Cuando se habla de una web hackeada, casi todo el mundo imagina una portada sustituida por un mensaje del atacante. Ocurre, pero es lo menos habitual. La mayoría de las intrusiones buscan pasar desapercibidas el mayor tiempo posible: utilizan tu web para enviar correo basura, redirigir visitas a otras páginas o alojar contenido que nunca verás desde el panel. Por eso conviene saber qué señales indican que algo no va bien.
Señales de que alguien ha entrado
Ninguna de estas señales confirma por sí sola un ataque, pero si aparecen varias a la vez, merece la pena revisarlo cuanto antes.
- Google muestra en los resultados títulos o descripciones que no son tuyos, a menudo de farmacia, apuestas o réplicas de marcas.
- Algunas visitas, sobre todo desde el móvil o desde Google, acaban en otra web distinta a la tuya.
- El navegador o Search Console avisan de que el sitio puede ser peligroso.
- Aparecen usuarios administradores que nadie recuerda haber creado.
- Tu proveedor de alojamiento te avisa de un consumo anormal o del envío masivo de correos.
- La web va mucho más lenta de lo normal sin que hayas cambiado nada.
Errores que conviene evitar
La primera reacción suele ser borrar lo que parece extraño y cambiar la contraseña. Es comprensible, pero tiene un problema: si no se localiza por dónde entró el atacante, lo más probable es que vuelva a entrar en pocos días, y además se pierden pistas útiles para saber qué ha ocurrido.
Restaurar una copia antigua sin cerrar la puerta por la que entraron solo devuelve la web al estado en que era vulnerable.
Los pasos de las primeras horas
- Guarda una copia del estado actual, aunque esté infectado: sirve para analizar el ataque.
- Cambia las contraseñas del panel de WordPress, del alojamiento, del FTP y de la base de datos, y revisa los usuarios administradores.
- Si hay redirecciones o contenido peligroso, pon la web en modo mantenimiento mientras se limpia.
- Revisa archivos y base de datos en busca de código inyectado, no solo los temas y plugins visibles.
- Localiza el origen: un plugin sin actualizar, una contraseña débil o un acceso compartido suelen estar detrás.
- Cuando esté limpia, solicita a Google una revisión desde Search Console para que retire los avisos de seguridad.
Después de limpiar: que no vuelva a pasar
Una web limpia sin cambios en su mantenimiento es una web que volverá a caer. Las medidas que más reducen el riesgo son sencillas: actualizaciones revisadas cada semana, copias diarias guardadas fuera del servidor, contraseñas únicas con doble factor para los administradores y alguien que vigile los accesos y reciba los avisos antes de que los notes tú.
Si sospechas que tu web puede estar comprometida, cuanto antes se revise, más fácil será limpiarla y menos daño hará en tu posicionamiento.
