Tin khẩn cấp: Website của tôi bị dính mã độc SEO Cloaking – Trời đất ơi, chuyện gì đang xảy ra vậy?!

😱 Một buổi sáng “sốc tận óc”

Hôm nay tôi vô tình kiểm tra lại website của mình – một trang hoàn toàn bình thường, sạch sẽ.

Nhưng rồi tôi phát hiện một điều khiến tôi suýt rớt khỏi ghế:

Khi tôi dùng lệnh curl -A "Googlebot" https://domaincuatoi.com, trang web trả về hàng trăm đường link cá cược: lucky88, bet88, five88…

Tôi ngỡ ngàng. “Ủa, cái gì đây? Mình có làm đâu?”

Trang tôi thấy bằng trình duyệt thì sạch, nhưng Googlebot – con bot thu thập dữ liệu của Google – lại thấy một website đánh bạc.

💀 Sự thật đằng sau: Bị tấn công SEO Cloaking!

Đây là một dạng tấn công mã độc rất tinh vi, gọi là SEO cloaking.

Kẻ tấn công chèn mã độc vào web, khiến:

1. Người truy cập thật → thấy nội dung sạch.
2. Googlebot → thấy hàng trăm link cá cược.

🎯 Mục tiêu của hacker:

1. Lợi dụng domain sạch của bạn (Google tin tưởng).
2. Đẩy SEO cho web cá cược, tránh bị Google phạt.

🧩 Tôi phát hiện bằng cách nào?

Tôi nghi ngờ khi thấy trong Google Search Console xuất hiện hơn 200 trang bị index lạ.

Tôi thử kiểm tra bằng lệnh:

Và kết quả khiến tôi chết điếng:

Toàn HTML bị thay thế bằng hàng trăm link dẫn tới web đánh bạc khắp nơi 😭

⚙️ Hacker đã làm điều đó ra sao?

Sau khi kiểm tra sâu:

1. Có script ẩn trong thư mục /public hoặc /api, dùng để phát hiện “Googlebot”.
2. Khi bot truy cập, script này render ra HTML spam chứa hàng trăm liên kết cá cược.
3. Còn người thật vào trang → vẫn thấy nội dung bình thường.

🧰 Cách tôi xử lý khẩn cấp

1. Tải toàn bộ source về local và quét toàn bộ:

→ Phát hiện script cloaking, xóa sạch.

B2: Build lại web sạch (Next.js / .NET)

→ Không copy bất kỳ file nào từ bản cũ.

B3: Đổi toàn bộ password (FTP, SSH, DB, admin).

B4: Dọn sạch Google Search Console:

1. Xóa tất cả URL spam (/casino/, /bet/, /ios_...).
2. Gửi sitemap mới.
3. Yêu cầu Google “Crawl lại toàn site”.

B5: Thiết lập Firewall Cloudflare:

B6: Theo dõi định kỳ:

B7: Nếu kết quả ra đúng HTML của site → sạch.

💡 Bài học xương máu

1. Đừng bao giờ chủ quan: website tĩnh vẫn có thể bị cấy mã độc.
2. Luôn deploy từ source sạch, không copy build cũ.
3. Dùng Cloudflare Firewall, bật xác thực 2 lớp.
4. Kiểm tra curl -A "Googlebot" định kỳ để phát hiện cloaking sớm.
5. Theo dõi Search Console mỗi tuần.

🧱 Kết

"Website sạch chưa chắc sạch với Google."

“Chỉ một dòng mã độc, domain của bạn có thể biến thành sòng bạc ảo.”

Hôm nay là một bài học đắt giá —

Tôi chia sẻ lại để ai đang vận hành website (dù nhỏ đến đâu)

hãy kiểm tra ngay hôm nay:

Biết đâu, bạn cũng sẽ phải thốt lên:

“Trời đất ơi… coi kìa!”