Urgencia · WordPress hackeado · Chile
WordPress hackeado: lo limpiamos y cerramos la puerta por donde entraron
Limpiar sin encontrar la causa es pagar dos veces. Buscamos por dónde entraron, lo cerramos y pedimos a Google que retire la advertencia. Te contactamos en horario hábil en menos de [X] horas; fuera de horario, a primera hora del día siguiente.
Tres datos y nos ponemos a trabajar
La URL del sitio, un correo o WhatsApp donde ubicarte y qué está pasando, con tus palabras («Google dice que es peligroso», «redirige a un casino», «no carga»). Con eso revisamos lo que se ve desde afuera antes de llamarte.
Te contactamos en horario hábil en menos de [X] horas; fuera de horario, a primera hora del día siguiente.
- Respuesta
- Horario hábil: menos de [X] horas. Fuera de horario: a primera hora del día siguiente
- Horario hábil
- [HORARIO DE ATENCIÓN]
- Precio
- Desde [PRECIO DESDE] + IVA por sitio
- Garantía
- [GARANTÍA DE REINFECCIÓN: días y condiciones]
- Entrega
- Informe con la vía de entrada, lo que se limpió y lo que se cambió
- Alcance
- WordPress y WooCommerce, en cualquier hosting al que tengas acceso
No borres nada ni restaures un respaldo a ciegas: los registros del servidor son la única pista de por dónde entraron.
Síntomas
Cómo se ve un WordPress hackeado desde afuera
Redirecciones que tú no ves
El sitio te carga normal, pero tus clientes llegan a un casino, una farmacia falsa o una encuesta de premios. El código malicioso suele activarse solo para visitas que vienen de Google o desde un celular, y nunca para quien inició sesión como administrador. Por eso el dueño es el último en enterarse.
Spam japonés o chino en Google
Busca
site:tudominio.clen Google: si aparecen miles de páginas con títulos en japonés o chino, ofertas de marcas o productos que no vendes, es el hackeo de palabras clave. Las páginas a veces solo se muestran a Googlebot, y es común que el atacante se agregue como propietario en tu Search Console.Advertencia de Google Safe Browsing
Chrome muestra la pantalla roja de «Sitio engañoso» o «Este sitio puede dañar tu equipo» y Google agrega un aviso en los resultados. Las visitas caen casi a cero de un día para otro, y Google Ads puede suspender los anuncios que apuntan al sitio mientras dure la advertencia.
Listas negras de correo y de antivirus
Los correos de tu dominio rebotan o caen en spam, o los antivirus corporativos de tus clientes bloquean el sitio. Pasa cuando el servidor se usa para enviar spam o alojar phishing. Salir de esas listas exige limpiar primero y pedir la exclusión en cada una después.
Sitio caído o «error crítico»
Pantalla blanca, «Ha habido un error crítico en este sitio web» o error 500 sin que nadie haya tocado nada. A veces es una actualización fallida; otras, un archivo del núcleo modificado por el atacante que dejó de funcionar con la versión de PHP del servidor.
Usuarios y archivos que nadie creó
Administradores con nombres genéricos, archivos PHP dentro de
wp-content/uploads, un plugin desconocido o tareas programadas nuevas. Son la puerta trasera que deja el atacante para volver aunque cambies las contraseñas.
Proceso
Cómo lo resolvemos en 4 pasos
Primero se contiene, después se limpia. Limpiar un sitio que sigue abierto es trabajar para el atacante.
Contención
Copia forense de archivos, base de datos y registros antes de tocar nada. Modo mantenimiento si el sitio está infectando visitas, cambio de todas las credenciales (WordPress, hosting, base de datos, SFTP) y cierre de sesiones activas. Si tienes Cloudflare, reglas temporales para cortar el tráfico malicioso.
