Spam SEO, ukryte linki i złośliwe przekierowania - jak hakerzy zarabiają na Twojej stronie

TL;DR: Spam SEO na stronie to podstrony, linki lub przekierowania, które haker dokłada do Twojej witryny, żeby zarabiać na jej reputacji w Google. Najczęściej są to japońskie strony z podróbkami, treści kasyn i farmaceutyków, ukryte linki oraz przekierowania działające tylko dla wejść z Google albo z telefonu. Coraz groźniejsza jest fałszywa weryfikacja Cloudflare (ClickFix), która infekuje komputery Twoich klientów. Właściciel często nic nie widzi, bo spam jest pokazywany tylko robotowi Google, dlatego trzeba go szukać przez site:twojadomena.pl i Google Search Console. Samo skasowanie spamowych podstron nie wystarcza: trzeba usunąć furtkę, którą haker wszedł, inaczej spam wróci.

Na co dzień naprawiam i czyszczę zhakowane strony WordPress, a od 2013 roku zajmuję się SEO. Najwięcej nerwów u właścicieli firm budzi nie wirus, który wyświetla ostrzeżenie w przeglądarce, tylko cichy spam: strona wygląda normalnie, a w Google nagle pojawiają się setki podstron z kasynem albo tabletkami. W tym wpisie pokazuję, jak hakerzy zarabiają na cudzych stronach, jak rozpoznać każdy rodzaj spamu i dlaczego sprzątanie musi sięgnąć głębiej niż do listy wpisów w panelu.

Dlaczego hakerzy chcą akurat strony małej firmy

Wielu moich klientów mówi: „kto by się włamywał do strony zakładu z Legionowa?”. Tymczasem dla spamera każda domena z historią jest cenna z trzech powodów:

• Reputacja domeny. Strona, która działa od lat i ma linki od lokalnych serwisów, szybciej dostaje się do wyników Google niż świeża domena spamera. Google nazywa to wprost nadużywaniem reputacji witryny, czyli publikowaniem obcych treści głównie po to, by skorzystać z sygnałów rankingowych gospodarza^[4].
• Ruch. Odwiedzających Twoją stronę można przekierować na sklep z podróbkami, kasyno albo stronę z malware.
• Linki. Link z prawdziwej firmy przekazuje spamowym serwisom wiarygodność, za którą ktoś płaci.

Skala jest ogromna. Skaner Sucuri SiteCheck w 2024 roku wykrył spam SEO na 422 741 stronach, w tym 117 393 przypadki japońskiego spamu i 79 817 przypadków spamu hazardowego^[1]. W raporcie za 2023 rok spam SEO był trzecią najczęstszą rodziną złośliwego kodu na oczyszczanych stronach (20,30%), a spam hazardowy urósł o 200% rok do roku^[2]. Najczęstsze tło takich infekcji to nieaktualne wtyczki, o czym piszę szerzej we wpisie o najnowszych podatnościach WordPressa.

Rodzaje spamu SEO i przekierowań, które spotykam najczęściej

Japoński spam, pharma i kasyno

Japoński spam to nowe podstrony z automatycznie generowanym tekstem po japońsku, umieszczone w losowych katalogach, np. twojadomena.pl/ltjmnjp/341.html. Zarabiają na linkach afiliacyjnych do sklepów z podróbkami^[3]. Odmiany „pharma” i „kasyno” działają tak samo, tylko reklamują leki bez recepty albo hazard. Często spam nie jest wpisem w WordPressie, tylko zwykłym plikiem lub katalogiem na serwerze.

Z mojej praktyki: na stronie gabinetu medycznego Google indeksował podstrony w stylu /cennik/ wypełnione treściami kasyn. Baza danych była czysta, panel WordPressa nie pokazywał ani jednego podejrzanego wpisu. Spam siedział jako fizyczne katalogi na serwerze, a serwer obsługiwał je, zanim WordPress w ogóle się uruchomił. Kto szukał problemu tylko w kokpicie, nie mógł go znaleźć.

