Última actualización: Noviembre 2025
Construiste tu sitio web WordPress para hacer crecer tu negocio, no para que se convirtiera en una pesadilla de seguridad. Pero he aquí la incómoda verdad: WordPress alimenta más del 40% de todos los sitios web de Internet, lo que lo convierte en un objetivo principal para los piratas informáticos. Cada día, miles de sitios de WordPress se ven comprometidos, y muchos propietarios ni siquiera se dan cuenta hasta que se ha producido un daño significativo.
¿La buena noticia? Si detectas un pirateo a tiempo, puedes minimizar el daño a tu reputación, a tu posicionamiento SEO y a la confianza de tus clientes. Esta guía te mostrará los signos reveladores de que tu sitio WordPress ha sido comprometido y lo que debes hacer inmediatamente.
Por qué piratean los sitios de WordPress
Antes de sumergirnos en las señales de advertencia, entendamos por qué ocurre esto. WordPress en sí es seguro, pero las vulnerabilidades suelen venir de:
- Plugins y temas obsoletos (la causa nº 1 de los hackeos de WordPress)
- Contraseñas débiles y fáciles de descifrar
- Temas/plugins anulados o pirateados que contienen puertas traseras ocultas
- Entornos de alojamiento compartido donde un sitio infectado puede propagar malware a otros
- Falta de actualizaciones de seguridad y mantenimiento
Veamos ahora los signos que deberían hacer saltar las alarmas de inmediato.
1. Tu sitio web carga sospechosamente lento
¿Qué ocurre? El malware que se ejecuta en segundo plano consume recursos del servidor, provocando que tu sitio rastree o que se agote el tiempo de espera con frecuencia.
Por qué es importante: Los hackers suelen utilizar sitios comprometidos para enviar correos electrónicos basura, minar criptomonedas o lanzar ataques contra otros sitios web. Toda esta actividad consume la potencia de procesamiento de tu servidor.
Qué hay que comprobar:
- Utiliza herramientas como GTmetrix o Google PageSpeed Insights para comparar los tiempos de carga actuales con tu rendimiento histórico
- Comprueba el uso de CPU y memoria de tu servidor en el panel de control de tu hosting
- Busca picos inusuales en el consumo de ancho de banda
2. Google ha puesto tu sitio web en la lista negra
¿Qué ocurre? Aparece un mensaje de advertencia como «Este sitio puede estar pirateado» o «Sitio engañoso adelante» cuando intentas visitar tu sitio web.
Por qué es importante: Google pone en la lista negra más de 10.000 sitios web al día por contenido de malware o phishing. Esta devastadora advertencia puede destruir tu tráfico de la noche a la mañana y dañar gravemente tu posicionamiento SEO durante meses, incluso después de la limpieza.
Qué hacer inmediatamente:
- Comprueba el estado de tu sitio en Google Search Console
- Busca notificaciones de seguridad en tus mensajes de Search Console
- NO ignores esto: cada hora cuenta cuando estás en una lista negra.
Impacto real: Uno de nuestros clientes, una tienda de comercio electrónico, perdió el 87% de su tráfico orgánico a las 48 horas de ser incluido en la lista negra. Su recuperación tardó tres meses, incluso después de la eliminación completa del malware.
3. Aparecen ventanas emergentes o redireccionamientos extraños
¿Qué ocurre? Los visitantes (o tú mismo) son redirigidos a sitios web sospechosos, sitios farmacéuticos, contenido para adultos o páginas falsas de soporte técnico.
Por qué es importante: Este es uno de los signos más comunes y visibles de un hackeo. El malware de redirección suele estar diseñado para:
- Generar ingresos para los piratas informáticos mediante sistemas de afiliación
- Propagar malware a tus visitantes
- Robar credenciales de acceso a través de páginas de phishing
Nota importante: A veces estos redireccionamientos sólo aparecen a determinados visitantes (como los que proceden de los resultados de búsqueda de Google) o sólo en dispositivos móviles, por lo que son más difíciles de detectar.
