Webサイトを閲覧しているだけなのに、突然「.html」や「.htm」のファイルがダウンロードされると、「ウイルスに感染したのではないか」「勝手に何か実行されているのではないか」と不安になることがあります。HTMLファイルはWebページを構成するための形式であり、ダウンロードされたという事実だけで直ちにマルウェア感染を意味するわけではありません。

実際には、Webサイト側の配信設定、不正広告からのリダイレクト、ブラウザ拡張機能、サイトの自動ダウンロード設定などでもHTMLファイルが保存されることがあります。一方で、HTMLファイルを開かせて偽のログイン画面を表示し、Microsoft 365やGoogleなどの認証情報を盗む「HTMLフィッシング」に利用されるケースもあります。

そのため、まず重要なのはダウンロードされたHTMLを開かず、「どのサイトを見ていたときに、どのファイルが、どのブラウザから保存されたのか」を確認することです。さらに、同じタイミングでEXEやZIPなど別のファイルが保存されていないかも確認する必要があります。

そこで本記事では、HTMLファイルが勝手にダウンロードされる主な原因、マルウェア感染を疑うべきサイン、今すぐ行う対処法、Chrome・Edgeでの切り分け、HTMLを開いてしまった場合の対応、フォレンジック調査で原因と被害範囲を確認する方法までを解説します。

HTMLファイルが勝手にダウンロードされる主な原因

HTMLファイルが自動的に保存される原因は一つではありません。Webサイト側の設定ミスから、不正広告・拡張機能まで複数の可能性があります。

Webサイト側の配信設定

特定のWebサイトやリンクを開いたときだけHTMLが保存される場合は、サイト側の設定が原因の可能性があります。

WebサーバーがHTMLを表示用ではなく添付ファイルとして返していると、ブラウザはページを表示せずダウンロードすることがあります。

たとえば、HTTPヘッダーに次のような設定がある場合です。

Content-Disposition: attachment

また、HTMLであるにもかかわらずContent-Typeが適切に設定されていない場合も、ダウンロードとして処理されることがあります。

不正広告・リダイレクト

広告やリンクをクリックした直後にHTMLが保存された場合は、不正広告やリダイレクトが関係している可能性があります。

特に、無料ソフト配布サイト、海賊版コンテンツ、偽警告ページなどでは、HTMLやZIP、実行ファイルのダウンロードへ誘導されるケースがあります。

ブラウザ拡張機能

広告ブロック、動画ダウンロード、PDF変換、検索補助などの拡張機能が原因で、Webページが意図せず保存されることがあります。

特定サイトに限らず複数サイトで繰り返し発生する場合は、拡張機能を疑ってください。

自動ダウンロードの許可設定

ブラウザで特定サイトに複数ファイルの自動ダウンロードを許可している場合、利用者が明示的に保存操作をしていなくてもファイルが取得されることがあります。

誤操作・キーボード入力の影響

AltキーやCtrlキーなどの押下状態、リモート操作ツール、キーボードの不具合によって、リンクの挙動が通常と異なる場合があります。

特定の操作後だけ発生する場合は、キーの固着や入力デバイスも切り分け対象です。

ブラウザや端末のマルウェア・アドウェア

どのサイトを開いても突然ファイルが保存される、広告やリダイレクトも同時に発生する、拡張機能が勝手に追加されている場合は、アドウェアやマルウェアも確認対象になります。

