Japońskie znaki w wynikach Google pod moją stroną — co to znaczy i co zrobić?

Scenariusz powtarza się u nas kilka razy w roku: właściciel firmy wpisuje w Google nazwę swojej firmy albo site: i własną domenę — i zamiast kilkunastu podstron widzi setki lub tysiące wyników z tytułami po japońsku, z nazwami markowych butów, zegarków i torebek, pod adresami, których nigdy nie tworzył. Wchodzi na stronę: wszystko wygląda normalnie. Klika w jeden z japońskich wyników: ląduje na własnej domenie, na podstronie, której nie ma w panelu, albo od razu w obcym sklepie z podróbkami. To jeden z najczęstszych rodzajów włamań na strony WordPress. Google opisuje go w swojej dokumentacji dla właścicieli stron jako Japanese keyword hack. Poniżej: co to jest, dlaczego go nie widzisz i co zrobić — w kolejności.

Co się właściwie stało

Ktoś (a właściwie: automat) wykorzystał lukę w Twojej stronie — najczęściej w nieaktualnej wtyczce lub motywie, rzadziej słabe hasło — i wgrał na serwer własny kod. Ten kod generuje tysiące podstron z automatycznie tworzonym japońskim tekstem, w losowo nazwanych katalogach (Google podaje przykład w rodzaju example.com/ltjmnjp/341.html). Każda z tych podstron zawiera linki partnerskie do sklepów sprzedających podróbki markowych towarów. Włamywacz zarabia prowizję od każdego kupującego, którego Google przyśle przez Twoją domenę.

Dlaczego akurat Twoja domena? Bo ma coś, czego świeżo zarejestrowana domena spamera nie ma: historię i zaufanie w Google. Twoja strona istnieje od lat, ma linki z innych stron, Google ją zna. Podstrony podczepione pod taką domenę indeksują się szybko i wysoko. Spamerzy nie wybierają ofiar — skanują internet w poszukiwaniu stron z konkretną luką i infekują wszystkie, które znajdą.

Dlaczego na własnej stronie nic nie widzisz

Bo kod został napisany tak, żebyś nie widział. Podstawione podstrony pokazują japońską treść tylko robotowi Google (i czasem osobom wchodzącym z wyników wyszukiwania), a Tobie — stronę 404 albo zwykłą stronę główną. Ta technika nazywa się cloaking i wyjaśniamy ją osobno w tekście Co to jest cloaking i dlaczego nie widzisz spamu na własnej stronie. Skutek: wielu właścicieli przez miesiące uważa, że „Google coś pomieszał”, podczas gdy ich domena pracuje dla kogoś innego.

Jest jeszcze jeden element, na który Google zwraca uwagę w dokumentacji tego ataku: włamywacz często dodaje własne konto jako właściciela Twojej strony w Google Search Console. Dzięki temu może przesłać własną mapę strony, zmienić kierowanie geograficzne i szybciej indeksować spam. Jeśli dostałeś z Google wiadomość, że ktoś nieznany zweryfikował Twoją witrynę w Search Console — to bardzo mocna przesłanka włamania, nawet jeśli jeszcze nie widzisz japońskich wyników.

Jakie są skutki, jeśli nic nie zrobisz

• Google oznacza stronę etykietą „Ta witryna mogła zostać zhakowana” pod wynikiem — klienci omijają ją szerokim łukiem.
• Twoje prawdziwe podstrony tracą pozycje: z punktu widzenia Google domena stała się farmą spamu.
• Hosting może zablokować konto za obciążenie serwera (tysiące generowanych podstron to realne obciążenie) — co robić w takim przypadku: Hosting zablokował moją stronę.
• Ten sam kod, który generuje spam, jest zwykle tylnymi drzwiami: może w każdej chwili zacząć przekierowywać odwiedzających albo rozsyłać phishing z Twojej domeny.

Co zrobić — w tej kolejności

1. Potwierdź diagnozę (10 minut)

Wpisz w Google site:twojadomena.pl i przejrzyj wyniki. Zaloguj się do Google Search Console (jeśli nie masz — załóż i zweryfikuj domenę; to bezpłatne i konieczne do zdjęcia ostrzeżeń). Otwórz Bezpieczeństwo i ręczne działania → Problemy dotyczące bezpieczeństwa: Google zwykle wprost podaje typ problemu i przykładowe adresy. Wpisz jeden z japońskich adresów w narzędzie sprawdzania adresu URL i użyj testu na żywo — zobaczysz ukrytą treść. Pełną listę testów, które zrobisz sam, masz w tekście 7 prostych testów.

