O SPAM de SEO é uma técnica maliciosa em que hackers invadem sites e inserem páginas, links ou redirecionamentos que não têm nada a ver com o conteúdo original, explorando a autoridade do domínio para ganhar visibilidade em buscas.
Além de afetar o ranqueamento no Google, esse tipo de invasão prejudica a reputação da marca, gera perda de tráfego e pode até levar à classificação do site como inseguro. Por isso, quanto antes o problema for identificado e resolvido, menores serão os danos.
O que é SPAM de SEO e por que acontece
O SPAM de SEO é um ataque cibernético que manipula resultados de busca. Em vez de roubar dados diretamente, ele transforma o site em uma vitrine para conteúdos maliciosos. Isso pode acontecer de diversas formas:
- Links injetados em páginas existentes;
- Criação de URLs falsas escondidas no servidor;
- Redirecionamentos ocultos que levam o usuário a outro site.
Esse tipo de ação se aproxima de um ataque de phishing, em que o objetivo é enganar o usuário, induzindo-o a clicar em páginas falsas que parecem confiáveis.
No caso do SEO spam, o interesse dos hackers é explorar brechas de segurança, em geral em sites WordPress, com plugins desatualizados, temas vulneráveis ou senhas fracas, para ganhar vantagem em escala, infectando milhares de sites ao mesmo tempo.
Como identificar um site invadido por SEO spam
O problema é que, muitas vezes, o dono do site só descobre a invasão quando é tarde. Alguns sinais comuns de site invadido são:
- Queda repentina no ranqueamento ou tráfego orgânico;
- URLs estranhas indexadas pelo Google (verificáveis com site:seudominio.com);
- Palavras-chave irrelevantes associadas ao domínio;
- Alertas no Google Search Console, na aba de Problemas de Segurança;
- Reclamações de usuários sobre redirecionamentos estranhos;
- Aumento anormal no número de backlinks vindos de sites de baixa qualidade.
Ficar de olho em relatórios de SEO, monitorar palavras-chave ranqueadas e acompanhar o perfil de links externos são formas de detectar o problema rapidamente.
Sinais de site invadido: diagnóstico guiado
Os sinais óbvios são URLs estranhas indexadas, conteúdo em idioma aleatório (ex.: “japonês”), picos súbitos de páginas no índice e redirecionamentos que você não configurou. O segundo nível de evidência vem de artefatos técnicos (IOCs, Indicators of Compromise) no servidor e no banco de dados.
- SERP e índice: digite “site:seudominio.com” no Google e combine com termos suspeitos; confira no Search Console: Cobertura/Indexação e Problemas de Segurança.
- Cloaking: compare a mesma URL com user agents diferentes (navegador vs. Googlebot). Se o bot vê uma coisa e você outra, há cloaking.
- Arquivos novos/alterados: liste por data (ls -ltR no document root). Mudanças recentes em index.php, wp-config.php, functions.php ou .htaccess são suspeitas.
- PHP em uploads: nenhum site saudável precisa de PHP em /wp-content/uploads. Procure com find wp-content/uploads -name “*.php”.
- Obfuscação: busque padrões comuns de malware loaders: base64_decode, eval, gzinflate, str_rot13, system, assert. Ex.: grep -R –line-number -E “base64_decode|gzinflate|str_rot13|eval(” .
- Banco de dados: verifique wp_options (campos siteurl, home, active_plugins), wp_posts (postagens desconhecidas), e tarefas cron
- Usuários e proprietários do GSC: há admins que você não criou? Há verificações de Search Console por arquivo HTML em .well-known/ ou raiz que você não colocou?
O impacto no SEO e na segurança
A curto prazo, o principal reflexo em SEO é a bagunça de dados (páginas e palavras-chave que não são suas) e queda de CTR por títulos suspeitos. A médio prazo, pode incluir sinalização de site comprometido na SERP e perda de confiança de usuários e parceiros.
