Cómo detectar y recuperar un WordPress hackeado

Si tu WordPress redirige a páginas extrañas, muestra contenido que no has publicado o tiene administradores desconocidos, conviene investigar cuanto antes. La prioridad es proteger a los visitantes, entender qué ha ocurrido y recuperar una instalación fiable.

Esta guía te ayuda a organizar la respuesta aunque no seas técnico y a saber qué pedir al alojamiento o a un especialista. Recuperar la apariencia normal de la web no basta si sigue abierta la vía de entrada del atacante.

Cómo saber si tu WordPress ha sido hackeado

Estas señales justifican una revisión, especialmente cuando aparecen varias a la vez.

• Redirecciones a dominios ajenos o publicidad que no has autorizado.
• Páginas, enlaces o contenido desconocido, incluido spam en los resultados de búsqueda.
• Cuentas de administrador, plugins o cambios de configuración que nadie del equipo reconoce.
• Avisos del navegador, del antivirus de los visitantes o del proveedor de alojamiento.
• Cambios inesperados en archivos o actividad saliente sospechosa.

La lentitud, una caída o un problema de acceso también pueden deberse a fallos de configuración, actualizaciones o recursos insuficientes. Por sí solos no confirman una intrusión. Anota las URLs afectadas, los mensajes y cuándo empezó el problema para facilitar el diagnóstico.

Qué puede estar ocurriendo en la web

Un incidente puede combinar varias acciones. El malware puede introducir puertas traseras o redirecciones; el spam SEO añade páginas o enlaces; el phishing utiliza la web para engañar a visitantes; y una cuenta robada permite actuar con los permisos de su propietario.

Estas consecuencias no siempre revelan la causa. La entrada pudo producirse por un componente vulnerable, credenciales comprometidas o un problema del alojamiento. Identificarla permite decidir qué hay que corregir para evitar que el incidente se repita.

Qué hacer primero ante una posible intrusión

1. Contacta con el alojamiento o con tu responsable técnico. Describe los síntomas y solicita ayuda para conservar registros y limitar la actividad maliciosa.
2. Conserva evidencias. Guarda capturas, avisos y una cronología. Pide una copia de los archivos y la base de datos afectados para su análisis, separada de los backups considerados limpios.
3. Contén el incidente. Acuerda con el proveedor el aislamiento o la restricción temporal del sitio. Un plugin de modo mantenimiento puede ocultar páginas sin bloquear otros accesos del atacante.
4. Protege los accesos. Desde un dispositivo fiable, revisa las cuentas de alojamiento, WordPress y servicios conectados; coordina la revocación de sesiones y credenciales comprometidas.

Evita borrar archivos al azar o restaurar de inmediato sobre la única copia disponible. Esas acciones pueden eliminar información útil o sobrescribir pedidos y otros cambios recientes. La guía oficial de WordPress para sitios comprometidos sirve como referencia inicial para documentar el problema y buscar ayuda.

Cómo comprobar el alcance del incidente

Combina la revisión del alojamiento con análisis de archivos, base de datos, usuarios y registros. Un escáner externo solo ve parte de lo que la web publica; puede no detectar una puerta trasera que no genera contenido visible. Un resultado sin alertas no certifica que toda la instalación esté limpia.

Los cambios recientes ayudan a orientar la investigación, pero una fecha o un nombre extraño no bastan para clasificar un archivo como malicioso. Compara los componentes con copias legítimas y distingue modificaciones autorizadas de cambios sospechosos.

Si Google muestra una advertencia, consulta el informe de Problemas de seguridad en Search Console. Las URLs indicadas pueden ser ejemplos, no una lista completa de todo lo afectado.

Cómo recuperar la web si todavía puedes entrar

Conservar acceso al panel facilita algunas comprobaciones, pero no demuestra que el entorno sea fiable. Trabaja con quien esté investigando el incidente y registra las acciones realizadas.

1. Revisa usuarios, permisos y accesos desconocidos antes de retirar los que se confirme que son ilegítimos.
2. Identifica los componentes afectados y sustituye los archivos comprometidos por versiones legítimas; revisa también contenido y ajustes de la base de datos.
3. Aplica la corrección de la vía de entrada y elimina los mecanismos de persistencia detectados.
4. Renueva las credenciales afectadas e invalida las sesiones que corresponda. Si una contraseña se cambió mientras el entorno seguía comprometido, puede ser necesario cambiarla de nuevo tras la limpieza.
5. Comprueba las funciones esenciales y mantén vigilancia antes de dar el incidente por cerrado.

