Si alguien ha colado enlaces o páginas de casino, apuestas o farmacia online en tu web, el problema tiene dos partes: cerrar la entrada por la que se coló y limpiar lo que Google y otros buscadores ya han visto. Esta guía trata la segunda: qué hacen Google, Bing y los buscadores con IA con una web así, qué pasos seguir y cuánto se puede tardar en salir del problema.
Esta guía la firma Miguel Quílez, director de Hiberus Booster, la unidad del grupo Hiberus hiperespecializada en inteligencia artificial. Hiberus es la primera consultora tecnológica española de capital privado, con más de 4.000 profesionales.
Qué es este spam y por qué quizá no lo veas
Google lo llama contenido pirateado: texto, enlaces o páginas que alguien introduce en tu sitio sin tu permiso, aprovechando un fallo de seguridad. El objetivo del atacante es posicionar su casino o su farmacia con la reputación de tu dominio.
A menudo el dueño no lo ve por el cloaking: la web enseña una cosa a los buscadores y otra a los visitantes. Tú abres tu página y sale limpia; Google recibe otra versión, con el spam. Si no sabes todavía si te ha pasado, la guía para detectar spam oculto lo explica en 15 minutos: buscar tu dominio en Google junto a palabras como casino o viagra, mirar el código fuente de la portada y revisar Search Console. Aquí partimos de que ya lo has confirmado y quieres recuperarte.
Qué hace Google con una web pirateada
Google avisa por el informe Problemas de seguridad de Search Console. Si no has verificado tu web en Search Console, es lo primero que conviene hacer, porque ahí aparecen los avisos y desde ahí se pide la revisión. El informe distingue estos tipos de pirateo:
- Pirateado: inyección de contenido. Alguien ha añadido texto o enlaces fraudulentos a tus páginas, por ejemplo términos farmacéuticos.
- Pirateado: inyección de URL. Alguien ha creado páginas nuevas en tu sitio, probablemente con palabras o enlaces fraudulentos.
- Pirateado: inyección de código. Alguien ha metido código malicioso en tus páginas, por ejemplo para redirigir a un sitio malicioso.
- Pirateado: malware. Software diseñado para dañar ordenadores, dispositivos móviles o programas.
Las páginas o sitios con problemas de seguridad pueden aparecer con etiquetas de advertencia en los resultados de búsqueda, y el navegador puede mostrar una página de advertencia a quien intente visitarlos. En Chrome pasa, por ejemplo, con malware y con descargas maliciosas.
Qué hacen ChatGPT, Copilot y las respuestas de IA de Google
Cada herramienta de IA se alimenta de una fuente distinta, y eso decide dónde tienes que limpiar:
- AI Overviews y AI Mode de Google. No tienen requisitos adicionales: para salir como enlace de apoyo, la página debe estar indexada y ser elegible para mostrarse en Google con un fragmento. Si esa página deja de estar indexada, deja de cumplir el requisito.
- Microsoft Copilot. Obtiene información del servicio de búsqueda de Bing cuando la búsqueda web está activada.
- ChatGPT. Usa su propio rastreador, OAI-SearchBot, para mostrar webs en las funciones de búsqueda. Según OpenAI, las webs que lo bloquean no salen en las respuestas de búsqueda de ChatGPT.
La conclusión práctica: hay que limpiar en Google y en Bing, y no bloquear OAI-SearchBot en el archivo robots.txt (el fichero que indica a los rastreadores qué partes de tu web pueden visitar). Si una página de spam sigue indexada a tu nombre, existe el riesgo de que una herramienta de IA la cite o la resuma como fuente. No es algo que podamos medir ni que estas fuentes documenten; es una razón más para no dejar páginas de spam vivas.
Recuperación paso a paso
El orden importa. Cada paso es corto de entender, aunque algunos requieran a quien administre tu web.
- Cierra la puerta. Averigua cómo entró el atacante y arréglalo: un plugin, un tema o el propio gestor de contenidos sin actualizar, o una contraseña comprometida. Si no lo haces, el spam vuelve. Un ejemplo real de 2026 es el plugin falso Link Factory de WordPress. Antes de borrar nada, haz una copia de los ficheros por si hay que restaurar algo.
- Limpia. Quita el contenido inyectado y las páginas que creó el atacante. Después comprueba cómo las ve Google con la herramienta Inspección de URL de Search Console, porque con cloaking tu navegador puede enseñarte la página limpia mientras Google sigue viendo el spam. Según Google, los atacantes intentan que creas que la página ya no existe o está arreglada cuando sigue pirateada.
- Haz que las páginas de spam devuelvan 404 o 410. Son los códigos con los que un servidor dice «esta página no existe» (404, no encontrada; 410, ya no disponible). Es lo que Google considera la retirada permanente. No las bloquees en robots.txt: si Google no puede visitarlas, no puede comprobar que ya no existen.
- Oculta las URLs rápido con la herramienta de Retirada de URLs. En Search Console, la herramienta de retirada oculta una URL de los resultados, pero solo de forma temporal: una solicitud aprobada dura unos seis meses. Lo permanente es el 404 o 410 del paso anterior. Úsala solo con las URLs que creó el atacante: Google desaconseja bloquear la web entera o URLs que quieras mantener en los resultados.
