香港網站突然出現博彩頁面？SEO Spam 不是小問題，立即檢查網站安全

你有沒有試過在 Google 搜尋自己公司的網址，突然見到 casino、slot、bet、poker 或其他完全不相關的頁面？網站首頁看起來可能仍然正常，但搜尋器已經收錄大量陌生網址。這種情況常見於 SEO spam、內容注入、open redirect 或子網域被接管，值得立即核對。

搜尋結果出現異常，並不等於每一個網站都已經「確診中毒」。但它是一個足夠重要的公開訊號，代表網站管理員應該檢查 CMS、外掛、伺服器檔案、搜尋收錄和管理員帳戶。

香港網站被濫用並不是罕見事件

香港網絡安全研究團隊 Dark Lab 公開記錄過針對香港網站的 open redirect、網站 defacement 及博彩 SEO poisoning 活動。他們報告在 2025 年第一季追蹤到 34 宗 open redirect 和 38 宗 web defacement，並指出非商業機構亦受到較集中的針對。閱讀 Dark Lab 研究

攻擊者常見的目標包括：

• 舊版 WordPress、Drupal、Joomla 或其他 PHP 系統
• 沒有更新的外掛、主題和第三方程式
• 遺留的測試站、舊子網域和上載目錄
• 權限過寬的伺服器檔案
• 被盜用的 CMS 或主機登入資料
• 只對 Googlebot、手機訪客或特定地區顯示的 cloaking

這些手法令網站負責人很難只靠打開首頁發現問題。

五個值得即時核對的訊號

1. 用 site: 指令搜尋自己的域名

在 Google 搜尋 site:yourdomain.hk casino、site:yourdomain.hk slot 或 site:yourdomain.hk bet。如果結果出現與機構業務無關的外語博彩標題、陌生 URL 或大量新頁面，請先記錄網址和搜尋日期。

2. 網站只在某些情況下跳轉

你正常打開首頁可能沒有問題，但從 Google 結果、手機、無痕視窗或特定地區進入時，卻被帶到博彩、成人或下載頁面。這可能是 cloaking 或 redirect，而不是普通的網頁錯誤。

3. Search Console 出現 Security Issues 或 Manual Actions

Google 建議網站管理員查看 Search Console 的 Security Issues 和 Manual Actions。Google 說明，未經授權加入的內容屬於 hacked content；範例包括博彩文字、垃圾連結、惡意程式碼、釣魚頁面和不安全的跳轉。Google Search Console：Security issues report

4. 出現陌生管理員、檔案或驗證記錄

檢查 CMS 管理員、主機控制台、FTP/SFTP、Search Console 擁有者、排程工作、.htaccess、robots.txt 和 sitemap。任何未能解釋的帳戶或檔案都應該保留記錄，再交由熟悉網站取證的人員核對。

5. 搜尋流量、點擊率或品牌信任突然下降

博彩垃圾頁會搶走網站的搜尋曝光，亦可能令訪客看到與品牌不符的內容。即使 Google 尚未顯示「This site may be hacked」警告，搜尋結果污染仍然會令訪客流失和轉換率下降。

發現異常後，首 60 分鐘應該做甚麼？

1. 先保存證據：記錄搜尋結果、完整 URL、時間、裝置和是否跳轉；不要先把所有可疑檔案刪掉。
2. 限制進一步存取：暫停新建帳戶，重設 CMS、主機、FTP、資料庫和管理員密碼；不要重用舊密碼。
3. 檢查範圍：比較最近一次乾淨備份，檢查 CMS、外掛、主題、上載目錄、排程任務、redirect、sitemap 和 robots.txt。
4. 核對 Google 資料：在 Search Console 查看 Security Issues、Manual Actions、URL Inspection 和索引頁面。
5. 完成清理後再申請覆核：Google 建議先完整修復所有受影響頁面，再提出安全性覆核；只刪除其中幾個網址通常不夠。

不要直接在瀏覽器反覆打開可疑的惡意頁面。Google 亦提醒，部分 hacked content 只會向搜尋器或特定訪客顯示，使用 URL Inspection 及伺服器記錄會更安全。

HK Web Rescue 可以怎樣幫你？

HK Web Rescue 提供一次免費的公開網站初步檢查，重點包括：

• 核對 Google 可見的異常 URL、博彩標題和 redirect
• 分辨普通舊索引、SEO spam、內容注入和可能的伺服器問題
• 整理需要交給網站管理員、主機商或 IT 團隊的檢查清單
• 協助規劃清理、修補、重新收錄和轉換率恢復步驟

初步檢查不需要您交出登入密碼。我們會先以公開資料確認問題範圍，再由你決定是否需要進一步處理。

你應該幾時搵人檢查？

如果你看到以下任何一項，就不應該等到客戶投訴才處理：

• Google 出現與您業務無關的 casino、slot、bet 頁面
• 網站在手機或搜尋結果進入時會跳轉
• Search Console 發出 hacked content、malware 或 social engineering 警告
• 網站出現陌生管理員或你未建立的 sitemap／檔案
• 網站流量、品牌搜尋或表單轉換率突然下跌

如果你已經見到其中一項，請先保存 URL，再聯絡 HK Web Rescue 做公開檢查。 越早確認範圍，越容易避免搜尋曝光、品牌信任和客戶轉換繼續受影響。

聯絡 HK Web Rescue

常見問題

Google 搜尋有博彩頁面，是否一定代表網站中毒？

不一定。可能是舊索引、錯誤的搜尋摘要、測試子網域或第三方頁面。但如果網址在你的域名之下，而且內容與網站完全無關，就應該按安全事件處理並核對來源。

我刪除博彩文章後，問題是否已經解決？

未必。攻擊者可能留下後門、陌生帳戶、排程任務或其他未被搜尋器發現的 URL。清理後還要檢查整個網站、更新所有軟件、重設憑證並觀察 Search Console。

需要把網站立即關掉嗎？

視乎情況。如果網站正在跳轉、顯示釣魚頁、下載惡意檔案或處理登入／付款資料，應先由主機商或安全人員協助隔離。若只是搜尋索引異常，也應先保存證據和完成範圍評估，再決定最小化中斷的處理方案。