WordPress hackeado: qué hacer si ya te ha pasado y cómo evitar que vuelva a pasar

Cuando alguien piensa en «web hackeada», imagina la portada sustituida por una calavera o un mensaje en otro idioma. Esa versión existe, pero es la menos habitual y, en cierto modo, la menos grave: se nota, y por eso se arregla rápido. El hackeo típico de WordPress es el contrario: silencioso, diseñado para que no te enteres durante meses mientras usa tu web para otra cosa.

Cómo es un hackeo de verdad (y por qué no lo ves)

Lo más habitual, por este orden:

1. Spam SEO oculto. Se inyectan cientos de enlaces o páginas nuevas (viagra, réplicas, apuestas) que solo ven los buscadores, no un visitante normal que entra por la portada. Tu web parece intacta y, mientras tanto, Google la va etiquetando poco a poco como sospechosa.
2. Redirección solo para quien llega desde Google. El código detecta si el visitante viene de un buscador y, solo en ese caso, lo manda a otra web. Si entras escribiendo tu dirección directamente, no ves nada raro: por eso puede durar semanas sin que el dueño lo note.
3. Una puerta trasera (backdoor). Un archivo que permite volver a entrar sin contraseña, aunque cambies todas las credenciales. Es la razón por la que muchas «limpiezas» de aficionado no funcionan: quitan lo visible pero dejan la puerta abierta, y el ataque vuelve en días.

Las señales reales que sí puedes comprobar tú:

• En Google Search Console, la sección «Problemas de seguridad» tiene un aviso, o de repente aparecen indexadas decenas de páginas que tú no has creado.
• Buscas site:tudominio.com en Google y salen resultados en otro idioma o sobre temas que no tienen nada que ver contigo.
• Tu hosting te avisa de que tu web está enviando spam o de un uso de recursos anormal.
• En Usuarios de WordPress hay un administrador que no reconoces (revísalo aunque parezca improbable: es lo primero que comprueba cualquier análisis de seguridad serio).

Las 3 puertas de entrada reales

Casi ningún hackeo de WordPress es un ataque dirigido y sofisticado. Son robots que recorren internet buscando estas tres puertas abiertas:

1. Un plugin o un tema desactualizados con un fallo conocido. Cuando se descubre una vulnerabilidad en un plugin, se publica públicamente (para que los desarrolladores la corrijan) y eso mismo la convierte en un mapa para los atacantes: buscan webs que usen ese plugin y no lo hayan actualizado todavía. Cuantos más plugins tengas, sobre todo si llevan tiempo sin actualizar, más probabilidades.
2. Contraseñas débiles sin límite de intentos. Un ataque de fuerza bruta prueba miles de combinaciones por minuto contra /wp-login.php. Si tu contraseña es medianamente predecible y no hay nada que bloquee los intentos repetidos, es cuestión de tiempo.
3. Plugins o temas «nulled» (versiones pirata de pago). Estos ya suelen llevar la puerta trasera incluida de fábrica, escondida en el propio código. Es la causa que menos se sospecha y una de las más comunes en webs pequeñas que buscaron ahorrarse una licencia.

Qué hacer si ya te ha pasado, en orden

1. No restaures una copia de seguridad todavía. Si tienes una copia de antes del ataque, guárdala aparte, pero no la subas encima sin saber por dónde entraron: si la puerta sigue abierta, volverán a entrar por el mismo sitio, con la misma copia «limpia».
2. Pon la web en mantenimiento o desconéctala. Mientras investigas, que no siga sirviendo contenido malicioso a tus visitantes ni a Google.
3. Busca la puerta de entrada antes de limpiar nada. Revisa qué plugins y temas tienes, cuáles llevan tiempo sin actualizar, y la lista de usuarios administradores. Ordena los archivos por fecha de modificación: los cambiados en las fechas del ataque son la primera pista.
4. Limpia de verdad, no solo lo visible. Reinstala WordPress, todos los plugins y el tema desde cero (desde el repositorio oficial, no reactivando lo que ya tenías), y revisa a mano los archivos que no sean del núcleo. Borrar el mensaje o la redirección sin hacer esto dejaría la puerta trasera intacta.
5. Cambia todas las contraseñas y claves, no solo la del administrador. La de todos los usuarios, la de la base de datos y las claves secretas de wp-config.php (las SALT y KEY): son las que invalidan cualquier sesión robada que quedara activa.
6. Pide a Google que lo revise. En Search Console, dentro de «Problemas de seguridad», hay una opción para solicitar una revisión una vez limpio. Sin este paso, el aviso de «sitio pirateado» le puede seguir apareciendo a tus visitantes en el buscador durante semanas.

La checklist que evita que vuelva a pasar

• Actualiza WordPress, plugins y tema sin dejarlo para «cuando tenga un rato». Las actualizaciones de seguridad se publican precisamente porque ya hay un fallo conocido; cuanto más tardes, más tiempo queda expuesto.
• Contraseñas largas y únicas, con doble factor, al menos para todas las cuentas de administrador.
• Limita los intentos de acceso a /wp-login.php (lo hace cualquier plugin de seguridad razonable).
• Copias de seguridad automáticas y fuera del propio servidor. Si solo viven en el mismo hosting que la web, un ataque grave se las puede llevar por delante también.
• Desinstala (no solo desactives) lo que no uses. Un plugin desactivado sigue siendo una puerta si su código está ahí, aunque no se ejecute.
• Nunca instales plugins ni temas pirata. El coste de la licencia siempre es menor que el de una limpieza.
• Oculta la versión de WordPress y evita que se pueda listar quién administra la web. Son pistas pequeñas que, sumadas, hacen que un atacante automático te descarte por otro objetivo más fácil.

Compruébalo en tu propia web ahora mismo

ORMA Test · auditoría gratuita

¿Tu WordPress tiene alguna de estas puertas abiertas?

ORMA Test revisa, sin tocar nada, la versión de tu WordPress y tus plugins frente al directorio oficial, y si hay usuarios o accesos expuestos. Gratis y en 30 segundos.

Dirección de tu web AnalizarAnalizar→

Dos mitos que retrasan la solución de verdad

• «Ya he cambiado la contraseña del administrador, con eso vale.» Si el ataque dejó una puerta trasera en algún archivo, seguirá funcionando sin necesitar ninguna contraseña. Cambiar solo la clave es tratar el síntoma, no la causa.
• «Mi hosting tiene buena reputación, así que estoy protegido.» El hosting protege el servidor; el hackeo de WordPress ocurre casi siempre en la capa de la aplicación (un plugin, un tema), que es responsabilidad de quien mantiene la web, no del hosting.

Encontrar la puerta exacta por la que entraron y limpiar sin dejar nada suelto es la parte que más tiempo lleva y la que menos margen de error admite. Si prefieres no hacerlo a ciegas, es justo lo que revisamos en el mantenimiento: no solo actualizamos, vigilamos que nada de esto llegue a pasar.