Mi sitio WordPress fue hackeado: qué hacer, paso a paso

• Redirecciones raras: el sitio te manda a páginas de apuestas, farmacia o estafas, a veces solo desde el celular o solo si vienes de Google.
• Contenido que no pusiste: anuncios, páginas nuevas, enlaces ocultos en el pie o textos en otros idiomas.
• Usuarios administradores desconocidos o plugins que no instalaste.
• Advertencia de Google al abrir el sitio o aviso de seguridad en Search Console.
• Lentitud repentina o el hosting te avisa de consumo excesivo de recursos.
• Correos que no salen o que caen en spam porque desde tu sitio se envían mensajes masivos.

Si ves una sola de estas señales, trátala en serio. Muchas infecciones están diseñadas para que el dueño no se entere: el sitio se ve normal para ti y es malicioso para los visitantes.

• No borres nada a ciegas. Lo que ves es el síntoma, no la causa. Borrar sin entender puede dejar la puerta abierta y destruir las pistas.
• Haz una copia completa del estado actual (archivos y base de datos) antes de tocar nada. Sirve para investigar cómo entraron y como punto de retorno si algo sale mal.
• Limita el daño: si el sitio infecta a los visitantes, ponlo en modo mantenimiento o bloquéalo mientras trabajas.
• Cambia las claves desde un equipo limpio: administradores de WordPress, panel del hosting, FTP o SSH, base de datos y el correo asociado.
• Cierra todas las sesiones abiertas regenerando las claves y salts de wp-config.php.

Los atacantes rara vez dejan un solo archivo. Estos son los lugares que conviene revisar:

• Usuarios: cuentas de administrador que no reconoces.
• Plugins y temas: nombres extraños, carpetas que no corresponden a ningún plugin real y los llamados mu-plugins, que se cargan siempre y no aparecen en la lista normal.
• Carpeta de subidas (uploads): ahí no debería haber archivos .php.
• Archivos del núcleo y de configuración: wp-config.php, .htaccess, index.php modificados, y un archivo db.php dentro de wp-content que no instalaste.
• Base de datos: opciones, entradas y widgets con scripts inyectados.
• Tareas programadas (cron): trabajos que descargan y reinstalan el malware cada cierto tiempo.

Hay dos caminos y los dos requieren el mismo paso previo: entender y cerrar la causa. Un respaldo contiene la misma vulnerabilidad que permitió el ataque; si lo restauras sin actualizar nada, te vuelven a entrar.

Restaurar es más rápido cuando tienes un respaldo de una fecha comprobadamente anterior a la infección. Limpiar es necesario cuando no hay respaldo limpio: se reinstala WordPress y cada plugin desde su fuente oficial, se eliminan los archivos ajenos, se revisan la base de datos y los usuarios, y se verifica el resultado antes de reabrir.

• Plugins y temas desactualizados o abandonados. Es la puerta más frecuente, sobre todo en los premium que dejaron de recibir actualizaciones al vencer la licencia.
• Plugins pirateados (nulled). Muchos vienen con puertas traseras incluidas.
• Contraseñas débiles o reutilizadas y sin verificación en dos pasos.
• Un hosting contaminado: otro sitio en la misma cuenta infectó al tuyo.
• Permisos de archivos demasiado abiertos y accesos de antiguos colaboradores que nunca se eliminaron.

Si Google marcó tu sitio, entra a Search Console, revisa la sección de seguridad y solicita una revisión una vez que el sitio esté limpio. Mientras no lo hagas, los visitantes seguirán viendo la advertencia.

• Actualiza el núcleo, los plugins y los temas, y elimina los que no uses.
• Activa la verificación en dos pasos y limita los intentos de inicio de sesión.
• Mantén respaldos diarios y pruébalos restaurando: un respaldo que nunca se probó es solo una esperanza.
• Pon monitoreo y alertas para enterarte antes que tus clientes.

• Pagar a quien promete limpiar el sitio sin hacer antes un diagnóstico.
• Dar por resuelto el problema porque ya no ves la redirección.
• Restaurar un respaldo y publicar de inmediato sin actualizar.
• Borrar los registros (logs): son la evidencia de cómo entraron.

Si prefieres que alguien se encargue de todo esto de forma continua, mira el servicio de hospedaje y mantenimiento web, o empieza con la auditoría gratuita de tu sitio.