Si tu WordPress fue hackeado: ponlo en mantenimiento, haz un respaldo completo tal como está, cambia todas las contraseñas y llaves, elimina usuarios desconocidos y reemplaza el núcleo, los plugins y el tema por copias limpias de fuentes oficiales. Después limpia la base de datos, borra las URL spam, pide revisión en Google Search Console y blinda el sitio con actualizaciones, verificación en dos pasos, firewall y respaldos fuera del servidor. Restaurar un respaldo viejo sin cerrar la puerta de entrada solo garantiza que vuelvan a entrar.
- Antes de limpiar, haz una copia del sitio infectado: es tu evidencia.
- Cambia todas las credenciales: WordPress, hosting, base de datos, FTP y correo.
- Reinstala el núcleo y los plugins desde fuentes oficiales; no intentes limpiarlos a mano.
- Busca archivos PHP dentro de la carpeta de subidas: no deberían existir.
- Responde con 410 las URL spam y pide revisión en Search Console.
- La causa más común es un plugin o tema desactualizado o pirata.
Señales de que tu WordPress fue hackeado
A veces el ataque es evidente y otras pasa semanas sin que nadie lo note. Revisa si ves alguna de estas señales:
- Resultados raros en Google: al buscar site:tudominio.com aparecen páginas en japonés, de casinos, farmacias o réplicas de marcas que tú no creaste.
- Advertencia en el navegador o en los resultados de Google: "Este sitio puede haber sido hackeado" o una pantalla roja de sitio peligroso.
- Redirecciones: el sitio te manda a otra página, a veces solo desde el celular o solo cuando llegas desde Google, para que el dueño no lo note.
- Usuarios administradores desconocidos en el panel.
- Correos del dominio que caen en spam o rebotan, porque tu servidor está enviando correo basura.
- El hosting suspende la cuenta o avisa de consumo anormal de recursos.
- Formularios que dejaron de funcionar sin que nadie tocara nada.
En el caso de Hidrantes y Rociadores del Norte, en Torreón, fue un cliente de Monterrey quien avisó que al buscarlos salían resultados en japonés. Al revisar había 1,863 páginas spam, cuatro administradores falsos y un plugin de formularios sin actualizar desde 2020.
Paso 1: contener sin destruir evidencia
La reacción natural es borrar todo y restaurar el último respaldo. No lo hagas todavía. Primero:
- Pon el sitio en modo mantenimiento o restringe el acceso, para que los visitantes no sean redirigidos ni descarguen malware.
- Haz un respaldo completo del sitio infectado: todos los archivos y la base de datos. Es tu evidencia para entender por dónde entraron y para recuperar contenido legítimo si algo se borra por error.
- Revisa los registros de acceso del servidor, si tu hosting los ofrece, y guárdalos antes de que se roten.
- Avisa a tu proveedor de hosting. Muchos tienen procedimientos para cuentas comprometidas y pueden confirmar si otros sitios de tu cuenta están afectados.
Si tu respaldo más reciente es posterior al inicio de la infección, restaurarlo no sirve: estarías restaurando el problema. Por eso es tan importante tener historial de varias semanas, como explicamos en la guía de respaldos para negocios.
Paso 2: cerrar todos los accesos
El atacante pudo haber obtenido cualquier contraseña relacionada con el sitio. Cámbialas todas desde un equipo limpio, usando contraseñas largas y únicas generadas con un gestor o con nuestro generador de contraseñas:
- Todos los usuarios administradores de WordPress, y elimina los que no reconozcas.
- Panel del hosting (cPanel o similar), FTP o SFTP y acceso SSH; revisa también llaves SSH autorizadas.
- Usuario de la base de datos, actualizando la contraseña en wp-config.php.
- Las llaves y salts de seguridad de wp-config.php: al regenerarlas se cierran todas las sesiones abiertas.
- Correo asociado al dominio y al usuario administrador.
- Registrador del dominio y servicios como Cloudflare.
Revisa además las tareas programadas (cron) del panel del hosting: es común que el atacante deje una que reinstala el código malicioso cada cierto tiempo.
Paso 3: limpiar archivos
La regla de oro: no intentes limpiar a mano archivos del núcleo o de plugins. Reemplázalos por copias limpias.
- Núcleo: descarga la misma versión de WordPress desde wordpress.org y reemplaza por completo las carpetas wp-admin y wp-includes y los archivos de la raíz, excepto wp-config.php.
- Plugins y temas: borra y reinstala cada uno desde su fuente oficial. Elimina los que no uses y, sobre todo, cualquier plugin o tema pirata ("nulled"): suelen traer puertas traseras de fábrica.
- wp-content/uploads: ahí solo debería haber imágenes y documentos. Cualquier archivo .php en esa carpeta es sospechoso.
- Archivos especiales: revisa .htaccess, wp-config.php, la carpeta mu-plugins y cualquier archivo en la raíz que no pertenezca a WordPress.
