Google muestra tu web con títulos en japonés: el hackeo que solo ve Google

Buscas tu sitio en Google con site:tudominio.cl y aparecen cientos de resultados en japonés: relojes, bolsos, ofertas de marcas. Entras a tu web y se ve perfecta. Entras al escritorio y no hay nada raro.

No es un error de Google. Es uno de los hackeos más comunes de WordPress, conocido como spam de palabras clave en japonés, y está diseñado justamente para que tú no lo veas.

Por qué tú no lo ves

El código malicioso revisa quién está visitando la página. Si eres una persona, muestra tu sitio normal. Si es el robot de Google, muestra el spam. Esta técnica se llama cloaking. Así los atacantes aprovechan la reputación de tu dominio para posicionar sus tiendas falsas, y tú te enteras semanas después, cuando cae tu tráfico.

Confírmalo en un minuto

Desde cualquier terminal (también funciona en Windows 10 y 11) pide tu portada haciéndote pasar por Google:

curl -sL -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://tudominio.cl/ | grep -i "<title>"

Si el título que aparece no es el tuyo, confirmado. También puedes usar Search Console → Inspección de URLs → Probar URL publicada → Ver página probada, que muestra lo que realmente ve Google.

Revisa Search Console antes que nada. Una de las primeras cosas que hacen los atacantes es agregarse como propietarios de tu sitio en Search Console, subiendo un archivo google…html de verificación. Ve a Configuración → Usuarios y permisos, elimina a cualquier propietario que no reconozcas y borra del servidor los archivos de verificación que no sean tuyos. Si no lo haces, pueden volver a enviar sus mapas del sitio aunque limpies todo.

Dónde suele esconderse

Haz una copia completa del sitio antes de tocar nada. Luego, si tienes acceso SSH o la Terminal de cPanel, entra a la carpeta del sitio y revisa estos puntos:

cd ~/public_html

# 1. Archivos PHP modificados en los últimos 30 días
find . -name "*.php" -mtime -30 -not -path "./wp-content/cache/*" | head -50

# 2. PHP dentro de uploads (ahí solo debería haber imágenes y documentos)
find wp-content/uploads -name "*.php"

# 3. Archivos .html o .php raros en la raíz
ls -la | grep -vE "wp-|index.php|\.htaccess|robots.txt"

# 4. Código ofuscado, la firma típica del malware
grep -rlE "eval\(base64_decode|gzinflate\(|str_rot13\(|assert\(\\$_" --include=*.php . | head -30

# 5. Reglas de redirección inyectadas
cat .htaccess

Con WP-CLI puedes además comparar el núcleo y los plugins con los originales:

wp core verify-checksums
wp plugin verify-checksums --all
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Los dos primeros comandos listan cualquier archivo de WordPress o de plugins de WordPress.org que no coincida con el original. El tercero muestra los administradores con su fecha de alta: un administrador creado el mismo día en que empezó el spam es una pista clarísima.

Limpieza, en este orden

1. Reinstala el núcleo limpio: wp core download --force --skip-content. No toca tu contenido.
2. Reinstala cada plugin y tema desde su origen oficial. No intentes limpiar archivos infectados uno por uno: es fácil que quede algo.
3. Borra los PHP de uploads, los archivos sueltos de la raíz y los administradores intrusos.
4. Restaura un .htaccess limpio con solo las reglas de WordPress.
5. Cambia todo: contraseñas de WordPress, FTP, cPanel y base de datos. Luego regenera las claves secretas con wp config shuffle-salts, que cierra todas las sesiones abiertas.
6. Revisa los trabajos de cron en cPanel: algunos ataques dejan una tarea que vuelve a descargar el malware cada hora.

Después: limpiar Google

• Repite la prueba con curl hasta que el título sea el tuyo.
• En Search Console, envía de nuevo tu mapa del sitio y elimina cualquier mapa que no hayas creado tú.
• Las URLs de spam deben responder 404 o 410. Google las irá sacando sola en unas semanas; si quieres acelerarlo, usa Indexación → Retirada de contenido con el prefijo común de esas URLs.
• Si Google marcó tu sitio con un aviso de seguridad, pide la revisión en Seguridad y acciones manuales.

Para que no vuelva a pasar: este ataque casi siempre entra por un plugin desactualizado o por una contraseña reutilizada. Actualizaciones al día, autenticación en dos pasos para administradores y bloquear la ejecución de PHP en uploads cierran la mayoría de las puertas.

¿Confirmaste el cloaking y no encuentras el archivo? Comparte en el foro el resultado de los comandos de búsqueda (sin contraseñas ni datos privados) y te ayudamos a ubicarlo.