Una página web puede estar comprometida sin mostrar una alteración evidente en su diseño. En algunos casos, las primeras señales aparecen en los resultados de búsqueda, el rendimiento del servidor, las cuentas de administración o determinadas redirecciones.
Detectar una posible intrusión cuanto antes permite investigar el problema, limitar sus consecuencias y recuperar el funcionamiento normal del sitio.
Entre las señales que conviene revisar están los cambios inesperados de contenido, avisos de seguridad del navegador, usuarios desconocidos en el panel, redirecciones extrañas, archivos que no reconoces o una caída repentina del rendimiento.
En esta guía explicamos cómo saber si una web ha sido hackeada, qué señales revisar y qué hacer ante una posible intrusión.
También puedes consultar nuestros consejos de ciberseguridad para mejorar la protección general de tus sistemas.
¿Cómo saber si una web ha sido hackeada?
No existe una única señal que confirme por sí sola que una página ha sido comprometida.
La mejor forma de identificar un problema es combinar diferentes indicios y comprobar si existe alguna modificación que no haya sido realizada por los responsables del sitio.
Entre las señales más habituales se encuentran:
- cambios de contenido que nadie de tu equipo ha realizado;
- nuevas cuentas de administrador;
- redirecciones inesperadas;
- avisos de malware o contenido engañoso;
- páginas nuevas que no reconoces;
- cambios extraños en el posicionamiento;
- archivos desconocidos;
- consumo inusual de recursos;
- accesos sospechosos al panel.
Señales visibles en la página web
La primera comprobación consiste en revisar el sitio públicamente.
Contenido que no reconoces
Pueden aparecer textos, enlaces, imágenes o páginas que no forman parte del contenido original.
También pueden existir publicaciones nuevas o modificaciones de páginas existentes que ningún responsable del sitio haya realizado.
Redirecciones inesperadas
Una página puede enviar al visitante hacia otro dominio sin que el propietario lo haya configurado.
Las redirecciones pueden aparecer solo en determinadas páginas, dispositivos o circunstancias, por lo que no siempre son fáciles de detectar.
Ventanas emergentes extrañas
La aparición de ventanas que solicitan descargar archivos, introducir credenciales o realizar acciones inesperadas puede ser una señal de compromiso.
Diseño o funcionamiento alterado
Cambios inesperados en menús, formularios, imágenes o determinados elementos de la página también merecen revisión.
La web está más lenta o presenta errores
Una caída de rendimiento no demuestra por sí sola que exista un hackeo.
Sin embargo, si el sitio pasa de funcionar normalmente a presentar errores o un consumo de recursos inusual sin que se haya realizado ningún cambio, conviene investigar.
Algunas señales pueden ser:
- errores del servidor;
- aumento inesperado del consumo de CPU o memoria;
- tiempos de carga anormales;
- caídas repetidas;
- avisos del proveedor de alojamiento;
- comportamiento irregular del panel de administración.
Estos problemas también pueden deberse a errores de configuración, tráfico legítimo o problemas del alojamiento, por lo que deben analizarse dentro de su contexto.
Google muestra avisos de seguridad
Los motores de búsqueda y navegadores pueden detectar determinados problemas relacionados con una página web.
Entre las señales que conviene comprobar están:
- avisos de contenido pirateado;
- advertencias de software malicioso;
- alertas sobre contenido engañoso;
- cambios inesperados en la indexación.
Google Search Console permite consultar determinadas incidencias relacionadas con la seguridad de un sitio.
Cuando aparezca una alerta, no conviene ignorarla aunque la web parezca funcionar correctamente para el propietario.
Cambios extraños en los resultados de Google
Una web comprometida puede mostrar señales en los resultados de búsqueda incluso cuando el contenido malicioso no es evidente durante la navegación normal.
Por ejemplo, pueden aparecer:
- páginas que nunca has creado;
- títulos que no corresponden con tu actividad;
- contenido extraño asociado al dominio;
- URLs desconocidas;
- modificaciones inesperadas en determinados resultados.
Una comprobación sencilla consiste en buscar el dominio en Google y revisar si aparecen páginas que no reconoces.
Usuarios o accesos desconocidos
El panel de administración es otra de las zonas que conviene revisar.
Nuevas cuentas
Si aparecen usuarios que nadie de tu equipo ha creado, es importante investigar su origen.
Cambios de permisos
Comprueba si alguna cuenta ha obtenido privilegios superiores sin autorización.
Sesiones desconocidas
Revisa los accesos recientes cuando el sistema permita consultar dispositivos, ubicaciones o sesiones activas.
