Si tu sitio WordPress muestra contenido extraño, está lento sin razón aparente, o Google lo marcó como peligroso, es posible que haya sido comprometido. Detectar un hackeo a tiempo puede marcar la diferencia entre una recuperación rápida y perder el sitio por completo. En esta guía te explicamos las señales, cómo confirmarlo y qué pasos seguir.
¿Cuáles son las señales de que tu WordPress fue hackeado?
No siempre hay una alarma obvia. Muchas infecciones se mantienen silenciosas durante semanas para no ser detectadas. Estas son las señales más frecuentes:
- Tu sitio fue marcado como peligroso por Google, Chrome o Firefox (aparece el mensaje «Este sitio puede perjudicar tu computadora»).
- Aparecen páginas o enlaces que no creaste vos, generalmente de farmacia, apuestas o contenido para adultos (es lo que se conoce como SEO spam).
- Tu hosting te suspendió la cuenta por envío masivo de correos o consumo anormal de recursos.
- El rendimiento cayó abruptamente sin ningún cambio que lo justifique.
- Recibiste un aviso de Google Search Console sobre malware o contenido engañoso.
- No podés ingresar al panel de administración o tus credenciales dejaron de funcionar.
- Aparecen usuarios administradores desconocidos en la lista de usuarios de WordPress.
¿Cómo confirmarlo antes de actuar?
Antes de tomar medidas, confirmá si realmente hay una infección:
- Revisá Google Search Console: entrá a la sección «Seguridad y acciones manuales». Si hay una alerta activa, ya tenés confirmación oficial.
- Usá una herramienta de escaneo externo: servicios como Sucuri SiteCheck o VirusTotal (con la URL) analizan el código visible desde afuera sin necesidad de acceso al servidor.
- Revisá el archivo
wp-login.phpy los archivos del tema en busca de código ofuscado (cadenas largas en base64 o funciones comoeval()que no deberían estar ahí). - Chequeá los archivos modificados recientemente en el servidor (vía FTP o panel de hosting): si ves decenas de archivos PHP tocados en el mismo día sin que hayas hecho nada, es una señal clara.
- Revisá si tu dominio aparece en listas negras: herramientas como MXToolbox o el propio Google Transparency Report te lo indican en segundos.
¿Qué hacer si confirmás que tu sitio fue comprometido?
Paso 1: Poné el sitio en modo mantenimiento
Evitá que los visitantes sigan llegando a un sitio infectado. Si podés acceder al panel, activá un plugin de mantenimiento. Si no, podés renombrar el archivo index.php temporalmente desde FTP.
Paso 2: Cambiá todas las contraseñas
Inmediatamente: contraseña de WordPress, cPanel o panel de hosting, FTP, base de datos y el correo asociado. Usá contraseñas largas y únicas para cada uno.
Paso 3: Restaurá desde un backup limpio
Si tenés un backup anterior a la infección, esta es la opción más rápida y segura. Un hosting profesional debería tener backups automáticos. Si no sabés cuándo empezó la infección, el backup podría estar comprometido también: en ese caso, mejor seguir al paso 4.
Paso 4: Limpiá manualmente o con un plugin especializado
Plugins como Wordfence o MalCare pueden detectar y en algunos casos eliminar archivos maliciosos. Para infecciones profundas, la limpieza manual es más efectiva pero requiere conocimientos técnicos: comparar archivos con la versión original de WordPress, revisar cada plugin y tema, y sanear la base de datos.
Paso 5: Actualizá todo
Plugins, temas y WordPress en su versión más reciente. La mayoría de los hackeos en WordPress ocurren por vulnerabilidades en plugins o temas desactualizados o no oficiales.
Paso 6: Solicitá revisión a Google
Si tu sitio fue marcado como peligroso en Search Console, una vez limpio podés pedir una revisión manual. Google suele tardar unos días en levantar la alerta.
Errores comunes que agravan la situación
- Instalar temas o plugins «nulled» (piratas): son la principal puerta de entrada de malware en WordPress.
- No tener backups recientes o tenerlos en el mismo servidor infectado.
- Usar la misma contraseña para todo.
- No tener un certificado SSL activo (tu hosting debería incluirlo).
- Ignorar las actualizaciones pendientes durante semanas.
Criterio profesional: una vez que el sitio está limpio, el trabajo real es implementar una capa de protección continua: firewall a nivel DNS (como Cloudflare), monitoreo de integridad de archivos, backups automáticos y actualizaciones regulares. La seguridad no es un evento único, es un proceso.
¿Cómo prevenir futuros hackeos?
| Medida | Impacto | Dificultad |
|---|---|---|
| Mantener WordPress y plugins actualizados | Alto | Baja |
| Usar solo plugins y temas de fuentes oficiales | Alto | Baja |
| Activar autenticación en dos pasos (2FA) | Alto | Baja |
| Hosting con protección Cloudflare y SSL | Alto | Media (lo configura el hosting) |
| Backups automáticos fuera del servidor | Alto | Media |
| Limitar intentos de login | Medio | Baja |
El hosting web de Splazk incluye protección Cloudflare, SSL de por vida y backups automáticos en todos sus planes, pensado para que no tengas que preocuparte por estas capas de forma manual.
¿Tu sitio web está en buenas manos?
Splazk, agencia digital fundada en 2020 con base en Buenos Aires, Argentina, desarrolla y mantiene sitios web y tiendas online con una infraestructura orientada a la seguridad desde el inicio. Si tu sitio fue hackeado o querés migrar a un entorno más seguro, el equipo puede ayudarte. Podés ver algunos de los proyectos que desarrollaron en el portafolio de Splazk.
¿Querés que lo resolvamos por vos?
Si tu WordPress fue hackeado y no sabés por dónde empezar, o si querés migrar tu sitio a un hosting con protección real, podés pedir un presupuesto sin cargo. También podés escribirnos directo por WhatsApp al +54 9 11 7166-7660 y te respondemos a la brevedad.
