Entras en tu web y te redirige a una página de apuestas. O un cliente te avisa de que Google muestra “Este sitio puede haber sido pirateado”. O descubres en Search Console cientos de páginas en japonés que no has creado. Si tu WordPress ha sido hackeado, lo primero: calma. Es un problema frecuente, tiene solución, y actuar con orden es más importante que actuar rápido sin criterio.

En esta guía te explico cómo saber si tu web está hackeada, qué hacer en las primeras horas, cómo limpiarla, cómo recuperar tu imagen en Google y, sobre todo, cómo evitar que vuelva a pasar.

Señales de que tu WordPress ha sido hackeado

• Redirecciones extrañas: al entrar desde Google o desde el móvil, la web te lleva a otra página (apuestas, farmacia, contenido para adultos, falsos premios). A veces solo ocurre a visitantes nuevos, por eso el propietario no lo ve.
• Avisos del navegador o de Google: “Sitio engañoso”, “Este sitio puede dañar tu equipo” o “Este sitio puede haber sido pirateado” en los resultados de búsqueda.
• Páginas de spam indexadas: si buscas site:tudominio.com en Google aparecen páginas que no reconoces, a menudo en otros idiomas.
• Usuarios administradores desconocidos en el escritorio de WordPress.
• Archivos o carpetas extraños en el servidor, o archivos del núcleo modificados.
• Envío masivo de correos desde tu servidor, o aviso de tu hosting por consumo anómalo.
• Caída de tráfico repentina en Search Console o Analytics.
• Tu hosting ha suspendido la web por malware.

Qué hacer en las primeras horas

1. No borres nada todavía

La tentación es eliminar archivos raros o reinstalar a lo loco. Antes, haz una copia completa del estado actual (archivos y base de datos), aunque esté infectada. Sirve para analizar qué pasó y para no perder contenido legítimo.

2. Cambia todas las contraseñas

Desde un ordenador limpio, cambia las contraseñas de: usuarios administradores de WordPress, panel del hosting, FTP o SFTP, base de datos y correo asociado al dominio. Activa la verificación en dos pasos donde sea posible.

3. Revisa los usuarios

Elimina cualquier administrador que no reconozcas y revisa los permisos de los demás.

4. Avisa a tu hosting

Muchos proveedores tienen herramientas de análisis y pueden decirte qué archivos están infectados o desde dónde se ha producido el acceso. Si han suspendido la web, te dirán qué necesitan para reactivarla.

5. Valora poner la web en mantenimiento

Si la web está redirigiendo a tus visitantes a sitios peligrosos, es mejor mostrar temporalmente una página de mantenimiento que seguir enviando clientes a una estafa.

Cómo limpiar un WordPress hackeado

La limpieza tiene varias capas. Hacerla a medias es la razón principal por la que muchas webs vuelven a infectarse a los pocos días.

Restaurar una copia limpia (si la tienes)

Si tienes una copia de seguridad de antes de la infección, restaurarla es la vía más rápida. Pero ojo: si no corriges la vulnerabilidad que permitió el ataque, volverán a entrar. Después de restaurar, actualiza todo y revisa los puntos de seguridad del final de esta guía.

Si no hay copia limpia: limpieza manual

1. Reinstala el núcleo de WordPress con archivos oficiales, sustituyendo las carpetas del sistema.
2. Reinstala plugins y temas desde sus fuentes oficiales, eliminando los que no uses y cualquier versión “pirata” o descargada de webs no oficiales, que son una causa muy frecuente de infecciones.
3. Revisa la carpeta de subidas: no debería contener archivos PHP ejecutables.
4. Revisa la base de datos: scripts inyectados en entradas, páginas, widgets u opciones del sitio, y usuarios ocultos.
5. Revisa archivos de configuración como wp-config.php y .htaccess en busca de código añadido o redirecciones.
6. Analiza la web con un escáner de seguridad y repite hasta que salga limpia.
7. Regenera las claves de seguridad (salts) de WordPress para cerrar todas las sesiones abiertas.

Es un trabajo técnico y meticuloso. Si no te sientes cómodo tocando archivos y base de datos, es el momento de pedir ayuda profesional: un error puede romper la web o dejar puertas traseras abiertas.

Tipos de hackeo más habituales en WordPress

No todos los ataques se comportan igual, y reconocer el tipo ayuda a saber dónde buscar:

Spam de palabras clave (el “hack japonés” y similares)

El atacante genera miles de páginas con texto en otro idioma o con productos falsificados, alojadas en tu dominio para aprovechar su reputación. Suelen ser invisibles para ti al navegar normalmente, pero aparecen en Google. Se detecta buscando site:tudominio.com y revisando el informe de páginas de Search Console.

