¿Han hackeado tu sitio de WordPress? Cómo comprobarlo y solucionarlo

Es el mayor temor de cualquier propietario de un sitio web: enterarse de que su sitio ha sido vulnerado. Aunque WordPress es una plataforma segura, todos los sitios web son vulnerables a los ataques, especialmente si no se han tomado las medidas necesarias para proteger su sitio frente a los hackers.

Pero si han hackeado tu sitio de WordPress y el daño ya está hecho, no está todo perdido. Hay varias formas de recuperar el contenido, reparar los daños y, lo más importante, proteger tu sitio web frente a futuros ataques.

En esta página responderemos a las siguientes preguntas:

1. Lista de comprobación de emergencia para recuperar tu sitio hackeado
2. Cómo saber si han hackeado tu sitio de WordPress
3. Por qué han hackeado tu sitio
4. Las cinco formas principales en que hackean un sitio de WordPress.
5. Cómo solucionar un sitio de WordPress hackeado
6. Cómo evitar que hackeen un sitio de WordPress
7. Preguntas frecuentes sobre los hackeos de WordPress

Lista de comprobación de emergencia en 7 pasos para recuperar tu sitio de WordPress hackeado

Si han hackeado tu sitio, el tiempo es crucial. Sigue estos pasos inmediatamente para recuperar el control y empezar con la limpieza.

1. Aísla tu sitio: Pon tu sitio de WP en modo de mantenimiento para evitar más daños y proteger a los visitantes.
2. Contacta con tu proveedor de alojamiento: Informa a tu proveedor de hosting. Puede ayudarte a identificar problemas del servidor y proporcionarte registros.
3. Analiza si hay malware: Usa una herramienta como Jetpack Scan para encontrar archivos maliciosos e inyecciones de código.
4. Cambia todas las contraseñas: Restablece inmediatamente las contraseñas del administrador de WordPress, del hosting, de SFTP y de tu base de datos.
5. Restaura una copia de seguridad limpia: Si tienes una copia de seguridad reciente y sin infecciones, como las de Jetpack Backup, restaurarla es la forma más rápida de recuperarte.
6. Limpia los archivos infectados: Si no puedes usar una copia de seguridad, elimina manualmente el malware o utiliza la función de solución con un solo clic de un plugin de seguridad.
7. Refuerza la seguridad de tu sitio: Una vez limpio, toma medidas inmediatas para proteger tu sitio frente a futuros ataques.

¿Cómo sé si han hackeado mi sitio de WordPress?

(Si ya sabes que han hackeado tu sitio, sáltate esta parte y descubre cómo solucionarlo.)

Si tu sitio se comporta de forma extraña y no sabes qué ocurre, no significa necesariamente que lo hayan hackeado. Podrías estar sufriendo un error de software, un problema con el hosting, un problema relacionado con la caché u otro de muchos posibles inconvenientes. A veces puede resultar difícil saber al principio si han hackeado tu sitio o si lo que estás experimentando se debe a otras causas. 

Señales de que han hackeado tu sitio:

1. Tu sitio web no carga. 

Hay muchas razones por las que tu sitio web podría no cargar. Un ataque malicioso es solo una de las muchas posibilidades. Cuando intentes cargar tu sitio, comprueba el mensaje de error que aparece. Algunos errores son tan genéricos que no resultan especialmente útiles para diagnosticar el problema de inmediato, pero saber qué tipo de error estás obteniendo es el primer paso para diagnosticar la causa. 

Estos son algunos de los errores más comunes de WordPress:

• Error interno del servidor HTTP 500. Este es el error más común que encontrarán los visitantes de un sitio web. En los sitios de WordPress, es posible que el error aparezca como «Error al establecer una conexión con la base de datos», «Error interno del servidor» o «Se agotó el tiempo de conexión». En los registros del servidor probablemente aparezca el código de error «HTTP 500». Es un error muy general y lo único concreto que indica es que hay un problema en el servidor de tu sitio. Podría deberse a un hacker, pero también podría ser un problema de configuración del servidor con tu proveedor de hosting, un problema de caché, plugins o software obsoletos o mal codificados, o código defectuoso. 
• Error HTTP 502: puerta de enlace incorrecta o servicio HTTP 503 no disponible. Aunque cada uno de estos errores es ligeramente diferente del otro, ambos indican un problema en el servidor. La causa más habitual de cualquiera de estos errores es un aumento repentino del tráfico o solicitudes HTTP, pero los mismos problemas que podrían provocar un error interno del servidor 500 también podrían provocar un error 502 o 503. Si no esperas un aumento repentino enorme del tráfico de tu sitio, es bastante probable que tengas un plugin defectuoso o que tu sitio esté siendo atacado. Otras posibles causas de los errores 502 y 503 son una configuración incorrecta del cortafuegos y problemas de configuración de la CDN (CDN). Si estás utilizando una plataforma de hosting compartido, es posible que otro sitio web de tu servidor esté experimentando un problema que provoque la caída de todo el servidor.
• 401 No autorizado, 403 Prohibido y Conexión rechazada por el host. Si recibes uno de estos mensajes de error, es porque ya no tienes permiso para acceder al contenido o al servidor. Los errores 401 y 403 suelen deberse a cambios en los permisos de los archivos o en las contraseñas, mientras que «Conexión rechazada por el host» podría deberse a una contraseña incorrecta o a un problema de configuración del puerto del servidor. Si no has cambiado tus contraseñas ni los permisos de los archivos, es muy posible que el culpable sea un hacker.

