{"id":61,"date":"2026-11-02T17:34:55","date_gmt":"2026-11-02T23:34:55","guid":{"rendered":"https:\/\/cloudstudio.mx\/blog\/ciberseguridad\/pagina-web-hackeada\/"},"modified":"2026-11-02T17:34:55","modified_gmt":"2026-11-02T23:34:55","slug":"pagina-web-hackeada","status":"publish","type":"post","link":"https:\/\/cloudstudio.mx\/blog\/ciberseguridad\/pagina-web-hackeada\/","title":{"rendered":"P\u00e1gina web hackeada: qu\u00e9 hacer en las primeras horas"},"content":{"rendered":"<p>Si tu p\u00e1gina web fue hackeada, act\u00faa en este orden: pon el sitio en mantenimiento para contener el da\u00f1o, guarda una copia como evidencia, limpia o restaura desde un respaldo sano y cambia todas las contrase\u00f1as. Despu\u00e9s revisa Google Search Console en busca de spam y avisa a quien corresponda.<\/p>\n<p>Las primeras horas importan porque el atacante puede seguir dentro, usando tu sitio para mandar spam, infectar a tus visitantes o robar los datos de tus formularios. Si ya tienes un proveedor de <a href=\"https:\/\/cloudstudio.mx\/servicios\/mantenimiento\">soporte y mantenimiento web con tiempos de respuesta definidos<\/a>, ll\u00e1male antes de tocar nada. Si no, esta gu\u00eda te dice qu\u00e9 hacer, en qu\u00e9 orden y qu\u00e9 pedirle a tu proveedor de hosting, la empresa que renta el servidor donde vive tu sitio.<\/p>\n<h2>Se\u00f1ales de que tu sitio fue hackeado<\/h2>\n<p>No todos los hackeos se notan a simple vista. Muchos est\u00e1n dise\u00f1ados para que el due\u00f1o no los vea y Google s\u00ed. Estas son las se\u00f1ales m\u00e1s comunes:<\/p>\n<ul>\n<li>Google muestra una advertencia de que tu sitio est\u00e1 hackeado o comprometido, o el navegador abre una pantalla roja de sitio peligroso.<\/li>\n<li>Tu sitio redirige a casinos, farmacias o tiendas de r\u00e9plicas, sobre todo cuando entras desde Google o desde el celular.<\/li>\n<li>Al buscar tu dominio en Google aparecen p\u00e1ginas que nunca creaste, a veces con texto en japon\u00e9s o t\u00edtulos sin sentido.<\/li>\n<li>Hay usuarios administradores que nadie de tu equipo dio de alta.<\/li>\n<li>Tu hosting te avisa de archivos maliciosos o suspende la cuenta.<\/li>\n<li>Search Console, la herramienta gratuita de Google para ver c\u00f3mo indexa tu sitio, te notifica que se agreg\u00f3 un propietario que no conoces.<\/li>\n<\/ul>\n<p>La gu\u00eda de Google para <a href=\"https:\/\/web.dev\/articles\/how-do-i-know-if-my-site-was-hacked\">saber si tu sitio fue hackeado<\/a> explica que el atacante puede mostrar contenido distinto a distintos tipos de usuarios, por eso una p\u00e1gina puede verse normal para ti y llena de spam para el buscador. Si ves una o m\u00e1s de estas se\u00f1ales, empieza con el protocolo de abajo.<\/p>\n<h2>Protocolo de las primeras 24 horas<\/h2>\n<p>Este es el orden que recomendamos en CloudStudio, con un responsable para cada paso:<\/p>\n<table>\n<thead>\n<tr>\n<th>Momento<\/th>\n<th>Paso<\/th>\n<th>Qui\u00e9n participa<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Primera hora<\/td>\n<td>1. Contener: sitio fuera de l\u00ednea y aviso al hosting<\/td>\n<td>T\u00fa y tu hosting<\/td>\n<\/tr>\n<tr>\n<td>Horas 1 a 3<\/td>\n<td>2. Respaldar la evidencia antes de limpiar<\/td>\n<td>Hosting o proveedor t\u00e9cnico<\/td>\n<\/tr>\n<tr>\n<td>Horas 