Tu web se ve perfecta y Google está indexando un casino en tu dominio
Entras en tu web y está bien. El menú funciona, las fotos cargan, el formulario de contacto llega. Ningún cliente se ha quejado. Y sin embargo llevas semanas perdiendo posiciones para las palabras por las que siempre te habían encontrado, o te ha llegado un aviso de Search Console que no entiendes, o alguien te ha dicho de pasada que buscando tu nombre en Google le salió algo raro.
Si te suena, hay bastantes probabilidades de que tu WordPress esté infectado con spam SEO y de que lleve así más tiempo del que crees. No es un ataque que tumbe la web. Es un ataque que la deja funcionando exactamente igual mientras usa tu dominio para otra cosa.
Por qué tú no lo ves y Google sí
La técnica se llama cloaking y consiste en servir contenido distinto según quién pregunte. El código inyectado comprueba si quien pide la página es una persona con navegador o es el rastreador de Google. A ti te devuelve tu web de siempre. A Googlebot le devuelve páginas de casinos online, de farmacia sin receta, de imitaciones de lujo o de criptomonedas.
Puedes entrar en tu propia web cien veces y no ver nada. En el escritorio de WordPress tampoco aparece nada: las entradas inyectadas se meten directamente en la base de datos con slugs y categorías que no salen en ninguna navegación. Y los usuarios administradores que crea el atacante para volver a entrar suelen estar ocultos del listado de usuarios.
Por eso casi nadie lo descubre a tiempo. La infección no da síntomas donde miras. Los da en el sitio al que no sueles asomarte, que es el índice de Google.
El caso de abril, o por qué esto no significa que hicieras nada mal
Hay una idea muy extendida de que estas cosas le pasan a quien tiene la web abandonada. A veces sí. Pero en 2026 ya no hace falta.
En abril se destapó una campaña que lo dejó claro. Alguien compró en un marketplace el catálogo completo de un desarrollador de plugins de WordPress, más de treinta plugins con años de historial y miles de instalaciones legítimas. Inyectó una puerta trasera en todos ellos en agosto de 2025 y la dejó dormida ocho meses. La activó los días 5 y 6 de abril de 2026. WordPress.org cerró los plugins el día 7, pero para entonces decenas de miles de webs ya estaban sirviendo spam a Googlebot sin que sus dueños vieran absolutamente nada en el panel.
Esos administradores no descuidaron nada. Tenían los plugins actualizados. El plugin era el problema. Es la diferencia entre dejar la puerta abierta y que te cambien la cerradura por una con copia.
Los números que explican por qué te ha tocado
El informe anual de seguridad de WordPress de Patchstack cifra en 11.334 las vulnerabilidades nuevas detectadas en el ecosistema durante 2025, un 42% más que el año anterior. De esas, el 91% estaban en plugins y solo seis en el núcleo de WordPress. El núcleo no suele ser el problema; lo que le cuelgas, sí.
El dato que más me interesa de ese informe es otro: el tiempo medio entre que se publica una vulnerabilidad y los bots empiezan a explotarla masivamente es de unas cinco horas. No cinco días. Cinco horas. Eso convierte la actualización mensual «cuando me acuerde» en una lotería, porque el aviso y el ataque van casi a la vez.
Y sobre el tipo de infección: según los mismos datos, la inyección de spam SEO representa el 55,4% de las infecciones de malware en WordPress. Es, con diferencia, lo más frecuente. Sucuri contabilizó más de 422.000 incidentes de spam SEO en un solo año. Durante mucho tiempo el spam japonés fue la variante dominante; el de casinos online la ha superado, sencillamente porque el negocio de afiliación de apuestas paga mejor.
Tu dominio tiene autoridad. Años de contenido, de enlaces, de reseñas. Eso es lo que están robando: no tus datos, tu reputación en Google.
Lo que ha cambiado en Google este año y por qué ahora corre más prisa
Aquí está la parte que casi nadie te va a contar y que cambia el cálculo por completo.
Google lleva dos años acelerando sus actualizaciones antispam. Desde octubre de 2023 ha confirmado siete, y dos solo en lo que va de 2026: la de marzo, que se completó en menos de un día y fue la más rápida registrada, y la de junio, desplegada entre el 24 y el 26. A eso se suman dos actualizaciones centrales del algoritmo este año, en marzo y en mayo, con apenas dieciséis semanas entre una y otra cuando lo habitual eran cuatro o seis meses.
Traducido: el margen en el que una web infectada pasaba desapercibida se ha estrechado muchísimo. Antes podías estar meses con páginas de casino indexadas sin consecuencias visibles. Ahora el sistema las detecta antes y la penalización llega antes.
Y hay un detalle que convierte esto en urgencia real. La propia documentación de Google advierte de que, cuando un sitio corrige lo que le hizo perder posiciones, la reevaluación puede tardar meses. No es un interruptor. Limpias, pides revisión, y la recuperación llega cuando llega.
Esto es lo importante y por eso lo pongo en negrita: el coste de una infección de este tipo no es la limpieza. Es el trimestre que tardas en volver a donde estabas. Cada semana que la web sigue infectada no solo es una semana más de daño, es una semana que se suma al tiempo de recuperación posterior.
Cómo comprobar si tu web está afectada
Esto lo puedes hacer tú hoy mismo y no necesitas a nadie.
