Cómo se detecta
Rara vez el aviso llega del cliente. Las señales habituales son un pico repentino de consumo de recursos, una alerta de envío masivo de correo desde una cuenta, el navegador marcando el sitio como peligroso, la aparición de archivos que nadie subió, o redirecciones a páginas ajenas que solo se ven desde el móvil o desde buscadores.
Los primeros pasos, en orden
- Suspende la suscripción. Detiene el envío de spam y frena el daño mientras investigas. Es incómodo para el cliente, pero deja de serlo cuando le explicas la alternativa.
- Avisa al cliente de inmediato. Con qué detectaste, qué hiciste y qué sigue. Una llamada vale más que tres correos.
- Crea un respaldo del estado actual. Aunque esté infectado. Lo necesitarás para saber qué pasó y para recuperar contenido reciente.
- Identifica cuándo empezó. Los registros de acceso y las fechas de modificación de archivos te dan la ventana temporal.
Las dos vías de recuperación
| Vía | Cuándo elegirla | Riesgo |
|---|---|---|
| Restaurar un respaldo anterior a la infección | Si sabes la fecha y tienes copia de antes. | Se pierde el contenido posterior a esa fecha. |
| Limpiar la instalación | Si no hay copia limpia disponible. | Es fácil dejar una puerta trasera sin detectar. |
Cuando existe copia limpia, restaurar es casi siempre la opción correcta. Limpiar a mano un WordPress infectado exige revisar núcleo, temas, plugins, base de datos y archivos ocultos, y basta con pasar por alto un archivo para que todo vuelva en una semana.
El paso que nunca debe faltar
Restaurar sin cerrar la vía de entrada solo aplaza el problema. Antes de reactivar:
- Actualiza el núcleo, los temas y todos los plugins.
- Elimina los plugins y temas que no se usan, aunque estén desactivados.
- Cambia todas las contraseñas: panel, FTP, base de datos, usuarios administradores del CMS y cuentas de correo.
- Revisa la lista de usuarios administradores y borra los que no reconozcas.
- Comprueba las tareas programadas: es un escondite habitual para reinfectar.
- Revisa el archivo de configuración del servidor web por si contiene redirecciones inyectadas.
El origen más frecuente
En la gran mayoría de casos que verás, la entrada fue un plugin o un tema desactualizado, seguido de contraseñas débiles y de equipos locales infectados que filtraron credenciales FTP. Rara vez es un fallo del servidor. Explicarlo con claridad al cliente evita una conversación incómoda sobre responsabilidades.
Después de reactivar
Vigila el consumo y los registros durante las siguientes dos semanas. Si el sitio quedó marcado por Google, el cliente deberá solicitar una revisión desde su herramienta para webmasters una vez limpio.
Define de antemano qué cobras
La limpieza de un sitio comprometido es trabajo real y a veces largo. Ten decidido si está incluida en tu servicio, si tiene coste y cuál es. Improvisar la respuesta mientras el cliente espera solo genera fricción.
