Qué hacer si tu sitio web es hackeado: 5 pasos urgentes para recuperarlo rápido

Cuando tu sitio web es hackeado, lo primero que debes hacer es mantener la calma y actuar rápido para limitar el daño, aislar el sitio, renovar todos los accesos, restaurar desde una copia limpia, eliminar el código malicioso y aplicar medidas de seguridad permanentes. En las primeras 24 horas críticas, el objetivo es cortar el acceso del atacante, proteger a tus visitantes y datos, evitar señales negativas a los motores de búsqueda y volver a poner en línea tu sitio de forma verificada.

Un sitio hackeado no siempre significa que en la página principal aparecerá un mensaje extraño o una imagen diferente. Los atacantes suelen preferir pasar desapercibidos: crean páginas de spam, modifican formularios de pago, agregan cuentas de administrador, insertan redirecciones ocultas en la base de datos o usan tu servidor para enviar correos no autorizados. Por eso, la recuperación no es solo borrar archivos; requiere una intervención sistemática que preserve evidencias, confirme la limpieza y prevenga reincidencias.

En esta guía te explicamos los 5 pasos urgentes que debes seguir si tu sitio es hackeado, con detalles técnicos simplificados pero prácticos. No importa si usas WordPress, un desarrollo a medida, una tienda online o un sitio corporativo: los principios básicos son los mismos: aislar, bloquear accesos, restaurar, verificar y reforzar.

Señales de que tu sitio ha sido hackeado

No siempre un hackeo se detecta con una caída visible. Algunas intrusiones pueden pasar desapercibidas semanas. Si detectas alguna de estas señales, debes tratarlo como un incidente de seguridad, no como un error común:

• Aparición en los resultados de Google de títulos relacionados con apuestas, medicamentos, criptomonedas o contenido adulto.
• Alertas de navegador que indican sitio malicioso, phishing o conexión no segura.
• No poder acceder al panel de administración o encontrar usuarios admin desconocidos.
• Aumento repentino en el uso de CPU, RAM, disco o tráfico de correo en el servidor.
• Cambios inesperados en archivos como .htaccess, index.php, wp-config.php o archivos de temas.
• Redirecciones de visitantes hacia otros dominios.
• Envío masivo de correos desde tu cuenta de hosting sin tu autorización.
• Desactivación de plugins de seguridad o borrado de registros de logs.

Por ejemplo, un blog que normalmente recibe 2.000 visitas diarias y de repente genera 30.000 solicitudes probablemente está siendo atacado por bots, intentos de fuerza bruta o scripts maliciosos. De igual forma, si un tema que pesa 10 MB crece hasta 80 MB en pocos días, puede indicar la presencia de archivos backdoor.

Los primeros 30 minutos tras el hackeo: calma y recopilación de evidencias

Tu primer impulso no debe ser borrar todo. Eliminar archivos al azar puede borrar pistas importantes, dificultar la limpieza y hacer que restaures una copia errónea. Primero, toma un “retrato” del estado actual: anota fechas, horas, mensajes de error, URLs afectadas, usuarios sospechosos, actualizaciones recientes y logs de hosting. Esta información es clave para que el equipo técnico y los expertos en seguridad diagnostiquen rápidamente.

En sitios de comercio electrónico, con usuarios registrados o que gestionan datos personales, es vital documentar el incidente: qué datos pudieron verse comprometidos, cuándo comenzó el ataque y desde qué IP se intentaron accesos. Si tu sitio está alojado en Hostragons, facilitar al soporte datos como dominio, carpeta afectada, rango horario y mensajes de error acelera la intervención. Para más información sobre infraestructuras seguras, consulta Paquetes de hosting web seguro.

1. Paso: Aísla el sitio y limita el daño

El primer paso urgente tras un hackeo es impedir que el atacante y el código malicioso sigan causando daños. Esta etapa es como cerrar la llave de gas antes de apagar el incendio. No es necesario cerrar el sitio por completo, pero sí evitar que los visitantes sean redirigidos a páginas maliciosas, encuentren formularios falsos o descarguen archivos infectados.

Activa el modo mantenimiento o restringe temporalmente el acceso

Si usas WordPress, puedes mostrar una página de mantenimiento; en desarrollos a medida, devolver un código 503 temporal o permitir acceso solo desde IPs específicas. El código 503 indica a los motores de búsqueda que el sitio está temporalmente fuera de servicio, lo cual es mejor que mostrar un error 404 o una página en blanco. Si el sitio está distribuyendo phishing o malware, lo más seguro es restringir completamente el acceso.

