Mi página fue hackeada: qué hacer paso a paso

Si tu página fue hackeada, no la borres ni restaures una copia a ciegas. Primero anota lo que ves, avisa a tu proveedor de hosting, cambia todas las contraseñas y guarda una copia del estado actual. Después revisa el informe «Problemas de seguridad» de Search Console, limpia el sitio, cierra la vía por la que entraron y, solo al final, pide a Google que lo revise.

En resumen

• No ver el problema en tu computador no descarta un hackeo: muchas señales solo aparecen a ciertos visitantes o en Google.
• El orden importa: contener primero, limpiar después y pedir la revisión de Google al final.
• Las contraseñas se cambian dos veces: al descubrir el ataque y otra vez cuando el sitio ya está limpio.
• Limpiar sin cerrar la entrada es invitar a que vuelva a pasar.
• Si tu sitio guardaba datos de clientes, en Colombia puede haber obligaciones legales de aviso.

¿Tu página muestra algo que nadie publicó o redirige a otros sitios? Revisamos tu sitio, te explicamos qué encontramos y qué hace falta para recuperarlo.
Necesito resolver un problema →

Cómo saber si tu página fue hackeada

La documentación de WordPress recomienda empezar por identificar los síntomas concretos, porque de eso depende todo lo demás. Estas son las señales más comunes y cómo comprobarlas sin conocimientos técnicos:

Que tú no lo veas no significa que no exista: la ayuda de Search Console advierte que algunas alertas dependen del contexto y quizá no puedas reproducirlas. Y al revés, no todo sitio caído está hackeado; un fallo del servidor o un dominio vencido también tumban una página, y el hosting puede confirmar cuál es el caso.

Qué no hacer en las primeras horas

Estos atajos suelen empeorar la situación:

• Borrar todo y empezar de cero. Pierdes el contenido y la pista de cómo entraron, y el sitio nuevo queda igual de expuesto.
• Restaurar la última copia sin revisarla. Un ataque puede llevar días o semanas activo antes de que alguien lo note, y en ese caso la copia más reciente también está infectada.
• Cambiar solo la contraseña de WordPress. Si entraron por el hosting, el FTP o la base de datos, esa contraseña no cierra nada.
• Pedir a Google la revisión antes de terminar. Google advierte que enviar una solicitud con el problema sin resolver puede alargar las siguientes y llevar a que el sitio se trate como infractor reincidente.
• Confiar solo en un plugin de «limpieza». Un escáner ayuda a detectar, pero no reemplaza la revisión de archivos, usuarios y base de datos.

Qué hacer paso a paso

Esta secuencia combina las recomendaciones de WordPress.org, web.dev y la ayuda de Search Console, en un orden en el que cada paso no deshace el anterior.

Anota lo que ves y cuándo empezó

Escribe qué te hizo pensar que te hackearon, cuándo lo notaste y qué cambió en los días anteriores: un plugin nuevo, un cambio de tema, un usuario creado. Te servirá tanto si lo resuelves tú como si contratas a alguien.

Avisa a tu proveedor de hosting

El ataque puede haber afectado más que tu sitio, sobre todo en un hosting compartido, y el proveedor puede ayudarte a sacar el sitio del aire si hace falta. Si no tienes claro qué hace el hosting y qué hace el dominio, lo explicamos en qué es un hosting y un dominio.

Decide si el sitio debe salir del aire

Si tu página redirige visitantes a sitios dañinos o descarga software en sus equipos, cada hora en línea es un riesgo para tus clientes. web.dev recomienda desconectarla mientras se trabaja, con una página de mantenimiento servida desde fuera del sitio comprometido; bloquear a Google con robots.txt no protege a los visitantes. Según la misma guía, desconectarla de forma temporal difícilmente afecta su posicionamiento futuro.

Cambia todas las contraseñas y revisa los usuarios

No solo la tuya: la de todos los usuarios de WordPress, la del panel del hosting, la del FTP o SFTP y la de la base de datos. Revisa la lista de usuarios, anota los que no reconozcas y elimínalos. Si usabas la misma contraseña en el correo o en otros servicios, cámbiala también allí.

Para esto necesitas los accesos. Si quien construyó tu página nunca te los entregó, este es el primer bloqueo; te contamos cuáles deberías tener en qué deben entregarte al finalizar una página web.

Guarda una copia del estado actual

Aunque esté infectado. WordPress recomienda una copia completa antes de limpiar: si algo sale mal, tendrás a dónde volver. Guárdala aparte y márcala como infectada para que nadie la restaure por error.

Revisa el informe de seguridad de Search Console

En Google Search Console, abre el informe «Problemas de seguridad». Allí Google clasifica lo que encontró (contenido pirateado, malware o ingeniería social), con URLs de ejemplo y la fecha de detección. Esas URLs son una muestra: hay que corregir todas las páginas. Si tu sitio no está registrado en Search Console, regístralo ahora; lo necesitarás para el último paso.

Limpia el sitio o restaura una copia limpia

El camino depende de tus copias. web.dev distingue tres situaciones: copia limpia y reciente, copia limpia pero antigua, o ninguna. Con una copia anterior al ataque, se restaura y se recupera lo que cambió después. Sin ella, hay que limpiar el sitio existente: reinstalar los archivos oficiales de WordPress en la misma versión y revisar tema, plugins, base de datos y archivos que suelen alterarse, como el .htaccess.

Es el paso más técnico: según la ayuda de Search Console, para corregir malware hay que saber leer código y, a veces, la configuración del servidor.

