Google เตือน “เว็บไซต์นี้อาจเป็นอันตราย” ทำอย่างไรดี? รู้จัก Drive-by Download

คำเตือน “เว็บไซต์นี้อาจเป็นอันตราย” คือสัญญาณที่ Google แสดงต่อผู้ใช้เมื่อระบบ Google Safe Browsing ประเมินว่าหน้าเว็บนั้นอาจแจกจ่ายมัลแวร์ หลอกให้กรอกข้อมูล หรือถูกแฮก คำเตือนปรากฏได้สองตำแหน่ง คือป้ายใต้ผลการค้นหา และหน้าเตือนสีแดงเต็มจอในเบราว์เซอร์ก่อนเข้าเว็บ ตามที่ Google Search Console Help อธิบายว่าหน้าหรือเว็บที่มีปัญหาด้านความปลอดภัย “อาจแสดงพร้อมป้ายเตือนในผลการค้นหา หรือหน้าเตือนคั่นในเบราว์เซอร์”

สาเหตุที่พบบ่อยที่สุดของคำเตือนประเภทมัลแวร์คือ Drive-by Download ซึ่งเป็นโค้ดที่ถูกฝังในเว็บที่ถูกเจาะ แล้วพยายามส่งซอฟต์แวร์อันตรายไปยังเครื่องผู้เข้าชมโดยที่ผู้ใช้ไม่ได้ตั้งใจดาวน์โหลด บทความนี้อธิบายความหมายของคำเตือนแต่ละแบบ กลไกของ Drive-by Download วิธีตรวจสถานะเว็บ และระยะเวลาที่ Google ระบุไว้สำหรับการถอดคำเตือน โดยเป็นส่วนหนึ่งของชุดบทความ มัลแวร์เว็บไซต์คืออะไร มีกี่แบบ

หน้าเตือนสีแดงของ Google คืออะไร

Google Safe Browsing เป็นบริการที่เก็บรายชื่อเว็บไซต์และไฟล์ที่ประเมินว่าเป็นอันตราย แล้วส่งข้อมูลนี้ให้เบราว์เซอร์และบริการต่างๆ ใช้เตือนผู้ใช้ หน้าเว็บของบริการระบุว่า Safe Browsing “ช่วยปกป้องอุปกรณ์มากกว่าห้าพันล้านเครื่องทุกวัน” และเริ่มต้นในปี 2005 เพื่อรับมือ Phishing ก่อนขยายไปครอบคลุมมัลแวร์ในปี 2006 และซอฟต์แวร์ไม่พึงประสงค์ในปี 2014 (Google Safe Browsing, ข้อมูล ณ ตุลาคม 2026) เมื่อเว็บของคุณถูกจัดอยู่ในรายชื่อนี้ ผู้ใช้จำนวนมากจะเห็นคำเตือนก่อนเห็นเนื้อหาของคุณ

คำเตือนที่ผู้ใช้เห็นในผลการค้นหา

หน้าช่วยเหลือภาษาไทยของ Google Search ระบุข้อความเตือนในผลการค้นหาไว้ 2 แบบ ได้แก่

• “เว็บไซต์นี้อาจเป็นอันตรายต่อคอมพิวเตอร์ของคุณ” แสดงใต้ URL เมื่อ Google คิดว่าเว็บไซต์ “อาจอนุญาตให้โปรแกรมต่างๆ ติดตั้งซอฟต์แวร์ที่เป็นอันตรายในคอมพิวเตอร์ของคุณ” (Google Search Help)
• “เว็บไซต์นี้อาจถูกแฮ็ก” แสดงเมื่อ Google เชื่อว่าแฮกเกอร์อาจเปลี่ยนแปลงหน้าที่มีอยู่ หรือเพิ่มหน้าสแปมใหม่ และผู้เข้าชม “อาจมีการเปลี่ยนเส้นทาง” ไปยังสแปมหรือมัลแวร์ (Google Search Help)

ทั้งสองหน้าระบุตรงกันว่าข้อความจะไม่ถูกนำออกจนกว่าเจ้าของเว็บไซต์จะดำเนินการแก้ไข และ Google ตรวจแล้วว่าเว็บได้รับการแก้ไขแล้ว

