- Una web hackeada no siempre se nota: muchas veces solo la ven Google o tus clientes desde el móvil.
- Hay 9 señales que puedes revisar tú en 15 minutos, sin conocimientos técnicos.
- Si confirmas el ataque: no borres nada a ciegas, cambia accesos y pide ayuda técnica.
Saber si tienes una web hackeada es más difícil de lo que parece: los ataques actuales están pensados para pasar desapercibidos al dueño y aprovechar la web durante semanas para enviar spam, redirigir visitas o colar páginas ajenas en Google. Esta guía te explica cómo detectarlo y qué hacer en las primeras horas.
¿Cómo saber si mi web ha sido hackeada?
La forma más fiable de saber si tu web ha sido hackeada es combinar tres comprobaciones: lo que ve Google (Search Console y los resultados de búsqueda), lo que ven tus visitantes (sobre todo desde el móvil) y lo que pasa dentro de tu WordPress (usuarios, archivos y plugins). Google lo resume en su serie #NoHacked: avisos en Search Console, advertencias en los resultados y avisos del navegador son las primeras pistas.
9 señales de una web hackeada
Lo que ve Google
- Aviso en los resultados de búsqueda. Bajo tu web aparece un mensaje del tipo «Es posible que este sitio haya sido pirateado».
- Mensaje en Search Console. El informe de Problemas de seguridad avisa de contenido hackeado, malware o ingeniería social.
- Páginas que no has creado. Busca en Google
site:tudominio.comy revisa si aparecen URLs con productos, farmacia, apuestas o textos en otros idiomas.
Lo que ven tus visitantes
- Redirecciones extrañas. La web te lleva a otra página, a veces solo desde el móvil o solo al entrar desde Google. Por eso conviene probarlo así y no solo escribiendo la dirección.
- Aviso rojo del navegador. El navegador muestra una pantalla de advertencia antes de entrar. Puedes comprobar el estado de tu dominio en el informe de transparencia de Google.
- Ventanas, anuncios o descargas que tú no has puesto.
Lo que pasa dentro de tu WordPress
- Usuarios administradores que no conoces o contraseñas que de repente no funcionan.
- Correos devueltos o tu dominio en listas de spam: puede que alguien esté enviando correo desde tu servidor.
- Avisos de tu hosting: consumo de recursos disparado, cuenta suspendida o un correo informando de archivos maliciosos.
Una sola señal no siempre significa un ataque, pero dos o más a la vez merecen una revisión técnica ese mismo día.
Qué hacer si tu web ha sido hackeada: primeras horas
1. No borres archivos a ciegas
Borrar sin saber qué ha pasado puede eliminar las pruebas de por dónde entraron y dejar la puerta abierta. Limpiar sin cerrar la entrada es la forma más rápida de volver a ser hackeado.
2. Cambia todas las contraseñas
WordPress, hosting, FTP, base de datos y correo. Activa la verificación en dos pasos en los administradores.
3. Avisa a tu proveedor de alojamiento
Suelen tener copias de seguridad y registros que ayudan a saber cuándo empezó el problema.
4. Localiza tu última copia limpia
Una copia anterior al ataque es la mejor base para recuperar la web, siempre que después se corrija la vulnerabilidad.
5. Pide ayuda técnica
Limpiar una web hackeada implica revisar archivos, base de datos, usuarios y tareas programadas, y después cerrar el agujero. Si tienes dudas sobre cómo actuar, el INCIBE ofrece el 017, una línea gratuita de ayuda en ciberseguridad.
6. Revisa si hay datos personales afectados
Si el ataque ha podido exponer datos de clientes (formularios, pedidos, usuarios), el RGPD obliga a valorar si hay que notificarlo a la autoridad de control en un plazo de 72 horas. La AEPD lo explica en su guía de notificación de brechas de datos personales.
7. Pide a Google que revise la web
Cuando la web esté limpia, solicita la revisión desde el informe de Problemas de seguridad de Search Console para que Google pueda retirar los avisos.
Por qué hackean webs de pymes
No hace falta ser una gran empresa para ser objetivo. La mayoría de ataques son automáticos: programas que recorren internet buscando webs con plugins desactualizados, contraseñas débiles o temas abandonados. Por eso las medidas básicas que contamos en nuestro checklist de seguridad en WordPress evitan la mayoría de sustos.
Cómo ayuda la IA a detectar una web hackeada
La IA no limpia una web, pero sí ayuda a darse cuenta antes:
- Zapier reúne en un solo canal los avisos de Search Console, del plugin de seguridad, de caídas y del hosting, con fecha y prioridad.
- Claude o ChatGPT traducen un aviso técnico o un registro largo a un resumen claro: qué ha pasado, qué riesgo tiene y qué revisar.
- Gemini nos sirve para contrastar diagnósticos antes de proponer una solución.
La IA acorta el tiempo entre el ataque y el aviso; la limpieza y el cierre de la vulnerabilidad los hace un técnico. Lo ampliamos en mantenimiento web con IA.
Cómo lo hacemos en Kreitz
Nuestro servicio de seguridad WordPress lo lleva un experto en ciberseguridad y perito informático forense. Tiene tres opciones de pago único: auditoría de seguridad por 90 € + IVA, bastionado (implantación de medidas) por 180 € + IVA y limpieza de web hackeada por 190 € + IVA. Tras la limpieza te explicamos qué ha pasado y por dónde entraron, y dejamos la web protegida. Para que siga así, lo ideal es combinarlo con un plan de mantenimiento web desde 50 €/mes + IVA.
Preguntas frecuentes sobre web hackeada
¿Puedo limpiar yo mismo una web hackeada?
Puedes reducir el daño cambiando contraseñas y avisando al hosting, pero la limpieza completa requiere localizar todos los archivos y entradas maliciosas y cerrar la vulnerabilidad. Si queda algo, el ataque vuelve.
¿Restaurar una copia de seguridad soluciona el problema?
Recupera la web, pero si no se corrige el fallo por el que entraron (un plugin vulnerable, una contraseña filtrada), lo normal es que vuelvan a atacarla.
¿Una web hackeada pierde posicionamiento en Google?
Puede perderlo si Google muestra avisos o detecta contenido ajeno. Cuando la web está limpia, se solicita la revisión en Search Console para que Google retire los avisos.
¿Cuánto cuesta limpiar una web hackeada?
En Kreitz, la limpieza de una web WordPress hackeada cuesta 190 € + IVA en pago único. Tras el primer análisis te decimos cuánto llevará.
¿Crees que te han hackeado la web?
Escríbenos y revisamos tu web cuanto antes. Tienes todos los detalles en nuestro servicio de seguridad WordPress o puedes contactarnos directamente.