Contraseñas que dejan de funcionar
Si una contraseña administrativa deja de funcionar sin que nadie autorizado la haya cambiado, debe investigarse inmediatamente.
Plugins, temas o componentes modificados
En CMS como WordPress, una modificación no autorizada puede afectar a plugins, temas, archivos o configuraciones.
Revisa:
- plugins instalados recientemente;
- temas modificados;
- extensiones que ya no utilizas;
- versiones que hayan cambiado inesperadamente;
- archivos que no correspondan con la instalación legítima.
No todo cambio implica un compromiso, pero cualquier modificación no reconocida merece una comprobación.
Archivos o páginas que nunca creaste
Otra señal frecuente son las páginas y archivos desconocidos.
Pueden aparecer:
- nuevas URLs;
- archivos con nombres extraños;
- páginas sin enlaces visibles;
- contenido que no aparece en el menú;
- cambios en archivos del sitio.
Algunos incidentes pueden intentar ocultar estas modificaciones para que el propietario no las detecte fácilmente.
Correos sospechosos enviados desde tu dominio
Si los clientes empiezan a recibir mensajes extraños aparentemente procedentes de tu dominio, conviene investigar.
Puede existir un problema relacionado con:
- formularios;
- cuentas de correo;
- credenciales;
- configuraciones;
- scripts del servidor;
- sistemas de terceros.
También conviene comprobar las configuraciones de autenticación del dominio y revisar los registros disponibles.
Señales relacionadas con SEO
Una web comprometida puede sufrir consecuencias en su posicionamiento.
Algunas señales que merecen investigación son:
- caída brusca de tráfico sin una causa conocida;
- aparición de páginas irrelevantes;
- títulos modificados;
- URLs desconocidas;
- avisos en herramientas para webmasters;
- contenido diferente según el visitante.
Una caída de tráfico no demuestra que exista un hackeo, pero combinada con otras señales puede justificar una investigación técnica.
¿Cómo comprobar si tu web está comprometida?
Puedes realizar algunas comprobaciones básicas sin modificar el sistema.
Revisa Google Search Console
Comprueba si existen avisos o problemas relacionados con la seguridad del sitio.
Revisa el panel de administración
Comprueba usuarios, permisos, plugins, temas y cambios recientes.
Revisa los archivos y copias disponibles
Compara el estado actual con una versión legítima conocida cuando dispongas de ella.
Revisa los registros
Los logs pueden aportar información sobre accesos, errores y actividad inusual.
Comprueba el sitio desde diferentes dispositivos
Algunos problemas no se muestran igual para todos los visitantes.
Estas comprobaciones proporcionan indicios, pero un escáner o una revisión superficial no garantizan que un sitio esté limpio.
¿Qué hacer si sospechas que tu web ha sido hackeada?
Lo importante es actuar de forma ordenada.
1. Documenta lo que has detectado
Guarda capturas, mensajes, fechas y cualquier otra evidencia relevante.
2. Revisa los accesos
Comprueba las cuentas administrativas y los accesos recientes.
3. Protege las credenciales
Cambia las credenciales afectadas desde un dispositivo confiable y activa medidas adicionales de autenticación cuando estén disponibles.
4. Comprueba las copias de seguridad
Identifica una copia legítima anterior al problema cuando exista.
5. Revisa el sitio y sus componentes
Busca cambios no autorizados y determina qué elementos pueden estar afectados.
6. Comprueba si existe una filtración
Si el sistema almacenaba información personal o empresarial, conviene determinar si pudo haber sido expuesta.
7. Revisa el estado de Google
Una vez solucionado el problema, comprueba si existen avisos o incidencias pendientes.
Cuando el compromiso supera las comprobaciones básicas, puede ser necesaria una investigación técnica especializada.
¿Debes poner la web en mantenimiento?
No existe una respuesta única.
Depende del tipo de compromiso, del servicio afectado y del riesgo para los visitantes.
En algunos casos puede ser conveniente limitar temporalmente el acceso mientras se investiga el incidente. En otros, interrumpir el servicio sin un plan puede dificultar la continuidad del negocio.
La decisión debe basarse en el alcance real del problema.
¿Cómo evitar que vuelva a ocurrir?
Una vez solucionado el incidente, es importante investigar cómo se produjo.
Entre las medidas preventivas pueden incluirse:
- mantener CMS, plugins y sistemas actualizados;
- utilizar contraseñas únicas;
- activar autenticación multifactor;
- limitar las cuentas administrativas;
- eliminar componentes innecesarios;
- mantener copias de seguridad;
- revisar permisos;
- monitorizar cambios;
- realizar evaluaciones periódicas.
