¿Hackearon su sitio web? Pasos de limpieza de malware que funcionan

Para limpiar un sitio web hackeado, trabaje en este orden: contenga el daño (modo de mantenimiento o acceso restringido), haga un respaldo forense del sitio infectado, cambie todas las contraseñas relacionadas, identifique cómo entró el atacante, elimine los archivos maliciosos y las inyecciones en la base de datos o restaure desde un respaldo limpio conocido, actualice y refuerce todo, y luego solicite revisiones a Google y a las listas de bloqueo. Omitir el paso de encontrar el punto de entrada es la razón más común por la que los sitios se reinfectan en pocos días.

Señales de que su sitio web fue comprometido

• Los visitantes son redirigidos a sitios de spam, farmacias o apuestas, a veces solo en móviles o solo desde resultados de búsqueda
• Google Search Console reporta problemas de seguridad, o los navegadores muestran una advertencia de "sitio engañoso"
• Aparecen usuarios administradores desconocidos en WordPress o en su CMS
• Su proveedor de hosting suspende la cuenta por enviar spam o alojar malware
• Aparecen archivos PHP desconocidos en las carpetas de carga, o cambian archivos del núcleo sin una actualización
• Los resultados de búsqueda muestran sus páginas con títulos de spam en otros idiomas

Paso 1: Contenga

Ponga el sitio en modo de mantenimiento o restrinja el acceso por IP mientras trabaja. Si el servidor está enviando spam, detenga el correo saliente de esa cuenta. La contención limita el daño a los visitantes y a la reputación de su dominio, lo cual también afecta a su correo empresarial.

Paso 2: Haga un respaldo forense

Antes de borrar algo, haga una copia completa de los archivos del sitio, la base de datos y los registros relevantes. Esto preserva evidencia, le permite comparar archivos después y lo protege si un paso de limpieza elimina algo importante.

Paso 3: Cambie las credenciales

Suponga que el atacante puede conocer cualquier credencial vinculada al sitio:

• Panel de control del hosting (cPanel, Plesk, CWP)
• Cuentas FTP y SFTP
• Contraseñas de usuarios de base de datos, actualizadas en la configuración del sitio
• Cuentas de administrador del CMS
• Cuentas de correo en el mismo dominio
• Claves de API y secretos guardados en archivos de configuración

Cámbielas desde una computadora de confianza y active MFA donde sea posible.

Paso 4: Encuentre el punto de entrada

Las causas comunes incluyen:

Punto de entrada	Qué revisar
Plugin, tema o núcleo del CMS desactualizado	Historial de versiones y vulnerabilidades conocidas
Contraseña robada o débil	Registros de acceso, nuevos usuarios administradores
Plugins "nulled" o pirateados	Cualquier plugin premium que no provenga del proveedor oficial
Otro sitio en la misma cuenta	Instalaciones viejas u olvidadas en subcarpetas
Permisos de archivo inseguros	Archivos y carpetas con escritura para todos

Revise los registros de acceso del servidor web en torno a la fecha en que empezaron los problemas. Busque solicitudes POST a archivos inusuales, cargas de archivos y accesos desde ubicaciones desconocidas.

Paso 5: Limpie o restaure

Por lo general tiene dos opciones:

• Restaurar desde un respaldo limpio tomado antes del compromiso, y luego aplicar actualizaciones antes de volver a publicar el sitio. Suele ser el camino más rápido si sabe cuándo empezó la infección.
• Limpiar en el lugar reemplazando los archivos del núcleo del CMS con copias nuevas de la fuente oficial, reinstalando plugins y temas desde sus proveedores, eliminando archivos desconocidos y buscando en la base de datos scripts inyectados, enlaces de spam y cuentas de administrador no autorizadas.

Los escáneres del lado del servidor ayudan considerablemente. En servidores cPanel, Imunify360 puede detectar y limpiar automáticamente muchas familias de malware conocidas, y otras herramientas pueden buscar patrones de código sospechoso. Las herramientas automáticas detectan mucho, pero sigue siendo importante una revisión manual de los archivos modificados recientemente, las carpetas de carga y las tareas programadas (cron), porque los atacantes suelen dejar una puerta trasera oculta para recuperar el acceso.

Paso 6: Refuerce

• Actualice el CMS, los plugins y los temas, y elimine lo que no use.
• Establezca permisos de archivo correctos y desactive la ejecución de PHP en las carpetas de carga.
• Agregue un firewall de aplicaciones web, como Cloudflare WAF o una protección a nivel de servidor.
• Active MFA para los administradores del CMS y limite los intentos de acceso.
• Programe respaldos automáticos fuera del servidor con retención suficiente para volver varias semanas atrás.

Paso 7: Solicite revisiones y monitoree

Cuando el sitio esté limpio, solicite una revisión en Google Search Console y verifique si su dominio o su IP aparecen en listas de bloqueo de correo o malware. Solicite la eliminación de esas listas cuando sea necesario. Luego monitoree de cerca durante algunas semanas: los cambios en la integridad de los archivos, los nuevos usuarios administradores y el volumen de correo saliente son buenos indicadores tempranos de reinfección.

Nuestro servicio de administración de hosting web cubre la limpieza y la protección continua en servidores cPanel, Plesk y CWP, y nuestros servicios de ciberseguridad se encargan del refuerzo y el monitoreo.

Preguntas frecuentes

¿Puedo simplemente borrar los archivos infectados que veo?

Por lo general no. Los síntomas visibles suelen ser el resultado de una puerta trasera oculta en otra parte de los archivos o de la base de datos. Sin encontrar el punto de entrada y las puertas traseras, es probable que se reinfecte.

¿Un sitio web hackeado puede afectar nuestro correo?

Sí. Si el servidor envió spam o su dominio se usó en campañas de phishing, sus correos pueden terminar en la carpeta de spam o ser rechazados. Revisar SPF, DKIM y DMARC y verificar las listas de bloqueo debe formar parte de la recuperación.

¿Debemos informar a nuestros clientes?

Si es posible que se haya accedido a datos de clientes, consulte a un asesor legal y revise las regulaciones aplicables para determinar sus obligaciones de notificación.

Siguiente paso

Max, nuestro fundador, cuenta con las certificaciones cPanel & WHM System Administrator e Imunify360, y tiene más de 20 años de experiencia en TI. Si su sitio muestra señales de alerta, o si quiere una revisión antes de que aparezca un problema, solicite una evaluación de TI gratuita.