GA4のアクセス急増はウルムチが原因？ ログで見つけた参照元「aocr.org」

2026年10月に入ってからPHPやワードプレスの脆弱性などサイバー攻撃の話題が後を絶たず、日々AI観測ラボにてセキュリティのご相談も後を絶たずクライアントさんが非常に不安になってるケースが多い次第です。

2026年10月29日（金）、AI観測ラボのブログで、GA4の新規ユーザーが前日の2倍に増えました。ふだんの日々の上下と比べても、目立って大きな増え方です。

GA4にて市区町村を見ると、東京の港区や大阪を上回って、中国の「ウルムチ」が上位に入っていました。見慣れない海外の都市名と急なアクセス増に、「何か攻撃を受けているのでは」と不安になり、ウルムチからのアクセスが増加の原因ではないかと考えました。

ところが、期間を10月29日の1日に絞ると、ウルムチのユーザーは6人でした。その日に大きく増えていたのは、「aocr.org」という見慣れない参照元からのアクセスです。サーバーのアクセスログにも、同じドメインをリファラーに持つリクエストが多数残っていました。

この記事では、GA4の「ウルムチ」を手がかりに、参照元とサーバーログを調べた過程を紹介します。共通するリファラー、158個のIPアドレス、特定の記事に集中するアクセス。実際に確認できたことと、まだわからないことを分けてまとめます。

この記事でわかること｜📖：約9分

• GA4の急増したアクセスと「ウルムチ」の関係
• 参照元「aocr.org」がどんなサイトで、ログに何が残っていたか
• 158個のIPアドレスの所在地と、アクセスが集中していた記事の特徴
• 自分のサイトでGA4とサーバーログを確認する方法

10月29日、GA4の新規ユーザーが2倍以上になった

最初に異変に気づいたのは、GA4の「レポートのスナップショット」でした。「新規ユーザーとリピーター」のグラフで、10月29日の青い線だけが、右上に大きく跳ね上がっていました。

GA4の「新規ユーザー」は、初めての訪問として計測されたユーザーです。「リピーター」は、過去にも訪問した記録があるユーザーを指します。急増した10月29日と直前の3日間を、10月28日の人数を100として比べると、次のようになります。

日付	新規ユーザー指数	リピーター指数
10月26日	57	80
10月27日	86	87
10月28日	100	100
10月29日	200	40

10月29日の新規ユーザーは、前日のちょうど2倍でした。GA4上では、新規ユーザーが増える一方、リピーターは前日の半分以下に減っていました。

記事がSNSで話題になったり、検索順位が急に上がったりすると、新規ユーザーが増えることはあります。ただ、10月29日に新しい記事を公開したわけでも、SNSで大きく拡散されたわけでもありませんでした。急増の理由に心当たりがなかったため、GA4で「どこから来たのか」を調べることにしました。

ウルムチとはどこ？ GA4の市区町村を日別に確認した

ウルムチは、中国の北西部にある新疆（しんきょう）ウイグル自治区の中心都市です。中央アジアに近い内陸に位置し、天山山脈の北側に市街地が広がっています。

日本語でAIクローラーを解説しているこのブログで、なぜウルムチが上位に出ているのか。GA4の市区町村を過去28日間で見ると、東京の港区や大阪を上回る順位に入っていて、気になりました。

GA4にウルムチからのアクセスが表示される現象は、ほかのブログでも取り上げられています。ですが、同じ都市名が表示されているからといって、同じ相手や仕組みによるアクセスとは限りません。自分のサイトでは何が起きているのか、確認する必要があります。

まず押さえておきたいのは、GA4の「市区町村」は、アクセス元のIPアドレスなどから判断された位置情報だという点です。画面に「ウルムチ」と表示されていても、実際にその街にいる人が閲覧したとまでは断定できません。Googleも、GA4では収集時にIPアドレスを使って位置情報を判断すると説明しています。

そして、ウルムチのアクセスを日付ごとに確認しました。10月14日から毎日少しずつ記録されていて、10月29日は6人。新規ユーザーが急増した当日だけ、ウルムチのアクセスが特に多かったわけではありませんでした。

