Página web hackeada: qué hacer en las primeras horas

Si tu página web fue hackeada, actúa en este orden: pon el sitio en mantenimiento para contener el daño, guarda una copia como evidencia, limpia o restaura desde un respaldo sano y cambia todas las contraseñas. Después revisa Google Search Console en busca de spam y avisa a quien corresponda.

Las primeras horas importan porque el atacante puede seguir dentro, usando tu sitio para mandar spam, infectar a tus visitantes o robar los datos de tus formularios. Si ya tienes un proveedor de soporte y mantenimiento web con tiempos de respuesta definidos, llámale antes de tocar nada. Si no, esta guía te dice qué hacer, en qué orden y qué pedirle a tu proveedor de hosting, la empresa que renta el servidor donde vive tu sitio.

Señales de que tu sitio fue hackeado

No todos los hackeos se notan a simple vista. Muchos están diseñados para que el dueño no los vea y Google sí. Estas son las señales más comunes:

• Google muestra una advertencia de que tu sitio está hackeado o comprometido, o el navegador abre una pantalla roja de sitio peligroso.
• Tu sitio redirige a casinos, farmacias o tiendas de réplicas, sobre todo cuando entras desde Google o desde el celular.
• Al buscar tu dominio en Google aparecen páginas que nunca creaste, a veces con texto en japonés o títulos sin sentido.
• Hay usuarios administradores que nadie de tu equipo dio de alta.
• Tu hosting te avisa de archivos maliciosos o suspende la cuenta.
• Search Console, la herramienta gratuita de Google para ver cómo indexa tu sitio, te notifica que se agregó un propietario que no conoces.

La guía de Google para saber si tu sitio fue hackeado explica que el atacante puede mostrar contenido distinto a distintos tipos de usuarios, por eso una página puede verse normal para ti y llena de spam para el buscador. Si ves una o más de estas señales, empieza con el protocolo de abajo.

Protocolo de las primeras 24 horas

Este es el orden que recomendamos en CloudStudio, con un responsable para cada paso:

Paso 1. Contén el daño

Saca el sitio de línea para que deje de servir contenido malicioso. Google recomienda en su guía para poner en cuarentena un sitio hackeado responder con un código 503, que le dice a navegadores y buscadores “no disponible por ahora, vuelve más tarde”. Ese aviso debe salir desde fuera del servidor comprometido, por ejemplo desde el panel del hosting o desde un servicio intermedio como un CDN (red que entrega tu sitio desde servidores repartidos por el mundo). Bloquearlo con robots.txt, el archivo de instrucciones para los rastreadores, no basta: frena a Google y a otros buscadores, pero no a las personas.

Al mismo tiempo, avisa a tu hosting. Puede que el problema venga de su lado o que afecte a otros sitios de la misma cuenta, y ellos tienen los registros del servidor. Si sospechas que entraron con la contraseña del hosting, cámbiala ya. No borres el sitio ni reinstales nada todavía: lo que hoy parece basura es la pista de cómo entraron.

Paso 2. Respalda la evidencia antes de limpiar

Antes de limpiar, haz una copia completa del sitio tal como está, con archivos y base de datos, y márcala como infectada. Si no tienes un respaldo limpio, Google sugiere en su guía para limpiar y mantener tu sitio hacer dos copias: una imagen completa del disco y otra de archivos y base de datos. Guarda también:

• Los registros de acceso del servidor, que muestran desde qué direcciones IP (la dirección numérica de cada conexión) y a qué horas entraron. Pídeselos a tu hosting.
• La lista de usuarios del panel de administración, con fecha de alta.
• Capturas de pantalla de las advertencias, redirecciones y páginas de spam, con fecha y hora.
• Correos o mensajes sospechosos que recibió tu equipo en los días previos.

Esa evidencia sirve para encontrar la puerta de entrada y, si decides denunciar, para respaldar tu reporte.

Paso 3. Limpia o restaura y cierra el hueco

Antes, dos términos: el CMS es el gestor de contenidos con el que editas tu sitio, como WordPress, y los plugins son las extensiones que le agregan funciones. Cómo limpiar depende del respaldo que tengas:

Revisa también el archivo .htaccess, que controla redirecciones en muchos servidores y es un escondite frecuente de reglas maliciosas. Las páginas de spam que creó el atacante deben responder con error 404 (página no encontrada) para que Google las saque de sus resultados.

El paso que más se salta es encontrar por dónde entraron: un plugin desactualizado, una contraseña robada, un formulario vulnerable o un acceso FTP (el protocolo para subir archivos al servidor) olvidado. Si limpias sin cerrar ese hueco, vuelven. En su guía sobre el hackeo de palabras clave en japonés, Google advierte que el 20% de los sitios hackeados vuelve a ser hackeado en menos de un día.

Paso 4. Cambia todas las credenciales

Google recomienda cambiar las contraseñas al poner el sitio en cuarentena y otra vez al terminar la limpieza, por si el atacante seguía dentro. Hazlo siempre desde una computadora que no esté comprometida. La lista es más larga de lo que parece:

• Panel del hosting y cuenta del registrador del dominio.
• Accesos FTP o SFTP, que es su versión cifrada.
• Usuario y contraseña de la base de datos.
• Todas las cuentas de administrador del CMS. Borra las que no reconozcas.
• Cuentas de correo del dominio que tengan acceso al sitio.
• Llaves de API (las credenciales con las que tu sitio se conecta a otros servicios) de pasarelas de pago, CRM o herramientas de envío de correo.
• Propietarios y usuarios de Google Search Console y Google Analytics.

