Tu web muestra texto en japonés. Esto es lo que ha pasado.
Abres tu web y algo no cuadra. Donde deberían estar tus servicios aparecen caracteres japoneses. Buscas tu dominio en Google y te encuentras con tu propio sitio anunciando pastillas, réplicas o casinos, en japonés. Algún cliente te dice que acabó en una página que no tiene nada que ver contigo.
Tú no has tocado nada. No hablas japonés. Tu web, ahora sí.
Esto se llama spam SEO japonés y es uno de los hackeos de WordPress más frecuentes. Cada año afecta a decenas de miles de webs de negocio, incluidas muchas que tienen instalado un plugin de seguridad.
Qué es exactamente el spam SEO japonés
Es un ataque en el que se inyectan páginas ocultas dentro de tu WordPress (a veces miles) que promocionan medicamentos, productos falsificados o casas de apuestas, todas redactadas en japonés.
Están diseñadas con un doble filo: invisibles para ti, que eres quien podría eliminarlas, y perfectamente visibles para Google. La idea es tomar prestada la credibilidad de tu dominio para posicionar contenido basura en las búsquedas en japonés. Tu negocio acaba alojando, sin saberlo, la operación de otro.
No es algo personal. Hay bots rastreando internet sin parar en busca de instalaciones de WordPress con plugins desactualizados, contraseñas flojas o vulnerabilidades sin parchear. Cuando encuentran un hueco, inyectan el código y siguen con el siguiente objetivo. Todo el proceso dura segundos.
Cómo saber si lo tienes
La señal más evidente es texto en japonés donde no debería haberlo:
- Los títulos de tus páginas salen con caracteres japoneses en los resultados de Google
- Aparecen páginas que tú nunca creaste en tu sitemap o al buscar
site:tudominio.com - Algún visitante te comenta que acabó en una web desconocida
- Google Search Console te muestra un pico de páginas indexadas que no reconoces
A veces las señales son más sutiles: una caída de posiciones sin explicación, el sitio más lento de lo normal, o un repunte extraño de tráfico procedente de Japón en las analíticas.
Por qué lo que suele intentarse no funciona
Casi todo el mundo prueba primero lo evidente:
Borrar las páginas de spam desde WordPress. Vuelven en unas horas, porque el código que las genera sigue ahí.
Reinstalar los archivos del núcleo de WordPress. El ataque no vive en el núcleo: vive en la base de datos, en los plugins, en el tema y muchas veces en archivos PHP escondidos en carpetas poco transitadas.
Pasar el escáner de un plugin de seguridad. Herramientas como Wordfence o MalCare buscan firmas de malware conocidas, pero estas inyecciones se actualizan constantemente para esquivarlas. Es habitual que un escáner remoto o basado en firmas informe de que «no hay problemas» mientras el spam sigue activo en archivos y en la base de datos. Es una limitación conocida y documentada del escaneo automático.
Qué hace falta para limpiarlo de verdad
Eliminar del todo el spam SEO japonés obliga a trabajar en varias capas a la vez:
Limpieza de la base de datos. Las páginas inyectadas se guardan en las tablas wp_posts y wp_options. Hay que localizar y eliminar cada entrada, no solo las páginas visibles, también los registros de configuración que las regeneran.
Revisión del sistema de archivos. Todos los archivos PHP del servidor, incluidos los del tema, los de los plugins y cualquier cosa que haya acabado en wp-content/uploads, tienen que revisarse en busca de código inyectado. El código malicioso suele estar ofuscado y escondido en ficheros que a primera vista parecen legítimos.
Eliminación de puertas traseras. Los atacantes siempre dejan una vía de vuelta: archivos o fragmentos de código que les permiten reentrar aunque limpies la infección visible. Encontrarlas todas es la parte más crítica de la limpieza.
Hardening. Cuando el sitio está limpio hay que cerrar el agujero por el que entraron: actualizar plugins y temas, quitar lo que ya no se usa, reforzar el acceso y revisar los permisos de los archivos.
Cuánto se tarda
En la mayoría de los WordPress afectados por spam SEO japonés, una limpieza profesional completa lleva entre 24 y 48 horas. Después, Google puede tardar desde unos días hasta unas semanas en volver a rastrear el sitio y actualizar sus resultados.
El aviso que suele venir después
Este tipo de spam tiende a escalar. Cuando Google detecta las páginas inyectadas, puede marcar tu dominio entero como inseguro y enseñar a cada visitante una pantalla roja a pantalla completa. Si eso ya te está pasando, lee nuestra guía sobre qué hacer cuando Google bloquea tu web con un aviso rojo: explica cómo conseguir que lo retiren una vez limpio el sitio.
Cómo lo resolvemos en WPSecureGuard
Con más de 25 años asegurando webs en WordPress y PHP, hemos limpiado docenas de infecciones de spam SEO y malware. Esta variante se esconde repartida entre varias capas (archivos, base de datos y configuración del servidor) y nuestro proceso está pensado para revisarlas y limpiarlas todas.
No nos fiamos de un único escaneo automático. Revisamos a mano el sistema de archivos en busca de código inyectado y ofuscado, limpiamos las tablas afectadas de la base de datos, localizamos y eliminamos las puertas traseras, reparamos el .htaccess y aplicamos hardening para que no puedan volver por el mismo sitio.
El servicio Recovery cuesta 249 € en pago único: limpieza completa, eliminación de puertas traseras, hardening básico y garantía de 30 días contra reinfección. Si vuelve la misma vía de ataque dentro de ese plazo, lo arreglamos sin coste.
Si además quieres protección continua para que esto no se repita, el plan Complete (149 €/mes o 1.499 €/año) cubre monitorización, actualizaciones, parcheo y recuperación de emergencia dentro de la suscripción.