Un pharma hack en WordPress es una infección de spam SEO, no un simple error de contenido. El atacante crea u oculta páginas de temática farmacéutica para que Google indexe URLs que pueden no aparecer nunca en el listado normal de WordPress. Hay que eliminar el mecanismo que las sirve y la persistencia que las recrea antes de limpiar la huella en buscadores.
Confirma qué reciben realmente Google y los visitantes
Recoge varias URLs de spam desde Search Console o una búsqueda site:, ábrelas sin sesión y compara el HTML con lo que existe en el escritorio. Registra código HTTP, canonical, redirecciones y si la respuesta cambia según user-agent o referrer.
Evidencia que conviene conservar
- URLs afectadas y títulos que muestra el buscador.
- HTML y cadena de redirecciones de muestras representativas.
- PHP, tema o plugins modificados recientemente.
- Administradores desconocidos, tareas programadas y opciones anómalas.
Localiza la capa que genera las páginas farmacéuticas
Si Google ve URLs que no existen en el gestor, compáralo con páginas de spam SEO visibles en buscadores pero no en el escritorio. Si hay ejecutables en directorios multimedia, revisa PHP malicioso dentro de wp-content/uploads.
Limpia el origen antes de solicitar eliminaciones
- Conserva archivos sospechosos y logs relevantes.
- Elimina loader, inyección o componente comprometido confirmado.
- Reinstala código afectado desde fuentes fiables y rota credenciales expuestas.
- Haz que las URLs de spam devuelvan 404/410 o la respuesta canónica correcta.
- Utiliza Search Console solo para acelerar la retirada después de limpiar el origen.
No intentes resolverlo únicamente con robots.txt
Bloquear el rastreo puede ocultar el problema al buscador mientras la web comprometida continúa sirviendo contenido no deseado.
Criterio de cierre
Las URLs de muestra ya no sirven spam, ningún mecanismo oculto las recrea, las páginas legítimas siguen funcionando y el buscador va eliminando los resultados no deseados en nuevos rastreos.