Has entrado en WordPress para actualizar un plugin, publicar una entrada o revisar un pedido. Por casualidad, abres la sección de usuarios y encuentras una cuenta con permisos de administrador que no reconoces.
Puede tener un nombre aparentemente técnico, utilizar una dirección de correo extraña o parecer una cuenta de mantenimiento. Nadie de tu empresa recuerda haberla creado.
Lo inquietante es que la web sigue funcionando. No hay errores, la portada se muestra correctamente y los clientes pueden seguir navegando. ¿Es posible que alguien haya entrado sin que te hayas dado cuenta?
Encontrar un administrador desconocido es una señal que debes investigar, pero no significa automáticamente que tu WordPress haya sido hackeado. Podría tratarse de una cuenta antigua de una agencia, un desarrollador o un servicio técnico que ya no utilizas.
Sin embargo, si nadie puede justificar su existencia, debes considerar la posibilidad de que alguien haya obtenido acceso a tu web sin autorización.
La solución no consiste únicamente en eliminar ese usuario. Antes conviene averiguar cuándo apareció, comprobar si existen otros accesos desconocidos y determinar si se han realizado modificaciones en la instalación.
Depende de quién haya creado la cuenta y de si sigue teniendo acceso legítimo.
WordPress permite asignar distintos roles a los usuarios. Un autor puede publicar sus entradas, un editor dispone de permisos más amplios sobre los contenidos y un administrador puede controlar buena parte de la instalación.
En una instalación convencional, un administrador puede gestionar usuarios, modificar la configuración, instalar plugins y realizar cambios que afectan al funcionamiento de la página. En instalaciones multisitio, algunas capacidades quedan reservadas al superadministrador.
Esto significa que una cuenta con estos privilegios podría utilizarse para modificar la web o introducir otros mecanismos de acceso.
Imagina una pequeña empresa que encargó su web a una agencia hace cuatro años. Desde entonces ha cambiado dos veces de proveedor, pero nunca ha revisado los usuarios de WordPress.
Un día descubre cinco administradores.
Uno pertenece al responsable actual. Otro corresponde a una antigua agencia. Un tercero utiliza una dirección de correo de la empresa. Nadie reconoce los dos restantes.
No sería correcto asumir que todos son maliciosos. Tampoco sería prudente dejarlos activos simplemente porque la web funciona.
El primer objetivo es saber quién controla cada cuenta.
Antes de borrar usuarios, instalar herramientas adicionales o restaurar una copia de seguridad, conviene realizar unas comprobaciones iniciales.
En el escritorio de WordPress, entra en Usuarios → Todos los usuarios y filtra por administradores.
Revisa qué cuentas aparecen y contrástalas con las personas que han gestionado la web. Si la página fue desarrollada por una agencia, puede que dejara un usuario técnico para realizar tareas de mantenimiento.
También puedes encontrar cuentas pertenecientes a empleados que ya no trabajan en la empresa.
El nombre del usuario no demuestra su legitimidad. Una cuenta aparentemente técnica puede ser maliciosa, del mismo modo que un nombre extraño puede corresponder a una integración autorizada.
Si una cuenta pertenece a un proveedor, confirma que todavía necesita esos permisos. Si no los necesita, debe retirarse su acceso mediante un procedimiento controlado.
Si nadie reconoce al administrador, anota el nombre de usuario, el correo asociado, el rol, la fecha en que descubriste la cuenta y cualquier otro indicio relevante.
Si tienes registros de actividad disponibles, conserva también la información relacionada con su creación y sus accesos.
WordPress no ofrece necesariamente un historial completo de inicios de sesión en todas las instalaciones, así que la información disponible dependerá de las herramientas y registros que ya tengas.
La documentación oficial de WordPress sobre sitios hackeados recomienda documentar los síntomas y las actuaciones realizadas durante un incidente. Esa información puede resultar fundamental para reconstruir lo ocurrido.
No instales precipitadamente varios plugins de auditoría en una web potencialmente comprometida. Introducir nuevos componentes modifica la instalación y puede complicar la investigación.
