Página web hackeada: qué hacer las primeras 24 horas

¿Cómo puedo ver si me hackearon? Las señales

Casi nunca el sitio «se rompe» de golpe: avisa con una señal. Estas son las más comunes:

• Textos, enlaces o anuncios que tú no pusiste, a veces ocultos y solo visibles en Google o en el código.
• Un aviso rojo de Google o del navegador al entrar («Sitio engañoso», «Este sitio puede dañar tu equipo»).
• El sitio te manda a otras páginas, sobre todo al abrirlo desde el celular o desde Google.
• Tu dominio manda correos de spam, o tus propios correos empiezan a caer en la carpeta de no deseados.
• Tu hosting te avisa de malware o suspende la cuenta.
• Hay usuarios administradores que no creaste en el escritorio del sitio.
• Aparecen archivos nuevos o con fechas recientes en el hosting que nadie subió.
• En Google Search Console, el apartado «Problemas de seguridad» muestra un aviso.

Si ves una sola de estas señales, trátala como un hackeo hasta demostrar lo contrario y pasa a la siguiente sección. Si prefieres que lo revisen por ti, la limpieza de sitio hackeado a precio fijo empieza con un respaldo completo.

Hora 0 a 1: qué hacer primero (y qué no)

Qué sí hacer

1. No borres ni reinstales nada todavía. Los archivos modificados son la evidencia de cómo entraron y de qué tocaron.
2. Usa un dispositivo limpio (uno donde no haya pasado nada raro, con el sistema y el antivirus al día) para todo lo que sigue. Si el hackeo vino de una computadora infectada, cambiar contraseñas desde ella no sirve.
3. Cambia las contraseñas en este orden: la cuenta del hosting, la del dominio, el correo asociado a esas cuentas, el administrador del sitio y, si tienes el acceso, la contraseña de la base de datos y las de FTP o SFTP. Usa contraseñas largas y distintas en cada una.
4. Cierra las sesiones abiertas y revisa la lista de usuarios del sitio: si hay administradores que no conoces, anótalos (con captura) antes de quitarlos.
5. Activa la verificación en dos pasos en el hosting, el dominio y el correo, donde exista.

Qué no hacer

• No pagues ningún «rescate» ni respondas a quien te lo pida: no garantiza nada y marca tu sitio como pagador.
• No instales cinco plugins de seguridad de golpe. Pueden chocar entre sí, tumbar el sitio y esconder lo que buscas.
• No restaures el último respaldo a ciegas: si el sitio ya estaba infectado cuando se hizo, restauras el problema. Primero hay que saber la fecha del hackeo.
• Antes de avisar a tus clientes, confirma qué pasó y si hubo datos de por medio, y consulta con un asesor legal la redacción y los tiempos. Un aviso apresurado y sin datos genera más alarma que ayuda.

Hora 1 a 4: aislar el sitio y guardar evidencia

Mientras el sitio siga en línea, puede infectar a tus visitantes, mandar spam y dañar tu reputación en Google. Aíslalo:

1. Bloquéalo primero desde el hosting: pídele que lo aísle o lo apague, o activa desde su panel una página temporal de mantenimiento, mientras lo revisas. Muchos hostings lo hacen en minutos. No instales plugins en un sitio infectado.
2. Guarda una copia «sucia» tal como está, con la fecha en el nombre: archivos y base de datos, desde el panel de tu hosting. No la restaures nunca en producción; es solo evidencia y punto de comparación.
3. Localiza tu último respaldo limpio y anota su fecha. Si no existe ninguno, ya sabes que la limpieza será manual.
4. Revisa Google Search Console (apartado «Problemas de seguridad») y el correo asociado al hosting: ahí suelen llegar los avisos con detalles de qué URL y qué tipo de malware.
5. Avisa a tu hosting y pídele, por escrito, los registros de acceso y de errores de los últimos días: ayudan a ubicar la hora y la forma de la entrada.

Hora 4 a 24: limpiar tu sitio o pedir la limpieza

Seamos claros: limpiar bien un sitio hackeado es más que borrar un archivo sospechoso. Hay que comparar los archivos con una copia limpia del núcleo de WordPress, revisar plugins, temas, base de datos, usuarios, tareas programadas y el archivo .htaccess, y encontrar y cerrar la entrada. Un escáner gratuito te dice que hay algo; no siempre lo quita todo, ni dice por dónde entraron.