¿No aparece aquí tu error? Consulta esta lista completa de errores que impiden que tu sitio cargue.

2. No puedes acceder al panel de administración de tu sitio de WordPress.

Si no puedes acceder al panel de administración de tu sitio de WordPress, lo primero que debes hacer es restablecer tu contraseña. Si gestionas muchos sitios web, es posible que simplemente hayas olvidado que cambiaste la contraseña de un sitio concreto. 

Si no recibes los correos electrónicos para restablecer la contraseña, puede deberse a que tu sitio utiliza la función mail() nativa de WordPress en PHP. Los proveedores de correo electrónico como Gmail, Yahoo y Outlook suelen bloquear los correos enviados mediante la función mail() de PHP. Si todavía no utilizas un servidor SMTP para enviar correos electrónicos desde tu sitio web, esta podría ser la causa. Si nunca has tenido problemas para entregar correos electrónicos o ya utilizas un servidor SMTP para los correos de tu sitio, quizá sea el momento de preocuparte por que tu cuenta haya sido comprometida. 

Es posible que un hacker haya accedido a tu cuenta y cambiado tu contraseña y la dirección de correo electrónico asociada. Si recibes un error que dice «Error: el nombre de usuario “yourusername” no está registrado en este sitio», es probable que el hacker haya eliminado tu cuenta y creado una nueva cuenta de administrador para sí mismo. 

3. Recibes un mensaje de advertencia sobre malware cuando buscas tu sitio en Google o intentas cargarlo.

Google Safe Browsing detecta los sitios no seguros y muestra un mensaje de advertencia sobre malware cuando un usuario intenta visitarlos. Todos los navegadores principales utilizan los datos de Safe Browsing de Google para alertar a los visitantes de la presencia de malware. Si ves esta alerta en tu sitio, probablemente te hayan hackeado.

4. Aparecen cambios en tu sitio que no has realizado.

Algunos hackers inyectan contenido para intentar obtener información personal de los visitantes mediante phishing o redirigirlos a otros sitios web con fines maliciosos. Si ves en tu sitio contenido que tú u otro usuario autorizado no hayas creado, es probable que te hayan hackeado.

Estos cambios pueden ser tan evidentes como que sustituyan toda la página de inicio por contenido nuevo, una ventana emergente extraña o anuncios en un sitio que no debería mostrar publicidad. Pero también pueden ser más discretos, como enlaces o botones en tu sitio que no hayas creado.

A veces los hackers utilizan spam en la sección de comentarios o esconden enlaces en lugares que dificultan encontrarlos todos. Pueden añadir enlaces en lugares poco visibles, como el pie de página, o insertarlos aleatoriamente en el contenido de las entradas. También pueden sustituir los enlaces de botones que ya tienes en tu sitio.

5. Los anuncios de tu sitio dirigen a los usuarios a sitios web sospechosos.

Si sueles publicar anuncios en tu sitio, es posible que tardes en darte cuenta de que alguno dirige a un sitio web malicioso. Los hackers que utilizan la «publicidad maliciosa» emplean anuncios para dirigir a los visitantes a sitios de phishing y malware. Este tipo de hackeos puede pasar desapercibido fácilmente, especialmente en los anuncios de redes de publicidad gráfica, donde el sitio web no controla necesariamente los anuncios exactos que se muestran.

Si encuentras anuncios de este tipo alojados en tu sitio, debes eliminar inmediatamente el anuncio infractor y la cuenta de usuario del anunciante. Si el anuncio se publica a través de una red de publicidad gráfica, puedes desactivar temporalmente los anuncios de tu sitio y avisar a la red para que lo retire de su sistema.

6. El rendimiento de tu sitio cae de repente: se carga muy lentamente o muestra errores de tiempo de espera.

Es posible que tu sitio cargue, pero si lo hace con una lentitud inusual o ves tiempos de espera agotados del servidor, lo más probable es que la causa sea un servidor sobrecargado. Esto puede deberse a un intento de hackeo, a un plugin defectuoso o a cualquier otro elemento de tu sitio que esté consumiendo demasiados recursos del servidor.

