WordPress hackeado: cómo saber si han atacado su web y qué hacer en la primera hora

Un WordPress hackeado es una web en la que alguien ha entrado sin permiso para usarla en su provecho: mandar a sus visitas a otras webs, llenarla de páginas de spam, robar datos o atacar desde ella a otros. La puerta suele ser un plugin sin actualizar o una contraseña robada, y muchas veces el dueño no nota nada, porque el ataque solo se muestra a quien llega desde Google o desde el móvil. Lo primero es no borrar nada a ciegas y cambiar las contraseñas; si el ataque ha podido llegar a los datos de sus clientes, el RGPD da 72 horas para notificarlo a la AEPD.

Le contamos cómo saber si le ha pasado, qué buscan los atacantes, por dónde entran, qué hacer en la primera hora y qué tiene que incluir una limpieza para que no vuelva a pasar. No es una guía para limpiarla usted mismo: es lo que necesita saber para tomar buenas decisiones con la web atacada.

Cómo saber si su WordPress ha sido hackeado

Hay ataques que se ven nada más entrar y otros que se esconden. Estas son las señales claras de que alguien ha entrado en su web, según la guía oficial de WordPress para webs hackeadas y las políticas de Google contra el contenido pirateado:

• Google o el navegador avisan de que la web es peligrosa, o los antivirus de sus clientes la bloquean.
• Su hosting la ha suspendido, o le avisa de que desde ella se envía spam o se ataca a otras webs.
• Hay usuarios administradores que nadie ha creado, o cambios que nadie ha hecho.
• Sus visitas acaban en otra web: de apuestas, de premios falsos o de productos que usted no vende.
• Google muestra páginas que no son suyas con su dominio, a menudo en otro idioma.
• Sus correos llegan como spam: si el servidor se ha usado para enviar correo basura, su dirección acaba en listas negras.

Si lo que ve es «Ha habido un error crítico en esta web», casi nunca es un ataque: es un fallo del código, y lo contamos en qué hacer con el error crítico de WordPress.

Los ataques que usted no ve desde su ordenador

Muchos están hechos para que el dueño no los note. Según Google, el código que meten los atacantes puede redirigir a quien hace clic en un resultado de la búsqueda, pero no a quien escribe la dirección en el navegador, o hacerlo solo según el dispositivo, por ejemplo con el móvil. También pueden añadir páginas que no salen en su menú o enlaces ocultos que solo ve Google. Por eso conviene comprobarlo desde fuera:

• Busque en Google «site:» seguido de su dominio (por ejemplo, «site:su-web.es»): salen las páginas que Google tiene de su web, también las que haya creado un intruso. Lo explica la ayuda de Google para saber si un sitio fue hackeado.
• Abra Search Console, el panel gratuito de Google para su web, y mire el informe de problemas de seguridad: si Google ha detectado algo, sale ahí con páginas de ejemplo. Y mire quién figura como propietario: según Google, en algunos ataques el intruso se añade como propietario para cambiar ajustes.
• Consulte el estado de su web en la Navegación segura de Google: dice si Google la considera peligrosa.
• Pida a alguien que busque su web en Google con el móvil y entre desde el resultado, como haría un cliente.

Qué buscan los atacantes en un WordPress hackeado

No todos los ataques son iguales, y saber cuál es ayuda a medir la urgencia. Estos son los más habituales, con los nombres que les da Google en su informe de problemas de seguridad:

Los ataques más habituales a una web WordPress y lo que le cuestan a su negocio

Ataque	Qué hace en su web	Lo que le cuesta
Redirecciones	Manda a parte de sus visitas a webs de apuestas, de premios falsos o de estafas	Clientes que no llegan y la confianza en su marca
Páginas de spam	Crea cientos o miles de páginas con su dominio para vender imitaciones, medicamentos o casinos	Google la muestra para búsquedas que no son las suyas, y las suyas pierden fuerza
Enlaces y texto ocultos	Mete en sus páginas enlaces a otras webs que solo ve Google	Su web trabaja para el posicionamiento de otro
Phishing	Esconde en su servidor una página que imita a un banco o a un servicio para robar contraseñas	Avisos de web engañosa y, a menudo, la suspensión del hosting
Malware	Sirve archivos o código que infectan los dispositivos de sus visitas	El aviso rojo del navegador, del que casi nadie pasa
Robo de datos	Copia lo que escriben sus clientes en los formularios o al pagar, o se lleva la base de datos	Una brecha de datos personales, con sus obligaciones
Puerta trasera	Deja una forma de volver a entrar aunque cambie las contraseñas	El ataque vuelve días o semanas después

Casi nunca buscan su web en concreto: son robots que prueban los mismos fallos en miles de webs a la vez, y una web pequeña cae igual que una grande.

