Me han hackeado la web WordPress: qué hacer paso a paso

Un día alguien busca tu empresa en Google y aparecen páginas tuyas en japonés vendiendo relojes. O la web redirige a otra cosa. O Google avisa de que tu sitio «puede haber sido pirateado». Es más común de lo que parece, se arregla, y el orden en que hagas las cosas importa más que la prisa.

Esto es lo que hacemos nosotros cuando nos llaman con esto. Está escrito para que sepas qué está pasando y qué pedirle a quien te lo arregle, no para que lo hagas todo tú a las once de la noche.

Cómo saber que te han hackeado

Las señales más habituales:

• Resultados de Google con títulos que no son tuyos, a menudo en japonés o sobre farmacia, apuestas o relojes. A veces solo se ven buscando site:tudominio.com.
• La web redirige a otra página, a veces solo desde el móvil o solo desde Google.
• Un aviso en Google Search Console («Problemas de seguridad») o en el navegador.
• Usuarios administradores que no reconoces en WordPress.
• Ficheros modificados hace poco que nadie tocó, o carpetas con nombres raros en wp-content/uploads.
• El hosting te ha suspendido la cuenta por enviar spam.

Si ves una de estas cosas, da por hecho que hay más que no ves.

Las primeras dos horas: contener sin destruir pruebas

1. No borres nada todavía. El impulso es limpiar. Antes, haz una copia completa del estado actual (ficheros y base de datos), aunque esté infectada. Es la prueba de lo que ha pasado y la única forma de entender por dónde entraron.
2. Pon la web en mantenimiento. Una página estática que diga que estás en obras. Deja de servir el spam y de exponer a tus visitantes.
3. Cambia todas las contraseñas. WordPress (todos los administradores), FTP o SFTP, panel de hosting, base de datos, y cualquier clave de API que la web use. Con contraseñas nuevas, largas y distintas.
4. Cierra las sesiones abiertas. En WordPress, forzar la salida de todos los usuarios. Cambiar las claves de seguridad de wp-config.php lo hace de golpe.
5. Comprueba si hay una copia limpia. Una copia de antes de la entrada, verificada, es el camino más rápido. Si no sabes cuándo entraron, sigue leyendo.

Cómo se limpia

La limpieza tiene dos partes: quitar lo que han metido y cerrar por donde entraron. Hacer solo la primera es garantía de repetir.

Quitar lo que han metido

• Reinstalar el núcleo de WordPress desde el oficial, sustituyendo todos los ficheros del sistema.
• Reinstalar cada plugin y el tema desde su fuente oficial, no desde la copia. Los plugins piratas o «nulled» van a la basura sin discusión.
• Revisar wp-content/uploads buscando ficheros PHP: ahí no debería haber ninguno.
• Revisar los usuarios: borrar los administradores desconocidos y revisar los correos de los legítimos, que a veces cambian.
• Revisar en la base de datos la dirección del sitio, las tareas programadas y las opciones con código incrustado. Los hackeos con spam suelen dejar contenido en la base de datos, no solo en ficheros.
• Revisar .htaccess y wp-config.php línea a línea.

Cerrar por donde entraron

Casi siempre es una de estas tres: un plugin o tema sin actualizar con una vulnerabilidad conocida, una contraseña débil o reutilizada, o un tema pirata con la puerta ya puesta. Se identifica mirando los ficheros modificados y los registros de acceso del servidor. Si nadie mira eso, no se sabe, y no saberlo es volver a empezar en tres meses.

Después de limpiar: reforzar

• Todo actualizado, y un calendario para que siga así.
• Doble factor en el acceso de administrador.
• Límite de intentos de acceso y, si se puede, acceso al panel solo desde direcciones conocidas.
• Cortafuegos de aplicación delante de la web.
• Copias diarias fuera del servidor, y una restauración de prueba al menos una vez.
• Vigilancia: alguien o algo que compruebe que la web responde y que no cambia lo que no debe.

Limpiar en Google

Aunque la web esté limpia, Google puede seguir mostrando las páginas de spam durante semanas. Hay que ayudarle:

• En Search Console, si hay aviso de seguridad, pedir una revisión una vez limpiado.
• Retirar las URLs de spam con la herramienta de retiradas. En el caso que nosotros llevamos eran más de cien, una a una o por prefijo.
• Enviar de nuevo el sitemap, sin las páginas falsas.
• Vigilar site:tudominio.com durante un mes.

Si había datos personales, hay obligaciones

Si tu web tenía formularios, usuarios registrados, una tienda o cualquier dato de personas, el hackeo es probablemente una brecha de seguridad según el RGPD, y eso tiene plazos:

• Documentar lo que ha pasado, aunque decidas no notificar.
• Notificar a la AEPD en 72 horas desde que tienes constancia, si hay riesgo para las personas.
• Comunicar a los afectados si el riesgo es alto: por ejemplo, si se han podido llevar datos de contacto de clientes o de familias.

En un caso reciente, un centro educativo tuvo que comunicar la brecha a más de trescientas familias. Se hizo con un texto claro, a tiempo y bien, y no pasó nada más. Hacerlo tarde o no hacerlo es lo que trae la sanción, no la brecha en sí.

INCIBE tiene un teléfono gratuito de ayuda para empresas, el 017, que puede orientarte.

Si te está pasando ahora

Escríbenos y dilo en la primera línea. Primero contenemos, después investigamos y limpiamos, y al final lo dejamos para que no vuelva a pasar. Y si hay datos personales por medio, te acompañamos con la AEPD y con los afectados.