Il SEO Poisoning è una tecnica utilizzata per manipolare la visibilità sui motori di ricerca e far comparire pagine fraudolente, compromesse o dannose tra i risultati di ricerca. In alcuni casi gli attaccanti sfruttano siti già esistenti e compromessi, creando nuove pagine o modificando contenuti senza che il proprietario se ne accorga.

L’utente può così trovare su Google o altri motori di ricerca un risultato apparentemente legittimo che, una volta aperto, mostra contenuti indesiderati o conduce verso siti differenti. Per chi gestisce un sito web, individuare rapidamente queste anomalie è importante sia per la sicurezza degli utenti sia per evitare conseguenze sulla visibilità del dominio.

Cos’è il SEO Poisoning

Con SEO Poisoning si indicano tecniche finalizzate a sfruttare i motori di ricerca per aumentare la visibilità di contenuti fraudolenti o dannosi. Gli aggressori possono creare siti appositamente progettati per posizionarsi su determinate ricerche oppure compromettere siti legittimi e utilizzarne l’autorevolezza per indicizzare contenuti che non appartengono al proprietario.

Nel secondo caso possono essere generate pagine nascoste, contenuti spam, collegamenti indesiderati o reindirizzamenti verso altri domini. Il sito può continuare ad apparire normalmente al proprietario e ai visitatori, mentre i motori di ricerca possono rilevare e indicizzare pagine create dall’attaccante.

Una caratteristica particolarmente problematica è quindi la possibilità che un dominio realmente appartenente a un’azienda venga utilizzato per mostrare nei risultati contenuti che l’azienda non ha mai pubblicato. In alcuni attacchi vengono inoltre utilizzate tecniche di cloaking, attraverso le quali vengono mostrati contenuti differenti in base al visitatore o al sistema che accede alla pagina.

Come riconoscere il SEO Poisoning

Per un utente che effettua una ricerca online, un primo segnale può essere la presenza di risultati apparentemente legittimi che conducono a contenuti completamente differenti da quelli descritti nel titolo. Anche reindirizzamenti improvvisi, richieste di download inattese o pagine che imitano servizi conosciuti possono richiedere maggiore attenzione.

Per il proprietario di un sito, invece, alcuni segnali possono emergere direttamente dai motori di ricerca. Ad esempio, possono comparire pagine mai create, titoli e descrizioni sconosciuti, contenuti in lingue non utilizzate sul sito oppure URL con parole estranee all’attività.

È quindi utile controllare periodicamente le pagine indicizzate e gli strumenti messi a disposizione dai motori di ricerca. Anche variazioni improvvise del traffico, nuove URL o risultati anomali associati al proprio dominio possono giustificare un controllo tecnico.

La comparsa di una pagina sconosciuta non dimostra automaticamente che il sito sia stato compromesso, ma quando vengono individuati numerosi contenuti mai pubblicati è importante verificare rapidamente l’origine delle modifiche.

Come proteggere il proprio sito

La prevenzione passa innanzitutto dalla sicurezza del sito e dell’infrastruttura che lo ospita. CMS, plugin, temi e altri componenti devono essere mantenuti aggiornati e quelli non più utilizzati dovrebbero essere rimossi. È inoltre importante utilizzare password robuste e differenti, limitare gli account con privilegi amministrativi e attivare l’autenticazione a più fattori quando disponibile.

Nel caso di CMS molto diffusi, come WordPress, è opportuno installare soltanto plugin e temi provenienti da fonti affidabili, verificandone periodicamente lo stato di manutenzione. Un componente vulnerabile può infatti diventare un punto di accesso attraverso il quale vengono modificati file o database.

È consigliabile predisporre anche backup periodici, conservandone almeno una copia separata dal sito, e monitorare modifiche inattese a file, account amministrativi e contenuti. Gli strumenti dedicati ai webmaster possono inoltre aiutare a individuare nuove pagine indicizzate o problemi di sicurezza prima che la situazione diventi più estesa.

Cosa fare per ripristinare il sito

Quando si rilevano pagine o contenuti riconducibili a un possibile attacco, eliminare soltanto le URL indesiderate potrebbe non essere sufficiente. È necessario individuare prima di tutto il punto attraverso il quale il sito è stato compromesso, altrimenti le pagine potrebbero essere generate nuovamente.

Il controllo dovrebbe comprendere file, database, utenti amministrativi, plugin, temi, configurazioni e altri componenti del sito. Eventuali file malevoli o modifiche non autorizzate devono essere rimossi e le vulnerabilità utilizzate per l’accesso devono essere corrette. È inoltre opportuno cambiare le credenziali interessate, aggiornare i componenti e verificare che non siano rimasti account o meccanismi di accesso creati dall’attaccante.

Una volta ripristinato il sito, bisogna occuparsi anche dei motori di ricerca. Le pagine fraudolente già indicizzate possono rimanere visibili per un certo periodo, anche dopo essere state eliminate dal server. È quindi importante verificare lo stato dell’indicizzazione e utilizzare, quando necessario, gli strumenti messi a disposizione dai motori di ricerca per favorire una corretta nuova scansione del sito.

Domande frequenti

Il SEO Poisoning è un attacco SEO oppure un attacco informatico?
Può coinvolgere entrambi gli aspetti. Quando viene compromesso un sito legittimo per pubblicare contenuti destinati ai motori di ricerca, alla manipolazione SEO si aggiunge una vera compromissione del sito.

Come posso capire se Google ha indicizzato pagine che non ho creato?
È possibile controllare le URL presenti nei risultati di ricerca e utilizzare Google Search Console per verificare le pagine rilevate e indicizzate. La presenza di URL, titoli o contenuti sconosciuti merita un approfondimento.

Cancellare le pagine spam risolve il problema?
Non necessariamente. Se non viene eliminata la causa della compromissione, le pagine potrebbero essere create nuovamente. Prima è necessario mettere in sicurezza il sito.

Il SEO Poisoning può danneggiare il posizionamento del sito?
Una compromissione può generare pagine spam, contenuti estranei, reindirizzamenti e problemi di sicurezza che possono avere conseguenze anche sulla presenza del dominio nei risultati di ricerca.

Dopo la pulizia le pagine fraudolente scompaiono subito da Google?
Non sempre. Le pagine già indicizzate possono continuare a comparire temporaneamente fino a quando il motore di ricerca non effettua una nuova scansione e aggiorna il proprio indice.