「HTMLが保存された」という現象だけで感染を断定せず、発生するサイト・ブラウザ・拡張機能・同時に保存されたファイルを切り分けることが重要です。

HTMLファイルが勝手にダウンロードされても開かなければ感染とは限らない

HTMLファイルが1件保存されたものの、開いていない、情報も入力していないという場合は、直ちに端末が感染したとは限りません。

HTMLを開いていないか

保存されただけで、HTMLをブラウザで開いていなければ、HTML内のスクリプトや外部リンクは通常実行されません。

中身を確認する目的でも、ダブルクリックして開かないでください。

別のファイルも保存されていないか

ダウンロードフォルダを確認し、同じ時刻付近に以下のようなファイルが保存されていないか確認します。

• .exe
• .msi
• .zip
• .iso
• .img
• .js
• .vbs
• .bat
• .cmd
• .lnk

これらが存在していても、開いたり実行したりしないでください。

リンク先で情報を入力していないか

HTMLを開いてMicrosoft 365、Google、銀行、SNSなどのログイン画面が表示され、認証情報を入力した場合はフィッシングを疑います。

通知・アプリ・拡張機能を許可していないか

「通知を許可」「ブラウザ拡張を追加」「セキュリティツールを導入」などの操作を行った場合は、追加の確認が必要です。

HTMLファイルが勝手にダウンロードされたときに今すぐ行うこと

原因を切り分ける前にファイルを削除すると、ダウンロード元や発生状況を確認しにくくなる場合があります。まず最低限の記録を残します。

HTMLファイルを開かない

HTMLの内容を確認するためにブラウザで開くことは避けます。

フィッシング用HTMLの場合、ローカルファイルとして開いても本物に似たログイン画面を表示できる場合があります。

ファイル名・日時・サイズを記録する

以下をスクリーンショットやメモで残しておきます。

• ファイル名
• 拡張子
• ファイルサイズ
• 作成・ダウンロード日時
• 保存先

ダウンロード元URLを確認する

ブラウザのダウンロード履歴から、どのURLがファイル取得元だったか確認します。

ただし、危険性を確認するためにURLを再度開くことは避けてください。

同時に保存されたファイルを確認する

HTML単体なのか、ZIPや実行ファイルなども保存されているのかで緊急度が変わります。

ブラウザ・OSを更新する

Chrome、Edge、Windows、macOSなどを最新状態に更新します。

Chrome・EdgeでHTMLが勝手にダウンロードされる場合の確認方法

ChromeやEdgeで繰り返しHTMLが保存される場合は、拡張機能やサイト権限を一つずつ切り分けます。

ダウンロード履歴を確認する

Chromeでは以下を開きます。

chrome://downloads/

Edgeでは以下です。

edge://downloads/

ファイル名や発生時刻、取得元を確認してください。

シークレット・InPrivateで再現するか確認する

同じサイトをシークレットウィンドウやInPrivateで開き、現象が再現するか確認します。

通常ウィンドウだけで発生する場合は、拡張機能やCookie、サイト設定などが関係している可能性があります。

ただし、明らかに不審なサイトや広告を再度開いて再現テストする必要はありません。

拡張機能を無効化する

Chromeでは以下を開きます。

chrome://extensions/

Edgeでは以下です。

edge://extensions/

いったん拡張機能をすべて無効にし、信頼できるものだけ戻していくことで原因を切り分けられます。

通知・ポップアップ・自動ダウンロード権限を確認する

ブラウザの「サイトの設定」から、次を確認します。

• 通知
• ポップアップとリダイレクト
• 自動ダウンロード

見覚えのないサイトが「許可」になっている場合は削除・ブロックします。

ブラウザ設定をリセットする

拡張機能を無効化しても改善しない場合は、ブラウザ設定のリセットを検討します。

ただし、GoogleアカウントやMicrosoftアカウントでブラウザ同期を利用している場合、不審な拡張機能が同期によって再導入されないかも確認してください。

HTMLファイルを開いてしまった場合の対処法

HTMLを開いたこと自体で必ず感染するわけではありません。その後に認証情報を入力したか、ファイルを取得・実行したかで対応を分けます。

開いただけの場合

ページを閉じ、ブラウザのダウンロード履歴を確認します。

何も入力せず、別ファイルも実行していなければ、直ちにアカウント侵害が発生しているとは限りません。

ID・パスワードを入力した場合

Microsoft 365、Google、SNSなどの認証情報を入力した場合は、フィッシングを疑います。

安全な別端末から正規サイトを直接開き、パスワードを変更してください。

同じパスワードを他サービスでも利用している場合は、そちらも変更します。

認証コードを入力した場合

MFAコードまで入力した場合は、第三者がリアルタイムでログインを完了した可能性があります。

ログイン履歴を確認し、全セッションを失効させ、MFAの登録情報も見直してください。

別ファイルをダウンロード・実行した場合

HTMLページからさらにEXE、MSI、ZIPなどを取得して実行した場合は、マルウェア感染を疑って対応します。

端末をネットワークから隔離し、実行したファイル名・時刻を記録します。

HTMLダウンロードでマルウェア感染を疑うサイン

HTMLファイルが保存されただけなら緊急度は比較的低い場合がありますが、次の異常を伴う場合は注意が必要です。

複数種類の不審ファイルが勝手に保存される

HTMLだけでなく、ZIP、MSI、EXE、JSなどが継続して保存される場合は注意が必要です。

「Windowsキー＋R」やPowerShell操作を要求される

「CAPTCHAを完了するため」「Windowsを修復するため」などの理由で、Win＋R、貼り付け、PowerShell実行を求められる場合は、ClickFix系の攻撃を疑います。

