WordPress hackeado: qué hacer paso a paso para recuperar tu web

Si sospechas que tu WordPress está hackeado, no borres nada a la carrera: anota lo que ves, pon la web en mantenimiento o pide a tu proveedor que la aísle, guarda una copia del estado actual y cambia todas las contraseñas. Después toca limpiar o restaurar desde una copia sana, actualizar todo y revisar cuentas y tareas programadas. Si se han visto afectados datos personales, puede que tengas que notificarlo a la AEPD en un plazo de 72 horas.

Esta guía ordena esos pasos para que puedas actuar con calma. No sustituye a un equipo técnico especializado, pero te ayuda a no empeorar la situación y a saber qué pedir.

Señales de que tu web puede estar hackeada

La documentación oficial de WordPress («FAQ My site was hacked») recoge estos indicios habituales:

• Google, Bing u otros buscadores muestran un aviso de peligro al entrar en tu web.
• Tu proveedor de alojamiento ha suspendido la web o te avisa de actividad sospechosa.
• El antivirus de quien visita la web la bloquea o la marca como peligrosa.
• Te avisan de que tu web o tu servidor se usan para atacar a otras webs o para enviar spam.
• Ves cambios que nadie ha autorizado: cuentas nuevas con permisos de administración, páginas que no reconoces o redirecciones a otras webs.
• Al abrir la web ves contenido ajeno: anuncios, textos en otro idioma o mensajes de quien la ha atacado.

Otra pista útil: busca site:tudominio.es en Google. Si aparecen páginas en otro idioma o de productos que no vendes, alguien puede estar publicando contenido en tu web. Lo explicamos en cómo saber si tu web funciona correctamente.

Qué hacer en la primera hora

1. Mantén la calma y documenta. Apunta qué ves, a qué hora lo has detectado y qué cambios se hicieron en los días anteriores (un plugin nuevo, una actualización, un acceso dado a alguien). Haz capturas de pantalla. Esa nota será la base del informe del incidente.
2. Avisa a tu proveedor de alojamiento. Puede que ya lo haya detectado, que el ataque afecte a más webs del mismo servidor o que pueda aislar la tuya. Pregúntale también qué copias de seguridad guarda y de qué fechas.
3. Aísla la web. Ponla en modo mantenimiento o pide que se bloquee el acceso público mientras se trabaja. Así reduces el daño a quien la visita.
4. Guarda una copia del estado actual, aunque esté infectada: archivos y base de datos. Sirve para investigar después cómo entraron y como red de seguridad si la limpieza sale mal. Guárdala aparte y no la restaures sin revisarla.
5. Revisa también tus equipos. WordPress recuerda que a veces el origen está en el ordenador desde el que se gestiona la web: un programa malicioso que roba contraseñas. Pasa un antivirus completo a los equipos que acceden a la web.

Cambia todas las contraseñas (dos veces)

No basta con la contraseña de WordPress. Hay que cambiar todos los accesos:

• Todas las cuentas de WordPress, empezando por las que tienen permisos de administración.
• El panel del alojamiento (Plesk, cPanel u otro).
• FTP o SFTP.
• La base de datos (y actualizar después el fichero wp-config.php con la nueva).
• El correo asociado a la cuenta de administración, si puede estar comprometido.

Para cerrar las sesiones abiertas, WordPress recomienda renovar las claves secretas de wp-config.php. Usa contraseñas largas, únicas y generadas por un gestor de contraseñas, y activa la verificación en dos pasos.

Y repítelo al final: la documentación de WordPress insiste en volver a cambiar las contraseñas después de comprobar que la web está limpia, por si las primeras se filtraron mientras el problema seguía activo.

Limpiar o restaurar

Hay dos caminos. Cuál conviene depende de si tienes una copia limpia y de cuánto ha cambiado la web desde entonces.

Restaurar una copia anterior al ataque

Es lo más rápido si tienes una copia de seguridad de antes de la infección y sabes con bastante certeza cuándo entraron. El problema es que, si restauras sin corregir la causa, volverán a entrar por el mismo sitio. Por eso, después de restaurar, hay que actualizar todo y cambiar las contraseñas antes de volver a abrir la web.

Limpiar la instalación actual

Si no hay copia sana, toca limpiar. Según WordPress:

• Las carpetas wp-admin y wp-includes se pueden sustituir por las originales de la misma versión de WordPress, descargadas de wordpress.org y subidas por SFTP. El reinstalador del escritorio solo sobrescribe ficheros y no elimina los que se hayan añadido.
• La carpeta wp-content (tema, plugins y archivos subidos) requiere más cuidado. Lo más seguro es reinstalar tema y plugins desde su origen oficial y revisar la carpeta de subidas.
• Hay que revisar con especial atención el fichero .htaccess y ficheros como index.php, header.php, footer.php y functions.php, porque afectan a todas las páginas.

Encontrar todo lo que ha dejado un ataque exige leer código y conocer el servidor. Si no tienes ese perfil técnico en el equipo, este es el momento de pedir ayuda. Una limpieza a medias suele acabar en una reinfección.

