El malware moderno en WordPress está diseñado para pasar desapercibido. Los atacantes no quieren que sepas que están ahí: quieren usar tu servidor, tu dominio y tu reputación durante el mayor tiempo posible. Por eso, cuando la infección es evidente, normalmente llevan semanas o meses dentro.
Señal 1 — Google te avisa en Search Console
Google Search Console envía alertas cuando detecta contenido malicioso en tu sitio. Si recibes un mensaje en «Problemas de seguridad», actúa de inmediato. Desde nuestra página de corrección de errores en Search Console puedes ver cómo configurarla correctamente.
Señal 2 — Resultados extraños en Google
Busca site:tudominio.com. Si ves títulos en inglés, páginas de casino o contenido en ruso o japonés, tu web está infectada con pharma hack u otro tipo de spam SEO.
Señal 3 — Tu web aparece marcada como «peligrosa»
Si al buscar tu web en Google aparece el aviso «Este sitio puede dañar tu ordenador», Google ya ha detectado malware. Puedes verificarlo también en Google Transparency Report.
Señal 4 — Redirecciones inesperadas
Prueba a acceder a tu web desde móvil o en modo incógnito. Si eres redirigido a webs de apuestas, farmacia o contenido adulto, hay malware activo. Los atacantes configuran estas redirecciones para que no se activen cuando accede el administrador desde su IP habitual.
Señal 5 — Aparecen administradores que no creaste
Ve a WordPress → Usuarios. Si hay cuentas con rol de administrador que no reconoces, es una señal crítica. Los atacantes crean usuarios administradores falsos para mantener el acceso aunque cambies tu contraseña.
Señal 6 — Tu web va extremadamente lenta de repente
Un WordPress infectado a veces usa los recursos del servidor para enviar spam o minar criptomonedas. Una caída brusca de rendimiento sin causa aparente merece investigación.
Señal 7 — Tu hosting te ha suspendido la cuenta
Los proveedores de hosting monitorean el tráfico saliente. Una suspensión por «actividad sospechosa» o «abuso de recursos» es casi siempre señal de infección.
Señal 8 — Archivos PHP en wp-content/uploads
Ese directorio solo debe contener imágenes y documentos. Archivos PHP ahí son backdoors instalados por los atacantes. Consulta nuestra guía de seguridad WordPress profesional para saber cómo prevenirlo.
¿Qué hacer si detectas alguna de estas señales?
- No entres en pánico, pero actúa rápido
- Documenta lo que ves: capturas, URLs afectadas, mensajes de GSC
- No elimines archivos aleatoriamente: puedes romper la web sin limpiar la infección
- Contacta con un especialista en limpieza de malware WordPress
Según datos de Sucuri, WordPress es el CMS más hackeado del mundo precisamente por su popularidad, no porque sea inseguro. Un plan de mantenimiento adecuado previene el 95% de los incidentes.
¿Crees que tu WordPress ha sido hackeado?
Actuamos en menos de 24 horas. Desinfección completa, hardening y garantía de 30 días incluida.
Actualidad — más artículos del blog
Más guías de seguridad en nuestro blog de WordPress.
Otros usuarios leyeron este artículo buscando:
- cómo saber si mi WordPress está hackeado
- síntomas de WordPress infectado
- WordPress redirige a otra web
- páginas spam en mi WordPress
- usuario administrador desconocido WordPress
- hosting suspendido por malware WordPress
- cómo limpiar WordPress hackeado