Tấn công chèn SEO spam (SEO spam injection) là cơn ác mộng.
Chúng ngụy trang tốt, 숨 ở nơi không dễ thấy. Và càng ở lâu trên site, thiệt hại càng lớn. Vì khó phát hiện, nhiều chủ site không nhận ra cho đến khi quá muộn.
Nhưng bạn là người may mắn. Security scanner của bạn phát hiện nó. Hoặc Google Search Console/SEO tool báo site rank cho "cheap Gucci bags" hoặc tương tự.
Dù sao, tìm và dọn SEO spam rất tricky. Chính vì vậy ngay sau khi gỡ, nhiều site vẫn bị re-hack.
Gần 10 năm qua, chúng tôi giúp hàng ngàn client xóa sạch mọi dấu vết SEO spam. Chúng tôi sẽ chỉ chính xác các bước chúng tôi thực hiện.
Kèm theo, mẹo đảm bảo bạn không bao giờ thành nạn nhân SEO spam hack nữa.
TL;DR: Để gỡ spam khỏi site, cài plugin WordPress SEO spam removal. Nó dọn site dưới 60 giây. Nó cũng quét site hàng ngày và bảo vệ khỏi hacker/bot. Giúp ngăn chặn hack tương lai.
SEO Spam Là Gì?
SEO spam, còn gọi spamdexing, là cố gắng dùng website bạn để rank nội dung bình thường không rank được. Đây là kỹ thuật black hat SEO. Hacker dùng để sinh tiền nhưng trong quá trình đó, họ spam & phá hủy website bạn.
Tại sao gọi SEO spam?
Bạn biết SEO = search engine optimization. Doanh nghiệp dùng SEO tối ưu nội dung site để rank trên Google.
SEO mặc định không phải spam. Nhưng một số tactics SEO được coi black hat.
Nếu Google phát hiện site bạn dùng black hat SEO, họ sẽ ban site khỏi search engine.
Đó là lý do spam hack nguy hiểm. Hacker xâm nhập site bạn, dùng black hat SEO rank sản phẩm/site của chúng. Kết quả: hacker kiếm tiền lớn, site bạn thành tro tàn.
Hacker Xâm Nhập Site Bạn Như Thế Nào Lúc Đầu?
Hacker truy cập website qua plugin/theme cũ hoặc credential yếu.
Plugin/theme outdated chứa vulnerability hacker khai thác để xâm nhập và inject virus như favicon.ico malware, wp-feed.php malware, v.v.
Chúng thậm chí triển khai bot đến trang login đoán username/password. Bot thử hàng trăm credential trong vài phút. Crack credential yếu trong giây và truy cập admin dashboard.
Sau khi có quyền admin dashboard, chúng bắt đầu chèn SEO spam vào bài viết/trang.
Nếu bạn vừa biết site có SEO spam, cần dọn sạch ngay. Chúng tôi chỉ bước tiếp theo. Nếu muốn hiểu sâu về SEO spam WordPress, tại sao hacker phân phối, tác động ra sao, nhảy đến phần dưới.
Cách Phát Hiện & Dọn SEO Spam Hack WordPress?
Bạn có thể đã phát hiện dấu hiệu SEO spam trên site:
- Cảnh báo trong Google Search Console
- Cảnh báo "Deceptive site ahead", "this site may be hacked" trên kết quả tìm kiếm Google
- Tăng/giảm traffic đột ngột
- Quảng cáo bất ngờ
- Trang/bài viết mới lạ
- Anchor text kỳ lạ như "buy viagra", "cheap Gucci shoes" hoặc ký tự tiếng Nhật bất thường
Online scanner như Sucuri SiteCheck có thể detect trace SEO spam. Nhưng bây giờ bạn cần dedicated scanner săn lùng mọi script spam trên site.
MalCare Security Scanner là plugin tốt nhất cho việc này.
Trung tâm: detect mọi dấu vết malware trên site. Để đạt được, nó:
- Đào sâu, xem mọi góc ngách tìm script SEO spam.
- Xác định malware ngụy trang tốt hoặc loại mới скрыт trên site.
Hãy gỡ malware đó một lần cho tất.
Phát Hiện SEO Spams
Bước 1: Tải và cài MalCare Security lên website WordPress.
Bước 2: Trên dashboard WordPress, vào MalCare, nhập email, click Secure Site Now.
Bước 3: Tiếp, nhập password mới và thêm site vào MalCare dashboard.
Plugin sẽ ngay lập tức quét site. Mất vài phút hoàn tất. Khi MalCare tìm thấy malware, nó thông báo cho bạn.
Khi malware detected, cần dọn site NGAY. Càng chờ, thiệt hại càng lớn.
Dọn Dẹp SEO Spams
Bước 1: Trên dashboard, MalCare báo site bị hack.
