Spam japonés en WordPress: cómo eliminarlo de Google

Cómo se ve

Busca en Google site:tudominio.com. Si estás afectado, verás resultados con títulos en japonés en direcciones que no existen en tu web, a menudo en carpetas con nombres aleatorios. Al hacer clic pueden pasar tres cosas: ves una página de tienda falsa, te redirige a otra web o ves tu web normal.

Que tú veas tu web normal no significa nada. Este hackeo suele usar cloaking: enseña el spam a Google y tu contenido a los demás, para que el dueño tarde en enterarse. Para ver lo que ve Google, usa en Search Console la Inspección de URLs con una de esas direcciones y pulsa Probar URL publicada. También puedes pedir la página como si fueras Googlebot:

curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://tudominio.com/ruta-sospechosa/ | head -50

Otras señales:

• Search Console muestra un problema de seguridad de contenido pirateado o un aumento brusco de páginas indexadas.
• Aparece un propietario nuevo en Search Console que no has añadido tú. Los atacantes se verifican como propietarios para enviar sus propios sitemaps.
• Archivos de verificación de Google (google…html) en la raíz que no son tuyos.
• Un sitemap que no reconoces en Search Console o en la raíz de la web.

Por qué te ha pasado

Las páginas las genera un script que el atacante ha instalado en tu web, normalmente tras entrar por un plugin o tema desactualizado o con una contraseña robada. El negocio es aprovechar la autoridad de tu dominio en Google para posicionar tiendas de falsificaciones. Tu web no es el objetivo: es la herramienta. Por eso suelen estar automatizados y afectan a miles de webs a la vez.

Limpieza en la web

El orden que propone la guía de Google para este hackeo, con lo que yo añado para WordPress:

1. Haz una copia completa de archivos y base de datos tal como están, antes de borrar nada.
2. Quita los propietarios desconocidos de Search Console (Configuración → Usuarios y permisos) y borra sus archivos de verificación de la raíz. Si no, el atacante puede seguir enviando sitemaps.
3. Revisa el .htaccess: los atacantes lo usan para servir las páginas de spam y para redirigir. Si no tienes reglas propias, sustitúyelo por el de WordPress por defecto. Mira también los .htaccess de las subcarpetas.
4. Reinstala el núcleo, los plugins y el tema desde sus fuentes oficiales, para que cualquier archivo modificado se sustituya. Con WP-CLI: wp core verify-checksums te dice qué archivos del núcleo no coinciden.
5. Busca el resto: archivos PHP con código ofuscado (cadenas largas sin sentido, base64_decode, eval), archivos modificados recientemente, PHP dentro de wp-content/uploads/, usuarios administradores que no conoces y tareas programadas extrañas. Google cita index.php y wp-load.php como archivos que se suelen modificar.
6. Revisa la base de datos: a veces las páginas de spam se guardan como entradas o en opciones de wp_options.
7. Cierra la entrada: actualiza todo, elimina plugins que no usas, cambia todas las contraseñas y regenera las claves de wp-config.php.

Para saber si has terminado, vuelve a abrir las URL de spam: deben dar 404 (no encontrado) o 410 (eliminado). Si alguna sigue respondiendo con contenido, algo se ha quedado. No las redirijas a la portada: Google necesita ver que esas páginas ya no existen.

Un ejemplo simplificado del tipo de reglas que suelo encontrar en el .htaccess de una web con este hackeo: unas reglas que mandan cualquier dirección inexistente a un script del atacante, que genera la página de spam al vuelo. Por eso hay miles de URL y ningún archivo por cada una:

RewriteEngine On
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^([a-z0-9]+)/(.*)$ wp-content/uploads/2023/05/cache.php?id=$1&p=$2 [L]

Se parece mucho a las reglas normales de WordPress, y esa es la idea. La diferencia está en el destino: WordPress siempre manda a index.php, nunca a un PHP dentro de uploads. El nombre y la ruta del script cambian en cada caso.

Limpieza en Google (Search Console)

1. Pide la revisión si hay aviso

Si Seguridad y acciones manuales → Problemas de seguridad muestra contenido pirateado, pide la revisión con Solicitar revisión cuando la web esté limpia, explicando qué había, qué has hecho y cómo has cerrado la entrada. Google indica que las revisiones de seguridad tardan desde unos pocos días hasta unas semanas. El proceso completo está en Google dice que mi sitio es peligroso.

2. Limpia los sitemaps

En Sitemaps, elimina cualquiera que no hayas enviado tú y vuelve a enviar el tuyo (en WordPress suele ser /wp-sitemap.xml o el de tu plugin de SEO). Así Google rastrea antes tus páginas reales.

3. Oculta lo urgente con Retiradas

La herramienta Retiradas oculta URL de los resultados de forma temporal, durante unos seis meses. Sirve para quitar rápido los resultados más visibles (por ejemplo, un prefijo de carpeta entera de spam), pero no los borra del índice: lo que hace que desaparezcan para siempre es que respondan 404 o 410. Por eso no tiene sentido usarla antes de limpiar.

No bloquees las URL de spam en robots.txt: si Google no puede rastrearlas, no ve que ya no existen y pueden seguir en el índice más tiempo.

4. Ten paciencia con el resto

Las páginas que no hayas retirado a mano irán desapareciendo a medida que Google las vuelva a rastrear y encuentre el 404. En una web con miles de URL de spam, eso puede tardar semanas o meses. Vigila la evolución en el informe de Páginas de Search Console: el número de páginas indexadas debe volver a lo normal.

Mientras tanto, es normal que el tráfico orgánico tarde en recuperarse y que en Search Console veas un pico de errores 404. Esos 404 son buenos: significan que Google está comprobando las direcciones de spam y encontrando que ya no existen. No los «arregles» redirigiéndolos.

Cómo evitar que vuelva

• Actualizaciones al día, sobre todo de plugins. La mayoría de las entradas son plugins con fallos publicados.
• Menos plugins: cada uno que no usas es una puerta más, aunque esté desactivado.
• Contraseñas únicas y verificación en dos pasos para los administradores, el hosting y la cuenta de Google con acceso a Search Console.
• Revisa los propietarios de Search Console de vez en cuando. Un propietario nuevo que no conoces es una alarma temprana.
• Control de integridad: saber que un archivo del núcleo ha cambiado el mismo día que cambia es la diferencia entre limpiar tres archivos y limpiar diez mil páginas.
• Vigila site:tudominio.com de vez en cuando, o configura alertas de Search Console por correo.

Si quieres que me encargue

Este hackeo es de los que vuelven si no se encuentra la puerta trasera. En la limpieza de WordPress (219 €, con 90 días de garantía) limpio archivos y base de datos, cierro la entrada, reviso Search Console y pido la revisión a Google. Si tu web tiene otros síntomas, empieza por la guía para recuperar una web hackeada o por el análisis gratuito.

Fuentes

• Google (web.dev): cómo corregir el hackeo de palabras clave japonesas
• Google: herramienta de retiradas de Search Console
• Google: informe de problemas de seguridad