Em casos severos, o domínio entra em listas de bloqueio (navegadores, antivírus, proxies) e o tráfego orgânico despenca. Mesmo após a limpeza correta, o lixo indexado pode levar semanas ou meses para desaparecer, o que exige processo técnico disciplinado.
Como limpar corretamente (fluxo de recuperação orientado a SEO)
A prioridade é estancar a infecção e preservar integridade. Evite “apagar fogo” direto em produção sem plano, para não causar downtime desnecessário ou perder evidências.
- Isolamento e backup: Tire um backup completo de arquivos e banco. Se o impacto de tráfego é alto, avalie colocar 503 temporário durante a limpeza para usuários (não prolongue).
- Varredura e erradicação de malware: Faça scan com um WAF/antimalware confiável (ex.: Wordfence/Sucuri/MalCare) e, em paralelo, diff com fontes limpas: core WordPress, temas e plugins nas versões correspondentes. Substitua core/tema/plugin por cópias originais.
- Parar os redirecionamentos maliciosos e devolver códigos corretos: URLs de spam devem retornar 404 (não encontrado) ou, preferencialmente, 410 (removido) — o 410 costuma acelerar a desindexação. Evite 301/302 para sua home (o Google entende como soft 404 e demora mais).
- Não bloqueie no robots.txt: O robô precisa acessar as URLs maliciosas limpas para ver o 404/410. Bloquear no robots.txt impede o recrawl e atrasa a remoção do índice.
- Purgar caches e CDN: Limpe cache de plugin, server (opcache/varnish) e CDN. Muitos “fantasmas” de spam persistem porque a versão contaminada continua em cache.
- Reforço de credenciais e senhas: Troque todas as senhas (painel, FTP/SSH, banco), ative 2FA para administradores, revogue chaves expostas e rotacione as SALTs do WordPress (wp-config.php). Garanta princípio de menor privilégio no usuário do banco.
- Recrawl e saneamento do índice: Envie novo sitemap no Search Console, solicite recrawl das principais seções e monitore Cobertura/Páginas: as maliciosas devem convergir para 404/410. Se houver muitos padrões, use a Ferramenta de Remoções por prefixo (temporária) apenas para reduzir ruído visual, sabendo que a remoção definitiva vem do 410/404 + recrawl.
- Backlinks tóxicos: Se o ataque gerou links externos para as URLs falsas, avalie o disavow por domínio/padrão (casos extremos). Priorize corrigir a base técnica primeiro; o disavow é coadjuvante.
Recuperação de SEO: expectativa realista e comunicação
Mesmo com tudo limpo e 410 aplicado, o ritmo de desindexação depende do ciclo de crawl do Google para o seu domínio e para cada diretório. Em sites médios, é comum levar várias semanas até normalizar.
Enquanto isso, alinhe os indicadores com o time de marketing. Separe tráfego para páginas legítimas vs. tráfego para lixo (404/410), isole palavras-chave contaminadas nos relatórios, e documente o histórico no Search Console. Se houve Alerta de Problemas de Segurança, trate, resolva a causa e acompanhe até o status “sem problemas”. Em casos de Ação Manual (nem todo incidente gera), siga o fluxo de reconsideração com evidências da correção.
SPAM de SEO não é “só” um problema de segurança
Estamos falando de um risco direto para o seu SEO e para a marca. A diferença entre uma recuperação rápida e meses de prejuízo está em detectar cedo, limpar direito, remover backdoors e blindar o ambiente.
Na MO4, tratamos incidentes assim com segurança aplicada, engenharia de SEO e observabilidade, do servidor ao Search Console. Mesmo com todas as medidas de segurança aplicadas, invasões podem acontecer, e o mais importante é ter um time preparado para lidar com ela o mais rápido possível para minimizar prejuízos.
Tenha a tranquilidade de contar com um time especializado em sites para cuidar da página da sua marca. Conheça o serviço de manutenção de sites da MO4.
