¿Web hackeada? Qué hacer en la primera hora

WindowsMacActualizado 2026-10-23

La guía de Google para recuperar una web hackeada empieza por tu empresa de alojamiento. Después toca desconectar la web si tú o tu hosting podéis, cambiar todas las contraseñas que dan acceso a ella, buscar cuentas de administrador que no creaste, actualizar el software y restaurar una copia de seguridad anterior al ataque. Los datos personales y la denuncia van al final.

Respuesta rápida

Contacta con tu hosting y pídele ayuda para desconectar la web. Cambia las contraseñas del alojamiento, del administrador, de la base de datos y del FTP. Borra los usuarios administradores que no reconozcas. Actualiza PHP y WordPress o tu gestor de contenidos, y restaura una copia limpia. Revisa el informe Problemas de seguridad de Google Search Console y, si puede haber datos personales de clientes, sigue las pautas de la AEPD sobre las 72 horas.

¿Qué hago primero si me han hackeado la web?

Contacta con tu empresa de alojamiento. La guía de recuperación de Google dice que tu proveedor puede comprobar que sus otros clientes no estén afectados, y quizá ayudarte. WordPress añade que, en un alojamiento compartido, el ataque puede haber alcanzado algo más que tu web.

Apunta lo que ves y cuándo lo detectaste. WordPress lo llama el primer paso práctico.
Avisa a tu hosting de que la web está comprometida y pregúntale qué copias de seguridad tiene.
Pídele que desconecte la web, o que te ayude a hacerlo. Google dice que así se evita que lleguen archivos dañinos a los visitantes, y que bloquearla con robots.txt no basta, porque eso solo frena a los buscadores.
Decide si puedes arreglarlo tú: Google dice que hace falta saber leer código y usar la línea de comandos del servidor. Si no, pide ayuda a tu hosting o a un profesional.

INCIBE resume la reacción ante un ciberataque en pasos parecidos: desconectar y aislar, evaluar el alcance, contener la amenaza, documentarlo todo y restaurar desde copias de seguridad. Si necesitas orientación, la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, es gratuita y confidencial, y atiende de 8:00 a 23:00 todos los días.

¿Qué contraseñas cambio, y qué hago con los usuarios administradores?

Todas las que dan acceso a la web. La guía de Google menciona los accesos de FTP, de la base de datos, de los administradores del sistema y del gestor de contenidos, y pide comprobar si el atacante creó alguna cuenta. WordPress añade cPanel o cualquier otro panel de alojamiento, y dice que vale para todos los usuarios con acceso.

Cambia las contraseñas de tu cuenta de hosting y del panel de control.
Cambia las contraseñas de FTP o SFTP.
Cambia la contraseña de la base de datos. WordPress recuerda que la nueva también tiene que ir en wp-config.php.
Abre la lista de usuarios de la web (en WordPress, Usuarios en el escritorio). Anota las cuentas que no reconozcas y bórralas.
Restablece las contraseñas de todas las cuentas de administrador que queden.
Vuelve a cambiarlas todas cuando la web esté limpia. WordPress dice que las contraseñas cambiadas al descubrir el ataque deben cambiarse otra vez después de la limpieza.

WordPress también sugiere analizar tu propio ordenador con un antivirus, porque algunos ataques empiezan robando al dueño los accesos de FTP o de administrador. INCIBE aconseja también cambiar las contraseñas desde un equipo no afectado.

¿Restauro una copia de seguridad?

Sí, si tienes una de antes del ataque. La ayuda de Google Search Console da la restauración de la última copia buena conocida como una forma de limpiar una web hackeada. WordPress sugiere hacer antes una copia más de la web infectada, como referencia por si algo sale mal.

Elige una copia de seguridad anterior a la fecha en que notaste el problema.
Restáurala, o pide a tu hosting que lo haga.
Actualízalo todo enseguida, antes de volver a publicar la web. Una copia restaurada sigue teniendo el software antiguo por el que pudo entrar el atacante.

¿Tengo que actualizar PHP y WordPress?