คำเตือนที่ผู้ใช้เห็นในเบราว์เซอร์

ใน Google Chrome การตรวจหาฟิชชิงและมัลแวร์เปิดไว้เป็นค่าเริ่มต้น เมื่อผู้ใช้เข้าเว็บที่เป็นฟิชชิง มัลแวร์ ซอฟต์แวร์ไม่พึงประสงค์ หรือวิศวกรรมสังคม Chrome อาจแสดงคำเตือนสีแดงที่หน้าช่วยเหลือภาษาไทยเรียกว่า “เว็บไซต์อันตราย” (ภาษาอังกฤษ “Dangerous site”) และแนะนำว่าอย่าเข้าชมเว็บไซต์ดังกล่าว (Google Chrome Help) สำหรับเว็บที่มีเนื้อหาหลอกลวงแบบวิศวกรรมสังคม เอกสารของ Google Search Central ระบุว่า Chrome อาจแสดงคำเตือน “Deceptive site ahead” (Google Search Central) ข้อความภาษาไทยบนหน้าจอจริงขึ้นกับเวอร์ชันของเบราว์เซอร์และภาษาที่ตั้งไว้

คำเตือนแต่ละแบบสัมพันธ์กับประเภทปัญหาในรายงาน Security issues ของ Search Console ดังนี้ (สรุปจาก Search Console Help และ Google Search Central)

Drive-by Download คืออะไร

Drive-by Download คือการที่ซอฟต์แวร์อันตรายถูกส่งไปยังเครื่องของผู้ใช้เพียงเพราะผู้ใช้เปิดหน้าเว็บ โดยไม่ต้องกดดาวน์โหลดหรือยืนยันอะไร Kaspersky IT Encyclopedia อธิบายว่าอาชญากรหาเว็บที่ไม่ปลอดภัย แล้วฝังสคริปต์อันตรายลงในโค้ด HTML หรือ PHP ของหน้าใดหน้าหนึ่ง สคริปต์นั้นอาจติดตั้งมัลแวร์ลงเครื่องผู้เข้าชมโดยตรง หรืออยู่ในรูป IFRAME ที่พาผู้ใช้ไปยังเว็บที่อาชญากรควบคุม และเรียกว่า drive-by เพราะผู้ใช้ “ไม่ต้องทำอะไรนอกจากเข้าชมเว็บไซต์ที่ถูกเจาะ” ถ้าเครื่องมีช่องโหว่ เช่น ยังไม่ได้ติดตั้งอัปเดตความปลอดภัย (Kaspersky IT Encyclopedia)

ฐานความรู้ MITRE ATT&CK จัดเทคนิคนี้ไว้ในชื่อ Drive-by Compromise (T1189) หมายถึงผู้โจมตีเข้าถึงระบบผ่าน “ผู้ใช้ที่เข้าเว็บไซต์ตามการท่องเว็บปกติ” และระบุช่องทางส่งโค้ดไว้หลายแบบ ได้แก่ เว็บที่ชอบธรรมถูกเจาะแล้วฝังโค้ด ไฟล์สคริปต์ที่เว็บดึงมาจาก cloud storage ที่ใครก็เขียนได้ถูกแก้ไข โฆษณาอันตรายที่ซื้อผ่านเครือข่ายโฆษณาจริง (Malvertising) และช่องทางที่เปิดให้ผู้ใช้ใส่เนื้อหาเองซึ่งถูกใช้แทรกสคริปต์หรือ iFrame (MITRE ATT&CK)

ลำดับการทำงานโดยทั่วไปตามที่ MITRE อธิบายคือ

1. ผู้ใช้เปิดหน้าเว็บที่มีเนื้อหาที่ผู้โจมตีควบคุม
2. สคริปต์ทำงานอัตโนมัติ โดยมักตรวจเวอร์ชันของเบราว์เซอร์และปลั๊กอินเพื่อหาเวอร์ชันที่มีช่องโหว่
3. เมื่อพบเวอร์ชันที่มีช่องโหว่ โค้ดเจาะระบบ (exploit) จะถูกส่งไปยังเบราว์เซอร์

สำหรับเจ้าของเว็บ ประเด็นสำคัญคือเว็บของคุณไม่ได้เป็นผู้สร้างมัลแวร์ แต่ถูกใช้เป็น “ทางผ่าน” ส่วนที่ถูกฝังมักเป็น JavaScript หรือ iFrame ที่ซ่อนอยู่ในไฟล์ Theme, Plugin หรือฐานข้อมูล ซึ่งอธิบายรายละเอียดรูปแบบโค้ดไว้ใน Malicious JavaScript และ iFrame Injection และหลายกรณีโค้ดชุดเดียวกันยังทำให้ เว็บเด้งไปเว็บอื่น ด้วย

