Spam em japonês no Google: como limpar o hack no WordPress

Seu site aparece no Google com títulos em japonês? Entenda o hack de palavras-chave japonesas, como confirmar, limpar o WordPress e tirar as páginas do índice.

Se o seu site aparece no Google com títulos em japonês (ou anúncios de réplicas de marcas, eletrônicos, moda), ele foi atingido pelo hack de palavras-chave japonesas: o invasor gera milhares de páginas de spam no seu domínio para aproveitar a sua reputação no Google. Para resolver, você precisa (1) remover os proprietários que o invasor adicionou no Search Console, (2) limpar o .htaccess, os sitemaps falsos e os arquivos maliciosos, (3) corrigir a porta de entrada e (4) fazer as URLs de spam retornarem 404 ou 410 para saírem do índice.

Atenção: antes de qualquer alteração, faça um backup completo dos arquivos e do banco de dados, mesmo com o site infectado. Ele protege seu conteúdo se algo der errado e guarda evidências de como o invasor entrou.

Como o hack funciona

O Google descreve esse ataque no guia "Fix the Japanese keyword hack", publicado no web.dev. O padrão costuma ser este:

• Páginas novas com texto japonês gerado automaticamente, geralmente em pastas com nomes aleatórios (algo como /abc123/xyz.html) ou via parâmetros na URL. Elas costumam ter links para lojas de produtos falsificados.
• Cloaking: o código detecta se quem acessa é o robô do Google. Para o robô, entrega o spam; para você, mostra o site normal ou um 404. É por isso que muitos donos acham que "a página não existe mais".
• Controle do Search Console: o invasor se adiciona como proprietário do seu site no Search Console. Para isso, cria um arquivo falso de verificação do Google, muitas vezes de forma dinâmica, com uma regra no .htaccess que responde a qualquer endereço google*.html. Com acesso de dono, ele pode enviar sitemaps e mexer em configurações para indexar o spam mais rápido.
• Sitemaps falsos: arquivos de sitemap listando as páginas de spam, enviados ao Google.

A combinação faz o spam aparecer rápido nos resultados e ficar difícil de ver para quem é dono.

Como confirmar que é o hack japonês

1. Busca site:

Pesquise no Google:

site:seudominio.com.br

Navegue por várias páginas de resultados. Pesquise também combinações como site:seudominio.com.br japan ou com termos de marcas e produtos. Títulos e descrições em japonês confirmam o problema. Se o Google não mostrar nada estranho, faça o mesmo teste no Bing.

2. Relatório Problemas de segurança

No Google Search Console, em Segurança e ações manuais > Problemas de segurança, veja se aparece "conteúdo hackeado" ou "injeção de conteúdo/URL", com URLs de exemplo. Confira também Ações manuais: spam gerado por invasão pode gerar uma ação manual separada.

3. Inspeção de URL

Pegue uma URL em japonês que aparece no Google e cole na Inspeção de URL do Search Console. Faça o teste ao vivo e veja a página renderizada e o HTML. Se o Google recebe spam e você recebe 404, é cloaking, e o site continua infectado.

4. Relatório de páginas indexadas e sitemaps

Em Indexação > Páginas, veja se o número de páginas indexadas explodiu. Em Sitemaps, procure sitemaps que você não enviou.

Como limpar, passo a passo

Passo 1: remova proprietários desconhecidos do Search Console

Comece por aqui, senão o invasor continua com controle sobre a indexação.

1. Abra Configurações > Usuários e permissões.
2. Identifique usuários e proprietários que você não reconhece.
3. Para proprietários verificados, abra os detalhes de verificação e remova o dono indesejado. O Google explica que é preciso remover também o token de verificação (o arquivo HTML, a meta tag ou o registro DNS), senão ele pode se verificar de novo.

Passo 2: elimine o token de verificação falso

O token costuma ser um arquivo google[algo].html na raiz do site, que você pode apagar se não for seu. No caso dinâmico, não há arquivo: há uma regra no .htaccess parecida com esta, citada no guia do Google:

RewriteRule ^google(.*)\.html$ dir/file.php?google=$1 [L]

Remova essa regra e o arquivo PHP para o qual ela aponta. Para confirmar, acesse no navegador um endereço inventado, como https://seudominio.com.br/google1a2b3c4d.html. Se retornar 404, o token dinâmico foi eliminado.