2. Sprawdź właścicieli w Search Console

Ustawienia → Użytkownicy i uprawnienia. Każdy nieznany właściciel lub użytkownik = usuń. Uwaga: właściciel zweryfikowany plikiem lub rekordem DNS wraca, dopóki nie usuniesz też jego pliku weryfikacyjnego z serwera (pliki google….html w katalogu głównym strony) albo rekordu TXT w DNS. Lista plików weryfikacyjnych jest widoczna przy każdym właścicielu w Search Console.

3. Zrób kopię — zanim cokolwiek usuniesz

Google w swojej instrukcji zaczyna od tego samego: zanim zaczniesz usuwać pliki, zrób kopię całej strony (pliki i baza). Powód jest praktyczny: po pierwsze, żeby móc coś przywrócić, jeśli skasujesz za dużo; po drugie, bo w tej kopii są ślady, z których da się ustalić, którędy weszli. Bez tej wiedzy czyszczenie trzeba będzie powtarzać.

4. Usuń złośliwy kod — razem z luką

Tu zaczyna się praca, którą trudno zrobić bez doświadczenia, bo kod ataku nie leży w jednym pliku. Typowe miejsca: zmodyfikowany .htaccess (przekierowania i reguły po rodzaju odwiedzającego), pliki PHP w wp-content/uploads, podstawione pliki rdzenia WordPressa, dodatkowa „wtyczka”, wpisy w bazie, zadania cron odtwarzające infekcję po usunięciu. Google zaleca także sprawdzenie mapy strony (sitemap) — spamerzy dodają własną, żeby przyspieszyć indeksowanie. Metoda, która działa: podmiana rdzenia, wtyczek i motywu na czyste oryginały w tych samych wersjach, przegląd bazy, usunięcie obcych kont, wymiana wszystkich haseł i kluczy, aktualizacja albo usunięcie podatnego elementu. Tak robimy to w ramach czyszczenia strony po włamaniu.

5. Usuń spam z indeksu Google

Po wyczyszczeniu podstawione adresy powinny zwracać kod 404 lub 410. Google usunie je z indeksu sam, ale to trwa tygodniami. Przyspieszysz to, zgłaszając w Search Console tymczasowe usunięcie adresów z prefiksem katalogu spamu (Usuwanie → Nowa prośba → „Usuń wszystkie adresy URL z tym prefiksem”). Nie zgłaszaj całej domeny — zniknęłyby też Twoje prawdziwe podstrony.

6. Złóż wniosek o ponowne sprawdzenie

W raporcie Problemy dotyczące bezpieczeństwa, po wyczyszczeniu, kliknij „Poproś o sprawdzenie” i opisz krótko, co zostało zrobione (co znaleziono, jak usunięto, jak zabezpieczono). Google rozpatruje wnioski w swoim tempie — zwykle od kilku dni do około dwóch tygodni. Jeśli przy sprawdzeniu znajdzie resztki, odrzuci wniosek i trzeba czyścić dalej; dlatego warto zrobić to porządnie za pierwszym razem.

7. Zabezpiecz, żeby nie wróciło

Aktualizacje (rdzeń, wtyczki, motyw) na bieżąco, usunięcie wtyczek nieużywanych, dwuetapowe logowanie, blokada wykonywania PHP w katalogu uploads, kopie zapasowe poza serwerem, monitoring zmian plików, Search Console pod ręką. Jeśli to trzecia infekcja tej samej strony, uczciwie: pora przemyśleć fundament — piszemy o tym w tekście Czy WordPress jest bezpieczny?.

Czego nie robić

• Nie usuwaj tylko japońskich podstron. One nie istnieją jako pliki — generuje je kod. Usunięcie objawów bez usunięcia kodu nic nie zmienia.
• Nie przywracaj kopii zapasowej jako jedynego kroku. Kopia ma tę samą lukę, a często jest już zainfekowana — włamanie zwykle wyprzedza objawy o tygodnie.
• Nie ignoruj „bo mnie to nie dotyczy, sprzedaję w Polsce”. Etykieta w Google i spadek pozycji dotyczą także polskich klientów.
• Nie zmieniaj domeny. Nowa domena bez historii pozycjonuje się od zera, a stara, zainfekowana, dalej szkodzi Twojej marce.