WordPress hackeado: qué hacer en las primeras horas y cómo evitarlo

Entras en tu web y no es la tuya: redirige a otro sitio, muestra anuncios que no has puesto o el navegador avisa de que es peligrosa. Cuando WordPress se hackea, lo que hagas en las primeras horas decide cuánto daño hay y cuánto tardas en recuperar la web. El orden que sigue es el que recomendamos: primero entender y guardar y cambiar las contraseñas del hosting, después restaurar una copia limpia, después cerrar la puerta (contraseñas de WordPress, claves y actualizaciones) y avisar a quien corresponda.

Señales de que tu WordPress ha sido hackeado

• La web redirige a otra dirección o muestra publicidad que no has puesto.
• El navegador o el buscador avisan de que el sitio es peligroso.
• Aparecen páginas, entradas o usuarios administradores que no has creado.
• Tu hosting te avisa de actividad sospechosa o suspende la cuenta.
• La web va mucho más lenta o se cae sin motivo.
• Salen correos desde tu dominio que no has enviado.
• En los registros del servidor hay picos de tráfico que no se explican.

Qué hacer en las primeras horas

1. Antes de borrar, anota y guarda lo que hay

Anota qué ves, con capturas y fechas. Si tu hosting lo permite, descarga una copia del estado actual, aunque esté infectado: sirve para saber cómo entraron. Este paso es criterio nuestro, no una regla de la documentación de WordPress. Borrar archivos a ciegas puede hacerte perder pistas y dejar la puerta abierta.

2. Avisa a tu hosting y cambia sus contraseñas

Pregunta si pueden aislar la cuenta, qué archivos han detectado y si tienen copias. Muchos alojamientos guardan copias propias. Cambia ya, desde un equipo limpio, las contraseñas del panel del hosting, del FTP y del SSH, y las del correo asociado a la cuenta: restaurar una copia de la web no las deshace, y quien las tenga puede volver a entrar.

3. Restaura una copia limpia

Lo más seguro es volver a una copia anterior al ataque. La propia documentación de WordPress recomienda hacer una copia antes de actualizar y restaurarla si algo falla. Por eso las copias deben estar guardadas fuera del servidor: si están en el mismo sitio que la web, el atacante también ha podido tocarlas.

4. Cambia contraseñas y claves de seguridad, ya con la copia restaurada

Hazlo después de restaurar, porque al volver a una copia anterior se deshacen los cambios que hayas hecho antes. Cambia las de WordPress y las de la base de datos, y activa el doble factor donde puedas. Cambia también las claves de seguridad del archivo wp-config.php. Según la documentación de WordPress, cambiarlas invalida todas las cookies existentes y todos los usuarios tendrán que iniciar sesión de nuevo, que es lo que buscas si alguien tiene una sesión robada.

5. Actualiza todo

Después de restaurar, actualiza WordPress, el tema y los plugins. Desde la versión 3.7, WordPress puede aplicar solo, en la mayoría de los sitios, las actualizaciones menores y de seguridad del núcleo; las versiones mayores las lanzas tú, y los plugins y temas también hay que mantenerlos al día. Si el ataque entró por una vulnerabilidad sin corregir, restaurar sin actualizar solo te devuelve al punto de partida.

6. Revisa usuarios y accesos

Borra los administradores que no conozcas, revisa qué plugins y temas hay instalados y elimina los que no uses.

7. Analiza la web otra vez

Pasa un análisis de malware antes y después de la limpieza y vigila los días siguientes por si reaparece.

8. Si Google marca tu sitio como peligroso

Google separa dos cosas. El informe «Problemas de seguridad» de Search Console indica si cree que tu sitio ha sido atacado. Cuando ya lo hayas limpiado, pides la revisión desde ese mismo entorno y describes las correcciones que has hecho. Según la ayuda de Google, esas revisiones tardan entre varios días y varias semanas, y no conviene enviar otra solicitud hasta que respondan a la pendiente.

Si la web guarda datos de personas

Si el ataque pudo afectar a datos personales de clientes o usuarios, hay obligaciones legales. El Reglamento general de protección de datos (artículo 33) dice que el responsable del tratamiento debe notificar la violación a la autoridad de control sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que tiene constancia, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas. Consulta con tu asesor qué te corresponde en tu caso.

Dónde pedir ayuda en España

El 017 de INCIBE es un servicio público, gratuito y confidencial que atiende a empresas y profesionales. Según la nota del Gobierno de julio de 2026, funciona de 8:00 a 23:00 horas todos los días del año, por teléfono, WhatsApp (900 116 117), Telegram o formulario web. Es orientación, no una limpieza de tu web.

Cómo evitar que vuelva a pasar

• Mantén WordPress, el tema y los plugins actualizados, comprobando que nada se rompe.
• Guarda copias diarias fuera del servidor y prueba que se pueden restaurar.
• Limita los usuarios administradores al mínimo y activa el doble factor.
• Elimina plugins y temas que no uses.
• Vigila las caídas y analiza la web de forma periódica.

Qué hacemos nosotros si ya está hackeada

En MOWOMO Care incluimos la recuperación ante hackeo: restauramos tu web sobre la copia más reciente y estable y, al terminar, recibes un reporte completo de lo ocurrido y de las medidas tomadas. Si tu web está afectada ahora mismo, empieza por un diagnóstico en care.mowomo.com; nuestro soporte responde en un máximo de 24 horas laborables y no es un servicio de urgencia.

Preguntas frecuentes

¿Cuánto tarda en limpiarse una web hackeada?

Depende de cuánto se haya infectado y de si hay una copia limpia reciente. Con una copia buena, restaurar es rápido; sin ella, la limpieza es mucho más lenta. La revisión de Google, aparte, puede tardar de varios días a varias semanas.

¿Puedo limpiarla yo mismo?

Si tienes conocimientos técnicos y una copia limpia, sí. Si no, pide ayuda: una limpieza incompleta deja la puerta abierta.

¿Cómo sé si volverá a pasar?

Si no se corrige cómo entraron, es probable. Por eso hay que actualizar, cambiar contraseñas y claves y revisar accesos después de restaurar.

Fuentes (consultadas el 5/11/2026)

• WordPress, «Updating WordPress»: copia antes de actualizar y actualizaciones automáticas menores y de seguridad.
• WordPress, archivo wp-config.php: claves de seguridad y sesiones.
• Google Search Console, problemas de seguridad: informe, limpieza y solicitud de revisión.
• Reglamento (UE) 2016/679, art. 33.
• Nota del Gobierno sobre el 017 de INCIBE.