Cómo saber si una página web ha sido hackeada y qué hacer inmediatamente

Una página web hackeada no siempre muestra una pantalla negra, un mensaje del atacante o cambios evidentes en la portada.

En muchos casos, la infección permanece oculta durante días o semanas. El sitio continúa funcionando mientras se crean páginas de spam, se redirige a determinados visitantes, se envían correos fraudulentos o se instala una puerta trasera para mantener el acceso.

Por eso, una empresa puede tardar en detectar el incidente.

La primera señal puede llegar a través de un cliente que recibe una advertencia del navegador, de Google Search Console, del proveedor de hosting o de una caída repentina del tráfico orgánico.

Cuando existe una sospecha, conviene actuar con rapidez, pero también con método. Borrar archivos sin analizar lo ocurrido, restaurar una copia sin comprobar su estado o instalar varias herramientas de seguridad de forma improvisada puede destruir evidencias y no eliminar el origen del problema.

La respuesta debe seguir una secuencia clara: detectar, contener, analizar, limpiar, recuperar y prevenir.

El objetivo no consiste únicamente en conseguir que la web vuelva a verse correctamente. También hay que cerrar la vía de entrada, proteger los datos y comprobar que el atacante no conserva ningún acceso.

Qué significa que una web haya sido hackeada

Una web ha sido comprometida cuando una persona o sistema no autorizado consigue modificar su funcionamiento, acceder a información, ejecutar código o utilizar los recursos del servidor.

Google define el contenido hackeado como aquel que se coloca en un sitio sin permiso aprovechando vulnerabilidades de seguridad. Puede incluir páginas de spam, código malicioso, redirecciones o archivos destinados a perjudicar a los visitantes.

El ataque puede afectar a diferentes componentes:

• Gestor de contenidos.
• Servidor.
• Base de datos.
• Cuentas de administración.
• Correo electrónico.
• Dominio.
• DNS.
• Aplicaciones conectadas.
• Copias de seguridad.
• Equipos desde los que se gestiona la web.

Esta última posibilidad es importante. Una página puede reinfectarse después de limpiarla si el atacante ha obtenido las credenciales desde un ordenador comprometido o si sigue controlando una cuenta externa.

Señales de que una página web ha sido hackeada

Algunas infecciones son visibles. Otras intentan pasar desapercibidas para seguir utilizando la web durante el mayor tiempo posible.

Estas son las señales más habituales.

Aparecen redirecciones desconocidas

El usuario entra en la web y termina en una página de publicidad, apuestas, productos falsos, descargas o contenido para adultos.

La redirección puede producirse solo:

• Desde dispositivos móviles.
• Al llegar desde Google.
• En determinadas ubicaciones.
• Durante la primera visita.
• En páginas específicas.
• Cuando no se ha iniciado sesión como administrador.

Esta segmentación dificulta la detección. El propietario puede visitar la web y no observar nada anormal, mientras que los clientes son enviados a páginas fraudulentas.

Google muestra una advertencia de seguridad

Mensajes como “sitio engañoso”, “esta página puede dañar tu equipo” o avisos similares indican que Google ha detectado malware, ingeniería social u otro comportamiento peligroso.

Google Safe Browsing muestra advertencias en los navegadores cuando una página puede perjudicar al usuario. Los propietarios también pueden recibir información mediante el apartado de problemas de seguridad de Search Console.

Ignorar esta alerta puede provocar una pérdida inmediata de tráfico y confianza.

Se publican páginas que la empresa no ha creado

Es frecuente que los atacantes generen cientos o miles de URLs relacionadas con:

• Medicamentos.
• Préstamos.
• Casinos.
• Productos falsificados.
• Contenido en otros idiomas.
• Descargas.
• Criptomonedas.
• Servicios fraudulentos.

Estas páginas pueden no aparecer en el menú. Sin embargo, sí pueden ser rastreadas por los buscadores.

Una búsqueda en Google con el operador site:dominio.com puede mostrar títulos o contenidos desconocidos.

También pueden detectarse picos de páginas indexadas o consultas completamente ajenas a la actividad de la empresa.

El sitio funciona con una lentitud inusual

Una infección puede consumir recursos del servidor para enviar spam, atacar otras webs, minar criptomonedas o ejecutar procesos continuos.

