Si tienes un WordPress hackeado y no sabes qué hacer, lo primero es evitar tomar decisiones precipitadas.
Una redirección a una web extraña, un usuario administrador que no reconoces, páginas de spam apareciendo en Google, archivos desconocidos, un aviso de malware o incluso la suspensión de la cuenta por parte del hosting son señales que pueden indicar que la web ha sido comprometida.
En ese momento es habitual intentar solucionar el problema borrando archivos, instalando un plugin de seguridad o restaurando inmediatamente una copia de seguridad.
Pero hacerlo sin saber qué ha ocurrido puede dificultar el diagnóstico o provocar que la web vuelva a infectarse.
El objetivo no debería ser únicamente conseguir que la web vuelva a verse bien.
Hay que averiguar qué ha ocurrido, limpiar la infección y, especialmente, cerrar la puerta por la que entró.
WordPress hackeado: qué hacer primero
La propia documentación de WordPress recomienda comenzar documentando lo que estamos observando: qué síntomas han aparecido, cuándo se detectaron y qué cambios se realizaron recientemente en la web.
También recomienda comprobar el entorno con herramientas de análisis y contactar con el proveedor de hosting, ya que puede disponer de información adicional o haber detectado actividad sospechosa. WordPress.org
Antes de empezar a eliminar archivos, anota:
- cuándo detectaste el problema;
- qué comportamiento extraño observaste;
- si el hosting te ha enviado algún aviso;
- si Google Search Console ha mostrado alguna alerta;
- qué plugins o temas se actualizaron recientemente;
- si se instalaron nuevos plugins;
- quién tiene acceso a WordPress y al hosting.
Esta información puede ser muy útil para encontrar posteriormente el origen.
1. No borres inmediatamente todo lo que parezca sospechoso
Encontrar un archivo con código extraño y eliminarlo puede parecer la solución.
Pero ese archivo puede ser solamente una consecuencia.
Una infección puede haber modificado diferentes archivos, creado nuevos usuarios, introducido tareas programadas o dejado mecanismos que permitan recuperar el acceso posteriormente.
Eliminar únicamente lo que resulta visible puede hacer que la web aparentemente vuelva a funcionar mientras el origen continúa presente.
Antes de limpiar es importante conservar suficiente información para poder investigar.
2. Haz una copia antes de empezar a limpiar
Puede parecer contradictorio:
¿Para qué quiero una copia de una web infectada?
Porque representa el estado del sistema en el momento del incidente.
WordPress recomienda realizar una instantánea antes de comenzar la limpieza incluso aunque esté comprometida. Esa copia puede resultar útil si durante la intervención se elimina algo necesario o posteriormente necesitamos comprobar qué había cambiado. WordPress.org
Evidentemente, esa copia no debe considerarse automáticamente una copia limpia para restaurar en producción.
Una cosa es conservarla.
Otra muy diferente es utilizarla como solución.
3. Cambia los accesos, pero no te limites a la contraseña de WordPress
Cambiar únicamente la contraseña del administrador puede ser insuficiente.
Una instalación WordPress puede tener distintos puntos de acceso:
🔐 WordPress
🔐 Hosting
🔐 FTP/SFTP
🔐 Base de datos
🔐 Panel del servidor
🔐 Otros usuarios administradores
La documentación oficial recomienda revisar globalmente los controles de acceso y utilizar contraseñas largas, únicas y complejas. También contempla invalidar sesiones activas renovando las claves de seguridad de WordPress. WordPress.org
Una vez que la web esté limpia, conviene volver a cambiar las credenciales relevantes.
4. No restaures una copia sin comprobar primero qué ocurrió
Restaurar el backup de ayer puede conseguir que la web vuelva a funcionar.
¿Problema solucionado?
No necesariamente.
Si la vulnerabilidad continúa presente, el atacante puede volver a entrar.
Y si la copia ya estaba comprometida, estaremos restaurando también la infección.
Antes de confiar en una copia debemos conocer:
- cuándo comenzó aproximadamente el problema;
- de qué fecha es la copia;
- qué versiones de WordPress, plugins y tema contiene;
- qué vulnerabilidad pudo permitir el acceso.
Una restauración puede formar parte de la recuperación, pero restaurar no sustituye al diagnóstico.
5. Revisa usuarios, plugins, temas y archivos
Una vez contenido el problema comienza la investigación.
Algunos puntos especialmente importantes son:
Usuarios
Comprueba si existen administradores que no reconoces.
No te limites a eliminarlos: intenta averiguar cuándo aparecieron y cómo pudieron crearse.