ผลกระทบเมื่อเว็บถูกขึ้นคำเตือน

คำเตือนของ Google ออกแบบมาเพื่อให้ผู้ใช้ไม่เข้าเว็บ หน้าช่วยเหลือของ Google Search ระบุว่า “เราขอแนะนำว่าอย่าเข้าชมเว็บไซต์ดังกล่าว” จนกว่าข้อความจะหายไป และ Chrome ก็แนะนำแบบเดียวกันเมื่อแสดงหน้าเตือนสีแดง (Google Search Help, Google Chrome Help) ผลที่ตามมาสำหรับธุรกิจจึงมีหลายด้าน

• ทราฟฟิกลดลง ทั้งจากผลค้นหาและจากลิงก์ที่แชร์ในโซเชียลหรืออีเมล เพราะเบราว์เซอร์ขึ้นหน้าเตือนก่อนโหลดเว็บ
• ความน่าเชื่อถือ ลูกค้าที่เห็นหน้าสีแดงมักไม่กล้ากลับมาแม้คำเตือนจะหายแล้ว โดยเฉพาะเว็บที่รับคำสั่งซื้อหรือข้อมูลส่วนตัว
• แคมเปญโฆษณาและอีเมล ลิงก์ที่จ่ายเงินโปรโมตจะพาผู้ใช้ไปเจอหน้าเตือนแทนหน้าเว็บ
• ผู้เข้าชมได้รับความเสียหาย หาก Drive-by Download ทำงานสำเร็จ อุปกรณ์ของลูกค้าอาจติดมัลแวร์ ซึ่ง Google ระบุว่ามัลแวร์อาจขโมยรหัสผ่านและหมายเลขบัตรเครดิต ทำให้คอมพิวเตอร์ช้าลง หรือเปลี่ยนผลการค้นหา (Google Search Help)

จากเคสที่เราแก้ ปัญหาที่ตามมาบ่อยคือเจ้าของเว็บเปิดเว็บเองแล้วไม่เห็นอะไรผิดปกติ เพราะโค้ดอันตรายหลายแบบเลือกแสดงเฉพาะบางกลุ่มผู้ใช้ ทำให้ปล่อยคำเตือนค้างไว้นานโดยไม่รู้ตัว

วิธีเช็คสถานะเว็บด้วย Google Safe Browsing และ Search Console

1. Safe Browsing Site Status (ไม่ต้องล็อกอิน)

Google มีเครื่องมือ Safe Browsing site status ใน Google Transparency Report ให้พิมพ์โดเมนเพื่อตรวจว่า “ปัจจุบันเว็บมีเนื้อหาที่ Safe Browsing ประเมินว่าเป็นอันตรายหรือไม่” (Google Safe Browsing) เหมาะสำหรับตรวจเร็วๆ หรือตรวจเว็บที่คุณยังไม่ได้ยืนยันความเป็นเจ้าของ แต่ไม่บอกรายละเอียดว่าปัญหาอยู่ที่ URL ใด

2. รายงาน Security issues ใน Search Console (ละเอียดที่สุด)

หน้าช่วยเหลือภาษาไทยของ Google แนะนำขั้นตอนเดียวกันสำหรับเจ้าของเว็บ คือ ลงทะเบียนและยืนยันเว็บไซต์ใน Search Console แล้วตรวจส่วน “ปัญหาด้านความปลอดภัย” เพื่อดูรายละเอียดของ URL ตัวอย่างที่อาจถูกแฮ็ก จากนั้นแก้ช่องโหว่ที่ทำให้เว็บติด มิฉะนั้น “มีแนวโน้มที่จะติดซ้ำ” (Google Search Help) รายงานจะระบุประเภทปัญหาตามตารางด้านบน พร้อมตัวอย่าง URL ที่ได้รับผลกระทบ

สำหรับประเภท Malware เอกสารของ Google แนะนำให้เปิด URL ตัวอย่างใน Chrome เพื่อยืนยันอาการ ซึ่ง “น่าจะเห็นคำเตือน Dangerous ในแถบนำทางของเบราว์เซอร์” และระบุว่าการแก้ปัญหามัลแวร์ต้องอาศัยความสามารถในการอ่านโค้ด และอาจรวมถึงการตั้งค่าเว็บเซิร์ฟเวอร์ (Search Console Help) ข้อควรระวังคือ การเปิด URL ที่ติดมัลแวร์บนเครื่องที่ใช้งานจริงมีความเสี่ยง ควรใช้เครื่องหรือเบราว์เซอร์ที่อัปเดตล่าสุด และใช้เครื่องมือ URL Inspection ใน Search Console ดู HTML ที่ Googlebot เห็นแทนเมื่อทำได้