7. Tu sitio te redirige a otro sitio.

Son malas noticias. Si intentas visitar tu sitio y, en su lugar, acabas en otro sitio web, te han hackeado sin ninguna duda. El hacker tendría que obtener acceso a los archivos de tu servidor o a la cuenta de tu registrador de dominios.

Si consiguieran acceder a la cuenta de tu registrador, podrían añadir una redirección 301 a tus entradas de DNS. Si accedieran a tu sitio descifrando una contraseña de administración de WordPress u obteniendo tus credenciales de FTP, podrían añadir código de redirección a varios archivos de tu sitio, incluidos los archivos index.php o wp-config.php.

8. Los clientes se ponen en contacto contigo por cargos no autorizados.

Si utilizas WooCommerce u otro sistema de comercio electrónico y recibes reclamaciones por cargos no autorizados, es posible que hayas sufrido una filtración de datos. Alguien podría haber hackeado tu sitio web o tu pasarela de pago.

WooCommerce no almacena números de tarjetas de crédito ni códigos de seguridad en tu sitio web, pero en tu base de datos sí se guardan otros datos, como los nombres, las direcciones y las direcciones de correo electrónico de los clientes. Los hackers podrían utilizar esta información para robar la identidad de tus clientes o iniciar cargos con tarjetas de crédito robadas.

9. Detectas cuentas de usuario nuevas y desconocidas, o credenciales de FTP/SFTP.

Es posible que no compruebes habitualmente tu lista de cuentas de usuario. Pero si gestionas un sitio grande que permite a los usuarios registrarse, procura revisar periódicamente la lista de usuarios del panel de administración de WordPress para detectar cuentas de spam. Si observas cuentas de administrador, editor o gestor de tienda que no hayas creado, es posible que te hayan hackeado.

Las cuentas de spam suelen ser creadas por bots. Puede que no siempre obtengan acceso a ningún archivo principal, pero aun así pueden causar daños graves al dejar spam en la sección de comentarios, perjudicar tu reputación, hacer crecer innecesariamente tu base de datos y dirigir a tus usuarios a sitios web dañinos o a malware.

También deberías prestar mucha atención a tus cuentas del Protocolo de transferencia de archivos (FTP). Si contrataste a un desarrollador para crear tu sitio y el trabajo técnico que realizas para mantenerlo es bastante limitado, puede que nunca hayas consultado tus credenciales de FTP. Si no tienes una copia de esta información, la encontrarás en tu cuenta de hosting. Lo ideal es que utilices el Protocolo seguro de transferencia de archivos (SFTP) en lugar de FTP.

El acceso FTP a tu sitio web no es seguro en absoluto, ya que transfiere datos confidenciales en texto plano, a los que cualquier hacker puede acceder fácilmente. SFTP cifra la información para que tus comandos, credenciales y otros datos estén protegidos.

Al configurar tu cuenta de hosting, normalmente se crea automáticamente un único usuario de SFTP. Si encuentras más de un usuario de SFTP o una cuenta de FTP desconocida asociada a tu sitio, es motivo de preocupación. Elimina inmediatamente las cuentas desconocidas y cambia las contraseñas de tus cuentas conocidas.

10. Tu plugin de seguridad te ha notificado un problema.

Si utilizas un plugin de seguridad, recibirás un correo electrónico si se detecta alguna actividad sospechosa en tu sitio. Si tu plugin de seguridad incluye monitorización del tiempo de inactividad, también recibirás una notificación si tu sitio deja de estar disponible por cualquier motivo. Estas alertas pueden ayudarte a identificar, diagnosticar y responder rápidamente a cualquier problema, desde vulnerabilidades de plugins y errores graves hasta intentos de hackeo.

11. Tu proveedor de hosting te ha avisado de un problema en tu sitio.

Las empresas de hosting también detestan a los hackers, el spam y los servidores sobrecargados, así que vigilan cualquier problema importante que pueda afectar a los sitios de sus clientes. Si tu servidor está sobrecargado o tu proveedor de hosting recibe muchas denuncias de abuso relacionadas con tu dominio, debería ponerse rápidamente en contacto contigo para informarte del problema. Si recibes mensajes de tu proveedor de hosting sobre un problema con tu sitio, deberías investigarlo lo antes posible.

¿Por qué han hackeado mi sitio de WordPress?

Si te han hackeado, probablemente te preguntes por qué. Puede parecer algo personal —y a veces lo es—. Si gestionas un sitio web que trata temas delicados, puede que sea el objetivo de hacktivistas. O quizá tengas algún empleado que se esté aprovechando de su acceso para obtener beneficios personales o un antiguo empleado resentido que busque vengarse. 

