WordPress pharma hack: come riconoscerlo e rimuoverlo

Risposta rapida

Il pharma hack è spam SEO: una compromissione che inietta nel tuo dominio pagine e keyword di farmaci (viagra, cialis) visibili soprattutto a Googlebot, non a te. Il sito sembra normale ma su Google compaiono URL spam. Va trattato come attacco con backdoor, non come problema di indicizzazione: prima chiudi la causa, poi pulisci e ripulisci la reputazione.

Il pharma hack è una compromissione SEO: gli attaccanti usano il tuo dominio per creare o nascondere pagine che parlano di farmaci, integratori, casinò, prestiti o prodotti falsi. Lo scopo non è sempre bloccare il sito. Spesso è sfruttare la reputazione del dominio per posizionare spam su Google.

Il problema è subdolo perché il sito può sembrare normale agli occhi del proprietario.

Segnali tipici

I segnali più comuni sono:

• risultati Google con titoli strani;
• pagine in lingue non usate dal sito;
• descrizioni con nomi di farmaci;
• slug generati automaticamente;
• picchi di URL indicizzati;
• avvisi Search Console su pagine non create da te;
• traffico organico anomalo verso URL inesistenti.

La ricerca site:tuodominio.it è spesso sufficiente per capire se qualcosa non torna.

Dove si trova lo spam

Il pharma hack può vivere nel database, nei file o in entrambi. A volte le pagine non esistono davvero come contenuti WordPress: vengono generate dinamicamente da una backdoor quando arriva Googlebot o un visitatore specifico.

Punti da controllare:

• wp_posts e wp_postmeta;
• wp_options;
• file PHP in plugin o tema;
• file in uploads;
• rewrite .htaccess;
• cron WordPress;
• utenti admin sospetti.

Perché è dannoso anche se il sito funziona

Il danno principale è SEO e reputazionale. Google può associare il dominio a contenuti spam, ridurre visibilità, mostrare titoli alterati o segnalare il sito come compromesso. Per un'azienda, questo impatta lead, credibilità e campagne advertising.

In alcuni casi il pharma hack convive con altre backdoor. Quindi non va trattato come semplice problema di indicizzazione.

Pulizia corretta

La sequenza corretta è:

1. backup e copia delle evidenze;
2. identificazione di URL e pattern spam;
3. analisi file e database;
4. rimozione backdoor;
5. pulizia contenuti e opzioni;
6. hardening e aggiornamenti;
7. richiesta di revisione o deindicizzazione quando serve.

Il punto più importante è chiudere la causa. Senza questo passaggio, le pagine spam ricompaiono. Lo stesso schema vale per altri attacchi SEO come il redirect spam: se resta una backdoor, il payload si rigenera. Per la procedura completa vedi la guida alla rimozione malware WordPress, oppure delega tutto al nostro servizio di bonifica malware, che lavora su staging prima del live.

Cosa comunicare a Google