- Escaneo: usa un escáner como Wordfence o Sucuri para encontrar código ofuscado restante, típicamente con funciones como eval, base64_decode o gzinflate.
Paso 4: limpiar la base de datos
- Usuarios: en la tabla de usuarios, confirma que solo existan cuentas legítimas y revisa sus roles.
- Opciones: verifica que siteurl y home apunten a tu dominio, y busca scripts inyectados en opciones de widgets o del tema.
- Contenido: busca etiquetas script, iframes y enlaces ocultos en entradas y páginas. Borra las páginas spam generadas.
- Tablas desconocidas que no correspondan a WordPress ni a tus plugins.
Si el hackeo generó cientos de páginas spam, como en el caso que mencionamos, lo más eficiente es identificarlas por patrón (fecha de creación, autor falso o estructura de URL) y eliminarlas en lote, con el respaldo forense a la mano por si algo legítimo se va en el proceso.
Paso 5: recuperar tu lugar en Google
Un sitio limpio no se recupera solo en los resultados de búsqueda. En Google Search Console:
- Revisa el informe de problemas de seguridad y el de acciones manuales.
- Haz que las URL spam respondan con código 410 (eliminado definitivamente) o 404. El 410 le indica a Google con más claridad que no van a volver.
- Si las páginas spam aparecen en resultados, usa la herramienta de retirada temporal mientras Google las desindexa.
- Envía un sitemap actualizado solo con tus URL legítimas.
- Cuando todo esté limpio, solicita una revisión de seguridad explicando qué hiciste.
En el caso de Hidrantes y Rociadores del Norte, Google reindexó el sitio limpio en 14 días. Revisa también si tu dominio terminó en listas negras de correo; configurar SPF, DKIM y DMARC ayuda a recuperar la entrega, como explicamos en la guía de ciberseguridad básica para pymes.
Paso 6: blindar para que no vuelva a pasar
- Actualizaciones: núcleo, plugins y temas al día, con respaldo previo. La gran mayoría de los hackeos a WordPress entran por plugins o temas desactualizados.
- Menos plugins: cada uno es una puerta más. Quita los que no aportan.
- Verificación en dos pasos para todos los administradores y límite de intentos de inicio de sesión.
- Bloquea la edición de archivos desde el panel con la constante DISALLOW_FILE_EDIT en wp-config.php.
- Firewall de aplicación web, como el de Cloudflare o el de un plugin de seguridad.
- Mínimo privilegio: editores para quien escribe contenido; administradores, solo los indispensables.
- Respaldos diarios cifrados fuera del servidor, con varias semanas de historial.
- Monitoreo: alertas de cambios en archivos y de nuevos administradores.
- Hosting adecuado: versión de PHP soportada y aislamiento entre sitios. Lo comparamos en la guía de hosting compartido vs. VPS.
¿Lo limpio yo o pido ayuda?
Si tienes experiencia con servidores y el ataque es pequeño, por ejemplo, un administrador falso detectado a tiempo, puedes seguir esta guía por tu cuenta. Pide ayuda profesional cuando:
- Hay cientos o miles de páginas spam indexadas en Google.
- El sitio vuelve a infectarse días después de limpiarlo; eso indica una puerta trasera que no encontraste.
- El sitio procesa pagos o guarda datos personales de clientes, porque puede haber obligaciones legales de aviso.
- Tu hosting suspendió la cuenta y necesitas negociar la reactivación.
- No tienes respaldos anteriores a la infección.
Al contratar a alguien, pide que te entregue un informe con la vía de entrada probable, qué se limpió, qué contraseñas se cambiaron y qué medidas quedaron activas. Un "ya quedó" sin explicación no te dice si el problema realmente se cerró. Y documenta todo tú también: fechas, capturas de los resultados spam en Google y correos con el hosting. Si los datos de tus clientes estuvieron expuestos, ese registro será necesario para cumplir con la ley de protección de datos personales.
¿Y si mejor dejo WordPress?
Para muchos sitios de empresas de servicios, que cambian su contenido unas cuantas veces al año, WordPress es más superficie de ataque de la que necesitan. Un sitio estático, generado como archivos HTML sin panel ni base de datos expuestos, elimina la mayoría de los riesgos: no hay plugins que actualizar ni formulario de inicio de sesión que atacar.
Fue lo que hicimos con Hidrantes y Rociadores del Norte después de estabilizar el sitio: lo cambiamos por un sitio estático, conservamos las URL que tenían posiciones y las solicitudes de cotización subieron 89 %, con cero incidentes en los siguientes 12 meses. Además, un sitio estático es mucho más rápido, lo que ayuda con las métricas que explicamos en la guía de Core Web Vitals.
WordPress sigue siendo buena opción cuando tu equipo publica contenido seguido o necesitas WooCommerce, siempre con mantenimiento. Si quieres evaluar tu caso, revisa nuestro servicio de desarrollo web o corre primero la auditoría SEO y GEO para ver cómo está tu sitio hoy.
