Cómo se ve el problema
- La web redirige a sitios de apuestas, farmacia u otros que no son tuyos, a veces solo desde el celular o desde Google.
- Google muestra «Este sitio puede estar hackeado» o Chrome advierte que es peligroso.
- Aparecen páginas, usuarios administradores o enlaces que no creaste.
- El hosting suspendió la cuenta por malware o por envío de spam.
Por qué pasa
Plugins o temas desactualizados
La causa más común: una vulnerabilidad conocida que no se parcheó a tiempo.
Plugins o temas «nulled»
Versiones pirateadas de plugins de pago que vienen con código malicioso.
Contraseñas débiles
Ataques de fuerza bruta contra /wp-admin o el FTP.
Hosting compartido inseguro
Otra web infectada en el mismo servidor contagia la tuya.
Cómo solucionarlo paso a paso
Antes de empezar, descarga una copia del estado actual de archivos y base de datos. Algunos pasos reemplazan archivos y modifican la base de datos.
- 1
Cambia todas las contraseñas
Cambia las contraseñas de los usuarios administradores de WordPress, del hosting, del FTP y de la base de datos (y actualiza esta última en
wp-config.php). Elimina los usuarios administradores que no reconozcas. - 2
Haz una copia del estado actual
Aunque esté infectada, descarga una copia de archivos y base de datos. Sirve para comparar y para no perder contenido si algo sale mal.
- 3
Escanea el sitio
Usa un escáner como Wordfence o el escáner del hosting para encontrar archivos modificados. Revisa también
wp-content/uploads/: no debería tener archivos.php. - 4
Reemplaza el núcleo, los plugins y el tema
Reinstala WordPress desde Escritorio → Actualizaciones → «Reinstalar» y reinstala cada plugin y el tema desde su fuente oficial. Elimina los plugins que no uses y cualquiera «nulled».
- 5
Limpia la base de datos
Busca scripts inyectados en las tablas
wp_postsywp_options(por ejemplo, etiquetas<script>con dominios desconocidos). Esta parte requiere cuidado: un cambio incorrecto puede romper la web. - 6
Pide a Google que revise la web
En Google Search Console → Seguridad y acciones manuales → Problemas de seguridad, revisa los avisos y solicita una revisión cuando la web esté limpia.
Cuándo pedir ayuda
Te recomendamos dejarlo en manos de un experto si:
- la infección vuelve después de limpiarla;
- Google o el hosting ya marcaron o suspendieron la web;
- hay código malicioso en la base de datos;
- la web maneja datos de clientes o pagos.
Cómo evitar que vuelva a pasar
- Mantén WordPress, plugins y tema actualizados.
- Nunca uses plugins o temas «nulled».
- Usa contraseñas fuertes y verificación en dos pasos.
- Ten un firewall, escaneo de malware y copias de seguridad fuera del servidor. Todos los planes de WP Care los incluyen.
Preguntas frecuentes
¿Cómo sé si mi web WordPress está hackeada?
Las señales más comunes son redirecciones a sitios extraños, advertencias de Google o del navegador, páginas o usuarios que no creaste y suspensiones del hosting por malware o spam.
¿Basta con restaurar una copia de seguridad?
Solo si la copia es anterior a la infección y luego cierras la vulnerabilidad (actualizar, cambiar contraseñas). Si no, la web vuelve a infectarse.
¿Cuánto cuesta limpiar una web hackeada?
La limpieza se hace con el servicio Emergencia WP, desde $490.000 según el estado de la web. Con un plan activo tiene 50 % de descuento (Básico y Profesional), una limpieza al año incluida (E-commerce) o limpiezas incluidas (Empresarial).