En este artículo
Si detectas cambios que no has hecho, redirecciones sospechosas, administradores desconocidos o un aviso de malware, prioriza cuatro cosas: limita el daño a los visitantes, registra lo que observas, protege las cuentas desde un dispositivo seguro y consulta con tu proveedor antes de borrar archivos o restaurar una copia.
La guía oficial de WordPress sobre sitios hackeados también recomienda documentar el incidente y conservar una copia del entorno antes de limpiarlo.
Comprueba si hay indicios de intrusión
Son señales que justifican una revisión urgente:
- La web muestra páginas, enlaces o anuncios que no has publicado.
- Los visitantes son redirigidos a otra web o reciben avisos de seguridad.
- Aparecen cuentas de administrador que nadie de tu equipo reconoce.
- El proveedor suspende la web o te avisa de actividad maliciosa.
- Se envía correo no autorizado desde tu dominio.
Un error 500, una pantalla en blanco o no poder entrar en WordPress no demuestran por sí solos que haya habido un hackeo. También pueden deberse a una actualización, un plugin incompatible u otro fallo. Si ese es el único síntoma, consulta la guía de error 500 en WordPress.
Si aparece una advertencia del navegador, no la ignores ni pidas a tus visitantes que la eludan. Anota el mensaje y la página afectada.
Qué hacer primero
1. Limita la exposición si la web está dañando a los visitantes
Si WordPress muestra phishing o malware, redirige a los usuarios o está enviando spam, contacta cuanto antes con quien administra tu hosting. Pregunta si pueden restringir temporalmente el acceso público y conservar los registros y una copia del sitio antes de intervenir.
Dejar la web temporalmente fuera de servicio puede interrumpir compras, formularios y visitas, pero reduce la posibilidad de que más personas vean contenido malicioso. Si la web está en un VPS o servidor dedicado que administras, coordina la medida con quien lo mantiene.
No hagas cambios de DNS ni elimines archivos al azar: pueden afectar otros servicios y borrar información útil para investigar.
2. Registra lo que está ocurriendo
Anota la fecha y hora aproximadas —con tu zona horaria— en que detectaste el problema. Guarda:
- El mensaje exacto, las páginas afectadas y cualquier URL sospechosa.
- Capturas de las alertas o de los cambios visibles.
- Correos o avisos recibidos del hosting, el navegador o los buscadores.
- Cambios recientes en WordPress, como instalaciones o actualizaciones.
- Las medidas que ya hayas tomado.
Guarda las pruebas en un lugar privado. No publiques registros, archivos de configuración ni capturas que muestren datos personales o secretos.
3. Protege las cuentas desde un dispositivo seguro
Si crees que alguien obtuvo tus contraseñas, cámbialas desde un ordenador o móvil seguro y actualizado. Si el dispositivo que usas para administrar la web podría estar infectado, utiliza otro y revísalo antes de volver a introducir claves.
Empieza por el correo asociado a las recuperaciones de cuenta. Después protege el área de cliente del hosting, el panel de hosting, las cuentas de administrador de WordPress y los accesos FTP o SFTP que pudieran estar expuestos. Usa contraseñas únicas y activa la verificación en dos pasos cuando esté disponible. La guía de miHosting sobre qué hacer si te han robado una contraseña explica cómo revisar estas cuentas.
No incluyas contraseñas, claves de acceso ni archivos de configuración en un ticket. Si soporte necesita acceso, utiliza el método seguro que te indique. Una vez limpia la web, cambia de nuevo las credenciales afectadas y cierra las sesiones activas siguiendo el procedimiento adecuado.
4. Conserva una copia antes de limpiar o restaurar
Pregunta al proveedor cómo guardar una copia de los archivos y la base de datos tal como están ahora, aunque sospeches que están infectados. Esta copia sirve para comparar e investigar; no es una copia segura para volver a publicar.
No restaures todavía la copia más reciente sin comprobarla. El acceso no autorizado podría haber empezado antes de que notaras los síntomas. Además, restaurar puede sobrescribir pedidos, formularios u otros datos añadidos después de la fecha de la copia. Antes de restaurar, conserva el estado actual y confirma qué datos se recuperarían y cuáles se perderían.
Qué información enviar a soporte
Describe los síntomas y pregunta qué registros o copias de seguridad están disponibles. El proveedor administra la infraestructura del hosting, mientras que WordPress, sus plugins y sus cuentas también requieren medidas de quien administra la web. La documentación de seguridad de WordPress explica esta responsabilidad compartida.
Puedes preparar un mensaje como este:
Dominio: example.com
Síntoma: redirección no autorizada en algunas páginas
Fecha y hora de detección: 8 de noviembre, 10:30 (hora peninsular española)
Mensaje o aviso exacto: [copiar el texto]
Cambios recientes: [actualización, plugin o cambio, si lo conoces]
Acciones realizadas: [solo las que ya hayas hecho]
Adjunta capturas sin datos privados. No envíes contraseñas ni claves API.
Si tu web guarda datos de clientes
Un WordPress hackeado no significa automáticamente que se hayan expuesto datos personales. Si hay indicios de que alguien accedió a datos de clientes, pedidos o usuarios, informa de inmediato a la persona responsable de privacidad o protección de datos de tu organización.
Para organizaciones sujetas al RGPD, la AEPD indica que el responsable debe valorar el riesgo de la brecha. Cuando sea probable que exista riesgo para los derechos y libertades de las personas, debe notificarla a la autoridad de control sin dilación y dentro de las 72 horas desde que tiene constancia. Consulta las instrucciones de la AEPD sobre notificación de brechas.
Después de contener el problema
Cuando hayas limitado la exposición y guardado la información necesaria, pasa a la limpieza y recuperación. Sigue esta guía sobre cómo recuperar un WordPress hackeado. Si el navegador muestra una advertencia de sitio peligroso, consulta también qué significa ese aviso y qué pasos seguir.
Si quieres que un técnico se encargue de la recuperación, solicita la restauración garantizada de WordPress de miHosting por 169 USD. Si no conseguimos restaurar tu sitio, te devolvemos el dinero. El servicio también está disponible para webs alojadas con otros proveedores.