入して正確な分析ができない」「より高度なデータ統合基盤を構築したい」という課題に対し、弊社は以下のソリューションでデータの真価を引き出します。
小手先の対策から脱却し、ビジネスの成長を支える「真にクリーンで正確なデータ基盤」を構築したい企業様は、ぜひ弊社へお気軽にご相談ください。
イー・エージェンシーは、「Google マーケティング プラットフォーム（GMP）」の認定セールスパートナー、「Google クラウド プラットフォーム（GCP）」の認定パートナーです。
また弊社はGoogleより2021年上半期における Google アナリティクス 4 プロパティ（GA4）の数多くの導入支援実績を評価され、認定セールスパートナーとしてアワードを受賞しております。
これまでの豊富な実績を元に、GA4導入・移行をお客様のビジネスに寄り添い支援させていただきます。
まずはお気軽にご相談ください。
お客様のデータ活用を伴走型で支援いたします。