Análisis forense de un WordPress hackeado
Reconstruimos qué pasó en tu sitio: desde qué cuenta entraron, cuándo, qué modificaron y qué se llevaron. Te lo entregamos por escrito, en un documento que tu abogado puede leer sin traductor.
Limpiar destruye la prueba
Cuando descubres que tu sitio fue comprometido, el impulso es limpiarlo cuanto antes. Es comprensible y casi siempre es un error irreversible.
El atacante dejó rastro: archivos con fechas de modificación, usuarios creados, entradas en los registros del servidor, consultas en la base de datos. Limpiar borra exactamente eso. Restaurar un respaldo anterior lo borra todavía más rápido, porque sustituye el estado del crimen por un estado anterior donde el crimen no existe.
Después, cuando alguien pregunta quién entró y qué se llevó, ya no hay forma de saberlo.
- Limpiar archivos infectados de inmediato.
- Restaurar un respaldo "para quedar limpio rápido".
- Borrar usuarios sospechosos apenas se ven.
- Resultado: el rastro del atacante desaparece con la limpieza.
- Copia completa y congelada del sitio comprometido.
- Copia del servidor y de los registros, con huella de integridad.
- El análisis se hace sobre la copia, nunca sobre la escena.
- La limpieza viene después y no interfiere con la evidencia.
Así se lee una escena preservada a tiempo. Cada renglón de ese registro podría no existir si alguien hubiera restaurado un respaldo primero.
El reloj corre, y más rápido de lo que crees
Esto es lo que casi nadie sabe cuando llama una semana tarde. Los registros de acceso del servidor son la fuente principal de evidencia: qué IP pidió qué archivo, a qué hora, con qué resultado. La mayoría de los hostings los rotan y los descartan cada siete, catorce o treinta días según el plan. Pasado ese plazo, no es que cueste más recuperarlos: ya no existen.
Lo mismo pasa con los registros de acceso FTP y SFTP, con los del panel de control y, en muchos planes compartidos, con los de la base de datos.
El marcador es tu ventana de evidencia cerrándose en tiempo real. Después de la rotación no hay pericia que la reabra.
Si sospechas que tu sitio fue comprometido, lo primero que hay que hacer —antes de llamarnos incluso— es pedirle a tu hosting que preserve los registros del último mes y que no los rote. Puedes copiar este correo tal cual:
Cuerpo: "Existe un incidente de seguridad en curso en el dominio [tudominio.mx].
Solicito que se preserven y NO se roten los registros de acceso, FTP/SFTP y panel
de control de los últimos 30 días, hasta nuevo aviso. Gracias."
Un correo de tres líneas puede ser la diferencia entre tener un caso y no tenerlo.
Qué se puede reconstruir
Con los registros intactos y acceso al servidor, normalmente podemos determinar:
La vía de entrada
Qué plugin, tema o credencial permitió el acceso, y qué vulnerabilidad concreta se explotó, con su identificador público cuando existe.
El momento exacto
Fecha y hora del primer acceso no autorizado, y si hubo intentos previos fallidos antes de que uno entrara.
Las cuentas implicadas
Si usaron una cuenta existente, si crearon una nueva y qué permisos tenía cada una. Incluye las cuentas con nombres que parecen legítimos y que siguen ahí.
Qué se modificó
Archivos alterados y cuándo, comparados contra los originales de WordPress y de cada plugin. Entradas y páginas editadas o eliminadas, usando el historial de revisiones cuando sigue disponible.
Qué se extrajo, si es que se extrajo
Consultas masivas a la base de datos, descargas de archivos y acceso a tablas con datos personales o de clientes.
Desde dónde
Direcciones IP, su geolocalización aproximada y si corresponden a servicios de anonimización o infraestructura conocida de ataque.
Qué quedó plantado
Puertas traseras, tareas programadas, usuarios dormidos y código inyectado que permitiría volver a entrar después de la limpieza. Esto es lo que separa una limpieza seria de una que te cobra dos veces.
Qué no se puede reconstruir, y te lo decimos antes
Preferimos esto por escrito desde el principio, porque es donde otros prometen de más.
No podemos identificar a una persona
Una IP identifica una conexión, no a un ser humano. Vincular una IP con alguien requiere una orden judicial dirigida al proveedor de internet, y eso no lo hace un informe técnico: lo hace una autoridad.
