WordPress hackeado: antes de limpiar hay que saber qué pasó
Limpiar borra las huellas. Si esto puede terminar en un seguro, una reclamación o un abogado, el orden importa: primero se preserva, después se limpia. Al revés no tiene regreso.
Las señales de que tu sitio está comprometido
Algunas son evidentes. Las que de verdad importan, no.
Las Evidentes
- El sitio redirige solo a otra página, muchas veces solo desde el móvil o solo desde Google.
- Aparece contenido que nadie publicó: entradas, páginas, anuncios de productos que no vendes.
- Google muestra "Este sitio puede ser peligroso" o el navegador bloquea la entrada.
- Tu hosting suspendió la cuenta entera por seguridad.
- Hay usuarios administradores en el panel que nadie de tu equipo creó.
Menos evidentes, y más graves
- Tu dominio empezó a mandar spam masivo y tus correos legítimos caen en la bandeja de no deseados.
- En los resultados de Google aparecen páginas tuyas con títulos en otro idioma o sobre temas ajenos (Farmacia, Casinos).
- El sitio va más lento sin explicación y el consumo de recursos de CPU/RAM se disparó.
- Archivos con fechas de modificación raras, de madrugada o de días que nadie trabajó.
- Todo parece normal, pero tu antivirus de escritorio o el de un cliente avisa al intentar entrar.
Si tienes dudas, mándanos la dirección. Buena parte de esto se ve desde fuera, sin que nos des un solo acceso.
Qué hacer en los próximos diez minutos
El orden de estos pasos no es casual. Están puestos para que no destruyas información que vas a necesitar después.
Es contraintuitivo y es el consejo más importante de esta página. Borrar los archivos sospechosos elimina las fechas, los registros y las rutas que dicen cuándo entraron, por dónde y qué hicieron. Si el incidente puede tener consecuencias —un seguro, un cliente que reclama, un proveedor responsable, una denuncia—, esa información vale más que la limpieza, y una vez borrada no vuelve.
Fecha, hora, qué notaste exactamente y quién lo notó. Una captura de pantalla de la redirección o del aviso de Google. Esto toma dos minutos y luego no se puede reconstruir.
Las del hosting, las del panel de control y las del correo asociado al dominio. Desde el panel del proveedor, no desde WordPress. Si entraron por una credencial robada, esto les cierra la puerta sin tocar los archivos.
Tal como está, infectado y todo. No para restaurarla, sino para conservarla. Casi todos los proveedores la generan en minutos. Es tu fotografía del momento.
Comprueba si hubo pedidos o reembolsos que nadie reconoce, y si los datos de la pasarela de pago siguen siendo los tuyos. Esto es lo primero que se toca en una tienda comprometida. → Ver WooCommerce
El error que más veces nos toca deshacer
No es el hackeo original. Es lo que viene después.
Restaurar un respaldo que ya venía infectado.
Casi nadie detecta un sitio comprometido el día que ocurre. Lo normal es que pasen semanas entre la entrada y el momento en que algo se nota: una redirección, un aviso de Google, una suspensión del hosting. Para entonces, todos los respaldos recientes contienen el código malicioso.
Entonces pasa esto: restauras el de la semana pasada, el sitio parece volver a la normalidad, y a los pocos días reaparece todo. Restauras el de hace un mes, pierdes un mes de contenido y de pedidos, y vuelve igual. Cada intento quema un respaldo, pierde información y confirma la idea de que "no hay manera".
Sí hay manera. El orden correcto es otro: primero se determina cuándo entraron, después se elige qué respaldo es anterior a esa fecha, y después se restaura solo lo que haga falta. Sin esa fecha, restaurar es una lotería que cuesta datos cada vez que se juega.
Lo que no conviene hacer
No borres archivos "a ojo".
Lo que parece sospechoso a veces es legítimo y lo que parece legítimo a veces es la puerta trasera. Borrar de más rompe el sitio; borrar de menos deja la entrada abierta.
No confíes en que un plugin de seguridad lo resolvió.
Los escáneres encuentran lo que está en su base de firmas. El código hecho a medida para tu sitio, o colocado dentro de la base de datos, pasa desapercibido con frecuencia. Un informe en verde no garantiza un sitio limpio.
No sigas operando como si nada mientras decides.
Sobre todo si tienes tienda o formularios que recogen datos. Si hay código capturando información, cada hora que pasa son más datos comprometidos.
