Un WordPress hackeado es un incidente de acceso, persistencia e impacto de negocio, no solo un montón de archivos sospechosos. Una web puede parecerte completamente normal mientras envía spam, redirige solo a las visitas de buscadores o mantiene administradores ocultos. La recuperación se hace en un orden deliberado.
Paso 1 — Recupera el control y contén
Confirma la propiedad y la vía de recuperación autorizada con los responsables de las cuentas. Si las visitas están expuestas, acuerda la contención con propietario y hosting, conservando el estado pertinente del incidente cuando sea viable sin retrasar una protección urgente. En una tienda, incluye el efecto sobre pedidos, pagos y sistemas externos en esa decisión.
Paso 2 — Establece la cronología
Construye una cronología con avisos, registros de acceso, despliegues y cambios de archivos o base de datos disponibles. La guía de incidentes de WordPress —en inglés— recomienda registrar síntomas y tiempos. Las fechas de archivo y las peticiones próximas son pistas, no una prueba de que una petición concreta escribiera un archivo; documenta lagunas y distingue observaciones de conclusiones respaldadas.
Recuperar la tienda, con un plan acordado para sus pedidos
Que el escaparate vuelva a cargar es solo una parte del trabajo. Antes de intervenir, acordamos qué entorno, registros de negocio y recorridos de cliente entran en el alcance. La evaluación distingue contención y recuperación, y concreta dependencias, trabajo propuesto y presupuesto.
- Delimitar el recorrido afectado: identificar las URL, sesiones o fase del checkout implicadas. Un destino externo no es automáticamente malicioso; la guía de redirecciones inesperadas en WooCommerce distingue los recorridos de pago configurados de los comportamientos que requieren investigación.
- Planificar con los pedidos actuales: registrar el punto de recuperación y los cambios posteriores, incluidos pedidos, clientes y trabajo de preparación de envíos. Si se propone restaurar, hay que acordar cómo tratar ese intervalo antes de sustituir datos activos. La documentación de copias para tiendas con Subscriptions —en inglés— explica registros que pueden perderse y riesgos adicionales de renovación cuando se utiliza esa extensión.
- Concretar las comprobaciones: acordar las condiciones del incidente y las pruebas pertinentes de cuenta, carrito, checkout, pedidos e integraciones. La guía de pruebas de WooCommerce después de una reparación ayuda a definirlas. Cualquier prueba que pueda generar pedidos, avisos o pagos necesita un método controlado y acordado.
La entrega registra cambios, pruebas realizadas, hallazgos pendientes y siguiente responsable. Si un cobro y el estado del pedido no coinciden, la guía de conciliación de pagos y pedidos al cerrar una reparación permite concretar qué falta comprobar. Reabrir y cerrar el incidente son decisiones basadas en la evidencia acordada; no equivalen a una garantía frente a ataques futuros.
¿Tu web está afectada ahora mismo?
Envía la URL y el síntoma que ves. Jordi Ensenyat revisa el caso personalmente y define el alcance y el presupuesto antes de tocar nada. Este formulario nunca pide contraseñas.
Paso 3 — Investiga y retira la persistencia confirmada
- Evalúa núcleo, plugins, temas y código propio afectados frente a paquetes de confianza o fuentes revisadas. Acuerda sustituciones y comprobaciones de compatibilidad; conserva el material necesario para investigar antes de eliminarlo.
- Examina posibles mecanismos de persistencia en código, uploads, must-use plugins, actividad programada y contenido de base de datos. Un nombre de función o una cadena codificada no demuestra intención maliciosa por sí solo; valora contexto y comportamiento.
- Contrasta cuentas, roles y contenido inyectado inesperados con el inventario verificado por el propietario. Separa hallazgos confirmados y puntos pendientes.
- Si la evidencia apunta fuera de WordPress, implica al responsable del hosting o de infraestructura y define el alcance adicional.
Paso 4 — Corrige accesos expuestos y la vía de entrada respaldada
Identifica cuentas, sesiones y credenciales de integración expuestas, y acuerda su revocación o rotación con los responsables y las comprobaciones de reconexión necesarias. Corrige la vía de entrada respaldada por evidencia y otras debilidades confirmadas. Si no puede establecerse la entrada, conserva esa incertidumbre y acuerda una investigación adicional en lugar de inventar una causa única.
Paso 5 — Gestiona avisos y resultados de búsqueda
Retira el contenido malicioso identificado y prueba las condiciones afectadas. Si Search Console enumera problemas de seguridad, sigue su proceso de revisión después de corregir todos los tipos de problema señalados en la web afectada. Las URL de ejemplo pueden ser incompletas; Google controla la revisión y sus tiempos. Una reparación técnica no confirma por sí sola que hayan cambiado todos los avisos o resultados de búsqueda.
Cuándo escalar
Si pueden estar afectados datos de clientes, pagos, accesos al hosting o varias webs, delimita qué especialistas y proveedores deben intervenir. Para una evaluación inicial, envía URL, síntoma observado, primer aviso, impacto en el negocio, puntos de recuperación disponibles y cambios ya intentados. Alcance y presupuesto se acuerdan antes de intervenir; no incluyas contraseñas, exportaciones de clientes ni copias de seguridad en el primer mensaje.
RECUPERACIÓN WORDPRESS BASADA EN EVIDENCIA
Recuperar un WordPress hackeado sin ocultar la causa
En recuperación de incidencias WooCommerce y ecommerce, el síntoma visible puede estar lejos de la causa. recuperar los recorridos de venta preservando pedidos, datos de clientes y evidencias de pago. Una web comprometida es un incidente de acceso, persistencia e impacto de negocio, no solo un conjunto de archivos sospechosos. La recuperación prioriza el control de la web, la preservación de evidencia útil, la eliminación de los cambios maliciosos y el cierre de la vía de entrada cuando puede establecerse.
Qué comprobamos
- El recorrido completo, no solo la pantalla donde aparece el error
- Dependencias externas, registros y evidencias antes de cambiar configuración
- Control autorizado del hosting, el dominio, WordPress y el email de recuperación
- Malware, backdoors, usuarios no autorizados, tareas programadas y reglas alteradas
- Credenciales expuestas, componentes vulnerables e integraciones no autorizadas
- Comportamiento público limpio, acceso al administrador y vigilancia posterior
Qué significa un resultado verificado
El cierre documenta la causa encontrada, el cambio aplicado y las pruebas realizadas. El resultado debe ser observable y repetible, no una impresión de que “parece funcionar”.
ANTES DE LA EVALUACIÓN
Preguntas frecuentes sobre esta incidencia
¿Cómo se comprueba que el problema está realmente resuelto?+
Se reproduce el recorrido afectado, se revisan sus dependencias y se documenta la evidencia posterior al cambio.
¿Cuál es la primera prioridad tras descubrir un hackeo?+
Recuperar el control autorizado, limitar el daño y preservar evidencia antes de hacer cambios amplios que puedan ocultar la vía de entrada.
¿Basta con reinstalar WordPress?+
No. El compromiso puede permanecer en subidas, plugins, temas, la base de datos, la configuración del servidor, los usuarios o credenciales robadas.
¿Cuándo se considera recuperada la web?+
Cuando se han eliminado el comportamiento y la persistencia maliciosos, el acceso está controlado, los recorridos afectados se han probado y los riesgos restantes están documentados.