Revisa si han aparecido plugins, páginas, entradas o cambios de configuración que nadie reconoce.
También merece la pena comprobar si han desaparecido usuarios legítimos, si se han modificado sus permisos o si existen avisos de seguridad del alojamiento.
Una cuenta desconocida acompañada de modificaciones no autorizadas exige una investigación más amplia que una cuenta aislada cuya procedencia todavía no has podido confirmar.
El alojamiento puede disponer de registros y herramientas que no están accesibles desde WordPress.
Comunícale qué has descubierto, cuándo lo detectaste y qué modificaciones has observado. Pregunta si puede conservar los registros disponibles y ayudarte a determinar el alcance del incidente.
Conviene hacer esto antes de ejecutar una restauración que pueda sobrescribir información útil.
Si no tienes acceso al alojamiento porque otra persona gestiona la cuenta, consulta qué hacer cuando tienes acceso a WordPress, pero no al hosting .
Si confirmas que una cuenta no está autorizada, debes impedir que siga utilizándose. Pero borrar el usuario sin investigar previamente puede hacerte perder información útil y no garantiza que hayas resuelto el incidente.
Hay tres situaciones que conviene distinguir.
Puede pertenecer a un antiguo empleado o proveedor. Una vez comprobada su identidad y confirmado que ya no necesita acceso, puedes retirarle los permisos o eliminarla.
Antes de eliminar un usuario, comprueba si tiene contenidos asignados. WordPress permite borrar sus publicaciones o atribuirlas a otra cuenta durante el proceso. Seleccionar la opción equivocada podría eliminar contenido que tu empresa necesita conservar.
Trátala como potencialmente comprometida.
Conserva primero la información relevante y una copia de la instalación. Después, restringe los accesos sospechosos mediante un procedimiento de respuesta al incidente, revisando también las sesiones que puedan permanecer abiertas.
Si no sabes realizar estas operaciones sin perder información, es preferible solicitar asistencia antes de modificar directamente la base de datos.
En ese caso, eliminar usuarios una y otra vez no resuelve el problema.
La instalación podría conservar un mecanismo de acceso no autorizado o seguir expuesta al problema que permitió crear la cuenta original. También es necesario investigar si existe otra persona o integración con permisos para crear usuarios.
Una cuenta que reaparece debe investigarse junto con los registros, los archivos y los accesos del alojamiento.
Encontrar y eliminar al administrador desconocido puede formar parte de la recuperación. No debería confundirse con haber completado la limpieza.
Sí. Si una instalación está comprometida, puede haber modificaciones que alteren la información mostrada en el escritorio.
Esto significa que la lista de usuarios de WordPress es un punto de partida, no necesariamente una representación fiable de todo lo que existe en una instalación sospechosa.
Si recibes una alerta sobre un administrador desconocido y después no consigues encontrarlo, no debes asumir automáticamente que se trataba de un falso positivo.
Podría haber sido eliminado, podría existir un problema de registro o podría haberse modificado la forma en que se muestran las cuentas.
Para aclararlo, un técnico puede contrastar los usuarios visibles con los registros y los datos de la instalación, revisar los permisos y comprobar si existen modificaciones no autorizadas.
En este punto también resulta importante examinar el resto de la web. Una cuenta aparentemente desaparecida no demuestra que se hayan eliminado todos los posibles mecanismos de acceso.
Que la página siga funcionando no descarta un compromiso de seguridad.
En una web empresarial, algunos cambios no autorizados pueden pasar desapercibidos durante bastante tiempo. Una persona podría seguir consultando el catálogo de tu tienda o enviando formularios sin observar ningún error visible.
Mientras tanto, podrían existir modificaciones en archivos, usuarios, páginas o servicios conectados.
No significa que todo eso haya ocurrido en tu instalación. Significa que comprobar exclusivamente la portada es insuficiente para descartar un incidente.
La documentación oficial de WordPress identifica la creación de usuarios sin autorización como uno de los posibles indicadores de compromiso.
