Señales de que tu web ha sido hackeada
Un sitio web comprometido no siempre muestra síntomas evidentes de inmediato. Los atacantes prefieren pasar desapercibidos el mayor tiempo posible — instalando puertas traseras, inyectando enlaces de spam, robando datos de clientes o usando el servidor para distribuir malware. Cuanto más tarde se detecta la intrusión, mayor es el daño. Si sospechas que tu web ha sido comprometida, nuestro equipo de respuesta a incidentes de seguridad web en España puede determinar el alcance real del ataque y restablecer la seguridad.
Señales evidentes de que tu web ha sido hackeada
Tu web muestra contenido que no has publicado
Páginas nuevas con contenido en otros idiomas, enlaces a sitios de apuestas, farmacia online o contenido para adultos, o texto oculto con keywords de spam inyectadas en el código fuente. Es una de las técnicas más usadas para el SEO negativo — el atacante aprovecha la autoridad de tu dominio para posicionar sus propias páginas.
Google muestra una advertencia al acceder a tu web
Si Google ha detectado malware o contenido engañoso en tu sitio, muestra una pantalla de aviso roja antes de permitir el acceso. Esto significa que tu dominio está en la lista negra de Google Safe Browsing — con el consiguiente impacto en tráfico, conversiones y reputación.
Tu hosting o proveedor ha suspendido la cuenta
Los proveedores de hosting monitorizan el tráfico y el comportamiento de los servidores. Si detectan actividad maliciosa — envío masivo de spam, distribución de malware, ataques DDoS desde el servidor — suspenden la cuenta de forma preventiva.
Tu web redirige a usuarios a otros sitios
Los visitantes llegan a tu web y son redirigidos automáticamente a páginas de phishing, tiendas falsas o sitios de descarga de malware. La redirección a veces es condicional — solo afecta a usuarios que llegan desde Google, o solo a dispositivos móviles — para dificultar su detección.
Aparecen nuevos usuarios administradores que no has creado
En WordPress y otros CMS, los atacantes crean cuentas de administrador para mantener el acceso aunque se descubra y elimine el vector de entrada original. Revisar periódicamente los usuarios con privilegios elevados es una medida básica de detección.
El rendimiento de tu web cae de forma drástica
Un servidor comprometido puede estar siendo usado para enviar spam, minar criptomonedas o participar en ataques DDoS contra terceros — consumiendo recursos que deberían estar disponibles para tu sitio.
Señales menos evidentes pero igualmente graves
Caída inexplicable del tráfico orgánico
Si Google detecta que tu sitio distribuye malware o tiene contenido de spam, puede penalizarlo o eliminarlo del índice. Una caída brusca de tráfico sin causa aparente — sin cambios en el sitio, sin actualizaciones de algoritmo conocidas — puede ser señal de penalización por contenido malicioso inyectado.
Google Search Console muestra URLs desconocidas
Acceder a Google Search Console y encontrar cientos o miles de URLs que no has creado es una señal clara de inyección de contenido. El atacante ha generado páginas de spam que Google ha indexado bajo tu dominio.
Alertas de tu solución de seguridad o WAF
Patrones de tráfico anómalos, intentos de acceso a archivos del sistema, peticiones sospechosas a rutas de administración — las alertas de un WAF o de la solución de seguridad del hosting pueden preceder a un compromiso o confirmarlo.
Correos de spam enviados desde tu dominio
Si tu servidor de correo ha sido comprometido, puede estar enviando spam masivo desde tu dominio — con el consiguiente daño a la reputación del dominio, listas negras de correo y problemas de entregabilidad para tus comunicaciones legítimas.
Archivos modificados recientemente sin causa aparente
Archivos PHP, JavaScript o de configuración con fechas de modificación recientes que no corresponden a ninguna actualización o despliegue legítimo son una señal de que alguien ha accedido al sistema de ficheros del servidor.
Qué hacer si crees que tu web ha sido hackeada
- No entres en pánico ni formatees inmediatamente — perderías evidencias necesarias para determinar el vector de entrada y el alcance real.
- Pon el sitio en modo mantenimiento — evita que los visitantes sigan expuestos al contenido malicioso mientras investigas.
