Entras en tu web y acabas en una página de apuestas. O un cliente te escribe porque Chrome le avisa de que tu sitio es peligroso. Tener un WordPress hackeado asusta, pero tiene solución, y lo que hagas en las primeras horas marca la diferencia entre un susto y semanas de problemas con Google.
En esta guía repasamos cómo saber si tu web está infectada, qué hacer nada más detectarlo, cómo limpiarla paso a paso y cómo quitar el famoso virus de redirección. Está pensada para dueños de negocio sin perfil técnico, así que explicamos cada paso sin dar nada por sabido.
Cómo saber si tu WordPress ha sido hackeado
Algunos ataques se notan al momento y otros pasan meses sin que nadie se dé cuenta. Estas son las señales más habituales.
Redirige a otras webs
Al entrar desde Google o desde el móvil acabas en webs de apuestas, sorteos falsos o farmacias. Es el síntoma más común.
Avisos de Google o Chrome
Chrome muestra una pantalla roja de sitio peligroso, o Google marca tu web en los resultados como posiblemente pirateada.
Páginas que no has creado
Al buscar site:tudominio.es en Google aparecen páginas en japonés, de productos falsos o con títulos que no reconoces.
Usuarios desconocidos
En Usuarios aparece un administrador que nadie de tu equipo ha creado, a veces con un nombre que parece del sistema.
Hay otras pistas menos evidentes. Tu hosting te avisa de que la cuenta envía spam o la suspende, la web va mucho más lenta sin motivo, o en el informe de problemas de seguridad de Search Console aparece contenido pirateado o malware. Si tienes Search Console configurado, revisa ese informe lo primero.
Qué hacer nada más detectarlo
El impulso natural es borrar cosas a toda prisa, y es justo lo que conviene evitar. Antes de tocar nada, sigue este orden.
1. Avisa a tu hosting
Muchos proveedores tienen herramientas de análisis y copias de seguridad propias que tú no ves desde WordPress. Además, si el ataque afecta a otras webs de tu misma cuenta, necesitan saberlo.
2. Cambia todas las contraseñas
Las de todos los administradores de WordPress, la del panel del hosting, la de FTP o SFTP y la de la base de datos. Hazlo desde un ordenador que sepas que está limpio, porque a veces la contraseña se roba en el propio equipo de quien gestiona la web.
3. Guarda una copia de la web tal como está
Parece contradictorio guardar una web infectada, pero esa copia sirve para averiguar por dónde entraron y para no perder contenido si la limpieza sale mal. Guárdala aparte y no la vuelvas a subir al servidor.
4. Busca tu última copia limpia
Si tienes copias de seguridad, intenta averiguar desde cuándo está infectada la web. Una copia de antes del ataque puede ahorrarte mucho trabajo, aunque luego verás que restaurarla no es suficiente por sí sola.
Cómo limpiar un WordPress hackeado paso a paso
Este es el proceso general. Si en algún punto te pierdes o no tienes acceso al servidor, es mejor parar y pedir ayuda que dejar la limpieza a medias.
- Analiza la web. Un plugin de seguridad como Wordfence o el escáner de tu hosting te dirá qué archivos se han modificado. Desde fuera, escáneres gratuitos como Sucuri SiteCheck detectan redirecciones y avisos de listas negras.
- Reinstala el núcleo de WordPress. Descarga la misma versión desde wordpress.org y sustituye las carpetas wp-admin y wp-includes. Así eliminas cualquier archivo del sistema que hayan alterado.
- Reinstala plugins y temas desde su origen oficial. Borra los que no uses y elimina sin dudar cualquier plugin o tema «nulled», es decir, versiones de pago descargadas gratis de webs no oficiales. Son una de las vías de entrada más habituales.
- Revisa la carpeta de subidas. En wp-content/uploads solo debería haber imágenes y documentos. Un archivo .php ahí dentro es casi siempre una puerta trasera.
- Revisa los usuarios. Elimina cualquier administrador que no reconozcas y comprueba que los tuyos no tengan cambiado el email.
- Revisa la base de datos. Busca scripts extraños dentro de las entradas y comprueba que la dirección del sitio en los ajustes generales sea la tuya.
- Renueva las claves de seguridad. Las claves y salts del archivo wp-config.php se pueden regenerar con la herramienta oficial de WordPress. Al cambiarlas, se cierran todas las sesiones abiertas, también las del atacante.
