WordPress hackeado: pocas frases generan tanto pánico como esa. Abres tu sitio y en lugar de tu página de inicio ves contenido extraño, redirecciones a sitios sospechosos o peor, un mensaje de tu hosting diciendo que tu cuenta fue suspendida. Si estás viviendo esta pesadilla ahora mismo, respira. Esta guía te explica paso a paso qué hacer cuando tu WordPress hackeado necesita atención urgente.
Según datos de Wordfence, más de 90,000 ataques por minuto se dirigen a sitios de WordPress en todo el mundo. No estás solo, y la buena noticia es que la mayoría de los hackeos se pueden resolver si actúas rápido.
Señales de que tu WordPress hackeado necesita atención inmediata
A veces el hackeo es obvio. Otras veces, es silencioso. Estas son las señales más comunes que indican que tu sitio fue comprometido:
- Redirecciones extrañas: tus visitantes llegan a tu sitio y terminan en páginas de apuestas, farmacéuticas o contenido para adultos.
- Contenido que no reconoces: aparecen páginas, posts o enlaces que tú no creaste.
- Alerta de Google: tu sitio aparece con la leyenda «Este sitio puede dañar tu equipo» en los resultados de búsqueda.
- Caída de rendimiento: el sitio se vuelve extremadamente lento sin razón aparente.
- Correos de spam: tu servidor envía correos masivos que tú no autorizaste.
- Archivos modificados: archivos del core de WordPress, temas o plugins fueron alterados sin tu intervención.
- Usuarios administradores desconocidos: aparecen cuentas nuevas con permisos de administrador.
Si identificas una o más de estas señales, no pierdas tiempo. Cada minuto que pasa, el daño puede crecer.
Los 7 pasos urgentes cuando tu WordPress fue hackeado
Cuando confirmas que tienes un WordPress hackeado, sigue estos pasos en orden. La velocidad es crucial para minimizar el daño.
1. Mantén la calma y documenta todo
Antes de tocar cualquier cosa, toma capturas de pantalla de lo que ves. Anota la fecha y hora en que detectaste el problema. Esta información será útil para entender el alcance del ataque y prevenir futuros incidentes.
2. Pon tu sitio en modo mantenimiento
Si tu sitio está redirigiendo a contenido malicioso, lo primero es evitar que tus visitantes se expongan. Contacta a tu proveedor de hosting y pide que pongan el sitio en modo mantenimiento o suspensión temporal. Esto protege a tus usuarios mientras limpias el desastre.
3. Cambia TODAS las contraseñas inmediatamente
Y cuando decimos todas, es todas:
- Contraseña de administrador de WordPress
- Contraseña de FTP/SFTP
- Contraseña de la base de datos (en wp-config.php)
- Contraseña del panel de hosting (cPanel, Plesk, etc.)
- Contraseña de correo electrónico asociado
Usa contraseñas de al menos 16 caracteres con mayúsculas, minúsculas, números y símbolos. Un administrador de contraseñas como 1Password o Bitwarden te facilita la vida.
4. Haz un respaldo completo del sitio actual
Sí, aunque esté infectado. Necesitas un respaldo del estado actual por dos razones: para analizarlo después y como referencia en caso de que algo salga mal durante la limpieza. Descarga los archivos por FTP y exporta la base de datos completa.
5. Escanea tu sitio en busca de malware
Utiliza herramientas profesionales para identificar exactamente qué archivos fueron comprometidos:
- Wordfence: el plugin de seguridad más popular para WordPress. Su escáner gratuito detecta la mayoría del malware conocido.
- Sucuri SiteCheck: escaneo externo gratuito que revisa tu sitio desde afuera.
- MalCare: otra opción sólida con limpieza automática en su versión premium.
El escáner te mostrará archivos modificados, código malicioso inyectado y puertas traseras (backdoors) que los hackers dejaron para volver a entrar.
6. Limpia los archivos infectados
Esta es la parte más delicada. Dependiendo de la gravedad del ataque, tienes varias opciones:
- Reemplazar el core de WordPress: descarga una copia fresca desde wordpress.org y reemplaza las carpetas wp-admin y wp-includes.
