En resumen: si tu web ha sido hackeada, lo primero es no borrar nada. Cambia las contraseñas de WordPress, del hosting y del FTP, guarda una copia de la web tal como está ahora y avisa a quien la gestiona. Después hay que entender por dónde entró el ataque: quitar el malware sin cerrar el agujero es la forma más segura de volver a estar comprometido a los pocos días.
Lo escribimos desde la experiencia de llevar más de 200 webs. Los ejemplos son de WordPress, pero el razonamiento vale para cualquier web.
¿Cómo sé si han hackeado mi web?
Una web comprometida no siempre se nota desde la portada. Quien la ataca normalmente quiere usarla sin llamar la atención: para mandar a los visitantes a otro sitio, publicar páginas de spam o enviar correos. Las señales más habituales:
- redirecciones raras: quien llega desde Google acaba en webs de apuestas, fármacos o premios falsos, mientras que tú, que entras escribiendo la dirección, ves la web normal;
- páginas en idiomas que no tienes en los resultados de Google (busca “site:tudominio.es” y mira qué sale);
- el aviso del navegador “Sitio engañoso” o “El sitio web al que vas a acceder contiene software malicioso”;
- un correo de Google Search Console que avisa de problemas de seguridad;
- el hosting suspende la web o bloquea el envío de correos por tráfico sospechoso;
- usuarios administradores que no conoces, plugins que no has instalado, archivos con nombres extraños en la carpeta de la web.
Basta una de estas señales para tratar la web como comprometida hasta que se demuestre lo contrario.
Qué hacer en las primeras horas
Los primeros pasos deciden lo fácil que será limpiar la web. Por orden:
- Cambia las contraseñas: administradores de WordPress, panel del hosting, FTP o SFTP, base de datos si puedes. Si usas la misma contraseña en otros sitios, cámbiala también allí.
- Guarda una copia de la web tal como está ahora, archivos y base de datos, aunque esté infectada. Sirve para entender qué ha pasado, no para volver a publicarla.
- Revisa las copias de seguridad: cuántas tienes, de cuándo son, dónde están. Una copia guardada en el mismo servidor podría estar infectada también.
- Avisa al hosting: muchas veces ya ha visto algo en los registros y puede decirte si el problema afecta a otras webs del mismo espacio.
- Abre Google Search Console y mira el informe Problemas de seguridad: dice qué ha encontrado Google y en qué páginas.
Si la web vende, plantéate ponerla en mantenimiento mientras se trabaja: mejor un día sin web que clientes enviados a una página de estafas.
Qué no hacer
|
Mejor evitarlo |
Por qué |
|---|---|
|
Borrar archivos a ciegas |
Se pierden las pistas para saber por dónde entró el ataque |
|
Reinstalar WordPress y ya está |
El código malicioso suele estar en la base de datos y en la carpeta de subidas, y el agujero sigue abierto |
|
Restaurar la última copia sin revisarla |
Si el ataque es antiguo, la copia también puede estar infectada |
|
Instalar cinco plugins de seguridad a la vez |
La web se vuelve más lenta y el diagnóstico más difícil, sin quitar nada |
|
Pedir enseguida a Google que revise la web |
Si la limpieza no está completa, la solicitud se rechaza y hay que empezar de nuevo |
Cómo se quita el malware de una web WordPress
Una limpieza bien hecha tiene cuatro pasos, y el primero es el más importante.
1. Análisis
Se parte de la copia de la web: análisis de archivos y base de datos, comparación del núcleo de WordPress, de temas y plugins con las versiones originales, revisión de usuarios y de los registros del servidor. El objetivo es encontrar la puerta de entrada: normalmente un plugin antiguo con una vulnerabilidad conocida, una contraseña débil o robada, u otra web comprometida en el mismo hosting.
2. Limpieza
Se eliminan los archivos añadidos por el ataque, el código insertado en los archivos existentes y el escondido en la base de datos (en las opciones, en las entradas, en los usuarios). Núcleo, tema y plugins se reinstalan desde las fuentes originales en lugar de corregirlos a mano. Si hay una copia de seguridad limpia de antes del ataque, se valora si conviene partir de ella y recuperar aparte los contenidos y los pedidos que llegaron después.
3. Cierre del agujero
El plugin vulnerable se actualiza o se sustituye, se vuelven a cambiar contraseñas y claves de seguridad de WordPress, se eliminan los accesos que no hacen falta y se corrigen los permisos de los archivos y la versión de PHP. Sin este paso, la limpieza dura poco.
4. Google y hosting
Cuando la web está limpia, desde Search Console se pide a Google que la revise con el botón Solicitar revisión, explicando qué se encontró y qué se ha hecho. La propia Google dice que la revisión puede tardar de unos días a varias semanas; cuando se supera, el aviso de “sitio peligroso” desaparece. Las páginas de spam que queden en los resultados se quitan aparte. Si el hosting había suspendido la web o los correos, se le demuestra que el problema está resuelto.
No siempre se puede recuperar todo. Una web muy comprometida, sin copias de seguridad y con un tema modificado a mano durante años, a veces conviene reconstruirla a partir de los contenidos. Eso se sabe después del análisis, no antes.
Cómo evitar que vuelva a pasar
La mayoría de las webs que vemos hackeadas dos veces tienen el mismo problema: alguien las limpió, pero nadie las cuidó después. Lo que de verdad importa es poco:
- actualizaciones regulares de WordPress, temas y plugins, probadas antes en una copia de la web (staging);
- menos plugins, y solo los que se mantienen: un plugin abandonado es una puerta que se queda abierta;
- contraseñas únicas y verificación en dos pasos para quien administra la web;
- un sistema que bloquea los intentos de intrusión antes de que lleguen a WordPress;
- copias de seguridad automáticas guardadas fuera del servidor, con restauraciones probadas: son las que te permiten volver a antes del ataque;
- monitorización con avisos si la web cambia o se cae.
Es el trabajo que describimos en la nota sobre qué incluye el mantenimiento WordPress y que hacemos en nuestro servicio de mantenimiento WordPress.
Qué preguntar a quien limpia la web
- ¿Me decís por dónde entró el ataque, o solo lo que habéis quitado?
- ¿Habéis cerrado el agujero o solo limpiado los archivos?
- ¿Habéis revisado también la base de datos y las otras webs del mismo hosting?
- ¿Quién pide la revisión a Google y quién sigue la respuesta?
- ¿El precio me lo decís antes de empezar, después de mirar la web?
Con nosotros funciona así: primero un análisis, luego te contamos qué hemos encontrado y cuánto cuesta la limpieza, antes de empezar. Si ya llevamos la web en mantenimiento, el malware fácil de detectar lo quitamos dentro de la cuota; los casos complejos, o las webs que no llevamos, van con presupuesto. Tienes los detalles en la página sobre la web WordPress hackeada.
Ortica somos dos personas, Riccardo y Davide, en la web desde 2016: quien te responde es quien hace el trabajo, sin intermediarios.
