Mi web ha sido hackeada: qué hacer, paso a paso

Cómo saber si tu web está hackeada

Algunos ataques son evidentes y otros pasan meses sin que nadie los note. Las señales más habituales:

• Resultados extraños en Google. Busca site:tudominio.com: si aparecen páginas de farmacia, casinos, réplicas o textos en otros idiomas que no son tuyos, hay contenido inyectado.
• Redirecciones. Al entrar desde Google o desde el móvil, la web salta a otra página, a veces solo para algunos visitantes.
• Avisos de seguridad del navegador o de Google («Este sitio puede haber sido pirateado»).
• Avisos de tu hosting, una cuenta suspendida o un consumo de recursos anormal.
• Usuarios administradores que no conoces, o archivos y plugins que no instalaste.
• Problemas de seguridad en Google Search Console, que avisa cuando detecta malware o spam.

Qué hacer en la primera hora

La tentación es borrar todo lo sospechoso cuanto antes. Es mejor seguir un orden:

1. Cambia las contraseñas desde un ordenador que sepas que está limpio: hosting, FTP, panel de la web, base de datos y correo asociado.
2. Avisa a tu proveedor de hosting. Puede ver registros que tú no ves y, a menudo, ayudar a aislar la cuenta.
3. Haz una copia del estado actual antes de tocar nada. Sirve para analizar por dónde entraron y como prueba si hace falta.
4. Si la web redirige a sitios peligrosos, ponla en mantenimiento para no exponer a tus visitantes mientras la limpias.

Cómo se limpia una web hackeada

Hay dos caminos, y conviene elegir con calma:

• Restaurar una copia limpia anterior a la infección. Es lo más rápido si existe y sabes cuándo empezó el problema. Después hay que actualizarlo todo, porque la vulnerabilidad sigue ahí.
• Limpiar a fondo. En WordPress, reinstalar el núcleo, el tema y los plugins desde sus fuentes oficiales, revisar la base de datos y la carpeta de archivos subidos, y eliminar usuarios y tareas programadas sospechosos.

En los dos casos falta lo más importante: encontrar la puerta de entrada. Un plugin desactualizado, un tema pirata o una contraseña filtrada. Si no se cierra, el ataque vuelve en días o semanas.

Recuperar tu posición en Google

Limpiar la web no borra el rastro en Google. Para recuperarla:

• Revisa el informe Problemas de seguridad de Google Search Console y, cuando esté limpia, solicita una revisión.
• Haz que las páginas de spam devuelvan un error 404 o 410 para que Google las vaya eliminando, y envía de nuevo tu sitemap.
• Revisa si tu dominio ha acabado en listas negras de correo y vuelve a comprobar tu Perfil de Empresa en Google.

Puede tardar semanas. Es lo que me pasó a mí: esta web, cuando era un WordPress, acabó llena de páginas de spam inyectadas. La rehíce en HTML estático, configuré las páginas basura para que devolvieran un 410 y Google las fue retirando poco a poco.

Si había datos personales

Si la web guardaba datos de clientes (formularios, pedidos, usuarios registrados) y el ataque pudo afectarlos, es una brecha de seguridad según el RGPD:

• Si supone un riesgo para las personas, hay que notificarla a la Agencia Española de Protección de Datos en un plazo de 72 horas desde que la conoces.
• Si el riesgo es alto, también hay que informar a los afectados.
• En todos los casos, documenta qué pasó, qué datos se vieron afectados y qué medidas tomaste.

Esta guía es informativa. Si tu web trataba datos sensibles o no tienes claro si debes notificar, consulta a un profesional de protección de datos.

Cómo evitar que vuelva a pasar

• Actualizaciones al día del núcleo, el tema y los plugins. La gran mayoría de ataques aprovechan fallos ya corregidos.
• Menos plugins y ninguno pirata o abandonado.
• Contraseñas únicas y verificación en dos pasos en el panel y en el hosting.
• Copias de seguridad automáticas guardadas fuera del servidor, y comprobadas de vez en cuando.
• Un hosting de calidad que aísle cuentas y vigile el malware.
• Alguien pendiente. Una web sin mantenimiento acaba siendo vulnerable; es cuestión de tiempo.

Si tu web apenas cambia y no necesitas un gestor de contenidos, una web estática en HTML elimina de raíz la mayoría de estos riesgos. Las ventajas e inconvenientes, en la guía ventajas y desventajas de WordPress.

¿Limpiar o aprovechar para rehacerla?

Limpiar tiene sentido cuando el ataque es reciente, hay una copia limpia y la web, por lo demás, funciona. Rehacerla tiene más sentido cuando se ha reinfectado varias veces, usa una base técnica anticuada o ya no te convencía. Lo explico en ¿rehacer la web o mejorar la que tengo?

Preguntas frecuentes sobre webs hackeadas