Entre las señales técnicas se encuentran:

• Uso elevado de CPU.
• Consumo anormal de memoria.
• Saturación del almacenamiento.
• Errores frecuentes del servidor.
• Caídas intermitentes.
• Tiempos de respuesta elevados.
• Límites de recursos superados.

La lentitud no demuestra por sí sola que exista un ataque, pero debe investigarse cuando aparece repentinamente sin cambios conocidos.

Existen usuarios administradores desconocidos

Un atacante puede crear una cuenta administrativa para conservar el acceso aunque se cambie la contraseña principal.

Es necesario revisar todos los usuarios y prestar especial atención a:

• Administradores que nadie reconoce.
• Correos electrónicos extraños.
• Cuentas antiguas que deberían estar desactivadas.
• Cambios recientes de permisos.
• Usuarios con nombres similares a los legítimos.

En WordPress, la documentación oficial recomienda comprobar si se han creado usuarios desconocidos y cambiar las contraseñas después de limpiar la instalación.

Los archivos han cambiado sin explicación

Pueden aparecer archivos nuevos, nombres extraños o modificaciones en componentes que la empresa no ha actualizado.

Algunas infecciones insertan código en:

• Archivos del tema.
• Plugins.
• Configuración.
• Carpetas de imágenes.
• Archivos principales del sistema.
• Tareas programadas.
• Base de datos.

Las puertas traseras pueden ocultarse en archivos aparentemente legítimos o utilizar nombres similares a los originales.

Se envían correos que la empresa no reconoce

El servidor puede utilizarse para distribuir spam, phishing o malware.

La empresa puede descubrirlo porque:

• Los clientes reciben mensajes extraños.
• El dominio entra en listas de bloqueo.
• Aumentan los correos devueltos.
• El proveedor suspende el envío.
• Aparecen mensajes en la carpeta de enviados.
• Se supera el límite diario.

También conviene revisar si el correo corporativo ha sido comprometido de forma independiente, ya que las mismas credenciales pueden haberse utilizado en varios servicios.

Los formularios o pagos se comportan de forma extraña

En tiendas online, un atacante puede modificar el proceso de pago, capturar datos o sustituir cuentas de destino.

Algunas señales son:

• Cambios en la pasarela.
• Pedidos que no se registran.
• Formularios enviados a direcciones desconocidas.
• Scripts nuevos en el checkout.
• Modificación de datos bancarios.
• Errores repentinos al pagar.

Cualquier comportamiento anormal en una zona que maneja datos personales o pagos debe tratarse como un incidente prioritario.

Qué hacer inmediatamente ante una sospecha

Los primeros minutos pueden influir en el alcance del daño.

No conviene seguir administrando la web como si nada hubiera ocurrido ni realizar cambios desde un equipo que también podría estar comprometido.

Limitar temporalmente el acceso

Si la web está distribuyendo malware, robando datos o redirigiendo visitantes, puede ser necesario ponerla en mantenimiento o restringir el acceso.

La medida debe aplicarse con cuidado para no destruir registros ni perder información útil.

En una tienda online, plataforma de clientes o sistema crítico, la decisión debe coordinarse con el proveedor técnico para reducir el impacto operativo.

INCIBE recomienda contener el incidente limitando el acceso a los servicios afectados, desconectando sistemas comprometidos cuando sea necesario y evitando que la situación siga extendiéndose.

Contactar con el hosting o responsable técnico

El proveedor de alojamiento puede disponer de:

• Registros del servidor.
• Copias de seguridad.
• Sistemas de detección.
• Información sobre archivos modificados.
• Historial de accesos.
• Herramientas de aislamiento.
• Datos sobre el consumo de recursos.

Es importante comunicar que se sospecha de una intrusión, no únicamente que “la web funciona mal”.

El proveedor podrá indicar si existen otras cuentas afectadas o si el problema se extiende a todo el servidor.

Cambiar credenciales desde un dispositivo seguro

Las contraseñas deben modificarse desde un ordenador que no esté comprometido.

Conviene cambiar, como mínimo:

• Administradores de la web.
• Hosting.
• Panel de control.
• FTP o SFTP.
• SSH.
• Base de datos.
• Correo.
• Registrador del dominio.
• CDN.
• Servicios de copias.
• Cuentas conectadas mediante API.

