Si notas comportamientos extraños en tu web, tu sitio puede estar comprometido. Por ejemplo, tu página podría redirigir usuarios a sitios no deseados o mostrar contenido/​anuncios que tú no agregaste​. También es común que aparezcan alertas de seguridad en el navegador o advertencias de Google sobre malware​. Otros indicios son un bloqueo del acceso al administrador (no puedes entrar al panel de WordPress), cuentas de usuario desconocidas con permisos de administrador, o archivos y enlaces raros que encuentras en el administrador de archivos​. Además, puede haber una caída repentina del tráfico y notificaciones de correo rebotadas, lo que sugiere actividad maliciosa en tu sitio​.

Pasos urgentes al detectar el hackeo

Cuando confirmes que tu sitio fue hackeado, actúa de inmediato siguiendo estos pasos básicos:

• Activa el modo de mantenimiento. Si aún tienes acceso al panel, pon tu sitio en modo mantenimiento cuanto antes. Esto impide que más visitantes entren al sitio comprometido y protege su información mientras lo arreglas​.
• Cambia todas las contraseñas. Restaura las claves de administrador de WordPress, FTP, bases de datos y acceso al hosting. Al haber sido hackeado, tus credenciales podrían estar comprometidas, por lo que es vital elegir contraseñas largas y aleatorias​. Usa gestores de contraseñas o genera claves de al menos 12–16 caracteres con letras, números y símbolos, y activa la autenticación en dos pasos (2FA) para mayor seguridad​.
• Notifica a tu proveedor de hosting. Informa al servicio de alojamiento que tu sitio fue hackeado. Ellos pueden ayudarte a restaurar el acceso y verificar si otros sitios en el servidor están afectados​. Algunos hosts incluso ofrecen restaurar copias de seguridad internas.
• Haz copia de seguridad del sitio comprometido. Antes de hacer cualquier otra cosa, descarga una copia de todos tus archivos y base de datos tal y como están. Esto preserva evidencia y te permite comparar luego los archivos maliciosos. No sobrescribas ni borres tu respaldo anterior: guarda esta nueva copia por si la necesitas más tarde​.

Herramientas para escanear y limpiar el sitio

Existen plugins y servicios gratuitos que facilitan la detección y eliminación de malware. Algunas herramientas recomendadas son:

• Wordfence Security: Plugin muy popular con firewall y escáner de malware. Examina automáticamente todo tu sitio, detectando inyecciones de código, redirecciones maliciosas y backdoors. Compara la integridad de archivos con las versiones oficiales de WordPress y puede reemplazar archivos infectados​.
• Sucuri (SiteCheck): Sucuri ofrece un escáner en línea gratuito (SiteCheck) donde ingresas la URL de tu sitio para revisar malware, errores de seguridad y listas negras​. También tiene un plugin que analiza cambios en archivos de WordPress y envía alertas por correo si detecta problemas​.
• Jetpack Protect: Un plugin gratuito de Automattic (WordPress.com) que realiza escaneos automáticos frecuentes contra miles de tipos de malware conocidos​. Además, Jetpack puede avisarte sobre vulnerabilidades en tus plugins o temas.
• Otros plugins de seguridad: Existen alternativas como iThemes Security, SecuPress o Titan Anti-Spam y Seguridad, que ofrecen auditorías y escaneos de vulnerabilidades​. Aunque no limpian malware automáticamente en sus versiones gratuitas, ayudan a reforzar la protección (firewall, bloqueo de inicio de sesión, etc.).

Usa también servicios adicionales (por ejemplo, Sucuri SiteCheck o Google Safe Browsing) para un escaneo rápido. En general, lo más práctico es instalar un plugin de seguridad, ejecutar un análisis completo y seguir sus recomendaciones de limpieza o restauración de archivos. Muchos plugins incluso alertan si encuentran nuevos problemas.

Cómo restaurar el sitio

Al arreglar un sitio hackeado, la forma más rápida y segura suele ser restaurar desde una copia de seguridad limpia​. Si dispones de un respaldo reciente donde el sitio funcionaba correctamente, úsalo para devolver tu web a ese estado. Muchos proveedores de hosting mantienen backups automáticos diarios; pregunta si pueden restaurar tu sitio a una fecha anterior al hackeo​.

Si no tienes una copia de seguridad intacta, procede primero a limpiar el malware como se indicó arriba (plugins de escaneo o eliminación). Una vez eliminadas las amenazas, revisa que la instalación base de WordPress esté intacta. En caso de duda, reinstala los archivos principales de WordPress: descarga la última versión oficial de WordPress y sube los archivos nuevos por FTP o desde el panel (esto reemplaza los archivos potencialmente dañados)​. Por último, actualiza todos tus plugins y temas a versiones seguras y vuelve a publicar el sitio. Tras la restauración, revisa que todo funcione bien (formularios, enlaces, etc.) antes de quitar el modo mantenimiento.

Medidas preventivas para el futuro

Para reducir el riesgo de futuros hackeos, aplica buenas prácticas de seguridad:

• Instala plugins de seguridad: Mantén activos complementos reconocidos (Wordfence, Sucuri Security, iThemes Security, etc.)​. Estos ofrecen funciones como firewall, escaneo periódico y bloqueo de ataques de fuerza bruta.
• Usa contraseñas seguras y 2FA: Genera contraseñas largas (16 caracteres o más) con mezcla de letras, números y símbolos, y no reutilices claves. Activa la autenticación en dos pasos para todas las cuentas administradoras​. También limita los intentos de inicio de sesión fallidos, ya sea con un plugin de seguridad o ajustes del servidor​.
• Mantén todo actualizado: Actualiza siempre WordPress, plugins y temas a las últimas versiones disponibles. Las actualizaciones corrigen vulnerabilidades conocidas, por lo que un sitio actualizado es mucho más seguro​. Elimina cualquier plugin o tema que no utilices; incluso inactivos pueden suponer riesgos.
• Gestiona bien los usuarios: Revisa periódicamente los usuarios registrados en tu sitio. Borra cuentas de administrador innecesarias o sospechosas y asigna el rol mínimo requerido a cada usuario​. Evita usar el nombre de usuario por defecto “admin”.
• Monitoreo y respaldos regulares: Programa copias de seguridad automáticas frecuentes (por ejemplo, con plugins como UpdraftPlus o Jetpack Backup) y guárdalas fuera del servidor. Asimismo, considera usar un servicio de monitoreo de disponibilidad (como Jetpack Monitor) que te alerte por correo si tu sitio cae o detecta actividad inusual.

Implementar estas medidas fortalecerá la seguridad de tu web y te ayudará a detectar problemas antes de que escalen.

Tener un sitio WordPress hackeado es estresante, pero es crucial actuar rápido para minimizar daños​. En cuanto detectes la intrusión, pon el sitio en mantenimiento, cambia contraseñas, haz un respaldo y comunica el incidente. Luego utiliza herramientas de escaneo para limpiar el malware y restaura el sitio desde una copia segura. En el futuro, asegúrate de estar preparado con copias de seguridad periódicas y buenas prácticas de seguridad. Una respuesta rápida y una preparación adecuada son la mejor defensa para proteger tu sitio web.