Japansk SEO-spam i WordPress: sådan fjerner du det helt

Du søger på dit eget domæne i Google og ser pludselig hundredvis af sider med japanske tegn, der reklamerer for falske mærkevarer. Du har ikke skrevet et eneste japansk ord. Velkommen til det japanske keyword-hack — også kaldet japansk SEO-spam — et af de mest udbredte WordPress-angreb, hvor angriberen kaprer din domæne-autoritet til at rangere deres egne spam-sider.

Hacket er lumsk, fordi siderne ofte er usynlige i dit WordPress-dashboard og kun eksisterer for Googles crawler. Men de kan fjernes systematisk. Her er fremgangsmåden.

Fylder spam-sider dine søgeresultater og dræner din trafik? Få akut oprydning — svar inden for 4 timer.

Sådan genkender du det japanske keyword-hack

De typiske symptomer:

• Japansk tekst i søgeresultaterne — søg site:ditdomæne.dk i Google og se sider med japanske tegn og produktnavne, du aldrig har lavet.
• En eksploderende side-optælling i Google Search Console under Indeksering — pludselig hundredvis eller tusindvis af nye URL'er.
• Mistænkelige nye URL'er med kryptiske stier som /?p=12345 eller mapper, der ikke findes i dit indhold.
• En advarsel om hacket indhold i Search Console under Sikkerhedsproblemer.
• En ny, ukendt administrator-bruger — angriberen opretter ofte en konto for at styre spammet.

Trin 1: Bekræft omfanget i Google Search Console

Start i Search Console. Under Sikkerhedsproblemer vil Google ofte have markeret "Hacket indhold: spam med skjulte nøgleord". Brug URL-inspektion på et par af spam-URL'erne for at se, hvad Google faktisk indekserer. Tjek også Sitemaps — angriberen indsender tit sit eget sitemap (fx sitemap.xml eller en variant), så Google hurtigt finder alle spam-siderne. Noter disse, så du kan fjerne dem igen.

Trin 2: Find den ukendte admin-bruger og spær den ude

Gå til Brugere → Alle brugere og kig efter administratorer, du ikke kender. Bruger du WP-CLI:

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Find du en fremmed konto, så notér oprettelsesdatoen (den fortæller, hvornår angrebet skete), slet brugeren og skift derefter alle adgangskoder og de hemmelige nøgler i wp-config.php.

Trin 3: Find de injicerede filer og bagdøren

Det japanske hack lægger typisk nye PHP-filer i installationen og ændrer eksisterende. Find de senest ændrede filer og PHP-filer på steder, hvor de ikke hører hjemme:

# PHP-filer i uploads (der bør ikke være nogen)
find wp-content/uploads -name "*.php"

# Filer ændret inden for de seneste 14 dage
find . -type f -name "*.php" -mtime -14

# Typiske sløringsfunktioner som malware bruger
grep -RinE "eval\(|base64_decode\(|gzinflate\(|str_rot13\(" wp-content/ wp-includes/

Slet de ondsindede filer, og vær særligt grundig: hacket overlever på en bagdør, og finder du den ikke, kommer spammet tilbage inden for få dage.

Spammet vender tilbage hver gang du tror, det er væk? Så er der en bagdør tilbage. Jeg finder og fjerner alle bagdøre til fast pris.

Trin 4: Rens databasen

Mange varianter gemmer spam-data og indstillinger i databasen — ofte i wp_options. Kig efter mistænkelige, kryptisk navngivne poster, og bekræft at siteurl og home peger på dit eget domæne:

wp option get siteurl
wp option get home

Tjek også, om der er oprettet falske indlæg eller sider med japansk indhold under Indlæg og Sider (sortér efter dato), og slet dem permanent — også fra papirkurven.

Trin 5: Geninstallér rene filer

Den sikreste vej til rene kernefiler er at udskifte dem helt. Med WP-CLI:

# Geninstallér WordPress-kernen (rører ikke dit indhold i wp-content)
wp core download --force --version=$(wp core version)

# Geninstallér alle plugins fra det officielle repository
wp plugin install $(wp plugin list --field=name) --force

Slet plugins og temaer, du ikke bruger — også inaktive. Inaktiv kode kan stadig huse en bagdør. Den fulde, metodiske oprydning er beskrevet i WordPress hacket? Sådan rydder du op, og den bredere malware-jagt i Fjern malware fra WordPress.

Trin 6: Få din rigtige indeksering tilbage

Når sitet er rent, skal Google rydde op i sit indeks:

1. Fjern angriberens falske sitemap fra Search Console → Sitemaps, og genindsend dit eget korrekte sitemap.
2. Brug Fjernelse af URL'er til midlertidigt at skjule de værste spam-URL'er, mens Google genindekserer.
3. Send en anmodning om fornyet gennemgang under Sikkerhedsproblemer, når malwaren er bekræftet væk.

Er sitet samtidig endt på Googles blokliste, så følg denne guide til at fjerne advarslen. Vigtigt: malwaren skal være væk først, ellers genindsætter Google bare flaget.

Ofte stillede spørgsmål

Hvorfor ser jeg ikke de japanske sider i mit WordPress-dashboard?

Fordi mange varianter af hacket genererer spam-siderne dynamisk, kun når Googles crawler beder om dem. Siderne gemmes ikke nødvendigvis som rigtige indlæg, du kan se i admin — de eksisterer i praksis kun for søgemaskinen. Derfor er en site:-søgning og Search Console bedre værktøjer til at se omfanget end dit dashboard.

Vender det japanske spam tilbage, efter jeg har slettet siderne?

Ja, hvis du kun fjerner siderne uden at fjerne bagdøren. Angriberen bruger en skjult fil eller funktion til at genskabe spammet, ofte inden for få dage. Du skal finde og slette bagdøren, skifte alle adgangskoder og salts og geninstallere rene kernefiler, før hacket er væk for alvor.

Hvor lang tid tager det, før Google fjerner spam-siderne fra resultaterne?

Når sitet er rent og du har sendt en reconsideration request, fjerner Google typisk sikkerhedsadvarslen inden for et par dage til en uge. Selve spam-URL'erne forsvinder gradvist fra indekset, efterhånden som Google genbesøger dem. Du kan fremskynde det ved at fjerne angriberens sitemap og bruge URL-fjernelsesværktøjet.

Skader det japanske hack min SEO permanent?

Hvis du handler hurtigt, er skaden som regel midlertidig. Men jo længere spammet er aktivt, jo mere risikerer du, at Google taber tillid til domænet, og at dine egne sider falder i rang. Permanent skade er sjælden, men en hurtig oprydning efterfulgt af hærdning er den bedste forsikring mod tilbagefald.