Mi web WordPress está hackeada: qué hacer, cómo limpiarla y cómo evitar que vuelva a pasar

Publicado el 6 noviembre 2026 · Equipo mitza.es

Descubrir que tu web ha sido hackeada es desagradable, pero tiene solución, y casi siempre la solución empieza por no hacer nada precipitado. Esta guía está pensada para propietarios de webs WordPress de pymes y autónomos: cómo reconocer el problema, qué hacer en la primera hora, cómo limpiar la web sin que vuelva a infectarse y qué obligaciones tienes si hay datos personales de por medio. No sustituye a un análisis forense en casos graves, pero te ordena los primeros pasos.

Señales de que tu web puede estar hackeada

• Redirecciones raras: al abrir tu web desde el móvil o desde Google acabas en otro sitio (casinos, farmacia, estafas). A veces solo ocurre a visitantes que llegan desde el buscador, por eso el propietario no lo ve.
• Páginas y textos que no has creado: cientos de URLs con anuncios de medicamentos, relojes o textos en otro idioma. Búscalo con site:tudominio.com en Google.
• Avisos de Google: «Este sitio puede haber sido hackeado», «Sitio engañoso» o un mensaje en la sección «Problemas de seguridad» de Search Console.
• Usuarios administradores que no reconoces o cambios que nadie hizo en plugins y ajustes.
• Tu hosting suspende la cuenta o te avisa de consumo anómalo, envíos masivos de correo o archivos sospechosos.
• Correos de tu dominio que acaban en spam o rebotes de mensajes que no enviaste.
• La web va mucho más lenta o se rompe tras una actualización, sin explicación clara.

Ninguna señal aislada es una prueba, pero varias juntas justifican actuar. Si todavía no tienes claro que sea un hackeo, una auditoría de seguridad web sirve para confirmarlo o descartarlo.

Qué hacer en la primera hora

1. No borres todo ni reinstales a ciegas. Si lo haces, pierdes las pistas de cómo entraron y es probable que vuelvan a entrar por el mismo sitio.
2. Haz una copia de la web tal como está (archivos y base de datos). Aunque esté infectada, te sirve para investigar después.
3. Pon la web en modo mantenimiento o límitala por contraseña mientras trabajas, para no dañar a tus visitantes ni tu reputación.
4. Cambia las credenciales desde un ordenador limpio: administradores de WordPress, panel del hosting, acceso SFTP/FTP, base de datos y correo asociado. Cierra todas las sesiones abiertas. Si necesitas contraseñas robustas, nuestro generador de contraseñas funciona en tu navegador sin enviar nada.
5. Avisa a tu proveedor de hosting. Pueden aislar la cuenta, ver registros del servidor y decirte si hay otras webs infectadas en la misma cuenta, algo muy habitual.
6. Escanea tu ordenador con un antivirus actualizado: en muchos casos las contraseñas se roban de un equipo infectado, no de la web.

Cómo diagnosticar por dónde entraron

Limpiar sin saber por dónde entraron es la causa número uno de las reinfecciones. Estas son las comprobaciones que más información dan:

• Versiones: ¿el núcleo de WordPress, el tema y los plugins estaban al día? Muchos ataques usan vulnerabilidades ya corregidas. Es lo que ocurre en avisos como el del fallo de la 7.1.4.
• Plugins y temas «nulled» (versiones pirata de pago): suelen llevar puertas traseras de fábrica. Si usas alguno, elimínalo.
• Integridad de archivos: si tienes acceso por terminal, WP-CLI puede comparar los archivos del núcleo y de los plugins del repositorio oficial con los originales: wp core verify-checksums y wp plugin verify-checksums --all. Los archivos que no coinciden o sobran son sospechosos.
• Archivos con fecha reciente: mira qué se modificó en los últimos días, sobre todo en la raíz, en wp-content/uploads (donde no debería haber archivos PHP) y en wp-content/mu-plugins.
• Usuarios y base de datos: administradores nuevos, scripts inyectados en entradas y widgets, y las direcciones siteurl y home en la tabla de opciones.
• Registros del servidor: peticiones raras a archivos PHP concretos o accesos masivos a wp-login.php y xmlrpc.php.
• Tareas programadas: los atacantes suelen dejar tareas de WordPress o del servidor (cron) que recrean el malware cada pocas horas.