Để gỡ hack (SEO spam), click Auto-Clean.
MalCare bắt đầu dọn site ngay lập tức.
Lưu ý: Auto-Clean là tính năng premium, cần upgrade. Dọn 1 site $99. License kéo dài 1 năm, trong đó bạn dọn site bao nhiêu lần tùy ý. Nhưng nếu cài MalCare, nó bảo vệ bạn khỏi hacker/bot. Vì vậy bạn không thực sự cần dọn site bao giờ nữa.
Nếu muốn dọn và bảo vệ site với plugin bảo mật khác, xem danh sách Best WordPress security plugins.
Cách Bảo Vệ Website Khỏi SEO Spam?
Gỡ SEO spam không guarantee an toàn tương lai.
Chắc bạn cài plugin bảo mật, nó secure site nhiều mặt. Nhưng bảo mật là trách nhiệm chung. Bạn phải làm phần của bạn.
Ở đây, thảo luận biện pháp bảo mật nào để cho plugin lo, nào bạn phải gánh.
1. Sử Dụng Firewall
Firewall nằm giữa website và traffic cố truy cập.
Trước khi ai truy cập site, firewall điều tra xem có liên quan hoạt động xấu trước không. Nếu có, traffic từ quốc gia/thiết bị đó bị chặn ngay.
Nếu bạn dọn site với MalCare, không lo cài firewall plugin. MalCare có built-in firewall tự động bật khi cài plugin.
2. Bảo Vệ Trang Đăng Nhập
Trang login là trang dễ bị tấn công nhất trên site WordPress.
Đó là cổng vào site. Do đó hacker nhắm trang này hơn bất kỳ trang nào.
Hacker tìm combo username/password đúng để xâm nhập. Loại tấn công này gọi brute force attack.
Chúng thậm chí thiết kế bot thử hàng trăm combo trong vài phút.
Tài khoản với username/password yếu dễ bị crack.
Để ngăn thảm họa, bạn cần:
- Đảm bảo tất cả user dùng username duy nhất và mật khẩu mạnh.
- Giới hạn số lần đăng nhập sai.
Đây là ví dụ điển hình bảo mật là trách nhiệm chung.
Bạn cần nói chuyện với user đảm bảo họ dùng credential mạnh. Nhưng cũng cần plugin bảo mật bật CAPTCHA protection.
Nếu cài MalCare, CAPTCHA-based login protection đã bật sẵn. 3 lần đăng nhập sai sẽ block user không cho thử thêm.
Có thêm biện pháp bảo vệ login page. Chúng tôi tổng hợp tại – WordPress Login Security Guide.
3. Giữ Site Luôn Cập Nhật
Thời gian tới, plugin, theme, core site cần update.
Đôi khi bạn trì hoãn update cho đến khi rảnh. Đây là sai lầm lớn.
Update không chỉ mang tính năng mới mà cả security patch. Không có chúng, plugin/theme/core vulnerable. Hacker khai thác vulnerability hack site.
Điểm mấu chốt: bạn phải giữ site updated. Check thường xuyên update mới.
Việc check update thường xuyên phiền toái, nên nhiều manager tự động update. Tuy nhiên, auto-update hay làm hỏng site, do đó không khuyến khích.
Xem hướng dẫn How to Update WordPress Sites Safely.
4. Áp Dụng Nguyên Tắc Người Dùng Đặc Quyền Tối Thiểu
Trên WordPress, user được gán role:
- Superadmin (multisite)
- Administrator
- Editor
- Author
- Contributor
- Subscriber
Không phải user nào cũng truy cập mọi thứ. Mỗi role có quyền riêng.
Super admin và admin quyền cao nhất, subscriber thấp nhất.
Admin role dễ bị khai thác, vì vậy gán role cẩn thận. Bài hay về role quyền – WordPress Roles and Responsibilities.
Bằng cách làm theo bước trên, bạn đang đặt nền tảng bảo mật website. Bạn có thể xây thêm. Nhiều biện pháp bảo mật khác. Xem danh sách exhaustive WordPress security measures.
Tại Sao Hacker Muốn Phân Phối SEO Spam?
Động cơ chính SEO spam WordPress: kiếm tiền bằng cách lừa đảo visitor của bạn.
Hacker xâm nhập site qua vulnerability như weak password hoặc outdated plugin.
Khi đã trong, họ tìm top-ranking pages và thực hiện:
- Chèn link site chúng vào trang hiện có
- Thêm spam comment vào bài viết/trang
- Redirect trang bạn sang site khác
- Tạo bài viết/trang mới chứa link và nội dung spam, v.v.
Mục tiêu: lôi traffic từ site bạn sang site scam của chúng.
Rank Google tốn nhiều công sức. Thay vì làm tất cả đó, chúng "cưỡi lưng" ranking site bạn.