Activa la verificación en dos pasos en todo lo que la permita. Si tu sitio es WordPress, regenera también las claves secretas del archivo wp-config.php para cerrar las sesiones abiertas.

Paso 5. Revisa Search Console: spam y cloaking

Si todavía no tienes Google Search Console, dala de alta con tu dominio. Ahí revisa tres cosas:

1. El informe de problemas de seguridad, con ejemplos de URL donde Google detectó contenido hackeado, malware (software malicioso) o ingeniería social (páginas que engañan al visitante para que entregue datos o descargue algo).
2. La lista de propietarios y los sitemaps, los archivos que le indican a Google qué páginas tienes. El atacante a veces se registra como propietario para meter sus propias páginas al índice.
3. La herramienta de inspección de URL, que muestra la página como la ve Google.

Ese último punto importa por el cloaking o encubrimiento, que Google define en sus políticas de spam como mostrar contenido distinto a los usuarios y a los buscadores. Según esas políticas, es común que el atacante lo use para que el dueño no detecte el hackeo. Complementa con una búsqueda site:tudominio.com en Google para ver qué páginas tiene indexadas.

Cuando todo esté limpio, pide una revisión desde el mismo informe y explica qué hiciste. Según la guía de Google para solicitar una revisión, los casos de spam pueden tardar varias semanas, los de malware unos días y los de phishing cerca de un día.

Paso 6. Avisa a quien corresponda

Si el sitio guardaba datos personales, como formularios de contacto, cuentas de clientes o pedidos, evalúa si hubo acceso a ellos. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (nueva ley publicada en el DOF el 20 de marzo de 2025) establece en su artículo 19 que las vulneraciones que afecten de forma significativa los derechos patrimoniales o morales de las personas se les deben informar de inmediato. Esto es orientación general y no sustituye la asesoría legal.

Avisa también a tu banco o pasarela de pago si el sitio cobra en línea, y a tu equipo para que no abra correos que parezcan venir de tu dominio. Para reportar el ataque, la Guardia Nacional recibe reportes en el número de atención ciudadana 088.

Después del incidente: que no se repita

Un sitio recuperado necesita cambios que se mantengan. En CloudStudio recomendamos dejar por escrito estas medidas antes de cerrar el incidente:

• Actualizaciones semanales del CMS, plugins y temas, y eliminar lo que no se usa.
• Respaldos automáticos guardados fuera del servidor, con una prueba de restauración cada trimestre.
• Verificación en dos pasos para todos los administradores y una cuenta por persona.
• Un firewall de aplicaciones web (WAF), un filtro que bloquea ataques conocidos antes de que lleguen a tu sitio.
• Monitoreo de cambios en archivos y de disponibilidad, con alertas a una persona concreta.

Si tu sitio comparte servidor con otros proyectos o corre en un hosting sin aislamiento, vale la pena mudarlo a una infraestructura en la nube con entornos aislados y firewall. Para ordenar también las cuentas, el correo y los respaldos de tu empresa, revisa la guía práctica de ciberseguridad y privacidad para pymes, y para la rutina de prevención, el artículo sobre qué incluye el mantenimiento de una página web.

Preguntas frecuentes

¿Cuánto tarda Google en quitar la advertencia de sitio hackeado?

Primero debes limpiar el sitio y solicitar una revisión en Search Console. Según la guía de revisiones de Google, las revisiones por spam pueden tardar varias semanas, las de malware unos días y las de phishing alrededor de un día. Mientras tanto, la advertencia sigue visible, así que conviene pedir la revisión en cuanto termines la limpieza.

¿Puedo limpiar el sitio yo mismo?

Si el daño es evidente y tienes un respaldo limpio y reciente, restaurarlo y cambiar contraseñas puede ser suficiente. Si no tienes respaldo, si el atacante creó cientos de páginas o si el sitio guarda datos de clientes, conviene que lo haga alguien con experiencia, porque una limpieza a medias deja puertas traseras.

¿Voy a perder mi posicionamiento en Google?

Puede bajar mientras el sitio esté marcado o fuera de línea, y las páginas de spam pueden ensuciar tus resultados por un tiempo. Lo que más ayuda es actuar rápido: limpiar, devolver error 404 en las páginas falsas y pedir la revisión. Un sitio en mantenimiento por unas horas con código 503 afecta menos que uno que sigue sirviendo spam.

¿Cómo sé si robaron los datos de mis clientes?

Revisa con tu proveedor los registros de acceso a la base de datos y a los archivos donde se guardan formularios o pedidos. Si hay accesos que no puedes explicar, trata el caso como una posible vulneración de datos personales y consulta a tu abogado sobre el aviso a las personas afectadas.

Si tu sitio está hackeado ahora mismo o sospechas que algo anda mal, escríbenos con lo que estás viendo y te ayudamos a contenerlo, limpiarlo y cerrar la puerta por donde entraron.