Pero la mayoría de los hackers no intentan llevar a cabo ningún plan grandioso y complejo, ni te eligen como objetivo por motivos personales. Lo más habitual es que utilicen métodos sencillos contra objetivos fáciles para robar dinero, recopilar información confidencial o causar problemas por el simple hecho de causarlos. Si dejaras abierta la puerta principal de tu casa todo el día, todos los días, no te sorprendería demasiado que alguien entrara y robara algunas cosas. Con tu sitio web ocurre lo mismo. Las malas prácticas de seguridad son la principal causa de cualquier incidente de hackeo de WordPress. La mayoría de los intentos de hackeo de WordPress se dirigen a sitios sin protección o desactualizados.

Aunque muchas pequeñas empresas no consideran que la ciberseguridad sea una prioridad, lo cierto es que el 43 % de los ciberataques se dirigen a pequeñas empresas.

Es menos probable que las pequeñas empresas tengan los conocimientos y los recursos necesarios para mantener sus sitios seguros y protegidos. Incluso las grandes corporaciones que cuentan con equipos dedicados a la seguridad en línea consiguen que las hackeen de vez en cuando. Pero los millones de pequeñas empresas que dejan sus sitios sin protección son los objetivos más fáciles de atacar, y por eso los hackers se fijan en ellas.

Las cinco formas más frecuentes de hackeo de un sitio de WordPress

¿Cuáles son las formas más habituales en que los propietarios de sitios de WordPress se exponen a los hackers? Aunque los hackers pueden utilizar muchos métodos distintos para acceder a tu sitio, estos son los cinco principales:

1. Plugins obsoletos, núcleo de WordPress y archivos del tema

El software obsoleto y las plataformas de sitios web son una de las formas más habituales para que un hacker acceda a tu sitio. Dado que WordPress impulsa el 42 % de todos los sitios web, no es de extrañar que los sitios que usan WordPress sean objetivos habituales de los hackers. Con 54.000 plugins gratuitos solo en el directorio de WordPress, los hackers tienen muchas oportunidades de aprovecharse de plugins mal programados, abandonados u obsoletos.

Normalmente, cuando se publican nuevas versiones de los plugins para corregir una vulnerabilidad de seguridad, dicha vulnerabilidad se hace pública. No hacerla pública hasta después de lanzar la solución evita que los hackers aprovechen al máximo esa información, pero, una vez publicada, se apresurarán a explotar esas puertas traseras durante todo el tiempo que puedan.

Al menos el 33 % de todos los sitios de WordPress utiliza software obsoleto, por lo que queda expuesto a hackers que ahora tienen la información necesaria para acceder.

2. Vulnerabilidades frente a ataques de fuerza bruta

Los ataques de fuerza bruta utilizan software que prueba distintas combinaciones de nombres de usuario y contraseñas hasta encontrar la correcta. Las siguientes vulnerabilidades de tu sitio pueden aumentar las probabilidades de sufrir un ataque de fuerza bruta:

• No limitar los intentos de inicio de sesión. Si no estableces un límite para los intentos de inicio de sesión, un hacker puede probar un número infinito de nombres de usuario y contraseñas. Esto puede acabar dándole acceso a tu sitio (en el peor de los casos) o sometiendo tu servidor a una carga enorme y dejándolo fuera de servicio (en el mejor de los casos).
• Contraseñas cortas o fáciles de adivinar. Cuanto más corta sea tu contraseña o menos tipos de caracteres utilice, más fácil será para un hacker descifrarla mediante un ataque de fuerza bruta. Si tenemos en cuenta que tanta gente utiliza contraseñas como «123456» o «password», puedes imaginar por qué los ataques de fuerza bruta son tan habituales.
• No usar CAPTCHAs en el formulario de inicio de sesión. Los CAPTCHAs se utilizan para verificar que la persona que intenta iniciar sesión o enviar un formulario es humana. Como la mayoría de los ataques de fuerza bruta los realizan bots, los CAPTCHAs son muy eficaces para evitar este tipo de ataques.
• No utilizar la autenticación de dos factores. Autenticación de dos factores (2FA) utiliza medidas de seguridad adicionales a la contraseña para autenticar a un usuario. Puede tratarse de una pregunta de seguridad como «¿Cómo se llamaba tu primera mascota?», un código enviado a la dirección de correo electrónico o al número de teléfono del usuario, o una aplicación de autenticación de terceros. Si no añades esta capa adicional de seguridad a tu sitio, le resultará mucho más fácil a un hacker acceder a él.
• No disponer de protección contra ataques de fuerza bruta. Una herramienta de protección contra ataques de fuerza bruta bloquea automáticamente el acceso a tu sitio a bots y personas sospechosos.

3. Hosting inseguro

Si tu sitio no tiene un certificado SSL o utiliza FTP en lugar de SFTP para acceder al sitio a nivel de servidor, tu hosting no es seguro. El hosting seguro utiliza cifrado Secure Socket Layer (SSL) para mantener seguras las comunicaciones entre tu sitio web y los navegadores. Los entornos de hosting compartido también pueden debilitar la seguridad de tu sitio. Si otro sitio web de tu servidor sufre una brecha de seguridad, tu sitio también podría verse afectado.