Doorway pages, czyli strony przejściowe

Doorway to masowo tworzone podstrony pod konkretne frazy, których jedynym zadaniem jest złapać ruch z Google i przepchnąć go dalej. Google wymienia je w zasadach dotyczących spamu obok zhakowanych treści i podstępnych przekierowań^[4]. Na zhakowanej stronie wyglądają jak setki nowych adresów o podobnej budowie, różniących się tylko słowem kluczowym.

Cloaking, czyli spam widoczny tylko dla Googlebota

Cloaking (maskowanie) to pokazywanie innych treści użytkownikom, a innych wyszukiwarce^[4]. To dlatego właściciel otwiera swoją stronę i widzi, że wszystko jest w porządku. Przy japońskim spamie hakerzy potrafią wręcz pokazać właścicielowi błąd 404, żeby uwierzył, że problem zniknął, a Google nadal dostaje spam^[3].

Głośny przykład z 2026 roku: napastnik kupił ponad 30 wtyczek z rodziny EssentialPlugin, wstawił do nich tylną furtkę (backdoor), a w kwietniu 2026 ją aktywował. Kod wstrzyknięty do pliku wp-config.php serwował spam SEO wyłącznie Googlebotowi, więc właściciele go nie widzieli. WordPress.org zamknął 31 wtyczek jednego dnia, a wymuszona aktualizacja wyłączyła łączność z serwerem napastnika, ale nie usunęła kodu już wstrzykniętego do wp-config.php^[5].

Jak to sprawdzić samodzielnie:

1. Wpisz w Google site:twojadomena.pl i przejrzyj kilka stron wyników. Obce języki, słowa „casino”, „viagra” albo nazwy marek odzieżowych to sygnał alarmowy.
2. Otwórz w Google Search Console raport „Problemy dotyczące bezpieczeństwa”. Google rozróżnia w nim wstrzyknięcie kodu (np. złośliwe przekierowania), wstrzyknięcie treści (spamowe linki i tekst) oraz wstrzyknięcie adresów URL, czyli nowe strony utworzone przez hakera^[6].
3. Użyj narzędzia Sprawdzanie adresu URL w Search Console i obejrzyj wyrenderowaną stronę tak, jak widzi ją Google. Google sam radzi korzystać z tego narzędzia zamiast otwierać podejrzane strony w przeglądarce^[6].

Ukryte linki

Ukryte linki to odnośniki do obcych stron wstawione w kod tak, by odwiedzający ich nie zauważył, np. białym tekstem lub poza ekranem. Google traktuje ukryty tekst i linki jako naruszenie zasad^[4]. Sucuri opisało fałszywą wtyczkę o nazwie „security-wordpress”, która wstrzykiwała linki kasynowe do stopki, pobierając ich listę z zewnętrznej domeny^[7]. Częstą kryjówką są też mu-plugins, czyli wtyczki ładowane automatycznie, których nie widać na standardowej liście wtyczek. Sucuri znajdowało w nich osobne pliki do przekierowań, webshella (zdalnego panelu dla hakera) i wstrzykiwania spamu SEO^[8].

Z mojej praktyki: w sklepie internetowym znalazłem wtyczkę, która udawała narzędzie do czyszczenia cache. W rzeczywistości była backdoorem: wystawiała własny punkt dostępu w REST API WordPressa, przez który atakujący zdalnie dopisywał linki do treści. Miał też własne hasło aplikacji (application password), czyli osobny klucz dostępu do API. Dzięki temu działał dalej nawet po zmianie hasła administratora. Gdyby właściciel tylko zmienił hasło, linki pojawiałyby się dalej.

Złośliwe przekierowania

Klasyczny objaw „przekierowanie na inną stronę, wirus” wygląda tak: klient wchodzi z Google na Twoją stronę i ląduje na kasynie, fałszywej loterii albo stronie z „aktualizacją przeglądarki”. Ty wpisujesz adres ręcznie i wszystko działa. To nie przypadek. Złośliwy kod zwykle sprawdza, skąd przychodzi odwiedzający i z jakiego urządzenia, i przekierowuje tylko wybranych: wejścia z wyszukiwarki, z telefonu albo osoby, które są na stronie po raz pierwszy. Google zalicza złośliwe przekierowania do zhakowanych treści i osobno wymienia podstępne przekierowania w zasadach dotyczących spamu^[4]. Sucuri w 2024 roku odnotowało 822 651 wykryć malware i złośliwych przekierowań^[1].