Por qué hackean un WordPress: por dónde entran

WordPress mueve el 39,6 % de todas las webs, según W3Techs, y eso lo convierte en el objetivo más rentable: un fallo en un plugin popular abre miles de webs a la vez. Pero el núcleo de WordPress rara vez es la puerta. Según el informe anual de Patchstack, una empresa especializada en la seguridad de WordPress, en 2025 se publicaron 11.334 vulnerabilidades nuevas en WordPress y lo que se instala encima, un 42 % más que en 2024: el 91 %, en plugins; el 9 %, en temas, y solo 6 en el núcleo, todas de prioridad baja. El 46 % se hizo público sin corrección del desarrollador.

Y lo que más importa: en los fallos más explotados, los ataques masivos empezaron, de mediana, 5 horas después de publicarse. Entre que sale el parche y que alguien lo instala, la web está abierta. La guía de seguridad de WordPress lo advierte: en cuanto se publica una corrección, la información para aprovechar el fallo está casi con toda seguridad al alcance de cualquiera.

Las otras puertas habituales son tres:

• Contraseñas robadas o débiles, del escritorio de WordPress, del FTP o del panel del hosting. WordPress recuerda que a veces las roba un troyano en el propio ordenador desde el que se entra a la web.
• Plugins y temas de fuentes no fiables: WordPress pide instalarlos solo desde su directorio oficial o de empresas conocidas. Un plugin de pago descargado «gratis» de otra web puede traer cualquier cosa dentro.
• El servidor compartido: en un hosting compartido, el ataque puede alcanzar a otras webs del mismo servidor, como advierte WordPress.

Qué hacer en la primera hora si han hackeado su WordPress

Con la web atacada, lo urgente es no destruir las pistas y cortar el paso al intruso. Estos pasos los puede dar sin ser técnico:

1. No borre ni reinstale nada a ciegas, y no restaure una copia sin saber si está limpia. La guía de WordPress recomienda guardar antes una copia de la web tal como está, aunque esté infectada: es la que cuenta qué ha pasado.
2. Apunte lo que ve y desde cuándo, y qué se cambió en los días anteriores: un plugin nuevo, una actualización, un usuario más.
3. Cambie las contraseñas desde un ordenador limpio: las del hosting, el FTP, la base de datos y todos los administradores de WordPress. Pase antes un antivirus: si el ataque empezó en su ordenador, la contraseña nueva también acabará en manos del intruso.
4. Avise a su hosting: en un servidor compartido puede haber más webs afectadas, y sus registros pueden decir por dónde entraron.
5. Mire si había datos de clientes: cuentas, pedidos o formularios. Si los hay, el plazo del RGPD ya corre.
6. Pida ayuda a quien mantiene su web o, si no tiene a nadie, a un servicio de reparación web urgente como el nuestro: el diagnóstico es gratis y le respondemos en menos de 24 horas.

Las contraseñas se cambian dos veces: ahora, para cortar el paso, y otra vez cuando la web esté limpia, como pide WordPress, por si el intruso seguía dentro.

Si había datos de clientes: las 72 horas del RGPD

Si el ataque ha podido llegar a datos personales, es una brecha de datos, y el Reglamento General de Protección de Datos fija dos obligaciones. La primera, en su artículo 33: notificarla a la autoridad de control sin dilación indebida y, de ser posible, en las 72 horas siguientes a saberlo, salvo que sea improbable que suponga un riesgo para las personas. En España, a la AEPD. La segunda, en el artículo 34: si el riesgo para ellas es alto, avisar también a los afectados.

La AEPD tiene dos herramientas gratuitas para decidirlo: Asesora Brecha, para saber si hay que notificarla, y Comunica-Brecha RGPD, para saber si hay que avisar a los afectados. La decisión es del responsable de los datos, es decir, de usted: nosotros le contamos lo que encontremos en la web para que pueda valorarlo.

