Mi página web fue hackeada: qué hacer paso a paso

Descubrir que tu página web fue hackeada genera angustia: clientes que ven anuncios extraños, Google que muestra resultados en otros idiomas o un aviso de “sitio peligroso” en el navegador. La buena noticia es que casi siempre se puede recuperar. En esta guía te explicamos cómo detectar un hackeo, qué hacer en la primera hora, cómo limpiar un sitio WordPress y cómo evitar que vuelva a pasar.

Señales de que tu web fue hackeada

• En Google aparecen páginas de tu dominio en japonés, tailandés o con temas de casinos, farmacia o réplicas.
• Tu sitio redirige a otras páginas, sobre todo cuando entras desde el celular o desde Google.
• Chrome o Google Search Console muestran avisos de malware o “sitio engañoso”.
• Aparecen usuarios administradores que nadie creó, o archivos PHP con nombres raros.
• Tu hosting suspendió la cuenta o reporta un consumo anormal de recursos.
• Tus correos empiezan a llegar a spam porque el servidor envía correo basura.

Qué hacer en los primeros 60 minutos

1. No borres nada todavía. Necesitas evidencia para saber por dónde entraron.
2. Cambia todas las contraseñas: WordPress, hosting, FTP/SFTP, base de datos y correo del administrador. Activa la verificación en dos pasos.
3. Revisa los usuarios de WordPress y elimina los administradores que no reconozcas.
4. Haz una copia del estado actual (archivos y base de datos), aunque esté infectada, para analizarla.
5. Avisa a tu hosting: muchos tienen escáneres y pueden indicarte qué archivos fueron modificados.
6. Si vendes en línea, pon el sitio en mantenimiento para proteger a tus clientes mientras limpias.

Cómo limpiar un WordPress hackeado

1. Reinstala el núcleo de WordPress desde una copia oficial (carpetas wp-admin y wp-includes).
2. Reemplaza plugins y temas por versiones descargadas de su fuente oficial. Elimina los que no uses y cualquier plugin “nulled” o pirata: son la puerta de entrada más común.
3. Busca archivos sospechosos en wp-content/uploads (allí nunca debería haber archivos .php) y en la raíz del sitio.
4. Revisa la base de datos: scripts inyectados en entradas, opciones con código extraño y usuarios falsos.
5. Revisa .htaccess, wp-config.php y las tareas programadas (cron), donde suelen esconderse redirecciones y puertas traseras.
6. Escanea de nuevo con herramientas como Wordfence o el escáner de tu hosting hasta que el resultado salga limpio.

Si tienes una copia de seguridad anterior al ataque y sabes con certeza cuándo ocurrió, restaurarla puede ser lo más rápido. Pero recuerda actualizar todo de inmediato: si no cierras la vulnerabilidad, volverán a entrar.

Spam en Google: URLs en otros idiomas

Uno de los hackeos más comunes en Colombia es el spam de palabras clave: el atacante crea miles de páginas falsas en tu dominio (casinos, apuestas, productos de farmacia) para aprovechar tu posicionamiento. Aunque limpies el sitio, Google puede tardar semanas en olvidarlas.

• Haz que esas rutas respondan 404 o, mejor, 410 (eliminado) para que Google las saque más rápido.
• No las bloquees en robots.txt mientras Google no las haya retirado, porque así no podrá ver que ya no existen.
• Revisa que tu sitemap solo contenga tus páginas reales.

Search Console: avisos y retirada de URLs

En Google Search Console revisa la sección “Problemas de seguridad” y “Acciones manuales”. Cuando el sitio esté limpio, solicita la revisión desde allí. Para URLs de spam muy visibles puedes usar la herramienta de Retirada de URLs mientras Google procesa los 410. El informe de “Páginas” te mostrará cuántas URLs basura siguen registradas y cómo van bajando.

Cómo evitar otro ataque

• Mantén WordPress, plugins y tema siempre actualizados.
• Usa solo plugins y temas con licencia oficial.
• Activa la verificación en dos pasos y limita los intentos de inicio de sesión.
• Usa un firewall (Cloudflare o un plugin de seguridad) y un certificado SSL activo.
• Programa copias de seguridad automáticas guardadas fuera del servidor.
• Da a cada persona su propio usuario, con el permiso mínimo necesario.

Cuándo pedir ayuda profesional

Si el sitio vuelve a infectarse después de limpiarlo, si es una tienda con pagos en línea o si Google ya muestra avisos de seguridad, lo mejor es que un equipo especializado haga la limpieza completa y cierre la vulnerabilidad. En El Creativo Web ofrecemos soporte, mantenimiento y reparación de páginas web y administración de sitios y tiendas en línea para que no vuelva a pasar.

Preguntas frecuentes

¿Puedo perder mi posicionamiento en Google por un hackeo?

Temporalmente sí, sobre todo si Google detecta malware o spam. Si limpias rápido y solicitas la revisión, normalmente recuperas tus posiciones en pocas semanas.

¿Basta con restaurar una copia de seguridad?

Solo si la copia es anterior al ataque y además actualizas todo y cambias las contraseñas. Si no cierras la puerta de entrada, el ataque se repite.

¿Cuánto tarda en limpiarse un sitio?

Un sitio pequeño puede quedar limpio en uno o dos días. La recuperación en Google (que desaparezcan las URLs de spam) puede tardar varias semanas.

Conclusión

Un hackeo no es el fin de tu página web: actúa rápido, cambia accesos, limpia a fondo y blinda el sitio para el futuro. Si necesitas ayuda urgente, escríbenos por WhatsApp y revisamos tu caso.