セッションの参照元は、ほぼ「direct」でした。GA4でいうところのダイレクトとは、GA4で参照元を特定できないアクセスを表します。URLの直接入力だけでなく、参照元の情報が取得できなかった場合なども含まれます。

10月29日に大きく増えていたのが、セッションの参照元「aocr.org」のアクセスでした。こちらのアクティブユーザーは96人。ウルムチだけに注目していては、当日の変化を捉えられません。次に、aocr.orgという見慣れない参照元を調べました。

aocr.orgは米国の放射線科の学会のサイトだった

サーバーログとGA4の両方に記録されていた「aocr.org」は、どんなサイトなのでしょうか。実際にアクセスして確かめました。

aocr.orgは、米国の放射線科の専門団体「American Osteopathic College of Radiology（AOCR）」の公式サイトでした。拠点はミズーリ州にあり、英語で研修医向けの案内や学会の予定、連絡先などが掲載されています。

確認した範囲では、日本語でAIクローラーを解説する当ブログとのつながりは見当たらないというかないですよね。トップページにも、AI観測ラボのブログへのリンクは見つかりませんでした。ただし、サイト内のすべてのページを調べたわけではありません。また、前のセクションで説明したとおり、リファラーのURLだけでは、元のページがトップページだったかどうかもわかりません。

AOCRがアクセスを送った証拠はない

ここで注意したいのは、リファラーにaocr.orgと記録されていても、AOCRがアクセスを送った証拠にはならない点です。リファラーはリクエストとともに送られる情報であり、アクセスする側が実際の参照元とは異なる値を設定することもできます。

今回のログでは、記事ページだけでなく、画像へのリクエストにもaocr.orgが付いていました。この動きから、リファラーを設定した自動アクセスの可能性を考えました。今回の調査では、偽装だったかどうかや、誰が何の目的で送ったのかまでは確認できていません。

確認できたのは、「aocr.orgをリファラーに持つリクエストが届いていた」ということです。参照元として記録されたドメインの運営者と、実際にリクエストを送った相手は、分けて考える必要があります。

参照元のサイトを調べても、アクセスの送り主は特定できませんでした。そこで次に、ログに残っていた158個のIPアドレスの所在地と、割り当て先の組織を調べました。

158個のIPアドレスの所在地を調べる

aocr.orgをリファラーに持つリクエストは、どこから届いていたのでしょうか。10月29日のログで確認した158個のIPアドレスを、すべてIP情報サービス「IPinfo」で照会しました。

中国と判定されたIPアドレスは0個だった

国	IPアドレスの数
アメリカ	149個
シンガポール	7個
ベトナム	2個
中国	0個

158個のうち149個、約94％がアメリカと判定されました。残りはシンガポールとベトナムで、中国と判定されたIPアドレスは1つもありませんでした。都市の表示も、シカゴ、ダラス、ロサンゼルス、シアトル、ニューヨークなど、アメリカの都市が中心でした。

ただ、これはIPinfoによる所在地の推定結果です。「中国と判定されたIPがなかった」ことは確認できても、アクセスを指示した人や組織が中国にいなかったとまでは言えません。

筆者の分類では、約8割がデータセンター・ホスティング関連だった

続いて、IPinfoに表示された組織名を調べました。データセンターやホスティングの事業者か、一般向けの通信事業者かを筆者が分類すると、次のようになりました。

筆者による分類	IPアドレスの数	主な組織名
データセンター・ホスティング関連	127個	Datacamp Limited（56個）、Web2Objects（26個）、M247（16個）、EGIHosting（10個）、FDCservers（7個）、Ace Data Centers（6個）ほか
分類を保留	16個	AviationAI（16個）
通信事業者など	15個	RCN（10個）、Comcast、Windstream、VNPT、FPT Telecomほか

上記分類では、158個中127個、約80％がデータセンター・ホスティング関連の事業者でした。とはいえ、通信インフラ事業者のIPアドレスでも、VPNなどを経由した人の閲覧に使われる場合があります。反対に、通信事業者のIPアドレスだから人の閲覧だと判断することもできません。

今回の結果は、サーバーなどを経由したアクセスが多かった可能性を示す材料です。一日を通してリクエストが届いていたことや、記事と画像に共通のリファラーが付いていたことなど、ほかの観測結果と合わせて、自動アクセスの可能性を検討します。

