Cuando alguien entra en tu web, casi nunca lo hace por tu web. Lo hace por lo que tu web le da: información, accesos, tráfico, recursos del servidor o un punto desde el que atacar lo que hay detrás.

En WordPress, la mayoría de incidentes no llegan por ataques imposibles de prever. Llegan por actualizaciones aplazadas, usuarios olvidados, contraseñas reutilizadas y permisos mal medidos. Es una buena noticia: casi todo tiene arreglo y casi todo puede comprobarse.

Esta guía explica qué busca un atacante, por dónde entra, qué señales mirar primero y qué hacer —y qué no— cuando sospechas que te han entrado.

01Resumen rápido

  • DatosClientes, pedidos, formularios de contacto, documentación interna. La información se vende, se filtra o se usa como presión en un secuestro.
  • AccesosTu WordPress es un puente: hacia el hosting, hacia el correo, hacia otros sitios del mismo servidor. Quien controla una entrada, apunta a todo lo que hay detrás.
  • TráficoSpam SEO, enlaces inyectados, redirecciones ocultas. Prestan la autoridad de tu dominio a negocios ajenos.
  • CómputoMinado de criptomonedas, proxies, botnets. Usan los recursos de tu servidor: el gasto no es suyo, es tuyo.
  • ReputaciónListas negras, avisos del navegador, clientes que dejan de confiar. Suele ser el coste más difícil de recuperar.
  • Superficie comúnPlugins, temas, usuarios, contraseñas, permisos, hosting. Ahí ocurren los incidentes reales, no en la película de Hollywood.

02Qué busca un atacante

Antes de preguntar cómo protegerse, conviene preguntar qué se lleva. Un atacante rara vez entra por deporte: busca algo con lo que pueda ganar dinero o presión.

Datos

Es lo más valioso. Un formulario de contacto guarda correos; una base de datos guarda años de clientes. Datos personales, presupuestos, tickets, pedidos: todo eso puede venderse, filtrarse o usarse para exigir un rescate.

Accesos y puntos de apoyo

Una web rara vez es el destino final; es el trampolín. Desde tu WordPress se llega al hosting, al FTP y, si reutilizas credenciales, a más sitios. Desde tu correo se puede suplantar tu identidad ante tus propios clientes. Muchos ataques «directos» a empresas empiezan por su web.

Tráfico ajeno

Si tu dominio tiene autoridad ganada en años, alguien puede alquilarla sin pedirte permiso: enlaces de spam, páginas ocultas para buscadores, redirecciones a tiendas ajenas. Tus visitantes casi no lo notan; tu posicionamiento, sí.

Recursos del servidor

Cómputo gratis. Scripts que minan, relayan spam o montan proxies usando la máquina que pagas tú. El coste se nota en lentitud, caídas y, a veces, suspensión del hosting.

Reputación y presión

No todo es beneficio directo. A veces la señal visible —un mensaje colgado en portada, un aviso del navegador— busca humillar, extorsionar o subir la temperatura de una negociación. La confianza perdida no se restaura borrando archivos.

El patrón común

La mayoría de incidentes no empiezan con un exploit sofisticado. Empiezan con algo que ya estaba ahí: un plugin sin actualizar, una contraseña repetida, un usuario de administración que nadie recuerda haber creado.

03Por dónde entra

Esta es la superficie habitual en WordPress. Ninguna de estas puertas es exótica; precisamente por eso ninguna puede ignorarse.

Plugins y temas desactualizados

La puerta más frecuente. Cuando una vulnerabilidad se hace pública, se publica con prueba de concepto, y los escáneres automáticos la prueban en miles de sitios el mismo día. Basta con tener una extensión dos versiones por detrás para estar en esa lista.

Contraseñas débiles o reutilizadas

El ataque de diccionario funciona porque existen contraseñas fáciles. El relleno de credenciales funciona porque muchas personas repiten correo y clave en varios servicios. Si una plataforma filtró tus datos hace años, esa combinación ya se está probando en tu web.

Usuarios olvidados y permisos de más

El extrabajador que conserva acceso de administrador, el usuario de pruebas que nadie borró, el «admin» como nombre de usuario, un rol con capacidades que no le corresponden. El problema no es WordPress: es la lista de cuentas que nadie ha revisado.

XML-RPC y login expuestos

XML-RPC permite amplificar ataques de fuerza bruta en una sola petición y habilita pingbacks que se usan para spam. La página de acceso recibe bombardeo continuo. Se pueden restringir sin romper nada importante, salvo que el sitio dependa realmente de esos métodos.

Archivos y permisos

Ficheros editables dentro de wp-content, listados de directorios activados, copias de seguridad accesibles por URL, archivos de configuración legibles desde fuera. Son detalles pequeños que convierten una entrada sencilla en control total.

Hosting y entorno

Un servidor compartido sin aislamiento, credenciales FTP viejas reutilizadas entre sitios, firewall ausente, backups que viven en el mismo servidor que el problema. Si el sitio vecino cae, tu servidor no es un espectador neutral.