Empieza por determinar si se han producido cambios que nadie de tu empresa reconoce.
Revisa los administradores existentes, el inventario de plugins, los contenidos publicados y los avisos del alojamiento. Si utilizas Google Search Console, comprueba también las alertas de seguridad y los usuarios con acceso.
En una tienda online, la investigación necesita tener en cuenta los pedidos, los métodos de pago y las integraciones.
La ausencia de pedidos sospechosos no demuestra que todos los componentes sean seguros. Del mismo modo, encontrar un pedido extraño no demuestra por sí solo que esté relacionado con el administrador desconocido.
Hay que contrastar las fechas y los cambios observados.
La existencia de una cuenta sospechosa no permite identificar por sí sola cómo se creó.
Existen diferentes posibilidades: un acceso legítimo que nunca se retiró, credenciales comprometidas, una vulnerabilidad en algún componente o un incidente que afecte al entorno donde se aloja la web.
Lo importante es no elegir una explicación por intuición.
Es una posibilidad que debe comprobarse especialmente cuando la empresa ha cambiado de proveedor o ha heredado una instalación que nadie documentó.
Pregunta quién administró anteriormente el proyecto, qué cuentas se utilizaron y qué accesos deberían seguir activos.
Conviene tener un inventario de las cuentas de cada proveedor y de los permisos concedidos. No es necesario mantener privilegios de administrador para cualquier persona que deba modificar ocasionalmente una entrada o subir una fotografía.
Si se ha comprometido una cuenta legítima, alguien podría haber utilizado sus privilegios para crear otro administrador.
Cambiar la contraseña de la cuenta original puede ser necesario, pero no sustituye la investigación de las modificaciones realizadas mientras estuvo comprometida.
Tampoco basta con proteger exclusivamente WordPress si los accesos al servidor o al correo de recuperación siguen expuestos.
Una vulnerabilidad en un plugin, tema u otro componente podría permitir determinadas acciones no autorizadas, dependiendo del problema concreto y de las condiciones necesarias para explotarlo.
Sin embargo, encontrar un plugin desactualizado no demuestra que haya sido la vía de entrada.
Para establecer esa relación es necesario comprobar versiones, fechas, vulnerabilidades documentadas y registros disponibles.
En WordPress hackeado aunque estaba actualizado: cómo puede pasar y qué comprobar explicamos con más detalle cómo investigar las posibles vías de entrada y por qué el estado actual de las actualizaciones no permite reconstruir por sí solo lo ocurrido.
No necesariamente.
Encontrar tu dirección IP asociada a una actividad que no reconoces puede resultar especialmente desconcertante, pero una coincidencia de direcciones no identifica por sí sola a la persona o al dispositivo responsable.
Antes de sacar conclusiones, hay que saber de dónde procede el registro, qué evento recoge y cómo obtiene la dirección IP.
Por ejemplo, cuando una web utiliza un proxy inverso o determinados servicios de protección, la configuración de los registros puede influir en qué dirección aparece asociada a una solicitud.
También podría existir un problema en un dispositivo, una sesión comprometida u otra circunstancia que necesite investigación.
Primero, determina si el registro corresponde realmente a la creación de la cuenta o simplemente a un acceso posterior. Son acontecimientos diferentes.
Después, contrasta la fecha, la hora y la dirección con los registros que pueda proporcionar el alojamiento.
Si sospechas que el dispositivo desde el que administras la web está comprometido, evita utilizarlo para restablecer las credenciales críticas. Revisa su seguridad y utiliza un equipo de confianza para recuperar las cuentas.
Las extensiones del navegador también merecen atención cuando existen indicios concretos de comportamiento sospechoso. Revisa las que tienes instaladas y sus permisos, especialmente si se ha detectado alguna extensión problemática.
No obstante, encontrar una extensión sospechosa y una IP coincidente no demuestra automáticamente una relación causal. Es necesario contrastar las evidencias.