Un plugin puede ayudar a investigar, pero instalar varios no equivale a limpiar correctamente una web. Nuestra comparativa de plugins de seguridad distingue las funciones y limitaciones de estas herramientas.

Qué hacer si no puedes acceder al panel

Contacta con el alojamiento a través de su canal habitual y verifica la titularidad de la cuenta. Solicita acceso a los registros, opciones de aislamiento y ayuda para recuperar el control. No necesitas empezar editando contraseñas en phpMyAdmin ni eliminando archivos que no reconoces.

Si hace falta intervenir por SFTP, en la base de datos o en la configuración del servidor, encarga esa parte a una persona con experiencia. Conserva un registro de qué se ha sustituido, qué accesos se han revocado y qué causa se ha corregido.

Cuándo restaurar una copia de seguridad

Una copia anterior a los primeros síntomas puede contener ya la infección. Antes de usarla, comprueba su procedencia y revisa si corresponde a un estado limpio. Cuando sea posible, pruébala en un entorno aislado.

Restaurar la base de datos puede sobrescribir pedidos, altas de usuarios o publicaciones posteriores al backup. Acuerda cómo conservar los datos recientes y asegúrate de corregir la vulnerabilidad o el acceso comprometido antes de volver a exponer el sitio.

Para preparar mejor la recuperación, consulta nuestra guía sobre copias de seguridad de WordPress. Los backups ayudan a recuperar datos, pero no explican por sí solos cómo entró el atacante.

Qué revisar antes de dar la web por recuperada

• La causa identificada está corregida y los componentes afectados tienen versiones fiables.
• Los usuarios, permisos, sesiones y credenciales se han revisado.
• No aparecen de nuevo las redirecciones, el spam ni los cambios sospechosos conocidos.
• Funcionan el acceso, los formularios, los correos y los pagos que utiliza el sitio.
• Existe una nueva copia del estado recuperado y alguien revisa las alertas y los registros.

Si sospechas que se ha accedido a datos personales o información de pagos, escala también la situación al responsable correspondiente para evaluar su alcance y las comunicaciones necesarias.

Cómo reducir el riesgo de otra intrusión

Mantén software con soporte, aplica parches de seguridad, elimina componentes innecesarios y utiliza cuentas individuales con los permisos mínimos y doble autenticación. Revisa también el alojamiento y los dispositivos desde los que administras las webs.

Con Modular DS puedes centralizar el mantenimiento de tus webs WordPress, incluyendo actualizaciones, backups, avisos de vulnerabilidades conocidas y monitorización. Esto ayuda a organizar el seguimiento después de la recuperación, pero no sustituye una investigación ni una limpieza profesional del incidente.

Preguntas frecuentes

¿Un certificado SSL evita que hackeen WordPress?

HTTPS protege la conexión entre el navegador y el servidor. No corrige plugins vulnerables ni impide que se utilicen credenciales robadas, por lo que debe acompañarse de otras medidas.

¿Qué diferencia hay entre un plugin de seguridad y un firewall?

Un plugin puede combinar escaneo, controles de acceso y otras funciones. Un firewall filtra peticiones según sus reglas; puede funcionar en la nube o dentro del alojamiento. Ninguno garantiza por sí solo detectar y eliminar todos los rastros de una intrusión.

¿Qué hago si Google marca mi web como peligrosa?

Revisa el informe de Problemas de seguridad, resuelve las incidencias en todo el sitio y solicita una revisión cuando hayas completado las correcciones. Explica las medidas tomadas. La retirada del aviso depende de la revisión y no es inmediata; Google describe el proceso en su documentación sobre contenido engañoso.

¿Cuánto tarda en recuperarse una web hackeada?

Depende del alcance, de los accesos disponibles y de la calidad de los backups. Volver a mostrar la página puede ser rápido, pero investigar, limpiar y verificar requiere un trabajo distinto. Pide una estimación basada en el diagnóstico, no una garantía genérica.

¿Por qué puede repetirse el hackeo después de limpiar?

Puede quedar una puerta trasera, una credencial comprometida, un componente vulnerable o un problema en otra parte del entorno. Revisa la causa con el alojamiento o con un especialista en lugar de repetir la misma restauración sin investigar.