Как понять, что сайт взломан?

Ваш случай уже сам по себе тревожный сигнал: разное поведение сайта на телефоне и на компьютере — классический признак так называемого cloaking-редиректа, когда в код вшита проверка устройства или источника перехода, и подмена включается только при определённых условиях. Такое почти всегда означает, что в файлы сайта или в базу данных что-то внедрили, и это стоит проверять как инцидент, а не как случайный глюк.

Всего у взлома обычно есть семь типичных проявлений, и достаточно одного, чтобы бить тревогу: предупреждение браузера «опасный сайт», чужие страницы на иностранном языке в поисковой выдаче по запросу site:вашдомен.ru, редиректы на казино, фарму или ставки, письмо от хостера со словом abuse в теме, новые пользователи с правами администратора в панели CMS, незнакомые файлы в директории сайта и резкие скачки трафика в статистике без понятного источника. У вас совпали сразу два: скачок трафика и мобильный редирект, это весомая пара.

Первым делом откройте site:вашдомен.ru в Яндексе и Google — если там всплывают страницы, которых вы не писали, на японском, китайском или ещё каком-то незнакомом языке, это подтверждает заражение. Дальше загляните в список пользователей CMS и отсортируйте по дате создания: новый администратор, которого вы не заводили, обычно и есть точка присвоения контроля.

Если признаки подтвердились, дело не терпит отлагательств: заражённый сайт может попасть в чёрный список Google Safe Browsing, а хостинг вправе временно заблокировать аккаунт при жалобах на спам или майнер. Дальнейшая чистка обычно требует поиска и удаления вредоносного кода, смены всех паролей и закрытия уязвимости, через которую произошло проникновение, — обычно это устаревший плагин или тема.