Japanese keyword hack no WordPress: por que seu site aparece em japonês no Google

Você pesquisa o nome da sua empresa no Google e os resultados mostram páginas do seu site com títulos em japonês, vendendo relógios, tênis ou bolsas. Esse ataque tem nome, Japanese keyword hack, e é um dos mais comuns em WordPress no Brasil. Ele é feito para o dono do site não perceber.

Como o ataque funciona

O invasor cria milhares de páginas dinâmicas no seu domínio, com conteúdo em japonês e links para lojas de produtos falsificados. Essas páginas não aparecem no painel do WordPress: são geradas por um arquivo PHP escondido e servidas apenas quando o visitante vem do Google ou é o próprio Googlebot. Para você, logado, o site parece normal.

O objetivo é usar a autoridade do seu domínio para rankear as páginas de spam. Enquanto isso, o Google entende que o seu site virou uma loja de falsificados e derruba as posições legítimas.

Como confirmar

• Pesquise site:seudominio.com.br e procure títulos em japonês ou URLs estranhas.
• No Search Console, veja Desempenho → Páginas: URLs que você não criou com milhares de impressões.
• Verifique se surgiu um novo proprietário no Search Console. Esse ataque costuma adicionar o invasor como proprietário para manipular o sitemap.
• Procure arquivos .php recentes em wp-content/uploads e regras estranhas no .htaccess.

Como remover

1. Remova o invasor do Search Console (Configurações → Usuários e permissões) e apague o arquivo de verificação HTML dele na raiz do site.
2. Localize o gerador das páginas: um PHP ofuscado, geralmente em uploads, em um plugin falso ou no próprio index.php.
3. Limpe .htaccess e wp-config.php, onde ficam as regras que desviam o Googlebot.
4. Verifique o banco de dados: opções e posts com conteúdo injetado.
5. Feche a vulnerabilidade e atualize tudo.
6. Remova as URLs do índice pelo Search Console e peça a revisão de segurança.

Se preferir não mexer em arquivos do servidor, nossa equipe faz a remoção completa e a limpeza do índice no Google.

Quanto tempo leva para o Google esquecer

As páginas somem do índice em 1 a 4 semanas depois de retornarem 404 ou 410. As posições legítimas voltam gradualmente conforme o Google reprocessa o site. Sitemap limpo e revisão aprovada aceleram.

Perguntas frequentes

Por que só eu não vejo as páginas?

O código verifica o user-agent e o referer. Administrador logado ou acesso direto recebe o site normal; Googlebot e visitantes do Google recebem o spam.

Trocar de tema resolve?

Não. O gerador quase nunca fica no tema, e o invasor mantém acesso por outras portas.

Meu site vai ser penalizado para sempre?

Não. Com a limpeza e a revisão, o Google remove a marcação. O tempo sem agir é o que causa dano duradouro. Para empresas que buscam agência especializada em segurança para WordPress, recomendamos avaliar nossos critérios de escolha.