El ataque que afecta a [tudominio.com/](https://tudominio.com/) (asociado al término «sakautoto» o «toto») es una variante agresiva de SEO Spam Hack (o SEO Poisoning / Cloaking). En este tipo de ataque, redes de apuestas y casinos ilegales (en este caso vinculadas a portales de apuestas del sudeste asiático) inyectan código malicioso para secuestrar la autoridad del dominio y posicionar sus términos en los motores de búsqueda.

El cloaking (encubrimiento) funciona mediante una regla condicional en el servidor: si quien entra es un visitante normal desde un navegador de escritorio, el sitio muestra la página legítima; pero si entra el robot de Google (Googlebot) o un usuario desde un móvil con un referer de búsqueda, el servidor sirve contenido spam de «Sakautoto» o «Toto» o redirige a sitios fraudulentos.

1. Puntos Vulnerables que Puedes Detectar en el Sitio

1. Manipulación de .htaccess o configuración Nginx: Contiene reglas que detectan la cabecera User-Agent de Googlebot o Bingbot para servir contenido alternativo o redirigir el tráfico.
2. Archivos raíz adulterados (index.php, wp-config.php, wp-blog-header.php): Contienen código PHP ofuscado (usualmente usando funciones como base64_decode, eval, gzinflate o llamadas cURL externas a dominios de control del atacante).
3. Inyecciones en Base de Datos (wp_posts, wp_options): Se generan miles de URLs o entradas ocultas con el contenido spam de «Sakautoto / Toto Gacor 4D» que solo se devuelven bajo ciertos parámetros.
4. Backdoors en carpetas desprotegidas: Especialmente dentro de /wp-content/uploads/ (archivos .php disfrazados dentro de carpetas de imágenes) o plugins clonados que permiten al atacante regenerar los archivos si se borran.
5. Brecha de origen: Plugins o temas desactualizados, temas pirata/nulled, o contraseñas comprometidas de FTP/cPanel/WordPress Admin.

2. Acciones para Eliminar el Malware y Revertir el Daño

Cualquier administrador con acceso al panel de su hosting (cPanel, Plesk) o FTP puede ejecutar estos pasos:

Paso 1: Poner el sitio en modo mantenimiento y hacer respaldo

1. Entra a tu hosting y realiza una copia completa de seguridad (archivos y base de datos) en tu ordenador. Aunque esté infectada, sirve como salvaguarda en caso de borrar algo esencial.

Paso 2: Limpiar y restaurar el archivo .htaccess

1. En el Administrador de Archivos de tu hosting, entra a la carpeta raíz de tu WordPress (donde está wp-config.php).
2. Activa la opción de «Mostrar archivos ocultos» para ver el .htaccess.
3. Edita .htaccess y borra cualquier línea extraña (bloques con RewriteCond %{HTTP_USER_AGENT} o redirecciones a dominios externos).
4. Reemplaza su contenido por el código básico estándar de WordPress:Apache# BEGIN WordPress <IfModule mod_rewrite.c> RewriteEngine On RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}] RewriteBase / RewriteRule ^index\.php$ - [L] RewriteCond %{REQUEST_FILENAME} !-f RewriteCond %{REQUEST_FILENAME} !-d RewriteRule . /index.php [L] </IfModule> # END WordPress
5. Cambia los permisos del archivo .htaccess a 644 o temporalmente a 444 para impedir que los scripts lo vuelvan a sobrescribir.

Paso 3: Reemplazo limpio de los archivos del núcleo (Core) de WordPress

1. Descarga una copia limpia y oficial de WordPress desde wordpress.org.
2. Descomprímela en tu computadora.
3. Vía FTP o Administrador de Archivos, elimina por completo las carpetas wp-admin y wp-includes de tu servidor y sube las versiones limpias recién descargadas.
4. En la carpeta raíz, reemplaza todos los archivos .php sueltos (como index.php, wp-login.php, wp-settings.php, etc.), excepto wp-config.php.
5. Abre wp-config.php y revisa cuidadosamente: debe contener solo la conexión a la base de datos y las claves secretas. Si ves bloques largos de código ilegible, bórralos.

Paso 4: Limpieza de la carpeta /wp-content/

1. Revisar /wp-content/uploads/: Ningún archivo dentro de esta carpeta debe tener extensión .php, .phtml, .ico ejecutable o .suspected. Usa el buscador de archivos de tu cPanel buscando .php dentro de uploads/ y elimina todo script que aparezca ahí.
2. Plugins y Temas:
   • Si tienes plugins o temas inactivos, elimínalos.
   • En los plugins activos, la mejor práctica es eliminarlos por completo vía FTP y reinstalarlos directamente desde el repositorio oficial de WordPress o el proveedor original.

Paso 5: Escaneo e inspección de la Base de Datos

1. Entra a phpMyAdmin desde tu hosting.
2. Selecciona la base de datos y ejecuta una búsqueda global con la palabra sakautoto, o cualqueir palabra clave que te sirva.
3. Si aparecen registros en la tabla wp_posts, revisa si son entradas generadas por el malware y elimínalas.
4. Si aparecen en wp_options (por ejemplo, en campos de scripts de cabecera o widgets), edita la fila para limpiar el contenido spam.

3. Acciones para Restaurar la Confianza en Motores de Búsqueda (Google)

Una vez que el servidor esté limpio, debes forzar a Google a reevaluar tu sitio:

1. Herramienta de Inspección de URLs en Google Search Console:
   • Coloca la URL afectada ([https://tudominio.com/](https://tudominio.com/)) y pulsa «Probar URL en vivo».
   • Revisa la captura y el código HTML renderizado. Confirma que ya no aparece el título ni el texto de sakautoto, sino el contenido real de tu sitio en francés.
   • Haz clic en «Solicitar indexación».
2. Revisar usuarios autorizados en Search Console:
   • Ve a Ajustes > Usuarios y permisos.
   • Los atacantes de cloaking suelen agregarse a sí mismos como propietarios verificados (mediante archivos HTML subidos al servidor). Si ves correos desconocidos, revoca sus permisos de inmediato y elimina los archivos de verificación HTML que hayan dejado en la raíz.
3. Enviar sitemap limpio:
   • Vuelve a enviar el archivo sitemap.xml para que Googlebot reprocese rápidamente la estructura legítima de páginas.

4. Medidas Preventivas para Evitar un Nuevo Ataque

• Rotar claves y salt keys: Cambia de inmediato las contraseñas de cPanel, FTP, base de datos y usuarios de WordPress. Genera nuevas claves de seguridad (SALT keys) e insértalas en wp-config.php para cerrar cualquier sesión activa de administradores maliciosos.
• Instalar un firewall WAF: Instala y configura un plugin de seguridad reconocido como Wordfence o Sucuri Security. Activa su firewall en modo de protección extendida.
• Deshabilitar la edición de archivos: Añade esta línea al final de tu archivo wp-config.php: PHPdefine('DISALLOW_FILE_EDIT', true); Esto bloquea la opción de editar temas y plugins directamente desde el escritorio de WordPress.
• Bloquear ejecución PHP en subidas: En la carpeta /wp-content/uploads/, crea un archivo llamado .htaccess con el siguiente código para neutralizar cualquier script que intenten subir al área de medios:Apache<Files *.php> deny from all </Files>
• Actualizaciones automáticas: Mantén siempre la versión de WordPress, plugins y plantillas al día.