3 a 12<\/td>\n<td>3. Limpiar o restaurar y cerrar el hueco<\/td>\n<td>Proveedor t\u00e9cnico<\/td>\n<\/tr>\n<tr>\n<td>Mismo d\u00eda<\/td>\n<td>4. Cambiar todas las credenciales<\/td>\n<td>T\u00fa y tu proveedor<\/td>\n<\/tr>\n<tr>\n<td>Al reabrir<\/td>\n<td>5. Revisar Search Console y pedir revisi\u00f3n<\/td>\n<td>Responsable del sitio<\/td>\n<\/tr>\n<tr>\n<td>Cuando aplique<\/td>\n<td>6. Avisar a clientes, banco y autoridades<\/td>\n<td>Direcci\u00f3n y \u00e1rea legal<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Paso 1. Cont\u00e9n el da\u00f1o<\/h2>\n<p>Saca el sitio de l\u00ednea para que deje de servir contenido malicioso. Google recomienda en su gu\u00eda para <a href=\"https:\/\/web.dev\/articles\/quarantine-your-site\">poner en cuarentena un sitio hackeado<\/a> responder con un c\u00f3digo 503, que le dice a navegadores y buscadores &#8220;no disponible por ahora, vuelve m\u00e1s tarde&#8221;. Ese aviso debe salir desde fuera del servidor comprometido, por ejemplo desde el panel del hosting o desde un servicio intermedio como un CDN (red que entrega tu sitio desde servidores repartidos por el mundo). Bloquearlo con robots.txt, el archivo de instrucciones para los rastreadores, no basta: frena a Google y a otros buscadores, pero no a las personas.<\/p>\n<p>Al mismo tiempo, avisa a tu hosting. Puede que el problema venga de su lado o que afecte a otros sitios de la misma cuenta, y ellos tienen los registros del servidor. Si sospechas que entraron con la contrase\u00f1a del hosting, c\u00e1mbiala ya. No borres el sitio ni reinstales nada todav\u00eda: lo que hoy parece basura es la pista de c\u00f3mo entraron.<\/p>\n<h2>Paso 2. Respalda la evidencia antes de limpiar<\/h2>\n<p>Antes de limpiar, haz una copia completa del sitio tal como est\u00e1, con archivos y base de datos, y m\u00e1rcala como infectada. Si no tienes un respaldo limpio, Google sugiere en su gu\u00eda para <a href=\"https:\/\/web.dev\/articles\/clean-and-maintain-your-site\">limpiar y mantener tu sitio<\/a> hacer dos copias: una imagen completa del disco y otra de archivos y base de datos. Guarda tambi\u00e9n:<\/p>\n<ul>\n<li>Los registros de acceso del servidor, que muestran desde qu\u00e9 direcciones IP (la direcci\u00f3n num\u00e9rica de cada conexi\u00f3n) y a qu\u00e9 horas entraron. P\u00eddeselos a tu hosting.<\/li>\n<li>La lista de usuarios del panel de administraci\u00f3n, con fecha de alta.<\/li>\n<li>Capturas de pantalla de las advertencias, redirecciones y p\u00e1ginas de spam, con fecha y hora.<\/li>\n<li>Correos o mensajes sospechosos que recibi\u00f3 tu equipo en los d\u00edas previos.<\/li>\n<\/ul>\n<p>Esa evidencia sirve para encontrar la puerta de entrada y, si decides denunciar, para respaldar tu reporte.<\/p>\n<h2>Paso 3. Limpia o restaura y cierra el hueco<\/h2>\n<p>Antes, dos t\u00e9rminos: el CMS es el gestor de contenidos con el que editas tu sitio, como WordPress, y los plugins son las extensiones que le agregan funciones. C\u00f3mo limpiar depende del respaldo que tengas:<\/p>\n<table>\n<thead>\n<tr>\n<th>Situaci\u00f3n<\/th>\n<th>Qu\u00e9 hacer<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Respaldo limpio y reciente<\/td>\n<td>Rest\u00e1uralo, actualiza todo el software, elimina lo que no uses y corrige la vulnerabilidad antes de reabrir.