4. Usuarios desconocidos en la administración de WordPress
¿Qué ocurre? Cuando compruebas Usuarios → Todos los usuarios en tu panel de control de WordPress, ves cuentas de administrador que no has creado.
Por qué es importante: Los piratas informáticos crean cuentas de administrador de puerta trasera (a menudo con nombres que suenan inocentes, como «soporte» o «admin2») para mantener el acceso aunque cambies la contraseña.
Cómo comprobarlo:
- Accede al admin de WordPress
- Ir a Usuarios → Todos los Usuarios
- Busca cualquier cuenta que no reconozcas
- Presta especial atención a las cuentas con funciones de Administrador o Editor
Consejo profesional: Los piratas informáticos suelen ocultar estas cuentas dándoles nombres que pasen desapercibidos, como «WP Support» o utilizando el mismo nombre que tu empresa de alojamiento.
5. Tu proveedor de alojamiento suspendió tu cuenta
¿Qué ocurre? Recibes un correo electrónico de tu empresa de alojamiento indicando que tu cuenta ha sido suspendida debido a «actividad maliciosa» o «violación de las condiciones del servicio».
Por qué es importante: Los proveedores de alojamiento web vigilan activamente el malware porque los sitios infectados pueden poner en peligro toda su infraestructura de servidores. Si han tomado la drástica medida de suspender tu cuenta, la infección es grave.
Lo que esto significa:
- Es probable que tu sitio esté difundiendo malware o enviando spam
- Otros sitios del mismo servidor pueden estar en peligro
- Necesitas intervención profesional inmediatamente
6. Aparecen contenidos o enlaces spam en tu sitio web
Lo que ocurre: Encuentras entradas, páginas o comentarios que no has creado, y que a menudo contienen:
- Enlaces a productos farmacéuticos (Viagra, pastillas para adelgazar)
- Sitios web de juego
- Contenido para adultos
- Artículos de diseño falsos
Por qué es importante: Esto se denomina «spam de SEO» y los piratas informáticos utilizan la autoridad de dominio de tu sitio para posicionarse en palabras clave lucrativas. Este tipo de pirateo puede destruir por completo tu posicionamiento en las búsquedas.
Dónde buscar:
- Entradas y páginas recientes en tu panel de WordPress
- Widgets de pie de página y barra lateral
- Busca tu sitio en Google utilizando:
site:yourwebsite.com viagra(sustituye viagra por otras palabras clave spam)
El hack de las palabras clave japonesas: Una variante especialmente desagradable crea páginas con caracteres japoneses que sólo aparecen en los resultados de búsqueda, no en tu sitio real.
7. Tu antivirus o navegador muestra advertencias de seguridad
¿Qué ocurre? Cuando visitas tu propio sitio web, ves advertencias de tu navegador (Chrome, Firefox, Safari) o tu software antivirus te alerta.
Por qué es importante: Estas advertencias significan que se ha detectado malware que podría perjudicar a tus visitantes. Los navegadores modernos son sofisticados a la hora de detectar amenazas, y si advierten a los usuarios, ya has perdido credibilidad.
Advertencias comunes:
- «El sitio que tienes delante contiene malware»
- «Sitio no seguro bloqueado»
- «Este sitio web puede dañar tu ordenador»
8. Archivos o código que no has añadido
¿Qué ocurre? Al revisar tus archivos de WordPress mediante FTP o el Gestor de Archivos, descubres:
- Archivos con nombres aleatorios o extensiones extrañas
- Archivos modificados recientemente que no has tocado
- Nuevas carpetas en wp-content, wp-includes o en el directorio de tu tema
- Archivos con nombres diseñados para pasar desapercibidos (como «wp-includes-new.php»)
Por qué es importante: Suelen ser archivos de puerta trasera que dan a los hackers acceso persistente a tu sitio.
Señales técnicas a tener en cuenta:
- Cadenas codificadas en Base64 en tus archivos
- funciones eval() o exec() donde no deberían estar
- Archivos con marcas de tiempo que no coinciden con tu programa de mantenimiento
Advertencia: No elimines sin más los archivos sospechosos sin entender lo que hacen: podrías romper tu sitio o pasar por alto puertas traseras ocultas.
