Para quién es esta guía y qué cubre
Si sospechas que tu sitio WordPress está infectado, esta guía está dirigida a propietarios, administradores de tiendas WooCommerce y responsables de PrestaShop que desean recuperar la integridad del sitio sin agravar el problema. Describe prioridades y pasos prácticos: contención, preservación de evidencias, análisis, limpieza, endurecimiento y monitorización, y cuándo contratar una agencia de seguridad.
No incluimos técnicas ofensivas ni garantías absolutas de seguridad. El objetivo es reducir el riesgo y restaurar un sitio confiable mediante acciones defensivas y cautelosas.
Prioridades inmediatas: aislar y preservar pruebas
Al detectar una posible intrusión, limita el alcance. Pon el sitio en mantenimiento, deshabilita cuentas administrativas no esenciales y cambia las contraseñas SFTP/SSH y del panel de hosting. Informa al proveedor de hosting si hay indicios de afectación más amplia.
Antes de hacer cambios invasivos, realiza al menos dos copias de seguridad independientes: un backup completo de archivos y una exportación SQL de la base de datos. Guarda estas copias fuera de línea y con permiso de solo lectura. Sirven para el análisis forense y para restauraciones seguras si la limpieza en vivo altera datos.
Identificar el tipo de infección
Saber qué tipo de ataque ha ocurrido guía la respuesta: spam SEO, backdoor PHP, redirecciones maliciosas, toma de cuentas administrativas o exfiltración de datos. Revisa logs del servidor (access.log, error.log), registros FTP y cualquier log de WordPress.
En sitios WooCommerce inspecciona con detalle las páginas de checkout y pago; en PrestaShop revisa sobreescrituras y módulos de terceros. Anota archivos modificados, marcas de tiempo sospechosas y solicitudes anormales en los logs.
Primeros pasos seguros de limpieza
Una limpieza correcta combina eliminación, reemplazo y verificación. Con frecuencia es más seguro restaurar archivos desde fuentes oficiales que editar archivos sospechosos directamente en producción.
-
Sustituye el core de WordPress por una copia nueva de la misma versión descargada desde wordpress.org. Conserva wp-config.php y la carpeta wp-content.
-
Revisa wp-content: elimina temas y plugins no usados o de fuentes desconocidas; reinstala versiones oficiales desde el repositorio o el proveedor.
-
Examina la carpeta uploads: frecuentemente es un vector; los archivos PHP no deberían estar allí. Cuarentena los elementos sospechosos para su análisis posterior. En WooCommerce, valida los medios asociados a productos y considera reimportarlos si es necesario.
-
Restaura archivos del sistema alterados desde backups limpios o paquetes oficiales. Evita editar archivos sospechosos en el entorno productivo.
Base de datos y cuentas comprometidas
El compromiso puede estar en la base de datos. Exporta la base y busca contenido malicioso en wp_options, wp_posts y wp_users (scripts, iframes, shortcodes desconocidos).
Elimina administradores no autorizados tras confirmar que no son cuentas técnicas legítimas. Fuerza el restablecimiento de contraseñas para todos los usuarios con privilegios y para accesos FTP/SSH/panel. Activa autenticación multifactor (MFA) cuando sea posible.
Escaneo y auditoría manual
Los escáneres automáticos (Wordfence, Sucuri, ClamAV en servidor) ayudan a localizar firmas conocidas, pero no sustituyen la inspección manual. Revisa puntos críticos: uploads, include PHP, wp-config.php, .htaccess y tareas cron.
Si tu hosting es compartido, verifica que otras cuentas no puedan escribir en tus archivos. Confirma permisos correctos: típicamente 644 para archivos y 755 para directorios, ajustando según las recomendaciones del proveedor.
Endurecimiento tras la limpieza
Antes de devolver el sitio a producción implanta medidas de endurecimiento: privilegios mínimos, WAF en el hosting o en la nube, forzar HTTPS y añadir cabeceras de seguridad (Content-Security-Policy, X-Frame-Options). Implementa monitorización de integridad de archivos y alertas por cambios inesperados.
Para WooCommerce revisa las configuraciones de pasarelas de pago y evita almacenar datos de tarjeta; para PrestaShop verifica que los módulos reinstalados estén actualizados y mantenidos por sus proveedores.
Comunicación y obligaciones legales
Si pueden haberse expuesto datos de clientes, notifícalo según la normativa aplicable (por ejemplo GDPR en la UE). Prepara un comunicado claro: qué sucedió, qué datos podrían haberse visto comprometidos, qué acciones tomaste y qué deben hacer los usuarios.
Registra cada paso del proceso de recuperación con marcas temporales y responsables, y guarda esos logs para futuras investigaciones o requerimientos regulatorios.
Cuándo contratar una agencia de seguridad WordPress
Contrata expertos cuando la infección persiste, si hay sospecha de exfiltración de datos sensibles o si no cuentas con experiencia interna. Busca agencias con procesos claros de investigación y manejo de evidencia; realizarán análisis forense, eliminarán mecanismos persistentes avanzados y asesorarán sobre notificación y mitigación.
Securantis es útil en prevención y monitoreo continuos, pero una respuesta forense debe realizarla un equipo de incident response especializado cuando la afectación es grave.
Lista de recuperación rápida
-
Mantener backups fuera de línea antes de cualquier intervención.
-
Reemplazar core de WordPress y reinstalar plugins/temas desde fuentes confiables.
-
Restablecer contraseñas y activar MFA para cuentas críticas.
-
Escanear la base de datos y la carpeta uploads.
-
Aplicar permisos estrictos, activar WAF y monitorización de integridad.
-
Notificar a los usuarios afectados y documentar todo el incidente.
Conclusión
Limpiar un sitio WordPress infectado requiere disciplina y prudencia: preservar copias de seguridad y evidencia es la acción prioritaria. Intervenciones apresuradas pueden destruir pistas y empeorar la situación.
Tras el restablecimiento, el endurecimiento y la monitorización continua son imprescindibles para prevenir recurrencias. En casos de ataques sofisticados o exposición de datos sensibles, contacta a un equipo de respuesta a incidentes. La mejor defensa sigue siendo la prevención: backups regulares, actualizaciones puntuales y controles de acceso estrictos.