Sí. PHP anunció el 21 de octubre de 2026 dos fallos críticos, CVE-2026-109618 y CVE-2026-109619, que podrían permitir la ejecución remota de código sin iniciar sesión. El proyecto PHP dice que actualizar es la única opción segura; la lista de versiones corregidas está en cómo comprobar la versión de PHP de tu web. A 23 de octubre de 2026, el aviso de QNAP del 22 de octubre dice que se han comunicado públicamente intentos de explotación contra PHP.

Pregunta a tu hosting qué versión de PHP usa tu web y si ya está corregida.
Si estás en PHP 8.1 o anterior, PHP ya no publica actualizaciones oficiales para esa versión. Pregunta a tu hosting por el paso a una versión con soporte.
Actualiza WordPress a la última versión. WordPress dice que las versiones antiguas son más propensas a ataques que las nuevas.
Actualiza también temas y plugins. WordPress señala los archivos de temas y plugins como el lugar donde hay que tener más cuidado.

El consejo del NCSC, el centro de ciberseguridad del Reino Unido, para un sistema con PHP que no se pueda actualizar enseguida, es revisarlo en busca de señales de intrusión y puertas traseras antes de actualizar. Actualizar cierra el agujero, pero no elimina lo que el atacante ya haya dejado.

¿Cómo quito el aviso de web hackeada de Google?

El informe Problemas de seguridad de Search Console muestra si Google ha encontrado contenido hackeado, malware o phishing en tu web, con URLs de ejemplo. Las páginas afectadas pueden mostrar un aviso en los resultados de búsqueda o en el navegador.

Abre el informe Problemas de seguridad en Search Console.
Usa las URLs de ejemplo para encontrar las páginas afectadas y corrige el problema en toda la web. Google pide solucionarlo en todas las páginas, no solo en algunas.
Cuando la web esté limpia, el fallo corregido y la web otra vez en línea, haz clic en Solicitar revisión.
Explica qué encontraste y qué hiciste. Google dice que las revisiones pueden tardar de varios días a varias semanas, y que no envíes otra solicitud hasta conocer la decisión final.

¿Y si puede haber datos de clientes afectados?

Si la web guarda datos personales de clientes, como nombres, correos o pedidos, y alguien ha podido acceder a ellos, se trata de una brecha de datos personales. En España, la Agencia Española de Protección de Datos (AEPD) indica que el plazo para notificársela es de 72 horas desde que tienes constancia, cuando la brecha supone un riesgo para los derechos y libertades de las personas. Si el riesgo es alto, también hay que comunicarla a las personas afectadas sin dilación indebida.

Documenta lo ocurrido, a quién afecta y qué estás haciendo. La AEPD dice que el responsable tiene la obligación de documentar cualquier violación de la seguridad de los datos personales, aunque no la notifique.
Usa la herramienta Asesora Brecha de la AEPD para valorar si debes notificarla.
Si hay que notificarla, se hace con el formulario de la sede electrónica de la AEPD.

Si tu web está en otro país, la obligación y el plazo los marca la autoridad de protección de datos de ese país.

Más preguntas

¿Denuncio a la policía que me han hackeado la web?

En un caso real de una web modificada, la Línea de Ayuda de INCIBE aconsejó recopilar todas las evidencias, denunciar ante las Fuerzas y Cuerpos de Seguridad del Estado, restaurar una copia de seguridad y cambiar las contraseñas del gestor de contenidos. El 017 de INCIBE puede orientarte.

¿Cómo sé si mi web está hackeada?

WordPress enumera señales claras: Google o Bing marcan la web, tu hosting la ha desactivado, aparece marcada por malware, el antivirus de los visitantes avisa al entrar o hay cambios que nadie autorizó, como usuarios nuevos.

¿Dónde consigo ayuda gratis con un WordPress hackeado?

WordPress remite a sus foros de soporte, que tienen secciones sobre webs hackeadas y malware. La guía de Google menciona el foro de la comunidad de Google Search Central, con un apartado sobre malware y sitios hackeados. En España, también puedes llamar al 017 de INCIBE.