Señales de que su sitio web ha sido hackeado y qué hacer en la primera hora

Un sitio web hackeado rara vez lo parece. No hay una calavera en la página de inicio ni un mensaje del atacante. El sitio funciona, el formulario de contacto envía correos y, cuando usted lo mira de vez en cuando, no nota nada raro.

Es intencionado. Quien ha tomado el control del sitio quiere usarlo el mayor tiempo posible: para enviar spam, para posicionar otros sitios en Google o para mandar a sus clientes a estafas. Cuanto más tarde lo note usted, mejor para ellos.

A continuación están las señales que puede detectar usted mismo y un plan para la primera hora después de que algo le preocupe.

Redirecciones que solo ven los demás

Un cliente le cuenta que, al abrir su sitio, acabó en un sorteo de premios, en una tienda falsa o en una página que decía que su teléfono tenía un virus. Usted lo comprueba en su ordenador y todo parece normal.

Es un patrón muy típico. El código malicioso suele redirigir solo a una parte de los visitantes: solo en teléfonos, solo a quien llega desde los resultados de búsqueda de Google y solo de vez en cuando, para que cueste más reproducirlo. Un administrador con la sesión iniciada normalmente no ve nada.

Cómo comprobarlo: coja el teléfono, desactive el wifi para usar los datos móviles, abra una pestaña privada, busque su empresa en Google y pulse el resultado. No escriba la dirección usted mismo. Y si un cliente le avisa de una redirección, tómeselo en serio aunque usted no consiga reproducirla.

Páginas extrañas en Google

Busque en Google site:sudominio.com y recorra los resultados. Busca páginas que nadie de su empresa ha creado: texto en japonés, anuncios de pastillas, casinos, zapatillas de marca falsas. A veces cambian el título o la descripción de su página de inicio en los resultados de búsqueda, mientras la página en sí se ve como siempre.

Google también puede añadir a su resultado una nota que dice que el sitio puede estar hackeado, y Chrome puede mostrar a los visitantes una pantalla roja de advertencia antes de entrar. Si tiene Google Search Console, abra el informe Problemas de seguridad. Ahí Google describe lo que ha encontrado y a menudo da direcciones de ejemplo. Search Console también avisa por correo a los propietarios del sitio cuando esto ocurre, así que compruebe que nada ha ido a parar a su carpeta de spam.

Señales en el panel, en el alojamiento y en el correo

En el panel de WordPress, abra Usuarios y filtre la lista por el perfil Administrador. Una cuenta nueva con un nombre que no reconoce es una señal seria. A veces el código malicioso también oculta esa cuenta de la lista. Cuando lo hace, el número junto a «Administrador» encima de la tabla no coincide con el número de personas que ve debajo.

Otras señales que conviene atender:

• un correo de su empresa de alojamiento sobre una cuenta suspendida, archivos maliciosos encontrados o una carga inusualmente alta en el servidor,
• sus correos rebotan con una mención a una lista negra, o los clientes le dicen que encuentran sus mensajes en spam, porque alguien envía spam desde su servidor,
• un plugin en el panel que nadie ha instalado,
• Google Ads rechaza sus anuncios por malware o por una página de destino comprometida,
• el sitio se vuelve lento de repente aunque nadie ha cambiado nada.

Una señal sola no lo confirma. Dos a la vez son motivo para ocuparse hoy.

La primera hora: paso a paso, sin pánico

Cuando sabe, o sospecha seriamente, que ha habido una intrusión, lo más importante es no precipitarse. Casi todo el daño en esta fase viene de las buenas intenciones: borrar la mitad de los archivos, reinstalarlo todo y dar el asunto por cerrado. Una semana después el atacante vuelve por el mismo camino, porque nadie averiguó cómo entró.

1. Anote lo que ve. Haga capturas de pantalla, apunte la dirección a la que redirige el sitio, la hora y quién avisó de qué. Guarde los correos de su empresa de alojamiento y de Search Console.
2. No borre nada. Deje los archivos y las cuentas sospechosos donde están hasta que alguien los haya revisado. Son la prueba de cómo se produjo la intrusión.
3. Cambie las contraseñas. Del panel de control del alojamiento, de las cuentas de administrador de WordPress, del FTP y de las cuentas de correo de su dominio. Hágalo desde un ordenador de confianza y active el inicio de sesión en dos pasos siempre que pueda. Deje la contraseña de la base de datos a su desarrollador, porque también hay que cambiarla en la configuración del sitio.
4. Contacte con su desarrollador y con su empresa de alojamiento. Pida al proveedor que conserve los registros del servidor y que haga una copia del sitio tal como está ahora, antes de empezar cualquier limpieza. Los registros a menudo se guardan poco tiempo y, sin ellos, cuesta saber qué pasó.
5. Piense en sus visitantes. Si el sitio está mandando a la gente a estafas, pida que lo desconecten de momento o que lo sustituyan por una página de mantenimiento. Estar un día sin conexión es mejor que enviar clientes a estafadores.

Restaurar desde una copia de seguridad limpia

La vía más rápida hacia un sitio limpio suele ser una copia de seguridad anterior a la intrusión. El problema está en la palabra «anterior». Una infección a menudo lleva semanas en un sitio antes de que nadie la note, así que la copia de ayer puede estar ya infectada. Su desarrollador tiene que averiguar cuándo aparecieron los primeros archivos ajenos y volver a una copia más antigua. Es justo aquí cuando demuestran su valor las copias guardadas en varias versiones antiguas y fuera del servidor.

Justo después de restaurar:

• actualice WordPress, el tema y todos los plugins, porque el sitio restaurado tiene el mismo agujero que tenía antes de la intrusión (más sobre esto en el artículo sobre plugins desactualizados),
• elimine las cuentas de administrador que no reconozca y cambie las contraseñas una vez más,
• en Search Console, solicite una revisión para que Google retire la advertencia.

Si no hay copia de seguridad, o todas las copias están infectadas, queda limpiar el sitio a mano. Es un trabajo para alguien que lo hace con regularidad, y suele llevar más tiempo.

El RGPD y las 72 horas

Si el sitio contenía datos personales, como pedidos, cuentas de clientes o mensajes de un formulario de contacto, la intrusión puede considerarse una violación de la seguridad de los datos personales. Según el artículo 33 del RGPD, se notifica a la autoridad de protección de datos en un plazo de 72 horas desde que se tiene conocimiento de ella, salvo que sea improbable que suponga un riesgo para las personas afectadas. En el Reino Unido esa autoridad es la ICO y en Polonia, la UODO. Tanto si la notifica como si no, se espera que documente lo ocurrido y lo que hizo al respecto.

Aquí es donde sus notas de la primera hora resultan útiles. La hora, las capturas y la lista de pasos son justo lo que le pedirá quien le ayude a preparar la notificación.