Descubrir que han hackeado tu web es una de las peores sensaciones para un empresario: la web muestra contenido extraño, Google advierte a tus visitantes, los clientes llaman preocupados. Respira: la mayoría de hackeos en WordPress se pueden limpiar por completo y, más importante, se pueden prevenir para que no vuelvan a ocurrir.
Esta guía te dice exactamente qué hacer, en orden, sin tecnicismos innecesarios y sin pánico.
Paso 0: Confirma que es un hackeo (y no otra cosa)
Antes de alarmarte, verifica los síntomas típicos:
- Contenido extraño: páginas con texto en otros idiomas, enlaces a webs raras, anuncios que no pusiste.
- Redirecciones: tu web lleva a los visitantes a sitios de apuestas, farmacias falsas o tiendas sospechosas (a veces solo en móvil).
- Avisos de Google: “este sitio puede estar hackeado” en los resultados o el navegador bloquea el acceso con pantalla roja.
- Emails que no enviaste: tu dominio está enviando spam (te enteras cuando clientes o tu hosting te avisan).
- Rendimiento desplomado sin causa aparente o archivos desconocidos en el servidor.
Si ves uno o varios de estos, actúa como si fuera un hackeo. Incluso si resulta ser otra cosa, los pasos siguientes no hacen daño.
Paso 1: No toques nada a lo loco (5 minutos)
La reacción instintiva —borrar archivos sospechosos, cambiar cosas al azar— suele empeorar la situación y destruir pruebas útiles. En su lugar:
- No entres en pánico ni publiques nada sobre el incidente todavía.
- Avisa a tu responsable técnico o a tu proveedor de mantenimiento: esto es para lo que están.
- Si tienes acceso, cambia tu contraseña de administrador por una robusta y única (y activa el doble factor después de la limpieza).
- Anota lo que observas: capturas de pantalla, cuándo lo descubriste, qué síntomas ves. Será útil para el diagnóstico.
Paso 2: Contén el daño
El objetivo inmediato es evitar que el hackeo siga haciendo daño a tus visitantes y a tu reputación:
- Pon la web en modo mantenimiento si el contenido malicioso es visible: mejor una página de “volvemos enseguida” que una web infectada.
- Avisa a tu hosting: pueden bloquear el envío de spam desde tu cuenta y a veces ayudan a identificar el origen.
- Si Google te ha marcado, no intentes pedir la revisión todavía: primero hay que limpiar. La solicitud de revisión viene al final.
Paso 3: Limpia la infección (el trabajo de fondo)
Aquí es donde un profesional marca la diferencia. La limpieza completa incluye:
- Identificar la puerta de entrada: ¿un plugin desactualizado con vulnerabilidad? ¿una contraseña débil? ¿un tema pirata? Sin saber cómo entraron, volverán a entrar.
- Eliminar el código malicioso de todos los archivos infectados, incluyendo las “puertas traseras” ocultas que permiten al atacante volver (suelen esconderse con nombres inocentes).
- Revisar la base de datos: el malware también se esconde en contenidos y ajustes, no solo en archivos.
- Verificar usuarios: eliminar cuentas de administrador desconocidas que el atacante haya creado.
- Comprobar que no haya tareas programadas maliciosas que reinstalen la infección.
¿Vale restaurar una copia de seguridad? Solo si sabes que la copia es anterior al hackeo y has identificado y cerrado la puerta de entrada. Restaurar sin más es como volver a poner la misma cerradura que acaban de forzar: el atacante entra de nuevo en horas.
Paso 4: Refuerza todo (para que no se repita)
La limpieza sin refuerzo es pan para hoy. Medidas imprescindibles tras un incidente:
- Actualiza todo: WordPress, plugins y temas a sus últimas versiones. La mayoría de hackeos entran por software desactualizado con vulnerabilidades conocidas.
- Elimina lo innecesario: plugins y temas que no uses, fuera. Cada pieza de software es una puerta potencial.
- Contraseñas nuevas y robustas para todas las cuentas, y doble factor de autenticación para administradores.
- Instala (o configura bien) un plugin de seguridad: firewall, monitorización de integridad de archivos y bloqueo de intentos de acceso.
- Configura copias de seguridad automáticas externas si no las tenías: la próxima vez, la recuperación será cuestión de minutos.
- Revisa los permisos de quién tiene acceso y con qué rol: menos administradores, mejor.
