El secuestro de datos —ransomware— no es solo una pantalla que bloquea un ordenador. En una web puede significar la base de datos cifrada, las copias inutilizadas, los accesos vendidos o una extorsión con doble amenaza: pagar por recuperar y pagar por no publicar lo que se llevaron.

En WordPress casi nunca entra por un fallo desconocido del core. Entra por una puerta que ya estaba abierta: un plugin sin actualizar, una contraseña reutilizada, un FTP viejo, un usuario que nadie revisó o una copia accesible desde fuera.

Esta guía explica qué es, por dónde entra, qué hacer en las primeras horas y qué no se puede prometer. No es un manual forense ni una negociación: es el orden correcto para no empeorar la situación.

01Resumen rápido

  • Qué esCifrado de datos y extorsión. Puede incluir robo de información y amenaza de publicación: la doble extorsión.
  • Por dónde entraPlugins y temas sin actualizar, credenciales débiles o reutilizadas, FTP/hosting antiguo, usuarios olvidados y cadena de suministro.
  • Primeras horasContener, copiar el estado, no borrar, rotar accesos y restaurar desde una copia limpia y verificada.
  • PrevenciónActualizar, mínimo privilegio, doble factor, backups fuera del servidor y pruebas de restauración.
  • LímitesPagar no garantiza recuperar. El peritaje forense y la denuncia son trabajos aparte.
  • PrioridadPrimero se contiene y se conserva la evidencia; después se limpia y se restaura. Nunca al revés.

02Qué es el ransomware hoy

El ransomware cifra archivos y pide un pago para devolver el acceso. En una web, el objetivo puede ser la base de datos, los archivos de uploads, los backups o todo el entorno del hosting.

La versión actual añade una segunda capa: antes de cifrar, se llevan datos. Si no pagas, amenazan con publicarlos o venderlos. Por eso «tengo copia» no siempre cierra el incidente: hay que saber qué información salió y qué obligaciones existen.

El ataque tampoco es un virus que se quita con un plugin. Es un incidente con accesos, datos y decisiones legales. La recuperación se planifica antes de que ocurra; durante el incidente se ejecuta.

El rescate no es una estrategia de recuperación

Pagar no garantiza que descifren, que no vuelvan a entrar ni que no publiquen. La recuperación real empieza por una copia limpia, accesos cerrados y una causa raíz identificada.

03Por dónde entra en WordPress

La superficie es conocida. Ninguna de estas puertas es exótica; precisamente por eso se revisan:

  • Plugins y temas desactualizados. Una vulnerabilidad pública se convierte en escaneo automático el mismo día. Dos versiones por detrás ya es exposición.
  • Contraseñas débiles o reutilizadas. El relleno de credenciales prueba combinaciones filtradas en otros servicios. Si usabas la misma clave, ya está en una lista.
  • Usuarios olvidados y permisos de más. El extrabajador con administrador, la cuenta de pruebas que nadie borró, un rol con capacidades que no le tocan.
  • FTP, SSH o panel del hosting. Credenciales viejas reutilizadas entre sitios, accesos compartidos y servidores sin aislamiento.
  • XML-RPC y login expuestos. Fuerza bruta amplificada y pingbacks usados para spam. Se pueden restringir si el sitio no depende de ellos.
  • Cadena de suministro. Temas premium de fuentes no verificadas, plugins «nulled» y extensiones que cambian de manos sin revisión.
  • Phishing y correo. Una credencial entregada en un correo falso abre la puerta sin explotar nada.
  • Copias accesibles. Un backup en el mismo servidor, con URL adivinable o sin protección, es parte del botín.

La mayoría de incidentes no necesitan un ataque sofisticado. Necesitan una puerta que llevaba meses abierta.

04Señales y qué hacer

Las señales pueden ser evidentes o silenciosas. La tabla orienta la primera mirada; no sustituye un diagnóstico.

