Web hackeada: cómo saberlo, recuperarla y qué hacer paso a paso

Un cliente te escribe porque tu web le manda a una página de apuestas. Entras desde tu ordenador y la ves perfecta. No es que el cliente se equivoque: en una web hackeada, mucho malware está pensado para que el dueño no lo vea, y por eso una infección puede durar semanas. Vamos a ver cómo confirmarlo y qué hacer si te han hackeado la web, en orden.

Cómo saber si tu web ha sido hackeada

Tres comprobaciones que no dependen de lo que veas tú en el navegador:

• Search Console, informe «Problemas de seguridad». Te dice qué ha detectado Google y te da URL de ejemplo. Ojo: esa lista puede no estar completa.
• Navegación Segura de Google. Te dice si tu dominio está marcado como peligroso.
• Tu web vista como la ve Google. Si esta respuesta tiene enlaces o textos que tú no ves en el navegador, hay cloaking:

  curl -sL -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://tudominio.es/ | less

Me han hackeado la web: qué hacer, en este orden

1. Guarda una copia de cómo está todo. Ficheros, base de datos y registros de acceso, en un sitio aparte. Parece contradictorio con las prisas, pero sin esto no podrás averiguar cómo entraron.
2. Corta el daño. Pon la web en mantenimiento si está redirigiendo a visitantes o robando datos de pago.
3. Avisa a tu proveedor de hosting. Suele tener registros que tú no ves, y a lo mejor ya ha detectado algo. Si hay otras webs en la misma cuenta, cuéntalas como afectadas.
4. Averigua cuándo empezó. Mira las fechas de los ficheros modificados y los registros. Esa fecha decide qué copia te sirve.
5. Restaura o limpia (lo vemos ahora).
6. Cierra la entrada. Actualiza o elimina el plugin vulnerable. En WordPress suele estar ahí: repasa los fallos que se están explotando.
7. Cambia todas las credenciales: panel, FTP, base de datos, administradores, correo y claves de API. En WordPress renueva también las claves de wp-config.php para cerrar las sesiones abiertas.
8. Pide la revisión a Google si te había marcado.

Cómo recuperar una web hackeada: ¿restaurar o limpiar?

Cómo limpiar un WordPress hackeado

Si tienes acceso por SSH y WP-CLI, estos comandos ahorran horas:

# ¿Los ficheros de WordPress y de los plugins son los originales?
wp core verify-checksums
wp plugin verify-checksums --all

# ¿Quién es administrador?
wp user list --role=administrator

# ¿Hay tareas programadas raras?
wp cron event list

# PHP donde no debería haberlo
find wp-content/uploads -name "*.php"

# Ficheros tocados en los últimos 7 días
find . -name "*.php" -mtime -7

La comprobación de plugins solo sirve para los del directorio oficial, así que los de pago hay que reinstalarlos desde su origen. Las fechas de los ficheros también se pueden falsificar, así que tómalas como pista. Y no olvides los sitios que suelen pasarse por alto:

• .htaccess de la raíz y de las subcarpetas.
• wp-content/mu-plugins: lo que hay ahí se ejecuta siempre y no aparece en la lista normal de plugins.
• En la base de datos, la tabla wp_options y las entradas con <script> o enlaces extraños.
• En el panel: tareas cron, cuentas FTP, reenvíos de correo y otras webs de la misma cuenta.

Si tu página web hackeada no usa WordPress, la idea es la misma: reinstala la aplicación desde el original y revisa solo lo que es tuyo (configuración, subidas y base de datos). Si además te han cifrado los ficheros, sigue la guía de ransomware.

Web hackeada con datos de clientes: qué dice el RGPD

Una web con formularios, usuarios o una tienda casi siempre guarda datos personales. Si han podido acceder a ellos, el RGPD te obliga a notificarlo a la AEPD en un máximo de 72 horas desde que lo sabes, salvo que sea improbable que suponga un riesgo para esas personas. Si el riesgo es alto, también hay que avisar a los afectados. Documenta lo ocurrido aunque decidas no notificarlo, y consúltalo con tu asesor legal.

Si Google avisa de que tu sitio puede estar pirateado

Una vez limpia la web entera (no solo las URL del ejemplo), pulsa Solicitar revisión en el informe de seguridad de Search Console y explica qué pasó y qué has hecho. Google indica que estas revisiones tardan de unos pocos días a unas pocas semanas. No envíes otra hasta tener respuesta. Las páginas de spam tardarán algo más en desaparecer de los resultados, aunque la web ya esté limpia.

Para que no vuelva a pasar

Después de recuperar una página web hackeada se suele comprar el primer plugin de seguridad que aparece. Lo que más protege es menos llamativo: actualizar pronto, borrar lo que no uses, activar el doble factor y tener copias de varias semanas fuera de la web. Lo tienes detallado en seguridad en WordPress.