4. Permisos de los archivos

Los archivos de tu sitio tienen permisos asociados que conceden distintos niveles de acceso. Si los permisos de los archivos de tu WordPress están configurados incorrectamente, los hackers podrían acceder fácilmente a archivos importantes y datos confidenciales.

5. Robo de contraseñas

Decenas de millones de contraseñas son robadas cada año. Si guardas contraseñas en tu navegador, es posible que recibas notificaciones de filtraciones de datos de Google. Google comparará las contraseñas que tengas guardadas para determinados sitios web con una lista de filtraciones de datos conocidas y te enviará una alerta si encuentra tu información en una lista de contraseñas filtradas. Si no cambias las contraseñas comprometidas cuando sabes que lo están, pueden hackearte fácilmente.

¿Cómo reparo y restauro mi sitio de WordPress hackeado?

¡No te asustes! Respira hondo y mantén la calma mientras sigues estos pasos para recuperar tu sitio y protegerte de futuros hackeos.

Antes de profundizar en este tema, hay algunas cosas sencillas que puedes hacer para intentar solucionar los problemas que estás viendo en tu sitio antes de llegar a la conclusión de que te han hackeado: 

• Espera unos minutos y vuelve a cargar la página 
• Borra la caché y las cookies
• Vacía la caché de DNS
• Reinicia el navegador 
• Reinicia el dispositivo

Si estos pasos rápidos no resuelven el problema, es hora de investigar más a fondo.

1. Determina qué ha ocurrido

Si puedes iniciar sesión en tu sitio y tienes un WordPress plugin de seguridad para supervisar la actividad (como el Jetpack registro de actividad), comprueba quién inició sesión, cuándo y qué cambió. 

Esto puede ayudarte a averiguar qué archivos están afectados y qué cuentas de usuario hay que restablecer. Haz una lista de todo lo sospechoso que encuentres.

Si tu plugin de seguridad no tiene un registro de actividad, no tienes ningún plugin de seguridad o no puedes acceder a tu sitio, debes ponerte en contacto con tu proveedor de hosting y pedirle que compruebe los registros de errores del servidor. Es posible que su equipo de asistencia técnica no pueda determinar exactamente qué ocurre, pero debería poder evaluar al menos si el problema procede del servidor, de tus plugins, de un archivo .htaccess o .wp-config mal configurado o de un hackeo del sitio.

Si parece que el problema se debe probablemente a un problema de software o del servidor, te conviene informarte más sobre cómo solucionar problemas con WordPress. Si parece que te han hackeado, es hora de limpiar y recuperar tu sitio pasando al siguiente paso.

2. Utiliza un escáner del sitio para detectar malware y reparar tu sitio

Hay varios escáneres de sitios excelentes que pueden buscar malware en tu sitio web, código insertado, archivos del núcleo modificados u otras señales de alerta que indican un hackeo. Asegúrate de contrastar los registros de actividad o de errores para comprobar si aparece alguno de los archivos que has marcado.

Un buen escáner de sitios web de WordPress también podrá reparar cualquier problema que encuentre. Una de las ventajas de Jetpack Scan es que ofrece soluciones con un solo clic para la mayoría de los problemas conocidos de malware. Además, protegerá tu sitio de WordPress mediante análisis de malware.

Si no tienes un escáner de malware y no puedes acceder a tu sitio para instalar un plugin que lo incluya, puedes probar a utilizar un escáner web gratuito como PCrisk. No podrá eliminar el malware, pero al menos te ayudará a identificar si hay malware en tu sitio para que puedas intentar eliminarlo manualmente.

3. Restaura una copia de seguridad, si es posible

Si no puedes eliminar el malware o no estás seguro de que tu sitio web se haya desinfectado por completo, quizá prefieras restaurarlo a partir de una copia de seguridad. Es posible que tu proveedor de hosting conserve copias de seguridad de tu sitio o que ya estés utilizando un plugin de copias de seguridad de WordPress como Jetpack Backup. Jetpack almacena varias copias de tus archivos de copia de seguridad en los mismos servidores seguros que WordPress utiliza para sus propios sitios; no solo están protegidas frente a infecciones, sino que también se pueden restaurar si tu sitio web deja de estar completamente disponible.

Restaurar copias de seguridad no es infalible. Aunque lo más importante sea recuperar el control y el funcionamiento de tu sitio web y eliminar todo rastro del hacker, es posible que aún pierdas datos importantes. Si no sabes cuánto tiempo lleva hackeado tu sitio, es posible que tus copias de seguridad también estén comprometidas. 

Si gestionas un sitio de comercio electrónico y tienes pedidos de clientes almacenados en la base de datos, volver a una copia de seguridad (a menos que tengas copias de seguridad en tiempo real de Jetpack) podría eliminar cientos de pedidos de clientes que aún no has procesado. También podrías perder reseñas de clientes, entradas del blog y cualquier cambio importante que hayas realizado en tu sitio entre el momento del hackeo y la copia de seguridad que estás restaurando. 

