Todo empezó con una señal extraña.
El sitio web de un cliente seguía funcionando. La página principal cargaba bien, el diseño se veía normal y, desde fuera, parecía que no había ningún problema grave.
Pero al revisar algunas URLs específicas, comenzaron a aparecer páginas que no pertenecían al sitio.
No eran páginas creadas en WordPress.
No eran entradas del blog.
No eran landing pages del cliente.
Y tampoco eran redirecciones hacia otro dominio.
Eran páginas de spam alojadas dentro del mismo servidor.
Entre los nombres encontrados aparecían términos como juara88, diana4d, bosjoko, slot, casino, gacor, togel, rtp, login, bonus y daftar.
A simple vista, estas palabras podían parecer nombres aleatorios, carpetas sin importancia o archivos abandonados dentro del hosting. Pero en realidad son términos comúnmente asociados con páginas de apuestas, casinos online, promociones falsas y spam SEO.
La primera impresión fue pensar: “seguramente el sitio está redirigiendo a páginas externas”.
Pero no.
El problema era más silencioso y, al mismo tiempo, más peligroso.
No era una redirección: el spam estaba dentro del servidor
En muchos ataques web, cuando una página fue vulnerada, el usuario entra a una URL legítima y automáticamente es enviado a otro sitio. Eso se conoce como redirección maliciosa.
Pero en este caso no estaba pasando eso.
El usuario seguía dentro del mismo dominio.
La URL seguía siendo del sitio del cliente.
El problema era que los atacantes habían subido archivos HTML directamente al servidor y los habían colocado en rutas que coincidían o se parecían a los slugs del sitio web.
Por ejemplo, si el sitio tenía una página como tudominio.com/servicios/, el atacante podía crear una carpeta dentro del servidor con ese mismo nombre y colocar ahí un archivo index.html.
Entonces, cuando alguien entraba a esa URL, el servidor encontraba primero ese archivo HTML y lo mostraba antes de que WordPress pudiera cargar la página original.
El resultado era confuso: parecía que la página real del sitio había cambiado, pero en realidad WordPress no tenía ese contenido.
El spam estaba en archivos físicos dentro del hosting.
El detalle técnico: muchos servidores leen primero el HTML
Aquí está la parte importante.
Muchos servidores están configurados para buscar archivos de inicio en cierto orden. Dependiendo de la configuración, pueden priorizar archivos como index.html, index.htm o index.php.
WordPress funciona principalmente con index.php, pero si dentro de una carpeta existe un index.html, el servidor puede mostrar ese archivo antes de enviar la solicitud a WordPress.
Eso significa que, aunque WordPress esté bien y la página exista correctamente dentro del administrador, el visitante puede ver otra cosa porque el servidor está sirviendo primero un archivo HTML malicioso.
En pocas palabras: WordPress no estaba mostrando el spam. El servidor estaba mostrando un archivo HTML antes de llegar a WordPress.
Por eso este tipo de ataque puede ser tan engañoso.
¿Por qué usaron los slugs del sitio?
Usar slugs existentes o rutas parecidas tiene varias ventajas para el atacante.
Primero, la URL se ve confiable porque pertenece al dominio original.
No es lo mismo ver una dirección externa extraña que ver una URL dentro del dominio real de la empresa.
Para un visitante, para Google y hasta para el dueño del sitio, esa URL puede parecer legítima.
Segundo, si el dominio ya tiene cierta autoridad en buscadores, los atacantes intentan aprovechar esa reputación para posicionar páginas de apuestas o spam.
Tercero, al no redirigir a otro dominio, el problema puede pasar desapercibido por más tiempo. La página basura vive dentro del mismo sitio, en una ruta que parece normal.
Por eso este tipo de ataque puede ser más difícil de detectar que una redirección evidente.
¿Qué es este tipo de ataque?
Este caso entra dentro de lo que comúnmente se conoce como SEO spam o inyección de contenido spam.
