Hackearon mi sitio: qué hacer en las primeras 24 horas
Entras a tu página y te manda a un casino. O un cliente te avisa que Google le salió con un aviso rojo de "sitio peligroso". O tu proveedor de hosting te suspendió la cuenta "por enviar spam". Respira: un sitio hackeado casi siempre se puede recuperar, y lo que hagas en las primeras horas pesa mucho en qué tan rápido y qué tan limpio sale.
Esto es lo que hay que hacer, en orden.
Primero: confirma que sí es un hackeo
Antes de mover nada, asegúrate de que no sea otra cosa (un dominio vencido o una actualización que salió mal se ven parecido; aquí explicamos por qué se cae un sitio). Las señales típicas de un hackeo son:
- Tu sitio redirige a páginas que no son tuyas (apuestas, farmacias, descargas).
- En Google aparecen resultados tuyos con títulos en otro idioma o de productos que no vendes.
- El navegador o Google muestran "Este sitio puede dañar tu equipo" o "Sitio engañoso".
- Hay usuarios administradores que tú no creaste.
- Tu hosting te avisa de archivos sospechosos o de envío masivo de correos.
Hora 0 a 2: contén el daño
- Toma capturas de todo lo raro que veas: redirecciones, avisos, usuarios desconocidos. Sirven para el diagnóstico.
- Saca un respaldo del sitio tal como está, aunque esté infectado. Suena raro, pero es tu evidencia y, si algo sale mal en la limpieza, no pierdes tu contenido.
- Pon el sitio en mantenimiento si está mandando a tus visitantes a páginas peligrosas. Es mejor un "volvemos pronto" que exponer a tus clientes.
- No borres a lo loco. Borrar el archivo que se ve raro casi nunca basta: los hackeos suelen dejar "puertas traseras" escondidas para volver a entrar.
Hora 2 a 6: cierra todas las puertas
Cambia todas las contraseñas, no solo la del panel del sitio:
- Panel del sitio (WordPress u otro) y de todos sus usuarios administradores.
- Panel del hosting (cPanel o el que tengas).
- Acceso FTP o SFTP.
- Base de datos.
- Correo del dominio, si lo usaste para recuperar contraseñas.
Usa contraseñas largas y distintas para cada acceso, y activa la verificación en dos pasos donde se pueda. Borra los usuarios que no reconozcas.
Hora 6 a 24: limpia y restaura
Aquí hay dos caminos:
- Si tienes un respaldo de antes del hackeo: es la vía más rápida. Se restaura ese respaldo, se actualiza todo de inmediato (sistema, plantilla y plugins) y se vuelven a cambiar las contraseñas. Lo importante es saber desde cuándo estaba infectado, porque a veces el respaldo "bueno" ya traía el problema.
- Si no tienes respaldo limpio: toca revisar archivo por archivo y la base de datos, comparando contra versiones originales, para encontrar el código inyectado. Es un trabajo de paciencia y conviene que lo haga alguien con experiencia.
En ambos casos, al final hay que actualizar todo y quitar plugins o plantillas que ya no uses: la mayoría de los hackeos entran por piezas viejas que nadie actualizó.
Después: avísale a Google
Si Google marcó tu sitio como peligroso, el aviso no se quita solo en cuanto limpias. Hay que entrar a Google Search Console, revisar la sección de problemas de seguridad y pedir una revisión. Mientras el aviso siga, mucha gente no va a entrar.
Si el hackeo pudo exponer datos de clientes (formularios, cuentas, pedidos), también vale la pena avisarles y pedirles que cambien sus contraseñas.
Cómo evitar que vuelva a pasar
- Actualizaciones al día, siempre con respaldo previo.
- Respaldos automáticos guardados fuera del mismo servidor.
- Menos plugins: cada uno es una puerta más.
- Contraseñas únicas y verificación en dos pasos.
- Un monitoreo que te avise si el sitio cambia o se cae.
En Hablemos Claro de Alimentos tuvimos que retirar malware antes de poder mudar el sitio a un servidor nuevo; con el orden de arriba se recuperó sin perder contenido.
Si crees que tu sitio está hackeado, escríbenos: te hacemos un diagnóstico sin costo y te decimos qué pasó y qué sigue, en palabras normales.