3. ตรวจจากฝั่งเซิร์ฟเวอร์

เครื่องมือของ Google บอกได้ว่า “มีปัญหา” แต่ไม่บอกว่าโค้ดซ่อนอยู่ที่ไฟล์ใด ขั้นตอนนี้ต้องตรวจไฟล์และฐานข้อมูลโดยตรง ดูวิธีเบื้องต้นได้ที่ วิธีเช็กไฟล์แปลกปลอมใน WordPress และ เช็คเว็บติดไวรัสด้วยเครื่องมือฟรี

# รันในโฟลเดอร์ราก WordPress (ไม่แก้ไขไฟล์ใด แค่แสดงผล)
grep -rIl --include='*.php' --include='*.js' -E '<iframe|document\.write\(|eval\(atob\(' wp-content/themes wp-content/plugins | head -50

# ไฟล์ PHP ใน uploads ซึ่งปกติไม่ควรมี
find wp-content/uploads -type f -name '*.php'

# เทียบไฟล์ WordPress Core กับต้นฉบับ (ต้องมี WP-CLI)
wp core verify-checksums

ขั้นตอนล้างเว็บและขอ Review จาก Google

ขั้นตอนโดยละเอียดของการล้างเว็บ WordPress และการเขียนคำขอ Review อยู่ในบทความ Search Console แจ้ง Security Issues ต้องทำอย่างไร และขอ Review ยังไง และภาพรวมการกู้เว็บอยู่ใน เว็บโดนแฮก ทำอย่างไรดี หัวข้อนี้จึงสรุปเฉพาะลำดับและเงื่อนไขที่ Google กำหนด

1. สำรองข้อมูลในสภาพปัจจุบัน ก่อนแก้ไขใดๆ เพื่อใช้ตรวจย้อนหลัง
2. ล้างโค้ดที่ถูกฝังให้ครบทุกหน้า ทั้งไฟล์และฐานข้อมูล Google ระบุว่าให้กด Request Review เมื่อปัญหาทั้งหมดในรายงาน “ได้รับการแก้ไขในทุกหน้า” แล้วเท่านั้น (Search Console Help)
3. ปิดช่องทางที่แฮกเกอร์ใช้เข้ามา เช่น Plugin ที่มีช่องโหว่ บัญชีที่ถูกขโมย และ Backdoor ที่ทิ้งไว้ ดูเพิ่มที่ Backdoor ใน WordPress
4. ตรวจว่าเว็บออนไลน์และสะอาดจริง คู่มือ Request a review ของ Google แนะนำให้ใช้เครื่องมืออย่าง Wget หรือ cURL ตรวจว่าหน้าเว็บเข้าถึงได้และไม่มีเนื้อหาที่ถูกแฮก (web.dev)
5. ส่งคำขอ Review ในรายงาน Security issues พร้อมอธิบายปัญหาที่พบ วิธีแก้ และผลลัพธ์

ถ้าเชื่อว่า Safe Browsing จัดหน้าเว็บผิดประเภท ทั้งที่เว็บไม่ได้ถูกแฮก Google มีแบบฟอร์ม รายงานการแจ้งเตือนที่ไม่ถูกต้อง แยกไว้ต่างหาก (Search Console Help)

อย่าขอ Review ก่อนล้างเสร็จ

Google มีนโยบาย Safe Browsing Repeat Offenders ระบุว่าเว็บที่ “สลับไปมาระหว่างพฤติกรรมที่ปลอดภัยและไม่ปลอดภัยภายในช่วงเวลาสั้น” จะถูกจัดเป็น Repeat Offender เมื่อถูกจัดแล้ว เจ้าของเว็บจะขอ Review เพิ่มผ่าน Search Console ไม่ได้ และสถานะนี้คงอยู่ 30 วัน (เอกสารปรับปรุงล่าสุด 10 ธันวาคม 2025) กรณีที่เสี่ยงคือ ลบโค้ดแล้วผ่าน Review แต่ไม่ได้ลบ Backdoor ทำให้โค้ดกลับมาใหม่ภายในไม่กี่วัน