No podemos recuperar lo que no quedó registrado
Si tu hosting ya rotó los registros, esa ventana se cerró. Trabajamos con lo que queda y te decimos claramente qué parte del relato no se puede sostener con evidencia.
No determinamos responsabilidades legales
Describimos hechos técnicos. Calificar esos hechos corresponde a un abogado y, en su caso, a un juez.
No somos peritos designados
Entregamos un informe técnico, no un dictamen pericial ratificado ante autoridad. Si tu asunto llega a necesitar un perito reconocido en proceso, nuestro informe sirve de base para que ese perito trabaje con algo sólido, pero la figura es otra.
Qué contiene el informe
Un documento escrito para que lo entienda un abogado, no un administrador de sistemas:
La sección de vías no la redacta un técnico improvisado: la revisa alguien que puede leer un expediente por los dos lados, el técnico y el jurídico.
Cuándo tiene sentido pedirlo
No todo sitio hackeado necesita un forense. Vale la pena cuando:
- Hay datos de personas de por medioClientes, pacientes, suscriptores, empleados. Puedes tener obligación de informar a los afectados, y para eso necesitas saber el alcance real.
- Sospechas de alguien conocidoUn exempleado, un proveedor anterior, alguien que tuvo acceso legítimo. Es el caso más frecuente, y el que más veces resulta cierto.
- Vas a reclamarContra un proveedor que debía mantener el sitio, contra un hosting que incumplió, o contra quien entró.
- Es la tercera vezSi te limpiaron el sitio dos veces y volvió a pasar, es que nunca se encontró la puerta. Limpiar sin diagnosticar es pagar dos veces por lo mismo.
- Hay un seguro de por medioLas pólizas de ciberriesgo suelen exigir documentación del incidente. Este informe es esa documentación.
Si tu caso es un blog personal al que le inyectaron spam, no lo necesitas. Te lo diremos.
Y te mandaremos por la ruta correcta: limpieza y recuperación, sin forense de por medio.
Cómo empieza
Nos escribes por WhatsApp
Con el dominio y qué observaste. Si el incidente es reciente, lo primero que haremos es decirte qué preservar antes de que se pierda: eso no se cobra y no puede esperar.
Diagnóstico pagado
Determina si hay material suficiente para reconstruir el incidente o si la ventana ya se cerró. Se descuenta íntegro de lo que contrates después.
Congelamiento y análisis
Copia forense con cadena de custodia, análisis sobre la copia, informe escrito. La limpieza se coordina para no tocar la evidencia.
Lunes a viernes, 8:00 a 20:00. Fines de semana atendemos emergencias. Si tu sitio está comprometido ahora mismo y necesitas que vuelva a funcionar antes que nada, empieza por WordPress hackeado: limpieza y recuperación y avísanos que después querrás el análisis: preservamos todo antes de tocar nada.
Preguntas frecuentes
Depende de cómo se limpió y de cuánto tiempo pasó. Si los registros del servidor siguen vivos, se puede reconstruir buena parte aunque los archivos ya estén limpios. Si además se restauró un respaldo, es más difícil pero no siempre imposible. Lo sabremos al revisar.
Depende del volumen de registros y de cuántos sistemas haya que cruzar. Un caso de un solo sitio con registros completos es cuestión de días; un VPS con varias instalaciones y accesos cruzados lleva más. Te damos el plazo en el diagnóstico.
Sirve como base documental y como punto de partida para tu abogado. No es un dictamen pericial ratificado; si el asunto llega a ese punto, se necesita un perito designado, y nuestro informe le ahorra la mitad del trabajo.
Podemos decirte desde qué cuenta, desde qué dirección IP y en qué momento. Poner un nombre a esa conexión requiere una orden judicial al proveedor de internet. Lo que sí hacemos es dejar el expediente listo para que se pueda pedir.
Sí, y es como mejor funciona. El informe se escribe pensando en que lo va a leer alguien que no es técnico.
Tres cosas, en este orden: no restaures ningún respaldo; pide por escrito a tu hosting que preserve y no rote los registros del último mes; y no borres ningún usuario, por sospechoso que parezca.