No todos los hackeos desfiguran tu página de inicio. Algunos de los más comunes están diseñados para pasar desapercibidos para ti mientras usan la reputación de tu web para vender otra cosa. Dos ejemplos clásicos son el hackeo de palabras clave japonesas y el pharma hack.

Qué tienen en común

Ambos son formas de spam SEO. Un atacante entra en tu web y añade cientos o miles de páginas, o inyecta enlaces y texto, para anunciar cosas como productos falsificados o medicamentos. Las páginas se muestran a los buscadores y el objetivo es posicionarlas aprovechando la confianza de tu dominio.

El ataque depende del cloaking: el sitio muestra contenido distinto a visitantes distintos.

  • Si abres la web tú mismo, todo parece normal.
  • Si la visita el rastreador de un buscador, recibe el spam.
  • A veces los visitantes que llegan desde un resultado de Google son redirigidos a una tienda o a una página fraudulenta, mientras que quienes escriben la dirección directamente ven la web normal.

Por eso los dueños suelen enterarse por un cliente o por un resultado de búsqueda extraño, y no por su propia web.

El hackeo de palabras clave japonesas

En este ataque, el hacker crea un gran número de páginas con texto en japonés, normalmente anunciando productos de marcas conocidas. La dirección de tu propia web aparece en los resultados de Google con títulos y descripciones en japonés.

Señales típicas:

  • Al buscar site:tudominio.com en Google aparecen páginas con texto en japonés que tú nunca escribiste.
  • Tu sitemap, o un sitemap nuevo, lista miles de direcciones desconocidas.
  • Archivos o carpetas nuevos con nombres aleatorios, y cambios en archivos como .htaccess o index.php.
  • Un aumento repentino de páginas indexadas en Google Search Console y una caída de clics en tus páginas reales.

El pharma hack

El pharma hack inserta enlaces ocultos y texto sobre productos farmacéuticos en tus páginas o en la cabecera de tu sitio. Los buscadores ven las palabras clave y los visitantes no.

Señales típicas:

  • Los resultados de Google para tu sitio mencionan pastillas o medicamentos.
  • Al pedir las páginas de tu sitio con un user agent de rastreador aparece texto que no ves en el navegador.
  • Enlaces de spam, ocultos con CSS, en el pie o la cabecera de tu tema.
  • Código inesperado en los archivos del tema, sobre todo functions.php, header.php y footer.php, a menudo escondido en cadenas largas e ilegibles.

Cómo comprobar tu propia web

Como el contenido está camuflado con cloaking, tienes que mirar como lo hace un buscador:

  1. Busca en Google site:tudominio.com y recorre los resultados, buscando títulos que no reconozcas.
  2. Usa Google Search Console. El informe de Páginas muestra cuántas están indexadas, y el informe de Problemas de seguridad puede listar el hackeo.
  3. Mira el código fuente de la página y busca las palabras desconocidas o los elementos ocultos.
  4. Ejecuta un análisis que mire desde fuera. El análisis de hackeo web gratuito busca palabras clave de spam, enlaces ocultos, scripts inyectados y cloaking, y compara lo que reciben un visitante normal y el rastreador de un buscador.

Cómo limpiarlo

Los pasos de limpieza son los mismos que en cualquier WordPress hackeado, consulta mi web ha sido hackeada: qué hacer primero. Con el spam SEO, presta atención a estos puntos adicionales:

  • Elimina los archivos de spam y cualquier puerta trasera, no solo las páginas visibles. El atacante suele dejar una vía para volver a entrar.
  • Revisa la base de datos en busca de entradas y opciones inyectadas, y el archivo .htaccess en busca de reglas de redirección.
  • Restablece todas las contraseñas y claves de seguridad y elimina los usuarios administradores desconocidos.
  • Limpia en Google Search Console. Envía un sitemap limpio y usa la herramienta de eliminaciones para las direcciones de spam. Si Google marcó el sitio, solicita una revisión. Consulta cómo quitar el aviso de «Sitio engañoso».
  • Devuelve el estado correcto en las páginas muertas. Las direcciones de spam que ya no existen deben devolver 404 o 410, para que los buscadores las descarten.

Evita que se repita

Estos ataques suelen llegar por un plugin o tema desactualizado, o por una contraseña robada. Mantén todo actualizado, elimina los plugins que no uses, usa contraseñas únicas con autenticación en dos pasos y guarda copias de seguridad recientes fuera del servidor. Como el ataque se esconde de ti, las comprobaciones automáticas importan: ServerMonitor compara con regularidad lo que reciben los visitantes y los rastreadores y busca palabras clave de spam, enlaces ocultos y scripts inyectados, para que te enteres pronto.