Un cliente te llama: “Oye, cuando busco tu empresa en Google, sale algo de Viagra”. Entras en tu web y todo parece normal. Es el pharma hack, una de las infecciones más antiguas y persistentes de WordPress.
Cómo funciona
El atacante inyecta código que modifica los títulos, descripciones o contenido solo cuando la visita es de un buscador. El objetivo es posicionar farmacias ilegales aprovechando tu dominio. Al igual que el spam japonés, usa cloaking para que tú no lo veas.
Suele esconderse en:
- La base de datos (tabla
wp_options, a menudo con nombres que imitan opciones legítimas). - Plugins falsos o archivos añadidos a plugins reales.
- Archivos del núcleo modificados o archivos con nombres parecidos a los de WordPress.
Cómo comprobarlo
- Busca en Google
site:tudominio.com viagraosite:tudominio.com cialis. - Usa la herramienta Inspección de URL de Search Console y mira la versión que ve Googlebot.
- Revisa si hay opciones extrañas y muy largas en
wp_options.
Por qué los plugins de seguridad a veces no lo detectan
Porque el código suele estar ofuscado (codificado en base64, dividido en trozos, cifrado) y cambia con frecuencia. Además, si se aloja en la base de datos, algunos escáneres de archivos ni lo miran.
Cómo eliminarlo
- Compara los archivos del núcleo, plugins y temas con sus versiones oficiales.
- Revisa a mano la base de datos, especialmente
wp_optionsywp_posts. - Elimina usuarios y tareas programadas (
cron) sospechosas. - Regenera las claves de
wp-config.php. - Solicita a Google que vuelva a rastrear las páginas afectadas.
- Cierra la vulnerabilidad: casi siempre un plugin desactualizado o un tema pirata.
Si no quieres pelearte con la base de datos, limpiamos tu WordPress de principio a fin, con informe incluido y garantía de 30 días.