Passo 3: limpe todos os .htaccess

Pode haver vários, em pastas diferentes, e eles são arquivos ocultos:

find /caminho/do/site -name ".htaccess"

Substitua cada um por uma versão limpa. Numa instalação padrão do WordPress, o .htaccess da raiz tem só isto:

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

Se você tinha regras legítimas (cache, redirecionamentos de SEO, segurança), adicione de volta só as que você sabe explicar. .htaccess em subpastas que você não criou pode ser salvo fora do servidor e apagado.

Passo 4: remova sitemaps falsos

• No Search Console, em Sitemaps, remova os sitemaps que você não enviou.
• No servidor, apague arquivos de sitemap que não são do seu plugin de SEO (procure arquivos .xml ou geradores PHP na raiz e em pastas estranhas).
• Revise o sitemap legítimo do seu plugin de SEO para garantir que só lista suas páginas.
• Confira o robots.txt: invasores às vezes apontam para um sitemap falso lá.

Passo 5: remova os arquivos maliciosos e reinstale o WordPress

Aqui entra a limpeza completa, a mesma do guia como remover malware e backdoors do WordPress. Em resumo:

wp core verify-checksums
wp plugin verify-checksums --all
wp core download --version=$(wp core version) --skip-content --force
find . -type f -name "*.php" -mtime -30 -ls
find wp-content/uploads -type f -name "*.php"

O guia do Google recomenda reinstalar núcleo, temas e plugins, olhar arquivos modificados perto da data em que o hack foi descoberto, arquivos grandes demais e arquivos muito visados, como index.php, wp-load.php, 404.php e view.php, e procurar código ofuscado com funções como base64_decode, rot13, eval, strrev e gzinflate.

Também confira o banco: o spam às vezes é guardado em wp_posts ou wp_options e servido por um plugin falso. Em WordPress, um volume enorme de posts ou páginas que você não criou é um sinal claro:

wp post list --post_type=any --post_status=any --orderby=date --order=DESC --fields=ID,post_title,post_date --posts_per_page=50

Passo 6: troque senhas, salts e corrija a porta de entrada

Remova administradores desconhecidos, rode wp config shuffle-salts, troque senhas de admins, banco, hospedagem e FTP/SSH. Atualize ou remova o plugin ou tema vulnerável e apague plugins piratas. Sem isso, o spam volta.

Como tirar as páginas de spam do índice do Google

Depois de limpo, as URLs de spam precisam sair dos resultados. A forma definitiva é o servidor responder com 404 (não encontrado) ou 410 (removido) para elas. Quando o Google rastrear de novo, elas saem do índice.

Algumas orientações:

• Confirme o código de resposta com curl -sI https://seudominio.com.br/url-de-spam, e repita com user agent do Googlebot (-A "Googlebot"). Os dois devem dar 404 ou 410.
• Se o spam seguia um padrão (uma pasta ou parâmetro fixo), você pode responder 410 para todo o padrão. Exemplo no .htaccess, acima do bloco do WordPress, ajustando para o padrão real que você encontrou:

RewriteEngine On
RewriteRule ^pasta-do-spam/ - [G,L]

• Use a ferramenta de Remoções do Search Console para esconder as URLs mais visíveis rapidamente. Ela aceita URLs individuais ou um prefixo. Mas o Google avisa que esse bloqueio dura cerca de seis meses e não é permanente: a remoção definitiva vem do 404/410.
• Não use o robots.txt para bloquear as URLs de spam. Isso impede o Google de ver que elas sumiram.
• Reenvie o sitemap legítimo para ajudar o Google a recrawlar suas páginas reais.
• Teste algumas URLs na Inspeção de URL para confirmar que o Google recebe 404.

Se havia aviso de segurança, peça a revisão no relatório Problemas de segurança só depois de tudo isso. O passo a passo está em como remover o aviso de site perigoso do Google.

Checklist do hack japonês

Quer ajuda para limpar?

Se você é técnico, este roteiro resolve, e é o mesmo que um profissional seguiria. O hack japonês é chato porque mexe ao mesmo tempo em arquivos, banco, .htaccess e Search Console, então vale ter paciência e repetir as verificações por algumas semanas.

Se preferir delegar, a Mobgeek faz a limpeza de site WordPress invadido: diagnóstico, remoção de malware e backdoors, restauração, troca de credenciais, hardening, pedido de revisão no Google e relatório, com 30 dias de garantia contra reinfecção, a partir de R$ 790 e início em até 24h. Para acompanhar o site depois, há um plano mensal de proteção. Conte o seu caso e peça um orçamento.