Fałszywa weryfikacja Cloudflare i CAPTCHA (ClickFix)

To dziś najgroźniejsza odmiana, bo uderza nie w Twoje pozycje, tylko w komputery Twoich klientów. Odwiedzający widzi okienko „Nie jestem robotem” albo „weryfikację Cloudflare”. Strona po cichu kopiuje do schowka polecenie systemowe i każe nacisnąć Win+R, wkleić i zatwierdzić Enterem. Polecenie pobiera złośliwe oprogramowanie. Nowsze warianty każą otworzyć Terminal przez Win+X, żeby nie zostawić śladu w systemie^[9].

CERT Polska w lutym 2026 opisał incydent, w którym taki łańcuch doprowadził do malware Latrodectus i rodziny Supper, która często poprzedza atak ransomware, czyli zaszyfrowanie danych dla okupu. Cytat z raportu: „Obserwujemy rosnącą liczbę ataków przeprowadzanych w ten sposób w Polsce”^[10]. Sucuri opisało kampanię fałszywej reCAPTCHA na ponad 5 200 stronach WordPress, wstrzykiwaną m.in. przez złośliwe wtyczki i pliki functions.php motywu. Skutkiem dla właścicieli były ostrzeżenia Google. Badacze Sucuri piszą wprost: prośba o naciśnięcie Windows + R i uruchomienie polecenia to „ogromna czerwona flaga”^[11]. Rapid7 w marcu 2026 opisał ponad 250 zainfekowanych stron WordPress w co najmniej 12 krajach, w tym strony firm, z których rozsyłano programy kradnące hasła^[12]. W sierpniu 2026 opisano kolejną kampanię: ponad 500 zhakowanych stron WordPress z fałszywymi promptami Cloudflare, które instalowały złodzieja haseł, portfeli kryptowalut i naciśnięć klawiszy^[13].

Pamiętaj: prawdziwa weryfikacja antybotowa nigdy nie każe uruchamiać poleceń w systemie. Jeśli klient zgłasza Ci takie okienko na Twojej stronie, traktuj to jak pożar. Incydent można też zgłosić do CERT Polska przez portal incydent.cert.pl^[9].

Z mojej praktyki: na stronie firmy usługowej spod Warszawy boty najpierw logowały się przez XML-RPC (stary interfejs do zdalnej obsługi WordPressa) hasłem administratora, które krążyło w wyciekach, i publikowały spamowe wpisy. Później ktoś aktywował wtyczkę do zarządzania plikami i wstrzyknął do functions.php motywu fałszywą „weryfikację Cloudflare”. Właściciel widział tylko trochę dziwnych wpisów. Jego klienci widzieli okno, które próbowało zainstalować im malware.

Konsekwencje dla SEO: od spadków po działania ręczne

Zasady Google są jednoznaczne: strony, które je naruszają, „mogą mieć niższą pozycję w wynikach lub w ogóle się w nich nie pojawiać”^[4]. Nie ma znaczenia, że to nie Ty dodałeś spam. Oprócz automatycznych spadków Google może nałożyć działanie ręczne, widoczne w Search Console. Wśród jego rodzajów są m.in. „Witryna wykorzystywana przez spamerów zewnętrznych”, „Maskowanie i/lub podstępne przekierowania”, „Ukryty tekst i/lub upychanie słów kluczowych” oraz „Nienaturalne linki z Twojej witryny”. Po oczyszczeniu składa się prośbę o ponowne rozpatrzenie, a weryfikacja trwa od kilku dni do kilku tygodni^[14].

