Me han hackeado la web: qué hacer paso a paso (y cómo evitar que vuelva a pasar)

Abres tu web y aparece una página en otro idioma, Google muestra un aviso de seguridad junto a tu nombre o un cliente te escribe porque al entrar le redirige a una web de apuestas. Descubrir que te han hackeado la web es muy desagradable, y lo normal es reaccionar con prisa: borrarlo todo, reinstalar a lo loco o pagar al primero que promete arreglarlo en una hora.

Respira. Un hackeo casi siempre tiene solución, pero el orden en el que actúas importa mucho. En esta guía te explico cómo confirmar que te han atacado, qué hacer en las primeras horas, cómo limpiar la web, cómo recuperar la confianza de Google, cuándo tienes la obligación legal de avisar a la Agencia Española de Protección de Datos y, sobre todo, cómo evitar que vuelva a pasar.

No todos los ataques son evidentes. Algunos destrozan la portada para que se note; otros intentan pasar desapercibidos el máximo tiempo posible para aprovechar tu web en segundo plano. Estas son las señales más comunes:

• Redirecciones extrañas a webs de apuestas, farmacia o contenido para adultos, a veces solo desde el móvil o solo cuando se llega desde Google.
• Páginas que no has creado, a menudo en otros idiomas, que aparecen al buscar site:tudominio.es en Google.
• Avisos de seguridad en los resultados de búsqueda o una pantalla roja del navegador al intentar entrar.
• Usuarios administradores que no reconoces o contraseñas que de repente no funcionan.
• Tu hosting te avisa de un consumo anómalo o de envíos masivos de correo, o directamente suspende la cuenta.
• Tus correos empiezan a rebotar o a llegar a spam porque tu servidor se está usando para enviar spam.
• Archivos modificados recientemente que nadie ha tocado, o código extraño al principio de los ficheros.

Si ves una o varias de estas señales, da por hecho que hay un problema hasta que se demuestre lo contrario. Esperar a ver si se arregla solo es la peor estrategia: cuanto más tiempo pasa, más se extiende la infección y más se resiente tu reputación.

El objetivo de las primeras horas no es dejar la web perfecta, sino contener el daño, cortar el acceso del atacante y conservar la información necesaria para entender qué ha pasado. Sigue este orden:

1. 1Documenta lo que ves: haz capturas de pantalla, anota la hora y guarda las URL afectadas. Te servirán para el hosting, para quien te ayude con la limpieza y, si hiciera falta, para una denuncia o una notificación.
2. 2Cambia todas las contraseñas desde un dispositivo que sepas limpio: panel del hosting, administrador de la web, FTP o SFTP, base de datos, correo y registrador del dominio. Activa la verificación en dos pasos donde se pueda.
3. 3Avisa a tu hosting: muchos proveedores tienen herramientas de análisis, registros de acceso y copias de seguridad que tú no ves. Además, es mejor que lo sepan por ti que por una alerta automática.
4. 4Pon la web en mantenimiento si está perjudicando a tus visitantes (redirecciones, descargas maliciosas o formularios falsos). Es mejor estar unas horas fuera que seguir infectando.
5. 5Localiza tus copias de seguridad y averigua de qué fecha es la última que crees limpia. No restaures todavía: primero hay que saber cuándo empezó la infección.

Una vez contenida la situación, toca limpiar. Hay dos caminos y a menudo se combinan. El primero es restaurar una copia anterior a la infección, actualizarlo todo de inmediato y cerrar la vulnerabilidad: es rápido si tienes copias fiables y sabes cuándo entró el atacante. El segundo es limpiar la web a mano, más laborioso, pero necesario cuando no hay copias limpias o la infección es antigua.

Una limpieza a fondo suele incluir:

• Reinstalar el núcleo del gestor de contenidos (por ejemplo, WordPress) desde la fuente oficial, sin reutilizar sus archivos.
• Revisar plugins y temas: eliminar los que no uses, reinstalar los legítimos desde su origen y desconfiar de cualquier versión «pirata» o descargada de fuentes dudosas.
• Buscar archivos sospechosos o modificados, código ofuscado y ficheros ejecutables en carpetas donde no deberían estar, como la de imágenes subidas.
• Revisar la base de datos: usuarios administradores desconocidos, contenido inyectado en páginas y entradas, y redirecciones ocultas.
• Comprobar las tareas programadas, el archivo .htaccess y la configuración del servidor.
• Regenerar las claves de seguridad de la aplicación y cerrar todas las sesiones abiertas.

Lo más importante es identificar por dónde entró el atacante: un plugin desactualizado, una contraseña filtrada, un formulario vulnerable o un acceso FTP olvidado. Si limpias pero no cierras la puerta, la reinfección suele llegar en cuestión de días.

Cuando Google detecta que una web ha sido hackeada o distribuye software malicioso, puede mostrar advertencias en los resultados de búsqueda o una pantalla de aviso en el navegador antes de entrar. Eso hunde las visitas y la confianza muy rápido, así que también hay que actuar en este frente:

1. 1Verifica tu web en Google Search Console si aún no lo has hecho. Es gratis y es el canal por el que Google te avisa de estos problemas.
2. 2Abre el informe de problemas de seguridad: ahí verás qué ha detectado Google y ejemplos de URL afectadas.
3. 3Limpia la web por completo antes de dar el siguiente paso. Pedir una revisión con el problema a medias solo retrasa la siguiente.
4. 4Cuando esté limpia, solicita la revisión desde el propio informe explicando qué has hecho para solucionarlo.
5. 5Revisa las páginas basura que se hayan indexado: que devuelvan un error 404 o 410 y, si son muchas, usa la herramienta de retirada de URL para acelerar su desaparición.

