Cómo saber si tu sitio WordPress ha sido hackeado

La mayoría de los hackeos de WordPress son silenciosos. No hay nota de rescate ni portada desfigurada. El sitio te parece normal mientras redirige a los visitantes móviles a un anuncio de farmacia, muestra spam a los rastreadores de búsqueda o envía correo desde tu servidor. Por eso muchos hackeos duran semanas antes de que alguien los note.

Compruébalo en 5 minutos

No necesitas ningún plugin ni conocimientos técnicos para estas cinco comprobaciones. Hazlas en orden.

1. Busca tu propio sitio en Google. Escribe site:tudominio.com en Google y luego prueba site:tudominio.com casino OR pills OR loan OR replica. Páginas o títulos que nunca escribiste indican que se ha inyectado spam.
2. Consulta tu dominio en Navegación segura. Abre el estado del sitio en Navegación segura de Google, introduce tu dominio y lee el resultado.
3. Abre Search Console. En Google Search Console, elige tu sitio y ve a Seguridad y acciones manuales → Problemas de seguridad. Google suele señalar un hackeo aquí antes de que tú veas nada.
4. Revisa tus administradores. En wp-admin ve a Usuarios → Todos los usuarios y filtra por Administrador. No elimines nada todavía, solo anota cualquier nombre o correo que no reconozcas.
5. Visita tu sitio como lo haría un desconocido. En tu teléfono, con datos móviles, busca tu sitio en Google y toca el resultado en lugar de escribir la dirección. Las redirecciones maliciosas suelen activarse solo para visitantes que llegan desde buscadores o solo en móvil, así que pasan desapercibidas cuando entras directamente.

8 señales de que tu sitio puede estar comprometido

1. Redirecciones inesperadas. Los visitantes llegan a otro sitio, a veces solo desde los resultados de búsqueda o solo en móvil.
2. Una advertencia de Google. «Es posible que este sitio haya sido hackeado» bajo tu resultado, o un problema de seguridad en Search Console.
3. Un administrador que no creaste. Los atacantes añaden un administrador oculto para poder volver después de que cambies tu propia contraseña.
4. Archivos PHP donde solo deberían ir imágenes. Nombres aleatorios como wp-cache-xk29.php dentro de wp-content/uploads o de las carpetas de temas.
5. Spam en el código fuente de tus páginas. Enlaces ocultos o palabras clave de farmacia y apuestas. Usa «Ver código fuente» y busca viagra, casino o display:none.
6. Una caída repentina del tráfico o del posicionamiento. Puede que Google esté eliminando páginas que ahora considera comprometidas.
7. Picos de recursos sin explicación. CPU, ancho de banda o volumen de correo saliente muy por encima de tu patrón normal.
8. Tu hosting suspende la cuenta. Muchos proveedores lo hacen automáticamente cuando un sitio empieza a servir malware o a enviar spam.

Comprobaciones más profundas si tienes SSH o WP-CLI

Estos comandos leen tu sitio desde el servidor. Ejecútalos desde la carpeta de WordPress, normalmente public_html. Ninguno cambia nada.

Comparar el núcleo de WordPress con los archivos oficiales

wp core verify-checksums
wp plugin verify-checksums --all

Cada comando compara tus archivos con las copias oficiales de wordpress.org y lista lo que difiere o falta. Los plugins personalizados y premium que no están en wordpress.org no se comprobarán.

Encontrar archivos PHP ocultos en uploads

find wp-content/uploads -name "*.php"

La carpeta uploads debe contener medios, no código. Cualquier resultado merece una mirada, aunque algunos plugins guardan allí un archivo index inofensivo.

Encontrar archivos PHP modificados recientemente

find . -type f -name "*.php" -mtime -7

Esto lista los archivos PHP modificados en los últimos siete días. Compara la lista con tu historial de actualizaciones. Vale la pena abrir los archivos modificados un día en que no hiciste nada.

Listar administradores y comprobar la dirección del sitio

wp user list --role=administrator
wp option get siteurl
wp option get home

Los dos últimos valores deben ser tu propio dominio. A veces un sitio hackeado se apunta a otro dominio solo mediante estos ajustes, sin ningún archivo modificado.

Lo que un escáner puede y no puede decirte

Un escáner basado en firmas busca patrones de malware conocidos. Es una primera pasada rápida y detecta mucho. Puede pasar por alto malware nuevo o a medida, y un escáner que solo mira tu sitio desde fuera no puede ver archivos, usuarios ni filas de la base de datos. Comprobar desde el lado del servidor, con comparación de archivos y revisión de la base de datos, cubre más.

Cosas que parecen un hackeo pero a menudo no lo son

• Archivos modificados tras una actualización. Las actualizaciones del núcleo, de plugins y de temas reescriben archivos. Compara la fecha de modificación con tu registro de actualizaciones.
• Archivos de plugins de caché y seguridad. Algunos plugins guardan archivos PHP o de registro en wp-content. Comprueba el nombre con tus plugins instalados antes de borrar.
• Una caída de posicionamiento. Las actualizaciones de algoritmo y los competidores también las causan. Una caída por sí sola es una prueba débil si no viene con otra señal.

Qué hacer a continuación

Una sola señal confirmada basta para empezar a arreglar. Haz una copia de seguridad, cambia todas las contraseñas y sigue los pasos de Cómo reparar un sitio WordPress hackeado. Si encontraste código inyectado, Cómo eliminar malware de un sitio WordPress explica la eliminación en detalle.