El virus de redirección en WordPress
Es el tipo de infección que más consultas genera, y tiene una particularidad que despista mucho a los dueños de las webs.
Por qué a ti no te redirige
Muchas de estas infecciones están programadas para no actuar con los usuarios que han iniciado sesión en WordPress, ni con quien entra escribiendo la dirección directamente. Solo saltan con visitantes que llegan desde Google o desde el móvil, y a veces solo la primera vez. Por eso es habitual que el dueño diga «a mí me funciona bien» mientras sus clientes acaban en otra web. Para comprobarlo, abre una ventana de incógnito en el móvil y entra desde un resultado de Google.
Dónde suele esconderse
- En el archivo .htaccess, con reglas de redirección que no has puesto tú.
- En los archivos del tema, sobre todo en header.php, footer.php y functions.php.
- En la base de datos, como scripts dentro de las entradas o widgets, o cambiando la dirección del sitio.
- En plugins falsos con nombres que imitan a los reales y que a veces ni aparecen en el listado de plugins.
Si limpias uno de estos sitios y la redirección vuelve a los pocos días, es casi seguro que queda una puerta trasera en otra parte. Repasa todos los puntos del apartado anterior.
Restaurar una copia no cierra la puerta
Si vuelves a una copia de antes del ataque pero mantienes el mismo plugin vulnerable o la misma contraseña robada, el atacante entrará otra vez por el mismo sitio. Tras restaurar, actualiza todo y cambia todas las contraseñas antes de volver a abrir la web.
Después de limpiar, avisa a Google
Si Google había detectado el problema, el aviso no desaparece solo cuando limpias. En el informe de problemas de seguridad de Search Console tienes que pulsar Solicitar revisión y explicar qué ha pasado y qué has hecho. Google pide que el problema esté corregido en todas las páginas antes de enviarla, y avisa de que la revisión puede tardar de varios días a varias semanas.
No envíes otra solicitud mientras la primera esté pendiente. Y si el hackeo creó páginas de spam, es normal que la web pierda posiciones durante un tiempo. Cuanto antes se limpie, menos dura ese bache, y si tus posiciones no se recuperan es buen momento para revisar el servicio de posicionamiento SEO que necesita tu web.
Cómo evitar que vuelva a pasar
- Mantén WordPress, plugins y temas actualizados. La mayoría de los ataques aprovechan fallos ya corregidos en versiones nuevas.
- Usa solo plugins y temas de fuentes oficiales y borra los que no uses, aunque estén desactivados.
- Activa la verificación en dos pasos para los administradores y usa contraseñas largas y distintas.
- Programa copias de seguridad automáticas guardadas fuera del servidor de la web.
- Pide a tu hosting una versión de PHP con soporte y limita los intentos de acceso al panel.
Todo esto forma parte de un buen mantenimiento web. Es mucho más barato revisar la web cada mes que limpiarla después de un ataque.
Preguntas frecuentes
¿Basta con instalar un plugin de seguridad para limpiar la web?
Ayuda mucho a detectar archivos modificados, pero rara vez lo limpia todo. Muchas infecciones se esconden en la base de datos o en archivos que el plugin no puede tocar, y si no se cierra la vía por la que entraron, vuelven. Úsalo para diagnosticar y prevenir, y complétalo con una revisión manual.
¿Pierdo el posicionamiento si me hackean la web?
Puede bajar mientras dure la infección, sobre todo si Google muestra avisos o el atacante crea páginas de spam. Si limpias rápido y solicitas la revisión, lo normal es recuperarlo con el tiempo. Lo que más daño hace es dejar la web infectada durante semanas sin darte cuenta.
¿Por qué la redirección vuelve después de limpiarla?
Porque queda una puerta trasera en algún sitio, normalmente un archivo PHP oculto, un usuario administrador falso o un plugin vulnerable sin actualizar. Al quitar solo el síntoma, el atacante vuelve a inyectar el código. Hay que revisar archivos, base de datos y usuarios, y cambiar todas las contraseñas.
¿Cuándo conviene llamar a un profesional?
Si no tienes acceso al servidor, si la infección vuelve tras limpiarla, si tienes una tienda online con datos de clientes o si Google ya muestra avisos. En esos casos cada día cuenta, y una limpieza a medias puede salir más cara que encargarla desde el principio.
¿Tu web está dando problemas?
Si sospechas que tu WordPress ha sido hackeado o te ha saltado algún aviso de Google, escríbenos y lo revisamos contigo.