Lo primero, busca en Google site: seguido de tu dominio, sin espacios. Eso te devuelve lo que Google tiene indexado de tu web. Cuenta los resultados y mira los títulos. Si aparecen páginas que no reconoces, en idiomas que no usas o con nombres de marcas de apuestas y medicamentos, ya lo tienes. Si el número de páginas indexadas es muy superior al de páginas que realmente tienes, también.
Lo segundo, entra en Search Console y mira dos cosas: el informe de páginas indexadas, buscando URLs que no has creado tú, y el informe de rendimiento, ordenando por consultas. Si tu web de una asesoría está recibiendo impresiones por búsquedas de bonos de bienvenida en casinos, no hay que interpretar mucho más. Y revisa si hay alguna acción manual notificada, que es el aviso formal de Google cuando ha decidido intervenir.
Lo tercero, mira tu web desde el móvil con datos, en una ventana privada y sin haber iniciado sesión. Algunas variantes solo se activan para visitantes que llegan desde un resultado de búsqueda, así que busca tu web en Google y entra desde ahí en lugar de escribir la dirección.
Y por último, revisa el listado de usuarios administradores y la fecha de modificación de los archivos en tu alojamiento. Si tu hosting es decente, esa información la tienes a mano.
Si algo de esto te sale mal, sigue leyendo antes de tocar nada.
Por qué una limpieza a medias sale más cara que no hacer nada
Aquí es donde se pierde la mayoría de la gente, y lo digo habiendo entrado detrás de más de una limpieza hecha con prisa.
Borrar las páginas de spam no resuelve nada. Es limpiar el suelo sin cerrar el grifo. El código que las genera sigue ahí, normalmente repartido en varios sitios a la vez y con redundancia deliberada: en el archivo de funciones del tema, dentro de un plugin legítimo, en la tabla de opciones de la base de datos y en las reglas de reescritura del servidor. Hay variantes que regeneran automáticamente el usuario administrador que acabas de borrar. Otras que solo se despiertan cada varios días para no llamar la atención.
Restaurar una copia de seguridad tampoco suele bastar, y por un motivo que a mucha gente le sorprende: si la puerta trasera lleva meses instalada, tu copia también la tiene. Restauras la web de hace tres semanas y restauras la infección con ella.
Y luego está la parte que casi nadie hace y que determina si recuperas posiciones o no: limpiar la web es la mitad del trabajo. La otra mitad es gestionar lo que Google ya tiene indexado, tramitar la revisión si hay acción manual y forzar el rastreo de lo que toca. Una web perfectamente limpia con cuatrocientas URLs de casino todavía en el índice sigue penalizada.
Por eso el trabajo no termina el día que la web queda limpia. Termina cuando Google lo confirma.
Cuándo no hace falta que llames a nadie
No me interesa que me llames si no hace falta, así que te lo digo claro.
Si lo único que tienes son comentarios de spam acumulados en la cola de moderación, eso no es una infección. Es ruido normal de internet y se resuelve con la configuración que ya trae WordPress y un filtro decente. Molesta, pero no toca tus posiciones ni tu dominio.
Si tu web es reciente, tiene cuatro plugins conocidos, un tema comercial con soporte activo y todo actualizado, y el site: te devuelve exactamente las páginas que tú has publicado, no tienes ningún problema. Guárdate el dinero.
Y si has encontrado un plugin sospechoso, lo has desinstalado, has cambiado todas las contraseñas y desde entonces el índice de Google está limpio y estable durante varias semanas, probablemente lo resolviste tú. Es posible y pasa.
El momento de llamar es otro: cuando hay páginas indexadas que no son tuyas, cuando ya limpiaste una vez y volvió, o cuando hay una acción manual encima de la mesa.
Qué hacemos nosotros
Empezamos por una copia íntegra del estado actual antes de tocar absolutamente nada, porque una limpieza mal hecha sin punto de retorno es un problema peor que la infección. A partir de ahí, identificamos el punto de entrada, no solo el daño visible, y no damos por cerrada la intervención hasta que sabemos por dónde entraron. Después viene la parte que decide el resultado: la gestión de lo que Google ya tiene indexado y el seguimiento hasta que el índice vuelve a reflejar tu web y no la de otro.
No publico el detalle del procedimiento y no lo voy a hacer, por la misma razón por la que un cerrajero no publica cómo abre una puerta.
Y aquí está lo importante para ti. Casi todo el mundo llega buscando una limpieza puntual, y la limpieza puntual es un servicio legítimo que hacemos. Pero conviene que sepas lo que va a pasar después: la reinfección es la norma, no la excepción, porque el ecosistema de plugins genera vulnerabilidades nuevas cada semana y el margen entre que se publica una y se explota es de horas. Una web que se limpia y se abandona vuelve a caer.
Por eso ofrecemos las dos cosas por separado y sin atarlas. Puedes contratar la limpieza y llevártela. O puedes dejar la web bajo revisión mensual, que es lo que hago con las que llevo: actualizaciones controladas, copias verificadas que se restauran de verdad, y vigilancia del índice de Google para que si algo entra se detecte en días y no en meses. Cobro una cuota fija precisamente porque así me interesa que no te pase nada. Si cobrara por incidencia, mi incentivo sería el contrario.
Si has hecho la comprobación de arriba y te ha salido algo, o si sencillamente prefieres que lo mire alguien antes de dormir tranquilo, llámame al 666 12 36 66. Una valoración técnica del estado de la web se hace el mismo día y te digo si tienes un problema o no lo tienes, que a veces es la respuesta.