Señales y primera comprobación
Señal Qué puede indicar Primera comprobación
Archivos con extensiones raras o ilegibles Cifrado de uploads, temas o backups No borrar; copiar el estado y revisar la fecha de modificación
Nota de rescate o mensaje en portada Extorsión activa Preservar el mensaje y los logs; no negociar desde el pánico
La web cae o redirige Código que secuestra el flujo o satura el servidor Revisar cambios recientes, .htaccess y plugins
Backups borrados o alterados El atacante llegó antes a las copias Verificar copias externas y su fecha real
Usuarios o correos nuevos Acceso persistente o suplantación Rotar credenciales y revisar roles uno a uno
Facturación o tráfico extraño Uso del servidor para minar, enviar spam o montar proxies Revisar procesos, logs y consumos del hosting

Los cinco pasos, en orden

  1. 01

    Contener

    Cambiar contraseñas, empezando por hosting y administración. Revocar sesiones, desactivar usuarios sospechosos sin borrarlos y, si el riesgo es activo, sacar la web de línea.

  2. 02

    Copiar y conservar

    Guardar el estado tal y como está antes de tocar nada. Esa copia es evidencia y punto de recuperación. Borrar primero destruye el diagnóstico.

  3. 03

    Restaurar limpio

    Volver a una copia anterior verificada, actualizar, limpiar y rotar todas las credenciales. Restaurar sin cerrar la puerta es volver a empezar.

  4. 04

    Diagnosticar

    Averiguar cómo entraron y qué se llevaron. Sin causa raíz, la siguiente intrusión solo espera su turno.

  5. 05

    Notificar y decidir

    Si hay datos personales, valorar obligaciones legales y denuncia con asesoría. El peritaje forense, si se necesita, es un trabajo aparte con cadena de custodia.

El servicio de seguridad WordPress ante incidentes cubre contención, limpieza, blindaje e informe. No incluye peritaje forense ni asesoría legal.

05Prevención y límites

  • Actualizar con criterio. Core, tema y plugins al día, con copia y prueba. No actualizar también es una decisión con coste.
  • Mínimo privilegio. Cada persona con el rol que necesita; cuentas huérfanas fuera; administradores revisados.
  • Doble factor y contraseñas únicas. En administración, hosting y correo. La reutilización convierte una filtración ajena en tu incidente.
  • Backups fuera del servidor. Copias inmutables o al menos aisladas, con restauración probada. Una copia que no se prueba no es una copia.
  • Superficie mínima. Plugins que se usan, temas que se mantienen, XML-RPC restringido si no hace falta, login protegido.
  • Monitorización. Alertas de cambios, accesos y errores. Detectar en horas no es lo mismo que descubrirlo por un cliente.

La prevención reduce el riesgo; no garantiza inmunidad. Ninguna web conectada es invulnerable, y quien promete «cero incidentes para siempre» vende una frase.

El límite honesto: si los datos ya están cifrados y no hay copia, la recuperación no está garantizada. Se puede intentar, documentar y contener, pero no prometer un resultado que depende de terceros y del estado del cifrado.

06Preguntas frecuentes

Si pago, ¿recupero los datos?

No está garantizado. Pagar no asegura que descifren, que no vuelvan a entrar ni que no publiquen lo robado. La recuperación se apoya en copias limpias y accesos cerrados, no en el rescate.

¿Un plugin de seguridad lo evita?

Es una capa, no una garantía. Filtra, bloquea y avisa, pero no compensa plugins sin actualizar, contraseñas reutilizadas o backups accesibles.

¿Puedo recuperar sin copia de seguridad?

A veces se puede trabajar con herramientas de recuperación, pero no se promete. Depende del cifrado, del tiempo y del estado de los archivos. Si hay acciones legales, el peritaje forense es otro trabajo.

¿Qué hago primero?

Contener, copiar el estado y no borrar. Después, rotar accesos y restaurar desde una copia limpia. La limpieza sin diagnóstico solo retrasa la siguiente entrada.

¿Es delito? ¿Debo denunciar?

Es una actividad criminal. La denuncia y las obligaciones de notificación dependen del país y de los datos afectados; se valoran con asesoría legal. Este servicio no sustituye esa asesoría.

¿Cuánto tarda la recuperación?

No se promete un plazo antes de ver el alcance, las copias y los accesos. Primero se contiene y se diagnostica; después se estima la recuperación.