Aparecen cosas raras en tu web. Un banner que no pusiste, enlaces que llevan a sitios que no conoces, o peor: no puedes acceder al administrador. La primera reacción es entrar en pánico y querer borrarlo todo. No lo hagas.
Lo primero que hay que saber: la mayoría de los "hackeos" en webs pequeñas no son ataques dirigidos. Nadie quiere tu web en concreto. Son scripts automáticos que recorren internet buscando vulnerabilidades conocidas: plugins (los programas que añaden funciones a tu web) sin actualizar, contraseñas débiles o versiones antiguas de WordPress. Cuando encuentran una, dejan su carga. Es como alguien que prueba todas las puertas de una calle hasta que encuentra una abierta.
Señales de que algo va mal
No siempre es evidente. A veces el hackeo es invisible para ti pero visible para tus visitantes. Estas son las señales más comunes:
- No puedes entrar al administrador de WordPress. Cambiaron la contraseña o el correo asociado a la cuenta.
- Aparecen contenidos que no has puesto. Anuncios, enlaces a webs raras, páginas nuevas que no creaste.
- Tus visitas ven ventanas emergentes o redirecciones. Cuando alguien entra a tu web, es redirigido a otra página sin que tú lo sepas.
- Google marca tu web como "puede estar hackeada". Si buscas tu web en Google y aparece ese aviso rojo, Google ya ha detectado el problema antes que tú.
- Recibes correos de tus visitantes diciendo que vieron cosas raras. Eso suele ser lo que finalmente te alerta.
De todas estas, la más frecuente con diferencia es la segunda: contenidos extraños que no pusiste. Nueve de cada diez veces que alguien me dice "creo que me han hackeado" es porque aparece una página en su web que ellos no crearon, normalmente con enlaces a farmacias online o casas de apuestas.
Compruébalo tú mismo: Abre tu web en un navegador donde no hayas entrado nunca (o usa el modo incógnito). Si ves algo que no pusiste tú, algo va mal. También puedes pegar tu URL en SiteCheck de Sucuri, una herramienta gratis que escanea tu web en busca de código malicioso.
Paso 1: no toques nada, haz una copia
El instinto es empezar a borrar cosas. No lo hagas. Antes de tocar nada, necesitas una copia de seguridad del estado actual. Si borras archivos sin saber lo que haces, puedes perder pruebas y empeorar la situación.
Si tienes acceso al panel de control del hosting, busca la opción de hacer una copia de seguridad o descargar los archivos. Si no, pide al soporte del hosting que te la hagan. Ni siquiera hace falta que la restaures ahora; solo tenerla guardada ya te permite experimentar sin miedo a perderlo todo.
Paso 2: cambia todas las contraseñas
Desde un ordenador que sepas que está limpio (no desde el mismo desde el que administrabas la web), cambia estas contraseñas en este orden:
- La contraseña del correo asociado al dominio.
- La contraseña del panel de control del hosting.
- La contraseña de la base de datos (desde el hosting).
- La contraseña del administrador de WordPress.
Si no puedes acceder a WordPress, muchos hosting permiten cambiar la contraseña directamente desde el panel de control de la base de datos. Busca "cambiar contraseña phpMyAdmin" en Google y sigue las instrucciones de tu proveedor.
Paso 3: actualiza todo lo que esté sin actualizar
Los scripts automáticos aprovechan vulnerabilidades conocidas que ya están parcheadas en versiones recientes. Si tu WordPress, tus plugins o tu tema están desactualizados, por ahí han entrado. Actualiza todo lo que puedas.
Si no puedes acceder al administrador por el hackeo, algunos hosting permiten actualizar WordPress desde el panel de control con un clic.
El Instituto Nacional de Ciberseguridad (INCIBE) tiene una guía práctica para recuperar una web hackeada con el paso a paso oficial. Si lo tuyo es más de leer antes de tocar, viene bien para confirmar que no te estás saltando nada.
Paso 4: limpia con un plugin de seguridad
Si después de cambiar contraseñas y actualizar puedes acceder de nuevo a WordPress, instala un plugin de seguridad como Wordfence o Sucuri. La versión gratuita escanea tu web, encuentra archivos modificados y elimina código malicioso.
A veces no es suficiente y toca restaurar desde una copia de seguridad anterior al hackeo. Si tienes una copia limpia de hace semanas, ese es el camino más rápido. Si no, toca limpiar archivo por archivo o pedir ayuda profesional. Y ahí el precio ya no son 30 euros de un plugin.
Después de la limpieza: prevención
Una vez solucionado, esto es lo que evita que vuelva a pasar:
- Actualizaciones automáticas. Activa las actualizaciones automáticas de WordPress. La mayoría de los ataques entran por vulnerabilidades que ya estaban parcheadas.
- Contraseñas fuertes. No uses "admin123" ni "wordpress". Usa un gestor de contraseñas y genera una de 16 caracteres.
- Dos factores de autenticación. Un plugin como Google Authenticator añade un segundo paso al acceso. Sin el código que genera tu móvil, no se puede entrar aunque tengan la contraseña.
- Menos plugins, menos riesgo. Cada plugin que instalas es una posible puerta de entrada. He visto webs con 50 plugins instalados, la mayoría olvidados, y en cuanto los auditas aparecen tres con vulnerabilidades conocidas. Mantén solo los que realmente necesitas.
He visto alguna web hackeada por un plugin que no se actualizaba desde hace años, por una contraseña que era "admin123" y por un tema pirata que traía código oculto desde el principio. En los tres casos, la solución fue más sencilla de lo que el dueño pensaba. Y en los tres casos, se podía haber evitado.