La documentación oficial de WordPress recomienda revisar también la seguridad de los dispositivos utilizados para administrar el sitio, además de las credenciales y los archivos del servidor.
Si encuentras plugins que nadie recuerda haber instalado, documenta sus nombres y comprueba primero si pertenecen a alguna funcionalidad legítima de la web.
Un plugin desconocido puede ser una herramienta antigua, un componente instalado por una agencia o un indicio adicional de compromiso.
Tampoco es suficiente fijarse en que esté desactivado. La presencia de archivos desconocidos requiere una revisión adecuada, aunque no aparezcan como un plugin activo en el escritorio.
Hay componentes de WordPress que se cargan de forma distinta a los plugins convencionales, como los denominados must-use plugins. Por eso, una revisión técnica no debería limitarse a la lista principal de plugins instalados.
Si existen indicios de modificaciones no autorizadas, lo adecuado es comprobar la integridad de los archivos y su procedencia. El análisis debe incluir los componentes instalados, el tema y las ubicaciones relevantes de la instalación.
No borres directorios indiscriminadamente. Una eliminación incorrecta puede dejar funciones esenciales sin servicio, especialmente si tu tienda o tus formularios dependen de extensiones específicas.
Si se confirma que hay archivos maliciosos, continúa con nuestro procedimiento para eliminar malware en WordPress sin romper tu web .
No.
Un análisis sin detecciones es una información positiva, pero no equivale a una garantía de que la instalación esté completamente limpia.
Las herramientas de seguridad tienen distintas capacidades. Algunas examinan archivos del servidor; otras realizan comprobaciones externas o comparan elementos conocidos. Ninguna debe considerarse una prueba universal de ausencia de compromiso.
La propia documentación de WordPress distingue diferentes métodos de análisis y explica que pueden complementarse durante la investigación.
Si previamente encontraste un administrador no autorizado, debes investigar ese hecho aunque una herramienta no detecte archivos maliciosos.
También es importante comprobar cuándo se realizó el análisis.
Un resultado obtenido después de eliminar ciertos archivos no explica necesariamente qué había antes ni cómo se introdujo.
El alcance dependerá de los síntomas y del acceso técnico disponible, pero una investigación puede requerir contrastar la integridad de los archivos, comprobar usuarios y privilegios, revisar la base de datos y analizar los registros del servidor.
El objetivo es buscar evidencias que permitan responder tres preguntas: qué ocurrió, hasta dónde llegó el acceso y si sigue existiendo la causa que permitió el incidente.
Instalar un segundo o tercer antivirus puede aportar información adicional en algunas circunstancias, pero no sustituye ese diagnóstico.
Si, además de encontrar un administrador sospechoso, descubres que otra persona tiene acceso a Google Search Console, debes investigar ambos acontecimientos.
Son sistemas diferentes. Eliminar un usuario de WordPress no elimina sus permisos en Search Console.
Una persona con acceso de propietario a Search Console puede consultar información sobre la presencia de tu sitio en Google, conceder permisos a otras personas y realizar determinadas acciones sobre la propiedad.
Accede a tu propiedad y entra en Ajustes → Usuarios y permisos.
Revisa las cuentas que aparecen y distingue entre usuarios con acceso restringido, usuarios con acceso completo y propietarios.
Si encuentras una cuenta desconocida, comprueba primero que no pertenece a una agencia o colaborador autorizado.
Cuando confirmes que se trata de un acceso no autorizado, puedes revocarlo. No obstante, hay una diferencia importante entre retirar los permisos de un usuario y eliminar a un propietario verificado.
Google permite verificar una propiedad mediante distintos métodos. Si una persona ha utilizado un método de verificación que continúa presente en tu web o en los DNS, podría recuperar el acceso después de que la elimines de Search Console.
Por eso es importante revisar también los métodos y tokens de verificación asociados.
Antes de eliminar un token, comprueba que realmente pertenece al usuario sospechoso: algunos métodos de verificación también se utilizan en otros servicios de Google y retirarlos incorrectamente podría afectar a integraciones legítimas.