Hacker nhắm site WordPress mọi kích cỡ, không nhất thiết site lớn. Nạn nhân phổ biến: site nhỏ, NGO, blog WordPress coi nhẹ bảo mật.
Các Loại Tấn Công SEO Spam WordPress
Có 5 loại SEO spam trên WordPress hacker thực hiện trên site hacked:
- Chèn Spammy Keyword (Spammy Keyword Insertion)
- Chèn Spam Link (Spam Link Injection)
- Tạo Spam Page (Creating Spam Pages)
- Hiển Thị Spam Ads/Banner (Display Spam Ads And Banners)
- Spam Email
Hacker có thể kết hợp nhiều tactics trên. Xem chi tiết từng tactic:
1. Chèn Spammy Keyword
Hacker chèn keyword như "cheap Gucci shoes", "buy Viagra" vào nội dung hiện có site bạn. Search engine nghĩ content về từ khóa đó. Bắt đầu rank content cho từ khóa đó.
2. Chèn Spam Link
Visitor tìm "cheap Gucci shoes", "buy Viagra" vào site bạn, click link hacker cài để đi site scam bán sản phẩm đó.
3. Tạo Spam Page
Site có nhiều bài viết, hacker tạo trang mới nội dung spam. Trang này nhồi nhét keyword link trỏ site scam. Rank nhanh vì site bạn đã có ranking tốt.
4. Hiển Thị Spam Ads Và Banner
Banner/popup thu hút click. Hacker dùng chúng trong trang họ đăng trên site bạn. Click ads → visitor đi site scam.
5. Spam Email
Nếu hacker truy cập database site, họ có email khách hàng. Chúng gửi email quảng cáo sản phẩm. Email từ địa chỉ legitimate của bạn → khách tin cậy. Khách mua sản phẩm không bao giờ nhận được. Khách mất niềm tin, flag email spam. Mail server đánh dấu bạn spam. Khó khôi phục, mất khách quý.
SEO Spam Ảnh Hưởng Site Như Thế Nào
Để giải thích điều gì xảy ra khi site bị spam attack, chúng tôi lấy ví dụ thực tế.
Trường hợp này: hacker muốn bán sản phẩm pharma bất hợp pháp/cấm (Viagra, Cialis) qua site 'Canada Drugs'.
Họ chèn keyword 'Viagra and Cialis' vào top-ranking pages site họ hack. Được gọi black-hat SEO techniques hay pharma hack, khi ai muốn mua thuốc online, những site này rank.
Chúng tôi gõ "buy Viagra Cialis online" trên Google, kết quả:
Các site rank cho keyword này KHÔNG phải site pharma mà:
- Trang 'About' của công ty eco-friendly
- Trang 'tariff details' của festival âm nhạc Pháp
- Trang beverage trên menu nhà hàng Mexico
Bạn thấy ngẫu nhiên đến đâu? Chúng nhắm site nào dễ tấn công.
Chúng tôi đã nói đây là loại khó detect nhất. Vì được giấu để bạn không thấy, chỉ cho search engine bot thấy.
Khi truy cập trực tiếp site đầu tiên bằng domain, trang trông bình thường.
Nhưng nếu search Google và click link site đó, hiển thị spam page quảng cáo site pharma 'Canada Drugs' của hacker. Hack không bị phát hiện lâu vì chủ site không thấy bình thường.
Do SEO spam WordPress, site bạn sẽ trải qua:
- Trang bị chiếm đoạt → rank sai keyword → không ai mua sản phẩm/dịch vụ bạn → mất doanh thu.
- Site rank sai keyword → mọi nỗ lực SEO bị lãng phí.
- Visitor redirect sang site scam, trả tiền mua hàng không nhận được → ảnh hưởng uy tín và niềm tin. Lần sau thấy link site bạn trên search engine, họ sẽ cẩn thận không click.
- Khi hosting provider và search engine phát hiện site hacked, chúng sẽ treo và blacklist site cũng như tài khoản AdWords.
- Mất thông tin khách hàng → mất niềm tin → phá hủy business.
Tiếp Theo Là Gì?
Chúc mừng bạn đã gỡ SEO spam khỏi website WordPress.
Rất tiếc, chưa kết thúc. Một khi bị hack, bạn có thể gặp re-hack. Vì vậy biện pháp bảo vệ cực kỳ quan trọng.
- Cài và kích hoạt plugin bảo mật WordPress hiệu quả như MalCare. Plugin có firewall chặn spam, bot độc hại, hacker.
- Backup hoàn chỉnh site bằng WordPress Backup Plugin để khi site down, khôi phục ngay lập tức.
- Hardening website đảm bảo bảo vệ khỏi hack attempt tương lai.
Bảo vệ website 24/7 với MalCare Security Plugin