ใช้เวลานานแค่ไหนกว่าคำเตือนจะหาย

ระยะเวลาขึ้นกับประเภทปัญหา ข้อมูลต่อไปนี้เป็นตัวเลขที่ Google ระบุเอง ณ ตุลาคม 2026 ไม่ใช่การรับประกัน

หลัง Review ผ่าน คู่มือของ Google ระบุว่า หาก Google พบว่าเว็บสะอาด “คำเตือนจากเบราว์เซอร์และผลการค้นหาจะถูกนำออกภายใน 72 ชั่วโมง” ถ้า Review ไม่ผ่าน รายงาน Security issues อาจแสดง URL ตัวอย่างเพิ่มเพื่อช่วยในการตรวจรอบถัดไป (web.dev) ส่วนทราฟฟิกจากการค้นหาที่ลดลงระหว่างนี้ไม่มีตัวเลขยืนยันว่าจะกลับมาเร็วเพียงใด

เว็บที่เคยถูกเตือนควรตั้งค่าตามแนวทาง หลังล้างไวรัส WordPress ต้องทำอะไรต่อ และเปิดอีเมลแจ้งเตือนของ Search Console ไว้ เพื่อรู้ตัวเร็วหากเกิดซ้ำ ถ้าคำเตือนเป็นประเภท Deceptive pages หรือมีหน้าหลอกให้กรอกรหัสผ่าน ให้อ่านต่อที่ เว็บโดนฝังหน้า Phishing คืออะไร และถ้าต้องการให้ผู้เชี่ยวชาญหาโค้ดและดูแลจนผ่าน Review ดูรายละเอียดได้ที่ บริการล้างไวรัส WordPress

คำถามที่พบบ่อย

แหล่งอ้างอิง

1. Google. (ม.ป.ป.). Google Safe Browsing. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://safebrowsing.google.com/
2. Google. (ม.ป.ป.). Safe Browsing site status — Google Transparency Report. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://transparencyreport.google.com/safe-browsing/search
3. Google. (ม.ป.ป.). Security Issues report — Search Console Help. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://support.google.com/webmasters/answer/9044101
4. Google. (ม.ป.ป.). ข้อความแจ้งเตือน “เว็บไซต์นี้อาจเป็นอันตรายต่อคอมพิวเตอร์ของคุณ” — ความช่วยเหลือ Google Search. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://support.google.com/websearch/answer/45449?hl=th
5. Google. (ม.ป.ป.). “This site may harm your computer” notification — Google Search Help. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://support.google.com/websearch/answer/45449?hl=en
6. Google. (ม.ป.ป.). ข้อความ “เว็บไซต์นี้อาจถูกแฮ็ก” — ความช่วยเหลือ Google Search. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://support.google.com/websearch/answer/190597?hl=th
7. Google. (ม.ป.ป.). จัดการคำเตือนเกี่ยวกับเว็บไซต์ที่ไม่ปลอดภัย — ความช่วยเหลือ Google Chrome. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://support.google.com/chrome/answer/99020?hl=th
8. Google Search Central. (ม.ป.ป.). Social engineering (phishing and deceptive sites). สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://developers.google.com/search/docs/monitor-debug/security/social-engineering
9. Google Search Central. (ม.ป.ป.). Malware and unwanted software. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://developers.google.com/search/docs/monitor-debug/security/malware
10. Google Search Central. (2025). Safe Browsing Repeat Offenders Policy. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://developers.google.com/search/docs/monitor-debug/security/safe-browsing-repeat-offenders
11. Google. (ม.ป.ป.). Report incorrect phishing warning — Google Safe Browsing. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://safebrowsing.google.com/safebrowsing/report_error/
12. web.dev (Google). (ม.ป.ป.). Request a review. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://web.dev/articles/request-a-review
13. MITRE. (ม.ป.ป.). Drive-by Compromise, Technique T1189 — MITRE ATT&CK. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://attack.mitre.org/techniques/T1189/
14. Kaspersky. (ม.ป.ป.). Drive-by attack — Kaspersky IT Encyclopedia. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://encyclopedia.kaspersky.com/glossary/drive-by-attack/
15. WordPress.org. (ม.ป.ป.). wp core verify-checksums — WP-CLI Commands. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://developer.wordpress.org/cli/commands/core/verify-checksums/