Un hackeo no siempre se ve. A veces la web parece normal para ti y, sin embargo, Google ve páginas de spam o tus clientes acaban en una tienda falsa. Estas son las señales y los primeros pasos.
Señales de que algo va mal
- Al entrar desde Google, la web te redirige a otra página.
- En los resultados de búsqueda aparecen páginas tuyas con títulos en japonés, de farmacia o de casinos.
- El navegador o Google muestran un aviso de sitio peligroso.
- Hay usuarios administradores que nadie ha creado.
- Aparecen ficheros PHP en carpetas de imágenes o de estilos.
- El hosting te avisa de consumo anormal o te suspende la cuenta.
Ojo: el malware actual está pensado para esconderse. Según el informe de Patchstack y Monarx (State of WordPress Security in 2026), las familias más extendidas enseñan contenido distinto según quién visite la web —spam a los buscadores, redirecciones a los humanos, una página limpia al dueño— y algunas se reinstalan solas después de limpiarlas.
Qué hacer en las primeras horas
1. No borres a lo loco
Borrar el fichero sospechoso suele dar una falsa sensación de solución. Antes, haz una copia completa tal como está: sirve para entender por dónde entraron.
2. Cambia todas las contraseñas
Administradores de WordPress, hosting, FTP, base de datos y correo. Y revisa la lista de usuarios con permisos de administración.
3. Busca la puerta de entrada
Casi siempre es un plugin o tema desactualizado. Si no se cierra la puerta, la infección vuelve.
4. Limpia o restaura
Si hay una copia anterior al ataque y es fiable, restaurarla y actualizarlo todo es lo más rápido. Si no, toca limpiar fichero a fichero y revisar la base de datos.
5. Endurece y vigila
Actualizaciones, cabeceras de seguridad, acceso de administración protegido y revisión periódica.
6. Avisa a Google
Desde Search Console puedes pedir una revisión de seguridad cuando la web esté limpia, para que retiren los avisos.
¿Tu web redirige a otra página o Google avisa de que no es segura? Escríbenos y dinos que es urgente.
Pedir diagnósticoPara que no vuelva a pasar, lee por qué una web sin actualizar es un riesgo.
Preguntas frecuentes
¿Cómo sé si mi web está hackeada si yo la veo bien?
Busca tu dominio en Google con site:tudominio.es y revisa si aparecen páginas que no son tuyas, entra desde el móvil con datos o desde un buscador, y revisa los usuarios administradores. Muchos programas maliciosos muestran una versión limpia al propietario.
¿Basta con borrar los ficheros infectados?
Normalmente no. Si no se cierra la vulnerabilidad por la que entraron, o si hay código inyectado en ficheros legítimos o persistencia en el servidor, la infección vuelve.