IPアドレスの番号だけでは場所も相手もわからない

調べる前は、IPアドレスの番号の並びがさまざまだったため、「世界中に散らばっているのでは」と予想していました。ところが、実際に照会すると、所在地の推定はアメリカに大きく偏っていました。番号の見た目だけで場所を判断せず、一つずつ確認する必要がありました。

また、IPinfoの所在地は、アクセスした人や組織の居場所を直接示すものではありません。VPNやプロキシなどを経由していれば、接続の中継先に関する情報が表示される場合もあります。

今回調べた158個のIPアドレスを、GA4がそれぞれどの都市と判定したかも確認できません。GA4は位置情報の判断にIPアドレスを使いますが、IPアドレス自体は保存しないため、通常のレポートからログのIPと直接照合することはできません。

なので、「IPinfoではアメリカなのに、GA4ではウルムチになった」と結論づけることはできません。次の節では、GA4で確認したウルムチとaocr.orgの記録を、日付と参照元の違いから整理します。

GA4で確認すると、ウルムチとaocr.orgでは記録の特徴が違った

サーバーログのIPアドレスとGA4の記録は、直接照合できません。そこでGA4の「探索」を使い、「市区町村」と「セッションの参照元」を組み合わせて、ウルムチとaocr.orgの記録を確認しました。対象期間は、2026年10月2日〜29日の28日間です。

ウルムチとaocr.orgが組み合わさった記録は見つからなかった

市区町村を「Urumqi（ウルムチ）」に絞り込むと、セッションの参照元はほぼすべて「(direct)」でした。この探索結果では、参照元がaocr.orgになっている行は確認できませんでした。

反対に、セッションの参照元を「aocr.org」に絞り込むと、市区町村は空欄や「(not set)」として表示されていました。こちらにも、Urumqiの行は見当たりませんでした。

つまり、今回確認した探索結果では、「市区町村がウルムチで、セッションの参照元がaocr.org」という組み合わせは見つかりませんでした。ただし、これはユーザー一人ひとりの重複がないことを確認したものではありません。

記録された時期も、デバイスの種類も違った

日付やデバイスの種類で分けると、2つの記録には次のような違いがありました。

比較項目	ウルムチの記録	aocr.org経由の記録
セッションの参照元	ほぼすべて(direct)	aocr.org
市区町村	Urumqi	空欄・(not set)
対象期間内で最初に確認できた日	10月14日	10月27日
日ごとの動き	少数で推移。10月24日〜25日は記録なし	10月27日〜28日は少数で、10月29日に大きく増加
デバイスカテゴリ	パソコンとスマートフォン	パソコンのみ

ウルムチは、対象期間内では10月14日に初めて確認でき、その後も少ない人数で断続的に記録されていました。10月29日だけ特に多かったわけではありません。

対して、aocr.org経由のアクティブユーザーは、10月27日に1、28日に5、29日に96と増えていました。サイト全体の新規ユーザーのグラフが跳ね上がった日に、aocr.org経由のアクティブユーザーも大きく増えていたことがわかります。ただし、新規ユーザーとアクティブユーザーは異なる指標なので、そのまま差し引くことはできません。

デバイスにも違いがありました。ウルムチの記録にはパソコンとスマートフォンの両方が含まれていましたが、aocr.org経由はパソコンのみでした。サーバーログで抽出したリクエストも、すべてWindows版Chromeを名乗っていました。どちらもパソコンを示す記録ですが、これだけで同一のアクセスと確認できるわけではありません。

確認できたことと、まだわからないこと

今回のGA4の探索で確認できたのは、次の2点です。

• 表示された集計には、市区町村がUrumqiで、セッションの参照元がaocr.orgという組み合わせは見つからなかった
• 10月29日にウルムチの記録が特に増えたわけではなく、同じ日に大きく増えていたのはaocr.org経由のアクティブユーザーだった

そして、ウルムチの記録とaocr.orgの記録が、別々の送り主によるものかどうかはわかりません。同じ相手が参照元や接続方法を変えてアクセスする可能性もあり、今回の集計では送信者までは特定できませんでした。