• No dejes el panel de administración abierto al público; limita el acceso por IP.
• Deshabilita temporalmente la ejecución de PHP en carpetas de carga de archivos.
• Si se está abusando del envío de correos, bloquea el acceso SMTP temporalmente.
• Si la página de pagos está comprometida, desactiva temporalmente la pasarela y métodos de pago.

Preserva los logs y el estado actual de los archivos

Durante el aislamiento, conserva los logs de acceso, errores, registros FTP y el historial de acciones en el panel de control. En muchos ataques, el punto de entrada suele ser un plugin desactualizado, una contraseña FTP débil, una cuenta admin comprometida o permisos de escritura mal configurados. Sin logs, identificar la causa raíz es muy difícil, lo que puede derivar en un segundo hackeo días después.

Es recomendable descargar los archivos del servidor para analizarlos en un entorno seguro. Recuerda que estos archivos pueden contener código malicioso, así que usa un equipo protegido con antivirus. Si tu panel de hosting ofrece opciones de backup, guarda una copia del estado actual solo para análisis; no la uses directamente para restaurar el sitio. Para estrategias de backups automáticos, revisa soluciones de hosting con copia de seguridad automática.

2. Paso: Renueva todas las contraseñas y claves de acceso

Muchos propietarios solo cambian la contraseña del administrador tras un hackeo. Pero el atacante puede haber accedido por FTP, base de datos, panel de hosting, claves SSH, cuentas de correo, tokens API o integraciones externas. Por eso, el segundo paso urgente es resetear todas las credenciales de acceso sin excepción.

¿Qué contraseñas deben cambiarse?

• Contraseña del panel de control de hosting.
• Contraseñas de FTP, SFTP y usuarios SSH.
• Contraseña y configuración de conexión a la base de datos.
• Cuentas administrativas y de editores en el CMS.
• Cuentas de correo, especialmente las asociadas al dominio.
• Claves API, tokens de sistemas de pago, paneles CDN y DNS.
• Llaves de servicios de Git, despliegue, automatización y backups.

Las contraseñas deben ser fuertes, con al menos 16 caracteres, únicas y difíciles de adivinar. Usar la misma contraseña en varias plataformas pone en riesgo tu sitio si alguna es comprometida. En todos los paneles donde sea posible, activa la autenticación de dos factores (2FA). Esto reduce significativamente el impacto de ataques de fuerza bruta, especialmente para cuentas administrativas.

Elimina usuarios sospechosos y cierra sesiones activas

Si hay usuarios desconocidos en el CMS, no basta con deshabilitarlos; primero debes anotar su rol, fecha de creación y acciones realizadas, y luego eliminarlos. En WordPress, puedes forzar el cierre de todas las sesiones de usuario renovando las claves de seguridad. En sistemas a medida, limpia la tabla de sesiones. En tiendas online, revisa primero las cuentas con permisos administrativos, no tanto las de clientes.

Por ejemplo, un atacante puede haber entrado por un usuario editor antiguo y subido un web shell a través de un plugin con permisos de carga. Si solo cambias la contraseña del administrador principal, el usuario editor seguirá activo y el atacante podrá volver. Revisa la matriz de permisos, elimina roles innecesarios y asegúrate de que la gestión del dominio, DNS y SSL sea segura. Para esto, consulta gestión de nombres de dominio y seguridad DNS y soluciones de certificados SSL.

3. Paso: Restaura desde una copia limpia o coloca en cuarentena las áreas infectadas

La manera más rápida y segura de recuperar tu sitio es restaurar desde un backup verificado y limpio realizado antes del ataque. Pero es crucial que el backup esté realmente limpio. Un backup reciente puede estar infectado si el ataque empezó semanas antes. Por eso, debes revisar fechas, logs y cambios de archivos en conjunto.

¿Cómo elegir un backup limpio?

Primero, determina cuándo empezó el hackeo. Por ejemplo, si Google Search Console te avisó de un problema el 12 de marzo, pero los logs muestran solicitudes sospechosas desde el 5 de marzo, el backup del 12 no es confiable. Debes buscar uno del 4 de marzo o anterior y analizarlo con un escáner de seguridad antes de restaurar.

• El backup debe ser anterior al inicio estimado del ataque.
• No debe contener usuarios admin desconocidos.
• Verifica la integridad de los archivos comparándolos con paquetes originales del CMS.
• En la base de datos, busca iframes ocultos, código base64, scripts sospechosos y contenido spam.
• Después de restaurar, actualiza todos los sistemas y plugins.

¿Qué hacer si no hay backup limpio?

Si no cuentas con un backup seguro, la recuperación debe ser más cuidadosa. Copia el sitio a un entorno de staging o temporal. Pon en cuarentena los archivos sospechosos, reinstala los archivos centrales del CMS desde fuentes oficiales y reemplaza los temas y plugins con versiones limpias. Las carpetas de carga de usuarios son un lugar frecuente donde los atacantes esconden archivos ejecutables como .php, .phtml o .phar, así que revísalas con atención.

