Señales Tempranas de un WordPress Hackeado

El sitio hackeado que la gente se imagina — portada desfigurada, un mensaje del atacante — es poco común. Los ataques de hoy buscan pasar desapercibidos el mayor tiempo posible, porque un sitio comprometido le sirve más al atacante cuando nadie lo sabe. Envía spam, redirige visitantes, aloja páginas de phishing o sube el posicionamiento de otro sitio, en silencio, durante semanas.

Eso significa que las primeras señales son sutiles. Detectarlas temprano es la diferencia entre una limpieza rápida y un sitio que Google marcó como peligroso.

Señales que notan los visitantes (o Google)

Redirecciones que usted no ve. Los visitantes que llegan desde Google o desde el celular terminan en un sitio de estafas, farmacia o apuestas, mientras usted — con sesión iniciada, en la computadora, escribiendo la dirección directamente — ve el sitio normal. Los atacantes apuntan justo al tipo de visitante que usted nunca es.

Resultados raros en Google. Busque site:sudominio.com. Si ve páginas que nunca creó — muchas veces en otro idioma, sobre pastillas, imitaciones o casinos — alguien está metiendo páginas de spam en su sitio.

Advertencias del navegador o de Google. “Sitio engañoso” o “Es posible que este sitio haya sido hackeado” junto a su resultado de búsqueda. Para ese momento ya lleva un tiempo pasando.

Alertas de Search Console. Google Search Console tiene un reporte de Problemas de seguridad y le escribe si detecta malware o spam. Si su sitio no está conectado a Search Console, configúrelo — es gratis y muchas veces es el primero en enterarse.

Señales que se notan en el admin

Usuarios que no reconoce, sobre todo administradores. Revise Usuarios y ordene por rol.

Plugins que no instaló, a veces con nombres genéricos que parecen componentes del sistema.

Archivos o configuraciones cambiadas. La URL del sitio, el correo del administrador o la página de inicio cambiaron sin que nadie de su equipo lo hiciera.

No puede entrar, o el correo para restablecer la contraseña nunca llega porque cambiaron el correo del administrador.

Señales del lado del servidor

Picos repentinos de uso de recursos — CPU o procesos al límite sin un aumento de visitas que lo explique.

Spam saliente. Los correos de su dominio empiezan a rebotar o a caer en spam en todos lados, o le llegan avisos de listas negras — puede que el sitio esté enviando spam por su cuenta.

Archivos desconocidos en wp-content/uploads que terminan en .php. La carpeta de subidas debería tener imágenes y documentos, no código.

Alertas del escáner de malware. En un servidor con un escáner como Imunify360, los archivos infectados se marcan — y muchas veces se limpian — automáticamente.

Qué hacer en la primera hora

1. No borre cosas al azar. Puede eliminar la evidencia de cómo entraron.
2. Cambie las contraseñas — administradores de WordPress, cPanel, FTP/SFTP, base de datos y los correos asociados. Hágalo desde un dispositivo de confianza.
3. Active 2FA en todas las cuentas de administrador, si no estaba activo.
4. Contacte a su proveedor de hosting. Puede ver los registros del servidor, escanear archivos y revisar si otros sitios de la cuenta están afectados.
5. Busque un respaldo limpio, pero no restaure a ciegas — si restaura sin cerrar la puerta por donde entraron, vuelven el mismo día.
6. Encuentre el punto de entrada. Normalmente un plugin desactualizado, una contraseña filtrada o un tema “nulled”. Corrija eso, o la limpieza no va a durar.

Después de la limpieza

• Actualice todo — WordPress, plugins, temas y PHP.
• Borre los plugins y temas que no usa.
• Revise los usuarios y quite los accesos que ya no hacen falta.
• Si Google marcó el sitio, solicite una revisión en Search Console cuando ya esté limpio.

La mayor parte de la prevención está en lo que le toca en la seguridad del hosting, y mantener todo al día lo explicamos en cómo actualizar WordPress sin romper su sitio.

Cómo lo maneja HOSTEMCLOUD

Cada servidor corre Imunify360, que escanea en busca de malware y bloquea ataques comunes antes de que lleguen a WordPress. Todo plan UNITY incluye además recuperación por hackeo: si su sitio se ve comprometido, lo limpiamos y le ayudamos a cerrar la puerta por donde entraron.

---

Preguntas frecuentes

¿Por qué no veo la redirección cuando entro a mi propio sitio?

Muchas infecciones se esconden de los usuarios con sesión iniciada y de las visitas directas. Pruebe desde un celular con datos móviles, sin sesión, llegando desde una búsqueda en Google.

¿Un sitio puede ser hackeado aunque tenga certificado SSL?

Sí. El SSL cifra la conexión; no protege el software del sitio. Un candado y el malware pueden convivir.

¿Tengo que rehacer todo el sitio después de un hackeo?

Normalmente no. Una buena limpieza elimina el código malicioso y cierra el punto de entrada. Rehacerlo solo hace falta en casos raros donde ya no se puede confiar en los archivos del sitio.

¿Quiere escaneo de malware y recuperación por hackeo incluidos desde el inicio? Empiece con UNITY.