追記（2026年10月30日）：GA4の探索で、ウルムチと判定されたユーザーをさらに調べました。ホスト名はすべて「www.blog.ai-kansoku.com」で、画面の解像度は2種類だけでした。パソコンはすべて「1600×1600」、スマートフォンはすべて「375×667」です。

1600×1600は正方形の画面で、一般的なパソコンのモニターではほとんど見られないサイズです。375×667は、iPhone 6〜8などの画面サイズです。多くの人が訪れれば、画面の解像度は機種ごとにばらけるはずなので、ブラウザを自動で動かす仕組みが、パソコン用とスマートフォン用の2つの設定でアクセスしていた可能性が高いと考えられます。ホスト名も自分のブログだったため、GA4に直接データを送る手口より、実際にページを開いた自動アクセスの可能性が高まりました。

最初の「ウルムチがアクセス急増の原因ではないか」という見立ては、見直す必要がありました。28日間の都市別ランキングで目立つことと、10月29日の急増に関係することは、分けて確認する必要があったのです。

取得された記事と、ほかのサイトの記録を比べる

aocr.orgをリファラーに持つアクセスには、どのような特徴があったのでしょうか。取得された記事と、筆者が管理するほかのサイトの記録も確認しました。

取得回数の上位は、GA4の人気記事と違っていた

10月29日に、aocr.orgをリファラーに持つリクエストで多く取得されていた記事は、次のとおりです。

記事のURL	取得された回数
/applebot/	13回
/applebot-rendering-crawler/	9回
/gptbot/	8回
/shapbot/	7回
/metatag-ai-crawler-guide/	7回
/glossary/	7回
/ai-site-settings-checklist/	7回

AI観測ラボのブログは、ほぼすべての記事がAIクローラーに関する内容です。そのため、AIクローラーの記事が取得されていること自体は、特定のテーマを狙っていた証拠にはなりません。

比較している期間と指標は異なりますが、GA4のページビュー上位と、今回のリクエストで取得回数が多かった記事は一致していませんでした。どのような基準でページが選ばれていたのかは、まだわかりません。

管理する6サイトのうち、ウルムチの記録を確認できたのは1サイトだった

筆者が管理している、ほかの5つのサイトのGA4も確認しました。今回確認した範囲では、ウルムチの記録が見つかったのは、AI観測ラボのブログだけでした。

ただ、これだけでサイトの内容を選んでアクセスしていたとは判断できません。確認した6サイトで記録の有無に違いはありましたが、その理由までは特定できませんでした。

わかったこと・まだわからないこと

GA4とサーバーログを調べた結果を、確認できたことと、まだわからないことに分けて整理します。

わかったこと

• 10月29日にサイト全体の新規ユーザーが急増し、同じ日にaocr.org経由のアクティブユーザーも大きく増えていた
• ウルムチの記録は10月29日だけ特に多かったわけではなく、GA4の探索では、市区町村がUrumqiで、セッションの参照元がaocr.orgという組み合わせは確認できなかった
• 調べた10月24日〜29日のサーバーログでは、aocr.orgをリファラーに持つ記録が最初に見つかったのは10月27日で、10月29日には158個のIPアドレスから548件のリクエストが届いていた
• 158個のIPアドレスをIPinfoで照会すると、アメリカと判定されたものが149個で、中国と判定されたものは0個だった
• 記事ページだけでなく、画像へのリクエストにもaocr.orgがリファラーとして付いていた
• aocr.orgは、米国の放射線科の専門団体「AOCR」の公式サイトだった。ただし、AOCRが今回のアクセスを送った証拠は確認できなかった

まだわからないこと

• aocr.orgをリファラーに持つアクセスを、誰が、何のために送っていたのか
• そのアクセスが自動アクセスだったかどうか。また、リファラーが実際の参照元を示していたかどうか
• GA4でウルムチと表示されたアクセスの送り主や、ウルムチと判定された理由
• ウルムチの記録とaocr.orgの記録が、同じ送り主によるものかどうか
• 今回取得されたページが、どのような基準で選ばれていたのか

今回の調査では、GA4でウルムチと表示されたアクセスが、サーバーログのどの記録に当たるかは特定できませんでした。また、GA4の探索で組み合わせが見つからなかったことは、ユーザー一人ひとりの重複がないと確認したこととは異なります。

