Japońskie znaki w Google przy mojej stronie – jak usunąć japoński spam

Autor: Grzegorz Wojterzak. Aktualizacja: 12 października 2026. Czas czytania: około 12 minut.

Wpisujesz w Google nazwę swojej firmy, a pod adresem Twojej strony widzisz tytuły w języku japońskim. Na samej stronie nic się nie zmieniło. To jeden z najczęstszych rodzajów spamu po włamaniu. Google opisuje go w dokumentacji na web.dev jako „Japanese keyword hack”, czyli atak japońskimi słowami kluczowymi.

Atakujący nie chce zniszczyć Twojej strony. Chce wykorzystać jej wiarygodność w Google, żeby wypromować swoje sklepy. Dlatego zrobi wszystko, żebyś nie zauważył infekcji jak najdłużej.

Na czym polega atak japońskimi słowami kluczowymi

Według Google atak tworzy na Twojej domenie automatycznie generowane strony z japońskim tekstem. Mają adresy w losowo nazwanych katalogach, np. /ltjmnjp/341.html, i zawierają linki partnerskie do sklepów z podróbkami markowych produktów. Takich podstron bywają tysiące.

Typowe elementy infekcji:

• Generator stron, czyli skrypt PHP, który na żądanie tworzy japońską treść dla dowolnego adresu pasującego do wzorca.
• Reguły w .htaccess, które kierują spamowe adresy do generatora.
• Mapy witryny ze spamem, żeby Google szybciej znalazł nowe podstrony.
• Obcy właściciel w Search Console. Atakujący weryfikuje Twoją stronę na swoim koncie Google, żeby przesyłać mapy witryny i śledzić efekty.
• Cloaking, czyli pokazywanie innej treści robotowi Google, a innej ludziom.

Jak potwierdzić atak

1. Wyszukiwanie site:

   Wpisz w Google site:twojadomena.pl. Przejrzyj kilka stron wyników. Szukasz adresów w katalogach, których nie tworzyłeś, i tytułów po japońsku. Możesz zawęzić wyniki: site:twojadomena.pl 激安 (japońskie „bardzo tanio”, częste w tym spamie). Jeśli Google niczego nie pokazuje, Google radzi sprawdzić to samo w innej wyszukiwarce.

2. Raport „Problemy dotyczące bezpieczeństwa”

   W Search Console sprawdź, czy Google nie oznaczył już strony. Problem może mieć nazwę „Atak hakerów: wstrzyknięta zawartość” lub podobną i zawierać przykładowe adresy. Brak wpisu nie oznacza, że strona jest czysta.

3. Użytkownicy i uprawnienia

   W Search Console otwórz Ustawienia, a potem „Użytkownicy i uprawnienia”. Każdy właściciel, którego nie znasz, to mocny sygnał włamania. Przy jego nazwie w menu znajdziesz „Szczegóły weryfikacji własności”: pokażą, jaką metodą się zweryfikował, a więc czego szukać na serwerze.

   

4. Sprawdzanie adresu URL, czyli zobacz to, co widzi Google

   Skopiuj jeden ze spamowych adresów z wyników. Otwórz go w przeglądarce. Najpewniej zobaczysz stronę błędu 404, swoją stronę główną albo przekierowanie. To cloaking. W Search Console wklej ten adres w pole Sprawdzanie adresu URL, kliknij „Sprawdź URL wersji opublikowanej”, a potem „Wyświetl przetestowaną stronę”. Zobaczysz kod HTML i zrzut ekranu, które serwer pokazał robotowi Google, najpewniej japońską treść.

Jak działa cloaking

Cloaking możesz też sprawdzić z terminala, podszywając się pod robota Google. To nie jest pełny test, bo część złośliwego kodu sprawdza również adres IP, ale często wystarcza:

curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" \
  https://twojadomena.pl/ltjmnjp/341.html | head -40

Usunięcie infekcji

Zanim cokolwiek zmienisz, zrób pełną kopię plików i bazy danych w obecnym stanie. Potem działaj w tej kolejności:

1. Usuń obcych właścicieli z Search Console

   Właściciela zweryfikowanego nie usuniesz jednym kliknięciem. Najpierw usuń ze strony jego token weryfikacyjny, a dopiero potem odbierz mu dostęp w „Użytkownicy i uprawnienia”. Token to zwykle plik HTML w katalogu głównym o nazwie typu google1234abcd.html albo reguła w .htaccess, która odpowiada na takie adresy. Google podaje, żeby szukać reguły w rodzaju ^google(.*)\.html$.

   ls -la google*.html
   grep -rn "google" --include=.htaccess .

   Sprawdź działanie: otwórz nieistniejący adres w rodzaju twojadomena.pl/google1234.html. Jeśli dostajesz 404, reguła zniknęła. Jeśli widzisz treść weryfikacyjną, reguła wciąż działa. Na koniec przejrzyj w Search Console listę nieużywanych tokenów własności. Google ostrzega, że bez tego usunięty właściciel może ponownie zweryfikować stronę.

2. Wymień wszystkie pliki .htaccess

   Znajdź każdy plik .htaccess na koncie i zastąp go czystą wersją. W WordPressie to standardowy blok # BEGIN WordPress … # END WordPress i reguły, które świadomie dodałeś. Jeśli w danym katalogu nigdy nie tworzyłeś .htaccess, zachowaj kopię poza serwerem i usuń plik.

   find . -name ".htaccess" -printf "%TY-%Tm-%Td %s %p\n" | sort

3. Usuń spamowe mapy witryny

   W Search Console w raporcie map witryny sprawdź, czy ktoś nie przesłał map, których nie znasz. Na serwerze poszukaj plików sitemap*.xml poza tymi, które tworzy WordPress lub Twoja wtyczka SEO. Mapy zawierające tylko spam usuń. Z prawidłowych map usuń spamowe adresy.