El objetivo no siempre es tirar el sitio, robar información visible o mostrar una pantalla de “hackeado”.
Muchas veces el objetivo es usar el sitio vulnerado como una plataforma para publicar contenido basura y lograr que Google lo indexe.
Ese contenido suele estar relacionado con apuestas, casinos online, juegos de azar, medicamentos, préstamos, contenido adulto, promociones falsas o páginas fraudulentas.
En este caso, el ataque estaba relacionado con spam de apuestas, por los nombres y términos encontrados dentro del servidor.
Palabras sospechosas que pueden aparecer en un sitio vulnerado
Cuando un sitio web ha sido usado para SEO spam, especialmente relacionado con apuestas o casinos online, pueden aparecer archivos, carpetas o URLs con términos como:
juara88, diana4d, bosjoko, slot, casino, gacor, togel, rtp, login, bonus y daftar.
Estas palabras no siempre aparecen juntas, pero si encuentras una o varias dentro del servidor, en resultados de Google o en URLs indexadas, es una señal importante de alerta.
Por ejemplo, podrías encontrar rutas como:
tudominio.com/juara88/
tudominio.com/diana4d/
tudominio.com/bosjoko/
tudominio.com/slot/
tudominio.com/casino/
tudominio.com/gacor/
tudominio.com/togel/
tudominio.com/rtp/
tudominio.com/login/
tudominio.com/bonus/
tudominio.com/daftar/
El problema es que estas URLs pueden parecer parte del sitio porque siguen usando el mismo dominio. Sin embargo, el contenido no pertenece a la empresa ni fue creado desde WordPress.
Normalmente son archivos HTML colocados directamente dentro del servidor para aprovechar la reputación del dominio y atraer tráfico hacia páginas de spam.
Las señales que pueden indicar este problema
Una de las señales más claras es cuando una URL del sitio muestra contenido extraño, pero al revisar WordPress no encuentras ninguna página con ese contenido.
Por ejemplo:
-
En el navegador ves una página de apuestas.
-
En WordPress, la página se ve normal.
-
No hay entradas nuevas.
-
No hay páginas nuevas.
-
No hay cambios visibles en el editor.
Pero el problema sigue apareciendo en la URL pública.
Cuando eso pasa, es muy probable que el contenido no esté en WordPress, sino directamente en los archivos del servidor.
También puede haber otras señales, como carpetas desconocidas dentro del hosting, archivos HTML que nadie creó, archivos modificados recientemente, sitemaps extraños, códigos de seguimiento que no pertenecen al cliente, URLs raras indexadas en Google o resultados con títulos de apuestas usando el dominio del sitio.
Cómo revisar si tu sitio tiene archivos HTML maliciosos
Si sospechas que tu sitio fue afectado, no basta con revisar el panel de WordPress.
También tienes que revisar el servidor.
Puedes buscar en el administrador de archivos del hosting, por FTP o por SFTP si existen carpetas extrañas o archivos HTML colocados dentro de rutas importantes.
Por ejemplo, si una página afectada es tudominio.com/contacto/, deberías revisar si existe una carpeta contacto dentro del servidor con un archivo index.html.
Si una página afectada es tudominio.com/servicios/, revisa si existe una carpeta servicios con un archivo index.html.
Si existe ese archivo y no fue creado por tu equipo, puede ser la razón por la que el servidor está mostrando contenido falso antes de cargar WordPress.
También conviene revisar si existen carpetas o archivos con nombres como juara88, diana4d, bosjoko, slot, casino, gacor, togel, rtp, login, bonus o daftar.
¿Cómo pudieron subir esos archivos?
En este caso, todo apuntaba a que los archivos fueron subidos mediante FTP.
Eso significa que alguien tuvo acceso al servidor para colocar archivos directamente.
Esto puede pasar por varias razones:
-
Contraseña FTP débil.
-
Contraseña filtrada.