最初は、GA4で目立っていたウルムチがアクセス急増の原因ではないかと考えました。しかし、日付と参照元を分けて確認すると、当日に大きく増えていたのはaocr.org経由のアクティブユーザーでした。

送り主の正体は未解明ですが、28日間の都市別ランキングで目立つことと、特定の日の急増に関係することは、分けて調べる必要があるとわかりました。

自分のサイトでGA4とサーバーログを確認する方法

GA4に見慣れない都市や参照元が出てきたときに、今回と同じように確かめる方法を紹介します。GA4の基本的な見方に不安がある場合は、先にGA4を入れたけど何も見てない人へ—最初に確認すべき3つの数字を読んでおくと、確認する数字を整理できます。

手順1：GA4の探索で、市区町村と参照元を組み合わせる

今回は、期間や表示項目を組み替えながら調べるため、GA4の「探索」を使います。

1. GA4の左メニューから「探索」を開き、「自由形式」を選びます。
2. 「変数」で調査する期間を設定します。今回の例では、2026年10月2日〜29日です。
3. 「ディメンション」の右の「＋」から、「市区町村」「セッションの参照元」「日付」を選んでインポートします。
4. 「指標」の右の「＋」から、「アクティブ ユーザー」を選んでインポートします。
5. 「設定」で、行に「市区町村」と「セッションの参照元」、値に「アクティブ ユーザー」を追加します。

気になる都市を調べるときは、「フィルタ」に「市区町村」を追加し、画面に表示されている都市名に完全一致する条件で絞り込みます。その状態で、セッションの参照元を確認します。

反対に、特定の参照元を調べるときは、都市のフィルタを外し、「セッションの参照元」で絞り込んで市区町村を確認します。参照元の値は、画面に表示されている表記を使ってください。

日ごとの変化を見るには、行を「日付」に変更します。都市や参照元のフィルタを使って、対象期間のいつから記録が確認でき、急増した日にどのような変化があったかを調べます。

表に行が見当たらないときは、表示件数やフィルタの条件も確認してください。「データ品質」の表示に、データのしきい値などによる制限が示されていないかも確認します。

手順2：サーバーログで、共通するリファラーを探す

サーバーのアクセスログを見られる場合は、GA4で見つけた参照元と同じドメインが、リファラー欄に記録されているかを調べます。GA4の「セッションの参照元」とログのリファラーは同じ項目ではありませんが、関連する記録を探す手がかりになります。

以下は、この記事で掲載した形式のアクセスログを、Linuxのコマンド操作で調べる例です。対象サイトのログだけを置いた作業用フォルダで実行します。読み込むファイルは「access_log」と、拡張子が「.gz」の圧縮ログです。同じ内容のバックアップを重複して含めないようにしてください。

まず、リファラーのドメインが「aocr.org」または「www.aocr.org」の行を抽出し、「aocr-requests.txt」に保存します。

for file in ./*.gz ./access_log; do
  [ -f "$file" ] || continue
  case "$file" in
    *.gz) gzip -cd -- "$file" ;;
    *) cat -- "$file" ;;
  esac
done | awk -F '"' 'tolower($4) ~ /^https?:\/\/(www\.)?aocr[.]org(\/|$)/' > aocr-requests.txt

別のドメインを調べる場合は、条件式の「aocr[.]org」を対象のドメインに置き換えます。「[.]」はドットそのものを表しています。

抽出した記録を使って、日別のリクエスト数と、特定の日のユニークIP数を数えます。

# 日別のリクエスト数
awk '{print substr($4,2,11)}' aocr-requests.txt | sort | uniq -c

# 10月29日のユニークIP数
awk -v day="29/Oct/2026" 'substr($4,2,11)==day {print $1}' aocr-requests.txt | sort -u | wc -l

# 10月29日のリクエスト先URLの上位20件
awk -v day="29/Oct/2026" 'substr($4,2,11)==day {print $7}' aocr-requests.txt | sort | uniq -c | sort -rn | head -20

最後の集計には、記事ページだけでなく、画像やその他のファイルへのリクエストも含まれます。記事の取得回数を比べる場合は、集計結果から、そのサイトの記事ページに当たるURLを確認してください。リクエストがあったことと、正常に取得できたことを分けたい場合は、応答ステータスも確認します。