La limpieza de la base de datos es tan importante como la de archivos. Las redirecciones maliciosas pueden estar en la configuración del sitio, widgets, opciones de tema o dentro de los contenidos. En bases de datos grandes, busca expresiones como script, iframe, eval, atob, base64_decode, gzinflate, shell_exec o document.location. Pero no elimines todo lo que tenga base64 sin analizar, porque podría romper el funcionamiento del sitio. Siempre haz una copia de seguridad de la base de datos antes de modificarla.

4. Paso: Elimina código malicioso, actualiza y cierra vulnerabilidades

Restaurar el sitio no basta. Si no encuentras cómo entró el atacante, puede volver a acceder por la misma vulnerabilidad. El cuarto paso consiste en limpiar a fondo archivos y base de datos, corregir fallos de software y errores de configuración.

Lista de verificación para el sistema de archivos

• Lista los archivos modificados recientemente y revisa cambios inesperados.
• Compara los archivos centrales del CMS con las versiones oficiales.
• Revisa si hay archivos ejecutables en carpetas de carga.
• Inspecciona archivos ocultos como .user.ini, .htaccess, que pueden usarse para redirecciones maliciosas.
• Restringe los permisos de archivos: generalmente 644 para archivos y 755 para carpetas.
• Elimina temas, plugins, backups antiguos y carpetas de pruebas que no se usan.

En WordPress, desinstala completamente los plugins que no uses; no basta con desactivarlos. Plugins antiguos como sliders, formularios o gestores de archivos, aun desactivados, pueden ser un riesgo si permanecen en el servidor. Evita usar temas nulled o plugins sin licencia, pues suelen incluir backdoors. Aunque parezcan una solución barata, ponen en riesgo la reputación de tu marca y la seguridad de tus clientes.

¿En qué orden actualizar?

Durante la limpieza, primero actualiza el núcleo del CMS, luego el tema y finalmente los plugins. Si usas una versión antigua de PHP, actualízala a una soportada tras probar compatibilidad. Los sitios que usan PHP obsoleto están en riesgo, ya que no reciben parches de seguridad. En hosting, es clave contar con versiones actualizadas de PHP, arquitectura de cuentas aisladas, backups regulares y firewall. Para opciones confiables, visita Hosting web Hostragons.

Asegúrate también de tener un certificado SSL válido. SSL no previene hackeos por sí solo, pero cifra la comunicación entre usuario y servidor y reduce el impacto de formularios falsos. Es obligatorio en páginas de login, pago y registro. Para adquirir certificados, consulta comprar certificado SSL.

5. Paso: Verifica antes de reabrir, monitorea y establece protección permanente

El quinto paso es confirmar que el sitio está realmente limpio y evitar que el incidente se repita. Saltarse esta etapa puede hacer que el problema vuelva días después de reabrir. La verificación debe incluir escaneos técnicos y revisión de procesos.

Controles previos a la reapertura

• Prueba la página principal, login, pago y URLs populares desde diferentes dispositivos.
• Revisa Search Console para detectar problemas de seguridad o acciones manuales.
• Examina el sitemap y el archivo robots.txt.
• Analiza logs en busca de errores 404, 500, solicitudes POST y intentos de acceso repetidos.
• Verifica la reputación del envío de correos; si estás en listas negras, inicia proceso de deslistado.
• Testea formularios de contacto, carga de archivos y pagos.

Si Google o navegadores marcaron tu sitio como peligroso, tras limpiar debes solicitar una revisión explicando qué se limpió, qué vulnerabilidad se corrigió y qué medidas tomaste. Evita explicaciones vagas; da detalles claros, por ejemplo: “Se eliminó el plugin gestor de archivos vulnerable, se cambiaron todas las contraseñas administrativas y se deshabilitó la ejecución de PHP en la carpeta de uploads.”

Medidas para protección permanente

La seguridad es un proceso continuo, no un evento único. Incluso en sitios pequeños, un plan mensual de mantenimiento reduce mucho el riesgo de hackeo. Como mínimo, debes hacer revisiones semanales de actualizaciones, backups diarios y política de contraseñas fuertes con monitoreo de logs. En sitios con mucho tráfico, se recomienda firewall de aplicaciones (WAF), CDN, protección avanzada contra bots y escaneos externos de seguridad.

En sitios corporativos, es fundamental definir responsabilidades por escrito: quién actualiza, quién verifica backups, quién recibe alertas de seguridad y quién decide activar modo mantenimiento. Estas cuestiones deben resolverse antes del incidente para evitar pánico y confusión.

