Señales de que tu WordPress ha sido hackeado y cómo revisar cada una

WindowsMacActualizado 2026-10-24

Las preguntas frecuentes de WordPress sobre webs hackeadas dan como señal clara de un ataque los usuarios nuevos que nadie autorizó, junto con que Google o Bing marquen la web, que tu hosting la desactive o que el antivirus de quien la visita avise. Google Search Console añade las redirecciones, el texto de spam y las páginas de spam que crean los atacantes. Casi todo se puede revisar desde tu escritorio y desde Search Console.

Respuesta rápida

Ve a Usuarios > Todos los usuarios y filtra por Administrador para buscar cuentas que no creaste. Abre el informe Problemas de seguridad de Google Search Console para ver contenido hackeado, spam o código malicioso. Revisa Páginas > Todas las páginas y Entradas > Todas las entradas por si hay contenido que no escribiste, y comprueba si han cambiado .htaccess, index.php, header.php o footer.php.

¿Qué considera WordPress una señal de ataque?

WordPress las llama indicadores de compromiso. Sus preguntas frecuentes, en inglés, dan estas como claras:

la web aparece en listas negras de Google, Bing o similares
tu hosting ha desactivado la web
la web ha sido marcada por distribuir malware
quienes la leen dicen que su antivirus avisa
alguien te dice que la web se está usando para atacar otras webs
hay cambios que no autorizaste, como usuarios nuevos
ves el ataque al abrir la web en un navegador

Las mismas preguntas frecuentes avisan de que no todos los ataques son iguales. La ayuda de Google añade que los atacantes pueden ocultar el spam con técnicas de encubrimiento, así que una web que a ti te parece normal no es una prueba por sí sola.

¿Cómo busco administradores que no añadí yo?

La pantalla Usuarios muestra todas las cuentas, y los enlaces de encima de la tabla la filtran por perfil. Empieza por los administradores: la guía de seguridad de WordPress dice que un atacante con acceso a una cuenta de administrador puede instalar scripts maliciosos.

En tu escritorio, ve a Usuarios > Todos los usuarios.
Haz clic en el enlace Administrador, encima de la tabla.
Lee el Nombre de usuario, el Nombre y el Correo electrónico de cada cuenta. Apunta las que no reconozcas y la fecha en que las viste.
Haz clic en Todos y revisa también los demás perfiles.
Ve a Ajustes > Generales y mira Miembros y Perfil por defecto para los nuevos usuarios. WordPress incluye Administrador entre las opciones de perfil por defecto para usuarios nuevos.

Apúntalo antes de borrar nada. Las preguntas frecuentes de WordPress dicen que documentar lo que ves es el primer paso práctico tras un ataque.

¿Cómo detecto una redirección maliciosa?

El informe Problemas de seguridad de Google incluye la inyección de código: "Un hacker ha vulnerado tu sitio y está inyectando código malicioso en tus páginas", con las redirecciones maliciosas como ejemplo. En WordPress, las preguntas frecuentes señalan el archivo .htaccess como el que sin duda conviene mirar, porque es el que más se modifica con malas intenciones.

Abre el informe Problemas de seguridad en Search Console. Despliega cada problema para ver URLs de ejemplo y la fecha en que se detectó por primera vez.
Conéctate a tu web por FTP o SFTP y abre el archivo .htaccess de la carpeta de WordPress. Busca líneas que no añadiste tú.
Revisa también otras carpetas. WordPress dice que .htaccess suele estar en la raíz de la instalación, pero que también puede aparecer dentro de otros directorios.

¿Cómo encuentro páginas de spam en mi web?

Google describe dos tipos. Inyección de contenido: "Un hacker ha añadido texto o enlaces con contenido fraudulento a las páginas de tu sitio". Inyección de URL: "Un hacker ha creado páginas en tu sitio, probablemente con palabras o enlaces de contenido fraudulento".

Ve a Páginas > Todas las páginas. WordPress muestra primero las más recientes, con las columnas Autor y Fecha, así que mira arriba de la lista por si hay títulos que no reconoces.
Usa los enlaces de estado de encima de la tabla, como Borrador y Privada, para ver páginas que no son públicas.
Escribe una palabra del spam en el buscador y haz clic en Buscar páginas.
Repite en Entradas > Todas las entradas.
Compara lo que encuentres con las URLs de ejemplo del informe Problemas de seguridad.

