Página web hackeada · Qué hacer
Qué hacer si hackearon su página web
Primero, no borre nada a la carrera: guarde una copia de cómo quedó todo, porque ahí está la pista de por dónde entraron. Después cambie todas las contraseñas desde un equipo limpio, limpie el sitio desde una copia sana o archivo por archivo, cierre la puerta que usaron y, si Google marcó su página, pida la revisión en Search Console. Si solo borra lo que se ve, vuelven.
Paso a paso
En este orden, aunque el apuro le pida otro
- Guarde la evidencia. Tome capturas de lo que ve, anote la fecha y la hora y descargue una copia completa de los archivos y de la base de datos tal como están, aunque estén infectados. Esa copia no se publica: sirve para averiguar por dónde entraron y desde cuándo.
- Cambie todas las claves. Hosting, panel de control, FTP, base de datos, correo, administradores del sitio y cualquier servicio conectado (pagos, correo masivo, redes). Hágalo desde un equipo que no tenga virus: si la clave se robó desde su computadora, cambiarla ahí no sirve de nada.
- Revise quién tiene acceso. Busque usuarios administradores que usted no creó, llaves de acceso nuevas y cuentas de correo que no reconoce. Bórrelas y cierre todas las sesiones abiertas.
- Avise a su proveedor de hosting. Puede ver registros del servidor que usted no ve y, si el ataque viene de otra cuenta del mismo servidor, es el único que lo puede cortar.
- Encuentre la puerta. Lo más común es un complemento o un tema sin actualizar, una clave débil o repetida, un formulario que deja subir archivos o un panel de administración sin protección. Los registros del servidor (quién pidió qué y cuándo) suelen mostrar el primer paso del intruso.
- Limpie de verdad. Si tiene una copia de seguridad de antes del ataque, restáurela y actualice todo de inmediato. Si no, hay que comparar cada archivo con el original, buscar archivos que no deberían estar, tareas programadas que el intruso dejó para volver, redirecciones escondidas en la configuración y contenido metido en la base de datos.
- Cierre la puerta y avise a Google. Actualice todo, borre lo que no usa y active la verificación en dos pasos donde se pueda. Si Google marcó su sitio como peligroso, en el informe «Problemas de seguridad» de Search Console se pide la revisión cuando ya está limpio.
Cómo darse cuenta
Señales de que su página fue hackeada
Advertencias de Google
El navegador muestra una pantalla roja antes de entrar o Google pone un aviso bajo su sitio en los resultados. Casi nunca es un error: algo encontró.
Páginas que usted no hizo
Al buscar su dominio en Google aparecen páginas en otro idioma, productos que usted no vende o anuncios de casinos y medicinas. Es contenido metido para aprovechar la reputación de su dominio.
Su sitio manda a otra parte
A veces solo desde el teléfono o solo cuando se llega desde Google, para que el dueño, que entra directo desde su computadora, no lo note.
Correos que rebotan
Si su servidor empezó a mandar correo basura, los demás lo bloquean y sus correos legítimos dejan de llegar. Algunos hostings suspenden la cuenta por eso.
Usuarios y archivos extraños
Un administrador que nadie creó, archivos con nombres raros o fechas de cambio recientes en carpetas que nadie toca.
Lentitud sin explicación
El sitio se volvió lento o el hosting avisa que usa demasiados recursos sin que hayan subido las visitas. Puede estar trabajando para otro.
Para que no se repita
Lo que le reviso una vez limpio el sitio
Mi trabajo en ciberseguridad empieza por un diagnóstico por escrito, en palabras claras, de qué pasó y qué arreglaría primero. Después, con su aprobación:
- Actualizaciones y limpieza de lo que sobra. Complementos, temas y versiones del lenguaje del servidor que ya no reciben arreglos de seguridad.
- Endurecer el servidor. Permisos de archivos, servicios que no hacen falta, bloqueo de intentos repetidos de entrar y certificados bien configurados.
- Copias de seguridad que se puedan restaurar. Automáticas, guardadas fuera del mismo servidor y probadas: una copia que nunca se restauró no se sabe si sirve.
- Vigilancia continua. Que alguien le avise si aparece un archivo sospechoso o si se repiten los intentos de acceso. Para eso hice Atalaya Monitor Server, que en un VPS detecta archivos PHP sospechosos y los aparta a cuarentena sin borrarlos; lo explico en cómo monitorear sus servidores.
Se lo digo de una vez: borrar los archivos raros no es limpiar. Si no se encuentra por dónde entraron, el intruso vuelve, a veces en días, porque casi siempre deja una segunda entrada escondida. Y nadie puede prometerle que nunca más le pase; lo que sí se puede es cerrar la puerta que usaron y enterarse a tiempo si alguien prueba otra.
Preguntas frecuentes
Lo que suelen preguntarme
¿Basta con restaurar una copia de seguridad?
Ayuda, pero no basta. La copia le devuelve el sitio como estaba antes del ataque, con la misma puerta abierta por la que entraron. Si después de restaurar no actualiza, no cambia las claves y no cierra esa puerta, el intruso vuelve a entrar por el mismo lado.
¿Por qué aparecen en Google páginas en otro idioma con mi dominio?
Es contenido basura que el intruso metió en su sitio para aprovechar la reputación de su dominio en Google. Se limpia del servidor y de la base de datos, y a esas direcciones se les responde que ya no existen para que Google deje de mostrarlas. Desaparecen de los resultados a medida que Google vuelve a pasar por ellas.
¿Cuánto tarda Google en quitar la advertencia de sitio peligroso?
Después de limpiar, se pide la revisión desde el informe «Problemas de seguridad» de Search Console. Según la ayuda de Google, puede tardar desde unos pocos días hasta unas semanas. Si la pide sin haber limpiado todo, la rechazan y la espera vuelve a empezar.
¿Mi proveedor de hosting no se encarga de esto?
Depende del contrato. En la mayoría de los hostings compartidos, el proveedor cuida el servidor, pero lo que hay dentro de su cuenta (su sitio, sus complementos, sus claves) es responsabilidad suya. Igual hay que avisarle: puede ver registros que usted no ve.
¿Es más común en WordPress?
WordPress es el más atacado porque es el más usado, y los ataques automáticos buscan complementos y temas viejos. Pero le puede pasar a cualquier sitio: uno hecho a medida con un formulario mal protegido es igual de vulnerable.
¿Tengo que avisar a mis clientes?
Si el sitio guardaba datos de clientes o llaves de servicios de pago, hay que cambiar esas llaves de inmediato y evaluar si avisarles. En algunos países es obligatorio; consúltelo con un abogado de su país.
¿Cuánto cuesta limpiar y proteger el sitio?
Depende de cómo está hecho el sitio, de qué tan adentro llegó el intruso y de si hay copias de seguridad. Por eso primero va el diagnóstico y le paso la cotización por escrito antes de empezar. Si además necesita un sistema nuevo, puede estimarlo con la calculadora.
¿Le hackearon la página?
Escríbame por WhatsApp con la dirección de su sitio, dónde está hospedado y qué notó, y le digo por dónde empezar.