WordPress hackeado: cómo saberlo, qué hacer y cómo evitarlo

Descubrir que tienes un WordPress hackeado da un vuelco al estómago, sobre todo si esa web es por donde entran tus clientes. La buena noticia es que la mayoría de los ataques a WordPress no van contra ti: son bots automáticos que rastrean miles de webs buscando la misma vulnerabilidad conocida, entran, dejan un fichero y siguen. La mala es que, si no lo detectas pronto, Google puede marcar tu sitio y perder ese aviso cuesta semanas.

Esta guía va al grano: cómo confirmar que estás infectado, qué hacer en las primeras horas, cómo se limpia de verdad, cómo pedirle a Google que revise tu web y qué medidas evitan que se repita. También, qué cosas no te van a salvar aunque te las vendan.

Señales de un WordPress hackeado que puedes comprobar hoy mismo

Muy pocas infecciones se anuncian con una pantalla negra y una calavera. Lo habitual es lo contrario: la web se ve perfecta para ti mientras sirve spam a quien llega desde Google o redirige solo a los visitantes de móvil. Por eso hay que mirar señales concretas, no la impresión general.

• Busca tu web en Google con site:tudominio.es. Si aparecen páginas que tú no has creado —farmacia, casinos, contenido en otro idioma—, problema confirmado.
• Entra desde el móvil con datos, no con tu wifi. Muchos redirectores solo se activan para visitantes nuevos.
• Revisa los administradores en Usuarios → Todos. Un administrador que no reconoces es la señal más clara que existe.
• Mira las fechas de modificación de los ficheros por FTP. Si index.php o el tema cambiaron un martes a las 4 de la mañana, ahí tienes la fecha del ataque.
• Comprueba el correo. Si el hosting te avisa de envíos masivos o tu dominio empieza a rebotar correos, tu servidor está mandando spam.
• Abre Google Search Console. El apartado de Seguridad y acciones manuales dirá si Google ya ha detectado contenido malicioso.

Para ordenarlo, esta tabla relaciona el síntoma con lo que suele haber detrás y con la prisa que corre:

Un detalle que confunde: que tu antivirus no diga nada es irrelevante. El problema está en el servidor, no en tu portátil.

Las primeras dos horas: qué hacer antes de tocar nada

El instinto es empezar a borrar ficheros sospechosos. Es justo lo que no hay que hacer, porque destruyes las pruebas de por dónde entraron y en dos semanas vuelven por el mismo sitio.

1. Haz una copia completa del desastre. Ficheros y base de datos, tal como están. Sí, contiene el malware; da igual, la necesitas para investigar y para no perder contenido si la limpieza sale mal.
2. Pon la web en mantenimiento si vende o recoge datos de clientes. Un «volvemos en unas horas» hace menos daño que una tienda que está robando tarjetas.
3. Cambia las contraseñas en este orden: panel del hosting, FTP/SFTP, base de datos y, por último, los usuarios de WordPress. Si empiezas por WordPress y el atacante conserva el acceso FTP, no has hecho nada.
4. Avisa a tu proveedor de hosting. Muchos tienen registros de acceso con la IP y la hora exactas, y algunos ofrecen limpieza incluida. Esa información no la consigues por tu cuenta.
5. Anota la fecha. La necesitarás para elegir qué copia restaurar.

Si manejas datos personales —una tienda, una zona privada, un formulario con historiales—, una brecha de seguridad tiene obligaciones legales en España. La Agencia Española de Protección de Datos fija un plazo de 72 horas para notificar determinadas brechas. Conviene consultarlo el mismo día, no la semana siguiente.

Cómo limpiar un WordPress hackeado paso a paso

Hay tres caminos para limpiar un WordPress hackeado, y el que te toque depende casi por completo de una sola cosa: si tienes una copia de seguridad anterior al ataque.