Consulta el procedimiento oficial de Google para gestionar propietarios, usuarios y permisos en Search Console .
Un incidente de seguridad puede afectar al contenido que Google encuentra en tu dominio.
Desde Search Console, revisa el informe de problemas de seguridad y las páginas indexadas que no reconozcas.
Por ejemplo, podrías encontrar páginas que nadie de tu empresa ha publicado, títulos que no pertenecen a tu negocio o contenidos en otros idiomas.
Eso no significa que cualquier URL desconocida sea maliciosa. WordPress, los plugins y determinadas configuraciones pueden generar páginas que el propietario no conoce.
Lo que debes investigar son las páginas cuya existencia no puedes justificar, especialmente si aparecen junto a otros indicios de intrusión.
Si Google ha señalado problemas de seguridad, corrige primero el incidente. Después, cuando la instalación esté recuperada y hayas comprobado que el contenido afectado ya no está presente, utiliza el procedimiento de revisión correspondiente.
No necesariamente. Un bloqueo o desafío de Cloudflare, por sí solo, no demuestra que WordPress esté comprometido.
Puede estar relacionado con reglas de seguridad, una configuración incorrecta o una medida aplicada por el administrador.
Sin embargo, si el bloqueo aparece al mismo tiempo que administradores desconocidos, plugins no autorizados y modificaciones de contenido, es necesario investigar el conjunto de síntomas.
En ese escenario, conviene averiguar quién controla la cuenta de Cloudflare, qué reglas están activas y si el proveedor de hosting ha detectado actividad sospechosa.
También es importante determinar si conservas una vía de acceso al servidor independiente del propio WordPress.
No desactives todas las medidas de seguridad para conseguir que la página vuelva a cargar. Podrías dejar expuesta una instalación que todavía no se ha recuperado.
Son medidas necesarias para proteger los accesos, pero no garantizan que desaparezcan las modificaciones realizadas durante un posible compromiso.
Si alguien ha obtenido privilegios de administrador y ha utilizado esos permisos para introducir cambios en la instalación, cambiar tu contraseña no revierte esas modificaciones.
Cuando se confirma un acceso no autorizado, la recuperación debe contemplar tanto las credenciales como los elementos que hayan podido verse afectados.
Eso puede incluir las cuentas administrativas de WordPress, el alojamiento, los accesos a archivos y los servicios externos conectados.
También es importante revisar las sesiones existentes. Cambiar una contraseña y cerrar las sesiones son operaciones distintas, por lo que deben contemplarse ambas dentro del procedimiento de recuperación.
La autenticación en dos pasos añade una barrera de seguridad especialmente útil para las cuentas con privilegios elevados, pero tampoco sustituye las actualizaciones ni la revisión de los accesos.
La guía oficial de WordPress para sitios hackeados incluye recomendaciones sobre renovación de credenciales, controles de acceso y sesiones.
La respuesta depende del alcance del incidente, del estado de las copias disponibles y de cuánto contenido haya cambiado desde que se realizó cada backup.
Restaurar una copia anterior puede permitir recuperar una instalación, pero necesitas comprobar que realmente es anterior al compromiso.
Si no sabes cuándo apareció el administrador desconocido, tampoco puedes dar por hecho que el backup de la semana pasada sea seguro.
Por otro lado, una reinstalación de WordPress no garantiza que desaparezcan todas las modificaciones no autorizadas. Deben tenerse en cuenta también los componentes y los datos que se conserven, además de la causa del incidente.
En una tienda online es especialmente importante valorar las consecuencias comerciales de la restauración.
Imagina que el administrador desconocido apareció hace dos semanas y que durante ese periodo has recibido pedidos, registrado nuevos clientes y actualizado existencias.
Restaurar directamente una copia de hace tres semanas podría hacerte perder información legítima.
Antes de tomar esa decisión, es necesario determinar qué datos deben conservarse y cómo se recuperarán de forma segura.
No hagas una restauración sobre la tienda en producción sin disponer de un procedimiento que contemple los pedidos y los cambios posteriores a la copia.
