Web hackeada en WordPress: qué hacer y cómo recuperarla

Lo normal es enterarse por otra persona. Un cliente te dice que al entrar en tu web acaba en una página de apuestas. Google pone bajo tu nombre «Este sitio puede haber sido pirateado». O tu hosting te escribe para decirte que ha suspendido la cuenta. Respira: casi siempre tiene arreglo, y en la primera hora importa más el orden que la velocidad.

Tampoco es nada personal. A la web de un negocio pequeño casi nunca la ataca alguien que la haya elegido: son programas automáticos que recorren internet buscando webs WordPress con plugins sin actualizar, y entran solos. Saberlo cambia lo que toca hacer ahora y lo que toca hacer después para que no se repita.

Cómo saber si te han hackeado la web

Estas son las señales más habituales. Con una sola ya hay que tomárselo en serio:

• Redirecciones a sitios de spam. Tu web lleva a apuestas, farmacias o falsos premios, muchas veces solo cuando se llega desde Google o desde el móvil. Muchas infecciones se esconden a propósito de quien tiene la sesión iniciada, así que compruébalo desde un móvil con datos y sin entrar en el panel.
• Administradores que no conoces. En Usuarios aparece una cuenta con permisos de administrador que nadie ha creado.
• El aviso de Google. En los resultados sale «Este sitio puede haber sido pirateado» bajo tu web, o Chrome enseña una pantalla roja antes de dejar pasar.
• Problemas de seguridad en Search Console. Si tienes la web dada de alta, Google te avisa por correo, y el informe Problemas de seguridad te dice qué ha encontrado y en qué páginas.
• El hosting suspende la cuenta o te escribe porque ha detectado archivos maliciosos o un consumo raro.
• Tu dominio manda spam. Te llegan rebotes de correos que no has enviado, tus clientes reciben mensajes extraños en tu nombre o tus propios correos empiezan a acabar en la carpeta de spam.
• Páginas que no son tuyas en Google. Busca site:tudominio.com: si salen cientos de páginas en japonés o de productos que no vendes, te han metido contenido.

Qué hacer en la primera hora, por orden

El orden importa. Los cuatro primeros pasos cortan el problema y puede darlos cualquiera; los siguientes limpian la web, y si no te ves capaz, es el momento de pedir ayuda.

1. No borres la web ni la reinstales a lo loco. Borrarlo todo destruye las pistas de por dónde entraron y no cierra la puerta: si vuelves a instalar el mismo plugin vulnerable, vuelven a entrar en días.
2. Avisa a tu hosting. Cuéntale lo que ves. Puede tener copias de seguridad recientes y registros que dicen por dónde entraron, y si te ha suspendido la cuenta, te dirá qué necesita para reactivarla. Si la web está mandando a tus visitas a sitios peligrosos, pídele que la desactive o ponla en modo mantenimiento mientras la limpias.
3. Cambia todas las contraseñas, desde un ordenador limpio. Las de todos los administradores de WordPress, el panel del hosting, el FTP o SFTP, la base de datos (pon también la nueva en el archivo wp-config.php, o la web dejará de funcionar) y el correo asociado. Activa la verificación en dos pasos donde se pueda.
4. Haz una copia del estado actual. Archivos y base de datos tal como están, infección incluida, guardados aparte y con un nombre que deje claro que están infectados. Es tu prueba si hay que notificar o denunciar, y sirve para ver qué han cambiado. Nunca la restaures.
5. Restaura una copia limpia, si la tienes. Tiene que ser de antes del hackeo: si entraron hace dos semanas, la copia de anoche también está infectada. Fíjate en cuándo empezaron las redirecciones o cuándo apareció el usuario raro.
6. Actualiza el núcleo, los plugins y el tema. Restaurar no cierra el agujero; actualizar, sí. Desde la pantalla de Actualizaciones puedes reinstalar los archivos de WordPress. Y borra, no solo desactives, los plugins que no uses, los abandonados y cualquier tema o plugin «nulled»: las versiones de pago que se descargan gratis de webs no oficiales.
7. Escanea la web. Un plugin de seguridad como Wordfence, que tiene versión gratuita, revisa los archivos en busca de código malicioso. Si encuentra algo, límpialo y vuelve a escanear hasta que salga limpio.
8. Borra los usuarios que no conozcas. En Usuarios, filtra por Administrador y elimina cualquier cuenta que no sepas de quién es. Quita también los permisos a quien ya no los necesite, empezando por quien te hizo la web hace años.
9. Cambia las claves de seguridad de WordPress. Son las claves y los «salts» del wp-config.php. Al cambiarlas se cierran todas las sesiones abiertas, también la del atacante. WordPress tiene un generador oficial: pegas las nuevas y vuelves a iniciar sesión.

Si después de todo esto la web sigue redirigiendo o el escáner vuelve a encontrar algo, la puerta sigue abierta. Una web limpiada a medias se reinfecta en días, y ahí sí compensa que la mire un profesional.

Si había datos personales: el RGPD y las 72 horas

Si tu web guarda datos de personas, como los mensajes del formulario de contacto, los clientes de una tienda o los usuarios registrados, y el atacante pudo llegar a ellos, eso es una brecha de datos personales.

El artículo 33 del RGPD obliga a notificarla a la autoridad de control, que en España es la AEPD, sin dilación indebida y, si es posible, en un máximo de 72 horas desde que lo sabes, salvo que sea improbable que suponga un riesgo para los derechos y libertades de esas personas. Si el riesgo es alto, además hay que avisar a los afectados (artículo 34). Si todavía no lo sabes todo, la información se puede ir dando por fases. Y aunque decidas que no hace falta notificar, la brecha se documenta igual.

