Inyeccion de Spam debido a codigo PHP

[loncho_rojas]

Hola, si no corresponde el mensaje a este espacio, ruego se lo pueda mudar.

Mi problema recae en que recibi un sitio web que emplea una arquitectura muy vieja, y me enviaron un reporte de que la IP del sitio se emplea para enviar SPAM.. pense que era una inyeccion SQL, pero luego de mirar detenidamente los script vi esto

Código PHP:

if(!isset($_GET['id']))
    { 
    include("inicio.php"); 
    } else {
    if(file_exists($_GET['id'].".php"))
    {
        include($_GET['id'].".php");
    } else {
        include("error.php");
    }
    }
 

Es decir, los links son enviados a la URL desde donde se consultan y llaman a los sitios externos.. en este caso, si quiero llamar a NOSOTROS.PHP, solo deberia ir como index.php?id=nosotros lo cual reconoceria la pagina y la incluiria.

De alguna forma que aun desconozco me han puesto un ID que obviamente no existe en mi servidor, pero que redirecciona a otro lugar que genera MENSAJES MASIVOS...

Preguntas...

- Como podrian introducir un codigo asi?
- Hay forma de detectar al agresor?
- Hay forma de bloquearlo con este metodo de uso del sitio para llamar a las paginas internas que no sea generar todo el sitio de nuevo?
- Ya esta obsoleto o es muy nuevo este método de navegación, debido a que yo nunca lo habia visto?


Les pregunto por si hay gente que ya tiene experiencia al respecto

Gracias