- Cambia todas las contraseñas de inmediato — panel de hosting, FTP, base de datos, CMS, correo corporativo.
- Revisa los logs del servidor — accesos recientes, IPs inusuales, peticiones a rutas de administración o archivos sensibles.
- Identifica los archivos modificados — compara con la última versión limpia conocida o usa herramientas de integridad de ficheros.
- Elimina el malware y los backdoors — no solo el archivo malicioso evidente, sino todas las puertas traseras instaladas. Un análisis de vulnerabilidades ayuda a identificar todos los vectores de entrada activos.
- Actualiza todo — CMS, plugins, temas, dependencias. El vector de entrada suele ser un componente desactualizado con vulnerabilidades conocidas.
- Solicita revisión a Google — una vez limpio el sitio, solicitar la retirada de la advertencia de Safe Browsing a través de Search Console.
- Implementa medidas preventivas — WAF, autenticación de dos factores en el CMS, monitorización de integridad de ficheros.
Cómo prevenir que hackeen tu web
Mantén el CMS y los plugins actualizados
La mayoría de los ataques a WordPress y otros CMS explotan vulnerabilidades conocidas en plugins o temas desactualizados. Activar las actualizaciones automáticas para parches de seguridad y revisar periódicamente los plugins instalados — eliminando los que no se usan — reduce drásticamente esta superficie de ataque.
Usa contraseñas únicas y fuertes en todos los accesos
Panel de hosting, FTP, base de datos, cuenta de administrador del CMS — cada acceso debe tener una contraseña única y compleja. El uso de un gestor de contraseñas elimina la fricción de recordarlas.
Activa la autenticación de dos factores en el CMS
El 2FA en el panel de administración de WordPress u otro CMS impide el acceso aunque las credenciales sean robadas mediante phishing o fuerza bruta.
Instala un WAF y un plugin de seguridad
Un Web Application Firewall filtra tráfico malicioso antes de que llegue a la aplicación. En WordPress, soluciones como Wordfence o Sucuri añaden monitorización de integridad, detección de malware y bloqueo de ataques comunes.
Realiza copias de seguridad frecuentes y verificadas
Una copia de seguridad reciente y verificada permite restaurar el sitio a un estado limpio conocido si el compromiso es grave. Almacenar las copias fuera del servidor — en un servicio externo — evita que el atacante las elimine o cifre mediante ransomware.
Audita la seguridad de tu web periódicamente
Una auditoría de seguridad informática con metodología de hacking ético identifica las vulnerabilidades de tu web antes de que lo haga un atacante — inyecciones SQL, XSS, fallos de autenticación, configuraciones inseguras.
Preguntas frecuentes sobre webs hackeadas
¿Cómo sé si mi web tiene malware sin ser técnico?
Herramientas gratuitas como Google Safe Browsing (transparencyreport.google.com/safe-browsing/search), Sucuri SiteCheck o VirusTotal permiten analizar una URL en busca de malware conocido sin necesidad de conocimientos técnicos.
¿Cuánto tiempo tarda Google en quitar la advertencia tras limpiar la web?
Una vez limpio el sitio y solicitada la revisión en Search Console, Google suele tardar entre 1 y 3 días en revisar y retirar la advertencia. En algunos casos puede tardar hasta una semana.
¿Mi web puede ser hackeada aunque tenga pocos visitantes?
Sí. Los ataques a webs son mayoritariamente automatizados — bots que escanean internet en busca de versiones vulnerables de WordPress, plugins desactualizados o configuraciones inseguras. El tráfico que recibe tu web no influye en si es objetivo de estos escaneos.
¿Qué es un backdoor y por qué es peligroso?
Un backdoor es un archivo o fragmento de código malicioso que el atacante instala para mantener el acceso al servidor aunque se descubra y elimine el malware inicial. Limpiar una web hackeada sin identificar y eliminar todos los backdoors garantiza que el atacante recuperará el acceso.
¿Crees que tu web ha sido comprometida?
Analizamos el estado de seguridad de tu web, identificamos el vector de entrada y el alcance real del compromiso, y te entregamos un plan de remediación concreto.