Cuando se necesita detectar debilidades conocidas en servidores, aplicaciones o infraestructura, puede ser útil un análisis de vulnerabilidades.
¿Qué hacer si utilizas WordPress?
WordPress merece especial atención porque una instalación puede incluir núcleo, plugins, temas, cuentas administrativas y servicios externos.
Como medidas básicas:
- mantén WordPress actualizado;
- actualiza plugins y temas;
- elimina componentes que ya no utilices;
- limita las cuentas con privilegios elevados;
- utiliza autenticación multifactor cuando esté disponible;
- realiza copias de seguridad;
- revisa periódicamente los cambios.
También conviene comprobar desde qué dispositivos se administran las cuentas y mantener esos equipos correctamente protegidos.
¿Una web hackeada siempre muestra señales visibles?
No.
Una página puede seguir mostrando su contenido normal mientras existen modificaciones en archivos, cuentas, configuraciones o procesos internos.
Por eso, que la página principal se vea correctamente no demuestra que el sitio esté libre de compromiso.
¿Una caída de tráfico significa que la web ha sido hackeada?
No necesariamente.
Una caída puede deberse a cambios del algoritmo, problemas técnicos, pérdida de posiciones, errores de indexación u otras causas.
Sin embargo, si coincide con páginas desconocidas, redirecciones, avisos de seguridad o cambios no autorizados, conviene investigar el sitio.
¿Qué relación tiene una web hackeada con el malware?
Un sitio comprometido puede utilizarse para distribuir contenido malicioso o redirigir a los visitantes hacia recursos peligrosos.
Puedes conocer mejor este tipo de amenaza en nuestra guía sobre malware.
¿Cuándo conviene pedir ayuda profesional?
Puede ser conveniente recurrir a una revisión especializada cuando:
- no consigues determinar el origen del problema;
- existen múltiples cuentas sospechosas;
- aparecen modificaciones repetidas;
- el sitio continúa siendo comprometido después de una limpieza;
- existen indicios de filtración;
- la web gestiona información sensible;
- necesitas determinar el alcance del incidente.
Una evaluación profesional puede ayudar a identificar el origen, alcance y posibles debilidades relacionadas con el compromiso.
Preguntas frecuentes sobre webs hackeadas
¿Cómo sé si mi web ha sido hackeada?
Revisa cambios no autorizados, usuarios desconocidos, redirecciones, archivos extraños, avisos de seguridad, cambios de SEO y actividad anormal.
¿Una web hackeada siempre cambia su apariencia?
No. Una intrusión puede producir modificaciones internas sin alterar de forma evidente la página principal.
¿Una caída de visitas confirma un hackeo?
No. La caída de tráfico puede tener muchas causas y debe analizarse junto con otras señales.
¿Qué debo hacer primero?
Documenta las señales detectadas y revisa los accesos y sistemas afectados antes de realizar cambios importantes.
¿Debo cambiar las contraseñas?
Cuando existe sospecha de compromiso, conviene cambiar las credenciales afectadas desde un dispositivo confiable y activar MFA cuando sea posible.
¿Las copias de seguridad ayudan?
Sí. Una copia legítima puede facilitar la recuperación, aunque primero debe comprobarse que no esté afectada.
¿Una herramienta online puede confirmar un hackeo?
Puede detectar determinados indicios, pero ningún escáner externo garantiza por sí solo que un sitio esté completamente limpio.
¿Qué pasa si mi web contiene datos personales?
Debe determinarse si esos datos pudieron verse afectados y valorar las obligaciones que correspondan según las circunstancias del incidente.
¿Cómo puedo evitar que vuelva a ocurrir?
Mantén los sistemas actualizados, protege las cuentas, limita privilegios, realiza copias de seguridad y revisa periódicamente la seguridad.
Conclusión
Las señales de una web hackeada pueden ser evidentes, como una redirección inesperada, o mucho más discretas, como una cuenta administrativa desconocida o cambios extraños en los resultados de búsqueda.
Lo importante es no confundir una señal aislada con una confirmación definitiva. Una investigación adecuada debe combinar la revisión del sitio, cuentas, configuraciones, registros y otros elementos relevantes.
Actuar con rapidez, documentar el incidente, proteger los accesos y determinar el alcance del problema permite tomar decisiones más adecuadas y reducir el riesgo de que vuelva a producirse.