Eliminación de Malware WordPress y Webs Hackeadas | Yasaf
Sitio hackeado, spam y redirecciones
Eliminación de malware WordPress: análisis, limpieza y recuperación
Si tu sitio redirige visitantes, muestra páginas que nunca publicaste, crea administradores desconocidos, presenta alertas de seguridad o vuelve a infectarse después de limpiarlo, no basta con borrar un archivo sospechoso. Yasaf investiga archivos, base de datos, usuarios, tareas, plugins y configuraciones para determinar el alcance del incidente antes de restaurar el sitio.
- Redirecciones sospechosas
- Spam SEO
- Archivos PHP modificados
- Usuarios desconocidos
- Base de datos y cron
- Refuerzo de seguridad tras la limpieza
Señales habituales
Un ataque no siempre se muestra igual al administrador, a Google y a un visitante
Algunos ataques redirigen solo según el dispositivo, el origen de la visita o el agente de usuario. Otros crean miles de URL de spam, insertan enlaces ocultos, cambian títulos en la base de datos o mantienen una puerta trasera en un archivo aparentemente legítimo.
Por eso revisamos el sitio de distintas formas y contrastamos lo que vemos en WordPress con archivos, base de datos, usuarios, registros disponibles y alertas de Search Console cuando el cliente facilita acceso.
Ejemplos de alertas: resultados japoneses o farmacéuticos en las búsquedas site:, páginas desconocidas indexadas, «Este sitio puede dañar tu ordenador», redirecciones que solo ocurren desde Google o administradores nuevos que nadie reconoce.
Alcance de la investigación
Dónde buscamos indicios de compromiso
Núcleo, plugins, temas y archivos subidos
Archivos modificados, PHP en ubicaciones poco habituales, nombres ofuscados y diferencias frente a fuentes fiables.
wp-config, .htaccess y servidor
Redirecciones, inclusiones, claves, reglas inesperadas y código insertado fuera del panel.
Entradas, opciones y usuarios
Scripts, URL, administradores, opciones modificadas y spam guardado en la base de datos.
Cron y puertas traseras
Tareas o archivos que recrean la infección después de eliminar el síntoma visible.
Credenciales y cuentas
WordPress, alojamiento, SFTP/SSH, base de datos y otros accesos que podrían estar comprometidos.
Componente vulnerable
Plugin o tema obsoleto, credenciales débiles, software abandonado u otra causa cuando es posible determinarla.
Un síntoma no es un diagnóstico
Qué pueden indicar ciertas señales
| Señal | Posibles puntos de investigación | Acción tras la limpieza |
|---|---|---|
| Redirige solo a algunos visitantes | .htaccess, JS, plugin, tema, base de datos, código condicionado. | Validar desde distintos orígenes y dispositivos y revisar la caché. |
| Aparecen páginas de spam en Google | Entradas, archivos generados, sitemap, rutas falsas, base de datos. | Eliminar el origen, devolver el estado HTTP correcto y vigilar Search Console. |
| El malware reaparece | Puerta trasera, cron, credenciales comprometidas u otro sitio de la misma cuenta. | Cerrar los mecanismos de persistencia y revisar todo el entorno. |
| Administrador desconocido | Tabla de usuarios, sesiones y punto de entrada. | Eliminar la cuenta, invalidar sesiones y cambiar credenciales. |
| Archivos del núcleo modificados | Comparar con la versión oficial y las extensiones cargadas. | Restaurar archivos fiables y actualizar. |
Limpieza y recuperación
Preferimos restaurar componentes fiables en vez de «editar el malware hasta que desaparezca»
Durante la recuperación
- Copia de seguridad antes de los cambios
- Sustituir archivos del núcleo por versiones fiables
- Reinstalar plugins y temas de forma segura cuando sea posible
- Limpiar base de datos y usuarios
- Revisar tareas y persistencia
Después de la limpieza
- Cambiar las credenciales pertinentes
- Actualizaciones
- Eliminar software abandonado
- 2FA cuando esté disponible
- Copias de seguridad y supervisión
Google y Search Console
Si Google detectó el problema, la recuperación también debe abordar las URL y alertas afectadas
El informe Problemas de seguridad de Search Console puede señalar páginas comprometidas. Después de corregir la causa, hay que garantizar que las URL de spam ya no sirvan contenido malicioso y seguir el proceso de revisión cuando corresponda.
Si el ataque también causó problemas de indexación, canonicals o miles de URL no deseadas, una fase posterior puede incluir SEO técnico WordPress.
¿Por qué vuelve el malware?
La reinfección suele indicar que quedó abierto algún acceso
Dentro de WordPress
Plugin vulnerable, tema antiguo, usuario comprometido, puerta trasera, cron o código no eliminado.
Fuera de WordPress
Cuenta de alojamiento, FTP/SFTP, otro sitio en el mismo entorno, ordenador infectado o credenciales reutilizadas.
Preguntas
Preguntas sobre eliminación de malware WordPress
¿Basta con cambiar la contraseña?
Ayuda si se han comprometido las credenciales, pero no elimina archivos, usuarios ni puertas traseras ya presentes en el servidor.
¿Un plugin de seguridad puede limpiarlo todo?
Los escáneres ayudan a encontrar indicios, pero los falsos positivos, archivos personalizados y mecanismos de persistencia requieren investigación. Un escáner por sí solo no es una prueba definitiva.
Mi sitio aparece con páginas en japonés en Google. ¿Puede estar hackeado?
Es posible. El spam SEO es un patrón conocido de ataque. Primero hay que confirmar dónde se genera el contenido y eliminar la causa antes de tratar las URL indexadas.
¿Podéis restaurar una copia de seguridad?
Sí, si existe una copia de seguridad anterior fiable y compatible. Aun así, hay que investigar el punto de entrada probable para no restaurar un sitio limpio en un entorno vulnerable.
¿Garantizáis que el sitio nunca volverá a ser hackeado?
Ningún servicio serio puede prometer riesgo cero. Nuestro trabajo puede eliminar el ataque detectado y reducir la exposición, pero la seguridad exige mantenimiento continuo.
Servicios relacionados
Después de recuperar el sitio
¿Tu WordPress redirige visitantes, crea páginas extrañas o vuelve a infectarse?
Envíanos la URL y describe los síntomas. Si tienes una alerta del proveedor de alojamiento o de Search Console, adjunta una captura para agilizar el análisis inicial.