Okean Volos: sitio web tras un hackeo

En julio de 2026 hackearon la cuenta de hosting de un estudio cuyo sitio funcionaba con Joomla. En el directorio del sitio encontraron 16 915 archivos PHP infectados, unas 35 web shells con nombres aleatorios y droppers en cada carpeta. La base de datos fue eliminada, en el dominio había una página de aviso «Sitio temporalmente no disponible» y en el sitio no quedaba contenido.

El código malicioso usaba cloaking dirigido al robot de búsqueda. El visitante normal veía un sitio corriente, mientras que Googlebot recibía doorways de spam de una tienda online japonesa. Por fuera todo parecía en orden, así que ni los propietarios ni los clientes del estudio notaban nada sospechoso, y la infección estuvo en el sitio durante meses hasta que el proyecto llegó a SEO7.

Sí, el spam llegó a entrar en el índice. En las dos jornadas previas a la limpieza, los robots de búsqueda accedieron 878 veces a los mapas del sitio falsos y 661 veces a las páginas doorway. La magnitud de la infección la aumentaba una segunda instalación de Joomla, abandonada hacía tiempo, en el mismo hosting, que contenía otros 25 874 archivos.

La causa del ataque fue el intérprete de PHP que funcionaba en el servidor que sirve los artículos y las fotos. Actualizar Joomla habría cerrado los fallos conocidos y dejado los desconocidos. Por eso se eliminó por completo el código ejecutable del servidor: incluso un archivo malicioso subido con éxito queda como texto muerto, sin nada que lo ejecute.

De una copia hecha mucho antes de la infección se tomaron solo los datos: textos, fotografías y la estructura de direcciones. Ningún archivo PHP ni ninguna plantilla de Joomla llegó al nuevo proyecto. Todo lo extraído se revisó antes con firmas de código malicioso y solo después se usó en la construcción.

El sitio no funcionaba y no había nada que rastrear, así que levantamos una copia de la base de datos en local y extrajimos el contenido directamente: 32 páginas, 15 000 palabras y la estructura del menú. De paso aparecieron la dirección del estudio, el teléfono, la lista de precios completa y las condiciones de la garantía. Estaban en bloques internos de Joomla y no figuraban en ningún mapa del sitio.

En Joomla había 32 páginas y 15 000 palabras. El nuevo sitio estático tiene 38 páginas y 50 806 palabras, es decir, 3,4 veces más contenido. Se añadieron 120 fotografías con nombres, descripciones y metadatos únicos, 51 vídeos del estudio en un alojamiento de vídeo propio y 472 pares de pregunta y respuesta.

Los 20 artículos del blog se reescribieron desde cero según la fórmula de citabilidad en la búsqueda con IA. Al principio de cada uno hay una respuesta directa, y después vienen el índice, el análisis por preguntas con listas y tablas y la opinión de un maestro del estudio. Las direcciones de las páginas se mantuvieron, así que no se perdió la autoridad acumulada del dominio y no hicieron falta redirecciones.

La primera comprobación externa de citabilidad en la búsqueda con IA dio al sitio 53 puntos de 100. Para cubrir las carencias, se añadió marcado para buscadores en cada página, direcciones canónicas, un conjunto completo de metadatos para redes sociales y cabeceras de seguridad, y se pasaron las imágenes a formatos modernos. Como resultado, se cerraron todas las carencias de la primera auditoría.

Los archivos llms.txt y llms-full.txt están creados específicamente para los modelos de lenguaje y contienen datos sobre el estudio. En robots.txt se enumeran por nombre 181 robots de búsqueda y de IA. Ambas mejoras entraron en la preparación del sitio para los requisitos de la búsqueda con IA, junto con el marcado, las URL canónicas y los metadatos para redes sociales.

El sitio se comprueba automáticamente cada diez minutos y las alertas llegan a Telegram. Además de las caídas, el sistema detecta código ejecutable en el marcado, bloques ocultos, palabras de spam y sustitución de contenido. La comprobación principal compara la respuesta a un visitante normal con la respuesta a un robot de búsqueda, para que el cloaking ya no se esconda durante meses.

Del sitio hackeado a uno nuevo y completo pasaron cinco días, del 29 de julio al 3 de agosto de 2026. La página provisional no estuvo puesta más de lo necesario: la primera versión funcional de la página principal ocupó su lugar ya el segundo día, y el resto de páginas se fueron añadiendo al sitio en funcionamiento.

Un formulario en el sitio requeriría un procesador en el servidor, es decir, de nuevo código ejecutable, al que se renunció para protegerse de ataques. Por eso todos los botones de cita llevan directamente a WhatsApp. La página principal tiene una primera pantalla con la reserva de una consulta gratuita, la tarifa por mechones, los servicios, los trabajos, las opiniones y los contactos.

El sitio es estático y lo genera un programa en Python a partir de una plantilla y datos. El contenido se guarda en archivos en lugar de una base de datos, que sería una superficie de ataque, un punto de fallo y un procedimiento de copia de seguridad aparte. Los vídeos están en Kinescope: el reproductor se carga solo al hacer clic en la portada, así que medio centenar de vídeos no ralentizan la página.