Cadena de suministro

Temas premium instalados desde fuentes no verificadas, plugins «nulled» con código que no debería estar ahí, extensiones que cambian de manos tras su compra. Tu web no se compromete solo por tus decisiones: también por todo lo que instalaste sin revisar.

04Señales y qué mirar primero

Muchas intrusiones no se anuncian. La tabla no sustituye una revisión profesional, pero te dice dónde mirar antes.

Señales frecuentes y primera comprobación
Señal Qué puede indicar Primera comprobación
Archivos nuevos o modificados que no reconoces Código insertado, plugin malicioso, puerta trasera Comparar con la última copia limpia y revisar fechas en uploads, wp-content y raíz
Usuarios que nadie recuerda o roles cambiados Acceso creado o elevado por alguien más Revisar la lista de cuentas una a una, empezando por las huérfanas
Picos de tráfico hacia páginas inexistentes Spam SEO con páginas generadas Comprobar qué indexa el buscador y qué sitemaps han aparecido
El navegador avisa de que la web es insegura Lista negra o malware servido desde el sitio Confirmar el aviso antes de esperar a que lo detecte un cliente
La web se cae o redirige a destinos raros Código que secuestra el flujo o saturación del servidor Revisar cambios recientes, .htaccess y plugins que se actualizaron solos
Formularios que no llegan o datos usados en otro lado Intercepción en el código o en el correo Enviar una prueba a una dirección propia y revisar el enrutado

La primera comprobación nunca es borrar. Es mirar, documentar y copiar lo que hay. Cuando algo se elimina sin evidencia, se pierde el diagnóstico y, a veces, la prueba legal.

Si nada ha roto todavía, pero no sabes qué tienes expuesto, eso es lo que mide una revisión sistemática: la auditoría de seguridad analiza la superficie y prioriza qué cerrar primero.

05Qué hacer y qué no

Los cuatro primeros pasos

  • ContenerCambiar contraseñas, empezando por el hosting y las cuentas de administración. Desactivar usuarios sospechosos sin borrarlos aún. Si el riesgo es activo, sacar la web de línea unas horas.
  • CopiaGuardarlo todo tal y como está antes de tocar nada. Esa copia es el punto de recuperación y la evidencia de lo que pasó.
  • AccesosRevisar usuarios, roles, claves, sFTP/FTP, panel del hosting y correo. Si una credencial se ha filtrado, se da por filtrado todo lo que la reutilizaba.
  • DiagnósticoAveriguar cómo han entrado y desde cuándo. Sin causa raíz, la limpieza solo retrasa la siguiente intrusión.

Si necesitas que alguien ejecute estos cuatro pasos y lo deje documentado, así se plantea la intervención en seguridad WordPress ante incidentes: contención, limpieza y endurecimiento, en ese orden.

Qué no hacer

  • No reinstalar a ciegas. Sin copia ni diagnóstico pierdes la evidencia; y si la causa está en el hosting o en tus accesos, la web nueva se vuelve a comprometer.
  • No limitarse a borrar lo visible. Quitar el archivo o el mensaje que se ve no cierra la puerta por la que entró.
  • No prometer invulnerabilidad. La seguridad gestiona riesgo, no garantiza imposibilidad. Quien vende «cero infecciones para siempre» vende una frase, no un método.
  • No improvisar peritaje forense. Si hay datos personales comprometidos o una extorsión, la intervención profesional se centra en contener y cerrar. Si después va a haber acciones legales, el peritaje forense es un trabajo aparte, con cadena de custodia, y no se improvisa borrando pruebas.

06Preguntas frecuentes

Si no noto nada raro, ¿es que no ha pasado nada?

No. La mayoría de intrusiones están diseñadas para pasar desapercibidas: spam SEO, un enlace inyectado o una puerta trasera que no se abrirá hasta más tarde. Por eso existen las comprobaciones de la sección anterior, y por eso una revisión periódica no es paranoia.

¿Un plugin de seguridad me protege?

Es una capa, no un diagnóstico. Escáner, firewall y protección de login ayudan, pero con usuarios abandonados, contraseñas reutilizadas o plugins sin actualizar, el plugin es un componente más dentro de la misma superficie vulnerable.

¿Reinstalar WordPress lo deja limpio?

Solo si el compromiso se limita al núcleo y, además, se cierra la causa de entrada. Sin copia previa pierdes evidencia; si el problema está en el hosting o en tus accesos, reinstalar te devuelve al mismo punto en semanas.

¿Cuándo toca responder a un incidente y cuándo una auditoría?

Si algo está pasando ahora, contención primero: eso se pide al servicio de seguridad WordPress. Si no está pasando nada, pero no sabes qué tienes expuesto, medición primero: eso es la auditoría WordPress. Son trabajos distintos, y el orden importa.