<\/td>\n<\/tr>\n<tr>\n<td>Respaldo limpio pero viejo<\/td>\n<td>Rest\u00e1uralo, actual\u00edzalo y comp\u00e1ralo con la copia infectada para recuperar el contenido nuevo que s\u00ed era tuyo.<\/td>\n<\/tr>\n<tr>\n<td>Sin respaldo limpio<\/td>\n<td>Limpia una copia, no el servidor en vivo: reinstala el n\u00facleo del CMS, plugins y temas desde sus fuentes oficiales, borra archivos y usuarios desconocidos y revisa la base de datos.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Revisa tambi\u00e9n el archivo .htaccess, que controla redirecciones en muchos servidores y es un escondite frecuente de reglas maliciosas. Las p\u00e1ginas de spam que cre\u00f3 el atacante deben responder con error 404 (p\u00e1gina no encontrada) para que Google las saque de sus resultados.<\/p>\n<p>El paso que m\u00e1s se salta es encontrar por d\u00f3nde entraron: un plugin desactualizado, una contrase\u00f1a robada, un formulario vulnerable o un acceso FTP (el protocolo para subir archivos al servidor) olvidado. Si limpias sin cerrar ese hueco, vuelven. En su gu\u00eda sobre el <a href=\"https:\/\/web.dev\/articles\/fix-the-japanese-keyword-hack\">hackeo de palabras clave en japon\u00e9s<\/a>, Google advierte que el 20% de los sitios hackeados vuelve a ser hackeado en menos de un d\u00eda.<\/p>\n<h2>Paso 4. Cambia todas las credenciales<\/h2>\n<p>Google recomienda cambiar las contrase\u00f1as al poner el sitio en cuarentena y otra vez al terminar la limpieza, por si el atacante segu\u00eda dentro. Hazlo siempre desde una computadora que no est\u00e9 comprometida. La lista es m\u00e1s larga de lo que parece:<\/p>\n<ul>\n<li>Panel del hosting y cuenta del registrador del dominio.<\/li>\n<li>Accesos FTP o SFTP, que es su versi\u00f3n cifrada.<\/li>\n<li>Usuario y contrase\u00f1a de la base de datos.<\/li>\n<li>Todas las cuentas de administrador del CMS. Borra las que no reconozcas.<\/li>\n<li>Cuentas de correo del dominio que tengan acceso al sitio.<\/li>\n<li>Llaves de API (las credenciales con las que tu sitio se conecta a otros servicios) de pasarelas de pago, CRM o herramientas de env\u00edo de correo.<\/li>\n<li>Propietarios y usuarios de Google Search Console y Google Analytics.<\/li>\n<\/ul>\n<p>Activa la verificaci\u00f3n en dos pasos en todo lo que la permita. Si tu sitio es WordPress, regenera tambi\u00e9n las claves secretas del archivo wp-config.php para cerrar las sesiones abiertas.<\/p>\n<h2>Paso 5. Revisa Search Console: spam y cloaking<\/h2>\n<p>Si todav\u00eda no tienes Google Search Console, dala de alta con tu dominio. Ah\u00ed revisa tres cosas:<\/p>\n<ol>\n<li>El informe de problemas de seguridad, con ejemplos de URL donde Google detect\u00f3 contenido hackeado, malware (software malicioso) o ingenier\u00eda social (p\u00e1ginas que enga\u00f1an al visitante para que entregue datos o descargue algo).<\/li>\n<li>La lista de propietarios y los sitemaps, los archivos que le indican a Google qu\u00e9 p\u00e1ginas tienes. El atacante a veces se registra como propietario para meter sus propias p\u00e1ginas al \u00edndice.<\/li>\n<li>La herramienta de inspecci\u00f3n de URL, que muestra la p\u00e1gina como la ve Google.