Cómo funcionan los bots que atacan WordPress

Si tienes un sitio en WordPress, hoy mismo hay programas automáticos probando si puedes ser una víctima. No es nada personal: estos bots recorren millones de sitios buscando cualquier puerta abierta. Entender cómo trabajan es la mejor forma de cerrarles el paso.

Qué es un bot de vulnerabilidades

Es un programa que visita sitios de forma masiva y automática buscando fallas conocidas. Suele funcionar desde servidores y computadores que ya fueron comprometidos antes (las llamadas botnets), por lo que los ataques llegan desde muchas direcciones distintas y es difícil bloquearlos por país o por IP.

Qué buscan en tu sitio

• Plugins y temas desactualizados con fallas publicadas. Cuando se anuncia una vulnerabilidad, los bots empiezan a buscarla en cuestión de horas o días.
• Contraseñas débiles, probando miles de combinaciones en wp-login.php y en xmlrpc.php.
• Nombres de usuario visibles, que WordPress puede exponer y que les ahorran la mitad del trabajo.
• Archivos olvidados: respaldos, copias de wp-config.php o instalaciones de prueba abandonadas.

Qué hacen si entran

Casi nunca se nota a simple vista. Lo habitual es que usen tu sitio para su beneficio:

• Redirigir a tus visitas hacia apuestas, estafas o productos falsificados.
• Crear miles de páginas de spam que Google termina indexando con tu dominio.
• Enviar correos masivos desde tu servidor, lo que daña la reputación de tu dominio y hace que tus correos lleguen a spam.
• Robar datos de clientes o de formularios.
• Dejar una «puerta trasera» para volver aunque cambies las contraseñas.

Cómo te afecta

Google puede mostrar una advertencia roja a quien entre a tu sitio, tu hosting puede suspender la cuenta por consumo anormal o por envío de spam, y tus posiciones en los buscadores pueden caer. Si ya te pasó, sigue nuestra guía de emergencia para WordPress hackeado.

Cómo protegerte

1. Actualiza WordPress, plugins y temas con frecuencia, siempre con respaldo previo.
2. Elimina lo que no usas: un plugin desactivado sigue siendo código en tu servidor.
3. Descarga plugins y temas solo desde el repositorio oficial o del desarrollador. Los temas «premium gratis» suelen venir con regalo.
4. Usa contraseñas únicas, verificación en dos pasos y limita los intentos de inicio de sesión.
5. Desactiva xmlrpc.php si no lo usas y el editor de archivos del panel con define( 'DISALLOW_FILE_EDIT', true ); en wp-config.php.
6. Pon un firewall de aplicaciones (WAF) delante del sitio, en el servidor o como plugin.
7. Guarda respaldos fuera del servidor y prueba de vez en cuando que se puedan restaurar.
8. Usa un hosting con una versión de PHP vigente y cuentas aisladas entre clientes.