Seguridad y continuidad Qué hacer si hackearon tu sitio WordPress: las primeras horas

Un hackeo se nota de muchas formas: el sitio redirige a páginas extrañas, Google muestra resultados con títulos en otro idioma, el navegador avisa de un sitio peligroso, aparecen usuarios que no conoces o el hosting suspende la cuenta. Sea cual sea la señal, las primeras horas cuentan. Esta guía te ayuda a contener el problema con orden.

Señales de que tu sitio fue comprometido

• Redirecciones a sitios de apuestas, farmacia o descargas, a veces solo desde el móvil o desde Google.
• Páginas en Google que no creaste, a menudo con texto en japonés u otro idioma.
• Avisos del navegador o de Search Console sobre sitio peligroso o contenido engañoso.
• Usuarios administradores, plugins o archivos que nadie reconoce.
• Correos de tu dominio marcados como spam o rebotados de forma repentina.
• Un aviso de tu hosting por uso anormal de recursos o envío de correo masivo.

Las primeras horas: contener

1. No borres archivos ni reinstales todavía: perderías la pista de cómo entraron y podrías borrar tu único respaldo.
2. Avisa a tu proveedor de hosting. Puede aislar la cuenta, revisar registros y saber si otros sitios del mismo servidor están afectados.
3. Cambia las contraseñas desde un equipo limpio (y aprovecha para revisar qué accesos controla tu empresa): panel del hosting, todos los usuarios administradores de WordPress, base de datos, FTP o SFTP y cuentas de correo del dominio. Activa la verificación en dos pasos donde sea posible.
4. Haz una copia del estado actual (archivos y base de datos) y guárdala aparte, marcada como comprometida. Servirá para el análisis.
5. Si el sitio está mostrando contenido dañino a tus visitantes, pon una página de mantenimiento o pide al hosting que lo desactive temporalmente.
6. Revisa en Search Console los apartados «Problemas de seguridad» y «Acciones manuales».

Limpiar o restaurar

Si tienes un respaldo de antes del ataque y sabes la fecha aproximada de la infección, restaurarlo suele ser lo más rápido. El riesgo es restaurar un respaldo que ya estaba infectado, o volver a dejar abierta la misma puerta. Por eso, después de restaurar, hay que actualizar todo y revisar cómo entraron.

Si no hay un respaldo limpio, hay que limpiar el sitio: reemplazar el núcleo de WordPress, los temas y los plugins por copias oficiales, buscar código inyectado en la base de datos y en las carpetas de contenido, y eliminar usuarios y archivos ajenos. Es un trabajo delicado y conviene hacerlo con ayuda profesional.

En Lume, la recuperación de un sitio comprometido es un servicio especializado que se cotiza por separado según su estado.

Cerrar la puerta

• Actualiza el núcleo de WordPress, los temas y los plugins, y elimina los que no uses.
• Revisa la lista de usuarios y deja solo los necesarios, cada uno con los permisos mínimos.
• Renueva las claves de seguridad del archivo wp-config.php para cerrar las sesiones abiertas.
• Confirma que el hosting usa una versión de PHP con soporte.
• Si Google marcó el sitio, solicita una revisión desde Search Console cuando esté limpio.

Si hubo datos personales expuestos

Si el ataque pudo afectar a datos de clientes o contactos, por ejemplo los de un formulario, consulta con un asesor legal. Según el país, la ley puede obligarte a informar a las personas afectadas y, en algunos casos, a la autoridad, en plazos concretos.

Prevenir cuesta menos que recuperar

La mayoría de los hackeos aprovechan software desactualizado, contraseñas débiles o reutilizadas y plugins abandonados. Un mantenimiento constante con actualizaciones controladas, respaldos externos probados y monitoreo reduce mucho el riesgo y, si algo pasa, permite detectarlo y restaurar con rapidez.

Preguntas frecuentes

¿Basta con reinstalar WordPress?

No. El código malicioso suele estar también en la base de datos, en los temas, en los plugins o en la carpeta de archivos subidos.

¿Cuánto tarda la recuperación?

Depende del alcance del ataque y de si hay respaldos limpios. No conviene fiarse de plazos cerrados antes de revisar el sitio.

¿Me puede pasar otra vez?

Sí, si no se corrige la causa. Por eso, después de limpiar, hay que actualizar todo y revisar accesos.