Paso 5: Recupera tu reputación ante Google
Si Google marcó tu sitio como peligroso:
- Verifica en Search Console que la web está limpia (la herramienta tiene una sección de “problemas de seguridad”).
- Solicita la revisión: Google vuelve a analizar el sitio, normalmente en días.
- Vigila que el aviso desaparezca y que las posiciones se recuperen (suelen hacerlo en semanas si la limpieza fue completa).
Si el hackeo generó páginas de spam indexadas, habrá que solicitar su eliminación del índice. Es trabajo meticuloso pero rutinario.
Paso 6: Aprende la lección (el paso que casi nadie da)
La pregunta importante no es “¿cómo lo limpio?” sino “¿por qué pasó y qué cambio para que no vuelva?”. Las causas habituales, por orden de frecuencia:
- Software desactualizado (la causa número uno, con diferencia).
- Contraseñas débiles o reutilizadas.
- Plugins o temas pirata (“nulled”) que traían malware de serie.
- Sin copias de seguridad que permitieran recuperarse rápido.
- Sin nadie vigilando: la web abandonada a su suerte.
La conclusión práctica: una web necesita mantenimiento web profesional —actualizaciones, monitorización, copias— igual que un local necesita seguro y alarma. No es un gasto opcional: es lo que separa un susto de una catástrofe.
¿Lo limpio yo o llamo a un profesional?
Si tienes experiencia técnica, copias de seguridad fiables y tiempo, una limpieza es abordable. Pero sé honesto contigo mismo: una limpieza incompleta deja puertas traseras que reactivan el hackeo semanas después, y cada día con la web infectada daña tu reputación y tu SEO. Para la mayoría de negocios, un profesional que limpie, refuerce y documente es la opción sensata: es más barato que una segunda infección.
Y si quieres entender la otra cara de la moneda —cómo evitar que tu web se arrastre y sea vulnerable—, lee nuestro pilar sobre cómo solucionar una web lenta: rendimiento y seguridad van de la mano.
Preguntas frecuentes
¿Cuánto tarda en limpiarse una web hackeada?
Una limpieza profesional típica se resuelve en horas o pocos días, dependiendo de la gravedad y del tamaño del sitio. La recuperación completa de la reputación ante Google puede tardar algunas semanas más.
¿Debo avisar a mis clientes?
Si el hackeo pudo exponer datos de clientes (cuentas, pedidos, formularios con datos personales), la normativa europea puede obligarte a notificarlo. Consúltalo con tu asesor legal: ocultar una brecha de datos sale mucho más caro que comunicarla bien.
¿WordPress es inseguro por naturaleza?
No. WordPress es un objetivo frecuente por su popularidad, pero su núcleo es seguro cuando está actualizado. Los hackeos entran casi siempre por plugins desactualizados, contraseñas débiles o falta de mantenimiento, no por WordPress en sí. Una web WordPress bien mantenida es tan segura como cualquier otra.
Cómo saber por dónde entraron (y por qué importa)
Encontrar la puerta de entrada no es curiosidad: es lo que evita la recaída. Las vías más habituales, con sus señales:
- Plugin vulnerable desactualizado: la causa más frecuente. Señal: el plugin tenía una actualización de seguridad pendiente desde hace semanas.
- Contraseña débil o reutilizada: señal: accesos desde ubicaciones extrañas en el registro, o la misma contraseña usada en otros servicios filtrados.
- Tema o plugin pirata: señal: descargado de un sitio no oficial “gratis”. Muchos traen la puerta trasera incluida de fábrica.
- Otro sitio del mismo hosting: en hostings compartidos baratos, un vecino infectado puede contagiar tu cuenta. Señal: el hosting confirma incidentes en el servidor.
- Ordenador infectado del administrador: un troyano roba tus credenciales FTP o del panel. Señal: todo lo demás está actualizado y aun así entraron.
Un buen informe post-incidente identifica la vía y la cierra. Si tu proveedor limpia sin decirte cómo entraron, la próxima vez será igual.
¿Debo cambiar de hosting tras un hackeo?
No necesariamente: la mayoría de hackeos no son culpa del hosting. Pero si tu proveedor tardó días en responder, no te ayudó a contener el problema, o el ataque vino de un vecino del mismo servidor compartido, es un buen momento para plantear el cambio. La seguridad también se compra eligiendo bien al proveedor.