No basta con cambiar una sola contraseña.

También deben revocarse sesiones activas, claves antiguas, tokens de acceso y usuarios que ya no sean necesarios.

Conservar evidencias

Antes de borrar archivos, conviene guardar una copia del estado comprometido y de los registros disponibles.

Esta información puede ayudar a identificar:

• Cuándo comenzó el ataque.
• Qué cuenta se utilizó.
• Qué archivos se modificaron.
• Qué información pudo quedar expuesta.
• Desde qué dirección se realizaron acciones.
• Qué vulnerabilidad permitió la entrada.

Los registros del servidor, accesos administrativos y cambios de archivos pueden resultar especialmente útiles. Google también recomienda revisar logs, cuentas desconocidas e intentos de acceso sospechosos al investigar una web comprometida.

Cómo analizar el alcance del ataque

Una limpieza eficaz necesita responder a tres preguntas:

1. ¿Qué ha sido modificado?
2. ¿Cómo entró el atacante?
3. ¿Qué acceso conserva?

Eliminar únicamente el archivo visible no resuelve el incidente si permanece una puerta trasera.

Revisar archivos y base de datos

El análisis debe comparar los archivos actuales con versiones legítimas.

En sistemas como WordPress conviene revisar:

• Archivos del núcleo.
• Temas.
• Plugins.
• Carpeta de subidas.
• Configuración.
• Usuarios.
• Entradas y páginas.
• Opciones almacenadas.
• Tareas programadas.

También deben buscarse scripts externos, código ofuscado, redirecciones y enlaces desconocidos.

Las herramientas automáticas pueden ayudar, pero no detectan todas las variantes. Una revisión manual suele ser necesaria en incidentes persistentes.

Comprobar los registros

Los logs pueden mostrar accesos anómalos, solicitudes repetidas, subidas de archivos o acciones administrativas.

Conviene revisar:

• Logs web.
• Accesos FTP o SFTP.
• SSH.
• Panel de hosting.
• Historial de usuarios.
• Firewall.
• Correo.
• Aplicaciones externas.

La ausencia de registros dificulta el análisis. Por eso, mantenerlos correctamente configurados es una medida preventiva importante.

Identificar la vía de entrada

Las causas más frecuentes incluyen:

• Software desactualizado.
• Plugins vulnerables.
• Contraseñas reutilizadas.
• Cuentas abandonadas.
• Permisos incorrectos.
• Temas o extensiones de origen dudoso.
• Equipos infectados.
• Claves expuestas.
• Fallos en desarrollos personalizados.
• Configuración insegura del servidor.

OWASP mantiene su listado de riesgos críticos para aplicaciones web como referencia para equipos de desarrollo y seguridad. La edición vigente es OWASP Top 10 2025.

Encontrar la vía de entrada permite evitar que la web vuelva a infectarse después de la limpieza.

Cómo limpiar una página web hackeada

El procedimiento depende de la plataforma y del alcance del incidente.

En términos generales, debería incluir las siguientes acciones.

Sustituir componentes por copias legítimas

Cuando sea posible, los archivos del núcleo, plugins y temas deben reemplazarse por versiones oficiales limpias.

No conviene descargar componentes desde fuentes desconocidas ni conservar extensiones abandonadas.

Los elementos que no se utilizan deberían eliminarse, no limitarse a desactivarse.

Eliminar código, páginas y usuarios maliciosos

La limpieza debe incluir:

• Archivos infectados.
• Código insertado.
• Páginas de spam.
• Redirecciones.
• Administradores desconocidos.
• Tareas programadas.
• Claves comprometidas.
• Contenido oculto.
• Scripts externos.

También es necesario revisar la base de datos, porque algunas infecciones no se encuentran únicamente en los archivos.

Actualizar todo el entorno

Una vez limpia la instalación, deben actualizarse:

• Gestor de contenidos.
• Plugins.
• Temas.
• Lenguaje del servidor.
• Frameworks.
• Librerías.
• Sistema operativo cuando corresponda.

La documentación oficial de WordPress recomienda actualizar la instalación después de una limpieza, ya que las versiones antiguas pueden ser más vulnerables.