4. Znajdź generator i inne złośliwe pliki PHP

   Google wskazuje trzy grupy podejrzanych plików: pliki spoza standardowej instalacji, pliki zmienione mniej więcej w czasie, gdy pojawił się spam, oraz pliki nietypowo duże. Atakujący najczęściej modyfikują index.php, wp-load.php, 404.php i view.php. Szukaj zaciemnionego kodu przy funkcjach base64_decode, str_rot13, eval, strrev i gzinflate.

   # pliki PHP zmienione w ostatnich 30 dniach
   find . -type f -name "*.php" -mtime -30 -printf "%TY-%Tm-%Td %s %p\n" | sort
   
   # największe pliki PHP
   find . -type f -name "*.php" -size +100k -printf "%s %p\n" | sort -rn | head -20
   
   # rdzeń WordPressa w porównaniu z oryginałem
   wp core verify-checksums

5. Zainstaluj ponownie rdzeń, wtyczki i motywy

   Google zaleca ponowną instalację plików CMS, wtyczek i motywów. W WordPressie: wp core download --force --skip-content, a wtyczki i motywy usuń i wgraj świeże z oficjalnych źródeł. Pełną procedurę opisuję w poradniku Wirus na stronie WordPress.

6. Załataj lukę i zmień hasła

   Zaktualizuj wszystko, usuń porzucone dodatki, zmień hasła do hostingu, FTP, bazy i kont administratorów, włącz logowanie dwuskładnikowe. Google przypomina też o przeskanowaniu własnego komputera antywirusem. Według przytaczanych przez Google badań około 20% zhakowanych stron zostaje zaatakowanych ponownie w ciągu doby.

Sprzątanie indeksu Google

Wyczyszczenie serwera nie usuwa od razu spamu z wyników wyszukiwania. Google musi odwiedzić każdy spamowy adres i zobaczyć, że go już nie ma. Możesz mu w tym pomóc.

Kody 404 i 410

Upewnij się, że spamowe adresy zwracają 404 lub 410, a nie 200 i nie przekierowanie. Sprawdź kilka z nich jako Googlebot:

curl -s -o /dev/null -w "%{http_code}\n" \
  -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" \
  https://twojadomena.pl/ltjmnjp/341.html

Jeśli spam miał rozpoznawalny wzorzec adresów, np. wspólną końcówkę lub katalogi o stałym schemacie, możesz zwracać dla nich 410 regułą w .htaccess umieszczoną przed blokiem WordPressa. Przykład dla katalogu ltjmnjp:

RewriteEngine On
RewriteRule ^ltjmnjp/ - [G,L]

Flaga G zwraca kod 410. Dopasuj wzorzec ostrożnie, żeby nie objął prawdziwych podstron.

Narzędzie do usuwania działa tylko tymczasowo

W Search Console Narzędzie do usuwania ukrywa adres w wynikach Google na około 6 miesięcy. Przy dużej liczbie adresów skorzystaj z opcji „Usuń wszystkie URL-e z tym prefiksem”, podając katalog spamu, np. https://twojadomena.pl/ltjmnjp/. To tylko ukrycie, a nie usunięcie z indeksu. Jeśli w tym czasie adresy nie zaczną zwracać 404 lub 410, wrócą do wyników.

Mapa witryny z prawidłowymi adresami

Prześlij ponownie aktualną mapę witryny, zawierającą wyłącznie Twoje prawdziwe podstrony. Dzięki temu Google szybciej odświeży ważne adresy. Nie dodawaj do mapy spamowych adresów „żeby Google szybciej zobaczył 404”. Mapa witryny powinna zawierać tylko strony, które chcesz mieć w indeksie.

Prośba o sprawdzenie i czas powrotu do normy

Jeśli w raporcie „Problemy dotyczące bezpieczeństwa” jest wpis o ataku, po wyczyszczeniu wybierz „Poproś o sprawdzenie” i opisz, co zrobiłeś z każdą kategorią spamu: usunięty generator, wymienione pliki .htaccess, usunięte mapy witryny i obcy właściciele, zamknięta luka. Według Google sprawdzenie stron zhakowanych ze spamem może trwać nawet kilka tygodni, bo często wymaga ręcznej weryfikacji. Po pozytywnej decyzji ostrzeżenia w wynikach znikają w ciągu około 72 godzin. Więcej o samym procesie piszę w artykule Strona zawiera szkodliwe programy.

Realistycznie powrót do normy wygląda tak:

Przez ten czas co kilka dni sprawdzaj site:twojadomena.pl i raport stron w Search Console. Liczba spamowych adresów powinna systematycznie spadać. Jeśli zaczyna rosnąć, infekcja wróciła.

Kiedy nie robić tego samemu

Jeśli spamowych adresów jest kilkadziesiąt, znalazłeś generator i obcego właściciela, dasz radę sam. Oddaj sprawę specjaliście, gdy:

• w indeksie są tysiące spamowych adresów, a ruch na Twoje główne frazy spada,
• spam wraca po czyszczeniu albo pojawiają się nowe katalogi,
• nie potrafisz znaleźć generatora, bo cloaking ukrywa go przed Tobą,
• obcy właściciel wraca w Search Console mimo usunięcia tokenu.

Koszty opisuję w artykule Ile kosztuje usunięcie wirusa ze strony.

Najczęstsze pytania