Tu web se ve bien. Tus resultados en Google están en chino.
Buscas tu propio dominio y hay algo muy mal. Entre tus páginas reales aparecen decenas —a veces miles— de resultados en caracteres chinos, apuntando a URLs que no has visto en tu vida. Réplicas de relojes. Medicamentos. Casas de apuestas.
Entras en WordPress y está todo normal. Cuatro páginas. Las que hiciste tú. Nada que borrar, nada fuera de sitio.
Esa distancia entre lo que ves tú y lo que ve Google no es un fallo: es el diseño entero del ataque.
Qué es el spam con texto chino
Es spam SEO inyectado. Alguien entró en tu sitio y plantó código que genera páginas de spam en tu dominio, en chino, dirigidas a las búsquedas en ese idioma.
No le están vendiendo a tus clientes. Están usando la reputación que tu dominio se ganó con Google para posicionar sus páginas, algo que un dominio de spam recién creado no conseguiría por su cuenta. Tu negocio se convierte en infraestructura gratuita para la operación de otro.
Si leíste lo del hackeo de texto japonés, esto es el mismo ataque apuntando a otro mercado. Mismas puertas de entrada, misma mecánica, misma limpieza. Solo cambia el idioma.
Por qué no aparecen nunca en tu escritorio
Esta es la parte que hace dudar a cualquiera, así que conviene ser preciso.
En la mayoría de los casos las páginas de spam no existen como páginas de WordPress. No hay nada en tu listado porque no se añadió nada ahí. El código inyectado intercepta la petición: cuando Googlebot pide tudominio.com/1kqz9/, el código construye la página de spam en el momento y se la sirve. Cuando pides esa misma URL desde tu navegador, con la sesión de administrador abierta, el código te devuelve un 404 o te manda a la portada.
El malware comprueba quién está preguntando. Sirve spam a los buscadores y comportamiento normal a ti. Eso se llama cloaking, y es la razón por la que «lo miré y no había nada» no demuestra que el sitio esté limpio.
Cómo confirmarlo
Tres comprobaciones, en este orden:
Busca site:tudominio.com en Google. Esto lista lo que Google tiene realmente indexado de tu dominio. Las páginas de spam salen aquí aunque sean invisibles en todas partes. Pasa páginas de resultados: las URL inyectadas suelen empezar después de tus páginas legítimas.
Abre Search Console y mira el recuento de páginas. El informe de indexación te dice cuántas URL conoce Google. Un sitio con doce páginas reales que declara varios miles de URL indexadas está inyectado, sin más diagnóstico necesario.
Pide una de esas URL como Googlebot. La herramienta de inspección de URL de Search Console renderiza la página tal como la ve Google. Si vuelve llena de spam en chino mientras tu navegador muestra un 404, acabas de confirmar el cloaking.
Por dónde entraron
Las mismas puertas de siempre:
- Un plugin o tema desactualizado con una vulnerabilidad publicada que nunca se parcheó
- Un plugin o tema pirateado, que a menudo ya viene con la puerta trasera incorporada
- Una contraseña de administrador débil o reutilizada, sacada por fuerza bruta o de una filtración
- Otro sitio comprometido en la misma cuenta de hosting compartido
Nada de esto es personal. Hay bots rastreando sin parar en busca de cualquier sitio con un hueco: inyectan y pasan al siguiente.
Qué exige una limpieza de verdad
Borrar lo que se ve no sirve aquí, porque lo que se ve es prácticamente nada. El trabajo está en el nivel donde vive la inyección:
Encontrar el generador. Hay que localizar el código que produce las páginas, normalmente dentro de los archivos del tema, de un plugin, o en un PHP dejado en wp-content/uploads con un nombre que no llama la atención.
Limpiar la base de datos. Las entradas inyectadas en wp_options y wp_posts guardan la configuración y a veces el propio contenido de spam.
Eliminar todas las puertas traseras. El atacante dejó al menos una vía de vuelta. Si se escapa una, todo se regenera en horas: es el bucle de reinfección que explicamos en por qué «escanear y borrar» no elimina el malware actual.
Cerrar la vía de entrada. Parchear la vulnerabilidad, cambiar todas las credenciales y revisar los permisos de los archivos.
Limpiar el índice de búsqueda. Enviar un sitemap actualizado y pedir la retirada de las peores URL para que Google las descarte antes.
Si Google ya te marcó
Una inyección de este tamaño acaba con frecuencia en un aviso de Navegación Segura, la pantalla roja que bloquea a todos los visitantes. Si ya te pasó, primero va la limpieza y después la solicitud de revisión: lo explicamos en cómo conseguir que Google retire el aviso.
Cómo lo resolvemos en WPSecureGuard
Con más de 25 años asegurando webs en WordPress y PHP, hemos limpiado docenas de infecciones de spam SEO inyectado. Esta variante se esconde a la vez en archivos, base de datos y configuración del servidor, y la limpieza está hecha para revisar las tres en lugar de fiarse de un único escaneo automático.
El servicio Recovery cuesta 199 € en pago único: limpieza completa, eliminación de puertas traseras, reparación del .htaccess y solicitud de salida de la lista negra, con inicio dentro de las 48 horas. No cubre reinfecciones. Recovery Now (349 €) arranca en menos de 2 horas, 24/7, y suma blindaje completo contra reingreso más garantía de 30 días contra reinfección.