Web WordPress hackeada: qué hacer, paso a paso

Entras en tu página y te redirige a un casino. O Google muestra un aviso rojo antes de dejar pasar a tus clientes. Tener una web WordPress hackeada es un problema serio, pero tiene solución si actúas con orden. En esta guía verás cómo saber si te han atacado, qué hacer en las primeras horas y cómo dejar la web limpia.

También repasamos cuándo hay que avisar a la Agencia Española de Protección de Datos y qué medidas evitan que vuelva a pasar. Está pensada para dueños de negocio, no solo para técnicos.

Cómo saber si mi web ha sido hackeada

Algunos ataques se ven a simple vista. Otros pasan desapercibidos durante semanas, porque al atacante le interesa usar tu servidor sin que lo notes. Estas son las señales más habituales de un WordPress hackeado:

• La web redirige a páginas de apuestas, farmacia o contenido para adultos, a veces solo desde el móvil o solo al llegar desde Google.
• El navegador o Google muestran avisos como «Este sitio puede estar pirateado» o una pantalla roja de sitio peligroso.
• No puedes entrar en el escritorio de WordPress con tu usuario y contraseña de siempre.
• Aparecen usuarios administradores que nadie de tu equipo ha creado.
• Al buscar «site:tudominio.es» en Google salen páginas en otros idiomas o de productos que no vendes.
• El hosting te avisa de malware, suspende la cuenta o detecta un envío masivo de correos desde tu servidor.
• La web va mucho más lenta de lo normal o tus correos empiezan a llegar a spam.

Si ves una sola de estas señales, conviene revisarlo ya. Si ves varias, da por hecho que hay una intrusión y pasa al siguiente apartado.

Web WordPress hackeada: qué hacer en las primeras horas

El impulso natural es borrar todo lo raro que encuentres. Es un error. Sin orden puedes destruir pruebas, perder contenido bueno o dejar dentro la puerta trasera que usó el atacante. Este es el orden que recomendamos:

1. 01
   No borres nada todavíaAnota qué has visto, cuándo y desde qué dispositivo. Haz capturas de los avisos y de los usuarios sospechosos. Te servirán para el hosting, para Google y, si hace falta, para la AEPD.
2. 02
   Haz una copia del estado actualDescarga los archivos y la base de datos tal como están, aunque estén infectados. Guárdala aparte y márcala como «infectada». Sirve para analizar el ataque y para recuperar contenido reciente que no esté en otras copias.
3. 03
   Cambia todas las contraseñasEmpieza por el panel del hosting. Sigue con los administradores de WordPress, el FTP o SFTP, la base de datos y el correo. Hazlo desde un equipo limpio: si tu ordenador está infectado, las nuevas claves también caerán.
4. 04
   Avisa a tu hostingMuchos proveedores guardan copias diarias, tienen escáneres de malware y registros de acceso. Pregunta desde cuándo hay archivos modificados y qué copias limpias conservan. Si han suspendido la cuenta, te dirán qué necesitan para reactivarla.

Si la web vende o recoge datos, valora ponerla en modo mantenimiento mientras trabajas. Así evitas que los clientes lleguen a páginas infectadas o dejen datos en un formulario comprometido.

Cómo limpiar malware en WordPress y recuperar una web hackeada

Una vez controlados los accesos, toca dejar la web limpia. Hay dos caminos, y muchas veces se combinan.

Qué incluye una limpieza bien hecha

• Núcleo nuevo. Reinstala WordPress desde wordpress.org, sin reutilizar los archivos del servidor.
• Plugins y temas de origen oficial. Bórralos y vuelve a instalarlos desde el repositorio o desde el desarrollador. Elimina los que no uses.
• Archivos sensibles revisados. Comprueba wp-config.php, .htaccess y la carpeta de subidas, donde no debería haber archivos PHP.
• Base de datos limpia. Busca scripts inyectados en entradas, páginas y opciones, y borra el contenido spam que se haya creado.
• Claves de seguridad nuevas. Regenera las «salts» de wp-config.php para cerrar todas las sesiones abiertas.
• Todo actualizado. WordPress, tema, plugins y versión de PHP del servidor. Es el paso que cierra la puerta.
• Usuarios revisados. Borra administradores desconocidos, baja de rol a quien no lo necesite y revisa las contraseñas de aplicación.