Actualiza y revisa lo que pudo dejar el ataque

1. Actualiza WordPress, el tema y los plugins a la última versión. Elimina los que no uses: un plugin desactivado sigue en el servidor.
2. Comprueba la versión de PHP y que tenga los parches publicados. Lo explicamos en la guía sobre la versión de PHP para WordPress.
3. Revisa las cuentas. En Usuarios, elimina las cuentas que no reconozcas y baja los permisos de quien no necesite administrar.
4. Revisa las tareas programadas del servidor (en el panel del alojamiento) y de WordPress. Es un lugar habitual para que un ataque vuelva a instalarse solo.
5. Endurece la configuración siguiendo la guía oficial de endurecimiento de WordPress: permisos de archivos ajustados, verificación en dos pasos, copias periódicas y desactivar la edición de archivos desde el escritorio con define( 'DISALLOW_FILE_EDIT', true ); en wp-config.php.

Si Google marca tu web como peligrosa

Si tu web está dada de alta en Google Search Console, abre el informe Problemas de seguridad. Ahí Google indica qué ha detectado (contenido pirateado, malware o ingeniería social) y muestra ejemplos de URL afectadas, según explica su ayuda sobre el informe de problemas de seguridad.

Cuando la web esté limpia del todo, pulsa Solicitar revisión en ese mismo informe. Explica el problema, qué has hecho para corregirlo y el resultado. Google indica que la revisión puede tardar de varios días a varias semanas, y que no conviene enviar otra solicitud hasta recibir respuesta. Pedirla antes de terminar la limpieza solo alarga el tiempo con el aviso puesto. Tienes más detalle en la guía de Google «Request a review».

A quién avisar

A la AEPD, si hay datos personales afectados

Si el ataque ha podido exponer datos personales (formularios, cuentas de clientela, pedidos, correos), estás ante una posible brecha de datos personales. El artículo 33 del RGPD obliga a notificarla a la autoridad de control sin dilación indebida y, si es posible, en un máximo de 72 horas desde que se tiene constancia, salvo que sea improbable que suponga un riesgo para las personas. Si el riesgo es alto, el artículo 34 obliga también a comunicarlo a las personas afectadas.

En España, la notificación se hace por el formulario de la sede electrónica de la AEPD. Su página sobre notificación de brechas de datos personales enlaza el formulario y la herramienta Asesora Brecha, que ayuda a valorar si hay que notificar. Si en 72 horas no tienes toda la información, se puede hacer una notificación inicial y completarla después. Y, se notifique o no, la brecha debe quedar documentada.

A INCIBE, para pedir orientación

El 017 es la Línea de Ayuda en Ciberseguridad de INCIBE: gratuita, confidencial y pensada también para empresas y profesionales. Atiende de 8:00 a 23:00 todos los días del año por teléfono, WhatsApp (900 116 117), Telegram (@INCIBE017) y formulario web. Las empresas pueden además reportar el incidente a INCIBE-CERT.

A tu equipo y a tu clientela

Si la web envía correos, gestiona pedidos o tiene un área privada, informa con claridad a quien pueda verse afectado y de qué debe vigilar (por ejemplo, correos que se hagan pasar por tu empresa). Si el ataque usó tu dominio para enviar spam, revisa también la configuración del correo con la herramienta para comprobar SPF y DMARC.

Errores frecuentes

• Borrar ficheros sospechosos sin copia previa. Se pierde la información para saber cómo entraron.
• Cambiar solo la contraseña de WordPress. Si el acceso fue por FTP o por el panel del alojamiento, siguen abiertos.
• Restaurar y olvidarse. Sin actualizar ni cerrar la causa, la reinfección es lo habitual.
• Pedir la revisión a Google demasiado pronto. Alarga el tiempo con el aviso de peligro.
• Dejar pasar las 72 horas sin valorar si hay datos personales afectados.

Cómo comprobarlo

El diagnóstico gratuito de XEVIA revisa la página de inicio desde fuera, sin accesos y sin intrusión: versiones visibles, cabeceras de seguridad, certificado, librerías antiguas y correo del dominio. Es útil para ver qué puertas deja a la vista tu web, pero es orientativo y no detecta una infección ni sustituye la revisión del servidor. También puedes usar la herramienta para comprobar la seguridad de tu web.

Si necesitas ayuda para ordenar la respuesta, actualizar con copia previa y dejar la web vigilada, consulta la revisión de seguridad web de XEVIA o cuéntanos qué ha pasado. No nos envíes contraseñas por formulario: si hacen falta accesos, los acordamos por una vía segura.

Preguntas frecuentes

¿Puedo limpiar un WordPress hackeado con un plugin de seguridad?

Los escáneres ayudan a localizar ficheros sospechosos, pero no siempre lo encuentran todo ni explican cómo entraron. Úsalos como apoyo, no como única medida.

¿Cuánto tarda Google en quitar el aviso de web peligrosa?

Después de solicitar la revisión, Google indica que puede tardar de varios días a varias semanas. Te avisa por correo cuando la recibe y cuando termina.

¿Siempre hay que notificar a la AEPD?

No siempre. Hay que notificar cuando la brecha afecta a datos personales y supone un riesgo para las personas. Esa valoración la hace quien es responsable del tratamiento; la herramienta Asesora Brecha de la AEPD ayuda a hacerla.

¿Cómo evito que vuelva a pasar?

Actualizaciones al día, pocos plugins y bien mantenidos, contraseñas únicas con verificación en dos pasos, copias de seguridad probadas y una revisión periódica. Las causas más habituales de los ataques las repasamos en las vulnerabilidades web más comunes.

Este artículo es informativo y no sustituye el estudio de tu caso concreto. Para las cuestiones jurídicas, XEVIA cuenta con un equipo de abogados expertos en derecho digital que puede estudiarlo: cuéntanos tu caso.