Respuesta rápidaSi tu web te lleva a páginas de casinos, apuestas o productos que no vendes, casi con seguridad tiene código malicioso. No borres archivos a ciegas ni restaures una copia sin revisarla: primero hay que localizar por dónde entraron, limpiar todo lo que dejaron y cerrar esa puerta. Cambiar las contraseñas es necesario, pero por sí solo no basta.
Cómo saber si tu web está hackeada
Las redirecciones maliciosas suelen ser selectivas, y por eso a veces cuesta darse cuenta. Estas son las señales más habituales:
- Solo redirige a algunos visitantes. Muchas veces solo afecta a quien llega desde Google o desde el móvil, mientras que tú, que entras escribiendo la dirección y con la sesión iniciada, ves la web normal.
- Google muestra resultados extraños. Al buscar
site:tudominio.comaparecen páginas en otros idiomas o con títulos de productos que no tienes. - Aparecen usuarios administradores desconocidos en el panel de WordPress.
- Google o el navegador avisan de que el sitio puede ser peligroso.
- Tu alojamiento te escribe porque ha detectado archivos infectados o un consumo anormal.
Por qué ocurre
En la mayoría de los casos el atacante aprovecha una de estas vías:
- Un plugin o tema sin actualizar con una vulnerabilidad conocida. Es, con diferencia, la causa más frecuente.
- Plugins o temas «nulled», es decir, versiones de pago descargadas gratis de sitios no oficiales. Suelen traer el código malicioso de serie.
- Contraseñas débiles o reutilizadas en el panel, el FTP o el alojamiento.
- Otra web del mismo alojamiento ya infectada que contagia al resto.
Los pasos de la primera hora
1. Guarda una copia del estado actual
Aunque parezca extraño, conviene conservar una copia de la web tal como está, con la infección incluida. Permite analizar qué pasó y recuperar contenido si la limpieza borra algo legítimo.
2. Cambia todas las contraseñas
Las del panel de WordPress de todos los administradores, las del alojamiento, las de FTP y las de la base de datos. Cámbialas desde un ordenador que sepas que está limpio.
3. Revisa los usuarios administradores
En Usuarios, filtra por «Administrador» y elimina cualquier cuenta que no reconozcas.
4. Comprueba las fechas de modificación
Los archivos modificados en los últimos días dentro de wp-content, o en la raíz de la web, son los primeros sospechosos. También es habitual encontrar código añadido al principio de index.php, wp-config.php o .htaccess.
Qué conviene evitar
- Restaurar una copia antigua sin revisarla. Si la vía de entrada sigue abierta, la web volverá a infectarse en días, y es posible que la copia ya estuviese contaminada.
- Borrar archivos sin saber qué son. Los atacantes disfrazan su código con nombres parecidos a los de WordPress, pero también puedes eliminar algo necesario.
- Quedarte solo con un plugin de seguridad. Ayudan a detectar, pero no siempre limpian todo ni cierran la vulnerabilidad que se aprovechó.
- Olvidar la base de datos. Muchas infecciones insertan scripts en las entradas, en los widgets o en las opciones de WordPress.
Después de la limpieza
Una limpieza completa termina con tres comprobaciones: que no queda código malicioso ni en los archivos ni en la base de datos, que todo está actualizado y que Google ha retirado el aviso. Si Google marcó la web como peligrosa, hay que solicitar una revisión desde Search Console; según el tipo de problema, tarda desde un día hasta varias semanas.
Cuándo pedir ayuda
Una web hackeada es de las averías en las que más se nota la experiencia: el código malicioso se esconde bien y suele dejar puertas traseras para volver a entrar. Si tu web vende, recibe reservas o capta clientes, cada día con redirecciones afecta a tu posicionamiento y a la confianza de quien la visita.
En webcaida.com eliminamos el código malicioso, cerramos el acceso por el que entraron y cambiamos todas las claves. Te confirmamos la gravedad y el precio cerrado antes de empezar.
Preguntas frecuentes
¿Por qué yo veo la web bien y mis clientes no?
Porque muchas infecciones no redirigen a los administradores con sesión iniciada ni a quien entra escribiendo la dirección, precisamente para que el dueño tarde en darse cuenta. Pruébalo desde el móvil, sin sesión y entrando desde un resultado de Google.
¿Perderé el posicionamiento en Google?
Si se actúa rápido, normalmente no. Cuanto más tiempo pasen las páginas falsas indexadas o el aviso de sitio peligroso activo, más cuesta recuperarlo.
¿Basta con reinstalar WordPress?
No. Reinstalar sustituye los archivos del núcleo, pero el código malicioso suele estar en plugins, temas, la carpeta de subidas o la base de datos.