W praktyce oznacza to utratę zapytań z Google na tygodnie, a czasem na miesiące. Do tego dochodzą indeksowane spamowe adresy, które trzeba usunąć z wyników, oraz zaufanie klientów, którzy zobaczyli kasyno zamiast oferty.

Link blast, czyli atak, który trwa po sprzątaniu

Z mojej praktyki: po wyczyszczeniu plików na stronie gabinetu nagle pojawiły się dziesiątki tysięcy spamowych linków zwrotnych z około 100 domen, a liczba domen linkujących wzrosła kilkukrotnie. Kampania linkowa żyła dalej, choć sama strona była już czysta. Potrzebny był plik disavow (zrzeczenie się linków w Google) i stały monitoring profilu linków. To pokazuje, że spam SEO to nie tylko problem bezpieczeństwa, ale też zadanie dla kogoś, kto zna techniczną optymalizację SEO.

Jak to się sprząta i dlaczego samo usunięcie spamu nie wystarcza

Najczęstszy błąd, jaki widzę: ktoś kasuje spamowe podstronki, czasem wtyczką do bezpieczeństwa, i uznaje sprawę za zamkniętą. Po jakimś czasie spam wraca. Powód jest prosty: spam to tylko skutek, a przyczyną jest furtka, przez którą haker wszedł i przez którą wraca. Sucuri opisało we wrześniu 2026 rodzinę malware, która ukrywała się jako wtyczka z kopią w mu-plugins, sama ukrywała się z listy wtyczek i tworzyła ukrytych administratorów^[15]. Sucuri zauważa też trend przechowywania złośliwego kodu w bazie danych zamiast w plikach^[1]. Jeśli posprzątasz tylko pliki albo tylko bazę, infekcja wraca.

Tak wygląda moja kolejność pracy przy spamie SEO:

1. Kopia stanu zainfekowanego i odcięcie dostępu: zmiana haseł, usunięcie obcych kont administratorów i haseł aplikacji, wyłączenie XML-RPC, jeśli nie jest potrzebny.
2. Przegląd plików na serwerze, nie tylko w WordPressie: fizyczne katalogi spamu, .htaccess, wp-config.php, mu-plugins, pliki motywu. Szukam po dacie modyfikacji z okna czasowego z logów, bo sygnatury antywirusów często nie łapią świeżego kodu.
3. Przegląd bazy danych: wstrzyknięte treści, opcje, snippety kodu, nieznani użytkownicy.
4. Przeinstalowanie rdzenia, motywu i wtyczek z czystych źródeł oraz usunięcie wtyczek, których nikt nie rozpoznaje.
5. Search Console: usunięcie obcych właścicieli usługi i podejrzanych map witryny, prośba o ponowne sprawdzenie, a przy działaniu ręcznym prośba o ponowne rozpatrzenie^[3][14].
6. Monitoring: obserwacja indeksu, nowych plików i profilu linków przez kolejne tygodnie, a w razie link blastu plik disavow.

Jeśli dopiero podejrzewasz, że coś jest nie tak, zacznij od listy objawów we wpisie zhakowana strona WordPress - objawy i co zrobić. Jeśli spam już jest w Google, warto oddać sprawę komuś, kto robi naprawę i czyszczenie zhakowanych stron na co dzień, bo każdy dzień zwłoki to kolejne spamowe adresy w indeksie.

FAQ - spam SEO i złośliwe przekierowania

Skąd mam wiedzieć, czy na mojej stronie jest spam SEO, skoro nic nie widzę?

Wpisz w Google site:twojadomena.pl i sprawdź, czy w wynikach nie ma obcych języków, kasyn, leków albo podróbek. Zajrzyj też do raportu „Problemy dotyczące bezpieczeństwa” w Google Search Console. Spam często jest maskowany i pokazywany tylko robotowi Google, więc oglądanie strony w przeglądarce niczego nie dowodzi.

Dlaczego przekierowanie na inną stronę działa u klientów, a u mnie nie?

Złośliwy kod zwykle wybiera ofiary: przekierowuje osoby wchodzące z Google, z telefonu albo odwiedzające stronę pierwszy raz. Zalogowany administrator, który wpisuje adres ręcznie, widzi normalną stronę. To jeden z najczęstszych powodów, dla których właściciele długo nie wierzą klientom.

