Guía
¿Por qué tu WordPress se hackea otra vez después de limpiarlo?
Si el malware vuelve tras la limpieza, casi siempre quedó una puerta trasera o la causa original sigue abierta: credenciales filtradas, plugin vulnerable o un hosting compartido contaminado. Cómo diagnosticarlo y cerrar la entrada.
Un WordPress que se reinfecta suele tener una puerta trasera sin eliminar o una causa sin cerrar: contraseñas filtradas, un plugin o tema vulnerable, un software pirateado, permisos de archivos demasiado amplios o otros sitios infectados en el mismo hosting. Para detenerlo, hay que encontrar cómo entraron, eliminar todas las puertas traseras, cambiar todas las credenciales y endurecer el sitio.
Causas habituales
Por qué vuelve
- Puertas traseras: archivos o código ocultos que permiten volver a entrar (en el núcleo, plugins, temas, uploads o la base de datos).
- Credenciales comprometidas: contraseñas de WordPress, hosting, FTP, base de datos o correo ya expuestas.
- Componentes vulnerables o abandonados: plugins y temas sin actualizar.
- Plugins o temas pirateados («nulled»): suelen incluir código malicioso.
- Hosting compartido contaminado: otro sitio de la misma cuenta infectado reinfecta al tuyo.
- Permisos de archivos inseguros.
Cómo diagnosticar
Dónde mirar
- Compara los archivos del núcleo, plugins y temas con las versiones oficiales.
- Busca archivos modificados recientemente y archivos extraños en uploads o raíz.
- Revisa los usuarios administradores y las tareas programadas (cron).
- Analiza los registros de acceso para encontrar la primera intrusión.
- Examina la base de datos en busca de código inyectado en opciones y entradas.
Cómo cerrar la entrada
Pasos definitivos
- Cambia todas las contraseñas y claves (WordPress, hosting, base de datos, SFTP, salts de wp-config).
- Elimina plugins y temas innecesarios y reinstala los demás desde fuentes oficiales.
- Actualiza WordPress y los componentes.
- Corrige permisos de archivos y desactiva la edición de archivos desde el panel.
- Aísla el sitio de otros sitios infectados de la misma cuenta.
- Activa doble factor y un WAF: doble factor y WAF.
La guía de endurecimiento detalla estas medidas.
Monitoreo
Detectarlo a tiempo
Activa alertas de cambios de archivos, de inicios de sesión sospechosos y de caídas. Revisa Search Console por problemas de seguridad. Programa revisiones periódicas y mantén copias limpias fuera del servidor: cada cuánto hacer copias de seguridad.
Cuándo pedir ayuda
Señales de que hace falta un especialista
Si el malware vuelve más de una vez, si hay datos de clientes en riesgo o si no puedes identificar la causa, pide ayuda especializada. Mira limpiar o restaurar y qué es el blindaje de WordPress.
Impacto en el SEO
Qué vigilar
Un sitio reinfectado puede aparecer con páginas de spam o marcado como inseguro. Tras limpiar de verdad, solicita revisión en Search Console y sigue recuperar el SEO tras un hackeo.
Ejemplo
Un ejemplo práctico (ilustrativo)
Un sitio se reinfecta dos veces. Al investigar, encuentran un archivo oculto en uploads, un plugin desactualizado y credenciales antiguas. Eliminan los tres, cambian claves y aíslan el sitio de otro infectado en la misma cuenta. Es un escenario hipotético para ilustrar el método, no un caso real ni una promesa de resultados.
Checklist
Cerrar la entrada
- Buscar puertas traseras.
- Cambiar todas las credenciales.
- Actualizar y eliminar componentes.
- Corregir permisos.
- Aislar sitios en la misma cuenta.
- Activar doble factor y WAF.
- Monitoreo de cambios de archivos.
Preguntas frecuentes
Lo que suelen preguntar sobre reinfección de un WordPress
¿Cuánto tarda en reinfectarse?
Desde horas hasta semanas; depende del tipo de puerta trasera.
¿Basta con reinstalar WordPress?
No siempre; puede haber código en uploads, plugins o la base de datos.
¿Los plugins de seguridad detectan todo?
No; algunas puertas traseras escapan a los escáneres automáticos.
¿Puede pasar si uso un buen hosting?
Sí, aunque un hosting con aislamiento reduce el riesgo.