Cómo limpiar la web sin que se reinfecte

Hay dos caminos. El primero es el más seguro; el segundo, más rápido pero con más riesgo:

1. Restaurar una copia limpia anterior a la infección (si sabes cuándo empezó) y aplicar de inmediato todas las actualizaciones. Es la vía preferible. Si no tienes copias fiables, es el momento de leer la regla 3-2-1 de copias de seguridad.
2. Limpiar a mano reinstalando el núcleo de WordPress y los plugins desde fuentes oficiales, borrando lo que no reconozcas y revisando wp-config.php, .htaccess y la base de datos. Requiere experiencia: una sola puerta trasera olvidada basta para que vuelvan.

Pase lo que pase, haz también esto:

• Renueva las claves y salts de wp-config.php para invalidar las sesiones existentes.
• Elimina plugins y temas que no uses y sustituye los abandonados por alternativas mantenidas.
• Cambia de nuevo todas las contraseñas una vez limpia la web.
• Usa SFTP en lugar de FTP y revisa los permisos de archivos y carpetas.
• Comprueba que el hosting no tiene otras webs infectadas en la misma cuenta.

Un consejo práctico: un plugin de limpieza puede ayudar a detectar, pero no garantiza que el sitio quede limpio. Si el negocio depende de la web (tienda, reservas), conviene que lo revise alguien con experiencia.

Después de limpiar: Google, clientes y la AEPD

• Google: si Search Console muestra «Problemas de seguridad», una vez resuelto solicita la revisión desde esa misma pantalla. Elimina o devuelve un error 410 a las páginas spam que se hubieran creado. Mientras dure el aviso, tu visibilidad y tus clics pueden caer.
• Datos personales: si en la web había formularios, pedidos, cuentas de clientes o accesos a datos y es posible que se hayan visto afectados, el RGPD obliga en general a notificar la violación a la AEPD sin dilación indebida y, si es posible, en un máximo de 72 horas desde que se tiene constancia, salvo que sea improbable que suponga un riesgo para las personas. Si tienes dudas sobre si tu caso lo requiere, consúltalo con tu asesor cuanto antes. En el artículo sobre el régimen sancionador de la AEPD tienes el contexto.
• Clientes: si hubo datos expuestos o correos fraudulentos en tu nombre, avísales con claridad y sin tecnicismos. Te ayuda a conservar su confianza.
• Ayuda pública: el INCIBE ofrece asistencia gratuita en el 017.

Prevención: lo que de verdad reduce el riesgo

• Actualiza núcleo, plugins y tema con un plazo máximo para los parches críticos.
• Menos plugins, mejor mantenidos. Cada extensión es una puerta más.
• Verificación en dos pasos y contraseñas únicas para todos los administradores; usa el mínimo de usuarios con permisos altos.
• Copias automáticas y probadas, guardadas fuera del servidor.
• Cortafuegos de aplicación web y vigilancia de cambios en archivos.
• Hosting con aislamiento entre cuentas y buen soporte: lo explicamos en dominio y hosting: cómo elegir.
• Mantenimiento continuo. Una web sin mantenimiento acaba tarde o temprano en una de estas situaciones. Tienes el detalle en mantenimiento web: qué incluye y cuánto cuesta.

Preguntas frecuentes

¿Por qué mi web se vuelve a infectar después de limpiarla?

Casi siempre por una de estas razones: queda una puerta trasera sin detectar, las contraseñas no se cambiaron, el plugin o tema vulnerable sigue instalado, o hay otra web infectada en la misma cuenta de hosting que reinfecta a la primera.

¿Puede Google penalizar mi web por estar hackeada?

No es una multa, pero Google puede mostrar advertencias a los usuarios o retirar páginas de sus resultados hasta que se resuelva. Por eso conviene limpiar bien y solicitar la revisión.

¿Sirve un plugin de seguridad para limpiarla?

Ayuda a detectar archivos modificados y a bloquear ataques, pero no sustituye al análisis de cómo entraron. Úsalo como apoyo, no como única solución.

¿Cuándo es mejor llamar a un profesional?

Cuando tengas datos de clientes o una tienda con pagos, si la infección vuelve, si el hosting te ha suspendido la cuenta o si no sabes por dónde entraron. Cuanto antes se actúa, menor es el daño.

Cómo te ayudamos en Mitza

Diagnosticamos el origen, limpiamos y reforzamos la instalación, y después la mantenemos al día con nuestro servicio de mantenimiento web. Si necesitas empezar con una revisión, tienes la auditoría de seguridad web, o puedes contarnos tu caso desde la página de contacto.

Lectura relacionada: WordPress 7.1.2 y CVE-2026-87902 y plugins de WordPress explotados en octubre.