Czym jest fałszywa weryfikacja Cloudflare?

To okienko udające test „Nie jestem robotem”, które kopiuje do schowka polecenie i każe je wkleić przez Win+R. Polecenie instaluje malware na komputerze odwiedzającego. Prawdziwa weryfikacja nigdy nie każe uruchamiać poleceń, a CERT Polska ostrzega przed rosnącą liczbą takich ataków w Polsce.

Czy wystarczy usunąć spamowe podstrony i zmienić hasło?

Nie. Haker zwykle zostawia kilka furtek: obce konta, hasła aplikacji, pliki w mu-plugins, kod w bazie albo katalogi poza WordPressem. Dopóki ich nie usuniesz, spam wróci, a sprawca będzie wracał tak długo, aż zamkniesz wszystkie drzwi.

Czy pozycje w Google wrócą po oczyszczeniu strony?

Zwykle tak, ale nie od razu. Trzeba poprosić Google o ponowne sprawdzenie, a przy działaniu ręcznym weryfikacja trwa od kilku dni do kilku tygodni. Pomaga szybkie usunięcie spamowych adresów z indeksu i kontrola linków zwrotnych po włamaniu.

Widzisz spam w Google albo klienci zgłaszają dziwne przekierowania?

Zajmuję się naprawą i czyszczeniem zhakowanych stron WordPress: znajduję furtkę, usuwam spam z plików i bazy, sprzątam Search Console i pilnuję, żeby infekcja nie wróciła. Po czyszczeniu mogę też odbudować widoczność strony w ramach pozycjonowania w Google. Zadzwoń: +48 606 719 343 albo napisz: lukasz@freelancerka.com.

Przypisy i źródła

Wszystkie źródła zweryfikowane; dostęp: 8 października 2026.

1. Sucuri, „SiteCheck Malware Trends Report 2024” (2025) - sucuri.net
2. Sucuri, „2023 Hacked Website & Malware Threat Report” (czerwiec 2024) - sucuri.net
3. Google (web.dev), „Fix the Japanese keyword hack” (b.d.) - web.dev
4. Google Search Central, „Spam policies for Google web search” (aktualizacja 28.08.2026) - developers.google.com
5. InfoQ, Steef-Jan Wiggers, „Attacker Bought 30 WordPress Plugins on Flippa and Backdoored All of Them” (06.05.2026) - infoq.com
6. Google, Pomoc Search Console, „Security Issues report” (b.d.) - support.google.com
7. Sucuri Blog, Kayleigh Martin, „Fake WordPress Plugin Impacts SEO by Injecting Casino Spam” (26.02.2025) - blog.sucuri.net
8. Sucuri Blog, „Hidden Malware Strikes Again: Mu-Plugins Under Attack” (marzec 2025) - blog.sucuri.net
9. CyberDefence24, Tymoteusz Netter, „Potwierdź, że nie jesteś robotem. Uwaga na fałszywe CAPTCHA” (03.08.2026) - cyberdefence24.pl
10. CERT Polska, „ClickFix w akcji: jak fake captcha może zaszyfrować całą firmę” (17.02.2026) - cert.pl
11. Sucuri Blog, Ben Martin, „WordPress ClickFix Malware Causes Google Warnings and Infected Computers” (21.02.2025) - blog.sucuri.net
12. Rapid7, „When Trusted Websites Turn Malicious: WordPress Compromises Advance Global Stealer Operation” (10.03.2026) - rapid7.com
13. HackRead, „500+ WordPress Sites Hacked to Push Infostealer via ClickFix Attack” (12.08.2026) - hackread.com
14. Google, Pomoc Search Console, „Manual Actions report” (b.d.) - support.google.com
15. Sucuri Blog, Gabriel Barbosa, „SC WordPress Malware: A Self-Healing Mesh of Loaders, Drop-Ins, and a Blockchain-Controlled Backdoor” (30.09.2026) - blog.sucuri.net