Redirecciones maliciosas

Código inyectado en archivos de configuración, en el tema o en la base de datos que envía a parte de los visitantes a otras webs. Muchas veces solo afecta a quien llega desde Google o desde el móvil, y no a usuarios conectados, para que el propietario no se dé cuenta.

Puertas traseras

Pequeños archivos o fragmentos de código que permiten al atacante volver a entrar aunque cambies las contraseñas. Por eso una limpieza superficial casi nunca basta: si queda una puerta trasera, la infección vuelve.

Uso del servidor para enviar spam

Tu web se usa para enviar correos masivos. El primer síntoma suele ser que tus propios emails empiezan a llegar a la carpeta de spam de tus clientes, o un aviso del hosting.

Robo de datos en formularios o tiendas

En tiendas online, scripts que copian los datos introducidos en el proceso de compra. Es el caso más grave, porque afecta directamente a tus clientes y puede tener implicaciones legales de protección de datos.

Comunica, si es necesario

Si el ataque ha podido afectar a datos personales de clientes (por ejemplo, en una tienda online o en formularios con información sensible), además de la limpieza técnica puede ser necesario notificarlo a la autoridad de protección de datos y a los afectados. En ese caso, consulta con tu asesor legal cuanto antes, porque hay plazos.

Recuperar tu imagen en Google

Una vez limpia la web, toca reparar lo que Google ha visto:

• Search Console → Problemas de seguridad: si Google ha detectado el hackeo, aparecerá aquí. Tras limpiar, solicita una revisión explicando lo que has hecho.
• Páginas de spam: asegúrate de que devuelven error 404 o 410 y, si son muchas, usa la herramienta de retirada de URLs para acelerar su desaparición de los resultados.
• Sitemap: vuelve a enviarlo para que Google rastree las páginas buenas.
• Listas negras: comprueba que tu dominio no aparece en listas de sitios maliciosos y, si es así, solicita la retirada.

Recuperar posiciones puede llevar semanas. Cuanto antes se limpie y se pida la revisión, menor es el daño.

Por qué hackean webs de pequeños negocios

Mucha gente piensa “¿quién va a querer hackear la web de mi peluquería?”. La mayoría de ataques no son personales: son automáticos. Programas que recorren internet buscando webs con un plugin vulnerable, contraseñas débiles o versiones antiguas, y las infectan para usarlas en campañas de spam, redirecciones o envío de correo. Tu web es útil para ellos precisamente porque tiene buena reputación y nadie la vigila.

Las causas más habituales son:

• Plugins y temas sin actualizar con vulnerabilidades conocidas.
• Plugins o temas “nulled” (de pago descargados gratis de webs no oficiales).
• Contraseñas débiles o reutilizadas.
• Usuarios antiguos con permisos de administrador que nadie revisa.
• Hostings compartidos mal configurados.

Cómo evitar que vuelva a pasar

1. Actualizaciones regulares de núcleo, tema y plugins, con copia previa.
2. Copias de seguridad automáticas fuera del servidor, guardando varias versiones antiguas.
3. Elimina lo que no usas: plugins desactivados y temas viejos también son puertas de entrada.
4. Contraseñas robustas y doble factor para todos los administradores.
5. Limita los intentos de acceso y cambia o protege la URL de acceso al escritorio.
6. Firewall de aplicación y escaneo periódico de malware.
7. Usuarios con el mínimo permiso necesario: no todo el mundo necesita ser administrador.
8. Monitorización para enterarte de cualquier cambio antes que tus clientes.

Todo esto es, precisamente, lo que incluye un buen servicio de mantenimiento. Si te interesa saber cuánto cuesta, lo explicamos en ¿cuánto cuesta el mantenimiento de una web WordPress?

Preguntas frecuentes

¿Puedo seguir usando la web mientras está hackeada?

No es recomendable. Si redirige a sitios maliciosos o reparte malware, estás poniendo en riesgo a tus clientes y a tu reputación. Mejor una página de mantenimiento temporal.

¿Cuánto tarda la limpieza?

Depende de la gravedad y de si hay copia limpia. Con copia, puede resolverse en horas. Sin copia y con una infección extendida, puede requerir más tiempo de revisión.

¿Reinstalar WordPress lo soluciona?

Solo en parte. El código malicioso suele estar también en la base de datos, en la carpeta de subidas o en plugins. Reinstalar sin revisar todo eso suele llevar a una reinfección.

¿Google me penaliza para siempre?

No. Una vez limpia la web y aprobada la revisión, los avisos desaparecen. Las posiciones se recuperan progresivamente si el contenido sigue siendo bueno.

¿Atendéis webs fuera de Madrid?

Sí. El trabajo de limpieza y mantenimiento se hace en remoto, así que podemos ayudarte estés donde estés.