¿Web hackeada? Qué hacer enseguida (y cómo evitarlo)

Abres tu web y te redirige a una tienda online extraña. O Google muestra de repente páginas en japonés bajo el nombre de tu empresa. O tu proveedor de alojamiento te avisa de que tu web está enviando spam. Una web hackeada genera mucho estrés, pero con los pasos adecuados normalmente se puede limpiar rápido.

¿Cómo sabes que han hackeado tu web?

• Google muestra en sus resultados un aviso de que tu web puede haber sido hackeada, o tu navegador avisa a los visitantes.
• Los visitantes son redirigidos a otras webs, a veces solo en el móvil o solo cuando llegan desde Google. Por eso no siempre lo ves tú mismo.
• Busca en Google site:tudominio.es. ¿Ves páginas que no conoces, sobre medicamentos, apuestas o en otro idioma? Entonces ya lo sabes.
• Hay administradores en WordPress que no conoces.
• Tu proveedor de alojamiento desactiva tu web o avisa de actividad sospechosa.
• Tu web va de repente lenta o tus correos ya no llegan.

¿Qué haces enseguida?

1. No te asustes y no borres nada a ciegas

Borrar archivos al azar suele empeorarlo y elimina rastros necesarios para saber cómo entró el atacante.

2. Cambia todas tus contraseñas

La del alojamiento, la de todos los administradores de WordPress, FTP o SSH y la base de datos. Elimina los usuarios que no conozcas. Hazlo desde un ordenador que sepas que es seguro.

3. Avisa a tu proveedor de alojamiento

A menudo pueden ver qué ha pasado, a veces tienen copias de seguridad y pueden ayudar a evitar que otras webs del mismo servidor se vean afectadas.

4. Haz una copia de la web hackeada

Suena raro, pero esa copia es necesaria para encontrar el fallo. Guárdala aparte y no la publiques en ningún otro sitio.

5. Restaura una copia limpia y cierra el fallo

Si tienes una copia de antes del ataque, restaurarla suele ser lo más rápido. Pero si no cierras el fallo, volverán a hackearte en pocos días. Después actualiza WordPress, tu tema y todos los plugins, elimina todo lo que no uses y comprueba que no quedan puertas traseras.

6. Pide a Google que vuelva a revisar tu web

Si tu web tiene un aviso, en Google Search Console verás en «Problemas de seguridad» lo que ha encontrado Google. Cuando todo esté limpio, solicita ahí una nueva revisión.

7. Piensa en los datos personales

¿Pudieron los atacantes acceder a datos de clientes o visitantes, por ejemplo de un formulario de contacto o una tienda online? Entonces en la UE normalmente debes notificarlo a la autoridad de protección de datos de tu país en un plazo de 72 horas. En España es la AEPD.

¿Cómo se evita?

• Mantén todo actualizado: WordPress, tema y plugins. Ahí están la mayoría de los fallos de seguridad, y las actualizaciones los cierran.
• Usa menos plugins, y solo de desarrolladores fiables.
• Nunca versiones «gratis» de plugins o temas de pago: muchas veces son ellas las que traen la puerta trasera.
• Contraseñas fuertes y únicas y verificación en dos pasos para cada administrador.
• Limita los intentos de inicio de sesión, para que no puedan adivinar contraseñas sin fin.
• Copias de seguridad automáticas que no se guarden solo en el mismo servidor.
• Monitorización, para enterarte en menos de una hora y no al cabo de una semana.

¿Han hackeado tu web?

Limpiamos webs hackeadas con frecuencia y averiguamos cómo entraron, para que no vuelva a pasar. Ponte en contacto y lo revisamos enseguida. ¿Quieres evitarlo en el futuro? Echa un vistazo a nuestros planes de mantenimiento.