Te hackearon el WordPress: cómo darte cuenta y qué hacer

Cuando hackean un WordPress casi nunca aparece un cartel. Lo que pasa es más silencioso: alguien te escribe para avisarte que "tu página lleva a un sitio raro", o de golpe tus mails empiezan a caer en spam, o Google te muestra un aviso rojo antes de dejar entrar a nadie.
Para ese momento suele haber pasado una semana. Esta guía es lo que hago yo, en este orden, cuando me traen un sitio comprometido.

El sitio puede verse perfecto para vos y estar infectado igual. Muchos ataques se esconden justamente de quien administra: si estás logueado, no te muestran nada.

Lo que hay que mirar:
- Entrás desde Google y te manda a otro lado, pero si escribís la dirección a mano anda bien. Es el síntoma más común y el más ignorado.
- Usuarios administradores que no creaste, con nombres verosímiles. Revisá Usuarios y ordená por fecha de registro.
- Google te marca el sitio. Buscá tu dominio en Google Search Console → Seguridad. Ahí avisa antes que nadie.
- Los mails de tu dominio rebotan o caen en spam de golpe: suele significar que tu servidor está mandando spam sin que lo sepas.
- Archivos nuevos en el servidor, con nombres raros o fechas de modificación que no coinciden con nada que hayas hecho.

Una comprobación rápida y gratis: pasá tu dominio por Sucuri SiteCheck. No detecta todo, pero si da positivo, ya no hace falta seguir dudando.

El instinto es borrar todo y reinstalar. Es el peor movimiento: borrás la evidencia de cómo entraron y los dejás entrar de nuevo por la misma puerta.

En orden:
- Hacé un backup del sitio hackeado, tal como está. Suena raro, pero es tu única forma de saber después qué tocaron.
- Cambiá todas las contraseñas: administradores de WordPress, panel del hosting, FTP y base de datos. Todas, no solo la tuya.
- Cerrá todas las sesiones abiertas. Cambiar la clave no echa a quien ya está adentro.
- Poné el sitio en mantenimiento si vende o toma datos. Un rato caído cuesta mucho menos que seguir sirviendo malware a tus clientes.

Lo que no hay que hacer: instalar tres plugins de seguridad a la vez para ver cuál lo arregla. Se pisan entre ellos, te dejan el sitio más lento y ninguno limpia lo que ya está adentro.

En la enorme mayoría de los casos no hubo un ataque dirigido a vos. Hay robots recorriendo internet todo el día probando fallas conocidas, y encontraron una:
- Un plugin o tema desactualizado. Lejos, la causa número uno. Cuando se publica una falla, el parche y los robots salen el mismo día.
- Un tema o plugin "nulled", bajado gratis de un sitio de descargas. Muchos vienen con la puerta trasera ya puesta: es el negocio de quien lo subió.
- Contraseñas débiles o repetidas, sin límite de intentos de acceso.
- Vecinos en hosting compartido. Si el servidor no aísla bien las cuentas, te infectás por un sitio que ni conocés.

Esta es la parte que más veces me toca rehacer. Alguien limpia los archivos infectados, el sitio vuelve a andar, y a las dos semanas está igual. Porque limpiar es sacar el síntoma; si el plugin viejo sigue ahí, el robot vuelve a pasar.

Una limpieza que sirve incluye: reemplazar el núcleo de WordPress por una copia limpia, revisar plugins y temas uno por uno, buscar usuarios y tareas programadas que no correspondan, y recién ahí actualizar todo y cerrar el agujero de entrada.

Nada de esto es exótico, es sostenerlo en el tiempo:
- Actualizaciones al día, con alguien mirando que una actualización no rompa nada.
- Backups diarios y verificados, fuera del mismo servidor. Si te infectan, restaurar es cuestión de minutos.
- Límite de intentos de acceso y doble factor en las cuentas de administrador.
- Menos superficie: el plugin que no usás, se desinstala. No alcanza con desactivarlo, el código sigue ahí.
- Monitoreo, para enterarte vos antes que un cliente.

Si esto te suena a algo que no vas a hacer todos los meses, es exactamente para lo que existe un plan de mantenimiento. No es magia: es que alguien lo mire con regularidad.