<\/li>\n<\/ol>\n<p>Ese \u00faltimo punto importa por el cloaking o encubrimiento, que Google define en sus <a href=\"https:\/\/developers.google.com\/search\/docs\/essentials\/spam-policies?hl=es\">pol\u00edticas de spam<\/a> como mostrar contenido distinto a los usuarios y a los buscadores. Seg\u00fan esas pol\u00edticas, es com\u00fan que el atacante lo use para que el due\u00f1o no detecte el hackeo. Complementa con una b\u00fasqueda <em>site:tudominio.com<\/em> en Google para ver qu\u00e9 p\u00e1ginas tiene indexadas.<\/p>\n<p>Cuando todo est\u00e9 limpio, pide una revisi\u00f3n desde el mismo informe y explica qu\u00e9 hiciste. Seg\u00fan la gu\u00eda de Google para <a href=\"https:\/\/web.dev\/articles\/request-a-review\">solicitar una revisi\u00f3n<\/a>, los casos de spam pueden tardar varias semanas, los de malware unos d\u00edas y los de phishing cerca de un d\u00eda.<\/p>\n<h2>Paso 6. Avisa a quien corresponda<\/h2>\n<p>Si el sitio guardaba datos personales, como formularios de contacto, cuentas de clientes o pedidos, eval\u00faa si hubo acceso a ellos. La <a href=\"https:\/\/www.diputados.gob.mx\/LeyesBiblio\/pdf\/LFPDPPP.pdf\">Ley Federal de Protecci\u00f3n de Datos Personales en Posesi\u00f3n de los Particulares<\/a> (nueva ley publicada en el DOF el 20 de marzo de 2025) establece en su art\u00edculo 19 que las vulneraciones que afecten de forma significativa los derechos patrimoniales o morales de las personas se les deben informar de inmediato. Esto es orientaci\u00f3n general y no sustituye la asesor\u00eda legal.<\/p>\n<p>Avisa tambi\u00e9n a tu banco o pasarela de pago si el sitio cobra en l\u00ednea, y a tu equipo para que no abra correos que parezcan venir de tu dominio. Para reportar el ataque, la Guardia Nacional recibe reportes en el <a href=\"https:\/\/www.gob.mx\/guardianacional\/prensa\/guardia-nacional-realiza-campana-nacional-de-ciberseguridad-2026-internet-seguro-para-todas-y-todos\">n\u00famero de atenci\u00f3n ciudadana 088<\/a>.<\/p>\n<h2>Despu\u00e9s del incidente: que no se repita<\/h2>\n<p>Un sitio recuperado necesita cambios que se mantengan. En CloudStudio recomendamos dejar por escrito estas medidas antes de cerrar el incidente:<\/p>\n<ul>\n<li>Actualizaciones semanales del CMS, plugins y temas, y eliminar lo que no se usa.<\/li>\n<li>Respaldos autom\u00e1ticos guardados fuera del servidor, con una prueba de restauraci\u00f3n cada trimestre.<\/li>\n<li>Verificaci\u00f3n en dos pasos para todos los administradores y una cuenta por persona.<\/li>\n<li>Un firewall de aplicaciones web (WAF), un filtro que bloquea ataques conocidos antes de que lleguen a tu sitio.<\/li>\n<li>Monitoreo de cambios en archivos y de disponibilidad, con alertas a una persona concreta.<\/li>\n<\/ul>\n<p>Si tu sitio comparte servidor con otros proyectos o corre en un hosting sin aislamiento, vale la pena mudarlo a una <a href=\"https:\/\/cloudstudio.mx\/servicios\/infraestructura\">infraestructura en la nube con entornos aislados y firewall<\/a>. Para ordenar tambi\u00e9n las cuentas, el correo y los respaldos de tu empresa, revisa la <a href=\"https:\/\/cloudstudio.mx\/blog\/ciberseguridad\/ciberseguridad-y-privacidad-en-la-vida-digital-guia-practica-para-usuarios-y-empresas\/\">gu\u00eda pr\u00e1ctica de ciberseguridad y privacidad para pymes<\/a>, y para la rutina de prevenci\u00f3n, el art\u00edculo sobre <a href=\"https:\/\/cloudstudio.mx\/blog\/ciberseguridad\/mantenimiento-de-pagina-web\/\">qu\u00e9 incluye el mantenimiento de una p\u00e1gina web<\/a>.