Cómo saber si tu web WordPress ha sido hackeada (y qué hacer)

Un ataque a tu Web no es solo un problema técnico: afecta a ventas, reputación y posicionamiento.

Si gestionas una tienda online, un sitio corporativo o la web de tu negocio en WordPress, esta guía te ayuda a detectar señales, confirmar el ataque, actuar con rapidez y prevenir futuros incidentes. Es un procedimiento práctico y ordenado para minimizar daños y recuperar el control de tu Página Web.

0. Checklist rápida (por si vas con prisa)

1. Aísla y congela: activa un modo mantenimiento (503) o restringe el acceso a tu Web por IP.
2. Haz una copia de todo (archivos y base de datos) antes de tocar nada.
3. Cambia contraseñas desde un equipo limpio (hosting, WordPress, FTP/SSH, base de datos) y revoca sesiones.
4. Revisa usuarios con rol administrador y elimina los sospechosos.
5. Restaura una copia sana o reinstala el núcleo de WordPress y limpia archivos alterados.
6. Actualiza tema, plugins y PHP.
7. Cierra la brecha (plugin vulnerable, tema nulo, formularios sin protección, etc.).
8. Endurece la seguridad (WAF, 2FA, copias de seguridad automáticas, monitorización).

1. Síntomas claros de una web WordPress hackeada

• Redirecciones extrañas a páginas de spam, casinos, cripto o farmacéuticas.
• Contenido inyectado (enlaces ocultos, textos en otro idioma, pop-ups no configurados).
• Alertas del navegador o de Google (sitio engañoso, “este sitio puede haber sido comprometido”).
• Picos de recursos en el servidor, correos rebotados por spam, o envíos masivos desde tu dominio.
• Usuarios administradores que no creaste, cambio de roles o contraseñas que “no recuerdas”.
• Archivos fuera de lugar (PHP dentro de /uploads/, .ico o .zip sospechosos, cambios recientes en .htaccess o wp-config.php).
• Código ofuscado (eval(base64_decode(...)), cadenas largas sin sentido) en temas o plugins.
• Programaciones raras en tareas cron, o ganchos inesperados en functions.php.

2. Cómo confirmar el ataque (sin perder la cabeza)

• Google Search Console → “Problemas de Seguridad”.
• Comparación de integridad: reinstala el núcleo (core) de WordPress sobreescribiendo archivos oficiales; cualquier diferencia relevante en /wp-admin/ o /wp-includes/ suele ser maliciosa.
• Registros del servidor (error/access logs) → busca oleadas de peticiones a admin-ajax.php, xmlrpc.php o URLs raras.
• Listado de archivos por fecha: ordena por “modificado recientemente” y localiza cambios anómalos.
• Escaneo con una herramienta fiable (a nivel de servidor o plugin) para detectar patrones conocidos de malware.
• Usuarios y roles: inventarios de administradores, permisos elevados inesperados.

3. Qué hacer de inmediato (primeras 24 horas)

1. Aísla el sitio
   • Modo mantenimiento con código 503 o restricción temporal por IP desde el panel/.htaccess:
   • Evita que el ataque se siga propagando o que Google indexe spam proveniente de tu Web.
2. Copia de seguridad “forense”
   • Descarga archivos y base de datos tal como están. Sirve para análisis posterior y por si algo sale mal durante la limpieza.
3. Ponte en contacto con tu hosting
   • Muchos proveedores de alojamiento ofrecen escaneos, WAF (Web Application Firewall) o incluso restauraciones. También pueden confirmar cuáles han sido los vectores de ataque (IP, rutas, procesos).
4. Rotación de credenciales y sesiones
   • Cambia contraseñas de panel de hosting, WordPress, FTP/SSH, base de datos.
   • Cierra todas las sesiones activas en WordPress.
   • Regenera las claves y SALTs en wp-config.php para invalidar cookies de acceso.
5. Usuarios y accesos
   • Elimina administradores desconocidos y baja roles inflados.
   • Activa 2FA (Autenticación en dos factores; la 2FA añade un segundo paso de verificación al inicio de sesión, además de la contraseña. Así, aunque alguien robe tu clave, no podrá entrar sin ese segundo factor) para administradores.