Si no tienes copias de seguridad de tu sitio o todas están dañadas, no está todo perdido. Aunque tengas que reconstruir tu sitio desde cero, puedes consultar la Wayback Machine para ver versiones anteriores de tu sitio web. Aunque no restaurará los archivos, si tienes que reconstruirlo, es posible que puedas recuperar gran parte del contenido.

4. Restablece todas las contraseñas y elimina las cuentas de usuario sospechosas

Eliminar el malware o volver a una versión anterior de tu sitio no bastará para mantenerlo seguro. Pase lo que pase, restablece siempre TODAS tus contraseñas y las contraseñas de otros usuarios con un nivel de acceso elevado después de que hayan hackeado tu sitio web. Utiliza el botón «contraseña sugerida» de la página de perfil de WordPress para asegurarte de que tus nuevas contraseñas sean largas, complejas y difíciles de adivinar. ¿Te preocupa recordar tu combinación? Prueba un gestor de contraseñas como LastPass o 1Password. 

Si tu registro de actividad muestra algún inicio de sesión sospechoso, elimina esas cuentas. Si encuentras cuentas de usuario adicionales o con aspecto de spam, independientemente de su nivel de acceso, probablemente también deberías eliminarlas por seguridad. Que un hacker haya utilizado una cuenta para realizar una actividad maliciosa no significa que no haya creado varias cuentas para poder volver.

5. Recurre a un experto

Algunos hackeos son más complejos, no se pueden limpiar con un escáner automático del sitio y están fuera de la capacidad del usuario medio para identificarlos y eliminarlos. Estos casos pueden implicar sistemas complejos de código insertado o reglas de acceso que pueden ocultarse en varios archivos. 

Si sientes que has hecho todo lo posible y tu sitio sigue comprometido, o simplemente te sentirías más seguro si alguien con conocimientos comprobara todo por ti, te conviene pedir a un experto que lo revise. Si no conoces a nadie con este tipo de experiencia, considera contratar a un profesional de recuperación de WordPress de Codeable.

6. Actualiza tu software

Como la mayoría de los hackeos de WordPress aprovechan vulnerabilidades de software obsoleto, es importante instalar en tu sitio cuanto antes las versiones más recientes de tus plugins, del tema y del núcleo de WordPress.

Antes de empezar a actualizar, haz una copia de seguridad completa. Cuando la copia de seguridad se haya completado correctamente, empieza por actualizar primero el núcleo de WordPress, después tus plugins y, por último, tu tema.

Nota: si utilizas WooCommerce, actualiza siempre primero tus extensiones de WooCommerce y, después, actualiza WooCommerce. 

7. Vuelve a enviar tu sitio a Google

Si tu sitio ha sido incluido en una lista de bloqueo de Google, vuelve a enviar tu sitio limpio para recuperar tu buena reputación. Sabrás que se ha incluido en una lista de bloqueo si aparece una advertencia junto a tu sitio en los resultados de búsqueda o si ya no apareces en búsquedas en las que antes figurabas. Ten en cuenta, no obstante, que puede haber otros motivos por los que ya no aparezcas en los resultados de búsqueda.

Para eliminar tu sitio de esta lista, utiliza Google Search Console para solicitar una revisión.

¿Cómo puedo evitar que hackeen mi sitio de WordPress?

Evitar un ataque siempre es mucho mejor que intentar recuperarse de uno. Asegúrate de que tu sitio de WordPress está protegido implementando las siguientes medidas: 

1. Usa un plugin de seguridad.

Los plugins de seguridad utilizan diversas medidas para ayudar a proteger tu sitio frente a los hackers. Algunos también te avisarán de actividades sospechosas o de interrupciones del servicio. Jetpack Security ofrece funciones esenciales como: 

• Copias de seguridad en tiempo real
• Análisis en tiempo real
• Prevención del spam
• Un firewall de aplicaciones web (WAF) para proteger tu sitio las 24 horas
• Un registro de actividad
• Supervisión del tiempo de inactividad
• Protección frente a ataques de fuerza bruta

Usar un plugin de seguridad elimina la mayor parte del trabajo y los conocimientos técnicos necesarios para proteger tu sitio web, para que puedas dedicar más tiempo a crear contenido, hacer ventas o, por fin, relajarte unos minutos. 

2. Mantén actualizados WordPress, tus plugins y tu tema

Actualizar el software después de un incidente de hacking es una excelente forma de ayudar a cerrar esas puertas traseras de tu sitio, pero hacerlo una sola vez no basta. Deberás seguir manteniéndolo todo lo más actualizado posible a partir de ahora. Puedes hacerlo supervisando y actualizando manualmente el software con regularidad, aprovechando Jetpack y su función de actualización automática, o comprobando con tu proveedor de hosting si ofrece actualizaciones automáticas.