Cierra la puerta de entrada y pide la revisión a Google

Limpiar sin saber por dónde entraron es dejar la puerta abierta. Las vías más comunes son un plugin o tema desactualizado con una vulnerabilidad conocida, una contraseña filtrada, otro sitio comprometido en el mismo servidor o un computador infectado desde el que alguien entró al panel; por eso WordPress recomienda escanear también tus equipos. Actualiza WordPress, el tema y los plugins, elimina los que no uses y cambia las contraseñas otra vez, ahora con el sitio limpio.

Cuando todo esté corregido, vuelve al informe de Search Console y haz clic en «Solicitar revisión». Describe qué problema había, qué hiciste para corregirlo y el resultado. Según Google, la revisión puede tardar entre unos días y unas semanas, y no conviene enviar otra mientras la primera siga pendiente.

Si tu sitio guardaba datos de clientes

Si tu página recibía formularios, pedidos, registros de usuarios o cualquier dato personal, el incidente no es solo técnico. web.dev recomienda considerar las responsabilidades legales antes de borrar archivos. En Colombia, la Ley 1581 de 2012 incluye entre los deberes de quien trata datos personales informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos para la información de los titulares (artículo 17, literal n, y artículo 18, literal k).

Esa decisión no le corresponde a quien limpia el sitio: consulta con tu asesor legal y conserva la copia del estado infectado y tus notas.

Qué puedes hacer tú y qué conviene delegar

Anotar síntomas, avisar al hosting, revisar Search Console y enviar la solicitud de revisión los puedes hacer tú. El resto depende de tus accesos y conocimientos:

Si delegas, pide al final un informe por escrito: qué se encontró, qué se hizo, por dónde entraron y qué se recomienda para que no se repita. Sin ese informe no sabes si el problema se cerró o solo se tapó.

Cómo evitar que se repita

En corto: actualizaciones con copia previa y prueba posterior, copias fuera del servidor con varias fechas (para tener una anterior a cualquier ataque) y a cada persona solo los permisos que necesita. Lo desarrollamos en por qué tu página necesita mantenimiento aunque funcione bien, y lo que cuesta tenerlo resuelto de forma continua, en cuánto cuesta el mantenimiento de una página web.

Cómo lo trabajamos en Tu Negocio WB

La eliminación de malware y la recuperación de sitios hackeados hacen parte de nuestro servicio de mantenimiento y seguridad web para sitios en WordPress y WooCommerce. Lo atendemos por solicitud, por bolsa de horas o dentro de un plan periódico de mantenimiento.

Antes de proponer un trabajo revisamos el sitio: qué se alteró, si existe una copia utilizable y por dónde pudieron entrar. El alcance depende de lo que encontremos, y te lo explicamos antes de empezar. Después de recuperar un sitio, lo que evita que se repita es el mantenimiento preventivo; nuestros planes parten de $339.000 al mes.

Nuestro alcance es la seguridad del sitio web y de su alojamiento. No hacemos pruebas de penetración, análisis forense ni seguridad informática de la red o los sistemas internos de una empresa; si tu caso lo requiere, te lo diremos para que busques un especialista.

Preguntas frecuentes

¿Puedo recuperar mi página si no tengo copia de seguridad?

En muchos casos sí, limpiando el sitio existente en lugar de restaurarlo. Es un trabajo más largo, porque hay que revisar archivos, usuarios y base de datos y compararlos con las versiones oficiales, y el resultado depende de cuánto se haya alterado.

¿Google penaliza una página que fue hackeada?

Mientras el problema existe, Google puede mostrar advertencias en los resultados o una pantalla de aviso antes de entrar, y puede dejar de mostrar el contenido pirateado. Cuando corriges todo y la revisión se aprueba, las advertencias se retiran. Nadie puede garantizarte que las posiciones vuelvan exactamente a donde estaban, pero actuar rápido y en orden reduce el daño.

¿Cómo sé que mi página ya quedó limpia?

Con varias comprobaciones, no con una: Search Console sin problemas pendientes, la búsqueda site:tudominio.com sin páginas extrañas, ningún usuario desconocido, ninguna redirección al entrar desde el celular y un informe de quien hizo la limpieza. Si en las semanas siguientes los síntomas vuelven, la vía de entrada no se cerró.

¿Tu página fue hackeada o sospechas que algo no está bien? Revisamos el sitio, te explicamos qué encontramos y qué hace falta para recuperarlo y protegerlo.

Necesito resolver un problema →

Fuentes

• WordPress.org — «FAQ My site was hacked» — https://wordpress.org/documentation/article/faq-my-site-was-hacked/ — consultado el 19 de septiembre de 2026.
• Ayuda de Search Console — «Informe «Problemas de seguridad»» — https://support.google.com/webmasters/answer/9044101?hl=es — consultado el 19 de septiembre de 2026.
• web.dev — «Quarantine your site» — https://web.dev/articles/quarantine-your-site — consultado el 19 de septiembre de 2026.
• web.dev — «Clean and maintain your site» — https://web.dev/articles/clean-and-maintain-your-site — consultado el 19 de septiembre de 2026.
• Función Pública, Gestor Normativo — Ley 1581 de 2012, artículos 17 y 18 — https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=49981 — consultado el 19 de septiembre de 2026.

Contenido de Equipo Tu Negocio WB, empresa de desarrollo web con sede en Bogotá, Colombia. Revisión técnica y comercial interna. Publicado el 10 de noviembre de 2026.