La imagen de la web hackeada con una calavera en pantalla es cine. En la realidad, un atacante que consigue entrar en tu WordPress quiere justo lo contrario: que no te enteres.
Cuanto más tiempo pase desapercibido, más spam coloca, más correo envía desde tu servidor y más datos recopila. Por eso los hackeos reales son discretos, y muchos negocios los descubren semanas después, cuando el daño ya está hecho.
Estas son las señales que sí aparecen, ordenadas de más a menos evidentes.
1. Google te lo dice antes que nadie
La comprobación más rápida y la más fiable. Busca esto en Google, con tu dominio:
Te mostrará todo lo que Google tiene indexado de tu web. Revisa los resultados: si aparecen páginas que tú no has creado, especialmente con temas que no tienen nada que ver con tu negocio o en idiomas raros, tienes contenido inyectado.
Es el síntoma más común del hackeo más común: usar tu dominio, que tiene reputación, para posicionar spam.
Si tienes Search Console configurado, entra y mira la sección de seguridad. Google avisa ahí cuando detecta software malicioso.
2. Usuarios administradores que no reconoces
Ve a Usuarios en tu escritorio y revisa la lista completa, filtrando por administradores.
Si hay alguno que no has creado tú, la web está comprometida. Crear un usuario propio es de las primeras cosas que hace un atacante para poder volver aunque cierres la puerta original.
Fíjate también en usuarios con nombres que imitan a los legítimos (admin1, wpadmin, support) y en las fechas de registro.
3. Comportamiento distinto según quién entra
Este es el más traicionero, y explica por qué tanta gente tarda en darse cuenta.
Mucho malware está programado para no mostrarse al administrador. Tú entras en tu web y todo está perfecto. Pero un visitante que llega desde Google, o desde el móvil, es redirigido a otra página.
Cómo comprobarlo:
- Abre tu web en una ventana de incógnito, con la sesión cerrada
- Pruébala desde el móvil, con datos móviles en vez de wifi
- Llega a tu web desde un resultado de Google, no escribiendo la dirección
Si en alguno de esos casos pasa algo raro, ahí está.
4. Archivos modificados hace poco
Si tienes acceso por FTP o al gestor de archivos del hosting, ordena por fecha de modificación.
Los archivos del núcleo de WordPress solo deberían cambiar cuando actualizas. Si ves archivos del núcleo modificados en una fecha en la que tú no tocaste nada, mala señal.
Presta atención especial a index.php, wp-config.php, .htaccess y a archivos con nombres extraños en carpetas de uploads (ahí no debería haber archivos PHP nunca).
5. Picos raros de consumo
Mira las estadísticas de tu hosting. Un pico de tráfico o de uso de CPU que no corresponde con ninguna campaña puede significar que tu servidor está enviando spam o participando en ataques a otras webs.
Señal relacionada: tu proveedor de hosting te avisa de un consumo anómalo, o tus correos empiezan a rebotar porque tu dominio ha entrado en listas negras.
6. La web va lenta de repente
Por sí sola no significa nada (hay mil causas de lentitud), pero combinada con cualquier otra señal de esta lista, gana peso. El código malicioso consume recursos.
Qué hacer si detectas algo
Por orden, y esto importa:
1. No borres nada todavía
El impulso es limpiar rápido. Resístelo. Los archivos modificados y los registros son la única pista para saber por dónde entraron. Si limpias sin averiguarlo, volverán a entrar por el mismo sitio en unos días.
2. Haz una copia del estado actual
Sí, una copia de la web infectada. Sirve como evidencia y para analizar. Guárdala aparte, bien identificada, y no la restaures por error.
3. Cambia todas las contraseñas
Todas: usuarios de WordPress, base de datos, FTP, panel del hosting y correo. Si el atacante tiene credenciales, limpiar no sirve de nada.
4. Busca ayuda si el caso es serio
Limpiar un WordPress infectado bien hecho no es borrar un archivo: es encontrar todas las puertas traseras, revisar la base de datos y cerrar la vía de entrada. Si hay datos de clientes de por medio, además hay obligaciones legales con plazos concretos.
5. Solicita revisión a Google
Una vez limpio, pide la revisión desde Search Console para que retiren el aviso de sitio peligroso. Puede tardar días.
La comprobación de dos minutos
Si has llegado hasta aquí, haz esto ahora mismo:
- Busca site:tudominio.com en Google y revisa los resultados
- Entra en Usuarios y comprueba la lista de administradores
- Abre tu web en incógnito desde el móvil
Con esas tres detectas la gran mayoría de infecciones habituales.
Y si prefieres que esto se vigile solo, es parte de lo que hacemos en el mantenimiento de WordPress: monitorización continua y revisión periódica, para detectarlo en horas en lugar de en semanas. Porque en esto, el tiempo que pasa desapercibido es exactamente lo que determina lo caro que sale.
¿Prefieres que lo revisemos nosotros? Echa un vistazo a nuestro servicio de mantenimiento WordPress o cuéntanos qué necesita tu web y te respondemos en menos de 24 horas.