Pasos extra para recuperar SEO, reputación y confianza de usuarios

Aunque limpies técnicamente el sitio, debes hacer controles adicionales para el SEO. Los atacantes suelen generar miles de URLs spam. Si estas páginas están indexadas, tras la limpieza debes gestionar correctamente redirecciones o devolver códigos 404 o 410. Redirigir estas URLs masivamente a la página principal puede ser contraproducente y Google puede interpretarlo como una señal negativa.

Revisa en Search Console las páginas indexadas, problemas de seguridad, acciones manuales y el sitemap. Solo vuelve a enviar el sitemap cuando estés seguro de que las páginas spam fueron eliminadas. Si tu marca aparece con títulos dañinos, pide una reindexación de las páginas limpias.

Para la confianza del usuario, comunica con transparencia pero sin generar alarma. Si datos personales, pagos o cuentas de usuarios pudieron verse afectados, cumple con las obligaciones legales y protocolos de protección de datos. En sitios informativos la situación es distinta, pero en tiendas online o plataformas con usuarios registrados, la evaluación debe ser profesional.

Errores comunes que debes evitar

Algunos errores durante la recuperación pueden causar más daño que el propio ataque. El más frecuente es pensar que al reabrir el sitio el problema terminó. Si queda algún backdoor, el atacante puede volver fácilmente. Otro error es restaurar backups sin verificar que estén limpios. Un backup infectado reinfecta el sitio.

• No hacer backup antes de limpiar.
• Borrar solo los archivos visibles sin investigar la causa raíz.
• Seguir usando versiones antiguas de plugins o temas vulnerables.
• Conceder permisos administrativos innecesarios a todos los usuarios.
• Borrar o sobrescribir logs sin analizarlos.
• Asumir que tener SSL garantiza total seguridad.
• Descargar temas y plugins de fuentes no confiables o piratas.

Permisos demasiado permisivos (como 777) facilitan el trabajo del atacante. Aunque parezca una solución rápida, en producción es un riesgo grave. Aplica el principio de menor privilegio: solo las carpetas que realmente lo necesiten deben tener permisos de escritura.

Resumen rápido para una intervención eficaz

Si tu sitio es hackeado, sigue estos pasos en orden: primero aísla el sitio, luego renueva todas las credenciales, restaura con backup limpio o limpia con cuidado, cierra vulnerabilidades y finalmente verifica antes de reabrir. Así reduces el riesgo técnico y el impacto en SEO y reputación.

En Hostragons puedes contar con infraestructura segura, certificados SSL, gestión de dominios y soluciones de backup que aumentan la resiliencia de tu web. Si quieres revisar tu actual hosting, comienza por Paquetes de Hosting Hostragons y Consulta de dominio y gestión de nombre de dominio. Antes de decidir, recuerda que tu objetivo principal debe ser un equilibrio adecuado entre velocidad, seguridad, respaldo y soporte.

Preguntas frecuentes

¿Debo sacar mi sitio del aire inmediatamente después de un hackeo?

Si el sitio está distribuyendo malware, redirigiendo usuarios o afectando formularios de pago, debes restringir el acceso de inmediato. En casos menos graves, puedes usar el modo mantenimiento 503 o limitar el acceso por IP. La idea es proteger a los visitantes y comunicar a los motores de búsqueda que es una situación temporal.

¿Restaurar desde un backup siempre es suficiente?

No. El backup acelera la recuperación, pero si no sabes cómo entró el atacante, puede volver a hackearte. Tras restaurar, debes cambiar contraseñas, actualizar todo el software, revisar permisos y eliminar la causa del fallo, como plugins o configuraciones vulnerables.

¿Se pierde el posicionamiento SEO tras un hackeo?

Si la intervención es rápida y correcta, puede no haber pérdida permanente. Pero si el sitio estuvo indexando spam, mostró alertas de seguridad o estuvo mucho tiempo cerrado, el ranking puede caer. Tras la limpieza, revisa Search Console, pide reevaluación y limpia URLs spam.

¿Por qué mi sitio WordPress sigue siendo hackeado repetidamente?

Los hackeos recurrentes suelen deberse a backdoors que quedan ocultos, plugins desactualizados, contraseñas débiles, usuarios admin innecesarios, permisos mal configurados o backups infectados. No basta con borrar el código visible; debes analizar la raíz y renovar todos los accesos.

¿El hosting influye en la seguridad del sitio?

Sí. Cuentas aisladas, soporte para PHP actualizado, backups automáticos, firewall, escaneo de malware, soporte rápido y compatibilidad con SSL son factores que impactan directamente. Un hosting seguro no elimina todos los riesgos, pero reduce la superficie de ataque y facilita la recuperación.