Limpieza
Reinstalación del núcleo, del tema y de los plugins desde fuentes oficiales, en vez de «limpiar» archivos uno a uno. Revisión de la base de datos (opciones, entradas inyectadas, usuarios), de
wp-content/uploadsy de tareas programadas. Las páginas de spam se eliminan y quedan respondiendo 404 o 410 para que Google las saque.Causa raíz
Cruzamos los registros de acceso con las versiones de cada plugin y tema, y estas con las bases públicas de vulnerabilidades (CVE). El resultado es un informe forense que nombra la vía de entrada: un plugin con una vulnerabilidad conocida sin parchear, una contraseña filtrada, un PHP sin soporte o un vecino del hosting compartido.
Endurecimiento y revisión de Google
Cerramos la vía de entrada, bloqueamos la ejecución de PHP en uploads, activamos el segundo factor y dejamos un WAF delante. Después pedimos la revisión en Search Console (Problemas de seguridad), quitamos propietarios desconocidos y solicitamos la exclusión en las listas negras donde aparezcas.
Por dónde entran
Las vías de entrada más comunes
Según Patchstack, más del 90 % de las 11.334 vulnerabilidades publicadas en 2025 para el ecosistema WordPress estaba en plugins [VERIFICAR cifra en el informe anual original de Patchstack]. Por eso la primera fila es la primera que revisamos en cada sitio.
| Vía de entrada | Cómo se reconoce | Cómo se cierra |
|---|---|---|
| Plugin o tema con una vulnerabilidad publicada (CVE) sin parchear | Versión instalada anterior a la que corrige el CVE; peticiones al archivo vulnerable en los registros | Actualizar o reemplazar el plugin; regla en el WAF mientras sale el parche |
| Plugin o tema premium «nulled» | Plugin de pago sin licencia, descargado de un sitio pirata; código ofuscado dentro | Eliminarlo y comprar la licencia o reemplazarlo por una alternativa mantenida |
| Contraseña reutilizada o filtrada, sin segundo factor | Inicio de sesión exitoso desde un país o una IP sin relación con tu empresa | |
| PHP sin soporte | PHP 7.4, 8.0 u 8.1 en Herramientas › Salud del sitio | |
| Hosting compartido contaminado | Archivos maliciosos con fechas idénticas en varios sitios de la misma cuenta | |
| FTP en texto plano o accesos de exproveedores | Cuentas FTP antiguas, llaves SSH o usuarios de hosting que nadie reconoce | Solo SFTP o SSH con llaves; cerrar todo acceso que no tenga dueño |
Entregable
Qué recibes al terminar
Recibes un informe escrito con tres partes: por dónde entraron (con la evidencia de los registros), qué se limpió (archivos, entradas de la base de datos, usuarios, páginas de spam) y qué se cambió para que no vuelva a pasar. Más la confirmación de Google cuando retire la advertencia y el estado en las listas negras.
El informe sirve para tres conversaciones: con tu área de TI, para saber qué corregir en otros sitios; con tu hosting, si la causa estuvo de su lado; y con tu abogado, si el sitio guardaba datos personales de clientes y hay que evaluar si corresponde notificar el incidente.
- Línea de tiempo del incidente: primera intrusión, cambios del atacante y fecha de detección.
- Vía de entrada con la versión vulnerable y el identificador CVE cuando existe.
- Inventario de lo eliminado y de lo reinstalado desde fuentes oficiales.
- Credenciales rotadas y accesos cerrados.
- Medidas de endurecimiento aplicadas y recomendaciones pendientes, con prioridad.
En qué nos diferenciamos
No somos los únicos que limpian WordPress. Esto es lo que hacemos distinto.
En Chile y en español hay varias empresas que ofrecen limpiar un WordPress hackeado. Lo que nosotros ponemos sobre la mesa es concreto: respuesta en horas hábiles con un plazo escrito ([X] horas), una causa raíz documentada en cada caso y no solo un «sitio limpio», y la opción de salir de WordPress si el sitio ya no se justifica, con el proceso documentado en migrar WordPress a Next.js.