Tampoco exportes e importes indiscriminadamente toda la base de datos comprometida en una instalación nueva: podrías trasladar modificaciones que todavía no has identificado.
En nuestro artículo sobre cómo saber si tus copias de seguridad de WordPress funcionan explicamos por qué disponer de varios archivos de backup no garantiza que puedas recuperar correctamente una web empresarial.
Una vez que hayas retirado los accesos no autorizados y corregido los problemas identificados, necesitas comprobar que la recuperación ha sido efectiva.
No existe una única prueba que permita garantizar la ausencia absoluta de cualquier problema de seguridad.
La verificación debe ser proporcional a los síntomas detectados.
Si únicamente existía una cuenta antigua cuya legitimidad se ha podido confirmar, probablemente el problema se resuelva con una revisión de permisos y una gestión adecuada de los accesos.
Si, por el contrario, se han detectado cuentas ocultas, archivos desconocidos o modificaciones en Search Console, es necesario completar una investigación técnica.
El proceso debería permitirte responder a estas cuestiones:
Cuando no sea posible responder a las preguntas esenciales, no conviene declarar resuelto el incidente únicamente porque haya desaparecido la cuenta desconocida.
La recuperación no termina necesariamente cuando desaparecen los síntomas visibles.
Durante el periodo posterior conviene prestar especial atención a los nuevos usuarios, los cambios inesperados y las alertas del alojamiento.
Revisa también que los formularios, el correo y las integraciones de la web funcionen correctamente. Si tienes WooCommerce, comprueba el proceso de compra y los estados de los pedidos.
Una web puede estar técnicamente accesible y mantener errores introducidos durante una reparación.
Si necesitas abordar las medidas de protección posteriores, consulta cómo recuperar y reforzar un WordPress tras un hackeo .
Hay situaciones en las que la comprobación inicial puede realizarla el propio responsable de la web. Identificar usuarios, confirmar qué proveedores mantienen acceso o revisar avisos de Search Console son tareas que no siempre requieren conocimientos técnicos avanzados.
La situación cambia cuando existen indicios de una intrusión que afecta a distintos componentes.
Por ejemplo, si el administrador sospechoso vuelve a aparecer, descubres modificaciones desconocidas en los archivos o no consigues determinar qué accesos siguen activos, es recomendable recurrir a una investigación especializada.
También es importante contar con ayuda cuando no existe una copia de seguridad fiable, la instalación comparte alojamiento con otras webs o la intervención podría afectar a pedidos y datos empresariales.
En estos casos, una reparación apresurada puede complicar el diagnóstico y provocar pérdidas adicionales.
El objetivo debe ser recuperar el control de la instalación, comprobar el alcance del incidente y corregir los problemas identificados antes de considerar que la web vuelve a estar en condiciones de funcionamiento.
Después de resolver el incidente, conviene revisar cómo se gestionan los permisos de WordPress.
Una empresa no necesita numerosos administradores para mantener su página. Necesita que cada persona tenga los permisos adecuados para realizar su trabajo y que esos permisos se retiren cuando dejen de ser necesarios.
Establecer revisiones periódicas de usuarios permite detectar cuentas antiguas, colaboradores que ya no trabajan en el proyecto y accesos que nadie sabe justificar.
También conviene documentar qué proveedor administra cada servicio: WordPress, hosting, dominio, DNS y herramientas externas.
Esa documentación es especialmente importante cuando cambias de agencia, contratas mantenimiento o incorporas a una persona responsable de la web.
Encontrar una cuenta de administrador que nadie reconoce no significa necesariamente que tu empresa haya sufrido un ataque. Pero merece una explicación.
Y si finalmente descubres que esa cuenta fue creada sin autorización, la pregunta importante no será únicamente cómo eliminarla, sino si alguien conserva todavía el control de alguna parte de tu web.
La seguridad no termina al resolver una incidencia. Un mantenimiento WordPress para empresas ayuda a revisar accesos, actualizaciones y copias de seguridad de forma continua.
