Cómo Detectar y Eliminar Ataques SEO Injection en WordPress

Imagina que eres una empresa de socorrismo acuático en Málaga, con una web honesta, orientada a contratar servicios de seguridad en playas y piscinas. Un día, alguien busca tu dominio en Google y encuentra indexada una página tuya con el título: "Medidas de una carta de póker — Casino Online Gratis". Eso fue exactamente lo que le ocurrió a sosmalaga.es, y es más común de lo que parece.

En este artículo te explicamos qué es un ataque SEO Injection, cómo detectarlo a tiempo, qué consecuencias tiene si no actúas, y cómo limpiar y proteger tu WordPress antes de que Google te penalice definitivamente.

¿Qué es un Ataque SEO Injection?

Un SEO Injection (también conocido como Pharma Hack o Casino Hack) es un tipo de ataque en el que un actor malintencionado accede a tu web y añade contenido oculto o páginas falsas con el objetivo de posicionar sus propios sitios de temática dudosa (casinos, fármacos sin receta, pornografía, juegos de azar) utilizando la autoridad de tu dominio.

El atacante no quiere tirarte la web. Quiere que tu dominio, con sus años de reputación, haga el trabajo SEO sucio por él. El resultado es que Google indexa páginas tuyas con contenido spam, lo que:

• Daña tu reputación y credibilidad.
• Diluye la autoridad de dominio (DA) con contenido irrelevante.
• Puede desencadenar una penalización manual de Google.
• Confunde a tus usuarios y ahuyenta a clientes potenciales.

Este tipo de hackeo suele ocurrir cuando WordPress no está actualizado, hay plugins con vulnerabilidades conocidas o las credenciales de administrador son débiles.

Cómo Detectar un Ataque SEO Injection

El ataque es especialmente peligroso porque el contenido inyectado suele ser invisible para el administrador de la web. Los hackers utilizan técnicas de cloaking para mostrar el contenido spam solo a los rastreadores de Google, ocultándolo a los visitantes normales y al propio propietario.

1. Búsqueda directa en Google

La forma más rápida de detectarlo es usar el operador site: en Google:

site:tudominio.com casino
site:tudominio.com poker
site:tudominio.com viagra
site:tudominio.com farmacia

Si aparecen resultados con URLs o títulos que no reconoces, estás ante un caso de SEO Injection. En el caso de sosmalaga.es, la URL /medidas-de-una-carta-de-poker/ estaba perfectamente indexada con contenido de casino.

2. Google Search Console

Accede a Google Search Console > Resultados de búsqueda y filtra por consultas. Si ves palabras clave completamente ajenas a tu negocio (como "casino", "apuestas", "poker online"), es una señal de alarma muy clara.

También revisa el informe de Cobertura buscando páginas indexadas que no deberían existir.

3. Herramientas de seguridad externas

• Sucuri SiteCheck (sitecheck.sucuri.net): escanea tu URL y detecta malware, listas negras y inyecciones conocidas.
• VirusTotal: permite analizar URLs sospechosas con múltiples motores antivirus.
• Screaming Frog: rastrea todas las URLs de tu dominio y puede revelar páginas inyectadas.

4. Revisión manual del servidor

Conecta por FTP o SSH y busca archivos PHP sospechosos, especialmente en:

• /wp-content/uploads/ (directorio que no debería tener PHP ejecutable)
• /wp-includes/
• Archivos con nombres aleatorios como wp-loginn.php, xmlrpc-test.php

Compara los hash de los archivos core de WordPress con los originales del repositorio oficial.

Consecuencias de No Actuar Rápido

El tiempo es crítico. Cada día que Google indexa contenido spam en tu dominio, el daño se acumula:

Pérdida de posicionamiento orgánico

Google detecta la presencia de contenido spam y puede reducir la visibilidad de todas tus páginas, no solo las infectadas. El algoritmo interpreta que tu sitio tiene problemas de calidad.

Penalización manual

Si el equipo de spam de Google revisa tu sitio y confirma el hackeo, puede emitir una acción manual que elimine tu web del índice. Recuperarse de esto lleva meses y requiere un proceso formal de solicitud de revisión.

Daño reputacional

Tus clientes, proveedores o colaboradores pueden encontrar esas páginas spam antes que las tuyas. En el caso de una empresa de socorrismo como sosmalaga.es, aparecer asociado a casinos online puede ser catastrófico para la confianza de los clientes institucionales.