No pidas la revisión a Google antes de estar limpio.
Si pides que revisen y el malware sigue ahí, la segunda revisión tarda más y el aviso de peligro se queda más tiempo. Es una bala que solo conviene usar una vez.
No reinstales WordPress encima y lo des por hecho.
Reinstalar el núcleo reemplaza los archivos del sistema, pero no toca los plugins, ni el tema, ni la base de datos, ni los usuarios creados por el atacante. Que es justo donde suele esconderse.
Por dónde entran realmente
En catorce años no recordamos una sola vez que haya sido una vulnerabilidad exótica del núcleo de WordPress. Siempre es alguna de estas:
Un plugin o tema desactualizado
La vía número uno, y con diferencia. Un componente con una vulnerabilidad conocida y publicada, que lleva meses sin actualizarse porque "actualizar rompe el sitio".
Software pirata (Nulled)
Temas y plugins descargados gratis que cuestan dinero. Vienen modificados de origen y la modificación es exactamente eso: la puerta trasera. Es la razón por la que no administramos instalaciones que los tengan.
Una contraseña reutilizada
La del administrador, la del FTP o la del hosting, filtrada en una brecha de otro servicio. No hay nada que hackear si alguien ya tiene la llave.
Un usuario que ya no debería tener acceso
Un proveedor anterior, un empleado que salió, una agencia con la que se terminó. Cuentas que nadie dio de baja.
El vecino, en alojamiento compartido
En un servidor mal aislado, un sitio comprometido puede alcanzar a los demás. Por eso, cuando administramos un VPS, revisamos todos los sitios o no lo tomamos.
Un equipo infectado
Las credenciales no se robaron del servidor: se robaron de la computadora local (mediante troyanos) de quien las usaba para administrar.
Cómo lo resolvemos nosotros
Preservamos antes de tocar
Copia completa del estado actual, con sus fechas y sus registros intactos, guardada aparte. Si después hace falta reconstruir lo que pasó, está todo. Si no hace falta, no se perdió nada por haberla hecho.
Determinamos cuándo entraron
Con las fechas de modificación de archivos, los registros de acceso del servidor y los rastros en la base de datos. Esta fecha es la que gobierna todo lo demás, incluido qué respaldo sirve.
Mapeamos el alcance
Qué archivos, qué tablas, qué usuarios, qué tareas programadas. Y si el servidor tiene más sitios, si alcanzaron a los vecinos.
Limpiamos a fondo
Archivos del núcleo comparados contra los originales, plugins y temas reinstalados desde fuente legítima, base de datos revisada entrada por entrada en las tablas donde el código suele esconderse. No basta con borrar lo visible.
Cerramos la puerta de entrada
Esto es lo que separa una limpieza de un aplazamiento. Si no se cierra por dónde entraron, vuelven, y normalmente en días. Restablecemos contraseñas, usuarios, permisos y versiones de lo que haga falta en el servidor.
Validamos desde fuera
Comprobamos con herramientas externas que el sitio ya no aparece marcado, y vigilamos los días siguientes. El malware bien hecho tiene mecanismos para reaparecer.
Gestionamos la revisión de Google
Cuando y solo cuando el sitio está 100% limpio. Pedirla antes alarga el castigo de desindexación.
Te entregamos qué pasó
Por escrito: por dónde entraron, qué tocaron, qué se hizo y qué falta de tu lado para que no se repita.
¿Esto va a tener consecuencias más allá de lo técnico?
A veces limpiar no es suficiente. Cuando alguien con acceso borró o se llevó información, cuando hay un proveedor que debía estar cuidando el sitio, cuando hay un seguro de por medio o cuando se perdió algo que un tercero va a reclamar, hace falta algo más: un documento que describa los hechos técnicos con fechas, cuentas y acciones, en un lenguaje que pueda leer quien no es técnico.
Eso es trabajo aparte y se hace antes de limpiar, porque después ya no hay de dónde sacarlo.
Nosotros no calificamos jurídicamente nada ni actuamos como peritos. Documentamos lo que ocurrió para que quien tenga que decidir lo haga con los hechos técnicos delante.
Qué pasa con tus datos y con tu posicionamiento (SEO)
Los datos.