-
Accesos compartidos con demasiadas personas.
-
Uso de FTP sin cifrado.
-
Computadora infectada con malware.
-
Credenciales guardadas en un programa inseguro.
-
Cuenta de hosting comprometida.
-
Plugin o tema vulnerable que permitió subir archivos.
Por eso, cuando se detecta este tipo de problema, borrar los archivos no es suficiente.
La pregunta más importante es: ¿cómo entraron?
Porque si no se cierra esa puerta, los archivos pueden volver a aparecer.
Por qué no basta con borrar las páginas spam
La reacción normal es eliminar las carpetas y archivos raros.
Y sí, eso hay que hacerlo.
Pero si solo borras los archivos visibles y no revisas la causa del ataque, el sitio puede reinfectarse.
En algunos casos, los atacantes dejan una puerta trasera escondida en archivos PHP, plugins, temas o carpetas que parecen normales.
También pueden modificar archivos importantes del sitio, como htaccess, index.php, wp-config.php o functions.php.
Un archivo malicioso pequeño puede ser suficiente para que el atacante vuelva a subir contenido después de la limpieza.
Por eso, la limpieza no debe limitarse a borrar los HTML visibles. También hay que revisar accesos, permisos, usuarios, plugins, temas, archivos modificados y posibles scripts ocultos.
Qué hacer si tu sitio fue vulnerado de esta manera
Si detectas que tu sitio muestra páginas spam desde archivos HTML alojados en el servidor, estos son los pasos recomendados.
1. Cambiar todos los accesos
Cambia de inmediato las contraseñas del hosting, cPanel, FTP, SFTP, WordPress, base de datos, correos relacionados y usuarios administradores.
También elimina usuarios que no reconozcas.
Este paso es urgente, porque si alguien todavía tiene acceso al servidor, puede volver a subir los archivos aunque ya los hayas borrado.
2. Desactivar FTP tradicional
Si el hosting lo permite, evita usar FTP simple y utiliza SFTP o SSH.
FTP tradicional no cifra la conexión, por lo que es menos seguro. SFTP ofrece una conexión más protegida para administrar archivos del servidor.
Si varias personas tenían acceso FTP, conviene revisar quién realmente necesita ese acceso y eliminar cuentas innecesarias.
3. Hacer una copia de seguridad antes de limpiar
Antes de borrar todo, realiza una copia del sitio infectado.
Esto puede ayudar a revisar fechas de modificación, archivos afectados, carpetas creadas, posibles rutas de entrada y evidencia para el cliente o proveedor de hosting.
Aunque parezca extraño guardar una copia de algo infectado, puede ser útil para entender qué pasó y evitar que vuelva a ocurrir.
4. Eliminar archivos HTML maliciosos
Busca y elimina carpetas o archivos que no pertenezcan al sitio.
Especialmente archivos como index.html, default.html, home.html o sitemap.xml si están dentro de rutas donde no deberían existir.
También elimina carpetas relacionadas con términos sospechosos como juara88, diana4d, bosjoko, slot, casino, gacor, togel, rtp, login, bonus o daftar.
Pero recuerda: eliminar estos archivos solo limpia la parte visible del problema. No necesariamente elimina la causa.
5. Revisar el orden de carga del servidor
Si el servidor está priorizando archivos HTML sobre WordPress, es importante revisar la configuración.
En algunos casos se puede ajustar el archivo htaccess para que WordPress tenga prioridad sobre archivos HTML específicos, aunque esto no reemplaza una limpieza de seguridad completa.
Este punto es importante porque el problema no siempre está en WordPress. A veces WordPress está limpio, pero el servidor entrega primero un archivo físico antes de procesar el CMS.
6. Reinstalar WordPress, plugins y temas
Si el sitio usa WordPress, lo más recomendable es reinstalar el núcleo desde una fuente limpia.
