WordPress hackeado: qué hacer en la primera hora (y qué no tocar)

Respuesta corta

Si tu WordPress está hackeado: copia todo antes de tocar nada, cambia las contraseñas desde un equipo limpio, pon el sitio en mantenimiento y revisa Search Console. No borres archivos al azar ni restaures una copia sin saber por dónde entraron. Si necesitas ayuda ahora, la recuperación de WordPress hackeado empieza por WhatsApp en horas y cuesta desde 250 USD o 240 €.

Síntomas: cómo saber si te han hackeado

• Tu web redirige a otra (apuestas, farmacia, criptomonedas), a menudo solo desde el móvil o solo cuando llegas desde Google.
• Google muestra “Este sitio puede estar pirateado” bajo tu resultado.
• Aparecen usuarios administradores que no creaste.
• Hay archivos .php nuevos en wp-content/uploads, donde solo debería haber imágenes.
• El hosting suspende la cuenta o te avisa de envío masivo de spam.
• Search Console muestra miles de páginas indexadas en japonés o con palabras que no son tuyas.

Los seis pasos de la primera hora

1. Haz una copia completa de archivos y base de datos tal como están. Es tu prueba forense y tu red de seguridad.
2. Cambia contraseñas del panel del hosting, FTP o SFTP, base de datos y todos los administradores, desde un equipo que sepas limpio.
3. Pon el sitio en mantenimiento para que los visitantes no sigan siendo redirigidos.
4. Revisa Search Console, apartado Seguridad y acciones manuales, para saber si Google ya te ha marcado.
5. Anota qué cambió recientemente: plugins instalados o actualizados, accesos dados a terceros, cambios de tema.
6. Avisa a quien gestiona los datos personales si el sitio tiene formularios, cuentas de cliente o tienda.

Qué no hacer

• No borres archivos sospechosos al azar. Puedes romper el sitio y dejar la puerta trasera real intacta.
• No restaures una copia sin haber cerrado el punto de entrada: la infección vuelve.
• No instales cinco plugins de seguridad a la vez sobre un sitio ya comprometido.
• No solicites la revisión a Google hasta estar seguro de que está limpio; un rechazo alarga el proceso.

Cuánto cuesta una limpieza profesional

Incluye copia forense, limpieza, cierre del punto de entrada, endurecimiento y solicitud de revisión a Google. El precio final se confirma tras el triaje, antes de empezar.

Cómo evitar que vuelva a pasar

La mayoría de infecciones entran por un plugin o tema desactualizado o por una contraseña reutilizada. Lo que funciona: actualizaciones semanales con copia previa, doble factor en administradores, un firewall de aplicación y monitoreo de cambios en archivos. Es lo que cubren las actualizaciones preventivas y la protección web.

Si estás en España

Muchos hostings españoles suspenden la cuenta al detectar malware, y si hay datos personales expuestos corre el plazo de 72 horas del RGPD. Lo explicamos en recuperar WordPress hackeado en España.