Cuando termines, vuelve a escanear y prueba la web desde el móvil, desde otro navegador y llegando desde Google. Algunas redirecciones solo saltan en esas condiciones.

Search Console y el aviso de seguridad de Google

Si Google detecta contenido pirateado o malware, puede mostrar advertencias en los resultados y en el navegador. Eso hunde las visitas y la confianza. Lo verás en el informe «Problemas de seguridad» de Google Search Console.

Cuando hayas corregido todos los problemas en todas las páginas afectadas, pulsa «Solicitar revisión» en ese mismo informe. Explica qué pasó, qué has hecho y qué resultado has obtenido. Según Google, la revisión suele tardar de varios días a varias semanas, y no conviene enviar otra solicitud mientras la anterior siga pendiente.

Aprovecha para revisar el informe de páginas indexadas y enviar de nuevo el sitemap. Las URL de spam que ya no existan deben devolver un error 404 o 410 para que desaparezcan poco a poco. Si el ataque ha tocado tu posicionamiento, un trabajo de posicionamiento SEO ayuda a recuperar terreno.

¿Hay que avisar a la AEPD si hackean mi web?

Depende de si el ataque afecta a datos personales. Una web WordPress hackeada con formularios de contacto, pedidos, cuentas de cliente o boletines guarda datos de personas. Si alguien ha podido acceder a ellos, copiarlos o borrarlos, estás ante una brecha de datos personales.

La página oficial de la AEPD sobre brechas lo resume así:

• Plazo de 72 horas. Se cuenta desde que tienes constancia de la brecha, cuando es probable que suponga un riesgo para los derechos y libertades de las personas.
• Sin riesgo, se documenta. Si no hay ese riesgo, no hay que notificar, pero sí registrar la brecha, sus efectos y las medidas adoptadas.
• Riesgo alto, también a los afectados. En ese caso hay que comunicarlo además a las personas cuyos datos se han visto comprometidos.
• Notificación electrónica. Se hace con el formulario de la sede electrónica de la AEPD, que ofrece además la herramienta Asesora Brecha para ayudarte a decidir.

Por eso las notas y la copia del estado infectado son tan útiles: te permiten saber qué datos estaban expuestos. Si tienes delegado de protección de datos, avísale desde el primer momento. Y si quieres saber qué se juega una pyme en este terreno, lo explicamos en el artículo sobre multas del RGPD para pymes.

Errores que empeoran un WordPress hackeado

• Borrar archivos sospechosos sin copia previa, y perder pruebas y contenido.
• Restaurar una copia y no actualizar después: el atacante vuelve por el mismo hueco.
• Cambiar solo la contraseña de WordPress y olvidar la del hosting, el FTP o la base de datos.
• Instalar plugins o temas «nulled», piratas de versiones de pago. Suelen traer el malware de serie.
• Pedir la revisión a Google antes de terminar la limpieza. Si siguen los problemas, el aviso se mantiene.
• Dejar pasar los días sin valorar si hay datos personales afectados.

Cómo evitar que vuelvan a hackear tu WordPress

La mayoría de intrusiones aprovechan fallos conocidos: plugins sin actualizar, contraseñas débiles o accesos que nadie revisa. Recuperar una web WordPress hackeada cuesta mucho más que prevenirlo. Estas medidas cubren lo esencial:

• Actualizaciones constantes. Núcleo, tema y plugins, comprobando después que todo funciona.
• Copias automáticas fuera del servidor. Con varias fechas guardadas y probando de vez en cuando que se pueden restaurar.
• Verificación en dos pasos. Para todos los administradores y para el panel del hosting.
• Firewall y antimalware. A nivel de servidor o de aplicación, con avisos cuando detecten algo.
• Menos es más. Cada plugin que no usas es una puerta más. Bórralo, no basta con desactivarlo.
• Vigilancia. Monitorizar caídas y cambios para enterarte tú antes que tus clientes o Google.

En DonDigital, por ejemplo, el mantenimiento web incluye actualizaciones, copias, firewall y antimalware con Imunify360 y verificación en dos pasos. La seguridad tampoco acaba en la web: los equipos y el correo desde los que se gestiona también cuentan, y ahí entra la ciberseguridad para empresas.

Preguntas frecuentes

Fuentes: AEPD · Notificación de brechas de datos personales · Google · Informe de problemas de seguridad