Aquí sí hay riesgo real, a diferencia de otras urgencias. Puede haber información de clientes expuesta, y puede haber contenido borrado o alterado. Por eso el primer paso es preservar: para saber qué se tocó en lugar de suponerlo.
El posicionamiento.
Es el daño más caro de un hackeo y el que más tarda en revertirse. Google puede marcar el sitio como peligroso, sacarlo de los resultados, o —lo más dañino a medio plazo— indexar las páginas basura que el atacante creó (spam japonés, farmacia, etc).
Esas páginas siguen ahí después de la limpieza si nadie las retira de Google como es debido. Por eso la limpieza técnica es la mitad del trabajo. La otra mitad es dejar en orden lo que Google ya vio: retirar lo indexado, pedir la revisión en el momento correcto y vigilar las semanas siguientes.
Cuánto cuesta y cuánto tarda
De todas las urgencias, esta es la de mayor variación, y cualquiera que te dé un precio cerrado sin haber mirado está adivinando. Una infección reciente y localizada no se parece a un sitio que lleva meses comprometido, con el archivo lleno de páginas basura indexadas y sin un respaldo limpio.
Lo que encarece un hackeo no es el malware en sí: es cuánto tiempo lleva ahí. Una infección de días se localiza y se cierra. Una de meses dejó usuarios creados, tareas programadas, miles de páginas basura indexadas por Google y respaldos contaminados hacia atrás. Cada una de esas capas es trabajo aparte. Esa es la razón de fondo por la que aquí la variación es tan grande.
Buena parte de un compromiso se detecta desde fuera, y esa primera mirada no te cuesta nada. Si hace falta entrar a evaluar, el diagnóstico se paga y se descuenta de lo que contrates. La ejecución va con alcance y precio cerrados antes de empezar.
Y una condición que conviene saber de antemano: no trabajamos sobre instalaciones con temas o plugins pirata (Nulled). Si los tuyos lo son, el primer paso obligado es regularizar las licencias o sustituirlos, y te decimos cuál sale mejor. → Ver diagnóstico
Que no vuelvan a entrar
Un sitio limpio hoy y desatendido mañana, vuelve a estar comprometido. No es pesimismo: la vía de entrada número uno son componentes desactualizados, y eso solo se resuelve actualizando de forma continua y con un entorno donde probar antes.
Lo que de verdad cambia las probabilidades es poco glamoroso: actualizaciones al día, respaldos fuera del servidor y probados restaurándolos, cuentas de administrador auditadas, y licencias vigentes en todo lo instalado.
Preguntas rápidas
¿Pueden limpiarlo sin perder mi contenido?
Es lo normal. Se limpia el código malicioso inyectado y se conserva lo tuyo. Restaurar un respaldo completo es el último recurso, no el primero.
Ya restauré un respaldo y volvió a pasar.
Significa que ese respaldo ya estaba infectado, o que la puerta de entrada sigue abierta. Las dos cosas se resuelven, pero hace falta determinar la fecha exacta del compromiso.
¿Cuánto tarda la limpieza?
Depende del alcance del daño (archivos vs base de datos vs SEO). Lo que sí hacemos muy rápido es auditar y decirte exactamente ese alcance.
Google marcó mi sitio como peligroso. ¿Se quita?
Sí, pero el orden importa: primero debe estar 100% limpio y verificado por nosotros, y después hacemos la solicitud de revisión. Pedirla antes de tiempo alarga la penalización.
Mi hosting suspendió la cuenta entera.
Es frecuente y tiene solución. Normalmente piden una limpieza profesional y un informe técnico para reactivar el servicio; la elaboración de ese informe forma parte de nuestro trabajo.
¿Tengo que avisar a mis clientes de que me hackearon?
Si hubo datos personales o financieros expuestos, es una decisión que ya no es técnica, sino legal. Te damos los hechos duros (qué se filtró y cuándo) para que la tomes con información real; la decisión final es tuya y, si hace falta, de tu abogado.
¿Trabajan con sitios que tienen plugins pirata (Nulled)?
No. No podemos garantizar la seguridad de un código modificado por terceros desconocidos, y es la vía de entrada más común al malware. Te ayudaremos a regularizarlos primero.
Mándanos la dirección de tu sitio
Buena parte de un compromiso se detecta desde fuera, sin que nos des un solo acceso. Entramos a mirar y te decimos qué vemos y qué conviene hacer primero.
Y si puedes, antes de cualquier otra cosa: no borres nada.