- Reinstalar plugins y temas: elimina las versiones actuales y descarga copias limpias desde las fuentes oficiales.
- Revisar wp-config.php: busca líneas de código que no reconozcas. Compáralo con el archivo de ejemplo wp-config-sample.php.
- Limpiar la base de datos: busca usuarios administradores que no creaste y contenido spam inyectado en posts o comentarios.
Si no tienes experiencia técnica, este paso es donde conviene pedir ayuda profesional. Un error aquí puede dejar tu sitio peor de lo que estaba.
7. Verifica y reindexar en Google
Si Google marcó tu sitio como peligroso, necesitas solicitar una revisión en Google Search Console. Después de limpiar el sitio, ve a la sección de «Problemas de seguridad» y solicita la revisión. Google suele responder en 24-72 horas.
Cómo prevenir que tu WordPress sea hackeado de nuevo
Limpiar un sitio comprometido es solo la mitad del trabajo. Si no corriges las vulnerabilidades que permitieron el ataque, volverá a pasar. Estas son las medidas esenciales de prevención:
Mantén todo actualizado
La causa número uno de un WordPress hackeado son plugins y temas desactualizados. Cada actualización incluye parches de seguridad que cierran vulnerabilidades conocidas. Revisa actualizaciones al menos una vez por semana.
Instala un firewall y monitoreo
Un plugin de seguridad como Wordfence o Sucuri actúa como guardia permanente. Bloquea intentos de fuerza bruta, escanea archivos periódicamente y te alerta ante actividad sospechosa.
Usa autenticación de dos factores (2FA)
Agrega una capa extra de protección a tu login. Aunque alguien obtenga tu contraseña, necesitará tu teléfono para acceder. Es el cambio más simple que mayor impacto tiene en la seguridad de tu sitio.
Haz respaldos automáticos
Configura respaldos automáticos diarios o semanales. Si algo sale mal, puedes restaurar una versión limpia en minutos en vez de horas. Guarda los respaldos fuera de tu servidor, en un servicio como Google Drive o Amazon S3.
Elimina lo que no uses
Cada plugin y tema instalado es una puerta potencial de entrada. Si no lo estás usando, elimínalo. No basta con desactivarlo, hay que borrarlo por completo.
¿Por qué el mantenimiento preventivo es la mejor inversión?
Un WordPress hackeado puede costarte desde $5,000 hasta $50,000 MXN en limpieza profesional, dependiendo de la gravedad. Pero el costo real va más allá del dinero:
- Pérdida de clientes: si tu sitio muestra contenido malicioso, tus visitantes no regresan.
- Daño al SEO: Google penaliza sitios comprometidos y puede tardar meses en recuperar tu posición.
- Reputación: nada dice «no confíes en mí» como un sitio web infectado.
- Tiempo perdido: horas o días dedicados a apagar incendios en vez de atender tu negocio.
El mantenimiento preventivo regular, incluyendo actualizaciones, monitoreo de seguridad y respaldos, cuesta una fracción de lo que cuesta recuperarse de un hackeo. Es como el seguro de tu auto: esperas no necesitarlo, pero agradeces tenerlo cuando algo pasa.
Tu WordPress hackeado tiene solución, pero mejor prevenir
Si llegaste aquí porque tu sitio fue comprometido, ya tienes los pasos para recuperarlo. Si llegaste por precaución, aún mejor. La seguridad web no es un lujo, es una necesidad para cualquier negocio que dependa de su presencia en línea.
En Nucommerce nos especializamos en el mantenimiento y seguridad de sitios WordPress. Nuestros paquetes de mantenimiento incluyen actualizaciones, monitoreo de seguridad, respaldos y soporte técnico para que tu sitio esté protegido 24/7.
¿Tu sitio necesita atención urgente o quieres prevenir problemas? Contáctanos hoy y te ayudamos a mantener tu WordPress seguro y funcionando al 100%.
Deja una respuesta