- Pide la revisión cuando TODO esté limpio. En Search Console, informe Problemas de seguridad, selecciona el problema y pulsa «Solicitar revisión». Google recomienda explicar qué has hecho, por ejemplo: «He eliminado el contenido spam y corregido la vulnerabilidad actualizando un plugin desactualizado». Pídela solo cuando hayas terminado toda la limpieza.
- Haz lo mismo en Bing. Verifica tu web en Bing Webmaster Tools y quita las URLs de spam con su herramienta de bloqueo. Después avisa de los cambios con IndexNow, un protocolo que comparten Bing, Yandex, Seznam, Naver, Yep y otros buscadores (lista oficial); Google no lo usa. IndexNow avisa de que una página ha cambiado, pero no borra nada por sí solo.
- Vigila las semanas siguientes. Revisa Problemas de seguridad y busca
site:tudominio.es casino OR apuestas OR viagraen Google y en Bing para comprobar que no queda nada indexado ni reaparece.
Cuánto tarda
Según Google, las revisiones de webs pirateadas con spam pueden tardar hasta varias semanas, porque pueden implicar una investigación manual o reprocesar por completo las páginas. Con malware, la revisión tarda unos días. Si se aprueba, el informe Problemas de seguridad deja de mostrar las categorías de pirateo y las URLs de ejemplo.
Después, Google tiene que volver a rastrear tu web para reflejar el cambio. Cuánto tardan en recuperarse tu posición y tu tráfico depende de cada caso, y ninguna de las fuentes que hemos usado da un plazo, así que no lo inventamos.
Preguntas frecuentes
¿Google me va a penalizar por tener enlaces de casino?
Google trata el contenido pirateado como una categoría propia: contenido que se introduce en tu sitio sin tu permiso aprovechando sus vulnerabilidades de seguridad, y dice que hace todo lo posible para que no aparezca en sus resultados. El aviso llega por el informe Problemas de seguridad de Search Console, no por Acciones manuales, y las páginas afectadas pueden mostrarse con una etiqueta de advertencia en los resultados. Las fuentes de Google que hemos usado no dan un plazo de recuperación del tráfico, así que no lo inventamos.
¿Cuánto tarda Google en quitar el aviso de web hackeada?
Según Google, las revisiones de webs pirateadas con spam pueden tardar hasta varias semanas, porque pueden implicar una investigación manual o volver a procesar por completo las páginas afectadas. Si el problema es malware, la revisión tarda unos días. La cuenta empieza cuando pides la revisión, y solo conviene pedirla cuando todo está limpio.
¿Basta con borrar los enlaces?
No. Si no cierras la entrada por la que se coló el atacante (un plugin o un gestor de contenidos sin actualizar, una contraseña comprometida), el spam vuelve. Además, las páginas que creó el atacante tienen que devolver un error 404 o 410 para que Google entienda que ya no existen, y conviene comprobar cómo las ve Google con la herramienta Inspección de URL de Search Console, no solo con tu navegador.
¿ChatGPT puede seguir mostrando las páginas de spam?
ChatGPT usa su propio rastreador, OAI-SearchBot, para sus funciones de búsqueda. Mientras las páginas de spam sigan en tu dominio, ese rastreador puede encontrarlas igual que lo hace Google. No hemos encontrado documentación de OpenAI que indique cuánto tarda en reflejar que una página ha desaparecido, así que no damos un plazo. Lo que sí depende de ti: eliminar las páginas con un 404 o 410 y no bloquear OAI-SearchBot en robots.txt, porque según OpenAI las webs que lo bloquean no aparecen en las respuestas de la búsqueda de ChatGPT.
¿Tengo que hacer algo en Bing?
Sí. Según Microsoft, Copilot puede obtener información del servicio de búsqueda de Bing cuando la búsqueda web está activada, así que limpiar solo en Google deja la mitad del trabajo sin hacer. Verifica tu web en Bing Webmaster Tools, quita las URLs de spam con su herramienta de bloqueo y avisa de los cambios con IndexNow, un protocolo que comparten Bing y otros buscadores, pero no Google. IndexNow avisa de que algo ha cambiado; no borra nada por sí solo.
¿Por qué yo no veo el spam y Google sí?
Por el cloaking: la web enseña un contenido a los buscadores y otro a las personas. Google advierte de que los atacantes intentan que creas que la página ya no existe o que está arreglada cuando sigue pirateada. Para ver lo que ve Google, introduce la dirección de la página en la herramienta Inspección de URL de Search Console, que permite ver el contenido oculto.
Te decimos si tu web está comprometida, gratis
Comprobamos tu dominio —incluido el test de cloaking, que no se ve a ojo— y te mandamos el informe de qué encontramos y por dónde entra. Sin tocar tu servidor, solo mirando lo que tu web ya muestra en público.
✓ ¡Recibido!
Gracias. Un especialista de Hiberus Booster te contacta en menos de 24 horas.
