Si estás leyendo esto, probablemente entraste a tu página y te encontraste con una sorpresa desagradable. Un WordPress hackeado es uno de los problemas más comunes y frustrantes para dueños de negocios y emprendedores en Chile. Los ataques automatizados con bots revisan miles de sitios buscando fallas para inyectar código malicioso.
A continuación te explicamos cómo darte cuenta de que tu sitio fue comprometido, qué riesgos tiene no actuar a tiempo y los pasos para hacer una limpieza de malware en WordPress de forma profesional.
¿Cómo saber si mi WordPress fue hackeado?
A veces el ataque es evidente, pero muchas veces quien entra esconde el código para usar tu servidor en silencio. Estas son las principales señales:
- Pantalla roja de Google: el navegador advierte que el sitio puede contener software malicioso o que es engañoso.
- Redirecciones sospechosas: tus visitas terminan en páginas de apuestas, casinos o productos falsificados, a veces solo cuando llegan desde Google o desde el celular.
- Pérdida de acceso: tu usuario y contraseña ya no funcionan en
/wp-admin. - Administradores desconocidos: aparecen usuarios con permisos altos que tú no creaste.
- Problemas en Google: Search Console muestra alertas de seguridad o aparecen muchas páginas indexadas en otros idiomas o con textos extraños.
¿Cómo solucionar un WordPress hackeado paso a paso?
Antes de empezar, guarda una copia del sitio tal como está (archivos y base de datos). Sirve para investigar qué pasó y como punto de partida si algo sale mal.
Paso 1: No restaures un respaldo antiguo a ciegas
Uno de los errores más comunes es restaurar el respaldo de la semana pasada y darlo por resuelto. Si la puerta trasera ya estaba en esa fecha, el sitio puede volver a infectarse en poco tiempo. Primero hay que encontrar por dónde entraron.
Paso 2: Escanea el sitio y el servidor
Usa herramientas de seguridad a nivel de servidor o plugins de confianza como Wordfence Security para revisar el código a fondo. Así identificas qué archivos del núcleo de WordPress, del tema o de los plugins fueron modificados.
Paso 3: Reemplaza los archivos y elimina el malware
La desinfección consiste en reemplazar los archivos de WordPress, del tema y de los plugins por copias originales descargadas desde sus fuentes oficiales. Hay que revisar con cuidado la carpeta wp-content/uploads/, donde suelen esconderse archivos PHP camuflados como imágenes, y la base de datos, donde pueden quedar usuarios o código inyectado.
Paso 4: Cierra la puerta por donde entraron
Actualiza o elimina el plugin o tema vulnerable, borra los usuarios que no reconozcas y revisa los permisos de archivos. Si no cierras la falla original, el ataque se repite.
Paso 5: Cambia todas las credenciales
Con el sitio limpio, cambia las contraseñas de:
- La base de datos (y actualízala en
wp-config.php). - La cuenta de hosting o cPanel y el FTP.
- Todos los usuarios administradores de WordPress.
- Las claves de seguridad (salts) de
wp-config.php, para cerrar todas las sesiones abiertas.
Paso 6: Pide a Google que revise el sitio
Si Google marcó el sitio, solicita una revisión desde la sección Problemas de seguridad de Search Console, explicando qué hiciste. Cuando la aprueban, la advertencia desaparece.
Consecuencias de no limpiar el malware a tiempo
| Impacto | ¿Qué le pasa a tu negocio? |
|---|---|
| Pérdida de clientes | La advertencia roja espanta a tus visitas y frena las ventas de tu tienda en línea. |
| Suspensión del hosting | Los proveedores de alojamiento pueden suspender las cuentas infectadas para proteger a sus otros clientes. |
| Daño al SEO | Google puede advertir a quienes entran y tu sitio puede perder posiciones mientras siga comprometido. |
| Correos en spam | Si el servidor envió spam, tus propios correos pueden empezar a llegar a la carpeta de spam de tus clientes. |
¿Cuánto cuesta limpiar un WordPress hackeado?
Depende de la gravedad: no es lo mismo un sitio con una redirección que uno con miles de páginas de spam y la base de datos comprometida. Un servicio profesional normalmente incluye la desinfección, el cierre de la falla, el refuerzo de seguridad (hardening) y la solicitud de revisión a Google.
En mantencionweb.cl el diagnóstico inicial no tiene costo y te damos el precio antes de empezar. Escríbenos desde Emergencia Web con la dirección de tu sitio y lo que ves en pantalla.
Cómo evitar que vuelva a pasar
Un buen punto de partida es ver lo mismo que ven los bots: nuestro verificador de seguridad web gratis revisa en segundos el certificado, las cabeceras de seguridad, la versión de WordPress y los plugins que se ven desde fuera.
La mayoría de los ataques aprovechan plugins desactualizados. Mantener el sitio al día, con respaldos fuera del servidor y revisión de seguridad, es mucho más barato que limpiarlo. Te lo explicamos en cómo funcionan los bots que buscan vulnerabilidades, y es lo que incluyen nuestros planes de mantención.
Escrito por Antonio Mondaca Vargas
Fundador de mantencionweb.cl
Más de 20 años en servicios TI, desarrollo web y servidores. Desde 2019 mantiene, aloja y posiciona sitios WordPress y WooCommerce en Chile con mantencionweb.cl.