<\/p>\n<h2>Preguntas frecuentes<\/h2>\n<h3>\u00bfCu\u00e1nto tarda Google en quitar la advertencia de sitio hackeado?<\/h3>\n<p>Primero debes limpiar el sitio y solicitar una revisi\u00f3n en Search Console. Seg\u00fan la <a href=\"https:\/\/web.dev\/articles\/request-a-review\">gu\u00eda de revisiones de Google<\/a>, las revisiones por spam pueden tardar varias semanas, las de malware unos d\u00edas y las de phishing alrededor de un d\u00eda. Mientras tanto, la advertencia sigue visible, as\u00ed que conviene pedir la revisi\u00f3n en cuanto termines la limpieza.<\/p>\n<h3>\u00bfPuedo limpiar el sitio yo mismo?<\/h3>\n<p>Si el da\u00f1o es evidente y tienes un respaldo limpio y reciente, restaurarlo y cambiar contrase\u00f1as puede ser suficiente. Si no tienes respaldo, si el atacante cre\u00f3 cientos de p\u00e1ginas o si el sitio guarda datos de clientes, conviene que lo haga alguien con experiencia, porque una limpieza a medias deja puertas traseras.<\/p>\n<h3>\u00bfVoy a perder mi posicionamiento en Google?<\/h3>\n<p>Puede bajar mientras el sitio est\u00e9 marcado o fuera de l\u00ednea, y las p\u00e1ginas de spam pueden ensuciar tus resultados por un tiempo. Lo que m\u00e1s ayuda es actuar r\u00e1pido: limpiar, devolver error 404 en las p\u00e1ginas falsas y pedir la revisi\u00f3n. Un sitio en mantenimiento por unas horas con c\u00f3digo 503 afecta menos que uno que sigue sirviendo spam.<\/p>\n<h3>\u00bfC\u00f3mo s\u00e9 si robaron los datos de mis clientes?<\/h3>\n<p>Revisa con tu proveedor los registros de acceso a la base de datos y a los archivos donde se guardan formularios o pedidos. Si hay accesos que no puedes explicar, trata el caso como una posible vulneraci\u00f3n de datos personales y consulta a tu abogado sobre el aviso a las personas afectadas.<\/p>\n<p>Si tu sitio est\u00e1 hackeado ahora mismo o sospechas que algo anda mal, <a href=\"https:\/\/cloudstudio.mx\/contacto\">escr\u00edbenos con lo que est\u00e1s viendo<\/a> y te ayudamos a contenerlo, limpiarlo y cerrar la puerta por donde entraron.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>\u00bfTu p\u00e1gina web fue hackeada? Pasos en orden para las primeras horas: contener, guardar evidencia, limpiar, cambiar claves y revisar Search Console.<\/p>\n","protected":false},"author":1,"featured_media":62,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[33],"tags":[],"class_list":["post-61","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ciberseguridad"],"_links":{"self":[{"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/posts\/61","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/comments?post=61"}],"version-history":[{"count":0,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/posts\/61\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/media\/62"}],"wp:attachment":[{"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/media?parent=61"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/categories?post=61"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cloudstudio.mx\/blog\/wp-json\/wp\/v2\/tags?post=61"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}