Por qué actuar con calma y método
Descubrir que tu sitio WordPress ha sido hackeado suele provocar reacciones rápidas: borrar archivos, cambiar solo la contraseña del administrador o restaurar sin plan. Estas acciones pueden empeorar la situación: pérdida de contenido, corrupción de la base de datos o eliminación de pruebas forenses. Un enfoque ordenado aumenta las posibilidades de recuperación sin pérdida de datos y reduce la ventana de exposición.
Los objetivos son neutralizar el código malicioso, restaurar la integridad y evitar reinfecciones. En tiendas WooCommerce o integraciones con PrestaShop, proteger datos de clientes y el historial de pedidos requiere especial cuidado: no modifiques la base de datos en producción sin una copia de seguridad completa y verificada.
Primer paso: aislar el sitio y proteger a los usuarios
Antes de cualquier cambio, activa el modo mantenimiento y, si es posible, restringe el acceso por IP. En hosting compartido, usa reglas en .htaccess o NGINX para limitar el tráfico. Para e‑commerce, informa a los clientes con discreción y desactiva temporalmente los pagos para evitar pérdidas económicas.
Cambia inmediatamente contraseñas críticas (panel de hosting, FTP/SFTP, base de datos, cuentas admin) desde un equipo limpio. Si el atacante controla las cuentas, cambiar contraseñas desde un host comprometido puede no surtir efecto; usa siempre un dispositivo y red de confianza.
Copias de seguridad: tu red de seguridad
Haz una copia completa (ficheros y base de datos) antes de eliminar nada. Incluso una copia comprometida es valiosa para análisis forense, recuperación y comparación tras la limpieza. Almacena las copias fuera del servidor (disco externo o cloud seguro) y conserva varias versiones históricas si es posible.
Localiza la última copia conocida como correcta. Si puedes restaurar a un estado previo, planifica la restauración con cuidado para no perder contenido o pedidos legítimos creados después de esa copia.
Detección e inventario de síntomas
Busca indicios habituales: ficheros modificados recientemente, nuevos administradores, redirecciones inusuales, contenido inyectado, envío masivo de correos o ralentizaciones severas. En WordPress, revisa temas y plugins: comprueba fechas de modificación y verifica checksums con paquetes oficiales.
Ejecuta escáneres de seguridad y comprobaciones de integridad desde una estación segura para obtener un informe. Los logs del servidor (access.log, error.log) y los de FTP son clave para rastrear la intrusión. Si hay indicios de exfiltración de datos de clientes, revisa las obligaciones legales como el RGPD.
Limpieza segura de archivos infectados
No borres sin criterio. Lista primero los ficheros modificados y compáralos con las versiones oficiales. Para WordPress, reinstala temas y plugins desde repositorios oficiales en lugar de editar archivos sospechosos. Elimina plugins obsoletos o no usados que suelen ser vectores frecuentes.
Los uploads pueden esconder puertas traseras, sobre todo en wp‑content/uploads. Conserva medios legítimos pero elimina ficheros ejecutables inesperados. Limita los tipos de archivo permitidos y elimina PHP de los directorios de subida.
Correcciones en la base de datos y cuentas
Revisa wp_users en busca de cuentas admin sospechosas. No borres cuentas sin backup y rastro de actividad: considera renombrarlas temporalmente o cambiar contraseñas y forzar cierre de sesión. Busca código ofuscado (base64) en wp_options o en el contenido.
Evita editar directamente con SQL a menos que tengas experiencia. Exporta la base, trabaja offline, valida las correcciones y reimporta. Para tiendas WooCommerce, asegúrate de mantener la integridad de pedidos y metadatos para no dañar el histórico transaccional.
Buscar la causa raíz
Identificar cómo entró el atacante es clave para evitar reinfecciones: plugin vulnerable, tema inseguro, credenciales FTP leak, PHP desactualizado o contraseñas débiles. Utiliza logs y la cronología de archivos para determinar el vector. Si un plugin es culpable, anota la versión y consulta bases de vulnerabilidades (CVE, WPScan). Sustituye o actualiza componentes inseguros.
Endurecimiento y prevención post‑incidente
Tras la limpieza, refuerza el sitio: habilita autenticación de dos factores para cuentas privilegiadas, aplica el principio de menor privilegio, establece permisos recomendados (644 archivos, 755 carpetas), fuerza TLS y activa cabeceras de seguridad. Implementa un WAF o servicio CDN con filtrado para bloquear tráfico malicioso.
Programa actualizaciones y pruébalas en un entorno staging antes de aplicarlas en producción. Para tiendas, añade controles antifraude y monitoriza patrones de pedido inusuales.
Monitorización continua y cuándo llamar a un profesional
Mantén vigilancia estrecha durante al menos 30 días tras la recuperación: revisa logs, configura alertas por cambios en archivos y accesos admin, y ejecuta escaneos automáticos. Si hay evidencias de exfiltración, backdoors persistentes o acceso a nivel de servidor, contrata a un equipo de respuesta a incidentes o forense.
Securantis puede asistir en el escaneo de vulnerabilidades e implementación de medidas de protección para WordPress y WooCommerce, pero las brechas complejas requieren a menudo intervención forense especializada.
Checklist prioritaria (ejecutar en orden)
-
Realizar una copia completa fuera del servidor antes de cualquier cambio.
-
Aislar el sitio (modo mantenimiento, restricción IP) e informar a las partes interesadas.
-
Cambiar contraseñas críticas desde un equipo seguro y revocar sesiones.
-
Inventario: escaneos, lista de ficheros modificados, nuevos usuarios y revisión de logs.
-
Reinstalar temas/plugins desde fuentes oficiales y eliminar componentes obsoletos.
-
Revisar y corregir la base de datos en un entorno seguro offline.
-
Aplicar parches, actualizaciones y medidas de endurecimiento (2FA, WAF, permisos).
-
Monitorizar intensamente tras la recuperación y planificar una auditoría si procede.
Conclusión
Limpiar un sitio WordPress hackeado sin perder datos exige disciplina: aislar, salvar evidencias, analizar, limpiar y reforzar. Las copias de seguridad y los registros son herramientas críticas para la recuperación y prevención. Reinstalar componentes de fuentes fiables y validar modificaciones en la base de datos reduce el riesgo de pérdida accidental.
La prevención es la mejor defensa: actualizaciones puntuales, gestión rigurosa de cuentas, copias regulares y monitorización disminuyen significativamente la probabilidad y el impacto de incidentes. En caso de dudas, especialmente cuando están involucrados datos sensibles, recurre a especialistas en respuesta a incidentes.