¿Qué significan los avisos de Google?

Que Google ha encontrado un problema que considera que puede perjudicar a quien visita la web. Google dice que las páginas afectadas pueden aparecer con etiquetas de advertencia en los resultados de búsqueda, o que el navegador puede mostrar una página de advertencia intermedia. Las preguntas frecuentes de WordPress añaden que los avisos van desde grandes páginas de bloqueo hasta notas discretas en los resultados, y que Bing, Yahoo y los antivirus de escritorio tienen sus propias listas negras.

Abre el informe Problemas de seguridad en Search Console. Si tu web no tiene problemas, Google muestra una marca de verificación verde.
Despliega cada problema para ver URLs de ejemplo, la fecha de la primera detección y un enlace para obtener más información.
Registra también la web en Bing Webmaster Tools. Las preguntas frecuentes de WordPress recomiendan darse de alta en las consolas para webmasters, entre ellas la de Bing.

Google pide corregir todos los problemas en todas las páginas antes de hacer clic en Solicitar revisión, y no volver a enviar la solicitud hasta conocer la decisión final.

¿Cómo compruebo si han cambiado archivos?

El escritorio no muestra los cambios de archivos. La guía de seguridad de WordPress dice que un ataque siempre deja rastro, en los registros o en el sistema de archivos, en forma de archivos nuevos o modificados. Las preguntas frecuentes nombran archivos que conviene vigilar porque un cambio en ellos puede afectar a todas las páginas: index.php, header.php, footer.php y el archivo de funciones del tema.

Pasa un análisis. Las preguntas frecuentes de WordPress mencionan plugins de análisis del directorio de WordPress.org y escáneres remotos, y dicen que, aunque ninguna herramienta es la mejor por sí sola, usarlas juntas mejora mucho las probabilidades.
Por FTP o SFTP, compara esos archivos y .htaccess con una copia de seguridad anterior al problema.
Si tu hosting te da acceso a los registros, la guía de seguridad dice que pueden mostrar intentos de fuerza bruta y cuándo se usaron los editores de temas y plugins.
Analiza también tu propio ordenador. WordPress dice que algunos ataques empiezan en el equipo del dueño, con troyanos que capturan los accesos de FTP y de administrador.

Si alguna de estas comprobaciones encuentra algo, apunta qué viste y cuándo, y sigue qué hacer si te han hackeado la web. Cubre en orden el hosting, las contraseñas, los usuarios desconocidos, la copia limpia y la revisión de Google.

Más preguntas

¿Borro enseguida los administradores desconocidos?

Apúntalos primero. Las preguntas frecuentes de WordPress dicen que la documentación va primero, y que conviene hacer una copia más de la web antes de limpiarla, aunque esté infectada. La guía de recuperación explica cuándo borrarlos y restablecer las contraseñas de todos.

¿Y si ya no puedo entrar en WordPress?

Las preguntas frecuentes de WordPress dicen que a veces el atacante se queda con las cuentas de administrador. Puedes restablecer tu contraseña, o usar phpMyAdmin desde tu hosting para llegar directamente a la tabla de usuarios. Una vía más sencilla que dan es cambiar ahí tu correo y usar después "¿Has olvidado tu contraseña?" en la pantalla de acceso.

¿Mi WordPress está hackeado por PHP2Shell?

No necesariamente. PHP2Shell son dos fallos de PHP que el proyecto PHP corrigió el 21 de octubre de 2026. A 23 de octubre de 2026, la agencia estadounidense CISA dice en su alerta del 21 de octubre, revisada el 23 de octubre, que no ha observado una explotación con éxito de estas vulnerabilidades en entornos reales en el momento de la publicación. Comprueba tu versión de PHP y lee nuestra explicación de la vulnerabilidad de PHP.

¿Actualizar WordPress elimina el ataque?

No por sí solo. Las preguntas frecuentes de WordPress ponen la actualización después de la limpieza: actualizar cuando la web esté limpia, porque las versiones antiguas son más propensas a ataques, y volver a cambiar las contraseñas al terminar.