Non tutti gli hack deturpano la home page. Alcuni dei più comuni sono pensati per restare invisibili a te, sfruttando la reputazione del tuo sito per vendere altro. Due esempi classici sono l'hack delle parole chiave giapponesi e il pharma hack.

Cosa hanno in comune

Entrambi sono forme di spam SEO. Un attaccante entra nel tuo sito e aggiunge centinaia o migliaia di pagine, oppure inietta link e testo, per pubblicizzare cose come merce contraffatta o farmaci. Le pagine vengono mostrate ai motori di ricerca, e l'obiettivo è posizionarle sfruttando l'autorevolezza del tuo dominio.

L'attacco si basa sul cloaking: il sito mostra contenuti diversi a visitatori diversi.

  • Se apri tu il sito, sembra tutto normale.
  • Se lo visita il crawler di un motore di ricerca, riceve lo spam.
  • A volte i visitatori che arrivano da un risultato di Google vengono reindirizzati a un negozio o a una pagina truffa, mentre chi digita direttamente l'indirizzo vede il sito normale.

Per questo i proprietari spesso lo scoprono da un cliente o da uno strano risultato di ricerca, non dal proprio sito.

L'hack delle parole chiave giapponesi

In questo attacco, l'hacker crea un gran numero di pagine con testo in giapponese, di solito per pubblicizzare prodotti di marca. L'indirizzo del tuo sito compare nei risultati di Google con titoli e descrizioni in giapponese.

Segni tipici:

  • Cercando site:tuodominio.com su Google compaiono pagine con testo giapponese che non hai mai scritto.
  • La tua sitemap, o un nuovo file sitemap, elenca migliaia di indirizzi sconosciuti.
  • File o cartelle nuovi con nomi casuali, e modifiche a file come .htaccess o index.php.
  • Un picco improvviso di pagine indicizzate in Google Search Console e un calo dei clic sulle tue pagine vere.

Il pharma hack

Il pharma hack inserisce link nascosti e testo su prodotti farmaceutici nelle tue pagine o nell'head del sito. I motori di ricerca vedono le parole chiave, i visitatori no.

Segni tipici:

  • I risultati di Google per il tuo sito parlano di pillole o farmaci.
  • Richiedendo le pagine del tuo sito con uno user agent da crawler compare testo che nel browser non vedi.
  • Link di spam, nascosti con CSS, nel footer o nell'header del tuo tema.
  • Codice inatteso nei file del tema, in particolare functions.php, header.php e footer.php, spesso nascosto in stringhe lunghe e illeggibili.

Come controllare il tuo sito

Poiché il contenuto è mascherato dal cloaking, devi guardare come fa un motore di ricerca:

  1. Cerca su Google site:tuodominio.com e scorri i risultati, cercando titoli che non riconosci.
  2. Usa Google Search Console. Il rapporto Pagine mostra quante sono indicizzate, e il rapporto Problemi di sicurezza può elencare l'hack.
  3. Guarda il sorgente della pagina e cerca le parole sconosciute o gli elementi nascosti.
  4. Esegui un controllo che guardi dall'esterno. Il controllo gratuito di hack del sito cerca parole chiave di spam, link nascosti, script iniettati e cloaking, e confronta ciò che ricevono un visitatore normale e il crawler di un motore di ricerca.

Come ripulire

I passaggi di pulizia sono gli stessi di qualsiasi sito WordPress hackerato, vedi il mio sito è stato hackerato: cosa fare per prima cosa. Con lo spam SEO, fai attenzione a questi punti in più:

  • Elimina i file di spam e le eventuali backdoor, non solo le pagine visibili. L'attaccante di solito lascia una via per rientrare.
  • Controlla il database per articoli e opzioni iniettati, e il file .htaccess per regole di redirect.
  • Reimposta tutte le password e le chiavi di sicurezza e rimuovi gli utenti amministratori sconosciuti.
  • Ripulisci in Google Search Console. Invia una sitemap pulita e usa lo strumento di rimozione per gli indirizzi di spam. Se Google ha segnalato il sito, richiedi un riesame. Vedi come rimuovere l'avviso «Sito ingannevole».
  • Restituisci lo stato giusto per le pagine morte. Gli indirizzi di spam che non esistono più devono restituire 404 o 410, così i motori di ricerca li eliminano.

Evita che si ripeta

Questi attacchi di solito arrivano da un plugin o tema obsoleto, o da una password rubata. Mantieni tutto aggiornato, rimuovi i plugin inutilizzati, usa password uniche con autenticazione a due fattori e conserva backup recenti fuori dal server. Poiché l'attacco si nasconde a te, i controlli automatici contano: ServerMonitor confronta regolarmente ciò che ricevono visitatori e crawler e cerca parole chiave di spam, link nascosti e script iniettati, così lo scopri presto.