Mi WordPress ha sido hackeado: qué hacer, en este orden

Un hackeo casi nunca se anuncia. No aparece una calavera en la portada: la web sigue funcionando, y el problema lo descubre un cliente, Google o tu hosting antes que tú.

Si sospechas que te ha pasado, lo importante es el orden. Hacer las cosas bien pero en mal orden es la forma más habitual de volver a estar igual dentro de dos semanas.

Señales de que tu web está comprometida

• Redirecciones raras. La web, sobre todo desde el móvil o viniendo de Google, te lleva a páginas de apuestas, farmacia o premios.
• Aviso de Google. En los resultados aparece “Es posible que este sitio haya sido pirateado”, o el navegador muestra una pantalla roja antes de entrar.
• Páginas que no has creado. Busca en Google site:tudominio.es. Si salen cientos de páginas en japonés o de productos que no vendes, alguien las está generando.
• Usuarios que no conoces con rol de administrador en WordPress.
• Tu hosting te ha suspendido la cuenta o te avisa de archivos maliciosos.
• Tus correos llegan a spam de repente: a veces el servidor se está usando para enviar spam.

1. Contén el daño, pero no borres nada

Si la web está redirigiendo a visitantes a sitios peligrosos, ponla en mantenimiento o pide al hosting que la desactive temporalmente. Cada hora que siga así, más visitantes afectados y más difícil será recuperar la confianza de Google.

Lo que no conviene hacer es borrar archivos a mano o reinstalar todo “para limpiar”. Los archivos infectados son la pista para saber por dónde entraron. Si los borras, pierdes la única forma de cerrar la puerta.

2. Haz una copia del estado actual

Sí, de la web infectada. Archivos y base de datos, guardados aparte. Sirve para analizar qué pasó y como prueba si luego hay que dar explicaciones.

3. Cambia todas las contraseñas, desde un equipo limpio

Todas, no solo la de WordPress:

• Panel del hosting y acceso FTP o SFTP.
• Base de datos (y actualiza wp-config.php con la nueva).
• Todos los usuarios administradores de WordPress.
• El correo asociado a la cuenta de administrador.

Hazlo desde un ordenador que sepas que está limpio. Si la contraseña se robó desde un equipo infectado, cambiarla desde ese mismo equipo no sirve de nada.

4. Averigua por dónde entraron

Esta es la parte que casi todo el mundo se salta. Las entradas más habituales son:

• Un plugin o tema desactualizado con una vulnerabilidad conocida. Es, con diferencia, lo más frecuente.
• Un plugin o tema “pirata”, descargado gratis de una web que no era la oficial. Suelen venir con la puerta trasera ya instalada.
• Una contraseña débil o reutilizada de un administrador.
• Otra web en el mismo hosting, también infectada.

5. Limpia o restaura, y después cierra la puerta

Hay dos caminos: limpiar los archivos y la base de datos, o restaurar una copia de seguridad anterior a la infección. Restaurar es más rápido si tienes una copia limpia y sabes de qué fecha es.

Pero ojo: si restauras sin actualizar el plugin por el que entraron, vuelves exactamente al estado en que eran vulnerables. Por eso tantas webs “limpiadas” vuelven a caer en pocos días. Después de limpiar o restaurar, actualiza WordPress, el tema y todos los plugins, y elimina los que no uses.

6. Avisa a Google y, si hace falta, a la AEPD

• En Google Search Console, en Seguridad y acciones manuales, revisa si hay avisos y solicita una revisión cuando la web esté limpia. Hasta entonces, el aviso seguirá en los resultados.
• Si el atacante pudo acceder a datos personales de clientes (pedidos, formularios, cuentas de usuario), puede que tengas que notificarlo a la Agencia Española de Protección de Datos en un plazo de 72 horas, según el artículo 33 del RGPD. Consúltalo con quien te lleve la protección de datos.

Para que no vuelva a pasar

Casi todos los hackeos que vemos tienen la misma causa: nadie estaba actualizando la web. Actualizaciones controladas, copias de seguridad que se prueban de verdad y contraseñas únicas cierran la gran mayoría de puertas. Lo contamos con más detalle en cómo saber si tu WordPress está desactualizado.

Si tu web está comprometida ahora mismo, escríbenos. Te decimos primero si podemos ocuparnos y en qué plazo, y después cómo evitar que se repita con un plan de seguridad.