Spam casino WordPress: cómo reconocerlo y limpiarlo

Qué aspecto tiene el spam casino WordPress

El fenómeno recibe varios nombres según el país: “japanese keyword hack”, “pharma hack”, “casino hack”. El mecanismo es el mismo.

Los síntomas vistos desde Google

Todo empieza con una búsqueda site:votredomaine.fr. En lugar de tus treinta páginas habituales, Google lista tres mil: “mejor casino online 2026”, “tragaperras bono sin depósito”, “slot gacor”, a menudo en japonés, indonesio o turco. Las direcciones se parecen a /casino/, /slot-online/, /?p=xxxx o a subdirectorios con nombres aleatorios. Al hacer clic desde Google, el visitante es redirigido a un sitio de apuestas; al escribir la misma dirección directamente, ve una página 404 o tu sitio normal. Esta diferencia de comportamiento es la firma del spam casino WordPress: el código inyectado lee el referente y el agente de usuario, y solo sirve el contenido de spam a los robots de Google y a los visitantes que llegan desde un resultado de búsqueda. Eso es lo que lo hace tan difícil de detectar para el propietario, que siempre teclea la dirección de su sitio a mano. Los demás indicios llegan después: Search Console señala miles de nuevas páginas indexadas y “problemas de seguridad”, el número de clics se desploma para tus palabras clave reales, llegan correos de queja y, a veces, el proveedor de hosting bloquea la cuenta por la carga del servidor generada por los millones de solicitudes de los bots a las páginas ficticias.

Qué gana el atacante con un spam casino WordPress

El objetivo no es perjudicarte, sino aprovechar tu reputación. Un dominio antiguo, con enlaces entrantes y un historial limpio, se posiciona en Google mucho más fácilmente que un dominio creado el día anterior. Por eso, las redes que venden enlaces a casinos online, en países donde su publicidad está prohibida, han industrializado la toma de control de sitios WordPress normales: cada sitio hackeado se convierte en un intermediario que aloja páginas de apuestas, redirige al casino cliente y transmite parte de su autoridad. Una sola red puede controlar varias decenas de miles de sitios, repartidos por país y por idioma. El código inyectado está diseñado para durar: se reinstala si se borra un archivo, se oculta en varios lugares a la vez y evita cuidadosamente modificar la página de inicio. Cuanto más tiempo permanezca invisible la infección, más dinero genera el sitio. Por eso, un spam casino WordPress puede vivir seis meses o un año en el sitio de una empresa sin que nadie se dé cuenta, hasta el día en que Google elimina el dominio de sus resultados o muestra el aviso “Este sitio puede haber sido hackeado”. En ese punto, la pérdida de visibilidad ya está instalada y la recuperación llevará varias semanas tras la limpieza.

Limpiar un spam casino WordPress en siete pasos

La limpieza requiere método, no experiencia. El error clásico es borrar las páginas visibles y quedarse ahí.

Encontrar el código inyectado

El código se oculta en varios lugares a la vez, y hay que encontrarlos todos. Empieza por los archivos modificados recientemente: desde un acceso SSH, find . -name "*.php" -mtime -30 lista todo lo que ha cambiado en el último mes. Compara el núcleo de WordPress con la versión oficial, ya sea con una herramienta de verificación de integridad o descargando la misma versión y comparando carpeta por carpeta. Después, revisa las ubicaciones favoritas de este tipo de infección, resumidas en la tabla de abajo. Busca en todos los archivos los patrones eval(, base64_decode(, gzinflate(, str_rot13(, y las cadenas largas de caracteres ilegibles. Mira también los archivos que no deberían existir: un .php en uploads, un wp-conf.php, un index2.php, un archivo con nombre aleatorio en la raíz. Por último, la base de datos: la tabla wp_posts suele contener los miles de artículos de spam, a veces con un estado especial que los oculta en la administración, y la tabla wp_options puede alojar un script en las opciones del tema. Un administrador desconocido en wp_users es casi sistemático.

Eliminar, reemplazar y luego verificar

Una vez establecido el mapa de la infección, sigue este orden, sin saltarte nada.

1. Guardar el estado infectado, archivos y base de datos, fuera del servidor. Probablemente no volverás a ello, pero es tu red de seguridad.
2. Cambiar todas las contraseñas: WordPress, FTP, base de datos, hosting. Regenerar las claves de seguridad de wp-config.php.
3. Reemplazar el núcleo: borrar wp-admin y wp-includes, reinstalar la misma versión desde wordpress.org, volver a poner los archivos de la raíz salvo wp-config.php.
4. Reinstalar plugins y temas desde sus fuentes oficiales, eliminar todo lo que ya no se use o no tenga una fuente conocida.
5. Limpiar la base de datos: borrar los artículos de spam por lotes, eliminar los administradores desconocidos, inspeccionar wp_options.
6. Purgar los sitemaps y la caché, y luego relanzar un escaneo externo y una búsqueda site:.
7. Solicitar la eliminación de las páginas de spam en Search Console y la revisión de seguridad.

La verificación no termina el mismo día: vigila los archivos modificados durante al menos dos semanas. Una reinfección en los primeros días significa que ha sobrevivido una puerta trasera o que no se ha cerrado la vulnerabilidad original.

¿Restaurar una copia de seguridad en lugar de limpiar?

