Recuperación de sitios WordPress hackeados y refuerzo de seguridad

Un sitio hackeado no siempre se ve roto. A veces el ataque está diseñado para pasar desapercibido para el dueño y mostrarse solo a las visitas o a Google. Estas son las señales más comunes:

• Las visitas que llegan desde Google o desde el celular son redirigidas a sitios de apuestas, farmacias o estafas.
• Google muestra una advertencia de sitio hackeado en los resultados, o Chrome alerta que el sitio es peligroso.
• Al buscar tu dominio aparecen páginas que no creaste, muchas veces en otro idioma.
• Hay usuarios administradores que nadie de tu equipo reconoce.
• El hosting suspendió la cuenta por malware o por envío masivo de correos.
• Los emails de tu dominio empezaron a rebotar o a caer en spam.

Trabajamos con un orden preciso, porque limpiar sin entender cómo entraron es la forma más segura de volver a ser atacado. Es un servicio de emergencia dentro de nuestro trabajo de desarrollo en WordPress:

1. Contención. Guardamos una copia del estado actual para analizarla, ponemos el sitio en mantenimiento si hace falta y cambiamos los accesos al hosting y a la base de datos.
2. Análisis. Comparamos los archivos del núcleo con las versiones oficiales, buscamos código malicioso y puertas traseras, que son fragmentos ocultos que le permiten al atacante volver a entrar, y revisamos la base de datos, los usuarios y las tareas programadas.
3. Vía de entrada. Identificamos cómo entraron: un plugin vulnerable, una plantilla pirateada, una contraseña filtrada u otro sitio infectado en el mismo hosting.
4. Limpieza. Reinstalamos el núcleo, los temas y los plugins desde sus fuentes oficiales, eliminamos el código inyectado y depuramos la base de datos.
5. Cierre. Actualizamos todo, quitamos lo vulnerable, cambiamos contraseñas y renovamos las claves de seguridad para invalidar cualquier sesión abierta.
6. Rehabilitación. Solicitamos la revisión en Google Search Console y en las listas negras donde el sitio haya quedado registrado.

• Doble factor de autenticación para las cuentas con permisos de administración.
• Límite de intentos de ingreso y protección del formulario de acceso contra bots.
• Firewall de aplicación que filtra el tráfico malicioso antes de que llegue a WordPress, por ejemplo con el firewall de Cloudflare.
• Editor de archivos del panel desactivado, para que una cuenta comprometida no pueda modificar código.
• Permisos de archivos correctos en el servidor.
• Monitoreo de integridad, que avisa si algún archivo cambia sin una actualización de por medio.
• Copias de seguridad fuera del servidor, verificadas.

• El sitio limpio, actualizado y funcionando.
• Un informe del incidente: cómo entraron, qué se vio afectado y qué hicimos en cada paso.
• Las solicitudes de revisión presentadas ante Google y las listas negras correspondientes.
• Un listado de medidas para mantener el sitio protegido.

La mejor manera de no pasar por esto de nuevo es mantener el sitio al día. Nuestro plan de mantenimiento mensual incluye actualizaciones, monitoreo de seguridad y copias de seguridad externas.