Webサイトが認証のためにWindowsの「ファイル名を指定して実行」へコマンドを貼り付けるよう求めることは通常ありません。

見覚えのない拡張機能・アプリがある

勝手なダウンロードと同時に、不明なブラウザ拡張やアプリが増えている場合は、端末全体を確認します。

プロキシ・DNS設定が変わっている

通信先を攻撃者側へ誘導する目的で、プロキシやDNS設定が変更されることがあります。

アカウントに不審なログインがある

Google、Microsoft 365、SNS、メールなどへ身に覚えのないログインがある場合は、認証情報窃取も疑います。

セキュリティ製品がマルウェアを検知する

DefenderやEDRが不審なファイル・プロセスを検知した場合は、検知名、パス、時刻、処理結果を記録してください。

HTMLの保存だけでなく、不審な実行・設定変更・不正ログインが重なっている場合は、端末感染を前提に対応した方が安全です。

Windowsで行うセキュリティ確認

Windows端末で繰り返しHTMLが保存される場合は、ブラウザだけでなくOS側も確認します。

Microsoft Defenderでフルスキャンする

Windowsセキュリティからフルスキャンを実施します。

保護履歴を確認する

検知があった場合は、検知名、対象ファイル、日時を確認します。

最近インストールされたアプリを確認する

症状が始まった時期の前後に、見覚えのないアプリが入っていないか確認します。

スタートアップ・タスクを確認する

不審なプログラムが自動起動する設定になっていないか確認します。

プロキシ・DNS設定を確認する

自分で設定していないプロキシやDNSが使われていないか確認してください。

HTMLが勝手にダウンロードされるときにやってはいけないこと

原因を確認しようとして操作を増やすことで、かえって被害につながることがあります。

HTMLを開いて中身を確認する

ファイルが安全か確認する目的でも、普段使いのブラウザで直接開くことは避けます。

ダウンロード元URLを再度開く

同じサイトへアクセスすると、再び不審なファイルが配信される可能性があります。

HTML内のログイン画面へ認証情報を入力する

ローカルHTMLでも、本物そっくりのログイン画面を作ることはできます。

画面の指示でコマンドを実行する

Win＋R、PowerShell、ターミナルなどを使ったコマンド実行を要求された場合は従わないでください。

証拠を残す前にすべて削除・初期化する

単純なサイト側設定であれば削除で問題ないこともありますが、不正アクセスやマルウェア感染が疑われる場合は、原因調査に必要な痕跡まで失う可能性があります。

HTMLの自動ダウンロードをフォレンジック調査で確認する方法

HTMLが一度保存された程度で、開いておらず他に異常もない場合は、通常は専門調査まで必要になるケースは多くありません。一方、繰り返し発生する、他のファイルも実行された、不正ログインがある場合は原因調査を検討できます。

HTMLファイルの取得元・作成時刻

ファイルのメタデータやブラウザ履歴などを確認し、いつ、どのタイミングで保存されたかを整理します。

ブラウザのアクセス・ダウンロード履歴

閲覧していたサイトやリダイレクト、ダウンロード記録などを確認し、サイト側の挙動か端末側の異常かを切り分けます。

同時に取得・実行された不審ファイル

HTMLだけでなく、ZIP、EXE、MSI、スクリプトなどが取得されていないか確認します。

マルウェア・不審プロセスの痕跡

端末に残る実行履歴、プロセス、設定変更などから、不正プログラムが動作した可能性を調べます。

アカウントへの不正アクセス・情報流出

HTMLからフィッシングやマルウェアへつながった可能性がある場合は、メール、Microsoft 365、Google、SNSなどのログも確認し、認証情報流出の影響を整理します。

HTMLの自動ダウンロードが繰り返す場合はフォレンジック調査会社に相談する

HTMLファイルが一度保存されただけで、開かず、他のファイルも実行しておらず、アカウントにも異常がない場合は、まずブラウザ設定や拡張機能の切り分けで対応できるケースがあります。

一方、HTMLが何度も勝手に保存される、同時にEXE・MSI・ZIPなども取得された、HTMLを開いて認証情報を入力した、身に覚えのないログインが発生している場合は、端末やアカウントまで詳しく確認した方が安全です。

特に、不審なファイルを削除したりブラウザを初期化したりすると、どのサイトからファイルが配布され、何が実行され、その後どこへ通信したのかを確認する痕跡が失われる場合があります。

不審な兆候を確認した場合、フォレンジック調査会社への相談をお勧めします。フォレンジック調査会社では、ブラウザ履歴、ダウンロードファイル、端末の実行痕跡、アカウントのログイン記録などを調べ、HTMLファイルの保存が単なるサイト設定によるものか、フィッシング・マルウェア感染へつながっている可能性があるのかを確認できます。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 その中でも【

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

「パソコンが遠隔操作され、詐欺にあったかもしれない…」 「会社のパソコンのログを確認したら、未知のIPアドレスから不正アクセスを受けた痕跡を見

まとめ

HTML（.html／.htm）ファイルが勝手にダウンロードされても、そのファイルを開いておらず、認証情報の入力や別ファイルの実行もしていない場合は、直ちにマルウェア感染したと判断する必要はありません。Webサイト側の配信設定やブラウザ拡張機能などが原因のケースもあります。

まずはHTMLを開かず、ファイル名、作成時刻、ダウンロード元、利用ブラウザを確認してください。Chrome・Edgeではダウンロード履歴、拡張機能、通知、ポップアップ、自動ダウンロード設定を確認し、WindowsではMicrosoft Defenderによるスキャンも実施します。

一方、HTMLを開いてID・パスワードや認証コードを入力した、EXE・MSI・ZIPなどを実行した、ClickFixのようなコマンド実行を行った、不審ログインが発生している場合は、フィッシングやマルウェア感染を前提に詳しい確認が必要です。原因や被害範囲が分からない場合は、端末やログを不用意に消去せず、必要に応じてフォレンジック調査で取得経路・実行状況・情報流出の有無を確認することが重要です。