9. Tu correo electrónico envía spam
¿Qué ocurre? Tú o tus clientes informáis de que estáis recibiendo correos spam que parecen proceder de tu dominio, o tu cuenta de correo electrónico está en una lista negra.
Por qué es importante: Los hackers utilizan sitios WordPress comprometidos para enviar miles de correos spam porque tu dominio tiene más credibilidad que el suyo. Esto puede hacer que todo tu dominio entre en la lista negra de los servidores de correo electrónico.
Señales a tener en cuenta:
- Correos electrónicos rebotados que no enviaste
- Quejas de los clientes sobre el spam
- Tus correos electrónicos aterrizan en carpetas de spam
- Aumento espectacular del envío de correo electrónico desde tu servidor
10. Cambios inexplicables en tus archivos o base de datos
Lo que está ocurriendo: Tu contenido ha cambiado sin tu conocimiento:
- Texto o enlaces modificados en páginas existentes
- Entradas de la base de datos alteradas
- Nuevos usuarios administradores en la base de datos
- Permisos de archivo modificados
Por qué es importante: Esto indica un acceso profundo a tu sitio. Los hackers pueden serlo:
- Inyectar scripts maliciosos en tu contenido legítimo
- Crear páginas ocultas para el spam SEO
- Instalar puertas traseras en la base de datos
Cómo detectarlo:
- Compara tus archivos actuales con una copia de seguridad limpia utilizando herramientas de comparación de archivos
- Comprueba si hay entradas sospechosas en las tablas wp_users y wp_posts de tu base de datos
- Revisa los registros de cambios de tus archivos si tu host los proporciona
Qué hacer AHORA MISMO si detectas estas señales
Si has identificado una o varias de estas señales de alarma, el tiempo es crítico. Éste es tu plan de acción inmediata:
Paso 1: Que no cunda el pánico, pero actúa rápido
Cada hora que tu sitio permanece infectado aumenta el daño a tu SEO, reputación y potencial responsabilidad legal si los datos de los visitantes se ven comprometidos.
Paso 2: Cambia todas las contraseñas inmediatamente
- Contraseñas de administrador de WordPress (todos los usuarios)
- Contraseñas de la base de datos
- Contraseñas FTP/SFTP
- Contraseña del panel de control del alojamiento
- Utiliza un dispositivo diferente y seguro para cambiar estas contraseñas (tu dispositivo actual podría estar en peligro).
Paso 3: Desconecta tu sitio (temporalmente)
Pon una página de mantenimiento para proteger a tus visitantes mientras evalúas la situación. La mayoría de los proveedores de alojamiento ofrecen un modo de mantenimiento.
Paso 4: Documéntalo todo
- Haz capturas de pantalla de actividades sospechosas
- Nota cuándo descubriste el problema por primera vez
- Enumera los cambios recientes (nuevos plugins, temas, usuarios)
Paso 5: Escanea tu sitio web
Utiliza plugins de seguridad fiables como
- Escáner de seguridad Wordfence
- Sucuri SiteCheck
- Escáner de seguridad MalCare
Importante: Los escáneres gratuitos pueden pasar por alto malware sofisticado. Son útiles para una evaluación inicial, pero no deben ser tu única solución.
Paso 6: Decide: ¿Hazlo tú mismo o ayuda profesional?
Considera la limpieza DIY si:
- Capturaste el hack en cuestión de horas
- Tienes copias de seguridad recientes y limpias
- Tienes experiencia técnica con WordPress
- Comprendes la seguridad a nivel de servidor
Busca ayuda profesional si:
- El hack existe desde hace semanas o meses
- Tu sitio está en la lista negra de Google
- No eres técnico
- Tu negocio depende de este sitio web
- Has encontrado malware profundamente incrustado
- Ya has intentado limpiarlo tú mismo sin éxito
Los costes ocultos del retraso en la acción
Muchos propietarios de sitios web retrasan la búsqueda de ayuda porque esperan que el problema desaparezca o que puedan solucionarlo ellos mismos. Esto es lo que cuesta ese retraso:
Daños SEO: Los algoritmos de Google penalizan los sitios pirateados durante meses después de su limpieza. Cuanto más tiempo permanezca el malware, más difícil será su recuperación.