Cómo limpiar un WordPress infectado, en seis pasos

Esto es para quien sí tiene acceso al hosting y sabe lo que está tocando. Hazlo solo con la copia «sucia» ya guardada:

1. Respalda como está (si no lo hiciste ya) y no sobrescribas ese respaldo.
2. Cambia las contraseñas y las claves de seguridad del sitio (las salts de wp-config.php), lo que cierra todas las sesiones abiertas.
3. Reinstala el núcleo de WordPress desde la copia oficial, sin tocar la carpeta wp-content ni wp-config.php, que también se revisa a mano en busca de código que no pusiste.
4. Revisa plugins y tema: borra los que no uses y reinstala los que sí desde su fuente oficial. Desconfía de plugins o temas «gratis» de origen desconocido.
5. Busca lo que no debería estar: archivos .php dentro de uploads, usuarios administradores desconocidos, tareas programadas raras y reglas extrañas en .htaccess.
6. Actualiza todo y prueba el sitio, incluido el formulario de contacto y, si hay tienda, una compra de prueba.

Cómo recuperar una página web hackeada: después de la limpieza

1. Pide a Google que revise el sitio. Si tenía el aviso rojo, en Search Console, en «Problemas de seguridad», solicita la revisión una vez limpio. Normalmente tarda unos días en resolverse.
2. Revisa las listas negras (de tu hosting, del navegador y de correo) por si el dominio quedó marcado.
3. Cambia otra vez todas las contraseñas. Si había una puerta trasera, la primera ronda pudo quedar comprometida.
4. Revisa si hubo datos expuestos. Si el sitio guardaba datos de clientes (formularios, pedidos, cuentas), es probable que debas avisarles. Consulta con un asesor legal la redacción y los tiempos antes de enviar nada.
5. Vigila las siguientes semanas: usuarios nuevos, archivos modificados y mensajes de tu hosting.

Por qué entraron y cómo evitar que vuelva a pasar

Los hackeos a páginas pequeñas rara vez son «ataques a ti»: son robots que buscan puertas abiertas. Casi siempre entran por:

• Plugins o temas sin actualizar, con fallas ya conocidas.
• Contraseñas débiles o reutilizadas en el sitio, el hosting o el correo.
• Formularios sin protección contra envíos automáticos.
• Hosting sin aislamiento entre sitios, donde otro sitio infectado contagia al tuyo.
• Plugins y temas «crackeados» o descargados fuera de su fuente oficial.

La mejor defensa es aburrida: actualizaciones con respaldo, firewall, escaneo y copias diarias. El plan Seguridad del mantenimiento ($3,190 MXN + IVA al mes) las incluye junto con el escaneo y la limpieza de malware: si algo pasa, la limpieza que por separado cuesta $5,900 MXN + IVA ya está cubierta. ¿Tu sitio lleva meses sin actualizarse? Lee cuánto cuesta mantener una página web.

Cuándo conviene pedir ayuda

Puedes hacer solo los primeros pasos: cambiar contraseñas, poner el sitio en mantenimiento y guardar una copia. La limpieza conviene dejarla a alguien con experiencia si:

• Ves el aviso rojo de Google o tu hosting suspendió el sitio.
• Vendes en línea o guardas datos de clientes.
• No tienes un respaldo limpio o no sabes de qué fecha es.
• Tu hosting te dio un plazo para resolverlo.
• Ya limpiaste y el problema regresó.

Para eso es el arreglo «Sitio hackeado / malware»: $5,900 MXN + IVA, precio fijo. Incluye limpieza, cierre de la entrada, endurecimiento y la solicitud de revisión a Google, con respaldo completo antes de tocar nada y 90 días de garantía si la misma falla regresa. Si es urgente, escríbenos desde esa página por WhatsApp («Es urgente»): un hackeo se atiende primero. El diagnóstico gratis también es una opción, normalmente en 24 h hábiles y sin contraseñas.

Publicado el 8 de octubre de 2026 por Juan Carlos Salgado. Los precios de EliteKode salen del catálogo vigente; los de terceros, de las fuentes citadas en la fecha indicada.