Restaurar una copia solo si es fiable

Restaurar una copia de seguridad puede acelerar la recuperación, pero únicamente si se sabe que fue creada antes de la infección.

Una copia reciente puede contener el mismo malware o la misma puerta trasera.

Además, restaurar no corrige la vulnerabilidad que permitió el ataque. Después de recuperar la copia, hay que actualizar, cambiar credenciales y revisar la configuración.

Qué hacer con Google después de la limpieza

Una vez eliminada la infección, conviene revisar Search Console.

El informe de problemas de seguridad puede indicar páginas hackeadas, contenido engañoso o malware detectado por Google.

Si aparece una advertencia, deben corregirse todos los ejemplos y solicitar una revisión.

También conviene:

• Eliminar URLs fraudulentas.
• Mantener redirecciones legítimas.
• Actualizar el sitemap.
• Solicitar rastreo de páginas importantes.
• Comprobar acciones manuales.
• Revisar consultas y páginas indexadas.

Google permite solicitar un nuevo rastreo después de modificar o recuperar páginas, aunque la indexación no es inmediata ni está garantizada.

Comprobar si se han visto afectados datos personales

Si el ataque puede haber comprometido información personal, pedidos, credenciales o datos de clientes, el incidente debe analizarse también desde el punto de vista legal.

Puede ser necesario determinar:

• Qué información estaba almacenada.
• Quién pudo acceder.
• Durante cuánto tiempo.
• Qué consecuencias pueden producirse.
• A quién debe notificarse.
• Qué medidas deben adoptarse.

Esta evaluación debería realizarse con asesoramiento técnico y legal especializado.

No conviene ocultar el incidente ni asumir que no hubo filtración solo porque la web vuelve a funcionar.

Cómo evitar que la web vuelva a ser hackeada

Ninguna medida elimina todo el riesgo, pero una combinación de controles reduce considerablemente las posibilidades.

Mantener actualizaciones periódicas

El software sin soporte debe reemplazarse.

También conviene comprobar que las actualizaciones no rompan funciones importantes mediante un entorno de pruebas y copias verificadas.

Aplicar autenticación en dos pasos

La autenticación multifactor dificulta el acceso incluso cuando una contraseña ha sido robada.

Debería activarse en:

• Administración web.
• Hosting.
• Dominio.
• Correo.
• Servicios en la nube.
• Repositorios.
• Copias de seguridad.

Limitar permisos y usuarios

Cada persona debe disponer únicamente de los permisos que necesita.

Las cuentas antiguas deben desactivarse y los accesos compartidos deberían evitarse.

Mantener copias independientes

Las copias deben almacenarse fuera del mismo servidor y probarse periódicamente.

Una copia que nunca se ha restaurado no puede considerarse fiable.

Monitorizar cambios y alertas

Conviene configurar avisos sobre:

• Archivos modificados.
• Nuevos administradores.
• Errores.
• Consumo de recursos.
• Caídas.
• Problemas de Search Console.
• Cambios en el dominio.
• Envíos masivos de correo.

La detección temprana reduce el impacto y facilita la investigación.

Cuándo recurrir a un especialista

Algunas incidencias pueden resolverse restaurando una copia limpia y corrigiendo una vulnerabilidad conocida.

Sin embargo, conviene solicitar ayuda profesional cuando:

• La web se reinfecta.
• Maneja datos personales.
• Procesa pagos.
• No se conoce la vía de entrada.
• Existen varias webs afectadas.
• El hosting ha suspendido el servicio.
• Google muestra advertencias.
• Se han perdido accesos.
• Hay indicios de robo de información.
• La plataforma es crítica para el negocio.

En España, INCIBE ofrece el servicio gratuito y confidencial 017 para orientar a ciudadanos y empresas ante problemas de ciberseguridad.

La recuperación de una página web hackeada no termina cuando vuelve a cargarse.

Es necesario confirmar que el código malicioso ha desaparecido, cerrar la vulnerabilidad, proteger las cuentas y mantener una vigilancia posterior.

En Calltek analizamos webs comprometidas, eliminamos código malicioso, revisamos accesos y recuperamos el funcionamiento del servicio. También podemos implantar mantenimiento, copias de seguridad, monitorización y medidas preventivas para reducir el riesgo de nuevas infecciones.