Restaurar desde copia de seguridad

Es la vía rápida, con una trampa: la copia de ayer puede estar ya infectada, porque las puertas traseras suelen pasar semanas dormidas antes de activarse. Por eso importa el histórico y no una única copia que se sobrescribe cada noche. Restaura y repite las comprobaciones del primer apartado antes de dar nada por bueno.

Limpieza manual cuando no hay copia limpia

El procedimiento razonable, y el que sigue la documentación oficial de WordPress sobre sitios comprometidos, es sustituir todo lo que se puede sustituir y revisar a mano solo lo que es tuyo:

• Borra por completo /wp-admin/ y /wp-includes/ y súbelos limpios desde una descarga nueva de WordPress. Borra primero, no sobrescribas, o los ficheros del atacante se quedan.
• Reinstala plugins y tema desde su origen oficial. Un plugin de pago sin licencia activa suele ser el punto de entrada.
• Revisa wp-config.php y .htaccess línea a línea: son cortos y ahí se esconde casi siempre el redirector.
• Busca ficheros .php dentro de /wp-content/uploads/. Ahí solo debería haber imágenes y documentos.
• En la base de datos, revisa la tabla de usuarios, las opciones siteurl y home, y busca etiquetas <script> en entradas y páginas.
• Cambia las claves de seguridad (salts) de wp-config.php: cierra todas las sesiones abiertas, incluida la del atacante.

Y seamos claros: si nunca has tocado un FTP ni una base de datos, no es el momento de aprender. Una limpieza a medias es peor que no hacer nada, porque da sensación de resuelto mientras la puerta trasera sigue abierta.

Avisar a Google y salir de la lista negra

Limpiar la web no borra el aviso de Google. Ese trámite es aparte y hay que pedirlo expresamente desde Search Console, en el apartado de Seguridad y acciones manuales, con el botón de solicitar revisión. Google explica el procedimiento completo en su guía oficial para sitios hackeados.

Dos avisos. No solicites la revisión hasta estar seguro de que la web está limpia: una solicitud rechazada alarga los plazos. Y las páginas de spam que Google llegó a indexar seguirán apareciendo un tiempo; devuelven un 404 y acaban cayendo solas.

Si el ataque llegó a afectar a tu posicionamiento, la recuperación no es inmediata: como contamos en cómo aparecer en Google, Google necesita volver a rastrear, comprobar y confiar, y eso lleva semanas.

Cuánto cuesta arreglar una web hackeada en España

Seamos honestos en lugar de darte una cifra bonita: quien te ponga precio cerrado sin haber mirado la web se lo está inventando. El trabajo puede ser de veinte minutos o de dos días, y eso no se sabe hasta abrir el servidor. Lo que sí se puede anticipar es qué encarece la factura:

• No tener copias de seguridad. Con diferencia, lo que más multiplica las horas.
• Que la infección sea antigua. Cuanto más lleva dentro, más ficheros toca y menos claro está qué es original.
• Una web muy desactualizada, con plugins abandonados o un tema modificado a mano sin tema hijo.
• Tiendas online. Revisar pedidos, pasarela y datos de clientes es trabajo aparte de la limpieza.
• Que Google ya te haya marcado: se suma la revisión y el seguimiento posterior.

Merece la pena una comparación. Nuestro mantenimiento web WordPress cuesta 1 € al día e incluye copias diarias con las últimas 30 guardadas, actualizaciones de WordPress, plugins y temas, escaneos diarios de seguridad, restauración y hosting opcional, sin permanencia. No incluye SEO, licencias, migraciones de otros proveedores ni soporte personalizado. Una limpieza de urgencia, en cambio, son horas técnicas que se pagan una vez y no evitan la siguiente. El desglose de gastos fijos está en cuánto cuesta mantener una página web.

Cómo evitar que vuelva a pasar

Casi todos los ataques entran por una de estas tres puertas: un plugin desactualizado, una contraseña débil o un hosting compartido mal aislado. Las medidas que cambian algo son pocas y aburridas.

Si tu web vive en un compartido muy barato con cientos de cuentas por servidor, revisa esa parte: un hosting mal aislado permite que la infección de otra web del mismo servidor termine en la tuya. En nuestra página de hosting en España están los recursos de cada plan.

