Te han hackeado la web. Qué hacer en la primera hora.

La respuesta corta

Una web hackeada es una web en la que alguien ha metido código, páginas o usuarios sin tu permiso. En negocios pequeños casi siempre es un WordPress con un plugin o un tema sin actualizar, o una contraseña filtrada. Se arregla en tres pasos: cerrar la puerta por la que entraron, limpiar todo lo que dejaron y pedir a Google que lo revise. Si solo se borra lo que se ve, vuelve.

Cómo se nota

• Redirecciones a spam. Entras en tu web desde Google o desde el móvil y acabas en una página de apuestas, de pastillas o de premios falsos. A veces solo pasa desde Google o solo en el móvil. Por eso tú no lo ves y tus clientes sí.
• El aviso de Google. En los resultados sale «Este sitio puede haber sido pirateado» junto a tu web, o Chrome enseña una pantalla roja antes de entrar.
• Páginas que no son tuyas. Buscas «site:» seguido de tu dominio y salen páginas en japonés, de marcas falsas o de productos que no vendes.
• Spam desde tu dominio. Te llegan rebotes de correos que no has enviado o tus clientes te dicen que les escribes cosas raras. A veces es la web. Otras es una cuenta de correo con la contraseña filtrada o alguien que se hace pasar por tu dominio.
• Usuarios que nadie creó. En el WordPress hay administradores que no conoces.

Qué hacer en la primera hora

• Cambia las contraseñas del panel de la web, del hosting, del FTP y del correo desde un ordenador que sepas que está limpio.
• Pide a tu hosting una copia de seguridad de antes del ataque y pregunta si han visto algo. Muchos guardan copias de varios días.
• Da de alta la web en Search Console si no lo está y abre el informe «Problemas de seguridad». Ahí Google enseña qué ha encontrado y ejemplos de direcciones afectadas.
• Apunta qué ves y desde cuándo: capturas, direcciones a las que redirige y fechas. Sirve para limpiar y para la revisión de Google.
• Audita tu web en 20 segundos desde la portada. Si la portada carga scripts de terceros que no pusiste tú, sale en las comprobaciones.

Lo que no conviene hacer

• No abras las páginas infectadas en tu navegador de siempre. Google lo desaconseja en su ayuda. Para ver qué sirven se usa la herramienta de inspección de URLs de Search Console.
• No borres solo lo que ves. Quitar la redirección sin cerrar la puerta por la que entraron es limpiar para que vuelvan. Suele quedar una puerta trasera escondida en algún archivo.
• No restaures una copia sin más. Si la copia es de cuando el agujero ya estaba, vuelven a entrar. La copia se restaura y después se actualiza todo y se cierra lo que falló.
• No pagues a quien promete quitar el aviso de Google en horas. El aviso lo quita Google cuando revisa la web y la ve limpia. Desconfía también de los plugins milagro que «lo limpian todo» con un clic.
• No pidas la revisión antes de tiempo. Google pide limpiar todas las páginas y no solo los ejemplos del informe. También pide no mandar otra solicitud mientras la anterior está pendiente.

Cómo se limpia

Google tiene una guía para webs hackeadas y explica la revisión en la ayuda del informe «Problemas de seguridad». Lo que hago, en orden:

• Copia de todo lo que hay, tal cual, antes de tocar nada.
• Encontrar por dónde entraron: plugin, tema, contraseña o servidor. Sin eso, se vuelve a llenar.
• Limpiar archivos, base de datos y usuarios. Quitar las páginas que crearon.
• Actualizar todo, quitar lo que sobra y proteger el acceso al panel.
• Comprobar desde fuera que la web ya no redirige, desde el móvil y desde Google.
• Pedir la revisión en Search Console explicando qué pasó y qué se ha hecho.
• Dejar puesta vigilancia activa: aviso por Telegram si la web cae, si el certificado va a caducar o si el dominio está a punto de vencer.

Cuándo hace falta alguien

Si la web vuelve a infectarse después de limpiarla, si no encuentras por dónde entraron o si Google ya ha puesto el aviso, el problema está más adentro de lo que se ve. Cada día con el aviso es gente que ve tu nombre junto a «pirateado» y no entra.

A veces lo mejor es no volver a WordPress

Un WordPress viejo, con muchos plugins y sin nadie que lo actualice, se vuelve a hackear. Si la web es sencilla, a veces compensa rehacerla como web estática, sin panel ni base de datos que atacar, con cada dirección antigua redirigida a la nueva. Se mira caso por caso y se dice antes de empezar. Si además la web da error o no carga o los formularios no llegan, se arregla todo junto.

Si no quieres pelearte con esto

Cuéntame qué ves, desde cuándo y con qué está hecha la web. Te digo qué ha pasado y qué hace falta para limpiarla y cerrarla, con precio cerrado antes de empezar. Lo que no puedo prometer es cuándo quita Google el aviso. Eso lo decide Google al revisarla.

Preguntas