Ingresos perdidos: Si gestionas un sitio de comercio electrónico, cada día fuera de línea o con advertencias de seguridad te cuesta ventas directas.
Confianza del cliente: Una vez que los clientes ven advertencias de seguridad en tu sitio, recuperar su confianza requiere tiempo y esfuerzo.
Infecciones más profundas: El malware se propaga. Lo que empieza como una simple inyección puede convertirse en un compromiso total del sitio que requiera una reconstrucción completa.
Responsabilidad legal: Si roban datos de clientes de tu sitio web, puedes enfrentarte a consecuencias legales dependiendo de tu jurisdicción y de las leyes de protección de datos.
Prevención: Cómo evitar esta pesadilla
Una vez que tu sitio esté limpio, prevenir la reinfección es crucial:
- Mantén todo actualizado: El núcleo de WordPress, los temas y los plugins deben actualizarse a los pocos días de publicarse nuevas versiones.
- Utiliza contraseñas fuertes y únicas: Considera un gestor de contraseñas como 1Password o Bitwarden
- Instala un plugin de seguridad: Wordfence, Sucuri o iThemes Security (configurado correctamente)
- Copias de seguridad periódicas: Copias de seguridad diarias automatizadas almacenadas fuera del servidor
- Limita los intentos de inicio de sesión: Evita los ataques de fuerza bruta
- Elimina los plugins y temas que no utilices: Cada plugin inactivo es una vulnerabilidad potencial
- Elige un alojamiento seguro: No todos los alojamientos son iguales
- Activa la autenticación de dos factores: Añade una capa adicional de seguridad a tu inicio de sesión de administrador
Cuando el bricolaje no es suficiente
Ésta es la realidad: La mayoría de las infecciones por malware de WordPress son más complejas de lo que parecen a simple vista. Los hackers no se limitan a inyectar un archivo: crean múltiples puertas traseras, modifican los archivos principales, se esconden en la base de datos y establecen mecanismos de reinfección.
Si has detectado varios signos de esta lista, o si tus intentos iniciales de limpieza no han funcionado, es hora de llamar a expertos que se ocupan a diario de estas infecciones.
En FixMyWebNow.com, hemos limpiado cientos de sitios WordPress infectados. Sabemos dónde se esconde el malware, cómo eliminarlo por completo y cómo proteger tu sitio contra futuros ataques. Nuestro equipo combina la experiencia en diseño de Kiwimbi.com con los conocimientos en ciberseguridad de Scudsecurity.com.
Te garantizamos que tu sitio estará limpio y seguro en 48 horas laborables, o no pagas.
Tu web no se arregla sola
Las infecciones de malware en WordPress no desaparecen por arte de magia. Empeoran. Se propagan. Dañan tu negocio cada día que permanecen activas.
Si has reconocido alguna de estas señales en tu sitio web, ya llevas retraso en arreglarlo. La cuestión no es si necesitas ayuda, sino si quieres minimizar los daños o esperar a que sean catastróficos.
¿Listo para recuperar tu sitio web?
O si aún no estás seguro de si tu sitio está infectado, programa una consulta gratuita de 30 minutos en la que evaluaremos tu situación y te aconsejaremos honestamente sobre los pasos a seguir.
Recuerda: Cada hora cuenta cuando tu sitio web está en peligro. No dejes que la vergüenza o la esperanza te impidan actuar. Lo hemos visto todo, y nuestro trabajo es ayudarte, no juzgarte.
¿Tienes preguntas sobre la seguridad de WordPress o necesitas ayuda ahora mismo? Ponte en contacto con nuestro equipo de FixMyWebNow.com para una consulta rápida y confidencial. Estamos aquí para ayudarte a dormir mejor esta noche.