La AEPD explica cómo hacerlo en su página sobre la notificación de brechas de datos personales, y tiene una herramienta, Asesora Brecha, que te ayuda a decidir si debes notificar. Fuera de la Unión Europea, la norma y la autoridad son las de tu país.

Esto es información general, no asesoramiento legal. Si tienes dudas sobre tu caso, consúltalo con un profesional.

Cómo quitar el aviso de Google

Cuando la web esté limpia de verdad, y no antes:

1. Entra en el informe Problemas de seguridad de Search Console. Si no tenías la web dada de alta, puedes verificarla ahora.
2. Comprueba que has limpiado todas las páginas, no solo las que Google pone de ejemplo, y que has cerrado la vulnerabilidad por la que entraron.
3. Pulsa «Solicitar revisión» y explica qué pasó, qué has limpiado y qué has cambiado para que no se repita.

Según Google, la revisión tarda entre unos pocos días y unas pocas semanas. No la pidas con prisas: si la web sigue infectada, la rechazan y todo se alarga. Las páginas de spam que Google llegó a indexar van saliendo de los resultados cuando dejan de existir.

Por qué entran (y por qué en tu web)

Según el informe anual de Patchstack, en 2025 se detectaron 11.334 vulnerabilidades nuevas en el ecosistema de WordPress: el 91% estaban en plugins, el 9% en temas y solo 6, todas de poca gravedad, en el propio WordPress. Casi la mitad no tenía arreglo disponible cuando se hizo pública. Por eso las puertas de entrada son casi siempre las mismas:

• Plugins y temas sin actualizar. Cuando se publica un fallo, los bots lo prueban en miles de webs en cuestión de días.
• Plugins abandonados. Si nadie los mantiene, su agujero no se va a cerrar nunca.
• Temas y plugins «nulled». La versión de pago descargada gratis suele traer de regalo una puerta trasera.
• Contraseñas débiles o repetidas y sin verificación en dos pasos, frente a programas que prueban contraseñas sin parar.
• Accesos olvidados. El usuario de quien te hizo la web, un FTP antiguo o una cuenta de prueba que nadie borró.

Unas buenas copias de seguridad en WordPress convierten un hackeo en una tarde perdida en vez de una semana, y el aviso «No es seguro» del navegador es otro síntoma de una web que nadie revisa.

Cómo evitar que vuelva a pasar

Lo que frena casi todos los hackeos no es sofisticado. Es constancia:

• Actualizar cada semana, con una copia de seguridad antes y una comprobación después de que nada se ha roto.
• Tener los plugins justos y borrar los que no se usan.
• Verificación en dos pasos en todas las cuentas de administrador.
• Copias fuera del servidor, de varias fechas y probadas.
• Revisar quién tiene acceso y quitárselo a quien ya no lo necesite.
• Vigilar la web, para enterarte tú antes que tus clientes.

Para saber si vas con retraso, comprueba gratis si tu WordPress está al día: nuestra auditoría lo mira desde fuera, sin pedirte contraseñas, junto con el certificado y las librerías con fallos conocidos. No detecta un hackeo, pero sí la puerta por la que suelen entrar.

Y si prefieres no tener que acordarte, para eso está el mantenimiento WordPress: actualizaciones con copia previa, copias de seguridad, vigilancia y alojamiento, aunque la web no la hayamos hecho nosotros. Si ya te han hackeado, limpiarla es un arreglo, no mantenimiento: la miramos, te damos un precio cerrado antes de empezar, y después el mantenimiento de cada mes hace mucho más difícil que vuelva a pasar.

Preguntas frecuentes

¿Se puede limpiar una web WordPress hackeada sin ayuda?

Si tienes una copia limpia y la infección es reciente, muchas veces sí: restaurar, actualizarlo todo, cambiar contraseñas y claves y escanear. Si no hay copia, la infección viene de lejos o vuelve después de limpiarla, compensa pagar a alguien, porque una puerta trasera que se queda dentro deshace todo el trabajo.

¿Cuánto tarda Google en quitar el aviso de sitio pirateado?

Desde que pides la revisión en Search Console, entre unos pocos días y unas pocas semanas, según Google. Pídela solo cuando la web esté limpia del todo, porque si la rechazan el proceso se alarga.

¿Basta con restaurar una copia de seguridad?

No. La copia te devuelve la web, pero no cierra el agujero por el que entraron. Después de restaurar hay que actualizarlo todo, cambiar contraseñas y claves y borrar los usuarios desconocidos, o vuelven a entrar por el mismo sitio.

¿Hay que avisar a los clientes?

Si la brecha supone un riesgo alto para ellos, el RGPD obliga a comunicárselo. Y si desde tu dominio salieron correos de spam, un aviso breve evita que alguien caiga en un mensaje falso con tu nombre.

¿Por qué vuelven a hackear una web después de limpiarla?

Casi siempre por una de estas razones: quedó una puerta trasera escondida, el plugin vulnerable sigue sin actualizar, no se cambió alguna contraseña (la del FTP y la del hosting son las que más se olvidan) o se restauró una copia que ya estaba infectada.

¿Cuánto cuesta limpiar una web hackeada?

Depende de lo que hayan tocado y de si hay una copia limpia. Nosotros la miramos primero y te damos un precio cerrado antes de empezar, sin facturas por horas que no sabes dónde acaban.

Si te está pasando ahora mismo, cuéntanos qué ves en tu web y te respondemos el mismo día.