Aunque mantener el software actualizado mejorará la seguridad de tu sitio, también debes tener en cuenta que las actualizaciones pueden provocar conflictos entre plugins o temas. Aun así, deberás comprobar periódicamente el funcionamiento de tu sitio para asegurarte de que todo funciona correctamente. 

3. Refuerza la seguridad del acceso y los formularios

Proteger el formulario de acceso, el formulario de contacto y el formulario de envío de comentarios es una de las cosas más sencillas que puedes hacer para protegerte frente a ataques de fuerza bruta y spam en la sección de comentarios. Estas son algunas formas de mantener tus formularios protegidos y seguros:

• Limita los intentos de inicio de sesión. Si bloqueas a los usuarios durante un tiempo después de varios intentos de inicio de sesión, esto bastará para evitar la mayoría de los ataques de fuerza bruta por completo.
• Exige contraseñas más seguras. Pide a los usuarios que creen contraseñas más largas, de al menos 16 caracteres, que combinen letras minúsculas y mayúsculas, números y caracteres especiales. Cuanto más larga y compleja sea la contraseña, más difícil será para un hacker descifrarla.
• Usa un CAPTCHA en todos los formularios. Los CAPTCHA ayudarán a verificar que el usuario es una persona. No solo son muy eficaces para prevenir los ataques de bots, sino que también pueden ayudar a mitigar el spam en la sección de comentarios.
• Exige 2FA para todos los usuarios. Como mínimo, deberías exigir autenticación de dos factores para tus cuentas de administrador o cualquier cuenta que pueda tener acceso a información confidencial, como los datos de tus clientes.
• Usa un plugin antispam. Jetpack Anti-spam incorpora Akismet, una de las soluciones antispam más sólidas para WordPress. Aunque el spam en la sección de comentarios no conlleva exactamente el mismo nivel de riesgo que el de que alguien acceda a datos de nivel administrativo, puede seguir suponiendo un gran riesgo para la seguridad y la reputación. Eliminar el spam en la sección de comentarios o reducirlo considerablemente es tan fácil como instalar Jetpack con un solo clic.

4. Cambia de proveedor o entorno de hosting.

El hosting es uno de los aspectos en los que nunca deberías escatimar cuando se trata de tu sitio web. Un paquete de hosting de alta calidad te ayudará a proteger tu sitio con su propio firewall, un certificado SSL, supervisión del sistema y una configuración optimizada para WordPress.

Si utilizas un entorno de hosting compartido que fue la causa de tus problemas, pero por lo demás te gusta tu proveedor actual, puedes preguntar por opciones de hosting en la nube, VPS o servidores dedicados.

5. Crea tus propias copias de seguridad automáticas

Aunque tu paquete de hosting incluya copias de seguridad, generar tus propias copias de seguridad externas ofrece muchas ventajas. La mayoría de los proveedores solo hacen copias de seguridad diarias o semanales y las conservan durante 30 días. Además, si se guardan con tu proveedor, podrían verse comprometidas al mismo tiempo que tu sitio. 

Si utilizas un plugin de copias de seguridad de WordPress, como Jetpack Backup, tus archivos se almacenan por separado de tu proveedor de hosting, tienes un control más preciso sobre qué partes de tu sitio se restauran, las copias de seguridad se conservan hasta un año y puedes gestionarlo todo desde cualquier lugar con la aplicación móvil de Jetpack.

La herramienta integral de prevención y recuperación

Un buen plugin de seguridad puede evitar la mayoría de los hackeos más habituales e incluso ayudarte a recuperar tu sitio si ya has sufrido un ataque. Jetpack se diseñó para cubrir todos los aspectos más importantes y ofrecer una forma intuitiva y fiable de recuperarte en caso de emergencia. 

El equipo de asistencia de Happiness Engineers de Jetpack no desea otra cosa que ayudar a los propietarios de sitios a superar sus problemas y plantar cara a los ciberdelincuentes en su propio terreno. Este enfoque basado en la comunidad y en el trabajo en equipo llevó a Jetpack a convertirse en uno de los plugins de WordPress más populares de todos los tiempos. 

Protege tu sitio de WordPress con Jetpack Security. 

Preguntas frecuentes sobre los hackeos de WordPress

¿Con qué frecuencia hackean sitios de WordPress?

Aunque no existen estadísticas concretas sobre la frecuencia exacta con la que hackean los sitios de WordPress, en todo el mundo se hackean cada día 30.000 sitios web de todas las plataformas. Puesto que WordPress sustenta casi el 40 % de todos los sitios web, es plausible que cada día hackeen entre 10.000 y 12.000 sitios de WordPress.

¿Cuáles son los tipos de hackeo más habituales?