Quien hace el trabajo es un ingeniero que lleva años en portales corporativos y sitios en producción, no un operador que corre un escáner. Eso se nota en la contención: antes de borrar, guardamos la evidencia; antes de restaurar un respaldo, verificamos que no esté infectado también.
Después de la limpieza
Que no vuelva a pasar: dos caminos
Un sitio limpio que vuelve al abandono se reinfecta en semanas: la mayoría de los ataques son automáticos y vuelven a probar las mismas puertas. Por eso, al cerrar el caso, te proponemos uno de dos caminos, sin presión por ninguno.
El primero es quedarte en WordPress con soporte con foco en seguridad: actualizaciones probadas, PHP al día, WAF, respaldos y monitoreo. El segundo, si el sitio es de contenido y casi no usa lo que WordPress ofrece, es migrar a Next.js sin perder SEO: sin PHP público ni plugins que parchar cada semana.
Caso
Un caso, anonimizado
[CASO ANONIMIZADO: tipo de sitio, síntoma con el que llegó, vía de entrada encontrada, tiempo hasta la contención y hasta el retiro de la advertencia de Google. Se publica cuando exista un caso de la consultora con autorización del cliente.]
Preguntas frecuentes
Lo que preguntas cuando te hackearon el sitio
¿Qué hago si hackearon mi WordPress?
No borres archivos ni restaures un respaldo todavía: cambia las contraseñas del hosting y de WordPress, y pide ayuda. Si quieres intentarlo por tu cuenta, sigue la guía WordPress hackeado: cómo recuperarlo.
¿Cómo saber si mi WordPress está infectado?
Busca site:tudominio.cl en Google y revisa si hay páginas que no creaste, entra al sitio desde un celular con datos móviles y desde un resultado de Google, revisa los usuarios administradores y mira el informe de Problemas de seguridad en Search Console. Si algo no calza, asume que está infectado.
¿Qué hago si Google dice que mi sitio es peligroso?
Primero hay que limpiar el sitio y cerrar la vía de entrada; recién entonces se pide la revisión en Search Console, en Problemas de seguridad. Si se pide antes y Google vuelve a encontrar malware, la siguiente revisión puede demorar más. Google informa el resultado en Search Console [VERIFICAR plazos de revisión vigentes en la ayuda de Search Console].
¿Cuánto cuesta limpiar un WordPress hackeado?
Desde [PRECIO DESDE] + IVA por sitio, con el informe de causa raíz incluido. El monto final depende de cuántos sitios comparten el hosting, del tamaño de la base de datos y de si hay que salir de listas negras. Te damos el precio cerrado después de la primera revisión, antes de empezar.
¿Qué pasa si se vuelve a infectar?
[GARANTÍA DE REINFECCIÓN: plazo y condiciones definidos por los socios]. La garantía cubre la misma vía de entrada que cerramos; si el sitio vuelve al abandono (plugins sin actualizar, accesos compartidos), la reinfección es por otra puerta. Por eso recomendamos dejarlo con soporte después de la limpieza.
¿Atienden fuera de horario?
Atendemos en horario hábil, [HORARIO DE ATENCIÓN], con respuesta en menos de [X] horas. Si escribes fuera de ese horario, te contactamos a primera hora del día siguiente hábil. No tenemos guardia nocturna y preferimos decirlo. Si tu sitio está fuera de Chile y necesitas el servicio en inglés, también lo atendemos, en el mismo horario.
Cada día con la advertencia de Google son visitas que no vuelven
Mándanos la URL y qué está pasando, en el formulario corto de arriba o en el de contacto. Revisamos lo que se ve desde afuera antes de llamarte y te decimos el precio antes de empezar.
Lo recuperamos hoyTe contactamos en horario hábil en menos de [X] horas; fuera de horario, a primera hora del día siguiente.