WordPress hackeado: primeros pasos antes de empezar a borrar archivos

Contén el daño

Si la web redirige, envía spam o muestra contenido malicioso, limita temporalmente el acceso. Avisa a tu proveedor de alojamiento para que te ayude a aislarla.

Según el caso, puede utilizarse una restricción en el servidor o una página estática temporal. Un plugin de mantenimiento por sí solo puede no bloquear el código malicioso.

Conserva una copia del estado actual

Antes de modificar la instalación, guarda los archivos, la base de datos y los registros disponibles del servidor. Conserva esa copia fuera de la web pública y márcala como potencialmente infectada.

• Permite investigar qué cambió y cuándo.
• Ayuda a recuperar contenido legítimo si algo falla durante la limpieza.
• Facilita comparar la instalación con una copia anterior.

Si tienes copias de seguridad, comprueba su fecha y su contenido. Una copia reciente también puede contener la infección.

Protege todos los accesos

Desde un dispositivo de confianza, cambia las credenciales comprometidas y revisa quién tiene acceso. La cuenta de WordPress es solo una de las posibles entradas.

• Usuarios administradores de WordPress: documenta los desconocidos y revoca su acceso.
• Panel del hosting, SFTP/FTP, SSH y correo asociado.
• Base de datos: si cambias su contraseña, actualiza también la configuración de la web.
• Servicios conectados y contraseñas reutilizadas en otras cuentas.

Invalida las sesiones abiertas y activa la verificación en dos pasos donde esté disponible. Si el atacante conserva una puerta trasera, puede volver a capturar credenciales: revisa los accesos de nuevo al terminar la limpieza.

Encuentra el origen de la infección

Eliminar lo visible no basta. Hay que buscar la vía de entrada y comprobar el alcance: archivos modificados, usuarios inesperados, tareas programadas, plugins vulnerables o credenciales filtradas.

Revisa también .htaccess, wp-config.php, mu-plugins, la carpeta de subidas y las opciones de dirección del sitio. Los registros del servidor pueden aportar pistas; no siempre permiten reconstruir todo el incidente.

# Comparar el núcleo con los checksums oficiales
wp core verify-checksums

# Comparar plugins del repositorio oficial
wp plugin verify-checksums --all

# Revisar administradores y tareas programadas
wp user list --role=administrator
wp cron event list

Recupera archivos desde fuentes limpias

Con la copia preservada y el alcance identificado, sustituye los componentes afectados por versiones legítimas obtenidas de sus fuentes oficiales. Revisa las personalizaciones antes de conservarlas.

• Reinstala el núcleo, los plugins y los temas que corresponda.
• Elimina componentes que ya no se utilicen, después de comprobar sus dependencias.
• Revisa archivos adicionales y puertas traseras: reinstalar WordPress no elimina todo lo ajeno al núcleo.

Si restauras una copia anterior, corrige también la vulnerabilidad o el acceso que permitió la intrusión antes de volver a publicar.

Revisa también la base de datos

La infección puede estar en el contenido, aunque los archivos parezcan correctos. Busca enlaces o scripts inyectados en entradas, widgets y opciones, además de usuarios o direcciones del sitio alterados.

Comprueba la recuperación y evita otra infección

Antes de dar el trabajo por terminado, comprueba la navegación, los formularios, los accesos y, si existe, el proceso de compra.

• Actualiza los componentes y corrige la causa identificada.
• Revisa permisos y limita los usuarios con privilegios de administración.
• Configura copias externas y monitorización de cambios.
• Comprueba los avisos de seguridad y las URLs extrañas en Search Console.
• Si Google ha marcado la web como peligrosa, solicita la revisión después de corregir el problema.

Vacía las cachés tras la limpieza y mantén vigilancia posterior. Una portada correcta no garantiza que hayan desaparecido todas las redirecciones o páginas de spam.