Spam em japonês no Google (WordPress): o que é e como remover

Você pesquisa o nome da sua empresa no Google e encontra resultados com o seu domínio, mas com títulos em japonês, chinês ou anúncios de produtos de marca que você nunca vendeu. Esse é um tipo de invasão conhecido como Japanese keyword hack (ou, de forma mais ampla, SEO spam), e é muito comum em sites WordPress.

O que está acontecendo

O invasor consegue colocar arquivos e regras no seu servidor que geram milhares de páginas falsas dentro do seu domínio. O objetivo é aproveitar a reputação do seu site no Google para vender produtos ou levar tráfego para outros sites.

O detalhe que confunde: muitas vezes o spam usa cloaking. O código mostra conteúdo diferente para o Google e para as pessoas. Quando você abre o site, tudo parece normal. Só o Google (e quem chega pela busca) vê o spam.

Como confirmar

1. Pesquise no Google: site:seudominio.com.br. Veja os títulos e as descrições dos resultados.
2. Search Console, relatório de Desempenho: se aparecerem consultas em japonês ou com nomes de produtos que você não vende, é forte indício.
3. Search Console, Inspeção de URL: teste uma URL suspeita e use Testar URL ativa, depois Ver página testada. Isso mostra o que o Googlebot realmente recebe.
4. Relatório de Problemas de segurança no Search Console, que pode apontar “conteúdo invadido”.
5. Teste com user agent de buscador (nem sempre revela, porque alguns ataques checam o IP real do Google):

curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" \
  https://seudominio.com.br/ | head -n 40

Compare com a resposta usando um user agent comum. Diferença grande é sinal de cloaking.

Onde esse malware costuma se esconder

• Arquivos PHP novos ou alterados na raiz do site, em wp-content ou em pastas com nomes aleatórios.
• Sitemaps XML falsos na raiz, listando as páginas de spam para o Google encontrá-las.
• Regras no .htaccess que direcionam URLs de spam para um script do invasor.
• Plugins e temas alterados ou instalados sem você saber.
• Banco de dados: posts, opções ou usuários criados pelo invasor.
• Arquivos de configuração do PHP como .user.ini, que podem carregar código malicioso antes de qualquer página.

Algumas verificações úteis por SSH:

# Arquivos XML na raiz e na primeira camada (sitemaps falsos)
find . -maxdepth 2 -type f -name "*.xml"

# Arquivos PHP modificados nos últimos 14 dias
find . -type f -name "*.php" -mtime -14

# Diretivas suspeitas em arquivos de configuração
grep -rn "auto_prepend_file" . --include=".user.ini" --include=".htaccess" --include="php.ini"

Atualizações legítimas também alteram arquivos recentes. Use como pista, não como prova.

Como limpar, em ordem

1. Backup do estado atual (arquivos e banco), para preservar evidência.
2. Troque senhas do WordPress, da hospedagem, do FTP/SFTP e do banco.
3. Remova a infecção: arquivos injetados, sitemaps falsos, regras do .htaccess, plugins e usuários suspeitos. Reinstale o núcleo e os plugins a partir de fontes oficiais. Veja o passo a passo de remoção de malware.
4. Descubra a brecha (plugin desatualizado, senha fraca, plugin pirata) e feche. Se não fechar, o spam volta.
5. Garanta que as URLs de spam deixem de existir. Depois da limpeza, elas devem responder com erro 404 ou 410, não com página normal.

Limpeza do lado do Google

1. No Search Console, remova sitemaps que você não criou e envie apenas o seu.
2. Use a ferramenta de Remoções para ocultar temporariamente as URLs de spam mais visíveis enquanto o Google reprocessa.
3. Se houver ação de segurança no relatório, solicite a revisão explicando o que foi feito (veja como tratar o aviso de site perigoso).
4. Acompanhe com site: nas semanas seguintes. O Google precisa recrawlear o site, e isso pode levar de dias a semanas. O prazo não depende só de você.

Um alerta

Limpar só o que aparece no Google, sem achar o backdoor e a brecha, resolve por pouco tempo. O mais comum é o spam voltar. Se isso já aconteceu com você, o problema está na origem.

---

Seu site está assim agora? Me manda o link no WhatsApp e eu confirmo o problema, o escopo e o valor antes de começar. Quer entender o processo antes? Veja como funciona a limpeza de malware.