4. Limpieza y recuperación

Opción A — Restaurar una copia “sana” y parchear

• Si tienes una copia de seguridad anterior al ataque, restáurala.
• Actualiza inmediatamente WordPress, tema y plugins.
• Elimina el plugin/tema que abrió la brecha o sustitúyelo por uno mantenido.
• Verifica que la copia restaurada no incluya el mismo vector (por ejemplo, un plugin desactualizado).

Opción B — Limpieza manual (si no hay backup válido)

1. Reinstala el núcleo de WordPress sobreescribiendo archivos originales.
2. Temas y plugins
   • Elimina todo lo que no uses.
   • Descarga versiones oficiales desde su fuente y sobreescribe.
   • Revisa functions.php, index.php y archivos PHP en carpetas inusuales.
3. Uploads
   • No deberían contener PHP. Si hay, investiga; suele ser puerta trasera.
4. .htaccess y wp-config.php
   • Compara con versiones limpias; busca redirecciones, reglas extrañas o inclusiones de archivos desconocidos.
5. Base de datos
   • Inspecciona wp_options (opciones autoload con cadenas largas), wp_posts (inyección de enlaces), wp_users y wp_usermeta (roles).
6. Reescanea todo tras la limpieza.
7. Vuelve a activar el sitio cuando esté estable y monitorizado.

Consejo práctico: si el tiempo o la complejidad te superan, externaliza. A menudo, la vía más eficiente (y barata) es una limpieza profesional con garantía y un mantenimiento continuo.

5. Cierra la brecha: cómo evitar que vuelva a ocurrir

• Actualizaciones al día de WordPress, tema y plugins. Mantén solo lo necesario.
• Nada de temas/plugins “nulled”: son un atajo directo al malware.
• Principio de mínimo privilegio:
  • Solo administradores imprescindibles.
  • Accesos de FTP/SSH individuales y con 2FA si es posible.
• Protección de acceso
  • Limita intentos de login, activa 2FA, considera restringir o deshabilitar XML-RPC si no lo usas.
• Cortafuegos (WAF) y reglas específicas para WordPress (bloqueo de patrones maliciosos, hardening de admin-ajax.php y /wp-login.php).
• Copias de seguridad automáticas (diarias, almacenamiento externo, política 3-2-1) con pruebas de restauración.
• Permisos de archivos correctos (típicamente 644 archivos / 755 directorios) y edición de archivos deshabilitada en el panel (DISALLOW_FILE_EDIT).
• PHP soportado (8.x) y módulos seguros; elimina versiones EOL.
• Monitorización de cambios en archivos, uptime y listas negras de correo/dominios.
• Cabeceras de seguridad (HSTS, X-Frame-Options, CSP) cuando proceda.
• Entorno de staging para probar cambios antes de producción.

6. Señales de que ya vas por buen camino

• Desaparecen redirecciones y spam.
• Google Search Console levanta las advertencias tras la revisión.
• El servidor vuelve a consumos normales y no hay envíos de correo sospechosos.
• Los escaneos salen limpios en repetidas comprobaciones.
• No hay reaparición de administradores o archivos extraños.

7. ¿Cuándo pedir ayuda profesional?

• No tienes una copia de seguridad para restaurar o la caída te está costando ventas.
• El ataque reaparece tras una limpieza básica.
• Detectas puertas traseras a nivel de servidor o múltiples webs del mismo hosting afectadas (indicativo de cuenta comprometida).

Preguntas rápidas

¿Basta solo con restaurar una copia de seguridad de mi Web?

Solo si además parcheas el origen. Si el vector que ha producido el ataque sigue abierto, volverá a ocurrir.

¿Un plugin de seguridad lo arregla solo?

Ayuda, pero no sustituye una limpieza completa.

¿Puedo esperar a “ver qué pasa”?

Cuanto más tardes, más daño (SEO, reputación, listas negras, robo de datos).

Si confirmas que la web ha sido comprometida, el siguiente paso suele pasar por limpiar el malware, validar una copia de seguridad útil y seguir una guía para recuperar y reforzar WordPress tras un hackeo. Si necesitas soporte directo, aquí puedes ver nuestros servicios especializados.