• Cebo y cambio. Los hackers lo utilizan principalmente en anuncios en línea o redes publicitarias. Se hacen pasar por una marca de confianza, pero el enlace del anuncio lleva al visitante a un sitio malicioso que intenta obtener información mediante phishing, hacer que realice compras fraudulentas o que descargue malware en sus dispositivos.
• Inyección de SQL. Esta técnica consiste en que el hacker carga comandos de SQL en un sitio para robar o modificar los datos del servidor, normalmente con el objetivo de suplantar identidades, realizar transacciones ilegales con información financiera o simplemente divertirse destruyendo la base de datos completa de alguien. Estos ataques suelen llevarse a cabo mediante formularios web inseguros, cookies u otros datos introducidos por los usuarios que no se han validado.
• Relleno de credenciales. Generalmente llevado a cabo por bots, el relleno de credenciales utiliza una lista de nombres de usuario y contraseñas robados para realizar automáticamente intentos de inicio de sesión en tu sitio. El objetivo es obtener suficiente acceso a tu sitio para iniciar transacciones no autorizadas, robar información personal, redirigir a los visitantes a sitios web peligrosos o utilizar tu sitio para enviar en masa correos electrónicos de phishing. Obtén más información sobre este ciberataque en nuestra guía sobre qué es el relleno de credenciales y cómo prevenirlo.
• Clickjacking. Con el clickjacking, un hacker utiliza código para crear varias capas de contenido con la intención de conseguir que el usuario haga clic en algo sin querer. Puede pensar que está haciendo clic en el enlace de la página «Quiénes somos», pero en realidad está haciendo clic en un enlace oculto que le lleva a un sitio malicioso. Los hackers también pueden utilizar esta técnica para robar contraseñas creando formularios «invisibles» sobre formularios legítimos. Los usuarios pensarán que están iniciando sesión en una de sus propias cuentas cuando, en realidad, están enviando esta información directamente a un hacker.
• Secuencias de comandos entre sitios (XSS). Esto es similar a la inyección de SQL, ya que utiliza los mismos puntos de entrada —formularios inseguros y otros datos introducidos por los usuarios que no se han validado—, pero el código que se inyecta es JavaScript o HTML y, en ocasiones, VBScript o Flash.
• Ataques de intermediario. Estos ataques suelen producirse en espacios públicos porque los hackers utilizan routers inseguros para interceptar los datos mientras se transmiten. Pueden usar esta técnica para obtener nombres de usuario, contraseñas, registros financieros y otra información personal con la que atacar tus sitios web y cualquier otra cuenta sobre la que hayan conseguido información.
• DDoS y ataques de fuerza bruta. Los ataques de red distribuidos (DDoS) consisten en enviar un gran volumen de solicitudes a un sitio web para intentar bloquear el servidor. Los ataques de fuerza bruta son un tipo de ataque DDoS que prueba distintas combinaciones de nombres de usuario y contraseñas en el formulario de inicio de sesión de tu sitio para intentar obtener acceso. Esto genera un gran volumen de solicitudes y, si no se detecta y detiene, puede hacer que el servidor se sobrecargue y deje de responder.
• Secuestro de DNS. Este método se utiliza a menudo con la intención de redirigir tu sitio web a otro sitio web (suplantación de DNS). En el secuestro de DNS, un hacker obtiene acceso a tu registrador o a tu servidor de nombres activo y apunta tu dirección IP o utiliza redirecciones para enviar a los visitantes a sitios peligrosos.

¿Qué consecuencias tiene que hayan hackeado mi sitio de WordPress?

Si no hay nada demasiado importante en tu sitio o el ataque no está afectando realmente a su rendimiento, ¿por qué debería preocuparte que hayan hackeado tu sitio? 

Aunque el ataque no te afecte directamente a ti ni a tu sitio, sí afectará a otras personas. Puede que no lo notes, pero un hacker podría intentar obtener mediante phishing la información personal de tus visitantes para robarles la identidad, redirigirlos a sitios que descarguen malware en sus dispositivos o utilizar tus servidores para enviar spam o contenido peligroso a personas de todo el mundo.

Puede que no te afecte de inmediato, pero podría hacer que tu sitio entrara en una lista de bloqueo o que tu proveedor de hosting lo eliminara del servidor. Si el hacker acaba causando daños a un usuario de tu sitio, podrías ser considerado responsable si la persona afectada presenta una reclamación por negligencia contra ti.

¿Cómo denuncio a un hacker ante las autoridades?

La mayoría de los delitos relacionados con el hackeo son difíciles de perseguir. El hacker puede estar en otro país, o el valor de los daños puede ser demasiado bajo para que las autoridades lo prioricen. Si estás en EE. UU., el FBI recomienda que denuncies el delito al FBI. Cuantas más denuncias se presenten, más probabilidades tendrá el FBI de poder preparar un caso. Si sabes quién es el hacker —por ejemplo, un empleado o alguien a quien conoces personalmente—, puede que al FBI le resulte más fácil actuar.