Plugins y temas
Revisa si existen plugins que no recuerdas haber instalado, componentes abandonados o software que lleva tiempo sin actualizarse.
Elimina además plugins y temas que realmente no utilices.
Archivos
WordPress identifica archivos como .htaccess, index.php, header.php o determinados archivos del tema como puntos que pueden ser modificados durante una infección. WordPress.org
Esto no significa que cualquier modificación en ellos sea malware. Hay que comparar y analizar.
6. Actualiza WordPress, plugins y temas cuando la instalación esté limpia
Una vez eliminada la infección hay que cerrar posibles vías de entrada.
La guía de seguridad oficial de WordPress recomienda mantener WordPress actualizado y explica que las versiones antiguas quedan más expuestas cuando las vulnerabilidades conocidas se hacen públicas. WordPress Developer Resources
Esto se aplica también a plugins y temas.
Pero hay una diferencia importante:
actualizar una web no equivale a limpiar una web infectada.
Si ya existe malware, actualizar plugins esperando que desaparezca no es una estrategia de recuperación.
Primero hay que controlar y limpiar el incidente.
Después hay que corregir las vulnerabilidades y actualizar.
7. No pienses que instalar un plugin de seguridad termina el trabajo
Un plugin de seguridad puede ayudar a detectar cambios, bloquear determinados ataques, analizar archivos o reforzar accesos.
Es una herramienta.
No es una garantía de que una instalación que ya ha sido comprometida haya quedado limpia.
WordPress recomienda combinar diferentes tipos de análisis y señala que ninguna única solución representa por sí sola el mejor enfoque. WordPress.org
Si la web ha sufrido una infección importante, debemos verificar que no permanezcan archivos maliciosos, usuarios desconocidos, modificaciones en base de datos o mecanismos de reinfección.
¿Cómo sé si mi WordPress ha sido hackeado?
Algunos síntomas son bastante evidentes:
⚠️ La web redirige a páginas extrañas.
⚠️ Aparecen contenidos que no has publicado.
⚠️ Google muestra una advertencia.
⚠️ El hosting bloquea la cuenta por malware.
⚠️ Aparecen administradores desconocidos.
⚠️ No puedes acceder a WordPress.
⚠️ Se generan páginas de spam.
⚠️ La web comienza a enviar correos que tú no has configurado.
WordPress considera señales claras de compromiso situaciones como que Google incluya la web en una lista de bloqueo, que el hosting la desactive, que sea marcada por distribuir malware o que aparezcan acciones no autorizadas como nuevos usuarios. WordPress.org
Un síntoma aislado como que la web vaya lenta, sin embargo, no demuestra por sí mismo que haya sido hackeada.
¿Y si simplemente restauro la última copia de seguridad?
Puede ser una buena opción si dispones de una copia realmente limpia y sabes qué provocó el problema.
Pero después de restaurarla tendrás que cerrar la vulnerabilidad.
De lo contrario puedes encontrarte exactamente en la misma situación horas o días después.
Esta es precisamente una de las razones por las que las copias de seguridad forman parte de un buen mantenimiento WordPress, pero no deberían ser la única medida de seguridad.
¿Cómo evitar que vuelva a ocurrir?
No existe una instalación conectada a Internet con riesgo cero.
Pero sí podemos reducir mucho la superficie de ataque.
Entre otras medidas:
- mantener WordPress actualizado;
- actualizar plugins y temas;
- eliminar componentes que no se utilizan;
- utilizar contraseñas únicas;
- limitar accesos;
- utilizar autenticación de dos factores cuando proceda;
- disponer de copias externas;
- revisar periódicamente la instalación;
- utilizar únicamente software procedente de fuentes fiables.
La guía oficial de endurecimiento de WordPress también recomienda mantener el software actualizado y prestar especial atención a permisos, accesos y componentes instalados. WordPress Developer Resources
¿Necesitas recuperar una web WordPress?
Si una web ha sido comprometida, lo importante no es únicamente eliminar aquello que se ve.
Hay que entender qué ha ocurrido, qué se ha modificado y cómo evitar que vuelva a suceder.
En Demonlab ofrecemos soporte WordPress para analizar y resolver incidencias concretas.
Y para empresas que prefieren reducir el riesgo de encontrarse con problemas sin seguimiento, el servicio de mantenimiento WordPress incluye seguimiento técnico, actualizaciones y copias de seguridad externas.
Si no tienes claro qué está ocurriendo en tu web, el primer paso debería ser diagnosticar el problema antes de empezar a borrar o modificar cosas.