Dilución de la autoridad del dominio

Cada página thin content o spam que se indexa bajo tu dominio resta valor a todo tu perfil de enlazado. El trabajo SEO que llevas años construyendo se devalúa.

Proceso de Limpieza Paso a Paso

Una vez confirmado el ataque, actúa con rapidez y orden.

Paso 1: Poner la web en mantenimiento

Activa un modo de mantenimiento para evitar que los visitantes sigan viendo contenido comprometido mientras limpias.

Paso 2: Hacer una copia de seguridad (aunque esté infectada)

Antes de tocar nada, haz una copia del estado actual. Si algo sale mal en el proceso, necesitarás poder revertir.

Paso 3: Escanear con Wordfence o Sucuri

Instala el plugin Wordfence Security o Sucuri Security y ejecuta un escaneo completo. Estos plugins:

• Identifican archivos modificados respecto a la instalación original de WordPress.
• Detectan puertas traseras (backdoors) ocultas en el código.
• Listan las URLs inyectadas y el código malicioso.

# Si tienes acceso SSH y WP-CLI instalado:
wp plugin install wordfence --activate
wp wordfence scan

Paso 4: Eliminar archivos infectados y páginas spam

• Borra o restaura los archivos core de WordPress desde una descarga limpia.
• Elimina las entradas/páginas inyectadas desde la base de datos o el panel de WordPress.
• Revisa y limpia la tabla wp_posts y wp_options en busca de contenido ajeno.

Paso 5: Cambiar todas las credenciales

• Contraseñas de todos los usuarios de WordPress (especialmente administradores).
• Contraseña de la base de datos (y actualizar wp-config.php).
• Claves secretas de WordPress (regenerar las salts en wp-config.php).
• Contraseña del FTP/SFTP y del panel de hosting.
• Acceso a Google Search Console y otros servicios vinculados.

Paso 6: Solicitar revisión a Google

Una vez limpio el sitio, accede a Google Search Console > Seguridad y acciones manuales y solicita una revisión. Describe las medidas tomadas con detalle. Google puede tardar entre 1 y 4 semanas en procesar la solicitud.

Paso 7: Desindexar las URLs spam

Usa la herramienta de Eliminación de URLs en Search Console para retirar temporalmente del índice las páginas infectadas mientras Google procesa la limpieza.

Prevención Futura: Cómo Blindar tu WordPress

Limpiar un ataque es costoso. Prevenirlo es mucho más barato.

Mantén WordPress, plugins y temas actualizados

El 90% de los hackeos en WordPress explotan vulnerabilidades conocidas en versiones desactualizadas. Activa las actualizaciones automáticas para el núcleo y revisa regularmente los plugins.

Usa plugins de seguridad activos

• Wordfence: firewall, escaneo de malware, bloqueo de IPs.
• iThemes Security: protección de login, detección de cambios en archivos.
• WP Activity Log: registro de actividad para auditar quién hace qué.

Refuerza el acceso al administrador

• Activa la autenticación en dos factores (2FA) para todos los administradores.
• Cambia la URL de acceso al admin (/wp-admin/) por una personalizada.
• Limita los intentos de login fallidos.
• Usa contraseñas de más de 16 caracteres generadas aleatoriamente.

Protege el servidor

• Deshabilita la ejecución de PHP en directorios como /wp-content/uploads/.
• Configura cabeceras de seguridad HTTP (Content-Security-Policy, X-Frame-Options).
• Usa un WAF (Web Application Firewall) a nivel de servidor o CDN (Cloudflare).

Auditorías periódicas de seguridad

No esperes a que ocurra un ataque. Programa escaneos mensuales y revisiones de Google Search Console cada semana. Una auditoría SEO de seguridad detecta anomalías antes de que se conviertan en crisis.

Conclusión

El caso de sosmalaga.es es un ejemplo real de cómo un ataque SEO Injection puede afectar a cualquier negocio, sin importar su tamaño o sector. La clave está en la detección temprana, la actuación rápida y la prevención continua.

Si sospechas que tu web puede estar comprometida, o simplemente quieres asegurarte de que tu WordPress está blindado, no esperes a que Google te penalice. Una auditoría SEO de seguridad puede ahorrarte meses de trabajo de recuperación.

¿Quieres que revisemos tu web? Solicita una auditoría SEO de seguridad con nuestro servicio Bug Shield y protege tu dominio antes de que sea demasiado tarde.