Aprovecha también para mirar el informe de rendimiento: si de pronto apareces por búsquedas que no tienen nada que ver con tu negocio, es una pista de contenido inyectado que todavía no has limpiado.

Este es el paso que muchos negocios pasan por alto. Si tu web guarda datos personales (clientes de una tienda, formularios de contacto, usuarios registrados, reservas) y el ataque ha podido afectarlos, estás ante una brecha de datos personales. El artículo 33 del RGPD obliga a notificarla a la autoridad de control, en España la Agencia Española de Protección de Datos, en un máximo de 72 horas desde que tienes constancia de ella, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas.

En la práctica, esto implica:

• Valorar el riesgo: qué datos han quedado expuestos, de cuántas personas y qué consecuencias podría tener para ellas.
• Notificar a través de la sede electrónica de la AEPD si existe riesgo. Si en 72 horas no tienes toda la información, puedes enviar una notificación inicial y completarla después; la propia Agencia lo explica en su página sobre notificación de brechas de datos personales, donde también ofrece herramientas para ayudarte a decidir.
• Comunicarlo a las personas afectadas cuando el riesgo sea alto, como exige el artículo 34 del RGPD, para que puedan protegerse (por ejemplo, cambiando sus contraseñas).
• Documentar internamente la brecha, se notifique o no: qué pasó, qué efectos tuvo y qué medidas tomaste.

Si quieres repasar el resto de obligaciones de protección de datos de tu web, las tienes en la guía sobre cómo cumplir el RGPD en tu web. Aquí lo importante es no dejar pasar el plazo por estar volcado solo en la parte técnica.

No tienes que gestionar un hackeo en solitario. Además de tu hosting y de la persona que mantiene tu web, en España puedes llamar al 017, la línea de ayuda en ciberseguridad de INCIBE (Instituto Nacional de Ciberseguridad): un servicio gratuito y confidencial que asesora a empresas, autónomos y particulares ante incidentes. En incibe.es encontrarás también guías y recursos pensados para empresas.

Si el ataque incluye extorsión, robo de dinero o suplantación de identidad, presenta además una denuncia ante la Policía Nacional o la Guardia Civil. Y si alguien te pide un rescate por devolverte el control de la web o de tus datos, no pagues sin pedir asesoramiento antes: pagar no garantiza recuperar nada.

Con la web ya limpia llega la parte que de verdad marca la diferencia: que no se repita. Los ataques a webs de pymes rara vez son personales; lo habitual es que sean automáticos y busquen puertas abiertas conocidas. Cerrarlas es más cuestión de constancia que de presupuesto:

• Actualizaciones al día: núcleo, plugins, temas y versión del servidor. Las vulnerabilidades conocidas son una de las vías de entrada más habituales.
• Menos es más: elimina plugins y temas que no uses y evita los de origen dudoso.
• Contraseñas únicas y verificación en dos pasos en todos los accesos, apoyadas en un gestor de contraseñas.
• Copias de seguridad automáticas, fuera del servidor y con varias versiones, y comprueba de vez en cuando que se pueden restaurar.
• Accesos mínimos: cada persona con su propio usuario y solo los permisos que necesita. Nada de compartir el usuario administrador.
• SFTP en lugar de FTP y un hosting serio, con aislamiento entre cuentas y protección frente a ataques.
• Monitorización: alertas si la web se cae, si cambian archivos críticos o si aparece contenido nuevo inesperado.

Todo esto es exactamente lo que incluye un buen mantenimiento web. Si dudas de si te compensa, en el artículo sobre por qué tu web necesita mantenimiento explico qué cubre y qué riesgos evita.

La diferencia entre un susto de una tarde y una semana de caos suele estar en la preparación. No hace falta un protocolo de gran empresa: basta con un documento sencillo, guardado fuera de la web, con lo esencial a mano.

1. 1Accesos: hosting, dominio, administrador de la web, correo y Search Console, y quién tiene cada uno.
2. 2Contactos: soporte del hosting, la persona que mantiene la web y la línea 017 de INCIBE.
3. 3Copias de seguridad: dónde están, cada cuánto se hacen y cómo se restauran.
4. 4Datos personales: qué datos guarda tu web y quién decide si hay que notificar a la AEPD.

Revisa este documento un par de veces al año. Si algún día lo necesitas, lo agradecerás.

Que te hackeen la web es un mal trago, pero no tiene por qué ser una catástrofe. Si mantienes la calma, contienes el daño sin destruir las pistas, limpias a fondo cerrando la vía de entrada, recuperas la confianza de Google y cumples con tus obligaciones de protección de datos, puedes volver a la normalidad en poco tiempo. Y con un mantenimiento constante, las probabilidades de que se repita bajan muchísimo.

Soy Elmar Mamedova, desarrollador full stack en Málaga, y parte de mi trabajo consiste en cuidar webs para que no lleguen a este punto y en rescatarlas cuando ya ha pasado. Si tu web muestra alguno de estos síntomas o quieres blindarla antes de que ocurra, cuéntamelo y lo revisamos juntos.