También conviene reinstalar plugins y temas oficiales, eliminar los que no se usen y evitar cualquier plugin o plantilla de origen dudoso.
Los plugins o temas pirata son una de las formas más comunes en las que un sitio puede terminar infectado.
7. Revisar Google Search Console
Después de limpiar el sitio, hay que revisar Google Search Console.
Es importante verificar páginas indexadas, sitemaps enviados, alertas de seguridad, acciones manuales, URLs extrañas y resultados con títulos de spam.
También puedes buscar en Google combinando tu dominio con palabras sospechosas como:
site:tudominio.com juara88
site:tudominio.com diana4d
site:tudominio.com bosjoko
site:tudominio.com slot
site:tudominio.com casino
site:tudominio.com gacor
site:tudominio.com togel
site:tudominio.com rtp
site:tudominio.com login
site:tudominio.com bonus
site:tudominio.com daftar
Si aparecen resultados relacionados con esas palabras, es probable que Google haya indexado páginas spam dentro del dominio.
En ese caso, hay que eliminar los archivos del servidor, revisar cómo fueron subidos y solicitar nuevamente el rastreo desde Google Search Console.
El riesgo para la reputación del sitio
Este tipo de ataque puede afectar seriamente la reputación digital de una marca.
Aunque el cliente no haya creado ese contenido, Google puede asociar temporalmente el dominio con páginas de apuestas, spam o contenido engañoso.
También puede afectar la confianza de los usuarios.
Imagina que una persona busca el nombre de una empresa y en Google aparece un resultado extraño con títulos de casino o apuestas. Aunque el sitio principal funcione bien, la percepción de seguridad puede verse dañada.
Por eso es importante actuar rápido.
No se trata solo de limpiar archivos. Se trata de proteger la reputación del dominio.
Cómo prevenir que vuelva a pasar
Después de limpiar, hay que reforzar la seguridad.
Algunas acciones recomendadas son usar contraseñas fuertes y únicas, activar doble autenticación, usar SFTP en lugar de FTP, mantener WordPress actualizado, actualizar plugins y temas, eliminar plugins que no se usen, evitar plugins o temas pirata, revisar usuarios administradores, configurar respaldos automáticos, usar un firewall de seguridad, monitorear cambios en archivos, revisar Google Search Console periódicamente y analizar las computadoras desde donde se accede al hosting.
La seguridad web no se trata solo de limpiar cuando algo pasa. También se trata de monitorear, actualizar y reducir puntos de entrada.
Un sitio web no se protege una sola vez. Se mantiene protegido con revisiones constantes.
Conclusión
Este caso demuestra algo muy importante: un sitio web puede estar vulnerado aunque aparentemente funcione bien.
No siempre hay redirecciones visibles.
No siempre aparece una pantalla de hackeo.
No siempre el problema está dentro de WordPress.
A veces el ataque está escondido en el servidor, mediante archivos HTML colocados en rutas que parecen legítimas.
Los atacantes pueden aprovechar los slugs del sitio para mostrar páginas spam antes de que WordPress cargue el contenido real. Y como muchos servidores leen primero ciertos archivos HTML, el resultado puede ser una página falsa dentro del mismo dominio.
Por eso, si encuentras archivos extraños como juara88, diana4d, bosjoko, slot, casino, gacor, togel, rtp, login, bonus o daftar dentro de tu servidor, no lo tomes como un simple archivo basura.
Puede ser una señal de que el sitio fue vulnerado.
La solución no es solo borrar el HTML. Hay que revisar accesos, limpiar el servidor, buscar puertas traseras, reforzar la seguridad y verificar que Google deje de mostrar esas URLs.
Un sitio web hackeado no siempre grita.
A veces solo deja pistas escondidas entre carpetas, slugs y archivos HTML.
Meta descripción
Sitio web vulnerado con páginas spam dentro del servidor. Conoce cómo atacantes usan archivos HTML y slugs existentes para mostrar contenido falso sin redirigir.