La pregunta surge cada vez, y la respuesta depende de dos fechas: la de la infección y la de la última copia de seguridad con garantías de estar sana. Si tienes una copia anterior a la aparición de las primeras páginas de apuestas en Google, y se ha publicado poco contenido desde entonces, restaurar es la vía más rápida: una hora en lugar de un día. La trampa es que la mayoría de copias automáticas rotan cada siete o treinta días, mientras que un spam casino WordPress suele vivir varios meses antes de que se detecte; entonces, todas las copias disponibles ya contienen la infección, a veces en una forma latente que se reactivará unos días después de la restauración. Para decidir, fecha la infección con ayuda de los archivos modificados y de Search Console, que indica cuándo empezó a subir el número de páginas indexadas, y luego elige una copia claramente anterior. En cualquier caso, restaurar no te exime ni de cambiar las contraseñas, ni de actualizar de inmediato todo lo instalado, ni de revisar los administradores: la vulnerabilidad que permitió la entrada también existe en la copia, y el bot que la explotó volverá a pasar. Un sitio restaurado sin estos tres pasos se reinfecta en una semana y, además, pierdes el contenido publicado entre medias.

Hacer que las páginas desaparezcan de Google

Limpiar el servidor no basta: Google mantiene las tres mil páginas de casino en su índice durante semanas y sigue asociando tu dominio a esas palabras clave. Hay que acelerar su retirada. Primero, asegúrate de que las direcciones antiguas devuelven ahora un código 404 o, mejor, 410, que indica una eliminación definitiva y acelera la desindexación. Después, en Search Console, usa la herramienta de retirada para los prefijos de URL más frecuentes, por ejemplo todo lo que empiece por /casino/. Vuelve a enviar tu sitemap legítimo, y solo ese. Si Search Console muestra un problema de seguridad, solicita la revisión describiendo las acciones realizadas; la respuesta suele llegar en una semana. Comprueba también Bing, cuyas herramientas para webmasters ofrecen las mismas funciones. Espera una recuperación progresiva: los sitios limpiados suelen recuperar su posicionamiento en cuatro a ocho semanas, a veces más si la infección llevaba mucho tiempo. Durante ese periodo, publica con normalidad y revisa Search Console cada semana; el número de páginas indexadas debe ir bajando de forma regular hasta tu cifra real.

Evitar que vuelva

Un spam casino WordPress limpiado sin corregir la causa vuelve en pocos días.

Spam casino WordPress: las vías de entrada habituales

En la gran mayoría de casos documentados, la infección entra por un plugin o un tema sin actualizar, cuya vulnerabilidad es pública y se explota automáticamente mediante bots que escanean la web de forma continua. Los plugins de formularios, galerías, constructores de páginas y copias de seguridad son los objetivos más habituales, simplemente porque están instalados en millones de sitios. Después vienen las contraseñas débiles o reutilizadas: una cuenta “admin” con una contraseña filtrada en una brecha de datos se prueba en cuestión de una hora. Los temas y plugins de pago descargados gratis desde sitios de piratería ocupan el tercer lugar: vienen con la puerta trasera integrada y la instalación del spam llega unas semanas más tarde. Por último, en hostings compartidos mal aislados, un sitio abandonado en la misma cuenta puede contagiar a sus vecinos. Lo que el spam casino WordPress casi nunca explota es una vulnerabilidad del núcleo de WordPress: son raras y se corrigen en pocas horas. Es decir, la causa casi siempre es un retraso en las actualizaciones o una contraseña, dos cosas que se corrigen sin conocimientos técnicos especiales, siempre que se hagan con regularidad.

Spam casino WordPress: la monitorización que lo detiene en una hora

La diferencia entre una infección detectada en una hora y una infección descubierta por Google seis meses después se reduce a un solo elemento: alguien o algo revisa el sitio cada día. Una monitorización eficaz compara a diario los archivos del sitio con una huella conocida y alerta de cualquier archivo PHP nuevo o modificado, especialmente en uploads y mu-plugins. Lista los administradores y avisa de cualquier cuenta inesperada. Comprueba que wp-config.php, .htaccess y el sitemap no han cambiado. Verifica que el sitio devuelve el mismo contenido a un visitante normal y a Googlebot, lo que detecta el cloaking característico de este ataque. Además de la monitorización, tres medidas reducen mucho la exposición: actualizaciones semanales de todo lo instalado, prohibir la ejecución de PHP en la carpeta uploads, y desactivar el editor de archivos en la administración. Para una agencia que gestiona veinte o cincuenta sitios, hacerlo a mano es imposible; precisamente eso es lo que automatiza una herramienta de gestión de parque, señalando cada día los sitios en los que ha cambiado un archivo o en los que un plugin va retrasado de versión.

Preguntas frecuentes

Mi sitio se muestra con normalidad, ¿de verdad estoy infectado? Sí, si site:votredomaine.fr muestra páginas de apuestas. El código solo se las sirve a Google y a los visitantes que llegan desde un resultado de búsqueda.

¿Basta con borrar las páginas de spam? No. Se regeneran por el código inyectado, que hay que eliminar de los archivos y de la base de datos.

¿Cuánto tardaré en recuperar mi posicionamiento? De cuatro a ocho semanas tras una limpieza completa y una revisión aceptada.

¿Habría bastado un cortafuegos? Habría bloqueado los intentos de inicio de sesión, no la explotación de un plugin obsoleto. La actualización sigue siendo la primera protección.