Mi sitio web ha sido hackeado: plan de acción

Un sitio web hackeado es una situación molesta, pero con un plan de acción fijo conseguirá dejarlo limpio de nuevo y evitará que vuelva a ocurrir. Lo más importante: restaurar únicamente una copia de seguridad no es suficiente. Si no sabe cómo entró el intruso, la puerta sigue abierta.

¿Cómo se nota que su sitio ha sido hackeado?

• Los visitantes acaban en otro sitio web, a menudo solo desde Google o solo en un teléfono.
• Google muestra en su sitio Este sitio puede estar hackeado, o aparecen páginas extrañas de su dominio en los resultados de búsqueda.
• Su navegador o antivirus avisa sobre su propio sitio.
• Hay archivos o administradores en WordPress que no reconoce.
• Recibe un aviso de nuestra parte, o Imunify360 ha encontrado malware.
• Su buzón de correo envía spam, o de repente alcanza el límite de envío (consulte Qué hacer si su dirección de correo electrónico ha sido utilizada de forma indebida).

Paso 1: mantener la calma y documentar

No elimine nada de inmediato. Anote lo que observa, cuándo empezó y haga capturas de pantalla. Esa información la necesitará más adelante para encontrar la causa, y nosotros también si solicita nuestra ayuda.

Paso 2: cambiar todas las contraseñas

Parta de la base de que un intruso conoce una contraseña. Cámbielas todas, preferiblemente desde un ordenador distinto al que usa habitualmente, por si este estuviera infectado:

1. La contraseña de Mi WebOké. El código adicional al iniciar sesión siempre está activo ahí; si prefiere usar una aplicación de autenticación en lugar del código por correo electrónico, configúrela en Mi administración y Datos de acceso.
2. Su contraseña de DA (consulte Configurar o cambiar su contraseña de DA). Esto también se aplica a la cuenta FTP predeterminada.
3. Las contraseñas de las cuentas FTP adicionales (consulte Crear y administrar cuentas de FTP). Elimine las cuentas que ya no utilice.
4. Todos los administradores en WordPress o su otro CMS. Elimine los administradores que no reconozca.
5. La contraseña del usuario de la base de datos (consulte Usuarios, permisos y contraseñas de la base de datos). Después, actualícela también en el archivo de configuración de su sitio web, como wp-config.php.
6. ¿Un buzón de correo envía spam? Cambie también esa contraseña (consulte Cambiar la contraseña de una dirección de correo electrónico).

A continuación, active en DirectAdmin la Autenticación en dos pasos (consulte Configurar la Autenticación en dos pasos).

Paso 3: escanear con Imunify360

Abra en DirectAdmin, dentro de Características Adicionales, el Imunify360 Plugin. Allí verá qué archivos se han detectado como infectados y podrá volver a escanear su paquete. Cómo funciona y qué significan los avisos lo puede consultar en Imunify360: escanear su sitio web en busca de malware.

Paso 4: averiguar cómo entró el intruso

Las causas más habituales, de más a menos frecuentes:

1. Software desactualizado. Una versión antigua de WordPress, un plugin o un tema con una vulnerabilidad conocida. Compruebe en Installatron o en WordPress qué componentes están desactualizados (consulte Actualizaciones y actualizaciones automáticas).
2. Un plugin o tema de una fuente poco fiable. Las versiones gratuitas de plugins de pago (nulled) suelen contener una puerta trasera de forma intencionada.
3. Una contraseña filtrada o débil. Consulte en Historial de inicio de sesión quién inició sesión en DirectAdmin y cuándo (consulte Historial de inicio de sesión: ¿quién inició sesión y cuándo?).
4. Un ordenador infectado en el que estuvieran guardadas contraseñas de FTP.

Lugares útiles donde buscar:

• En el Administrador de archivos, ordene por fecha de modificación. Los archivos que se modificaron en el mismo momento, especialmente en carpetas de subidas, merecen atención.
• En el registro de accesos, dentro de Siteoverzicht & logboeken, verá qué direcciones se solicitan con frecuencia, a menudo con peticiones POST a un único archivo (consulte Resumen del sitio y registros: el registro de errores y el registro de accesos).

Paso 5: limpiar o restaurar una copia de seguridad limpia

Tiene dos opciones:

• Restaurar una copia de seguridad anterior al hackeo. Con WebOké Backups en Mi WebOké, usted mismo elige un momento de los últimos 30 días (consulte ¿Esto también se puede hacer en Mi WebOké? WebOké Backups). Elija un momento anterior a la aparición de los primeros archivos extraños. Actualice todo inmediatamente después (paso 6), ya que la vulnerabilidad también está presente en la copia de seguridad.
• Limpiar usted mismo. Deje que Imunify360 limpie los archivos infectados, elimine los archivos desconocidos y vuelva a instalar WordPress y todos los plugins desde la fuente oficial.

Atención: En caso de duda, en WebOké Backups elija primero Como copia junto a lo actual. Así no cambiará nada de lo que hay ahora y podrá comparar con tranquilidad.

Paso 6: actualizar todo y hacer limpieza

• Actualice WordPress (u otro CMS), todos los plugins y temas a la última versión.
• Elimine los plugins y temas que no utilice. Incluso los plugins desactivados pueden contener una vulnerabilidad.
• Elimine copias antiguas e instalaciones de prueba en subcarpetas.
• Utilice una versión actual de PHP (consulte Elegir la versión de PHP (Select PHP version)).

Paso 7: seguimiento

• ¿Google muestra una advertencia? Tras la limpieza, solicite una nueva revisión en Google Search Console.
• ¿Su buzón de correo ha enviado spam? Consulte Qué hacer si su dirección de correo electrónico ha sido utilizada de forma indebida y Verzenden geweigerd: blacklists en limieten.
• Mantenga activado el Web Applicatie Firewall (consulte Firewall de Aplicaciones Web).
• Revise de vez en cuando, durante las próximas semanas, Imunify360 y su lista de administradores de WordPress.

¿Necesita ayuda?

¿No logra resolverlo, o se trata de una tienda online con datos de clientes? Abra un ticket y explique qué ha hecho ya (consulte Pedir ayuda: ¿qué información debe facilitar al soporte técnico?). Si se trata de datos personales, es posible que deba notificar la filtración a la Autoridad de Protección de Datos correspondiente.