Me han hackeado la web de WordPress: qué hacer en las primeras horas

Abres tu web y te manda a una página de apuestas. O un cliente te escribe porque Google le dice que tu sitio es peligroso. O el hosting te manda un correo diciendo que han suspendido la cuenta por malware. Es un mal rato, pero tiene arreglo, y lo que hagas en las primeras horas cuenta. Esto es lo que te recomendamos, en orden.

Cómo saber si de verdad te han hackeado

Algunas señales son claras y otras no tanto. Estas son las más habituales:

• La web redirige a otras páginas, a veces solo desde el móvil o solo si llegas desde Google.
• Google o el navegador muestran un aviso rojo de «sitio peligroso» o «engañoso».
• En los resultados de Google salen páginas en japonés o de productos que no vendes.
• El hosting te avisa de malware o ha suspendido la web.
• Hay usuarios administradores que no conoces, o tu contraseña ya no funciona.
• Aparecen enlaces o textos raros al final de las páginas.

Si solo ves que la web va lenta, puede ser otra cosa. Si ves cualquiera de las de arriba, sigue leyendo.

Las primeras horas: qué hacer

1. No borres nada todavía. La tentación es entrar y eliminar lo que parece raro, o restaurar la primera copia que encuentres. Si borras sin saber por dónde entraron, pierdes las pistas y el agujero sigue abierto. Restaurar una copia tampoco sirve si esa copia ya estaba infectada o si el plugin vulnerable sigue ahí.

2. Haz una copia del estado actual. Aunque esté infectada. Ahí están tus páginas, tus productos y tus pedidos de los últimos días. La mayoría de hostings permiten descargar una copia desde su panel.

3. Cambia las contraseñas importantes. La del panel del hosting, la del correo asociado a la web y las de los administradores de WordPress, si todavía puedes entrar. Hazlo desde un ordenador que sepas que está limpio.

4. Avisa a tu hosting. Cuéntales lo que ves y pregunta si han detectado algo. A veces ya saben qué archivo está infectado, y si te han suspendido la cuenta, te dirán qué necesitan para reactivarla.

5. Si tienes tienda online, piensa en tus clientes. Si sospechas que han podido tocar datos de clientes, apunta lo que sabes y desde cuándo. Si hay datos personales afectados, puede que tengas que comunicarlo a la Agencia Española de Protección de Datos en un plazo de 72 horas: consúltalo con quien te lleve la protección de datos.

Qué no hacer

• No instales cinco plugins de seguridad a la vez. Se pisan entre ellos, ralentizan la web y no limpian lo que ya está dentro.
• No pidas a Google que revise la web antes de limpiarla. Si la revisión falla, la siguiente tarda más.
• No lo dejes para la semana que viene. Mientras la web siga infectada, Google la va bajando en los resultados y los visitantes ven el aviso rojo.

Qué hace falta para limpiarla de verdad

Limpiar una web hackeada no es solo borrar el archivo raro. Hay que averiguar por dónde entraron (casi siempre un plugin o un tema sin actualizar), revisar los archivos y la base de datos, quitar los usuarios que no son tuyos, reinstalar WordPress y los plugins desde sus fuentes oficiales, cerrar el agujero y, al final, pedir a Google que revise la web para que quite el aviso. Si te saltas un paso, lo normal es que en unas semanas vuelva a pasar.

Si te ves con conocimientos y tiempo, se puede hacer por tu cuenta. Si no, es el momento de pedir ayuda. Recuperamos webs WordPress hackeadas en remoto, para negocios de cualquier isla: primero te decimos gratis qué ha pasado y cuánto cuesta arreglarlo, y después decides.

Y para que no vuelva a pasar

La mayoría de los hackeos que vemos tienen la misma causa: plugins sin actualizar y ninguna copia de seguridad fuera del servidor. Si quieres saber cómo está tu web ahora mismo, el checklist gratuito de seguridad te lo dice en unos minutos. Y si prefieres no tener que estar pendiente, eso es justo lo que hace el mantenimiento WordPress.