Dónde pedir ayuda gratuita

El INCIBE, el Instituto Nacional de Ciberseguridad, atiende gratis y de forma confidencial en el 017, también a empresas y profesionales, de 8 a 23 h todos los días del año, y por WhatsApp en el 900 116 117. Si es una empresa, puede además reportar el incidente al INCIBE-CERT, que le orienta para resolverlo, y presentar una denuncia ante la Policía Nacional, la Guardia Civil o la policía autonómica.

Cómo se limpia un WordPress hackeado (y por qué limpiar no basta)

Limpiar es sacar al intruso; lo que evita que vuelva es cerrar la puerta por la que entró. Conviene saber qué incluye una limpieza bien hecha para poder juzgar la de quien se la haga:

1. Una copia de cómo está la web, antes de tocar nada.
2. Encontrar por dónde entraron: los registros del servidor, los plugins con fallos conocidos, los usuarios y los archivos que han cambiado.
3. Quitar todo lo que no es suyo: el código malicioso, las puertas traseras, los usuarios que nadie creó y las páginas de spam, también en la base de datos.
4. Reponer WordPress, el tema y los plugins desde sus fuentes oficiales y, después, ponerlos al día.
5. Cerrar la puerta: actualizar o sustituir el plugin con el fallo, cambiar otra vez todas las contraseñas y cerrar las sesiones abiertas.
6. Google: revisar Search Console y, si marcó la web, pedir la revisión explicando lo que se ha corregido.
7. Vigilarla las semanas siguientes, por si algo vuelve.

El paso que más se salta es el segundo. Si se limpia sin saber por dónde entraron, el intruso vuelve por el mismo sitio, a veces en días, o por una puerta trasera que se pasó por alto, aunque se hayan cambiado todas las contraseñas.

Con Google hace falta paciencia: según la ayuda de Search Console, la revisión puede tardar entre unos pocos días y unas pocas semanas. En nuestra reparación urgente la pedimos nosotros, cuando la web está limpia. Y si llevaba tiempo con páginas de spam, después conviene revisar su posicionamiento: es nuestro mantenimiento SEO.

Lo que no arregla un WordPress hackeado

• Reinstalar WordPress desde el escritorio: según la guía de WordPress, esas opciones solo sobrescriben los archivos que ya existen, y los ataques suelen añadir archivos nuevos.
• Restaurar una copia y olvidarse: vuelve la web de antes, con el mismo fallo abierto.
• Un plugin que «lo limpia todo»: los escáneres encuentran parte del código malicioso, pero no la puerta por la que entraron. WordPress recomienda combinar varios, porque ninguno basta solo.
• Cambiar de hosting a toda prisa: el código malicioso viaja con la web.
• Pedir a Google que quite el aviso antes de limpiar: según su guía para solicitar una revisión, solo alarga el tiempo que la web pasa marcada como peligrosa.

Cómo se evita que vuelvan a hackear su WordPress

Con cinco horas entre que se publica un fallo y los ataques masivos, la seguridad de un WordPress depende sobre todo de lo rápido y lo bien que se actualiza. Es lo que hacemos en nuestro mantenimiento WordPress, con más de 300 proyectos WordPress y 13 años manteniendo webs:

• Parches de seguridad en cuanto salen, y el resto de actualizaciones, probadas antes en una copia de la web.
• Plugins justos y de fuentes fiables: fuera los que no se usan, como pide WordPress, y los abandonados.
• Accesos con doble factor, contraseñas largas y únicas y solo los administradores imprescindibles.
• Copias diarias guardadas fuera del servidor, para volver a una versión limpia sin perder lo de hoy.
• Vigilancia: si la web cae, el aviso nos llega a nosotros antes que a sus clientes.

Si su web es una tienda PrestaShop, el riesgo está en los módulos y la cuidamos igual en el mantenimiento PrestaShop. Qué entra en un mantenimiento y qué queda fuera lo contamos en qué incluye el mantenimiento web.

Cuánto cuesta recuperar un WordPress hackeado

Depende del ataque: no es lo mismo una redirección recién puesta que una web con miles de páginas de spam, sin copias y con más webs en el mismo hosting. Por eso no trabajamos con tarifas cerradas: el diagnóstico es gratis y le pasamos el presupuesto antes de empezar, en cuanto sabemos qué le pasa a su web. Lo que cuesta después mantenerla lo explicamos en nuestra página de precios de mantenimiento web y, si su web está atacada ahora mismo, escríbanos o llámenos.

Preguntas frecuentes sobre un WordPress hackeado