また、GA4とログの日付を比べるときは、タイムゾーンを合わせます。今回掲載したログの「+0900」は日本時間です。GA4のプロパティで設定したタイムゾーンが異なる場合、同じ時刻のアクセスでも集計される日付がずれることがあります。

ログファイルの名前や置き場所、記録形式は、レンタルサーバーによって異なります。上のコマンドも、形式が異なるログにはそのまま使えません。ログの取得方法や基本的な見方は、GA4でAI流入はどこまで見える？サーバーログでChatGPT・AIクローラーを補完する方法で紹介しています。

なお、参照元を条件に抽出した結果には、その条件に合わないリクエストは含まれません。同じIPがその後に何を取得したかを調べる場合は、元のログに戻り、リファラーで絞らずに確認してください。

手順3：IPアドレスの所在地と関連する組織を調べる

ログで見つけたIPアドレスは、IPinfoなどのサービスで所在地や関連する組織を調べられます。数個であれば、IPinfoのサイトで個別に照会できます。

データセンターやホスティング関連の組織が多いか、通信事業者が多いかなどを整理すると、接続元の特徴を把握する手がかりになります。会社名をもとに自分で分類した場合は、サービスによる用途判定と区別して記録しておきます。

ただし、所在地は推定であり、表示された組織名も、実際にアクセスを指示した相手を示すものではありません。VPNなどを経由した閲覧もあるため、IP情報だけで人の閲覧か自動アクセスかを決めることはできません。

確かめるときに気をつけたいこと

• 期間とタイムゾーンを合わせる。28日間の順位と、特定の1日の増減は分けて確認します。
• 比較する指標をそろえる。新規ユーザー、アクティブユーザー、リクエスト数、ユニークIP数は、それぞれ異なる指標です。数字の差を、そのまま未計測分として扱うことはできません。
• 都市名だけで相手を決めつけない。GA4やIP情報サービスの所在地は、実際の利用者の居場所を直接示すものではありません。
• リファラーのドメインの運営者を、送り主と決めつけない。実際の参照元とは異なる値が送られることもあります。
• 調べた範囲を残す。対象期間、抽出条件、使った指標、IP情報を照会した日を記録しておくと、結果を後から確認できます。

不審なアクセスの除外を検討する場合も、先に調査した期間と記録を残しておくと、何が起きていたのかを振り返れます。まずは、確認できた事実と推測を分けて整理することから始めてください。

まとめ：GA4の急増は、日付と参照元を分けて確認する

GA4の新規ユーザーが急増し、過去28日間の市区町村でウルムチが目立っていたことから、最初はウルムチからのアクセスが原因ではないかと考えました。ところが、日付と参照元を分けて確認すると、10月29日に大きく増えていたのは、aocr.org経由のアクティブユーザーでした。

• ウルムチの記録は10月29日だけ特に多かったわけではなく、GA4の探索では、市区町村がUrumqiで、セッションの参照元がaocr.orgという組み合わせは確認できなかった
• 調査した期間では、aocr.orgをリファラーに持つ記録が最初に見つかったのは10月27日で、10月29日には158個のIPアドレスから548件のリクエストが届いていた
• IPinfoでは158個中149個がアメリカと判定され、中国は0個だった。組織名をもとにした筆者の分類では、データセンター・ホスティング関連の事業者が中心だった
• aocr.orgは米国の放射線科の専門団体「AOCR」の公式サイトだったが、AOCRが今回のアクセスを送った証拠は確認できなかった

誰が何のためにアクセスしていたのか、ウルムチと表示されたアクセスの正体は何なのかは、まだわかっていません。それでも、28日間の都市別ランキングで目立つことと、特定の日の急増に関係することは、分けて確かめる必要があるとわかりました。

GA4に見慣れない都市や参照元が出てきたら、まずは期間をそろえ、日付と参照元を組み合わせて確認してみてください。サーバーログも調べられる場合は、共通するリファラーやリクエスト先など、GA4とは別の手がかりを探せます。

aocr.orgが参照元として記録されるアクセスは、記事を書いている2026年10月30日の時点でも続いています。AI観測ラボでは引き続き記録を取り、変化があれば月次の観測レポートで報告します。