なぜ危ないのか
HTMLに埋め込まれたダウンロードリンクがマルウェア配布サーバーを指していた場合、受け取り手がリンクをクリックした瞬間に悪意あるファイルがダウンロードされます。ブラウザの自動実行設定がONになっていると、ダウンロード後すぐに実行されてランサムウェアや情報窃取型マルウェアが起動する可能性があります。B2BのビジネスシーンでHTMLを経由してマルウェアが拡散した場合、送付元の企業が損害賠償を求められるケースもあります。
AIはファイルダウンロードのサンプル実装として、学習データに含まれていた任意のURLをhref属性に入れることがあります。その結果、廃止されたドメインやサイバースクワッタが取得した中古ドメインを指すリンクが生成物に含まれることがあります。こうしたドメインは現在フィッシングや広告詐欺のランディングページとして使われている場合があり、クリックするだけでリスクが発生します。
- 相手がログインなしで開ける状態か確認する
- PCとスマホで最低1回ずつ表示を確認する
- 内部情報・個人情報・不要な外部送信が残っていないか見る
- レビュー期限と修正時の差し替え方を決めておく
ソースで見る場所
HTMLのdownload属性付きリンク以外に、JavaScriptの`window.open()`や`location.href`でファイルURLを直接指定しているコードも確認が必要です。ボタンのクリックイベントで外部URLにリダイレクトするスクリプトは、ソースを見ただけでは目的が分かりにくいため、特に注意して確認してください。
CSSのcontent属性や疑似要素でURLが指定されているケースは見落とされやすいです。`content: url('http://...')` という記述はCSSファイル内に埋め込まれることがあり、通常のHTMLソース確認では気づきにくいです。`grep -n 'url(' *.css` を実行してCSSファイルも対象に含めてください。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
安全に共有する設定
問題のあるリンクを発見したら、まず社外共有URLを即座に無効化します。認証付き共有サービスを使っていれば管理画面でURLの有効期限を過去に設定するか、ファイルを削除すれば即時アクセス不能にできます。次に、共有済みの相手全員にメールで「誤ったURLが含まれていました。リンクはクリックしないでください。修正版を再送します」と連絡してください。
修正版ではダウンロードリンクのhref属性を自社管理のURLまたは信頼できるファイルホスティングサービス（Google Drive・Dropbox・OneDrive等）の共有リンクに差し替えます。社外共有用のファイルは署名付きURLや期限付きリンクを活用すると、必要期間が過ぎた後のアクセスを自動で無効化できます。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
再発防止ルール
AIへのプロンプト設計として、ダウンロードボタンを含むHTMLを依頼する際は「ファイルURLのプレースホルダーとして`href='#TODO-DOWNLOAD-URL'`を使い、開発者に差し替えを促すコメントを付けること」と明示します。このプレースホルダー規則をチームで共有すれば、URLの差し替え忘れを防ぐ仕組みになります。
リリース前チェックリストに「download属性を持つリンクが1件以上ある場合、全件のhref値と参照先ドメインを確認」という項目を設けます。ドメインリストをスプレッドシートで管理し、承認済みドメイン以外が含まれていたら差し替えを必須とするフローを組むと、属人的な判断を排除できます。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
よくある質問
クライアントが既にリンクをクリックしてしまったと報告してきた場合、何をすべきですか？
まずクライアントに「ブラウザを閉じ、ダウンロードしたファイルを開かないよう」伝えます。次にダウンロードされたファイルをウイルスバスターやMalwarebytesで検査するよう案内し、疑わしい場合は社内IT部門への報告を依頼してください。
Google DriveやDropboxのリンクは安全に使えますか？
信頼できるサービスですが、リンクの公開設定（全員に公開 vs リンクを知っている人のみ）に注意が必要です。受け取り手以外に公開されないよう、期限付きリンクまたは閲覧者を限定した共有設定を使ってください。
VirusTotalでURLを確認したら安全と判定されました。それで十分ですか？
VirusTotalはゼロデイの脅威や登録直後の新規ドメインを検出できないことがあります。WHOIS確認・ドメイン登録日・Googleセーフブラウジング判定を組み合わせた多面的な確認を推奨します。