Lo que no te va a salvar

Cuando alguien sufre un ataque aparecen enseguida los vendedores de tranquilidad. Estas cuatro ideas circulan mucho y ninguna se sostiene:

• «Instálate un plugin de seguridad y listo». Ayudan a detectar y a poner barreras, pero no limpian una infección existente ni sustituyen a las actualizaciones. Un plugin de seguridad sobre un WordPress de hace tres años es un candado en una puerta sin marco.
• «Con una web a medida esto no pasa». Pasa igual: cambia el tipo de vulnerabilidad, no su existencia. El debate de plataformas lo tratamos en tipos de páginas web.
• «Mi web es pequeña, nadie va a atacarla». Los bots no eligen víctimas: escanean rangos de IP enteros. Tener 40 visitas al mes no te hace invisible, te hace más fácil.
• «Cambio de hosting y arreglado». Si migras la web infectada, migras la infección. Cambiar de hosting es útil después de limpiar, no en lugar de limpiar.

Y desconfía de quien te prometa dejarte la web «blindada» para siempre por una cuota: nadie puede garantizar eso. Lo que sí se garantiza es tener las actualizaciones al día y una copia de ayer, que es lo que separa una tarde perdida de un mes de infierno.

Preguntas frecuentes sobre un WordPress hackeado

¿Cómo sé si tengo un WordPress hackeado si la web se ve bien?

Busca site:tudominio.es en Google, entra desde el móvil con datos móviles y revisa la lista de usuarios administradores. Esas tres comprobaciones detectan la gran mayoría de las infecciones que no se ven a simple vista. Search Console te avisará también, pero puede tardar días en detectarlo.

¿Puedo limpiarlo yo mismo?

Si tienes una copia de seguridad anterior al ataque y tu hosting permite restaurarla con un botón, sí, y deberías intentarlo. Si hay que entrar por FTP y revisar la base de datos, la respuesta honesta es que solo si ya te manejas con eso. El riesgo no es romper la web: es dejar una puerta trasera sin ver.

¿Cuánto se tarda en recuperar la web?

Restaurar una copia limpia son minutos. Una limpieza manual completa suele llevar entre unas horas y un día. Y si Google te había marcado, súmale de uno a varios días más hasta que se retire el aviso tras la revisión. La parte lenta casi nunca es la técnica.

¿Tengo que avisar a mis clientes?

Depende de si hay datos personales afectados. Con un simple formulario de contacto y sin indicios de acceso, normalmente no. Con una tienda, una zona de clientes o cualquier base de datos personal, consúltalo el mismo día con la AEPD o con tu asesoría: el plazo es corto.

¿Vale la pena rehacer la web en lugar de limpiarla?

A veces sí, y no por el ataque en sí. Si la web tiene años, plugins abandonados y un tema modificado a mano, limpiarla es poner una tirita sobre un problema estructural que volverá. En esos casos el coste de una limpieza profunda se acerca al de rehacerla bien. Puedes ver los rangos reales en nuestra página de diseño y desarrollo web, donde una web corporativa parte de 600 €.

¿Sirve de algo denunciarlo?

Para recuperar tu web, no: al otro lado hay un bot, no alguien identificable. Para dejar constancia legal de una brecha de datos, sí. El INCIBE tiene una línea de ayuda gratuita en ciberseguridad para empresas y autónomos.

En resumen

Un WordPress hackeado no es una catástrofe si lo coges pronto y tienes copias. Confirma la infección, guarda el estado actual antes de tocar nada, cambia las contraseñas empezando por el hosting, restaura o limpia según el caso y pide la revisión a Google solo cuando estés seguro.

Después, la parte aburrida: actualizaciones al día y copias diarias con histórico. Es lo único que convierte el siguiente intento en un no-evento. Si prefieres no estar pendiente, échale un ojo a nuestro mantenimiento web WordPress o escríbenos contando qué le pasa a tu web.